SwissBorg : votre sécurité renforcée avec la 2FA

Beaucoup de nos utilisateurs nous ont demandé de mettre en place l'authentification à deux facteurs. Cependant, depuis le début, le processus d'authentification de SwissBorg est protégé par la 2FA  et vous ne le savez peut-être même pas ! Cet article se penche sur le processus de connexion dans l'application SwissBorg et explique comment il est déjà sécurisé avec la 2FA.

Qu'est-ce que l'authentification à deux facteurs ?

L'authentification à deux facteurs (2FA) consiste à présenter deux formes distinctes d'identification lors de l'accès à une ressource protégée (comme un compte en ligne ou une application). En ne s'appuyant pas uniquement sur un nom d'utilisateur et un mot de passe pour l'authentification, les vecteurs d'attaque tels que les tentatives d'hameçonnage peuvent être facilement atténués. Le système 2FA vérifie à nouveau votre identité et si les deux vérifications sont positives, vous pourrez accéder au service protégé.

L'utilisation de la 2FA s'est considérablement développée ces dernières années. Comment cela se fait-il ? Pendant longtemps, les services en ligne se sont appuyés uniquement sur les mots de passe pour sécuriser les comptes des utilisateurs. Avec le nombre croissant de sites web et d'applications, les utilisateurs doivent retenir de plus en plus de mots de passe, ce qui les amène à réutiliser le même mot de passe pour leurs différents identifiants ou à opter pour des mots de passe plus simples afin qu'ils soient plus faciles à retenir. De plus, même si vous utilisez des mots de passe forts et uniques pour chacun des services, ceux-ci pourraient toujours être exposés ou faire l'objet d'une fuite lors d'une violation de données. Enfin, le nombre de tentatives d'hameçonnage a considérablement augmenté, surtout dans la crypto-sphère, et la complexité de ces tentatives s'est également accrue.

Facteurs d'authentification

Nous avons vu que l'utilisation de 2FA est très importante et fortement encouragée dans notre monde largement connecté, mais que pouvons-nous utiliser pour présenter deux formes d'identification à un service en ligne ? Nous appelons cela des facteurs d'authentification et, pour les services et applications en ligne, ils entrent généralement dans l'une des catégories suivantes : 

• Quelque chose que vous connaissez : il peut s'agir d'un mot de passe, d'un code PIN ou même de la réponse à une question spécifique.
• Quelque chose que vous possédez : une carte à puce, votre téléphone portable pour générer des mots de passe à usage unique ou une clé de sécurité physique.
• Quelque chose que vous êtes : il s'agit de tout élément biométrique qui peut vous être spécifiquement associé, comme votre empreinte digitale, votre rétine, votre visage, les veines de vos doigts, etc.

En devant présenter deux facteurs appartenant à des catégories distinctes pour se connecter à un compte en ligne, même si un malfaiteur obtient un accès illégitime à l'un d'entre eux, il ne pourra pas se faire passer pour vous. Et cela ne s'arrête pas là. Pour des services très importants, il est possible que l'on vous demande bien plus que deux facteurs. C'est ce que l'on appelle l'authentification multifactorielle (AMF).

Comment fonctionne la 2FA dans la pratique ?

Après avoir vu comment la 2FA fonctionne pour vous sécuriser et les types de facteurs qui peuvent identifier une personne, nous allons voir comment la 2FA est le plus souvent utilisée dans la pratique. La procédure habituelle est la suivante :

1. Vous vous rendez sur la page de connexion du service internet. Vous devez saisir votre nom d'utilisateur et votre mot de passe dans les champs prévus à cet effet.
2. Le serveur vérifie ces informations et répond en conséquence.
3. On vous demande alors un deuxième facteur d'authentification. La forme la plus courante est un mot de passe à usage unique, mais il peut s'agir de n'importe lequel des facteurs mentionnés ci-dessus.
4. Le serveur vérifie ce deuxième facteur d'authentification et vous donne accès au service.

Bien que sécurisé, ce processus est mieux adapté aux applications web où vous vous connectez directement à partir de votre navigateur et non aux applications mobiles, comme notre application SwissBorg. Il existe des moyens plus efficaces d'exploiter le 2FA pour nos utilisateurs et c'est ce que nous expliquons dans la prochaine partie de cet article.

2FA dans l'application SwissBorg

SwissBorg utilise différents types de justificatifs et d'informations pour vérifier les utilisateurs à différents moments du cycle de vie de leur compte. Examinons d'abord les différents facteurs d'authentification que nous utilisons, puis nous verrons comment ils agissent ensemble pour former une méthode de connexion 2FA forte et sécurisée.

La clé de l'appareil

La clé de l'appareil est le principal mécanisme d'authentification pour nos utilisateurs et est présente depuis le début. Lorsqu'un utilisateur installe et s'enregistre pour la première fois dans l'application SwissBorg, une clé cryptographique est générée dans le TPM (module de plateforme fiable) de l'appareil mobile. Cela permet à l'application de profiter des propriétés inhérentes aux TPM qui garantissent que la paire de clés est générée de manière sécurisée, que la clé privée est stockée en toute sécurité et qu'elle ne quitte jamais votre appareil.

Lorsque vous vous connectez à l'application ou effectuez des opérations importantes, comme transférer des fonds ou effectuer un échange, cette clé est utilisée pour signer la demande, prouvant ainsi qu'elle provient de l'appareil mobile que vous possédez. Cette signature est ensuite vérifiée par le système SwissBorg pour s'assurer qu'il n'a pas reçu de demande frauduleuse. La clé de l'appareil est votre facteur de type « quelque chose que vous possédez ».

Le PIN

Le PIN ou la phrase secrète utilisée dans l'application SwissBorg peut être un code de quatre à six chiffres ou une phrase secrète qui peut contenir n'importe quels caractères. Sous le capot, ce code est instantanément converti en une clé cryptographique. Celle-ci est ensuite utilisée conjointement avec la clé de l'appareil pour ajouter une deuxième signature à certaines demandes, telles que les ouvertures de session et les retraits, ajoutant ainsi un niveau de sécurité supplémentaire à ces demandes. Tout comme la clé de l'appareil, le code PIN ne quitte jamais votre appareil.

Si le code est incorrect, le système de SwissBorg rejettera la demande car la clé dérivée du code incorrect ne correspondra pas à celle enregistrée et créera donc une signature incorrecte. Cette vérification est combinée à une limite du nombre de tentatives incorrectes et à un délai entre celles-ci afin d'éviter les attaques par force brute. Une fois la limite atteinte, le compte sera verrouillé et nécessitera des vérifications supplémentaires.

Pour plus de commodité, la vérification biométrique peut être utilisée à la place du code. En coulisses, la clé cryptographique dérivée du code est stockée dans le trousseau de votre appareil et cryptée par le système d'exploitation à l'aide des données biométriques. La clé de votre appareil sert de facteur de type « quelque chose que vous savez » ou de type « quelque chose que vous êtes ».

L'ajout de mots de passe à usage unique augmenterait-il la sécurité ?

Comme nous l'avons vu dans les sections précédentes, l'application SwissBorg est en effet sécurisée par une authentification à deux facteurs, les facteurs étant la clé de l'appareil et le PIN ou la phrase secrète. L'ajout d'un facteur supplémentaire pour l'authentification permettra toujours de maintenir au moins le même niveau de sécurité globale. Mais cela augmente-t-il la sécurité ? Examinons plus en détail plusieurs scénarios.

• Supposons qu'un malfaiteur n'ait pas accès à l'appareil sur lequel l'application SwissBorg est installée. Dans ce cas, il lui est impossible de se faire passer pour vous. N'oubliez pas que la clé de l'appareil est stockée dans l'enclave sécurisée de votre appareil et qu'elle n'en sort jamais. Sans l'appareil mobile sur lequel vous avez installé l'application SwissBorg, personne ne peut accéder à votre compte.
• Supposons maintenant que le malfaiteur ait accès à votre appareil. Ce scénario a deux variantes :

1. Le malfaiteur ne peut pas déverrouiller votre appareil. Votre compte SwissBorg reste sécurisé car il ne peut pas accéder à l'application.
2. Le malfaiteur peut déverrouiller votre appareil. Il peut alors ouvrir l'application SwissBorg. Pour accéder à votre compte, il doit maintenant insérer le bon PIN ou phrase secrète.

Vous utilisez un code PIN fort (pas votre date d'anniversaire, ni celui de votre partenaire/enfants/parents). L'attaquant a alors une chance sur 1 000 000 de déverrouiller votre compte SwissBorg, en 9 tentatives.

Vous utilisez une phrase secrète (une chaîne aléatoire d'au moins 16 caractères composée de lettres, de chiffres et de caractères spéciaux). Il faudrait alors des siècles au malfaiteur pour déchiffrer votre phrase secrète.

Le malfaiteur peut deviner votre PIN ou votre phrase secrète avec une forte probabilité. L'ajout d'un mot de passe à usage unique pour accéder à votre compte ne renforcerait donc pas la sécurité, car le malfaiteur y aura accès s'il dispose de votre téléphone déverrouillé sur lequel est installée votre application d'authentification ou sur lequel vous pouvez recevoir des SMS et des courriels.

D'après le scénario ci-dessus, nous pouvons facilement comprendre pourquoi l'ajout d'un mot de passe à usage unique n'améliorerait pas la sécurité de l'application SwissBorg.

Comment les utilisateurs peuvent-ils améliorer leur sécurité ?

Les utilisateurs peuvent prendre plusieurs mesures pour améliorer la sécurité de leur patrimoine et de leurs données. En voici quelques-unes :

Sécurisez votre application à l'aide d'une phrase secrète forte et unique. Nous recommandons l'utilisation d'un gestionnaire de mots de passe, tel que Proton Pass ou Bitwarden.

Enregistrez une passkey au cas où vous auriez besoin de récupérer votre compte SwissBorg. Nous encourageons les utilisateurs à adopter des passkeys plutôt que des méthodes de récupération traditionnelles telles qu'une phrase de récupération ou un processus de récupération manuel.

Évitez de cliquer sur les liens contenus dans les courriels provenant de personnes en qui vous n'avez pas confiance. Vérifiez également l'adresse électronique de l'expéditeur pour vous assurer que le courriel provient bien de l'expéditeur déclaré.

Ne communiquez jamais vos informations personnelles. Lorsque vous êtes contacté par quelqu'un, que ce soit par téléphone, par e-mail ou sur les réseaux sociaux, ne lui fournissez pas votre PIN, votre phrase secrète, votre phrase de récupération, votre clé privée, vos informations bancaires et de carte de crédit, votre date de naissance et vos numéros de sécurité sociale/assurance sociale.

SwissBorg s'engage à fournir à ses utilisateurs le plus haut niveau de sécurité grâce à son système intégré d'authentification à deux facteurs (2FA). En utilisant à la fois la clé de l'appareil et le PIN ou la phrase secrète que vous avez choisie, nous nous assurons que votre compte est bien protégé contre tout accès non autorisé. Bien que beaucoup puissent penser que des facteurs supplémentaires, tels que des mots de passe à usage unique, pourraient renforcer la sécurité, notre système existant est déjà conçu pour être robuste, en s'appuyant sur des clés cryptographiques qui ne quittent jamais votre appareil. Nous encourageons nos utilisateurs à adopter des phrases secrètes fortes, à utiliser des passkeys et à rester vigilants face aux tentatives d'hameçonnage afin de mieux protéger leurs actifs. Chez SwissBorg, votre sécurité est notre priorité, ce qui vous permet de vous concentrer sur ce qui compte vraiment : accroître votre patrimoine dans le monde des crypto-monnaies.