Les clés de sécurité U2F permettent de sécuriser vos comptes en ligne même si vos mots de passe sont compromis.
Les mots de passe ne suffisent pas à sécuriser vos comptes en ligne. Trop de mots de passe sont faciles à trouver pour les hackers. Et même si vous utilisez des mots de passe forts et uniques, ils peuvent toujours être volés un jour ou l’autre lors d’une attaque de phishing/hameçonnage ou d’une fuite de données.
Voilà pourquoi vous avez besoin de l’authentification à deux facteurs (A2F). Avec l’A2F, vous pouvez protéger l’accès à vos comptes en ligne même si vos mots de passe ont été piratés ou victimes d’une fuite de données. Vous avez un second dispositif de sécurité, après votre mot de passe.
Les clés de sécurité U2F sont l’une des méthodes les plus sécurisées pour l’authentification à deux facteurs. Elles sont plus sûres que les SMS et souvent plus rapides et plus pratiques que l’utilisation d’une application d’authentification sur votre téléphone.
Voici comment fonctionnent les clés de sécurité U2F et comment elles peuvent vous aider à assurer votre sécurité.
Qu’est-ce que l’U2F ?
Qu’est-ce qu’une clé de sécurité FIDO U2F ?
Comment utiliser une clé de sécurité FIDO U2F ?
Quelles sont les utilisations des clés de sécurité U2F ?
Comment fonctionnent les clés de sécurité U2F ?
Quels sont les avantages et les inconvénients des clés de sécurité FIDO U2F ?
Quelle sont les différences entre FIDO U2F et FIDO2 ?
Protégez vos données avec l’U2F et Proton
Qu’est-ce que l’U2F ?
L’U2F, pour Universal Second Factor (second facteur universel), est une norme d’authentification ouverte qui vous permet d’utiliser une clé de sécurité physique pour l’authentification à deux facteurs (A2F). Il s’agit d’un niveau de sécurité supplémentaire pour vos comptes en ligne.
Une fois que vous avez configuré l’A2F pour un compte en ligne, vous devez vérifier votre identité deux fois quand vous vous connectez :
La première fois, vous saisissez votre nom d’utilisateur et votre mot de passe.
La seconde fois, vous faites généralement l’une de ces actions pour confirmer à nouveau votre identité et accéder à votre compte :
- Vous saisissez un code d’accès à usage unique, généré par une application d’authentification ou envoyé par SMS.
- Vous utilisez des données biométriques, par exemple en touchant un lecteur d’empreintes digitales ou en scannant votre visage.
- Vous branchez (ou appuyez sur) une clé de sécurité physique, aussi appelée clé de sécurité matérielle, jeton matériel ou clé de sécurité FIDO U2F.
Qu’est-ce qu’une clé de sécurité FIDO U2F ?
Une clé de sécurité FIDO U2F est un dispositif physique qui vous permet de vous connecter à un compte en utilisant l’authentification à deux facteurs (A2F). Disponibles sous différentes formes et tailles, la plupart des clés U2F ressemblent à des clés USB ou à des porte-clés, comme cette clé YubiKey de Yubico :
FIDO, pour Fast Identity Online, est un ensemble de protocoles d’authentification développés et maintenus par l’Alliance FIDO(new window).
L’alliance FIDO est une organisation à but non lucratif qui regroupe des agences gouvernementales et plus de 250 grandes entreprises, dont Apple, Google, PayPal et VISA. En plus de promouvoir l’U2F, son objectif est de développer de nouvelles normes d’authentification qui « contribuent à réduire la dépendance excessive du monde aux mots de passe ».
Comment utiliser une clé de sécurité FIDO U2F ?
Pour utiliser une clé de sécurité U2F :
- Vous devez acheter une clé U2F et l’enregistrer auprès du site internet ou de l’application avec laquelle vous voulez l’utiliser.
- Après avoir saisi votre nom d’utilisateur et votre mot de passe, vous serez invité à brancher la clé et à appuyer sur un bouton (ou juste le toucher) pour vous connecter. Vous devrez par exemple appuyer sur le « Y » de la YubiKey que vous pouvez voir un peu plus haut.
Vous pouvez aussi utiliser des clés U2F avec des appareils mobiles si votre système d’exploitation le permet. Apple a par exemple commencé à prendre en charge les clés de sécurité avec son iOS 16.3, sorti en janvier 2023.
Branchez la clé (si vous avez une clé compatible) ou appuyez sur la clé sur le téléphone (si le téléphone et la clé sont compatibles NFC(new window)) afin de vous authentifier pour l’A2F.
Quelles sont les utilisations des clés de sécurité U2F ?
Les clés de sécurité U2F sont un des moyens les plus sécurisés pour utiliser l’A2F (ou une autre authentification multifactorielle). Tout le monde peut être victime d’une attaque de phishing/hameçonnage ou d’une fuite de données, c’est pourquoi vous avez besoin de l’A2F pour protéger vos comptes en cas de perte ou de vol de vos mots de passe.
Vous pouvez utiliser une clé U2F pour configurer l’A2F sur de nombreux sites internet et services en ligne, dont Google, Apple, Microsoft ou Proton.
Avec la plupart des services qui prennent en charge l’U2F, vous pouvez configurer une clé de sécurité U2F et une application d’authentification pour l’A2F. De cette façon, si l’un de ces dispositifs tombe en panne, vous avez l’autre comme solution de secours.
Découvrez comment configurer les clés de sécurité U2F avec Proton
En dehors des applications grand public, les clés U2F sont souvent utilisées dans des secteurs qui nécessitent un haut niveau de sécurité et de conformité, comme la finance, les soins de santé et les administrations publiques.
Certaines entreprises demandent à leurs employés d’utiliser une clé U2F pour accéder aux réseaux internes ou à un VPN(new window) quand ils travaillent à distance. Google a déclaré en 2018 qu’aucun de ses 85 000 employés n’avait été victime de piratage(new window) depuis qu’ils utilisaient des clés de sécurité U2F pour leurs comptes professionnels.
Comment fonctionnent les clés de sécurité U2F ?
Les clés U2F utilisent la cryptographie asymétrique(new window) (ou cryptographie à clé publique) pour vérifier votre identité. Le terme asymétrique vient du fait qu’une paire de clés est utilisée :
- Une clé privée, qui est gardée secrète sur votre clé U2F.
- Une clé publique, que le service en ligne (site internet ou application) conserve sur ses serveurs.
Une nouvelle paire de clés est créée quand vous configurez votre clé U2F pour l’A2F avec un service en ligne. La clé privée est conservée dans votre clé U2F, alors que la clé publique correspondante est enregistrée auprès du service en ligne.
Pour simplifier, voici comment vous vous connectez à l’aide d’une clé U2F pour l’A2F :
1. Une fois que vous avez saisi votre nom d’utilisateur et votre mot de passe, le service en ligne envoie à votre ordinateur, tablette ou téléphone un « défi », vous demandant de vous authentifier avec une clé U2F.
2. Vous branchez la clé U2F sur un port USB de votre ordinateur et vous pressez généralement un bouton sur la clé (vous pouvez aussi la brancher sur votre téléphone ou bien vous connecter par NFC).
3. Parmi les clés privées conservées sur votre clé U2F, votre appareil sélectionne celle qui correspond à la clé publique du service en ligne et l’utilise pour signer le défi de manière numérique.
4. Votre appareil renvoie le défi signé au service en ligne, qui le vérifie en utilisant la clé publique qu’il conserve avant de vous connecter.
Quels sont les avantages et les inconvénients des clés de sécurité FIDO U2F ?
Bien que les clés U2F soient considérées comme l’une des méthodes les plus sûres pour l’A2F, elles ont certains inconvénients. Voici les principaux avantages et inconvénients.
Avantages
Sécurité renforcée
Les clés U2F et les applications d’authentification sont beaucoup plus sûres que les SMS pour l’A2F, car les messages SMS ne sont pas chiffrés et peuvent être facilement interceptés.
Les clés U2F sont toutefois considérées comme étant plus sûres que les applications d’authentification, pour ces raisons :
- Avec l’U2F, vous êtes la seule personne à disposer de la clé privée conservée sur votre clé U2F. Avec les applications d’authentification, vous disposez d’un « secret partagé » (texte en clair ou code QR) entre votre appareil et le serveur.
- Les clés U2F signent de manière numérique la demande d’accès à l’A2F et transmettent la réponse directement au service en ligne (voir le fonctionnement de l’U2F plus haut). Les applications d’authentification reposent pour leur part sur des codes à usage unique, qui peuvent être interceptés en cas d’écoute ou de piratage (attaques de type « homme du milieu »(new window)).
Aucune méthode d’authentification n’est cependant totalement sécurisée puisque même les clés U2F peuvent être piratées(new window).
Facilité d’utilisation
Une fois configurées, les clés U2F sont rapides et faciles à utiliser. Vous n’avez pas besoin d’ouvrir des applications ou de saisir manuellement des mots de passe à usage unique. Il vous suffit de brancher la clé et d’appuyer dessus (ou sur votre téléphone pour la connecter par NFC).
Vous pouvez utiliser une clé pour autant de services que vous le voulez, à condition qu’ils soient compatibles avec l’U2F.
Inconvénients
Pas de sauvegarde
Avec les applications d’authentification, vous pouvez copier le code QR ou les codes de sauvegarde pour le cas où vous perdez l’accès à votre téléphone. Comme vous ne pouvez pas dupliquer les clés privées enregistrées sur les clés U2F, nous vous recommandons d’enregistrer une deuxième clé auprès de chaque service en guise de sauvegarde.
Prix
Alors que la plupart des applications d’authentification sont gratuites, les clés U2F sont payantes. On trouve des clés U2F à partir d’environ 25 euros, mais celles qui proposent les dernières fonctionnalités peuvent coûter beaucoup plus cher. Et il faut donc compter le double si vous voulez acheter une clé supplémentaire en guise de sauvegarde.
Risque de perte
Comme les autres objets de valeur, vous devez garder les clés U2F en lieu sûr. La plupart d’entre elles peuvent être accrochées à un porte-clés. Les clés U2F de type « nano » sont en revanche conçues pour rester insérées dans le port USB de votre appareil, pour plus de facilité : vos comptes seront donc vulnérables en cas de perte ou de vol de votre appareil.
Quelle sont les différences entre FIDO U2F et FIDO2 ?
Développée par l’alliance FIDO, FIDO2 est la dernière norme d’authentification qui devrait remplacer FIDO U2F. L’objectif principal de FIDO2 est de mettre en place une authentification sans mot de passe(new window).
Avec FIDO2, au lieu d’utiliser un mot de passe et l’authentification à deux facteurs (A2F), vous pouvez vous connecter à un compte avec seulement une clé de sécurité FIDO2 ou des données biométriques, comme une empreinte digitale ou un scan du visage. Apple utilise par exemple la norme FIDO2 pour ses clés d’identification(new window), en utilisant Face ID ou Touch ID.
FIDO2 est rétrocompatible avec FIDO U2F et devient rapidement la nouvelle norme pour l’authentification A2F et l’authentification sans mot de passe. Vous pouvez par exemple utiliser des clés de sécurité compatibles FIDO2 pour vous connecter à Google ou à Proton à l’aide d’un mot de passe et de l’A2F.
Protégez vos données avec l’U2F et Proton
En résumé, les clés de sécurité U2F sont un des moyens les plus sécurisés d’utiliser l’A2F pour lutter contre le phishing et assurer la sécurité de vos comptes en ligne.
Bien qu’il soit toujours préférable d’utiliser une méthode A2F plutôt qu’un mot de passe seul, choisissez des clés de sécurité U2F ou une application d’authentification pour l’A2F plutôt que des SMS, qui sont peu sécurisés.
De nombreuses plateformes, comme Proton, vous permettent de configurer deux clés de sécurité U2F pour votre compte ou bien une clé de sécurité et une application d’authentification, ce qui vous permet de toujours avoir une solution de secours.
Avec Proton, voici les options qui vous sont proposées après avoir saisi votre mot de passe Proton :
Il vous suffit de brancher votre clé U2F puis d’appuyer dessus pour vous connecter.
Si vos informations personnelles ne sont pas encore protégées par un compte Proton, vous pouvez vous inscrire gratuitement. Avec Proton Mail, Proton Calendar, Proton Drive, Proton VPN(new window) et notre chiffrement de bout en bout, personne d’autre que vous ne peut accéder à vos données. Personne, pas même Proton.
Rejoignez-nous et assurez votre sécurité avec la norme d’authentification U2F et Proton.
—
Traduit et adapté par Elodie Mévil-Blanche.
