URL: https://linuxfr.org/users/elessar/journaux/les-banques-et-l-authentification-a-deux-facteurs Title: Les banques et l'authentification à deux facteurs Authors: 🚲 Tanguy Ortolo Date: 2023年06月13日T15:20:45+02:00 License: CC By-SA Tags: banque, totp, otp, sécurité, authentification, double_authentification et dsp2 Score: 10 Comme vu récemment, les banques sont dans l'obligation d'implémenter une authentification à deux facteurs pour certains trucs. Je n'ai pas très bien compris pour quels trucs, mais bref, ça s'applique visiblement pour certains achats en ligne et pour certains opérations particulières comme par exemple l'ajout de bénéficiaires de virement. Je crois que ça dépend des banques. Pour rappel, [l'authentification à deux facteurs](https://fr.wikipedia.org/wiki/Double_authentification) consiste à demander à l'usager deux types de preuves de son identité, parmi trois types : une connaissance (typiquement un mot de passe), une possession (typiquement un téléphone) ou une caractéristique biométrique (typiquement une empreinte digitale). Concrètement... ça dépend des banques, mais pour un paiement en ligne par exemple, les preuves demandées sont effectivement multiples. Voici les exemples que je connais. Des facteurs d'authentification =============================== Infos de carte bancaire ----------------------- Presque toujours demandées, sauf sur des sites qui enregistrent ces infos, comme Amazon. Preuve de possession : fournir le numéro de la carte bancaire, sa date d'expiration et son code de sécurité. Accessible à toute personne voyante. Inaccessible aux non-voyants, mais j'imagine que les banques doivent pouvoir fournir ces informations en braille. Vulnérable à la copie, photocopie ou photographie de carte bancaire. Sachant qu'il s'agit d'un objet qu'on remet souvent à des commerçants pour payer des trucs, c'est significatif. Vulnérable au piratage de sites marchands connus pour enregistrer ces infos. Vulnérable à la négligence (laisser traîner sa carte le temps que quelqu'un la photographie). Code ou lien par SMS -------------------- Preuve de possession : fournir un code ou suivre un lien reçu par SMS. Accessible à toute personne disposant d'un téléphone mobile et d'un abonnement. Inaccessible aux personne non abonnées à un service de téléphonie mobile. Vulnérable à l'interception, visiblement assez facile à réaliser pour que cette méthode soit désormais interdite ou en voie d'interdiction. Dépend de l'abonnement téléphonique et de la pérennité du numéro de téléphone. Grille de nombres ----------------- Preuve de possession : fournir un numéro dans une grille fournie à l'avance. Accessible à toute personne voyante, et non-voyante si la banque peut fournir une grille en braille. Vulnérable à la photocopie. Contrairement à une carte bancaire, on n'a jamais besoin de la tendre à quelqu'un d'autre, ce risque est donc en pratique limité aux cas de vol et d'extorsion. Vulnérable à la négligence (laisser traîner sa grille le temps que quelqu'un la photographie). Dépend de la bonne conservation d'un morceau de papier plastifiée, ou d'une carte en plastique si les banques s'en donnaient la peine. Empreinte digitale ------------------ Biométrie : utiliser le lecteur d'empreinte digitale de son téléphone sur demande du logiciel de la banque. Accessible aux personnes disposant d'un terminal sous Android ou iOS, assez récent et pas trop modifié (ou au contraire suffisamment modifié pour que ça ne se voie pas). Vulnérable au piratage du système d'exploitation du téléphone ou du logiciel bancaire sous réserve de faille exploitable. Dépend du fonctionnement du téléphone et du logiciel bancaire. Code secret sur téléphone ------------------------- Preuve de connaissance : saisir un code secret sur son téléphone sur demande du logiciel de la banque. Accessible aux personnes disposant d'un terminal sous Android ou iOS, assez récent et pas trop modifié (ou au contraire suffisamment modifié pour que ça ne se voie pas). Vulnérable au piratage du système d'exploitation du téléphone ou du logiciel bancaire sous réserve de faille exploitable. Vulnérable à la négligence (noter son code sur un post-it). Dépend du fonctionnement du téléphone et du logiciel bancaire. Code secret sur le site de l'intermédiaire de paiement ------------------------------------------------------ Preuve de connaissance : saisir un code secret sur le site de l'intermédiaire de paiement. Accessible à toute personne déjà en mesure d'effectuer l'achat en ligne en question. Très vulnérable au phishing. Vulnérable à la corruption de l'intermédiaire de paiement. Vulnérable à la négligence (noter son code sur un post-it). Ne dépende de rien du tout. Ou plus précisément, ne dépend de rien de plus que l'acte d'achat lui-même. Code à usage unique sur logiciel bancaire ----------------------------------------- Preuve de possession : saisir un code secret fourni par un logiciel bancaire sur son téléphone. Accessible aux personnes disposant d'un terminal sous Android ou iOS, assez récent et pas trop modifié (ou au contraire suffisamment modifié pour que ça ne se voie pas). Vulnérable au piratage du système d'exploitation du téléphone ou du logiciel bancaire sous réserve de faille exploitable. Dépend du fonctionnement du téléphone et du logiciel bancaire. Code à usage unique standard ---------------------------- Preuve de possession : saisir un code secret fourni par un logiciel implémentant TOTP. Accessible à toute personne disposant d'un outil informatique (ordinateur ou téléphone). Vulnérable au piratage du logiciel implémentant TOTP sous réserve de faille exploitable. Vulnérable à la négligence (noter les informations de génération des codes, mais ça, c'est de la négligence de spécialiste, le commun des mortels n'est même pas au courant de l'existence d'informations de génération). Dépend du fonctionnement de l'équipement informatique utilisé. Boîtier physique à code à usage unique -------------------------------------- Preuve de possession : saisir un code secret fourni par un petit appareil implémentant TOTP (ou autre, mais en pratique, c'est très certainement du TOTP, surtout qu'il faut bien que le serveur de la banque en ait une implémentation logicielle pour vérifier !). Accessible à toute personne voyante. Vulnérable... au vol et à l'extorsion, et c'est probablement tout. Dépend du fonctionnement du boîtier physique TOTP, et en particulier de sa pile électrique. Variante : carte à code de sécurité dynamique --------------------------------------------- Preuve de possession : saisir un code secret fourni... par la carte bancaire elle-même, qui implémente TOTP et dispose d'un petit écran à la place du code de sécurité. Accessible à toute personne voyante. Vulnérable... au vol et à l'extorsion, et c'est probablement tout. Dépend du fonctionnement de la carte bancaire, et en particulier de sa pile électrique ou de la charge de son condensateur. Lecteur de carte bancaire ------------------------- Preuve de possession et de connaissance : mettre sa carte dans un lecteur spécial, qui demande son code secret avant de fournir un code à usage unique. Accessible à toute personne voyante. Vulnérable... au vol et à l'extorsion, et c'est probablement tout. Dépend du fonctionnement du lecteur de carte, et en particulier de sa pile électrique. D'autres ? ---------- C'est tout ce dont j'ai connaissance, mais si vous en connaissez d'autres, n'hésitez pas. Mon avis sur le sujet ===================== Les facteurs de connaissances sont très classiques et systématiquement utilisant en combinaison avec au moins un autre facteur. Je m'intéresse donc aux autres facteurs. * Compte tenu des avantages et des inconvénients, la grille de nombres arrive très loin devant tous les autres. À se demander pourquoi les banques ne proposent pas tout simplement cela, ne serait-ce qu'aux clients qui en font la demande, plutôt que d'acheter des boîtiers TOTP. * Les trucs qui dépendent du logiciel bancaire sur téléphone mobile, c'est de la merde. Ça exclut ceux qui ont du mal avec les téléphones tactiles, en particulier des personnes âgées ou handicapées, ça exclut les bidouilleurs sous LineageOS avec root, ça cesse de fonctionner si la banque fournir une nouvelle version boguée... * Si on veut éviter d'exclure des usagers, le top, c'est évidemment la grille de nombres, mais en second, l'utilisation de TOTP, en version logicielle ou matérielle. Mention spéciale à l'originalité du TOTP sur la carte bancaire elle-même, très astucieuse. * L'utilisation d'un lecteur de carte bancaire vérifiant le code secret et fournissant un code à usage unique combine l'utilisation de deux facteurs en une seule opération. Très astucieux également.

AltStyle によって変換されたページ (->オリジナル) /