La vérification de l’identité par SMS devrait bientôt disparaître

En quelques années, le principe de la double-authentification s’est imposé sur les plus gros sites internet, qui proposent à leurs utilisateurs de confirmer leur identification par un code envoyé par SMS, lorsqu’ils saisissent leur mot de passe sur un nouvel appareil, ou qu’ils effectuent un paiement en ligne. La technique évite qu’un pirate qui aurait accès au mot de passe de l’utilisateur ne puisse se logger s’il n’a pas aussi accès au téléphone, ce qui est beaucoup plus rare.

Mais l’envoi d’un SMS de confirmation pourrait bientôt être une pratique proscrite. Aux États-Unis, le très influent National Institute of Standards and Technology (NIST), dont les normes doivent être suivies pour obtenir certaines certifications, a en effet prévenu que l’envoi d’un SMS n’était pas assez sécurisé, et qu’il considérait donc qu’il s’agit d’une technique « obsolète » qui ne sera plus autorisée dans les prochaines éditions de ses « lignes directrices d’authentification numérique ».

Pas assez sûrs

Déjà actuellement, le NIST impose que si l’application vérifie l’identité de l’utilisateur en envoyant un SMS de confirmation, elle doit d’abord s’assurer qu’elle envoie bien le message vers un téléphone mobile d’un réseau cellulaire, et non vers un numéro de téléphone associé à une ligne VoIP. Cela évite qu’en cas de prise de contrôle d’un ordinateur par un pirate, ce dernier ait aussi accès aux SMS qui seraient reçus par un logiciel de VoIP. L’agence gouvernementale américaine se méfie aussi de l’absence de chiffrement fort sur les SMS, qui faciliterait les interceptions.

À l’avenir, le NIST imposera donc que la double-authentification soit faite de façon plus sûre, par exemple en passant par une application qui n’afficherait le code de confirmation qu’après la saisie d’un code PIN, ou après une identification biométrique. Dans tous les cas, elle prévient qu’il faut que la communication du code de confirmation se fasse à travers « un canal protégé authentifié », où la clé n’est pas stockée.

Vous voulez tout savoir sur la mobilité de demain, des voitures électriques aux VAE ? Abonnez-vous dès maintenant à notre newsletter Watt Else !