Les meilleures applications 2FA 2020

Bienvenue dans le guide Cloudwards.net des meilleures applications 2FA, où nous jetterons des solutions matérielles et logicielles dans le ring pour déterminer quelle méthode règne en maître. Sur le dossier sont Google Authenticator vs Authy et YubiKey vs Kensington VeriMark.


L’authentification 2FA, ou authentification à deux facteurs, est une caractéristique courante du stockage cloud sécurisé et de la sauvegarde en ligne. Assurez-vous de consulter nos critiques de stockage dans le cloud et nos critiques de sauvegarde en ligne pour trouver une solution qui vous convient.

Vous verrez rapidement que nous préférons Authy et YubiKey dans leurs rondes respectives, mais cela ne signifie pas que Kensington VeriMark et Google Authenticator n’ont aucun mérite. En deux sections, nous comparerons ces solutions matérielles et logicielles et donnerons également une troisième mention honorable..

Avant de plonger et de regarder le bain de sang s’ensuivre, définissons l’authentification à deux facteurs et pourquoi c’est le meilleur moyen d’ajouter une couche de protection à vos comptes en ligne.

Qu’est-ce que l’authentification à deux facteurs?

L’authentification à deux facteurs, ou comme il est communément abrégé, 2FA, est une méthode de sécurisation des comptes en ligne via plusieurs cycles d’authentification. Dans le cas de 2FA, vous aurez besoin de deux facteurs pour vous connecter avec succès – quelque chose que vous savez et quelque chose que vous possédez.

Le formulaire de base utilise votre mot de passe comme premier facteur (quelque chose que vous savez) et un code envoyé par SMS ou e-mail comme deuxième facteur (quelque chose que vous possédez).

Cela rend difficile pour les pirates de pénétrer votre compte. Même s’ils peuvent déchiffrer votre mot de passe, ils ne pourront pas se connecter sans accéder à votre deuxième facteur.

C’est un processus simple, mais il y a beaucoup de technologie derrière chaque protocole. Trois des plus courants sont U2F, HOTP et TOTP. Nous allons vous donner une brève description de chacun, mais assurez-vous de consulter notre article sur ce qu’est l’authentification à deux facteurs pour plus de détails.

U2F est basé sur le matériel, avec une clé intégrée à l’appareil. La clé est générée pendant le processus de fabrication et liée à ce matériel à vie. Il vous permet d’authentifier un compte sans aucune divulgation d’informations personnelles et c’est ce que nous considérons comme le plus sécurisé.

YubiKey-Secuirty-Key

HOTP, ou mot de passe unique basé sur HMAC, est une méthode pour générer un mot de passe à usage unique pour votre compte. Ce mot de passe reste valide jusqu’à ce que vous tentiez de vous reconnecter, donc toute personne qui y aura accès et votre mot de passe pourront se connecter à votre compte. Il s’agit du protocole le plus courant pour l’authentification des e-mails et des textes.

Google-2FA

TOTP est préféré à HOTP. Il s’agit de la même méthode d’authentification, mais le «T» au début signifie basé sur le temps, ce qui signifie que ce code à usage unique expirera après un certain temps, pas seulement lorsque vous vous connecterez ensuite.

N’importe quel 2FA est meilleur que rien, mais TOTP est idéal. U2F basé sur le matériel est encore meilleur.

L’authentification à deux facteurs est-elle sûre??

Bien que 2FA contribue grandement à sécuriser vos comptes en ligne, cela ne va pas sans problèmes. Les pirates sont de petits diables adaptables et la 2FA n’est pas une nouvelle méthode de sécurité en ligne.

En bref, 2FA est sûr, mais toutes les formes de 2FA ne sont pas fabriquées de manière égale.

La plupart des sites Web ont une sorte d’authentification multifacteur intégrée. Dropbox, Google Drive et Rackspace font partie de la longue liste de sites qui le prennent en charge. Cependant, ces sites utilisent la vérification par e-mail ou SMS dans la plupart des cas, ce qui peut laisser votre pantalon numérique en panne.

Dropbox-2FA

Toutes les clés générées par cette méthode d’authentification sont HOTP, ce qui signifie qu’elles sont à usage unique et n’expirent pas tant que vous ne vous reconnectez pas. Un pirate pourrait intercepter le SMS pendant son envoi et trouver le code. Ce pirate devrait rechercher activement le SMS, mais ce n’est pas exclu.

La vérification la plus offensive des deux est la vérification par courrier électronique. Beaucoup de gens utilisent de mauvais mots de passe pour leurs comptes et, pire encore, les utilisent plusieurs fois. Si votre PayPal et votre e-mail partagent un mot de passe, c’est une promenade dans le parc pour qu’un pirate se connecte à votre compte de messagerie, trouve votre code et accède à votre PayPal.

Nous recommandons un gestionnaire de mots de passe comme Dashlane (lire notre revue Dashlane) pour lutter contre cela. Les meilleurs gestionnaires de mots de passe vous aideront à générer des mots de passe forts et uniques et à les stocker tous dans un endroit sécurisé.

Les méthodes HOTP sont plus sécurisées que votre mot de passe seul, mais elles ne sont pas sans risque. Il est important de supprimer cela avant de plonger, car les applications que nous recommandons d’utiliser à la place TOTP.

Même si le service fournit 2FA, il est préférable d’utiliser l’une de nos applications suggérées. Ces codes temporels laissent beaucoup moins de marge de manœuvre aux pirates pour s’infiltrer et violer votre compte.

Les meilleures applications 2FA

Il est temps d’exécuter nos meilleures applications 2FA. Nous recherchons quelques éléments dans une application pour la séparer directement de la 2FA normale fournie par Dropbox, Rackspace, etc..

Le plus important est que l’application utilise TOTP au lieu de HOTP. Il est plus sécurisé, ne permettant qu’une courte fenêtre aux pirates pour utiliser le code (généralement quelques secondes). Les solutions U2F sont meilleures, mais ce sont du matériel, pas des applications. Nous les aborderons dans une section distincte.

Quiconque a activé 2FA sait que le processus peut être extrêmement gênant. Entrer vos mots de passe, puis attendre (parfois des minutes) l’arrivée d’un texte n’est pas amusant.

Pour cette raison, nous recherchons la facilité d’utilisation et la vitesse. Nous voulons que nos applications 2FA génèrent rapidement un code, donc la douleur d’un deuxième facteur ne fait pas autant de mal. Nous avons entendu parler de personnes désactivant 2FA car cela a pris trop de temps, et ce n’est pas là que nous aimerions voir l’un de nos lecteurs.

Enfin, nous voulons que les applications soient gratuites. Personne ne devrait avoir à payer pour une expérience en ligne plus sécurisée, étant donné la dangerosité d’Internet. Nous l’associons à votre premier facteur, votre mot de passe. Si un service en ligne vous facturait pour définir un mot de passe, ce serait absurde, et nous ne voyons aucune différence entre cela et votre deuxième facteur.

Authy

Pour 2FA, aucune application ne se rapproche d’Authy. Il est pratique, réactif et riche en fonctionnalités, ce qui en fait un premier choix évident sur notre liste. Il est gratuit et disponible pour Windows, Mac, iOS, Android et Chrome.

Tout site prenant en charge Google Authenticator prend également en charge Authy. Vous utilisez votre téléphone pour scanner le code QR fourni par des sites tels que Amazon, Google et Facebook pour ajouter votre nouveau compte à l’interface Authy. Si vous utilisez une version non mobile de l’application, vous pouvez saisir la clé d’authentification manuellement.

Authy-QR-Code

Authy génère un code chaque fois que vous ouvrez l’application. Vous aurez 20 secondes pour vous connecter, après quoi Authy continuera et générera un nouveau code.

Vingt secondes ne sonnent pas comme une longue période, et la minuterie d’expiration du tic-tac est source d’anxiété. Après une certaine utilisation, cependant, nous aimons la brièveté de la durée. Il est facile à adapter et accélère le processus 2FA.

Authy-Dashboard

L’interface est également agréable à regarder. Authy occupe le plein écran sur votre appareil mobile pour afficher votre code, adapté au schéma de couleurs du site, votre authentification et un logo. Vos comptes sont affichés dans une rangée en bas, donc basculer entre eux est simple.

Il y a deux choses qui distinguent Authy des autres applications d’authentification: les sauvegardes et la synchronisation multi-appareils. L’une des choses intimidantes à propos de 2FA est ce qui se passe lorsque vous perdez votre appareil. Pour les méthodes rudimentaires, cela signifie être complètement verrouillé de votre compte.

Authy permet une sauvegarde chiffrée facultative de vos comptes dans le cloud. Si vous perdez votre téléphone ou ne pouvez pas accéder à Authy, vous pouvez utiliser votre mot de passe de sauvegarde pour télécharger et restaurer vos comptes.

Cela fonctionne en conjonction avec la synchronisation multi-appareils. Contrairement à de nombreuses applications 2FA, Authy est disponible sur les systèmes d’exploitation mobiles et de bureau. Vous pouvez synchroniser vos comptes sur plusieurs appareils, vous n’avez donc pas besoin de chercher votre téléphone lorsque vous vous connectez sur votre ordinateur portable. Comme les sauvegardes, il s’agit d’une fonctionnalité facultative.

Google Authenticator

Google Authenticator est un autre excellent choix pour 2FA. Authy emprunte sa liste de sites Web pris en charge, qui est volumineuse. Cependant, il ne possède pas les fonctionnalités avancées d’Authy, malgré les sites Web pris en charge et une étiquette de prix gratuite.

Cette application est uniquement mobile, vous devrez donc toujours avoir votre téléphone à portée de main. C’est une petite nuisance car la plupart des gens ont leur téléphone sur commande de toute façon. Google Authenticator est disponible pour iOS et Android.

L’interface est plus pertinente que celle d’Authy. Au lieu d’utiliser tout l’écran avec un seul code, Authenticator répertorie vos comptes, chacun avec un code temporel. Il n’a pas le flair d’Authy, mais ça marche quand même.

Google-Authenticator-Dashboard
© Cloudwards.net

Comme Authy, Google Authenticator utilise TOTP, ce qui signifie que vous disposez d’une petite fenêtre pour utiliser la clé générée avant son expiration. Il génère des clés lorsque vous appuyez sur des éléments dans votre fenêtre, ce qui est étrange en sortant de l’interface d’Authy.

L’ajout de nouveaux comptes est le même processus. Lorsque vous installez l’application, un écran s’affiche pour ajouter de nouveaux comptes via un code QR ou en entrant manuellement la clé de sécurité.

Google-Authenticator-Manual-Entry

Google Authenticator ralentit derrière Authy dans deux domaines. La forme classique de 2FA n’offre pas de synchronisation ni de sauvegarde sur plusieurs appareils pour votre compte. La synchronisation multi-appareils fait mal du point de vue de la facilité d’utilisation, mais n’est pas aussi préoccupante que le manque de sauvegardes.

Il existe une forme de restauration de compte, mais elle est plus désuète que la mise en œuvre d’Authy. Authenticator vous donne une liste de codes de sauvegarde que vous pouvez utiliser si vous perdez votre appareil. C’est une forme de restauration réalisable, mais pas aussi élégante qu’Authy.

Le transfert vers un autre appareil est également un problème. Étant donné qu’Authenticator est lié à un seul appareil, vous devez le modifier manuellement dans vos paramètres Google lorsque vous changez de téléphone. Le passage à un nouvel appareil produit uniquement un nouveau jeton pour Google, pas pour tous les comptes dans Authenticator.

Vous devrez désactiver et réactiver manuellement 2FA pour ces comptes.

Il est difficile de recommander Google Authenticator sur Authy. Bien que l’application fasse le travail, elle ne vient pas avec les cloches et les sifflets ou une excellente expérience utilisateur qu’Authy fait. Cependant, comme les deux sont gratuits, il vaut la peine de les télécharger et de voir ce que vous aimez le plus.

Mention honorable: LastPass Authenticator

LastPass Authenticator est un outil distinct de LastPass (lire notre critique LastPass), l’une des options gratuites les mieux notées. Il se situe entre Authy et Google Authenticator, avec des sauvegardes et une synchronisation multi-appareils, mais une interface datée.

Ce n’est pas aussi daté, cependant, que Google Authenticator. Il affiche une liste de comptes similaire, compatible avec les codes TOTP. Lorsque vous appuyez dessus, le minuteur s’affiche pendant trois minutes. Vous aurez autant de temps pour vous connecter au site et saisir votre code.

Vous avez également la même liste d’applications prises en charge. Tout ce qui propose Google Authenticator 2FA peut être saisi dans LastPass Authenticator. Tirez le code QR et scannez-le avec votre téléphone ou entrez le numéro d’authentification pour ajouter un compte.

Une fonctionnalité qui distingue LastPass Authenticator est la connexion par simple contact. Pour certains comptes, vous pouvez appuyer sur pour confirmer dans l’application comme votre deuxième facteur, au lieu de saisir le code temporel. La liste des sites pris en charge comprend les meilleures applications de prise de notes telles que Evernote et Google Keep.

LastPass-Authenticator-Dashboard

D’autres inclusions notables sont Amazon, Facebook et Dropbox.

Malheureusement, LastPass Authenticator ne s’intègre pas à LastPass. Bien que nous ne sachions pas comment la technologie fonctionnerait, ce serait bien si LastPass pouvait importer les comptes depuis votre coffre-fort. Toute façon de lier les deux mettrait cet authentificateur au-dessus du reste.

Il fait une apparition dans notre fente de mention honorable pour cette raison. LastPass Authenticator ne fait rien de plus que ce que Google Authenticator ou Authy peuvent faire. C’est juste une autre option.

Meilleures clés matérielles 2FA

Si vous vous concentrez sur la sécurité, l’U2F basé sur le matériel est la meilleure solution. Nous comparerons le logiciel au matériel à la fin de cette section, mais pour l’instant, nous allons utiliser les meilleures clés matérielles 2FA.

Une fois un objet physique introduit, les critères changent. Au lieu de la facilité d’utilisation, nous considérons la taille comme un facteur principal. Nous voulons de petites clés matérielles qui ne prennent pas beaucoup de place ou ne courent pas le risque d’être cassées dans un incident d’ordinateur portable.

De plus, nous recherchons des clés solides. Habituellement, l’un de ces appareils vivra sur un trousseau de clés, se balançant avec d’autres morceaux de métal. Il doit résister à tout ce que vos clés peuvent battre (ou sortir).

Bien que la facilité d’utilisation ne soit pas notre principal facteur, c’est une préoccupation. Les clés basées sur le matériel contribuent à la sécurité, mais sont également accompagnées d’une convivialité. Les clés compatibles NFC et l’authentification automatique sont des choses que nous recherchons.

Pour toutes les clés matérielles supplémentaires apportent, elles portent également une étiquette de prix. Comme pour toutes nos évaluations de prix, nous recherchons la valeur par rapport au coût. Si la clé a suffisamment de fonctionnalités, le coût n’est pas aussi pertinent.

YubiKey

YubiKey est la meilleure recommandation pour les clés matérielles 2FA. C’est une solution si populaire que le nom est devenu synonyme d’authentification matérielle U2F. Bien que les clés ne soient pas bon marché, YubiKey satisfait tous nos critères avec les honneurs.

Nous utilisons YubiKey comme terme générique pour toutes les clés d’authentification proposées par Yubico. Il existe plusieurs options différentes, avec des changements dans le facteur de forme, la méthode d’authentification et le type de connexion. Pour notre aperçu, nous allons regarder la YubiKey 4.

Série YubiKey-4

Cette clé de base est proposée en quatre versions. Il existe des clés pour USB-C et USB-A en taille réelle ou nano. Les nano tailles protègeront contre la chute d’un ordinateur portable, mais semblent avoir besoin d’une paire de pinces pour sortir.

YubiKey-4-Nano

Si vous optez pour une variante pleine grandeur, la chute ne devrait pas poser beaucoup de problèmes. Les YubiKeys sont résistants. Les clés n’ont ni piles ni pièces mobiles et sont conçues pour résister à l’eau, à la saleté et à la force brute.

Nous avons parlé du protocole FIDO U2F pour ces clés matérielles, mais YubiKey prend en charge de nombreux protocoles différents. Vous avez OTP, HOTP, TOTP, Challenge and Response, PIV Smart Card, Open PGP, U2F et mots de passe statiques.

Les mots de passe statiques sont l’inclusion la plus intéressante. Il est destiné aux systèmes hérités qui ne peuvent pas être réparés avec une deuxième forme d’authentification. Il génère aléatoirement un mot de passe statique de 38 caractères pour toute connexion d’application.

Cette flexibilité est ce qui rend YubiKey spécial. C’est le choix de facto pour les individus soucieux de leur sécurité, les journalistes qui protègent leur vie privée et les entreprises qui souhaitent ajouter une autre couche de protection à leur infrastructure. Google utilise même YubiKey pour sécuriser les comptes de ses employés.

Yubico propose également YubiKey NEO, une clé compatible NFC pour les appareils mobiles. Vous pouvez appuyer dessus à l’arrière de votre téléphone une fois qu’il est configuré pour s’authentifier automatiquement.

Connexion YubiKey-NEO
© Cloudwards.net

YubiKey prend en charge de nombreuses applications prêtes à l’emploi, notamment Windows, macOS, Twitter, Facebook et Google. En dehors de ces comptes, nous vous recommandons de l’utiliser avec un gestionnaire de mots de passe. Certains de ceux pris en charge sont Dashlane, LastPass et Keeper (lire notre critique Keeper).

Vous pouvez également utiliser YubiKey avec un VPN, mais cette méthode de 2FA est destinée à un VPN dans un environnement d’entreprise. Yubico a un guide sur la façon d’utiliser YubiKey avec un VPN d’entreprise en utilisant une solution personnalisée.

Empreinte digitale USB Kensington VeriMark

Kensington est un grand nom en matière de sécurité. L’empreinte digitale USB VeriMark remplit une fonction similaire à YubiKey, mais n’a pas la personnalisation. Malgré cela, il ajoute un scanner d’empreintes digitales à l’équation, protégeant contre une clé perdue ou volée.

C’est un design compact, légèrement plus grand que l’offre nano de Yubico. Le bout de l’authentificateur USB a le scanner d’empreintes digitales avec une lisibilité complète à 360 degrés et une protection anti-usurpation. Le taux d’échec est également faible, avec un faux rejet à 3% et une fausse acceptation à deux dix millièmes de pourcentage..

Kensington-VeriMark-USB

Le VeriMark ne prend en charge que U2F, il n’est donc pas aussi flexible que le YubiKey. Cependant, ce protocole est idéal dans la plupart des situations. La clé est uniquement Windows, avec prise en charge de la connexion au compte sur Windows 10, 8.1 et 7. Il est également livré avec un gestionnaire de mots de passe Windows, mais ce n’est pas passionnant et uniquement pris en charge sur Windows 10.

Nous vous recommandons d’utiliser un autre gestionnaire de mots de passe avec cette clé, et il semble que Kensington le ferait également. L’appareil prend en charge les principaux gestionnaires de mots de passe comme Dashlane, LastPass, Keeper et RoboForm (lire notre revue RoboForm).

La clé est en plastique, de taille et de construction similaires à celles d’un récepteur Bluetooth USB, bien que légèrement plus grosse sur le backend. Il ne vient pas avec un trou de serrure intégré à l’appareil comme le fait YubiKey.

Au lieu de cela, il utilise un couvercle pour attacher à votre trousseau de clés. Le couvercle est également en plastique, mais protège la connexion des éléments.

Porte-clés USB Kensington-VeriMark

Pourtant, ce n’est pas la solution idéale qu’est YubiKey. Le VeriMark peut tomber du couvercle s’il est heurté et le scanner d’empreintes digitales peut être caché de l’extérieur. D’un point de vue physique, ce n’est pas aussi durable ou sécurisé que le YubiKey.

Son petit facteur de forme protège contre une chute d’ordinateur portable, bien que.

Le Kensington VeriMark n’est pas aussi robuste que le YubiKey, mais ajoute une couche de sécurité avec le scanner d’empreintes digitales. Il s’agit d’un moyen simple et sécurisé de 2FA qui vous permet d’ajouter une entrée biométrique à Windows et à vos comptes en ligne. Les utilisateurs de Mac et Linux sont mieux avec la YubiKey, cependant.

La compatibilité avec Windows est l’un des points forts de la clé. Cela rend la connexion et l’utilisation de Windows une expérience fluide avec la prise en charge de Windows Hello. C’est un petit bord au-dessus de la YubiKey qui garantit un deuxième emplacement pour les clés matérielles.

Mention honorable: Thetis

Thetis n’est pas la meilleure clé U2F disponible. Nous utiliserions YubiKey ou VeriMark dessus si l’option leur était donnée. Il fait de notre liste une mention honorable car il représente moins de la moitié du prix de l’un de ces appareils et remplit une fonction similaire.

Il s’agit d’une clé de sécurité FIDO U2F, ce qui signifie que vous ne disposez pas des différents protocoles ou méthodes de cryptage proposés par YubiKey. Cependant, pour un appareil utilisé strictement pour 2FA, il suffit.

Toute application prenant en charge l’authentification U2F est un jeu équitable pour Thetis. Certains sites Web incluent Google, Facebook, Dropbox, Github et Salesforce. Vous pouvez également utiliser la clé pour vous connecter à Windows, macOS et Linux.

La conception est similaire à une clé USB rotative avec un trou pour porte-clés en haut. Le carénage est en aluminium, mais la clé est en plastique semi-opaque.

Thétis

Il a à peu près la même rigidité qu’une clé USB, ce qui signifie qu’il n’est pas durable. Il ne court pas le risque de tomber de votre trousseau de clés comme le Kensington VeriMark, mais pourrait se casser en cas de pivotement ou de chute accidentel dans un ordinateur portable.

Pour une clé bon marché, il n’y a pas grand-chose à redire avec Thetis. Il renforce la sécurité d’une solution logicielle sans trop coûter cher. Si vous cherchez une solution commerciale ou quelque chose avec quelques options supplémentaires, nous recommandons toujours YubiKey, cependant.

Matériel ou logiciel?

Maintenant que nous vous avons montré nos premiers choix dans les domaines matériel et logiciel, la question devient celle que vous devez choisir. Il y a des avantages et des inconvénients à la fois, mais pour des raisons de sécurité, nous recommandons une solution basée sur le matériel.

Vous avez accès à un plus grand nombre de protocoles, dont le plus important est U2F. Le code est incrusté dans la clé, ce qui signifie qu’il est impossible pour quiconque d’authentifier vos comptes sans y accéder.

Il est peu probable que vous perdiez également la clé, au moins, plus improbable que de perdre votre téléphone. Ces clés sont destinées à vivre à côté de vos clés de maison et de voiture, ce qui signifie que si vous les perdez, vous avez probablement plus à vous soucier que vos comptes en ligne. Si vous le perdez, dissociez-le de vos comptes et ajoutez-en un nouveau.

La sécurité supplémentaire a un prix, c’est là que les solutions logicielles progressent. Si vous n’utilisez pas de 2FA ou que vous vous appuyez sur des SMS et des e-mails, Authy ou Google Authenticator sont toujours des mises à niveau. Ce n’est pas aussi sûr qu’une solution matérielle, mais pour les budgets ultra-serrés, c’est mieux que rien.

Il est clair que les clés matérielles sont une méthode plus sécurisée et plus pratique de 2FA. Le seul facteur restrictif est le prix. Si votre portefeuille n’a pas l’argent pour débourser, allez logiciel, mais si vous pouvez cracher les 50 $ ou plus, vous devriez utiliser une clé matérielle.

Dernières pensées

L’authentification à deux facteurs, malgré tous ses problèmes, vaut toujours mieux que non. Nous ne recommandons pas la vérification par SMS ou par e-mail, mais une application mobile ou une clé matérielle U2F fonctionnera pour sécuriser vos comptes en ligne.

Parmi les options présentées, nous recommandons globalement YubiKey, Authy occupant la deuxième place. Ces deux solutions sont leaders dans leurs domaines respectifs et offrent une couche supplémentaire de sécurité et de commodité à deux prix différents.

Cependant, 2FA n’est qu’une étape dans la sécurité. Il existe de nombreuses façons de vous protéger en ligne, du stockage cloud sécurisé et de la sauvegarde en ligne à l’utilisation d’un VPN. Consultez nos listes du meilleur stockage cloud, de la meilleure sauvegarde en ligne et du meilleur VPN pour vous assurer de couvrir toutes vos bases numériques.

Quelle méthode de 2FA utilisez-vous? Faites-le nous savoir dans les commentaires ci-dessous et, comme toujours, merci d’avoir lu.

Kim Martin Administrator
Sorry! The Author has not filled his profile.
follow me
    Like this post? Please share to your friends:
    Adblock
    detector
    map