L'histoire de la 2FA : des jetons matériels aux passkeys

Pourquoi les mots de passe seuls ont cessé de suffire

Pendant des décennies, un nom d'utilisateur et un mot de passe étaient tout ce qui séparait un attaquant de votre compte. C'était tenable quand les comptes vivaient sur un serveur de bureau unique. Cela a cessé de l'être lorsque presque tout — banque, e-mail, travail, achats — a migré en ligne.

Deux problèmes se sont accumulés. Premièrement, les gens réutilisent leurs mots de passe : une fuite sur un site mineur remet aux attaquants des identifiants qui peuvent aussi ouvrir une boîte e-mail ou un compte bancaire. Deuxièmement, les fuites ont atteint une échelle industrielle, produisant d'immenses réserves de paires nom d'utilisateur–mot de passe volées que les criminels testent automatiquement contre d'autres services.

L'authentification à un seul facteur présente un défaut structurel : l'unique facteur sur lequel elle repose — un secret — peut être deviné, volé, réutilisé ou hameçonné.

Les chercheurs en sécurité décrivent l'authentification en termes de trois types de facteurs :

• Quelque chose que vous savez — un mot de passe ou un code PIN
• Quelque chose que vous possédez — un téléphone, un jeton matériel ou une clé de sécurité
• Quelque chose que vous êtes — une empreinte digitale ou un visage

Combiner deux facteurs différents relève fortement la barre : un mot de passe volé à lui seul n'ouvre plus la porte. Les attaquants doivent aussi voler un appareil ou une donnée biométrique. Cette idée simple pilote tout ce qui suit.

L'ère des jetons matériels (années 1980–2000)

Les premiers seconds facteurs largement utilisés étaient de petits jetons matériels : porte-clés ou dispositifs de la taille d'une carte dotés d'un petit écran affichant un code numérique. Les banques les distribuaient à leurs clients entreprises, et les entreprises les remettaient à leurs employés pour les connexions VPN et réseau. Le SecurID de RSA, introduit dans les années 1980, en est devenu l'exemple le plus connu.

Fonctionnement des codes hors ligne

Les jetons n'avaient besoin d'aucune connectivité. Dans les conceptions basées sur le temps, le jeton et le serveur partageaient une graine secrète et une horloge ; chaque minute ou demi-minute, les deux dérivaient le même code à partir de cette graine et de l'heure actuelle. Les conceptions basées sur les événements remplaçaient l'horloge par un compteur : appuyer sur le bouton l'incrémentait, et les deux côtés calculaient le code à partir du nouveau compte. Comme le jeton et le serveur suivaient des règles identiques, ils restaient synchronisés sans jamais communiquer.

Pourquoi les utilisateurs ordinaires ne les ont jamais vus

Chaque porte-clés devait être fabriqué, expédié, enrollé et finalement remplacé lorsque sa pile mourait ou qu'il était perdu. Ce coût par utilisateur, ajouté aux frais d'inventaire et d'assistance, a cantonné les jetons matériels aux banques et aux grandes entreprises.

Les codes SMS rendent la 2FA grand public

Au milieu des années 2000, les téléphones mobiles étaient partout. Les banques ont compris qu'elles pouvaient envoyer par SMS un code à usage unique pour confirmer une connexion ou un virement, et soudain le second facteur a touché des millions de personnes du jour au lendemain. Pas de dongle à acheter, pas de logiciel à installer — le téléphone déjà dans votre poche est devenu le second facteur.

Les services web ont suivi. Les fournisseurs de messagerie, les réseaux sociaux et les sites d'achat ont ajouté « envoyer un code sur votre téléphone » comme option, et la 2FA a cessé d'être un outil de sécurité d'entreprise pour devenir quelque chose que les utilisateurs ordinaires pouvaient activer en quelques tapotements.

Le SMS présentait toutefois de réels inconvénients :

• SIM swapping : un attaquant qui trompe ou soudoie un opérateur pour transférer votre numéro vers une nouvelle carte SIM reçoit vos codes.
• Interception : les codes circulent sur le réseau mobile et peuvent être capturés via certaines attaques télécoms.
• Dépendance à l'opérateur : pas de signal, pas d'itinérance, pas de code — et souvent aucun moyen d'accéder à votre compte.

Le SMS a rendu la 2FA grand public, mais il a aussi révélé une faille : le second facteur appartenait à votre opérateur, pas à vous.

Applications d'authentification et approbations push

Les smartphones ont mis un jeton matériel dans la poche de chacun. Les applications TOTP telles que Google Authenticator et Authy génèrent des codes de 30 secondes hors ligne à partir d'un secret partagé. Comme la génération est locale, les codes fonctionnent en mode avion et ne transitent jamais par le réseau — aucune dépendance à l'opérateur, aucune interception du code lui-même.

Un enrôlement plus simple

Au début, la configuration impliquait de saisir à la main de longues clés base32. L'enrôlement par code QR a remplacé cela : un scan, et c'est fait. Les secrets étaient transférés en quelques secondes, réduisant les erreurs de saisie et les demandes d'assistance.

Approbations push

L'approbation push a remplacé la saisie : une notification arrive, une tape vous connecte. C'était plus rapide, plus difficile à rater, et cela fonctionnait même quand les utilisateurs ne voyaient pas l'écran de connexion. Le number matching — saisir dans l'invite un code affiché à l'écran — a ensuite ajouté une protection contre les approbations accidentelles.

Ce confort avait un revers. Les attaquants ont appris à envoyer des demandes d'approbation de façon répétée jusqu'à ce qu'un utilisateur fatigué accepte — la fatigue push. Le number matching et des invites plus claires réduisent ce risque sans l'éliminer. Et comme les mots de passe et les codes SMS, les codes TOTP peuvent être hameçautés dès qu'un utilisateur se laisse tromper et les communique.

Clés de sécurité et le passage à l'authentification à clé publique

Au début des années 2010, un groupe appelé la FIDO Alliance s'est donné pour mission d'éliminer la faiblesse fondamentale de toutes les méthodes qui l'avaient précédé : le secret partagé. Les mots de passe, les codes SMS et même les graines TOTP existent à la fois côté serveur et côté utilisateur, de sorte que quiconque vole la copie du serveur peut se connecter. La FIDO a remplacé ce modèle par la cryptographie à clé publique. La clé privée ne quitte jamais votre appareil ; le serveur ne stocke qu'une clé publique et émet des défis auxquels seule votre clé privée peut répondre. Aucun secret ne traverse jamais le réseau.

Clés de sécurité matérielles

Les clés de sécurité sont de petits dispositifs physiques qui se connectent par USB, NFC ou Bluetooth. Leur propriété déterminante est la résistance au hameçonnage : la clé vérifie l'origine du site web avant de signer quoi que ce soit, de sorte qu'une fausse page de connexion sur un domaine imité ne reçoit aucune signature valide.

Pourquoi la liaison à l'origine compte

Parce que chaque signature est liée à l'origine exacte, un identifiant capturé sur un site ne peut pas être rejoué sur un autre — ni sur le même site via un domaine usurpé. Il n'y a tout simplement rien de réutilisable à voler.

Passkeys : le chapitre actuel

Les passkeys constituent le chapitre le plus récent de cette histoire. Elles reposent sur le framework FIDO2 et son protocole WebAuthn, qui permet aux sites web de vérifier les connexions directement dans le navigateur. Une passkey remplace le secret partagé d'un mot de passe par une paire de clés cryptographiques : la clé privée reste sur votre appareil ou dans votre compte synchronisé, tandis que le site ne conserve que la moitié publique.

Ce qui change pour les connexions quotidiennes

• Rien à taper. Se connecter signifie confirmer par empreinte digitale, visage ou code PIN de l'appareil. Aucun code à recevoir, retaper ou intercepter.
• Synchronisées entre les appareils. Apple, Google et Microsoft synchronisent les passkeys via leurs services de compte ; perdre un appareil ne vous bloque donc pas.
• Aucun secret sur le serveur. Comme les sites ne conservent que des clés publiques, une fuite de base de données ne révèle rien qu'un attaquant puisse utiliser pour se connecter.

Les passkeys sont également résistantes au phishing par conception : le navigateur lie cryptographiquement chaque identifiant à l'adresse du site légitime, si bien qu'un faux site convaincant ne peut pas collecter un identifiant utilisable ailleurs.

Ce que l'histoire enseigne

Chaque génération de 2FA a négocié les mêmes trois choses différemment. Les jetons matériels étaient sécurisés mais coûteux et faciles à perdre. Les codes SMS étaient gratuits et familiers mais vulnérables à l'interception et au SIM swapping. Les applications d'authentification ont amélioré la sécurité pour un coût minime, tandis que les approbations push penchaient vers la commodité, parfois au détriment d'un jugement attentif. Les passkeys alignent enfin sécurité et utilisabilité, même si l'adoption prend du temps.

La récupération est le véritable point faible

À travers toutes les époques, les attaquants battent rarement le facteur lui-même. Ils le réinitialisent. Les flux de récupération basés sur des e-mails de secours, des questions de sécurité ou un appel téléphonique persuasif au support ont déjoué même les authentifications les plus solides. Une passkey protège peu si la récupération peut la contourner.

Coexistence, pas remplacement

Les jetons matériels, les applications d'authentification, les codes SMS et les passkeys coexisteront pendant des années. Les services, les budgets et les utilisateurs avancent tous à des rythmes différents.

À retenir en pratique

Activez la 2FA partout où elle est proposée. Préférez une passkey, une clé de sécurité ou une application d'authentification au SMS. Conservez les codes de secours hors ligne. Ensuite, revoyez vos paramètres de récupération — c'est là que la plupart des comptes tombent réellement.