Table des matières de l'article :
Qu'est-ce que Google Authenticator et qu'est-il censé protéger ?
Google Authenticator est une application mobile conçue pour générer des codes de connexion temporaires (OTP – One Time Password) utilisés comme deuxième facteur d'authentification (2FA) dans les systèmes prenant en charge l'authentification à deux facteurs. Son objectif principal est d’ajouter une couche de sécurité supplémentaire à un mot de passe simple, rendant plus difficile l’accès non autorisé à vos comptes.
Concrètement, même si un attaquant parvient à voler ou à deviner le mot de passe de l'utilisateur, il ne pourra pas se connecter sans le code temporaire généré par l'application. Cette approche est devenue une norme de sécurité sur de nombreuses plateformes en ligne, notamment les services financiers, les outils de cloud computing, les fournisseurs de messagerie électronique et les réseaux sociaux.
Comment ça marche, étape par étape
Prenons un exemple concret : imaginons que nous souhaitions nous connecter à notre compte sur un service qui a activé l'authentification par mot de passe à usage unique. Après avoir saisi notre nom d'utilisateur et notre mot de passe, le système nous demandera un second code : il s'agit du mot de passe à usage unique généré par l'application Google Authenticator.
Une fois configurée pour ce compte, l'application génère un code numérique à 30 chiffres toutes les 6 secondes. Ce code est calculé localement sur l'appareil, selon un algorithme TOTP (Time-based One-Time Password) utilisant :
- une clé secrète partagée avec le serveur de service
- l'heure actuelle de l'appareil
Étant donné que le serveur de service et l'application utilisent la même clé et la même synchronisation temporelle, ils génèrent simultanément le même code. L'utilisateur le saisit dans le formulaire de connexion et, si le code est valide et temporairement cohérent, l'accès est autorisé.
Tout cela se fait sans connexion internet active, ni de la part de l'application ni du serveur qui l'a générée. C'est précisément cette simplicité et cette indépendance qui ont fait la popularité de Google Authenticator.
Un bref historique de l'application
Google Authenticator a été lancé en 2010 pour répondre au besoin croissant d'un second facteur d'authentification pour les comptes Google. Il a ensuite été mis à disposition de services tiers. Initialement disponible uniquement sur Android, il a ensuite été également disponible sur iOS.
Son fonctionnement repose sur la norme TOTP (Time-based One-Time Password) définie par la RFC 6238 et sur la génération de codes OTP synchronisés avec l'horloge de l'appareil. Ces codes sont régénérés toutes les 30 secondes et ne nécessitent ni connexion internet ni accès au cloud pour fonctionner.
Pendant de nombreuses années, Google Authenticator a été la solution de référence pour l'authentification à deux facteurs. Cependant, il a également été critiqué pour son manque de fonctionnalités de sauvegarde et de synchronisation, une lacune qui n'a été corrigée qu'en 2023 avec l'introduction de la synchronisation cloud, ce qui a soulevé de nouvelles inquiétudes en matière de sécurité.
Support Piattaforme
Google Authenticator est officiellement disponible pour :
- Android (via Google Play Store)
- iOS (via l'App Store)
L'application peut être utilisée pour générer des codes OTP pour tout service compatible avec la norme TOTP, notamment :
- Compte google
- Compte microsoft
- Amazon Web Services (AWS)
- GitHub
- Dropbox
- Twitter (maintenant X)
- Slack
- hood.discount
- Hetzner, OVH, DigitalOcean et d'autres fournisseurs de cloud
- Services bancaires prenant en charge les OTP externes
De plus, il est également compatible avec tout système personnalisé prenant en charge la génération de codes TOTP via une clé partagée.
Le problème qu'il est censé résoudre : la faiblesse des mots de passe à eux seuls
Les mots de passe seuls ne suffisent plus. Face à la sophistication croissante des attaques de phishing, à la circulation de bases de données de mots de passe volés sur le dark web et à la tendance des utilisateurs à réutiliser les mêmes mots de passe sur plusieurs services, l'authentification à deux facteurs (2FA) est désormais considérée comme une mesure de sécurité minimale.
Google Authenticator a été créé spécifiquement pour réduire le risque que, même en cas de vol d'identifiants, l'accès aux comptes soit empêché sans possession physique du smartphone qui génère l'OTP.
La fonctionnalité de sauvegarde et de synchronisation de Google : une arme à double tranchant
En 2023, Google a lancé une fonctionnalité très médiatisée : la synchronisation automatique des codes OTP avec votre compte Google. Ainsi, si vous perdez ou cassez votre smartphone, il vous suffit de vous connecter à votre compte Google sur un nouvel appareil pour récupérer vos codes enregistrés.
À première vue, cette fonctionnalité simplifie grandement la gestion et la récupération des mots de passe à usage unique. Mais elle introduit également une vulnérabilité dangereuse : Toute la sécurité de l’authentification à deux facteurs est ramenée à un seul élément susceptible d’être compromis : votre compte Gmail.
Si un attaquant parvient à obtenir les informations d'identification du compte Google d'une personne, il peut facilement installer Google Authenticator sur son appareil et synchroniser les OTP, annulant ainsi complètement la protection fournie par 2FA.
Étude de cas concrète : 100 instances cloud Hetzner mises sous tension en quelques minutes
Cet article est né suite à un grave accident survenu à l'un de nos clients.
En quelques minutes, le compte de Hetzner a été activé. plus de 100 instances cloud, avec un coût potentiel de plusieurs milliers d'euros. Nous avons initialement émis l'hypothèse que l'accès se faisait grâce à des identifiants volés et un mot de passe à usage unique (OTP) contourné. Après une analyse approfondie, nous avons découvert que les attaquants avaient réussi à connectez-vous à votre compte Gmail du client.
À partir de là, ils ont récupéré l'accès à Hetzner en utilisant la procédure de « récupération de mot de passe » par courrier électronique, puis ont utilisé Google Authenticator synchronisé avec votre compte Google pour obtenir les OTP nécessaires pour contourner la 2FA.
Résultat : tout le mécanisme de sécurité s’est effondré, malgré l’adoption de l’authentification à deux facteurs.
Le faux sentiment de sécurité
Cette affaire met en évidence un point clé : De nombreux utilisateurs pensent qu'ils sont en sécurité simplement parce qu'ils utilisent l'OTP, ignorant que, si les codes OTP sont synchronisés et accessibles depuis un service cloud vulnérable (tel que Gmail), l'ensemble du système de sécurité est fragile.
En d’autres termes, si votre courrier électronique est compromis, c’est comme si vous n’aviez pas d’authentification à deux facteurs.
La solution : dissocier Google Authenticator de votre compte Google
Google le permet, même s'il ne le promeut pas activement, désactiver la synchronisation du code OTP sur votre compte Google. Accédez simplement aux paramètres de l'application Google Authenticator et supprimez l'association avec votre compte Google.
De cette façon, les codes OTP restent uniquement localement sur l'appareil e ils ne sont pas synchronisés avec le cloudMême si quelqu'un piratait votre compte Gmail, il n'aurait toujours pas accès à l'application Google Authenticator et à ses codes.
Mais cette solution présente un problème : si vous perdez ou cassez le smartphone sur lequel l'application non synchronisée est installée, Les comptes protégés ne seront plus accessibles, sauf si vous disposez de sauvegardes manuelles ou de codes d'urgence précédemment enregistrés.
Meilleure pratique : clonez votre application sur plusieurs appareils
La meilleure stratégie consiste donc à adopter une approche hybride qui combine la sécurité de la gestion locale avec la redondance sur plusieurs appareils, évitant ainsi la synchronisation dans le cloud.
- Désactiver la synchronisation cloud Google Authenticator depuis n'importe quel appareil : dans les paramètres de l'application, supprimez l'association avec votre compte Google.
- Utilisez la fonction d'exportation intégrée de l'application Google AuthenticatorEn accédant à l'application, appuyez sur l'icône à trois points en haut à droite, puis sélectionnez « Transférer un compte » → « Exporter un compte ». Un QR code contenant tous vos comptes configurés sera généré.
- Sur le deuxième appareil, ouvrez Google Authenticator et sélectionnez « Transférer le compte » → « Importer le compte », puis scannez le code QR généré par l'appareil principal. Cela copiera tous les OTP de manière sécurisée sur le nouvel appareil. sans avoir besoin de se connecter à un compte Google.
- Veuillez stocker soigneusement le périphérique secondaire ou migrer vers un troisième périphérique pour une redondance accrue.
- Vous pouvez également envisager d’utiliser des applications open source comme Aegis Authenticator ou FreeOTP, qui offrent des fonctionnalités avancées telles que des sauvegardes cryptées et des exportations manuelles.
Cette méthode vous permet d'avoir une copie exacte de tous les OTP sur plusieurs appareils, garantissant que si votre téléphone principal est perdu ou cassé, vous pouvez toujours accéder à vos comptes protégés par 2FA. sans exposer vos codes au cloud et sans dépendre de la synchronisation automatique de Google.
Conclusion : Protéger l'OTP signifie protéger l'identité numérique
L'authentification à deux facteurs est une mesure importante, mais elle n'est pas infaillible. Se fier aveuglément à une application OTP synchronisée dans le cloud peut donner un faux sentiment de sécurité et devenir une vulnérabilité.
Le cas de notre client, qui a vu son compte Hetzner piraté et compromis avec des dommages potentiellement très élevés, nous apprend qu'il est essentiel comprendre comment fonctionnent réellement les outils de sécurité que nous utilisons et configurons tout avec soin.
Dans un monde de plus en plus connecté, la protection des identifiants et des OTP signifie protégez votre identité numérique, vos données et souvent votre portefeuille.
Ne laissez pas la commodité du cloud compromettre la sécurité de vos comptes.
