Twitter : la double authentification arrive, mais pas pour tous

Pas de SMS, pas de sécurité renforcée

Le 23 mai 2013 à 08h15

3 min

Internet

Après Dropbox, c'est au tour de Twitter d'activer l'authentification en deux étapes pour ses utilisateurs. Cette méthode permet de mieux sécuriser votre compte en exigeant, en plus de votre mot de passe, un code envoyé via SMS. Malheureusement, les opérateurs français ne semblent pas encore pris en charge par le réseau social... il faudra donc être patient.

Suite à une fuite de données l'année dernière, Dropbox avait alors décidé de mettre en place une double authentification. Deux méthodes sont disponibles : par SMS ou bien via une application générant une clé de sécurité, comme Google Authenticator par exemple.

Twitter attaqué en février, la double authentification en juin

Début février c'était au tour de Twitter d'être la cible d'une attaque d'envergure dont les conséquences étaient relativement lourdes : des fuites de données pour 250 000 comptes. Les utilisateurs impactés avaient été contactés et, par sécurité, les mots de passe réinitialisés. Plus récemment, le compte d'Associated Press se faisait pirater, ce qui avait été jusqu'à ébranler la bourse à cause de la fausse annonce de deux explosions à la Maison Blanche.

Afin de renforcer la sécurité de ses comptes utilisateurs, Twitter vient de mettre en place une double vérification, via l'envoi d'un SMS seulement comme seconde authentification. Un choix que regretteront surement certains, d'autant qu'il faut que votre opérateur soit pris en charge... ce qui n'est pas encore le cas partout dans le monde.

Un code via SMS et les opérateurs français pas encore supportés... dommage

En effet, afin d'activer la double authentification, deux prérequis sont indispensables : disposer d'une adresse mail et d'un numéro de téléphone vérifiés. Mais, ce dernier point pose souci en France puisque les quatre opérateurs qui disposent de leur propre réseau (Bouygues Telecom, Free Mobile, Orange et SFR) ne sont pas encore en « connexion » avec Twitter.

Si vous pouvez dépasser cette étape, il faudra ensuite vous rendre dans les paramètres de votre compte et cocher la case Sécurité du compte- Demander un code de vérification lorsque je me connecte. Pour les applications tierces, il est possible de générer un code temporaire afin de s'identifier et de les autoriser à accéder à votre compte.

Le site de micro-blogging en profite, là encore, pour rappeler l'importance de choisir un mot de passe suffisamment complexe, ce qui est la base même de la sécurité et pas que sur Twitter. Pour rappel, vous trouverez un sujet sur la gestion des mots de passe sur notre forum, n'hésitez pas à le consulter.

Voici pour finir une vidéo de présentation :

Commentaires (22)

molybdène Abonné

Le 23/05/2013 à 09h05

Aegis1383 a écrit :

Je ne sais pas sur Twitter (mais il n’y a pas de raison qu’il en soit autrement), en règle générale, il est possible d’obtenir un code maître ou une série de codes maîtres à imprimer et conserver en lieu sûr.

Il suffit de se connecter avec l’un de ces codes maîtres puis changer son mot de passe et le numéro de téléphone (sinon ça sert à rien " />)

Le code maître ne déclenche pas l’envoi du SMS.

Donc, ça revient à reporter la sécurité du compte sur un mot de passe uniquement (le code maitre).

Du coup, autant n’utiliser qu’un mot de passe que l’on retient plutôt qu’un mot de passe noté sur une feuille.

Aegis1383

Le 23/05/2013 à 09h09

molybdène a écrit :

Donc, ça revient à reporter la sécurité du compte sur un mot de passe uniquement (le code maitre).

Du coup, autant n’utiliser qu’un mot de passe que l’on retient plutôt qu’un mot de passe noté sur une feuille.

Absolument, c’est une possibilité aussi.

Le mot de passe maître est juste un “super” mot de passe assez long et compliqué.

S’il est possible de retenir un mot de passe long et compliqué, pas de souci, pas besoin de double auth.

La double auth est, disons, un bon compromis pour les gens qui se contentent d’un mot de passe à 8 ou 10 caractères qu’ils peuvent facilement mémoriser.

On va dire, c’est un 2ème rempart quand le 1er rempart d’un mot de passe faible tombe.

anonyme_69fdc79a4b020ce61113b2e6caed371d

Le 23/05/2013 à 09h09

Groumfy a écrit :

Et surtout, ça reporte la sécurité chez l’opérateur de télécom. Mais si tout le monde se gausse avec la double authentification, moi je veux bien …

A force, les vrais pirates vont s’intéresser aux opérateurs, et ça sera le jackpot.

D’où l’intérêt d’un Google Authenticator où rien ne passe par l’opérateur, car tu as saisi/flashé la clef secrète directement dans le tél.

dj0- Abonné

Le 23/05/2013 à 09h33

molybdène a écrit :

Donc, ça revient à reporter la sécurité du compte sur un mot de passe uniquement (le code maitre).

Du coup, autant n’utiliser qu’un mot de passe que l’on retient plutôt qu’un mot de passe noté sur une feuille.

Aegis1383 a écrit :

Absolument, c’est une possibilité aussi.

Le mot de passe maître est juste un “super” mot de passe assez long et compliqué.

S’il est possible de retenir un mot de passe long et compliqué, pas de souci, pas besoin de double auth.

La double auth est, disons, un bon compromis pour les gens qui se contentent d’un mot de passe à 8 ou 10 caractères qu’ils peuvent facilement mémoriser.

On va dire, c’est un 2ème rempart quand le 1er rempart d’un mot de passe faible tombe.

" />

Les codes maîtres ne sont pas des super mot de passe mais des super code pour la deuxième authentification : login && password && (standard code || master code)

loic_1715

Le 23/05/2013 à 09h38

molybdène a écrit :

Et si on perd son portable, on fait comment pour récupérer notre compte ?

Sous Google où il y a déjà cette option, tu as un numéro standard (celui qui sert la plupart du temps), un numéro de secours et un code de secours. Faut vraiment pas être chanceux pour tout perdre d’un coup.

Eagle1

Le 23/05/2013 à 09h50

j’espère qu’il ne vont pas forcer à tous le faire.

j’ai pas l’intention de recevoir des sms autre que ma banque.

bzc

Le 23/05/2013 à 09h51

Groumfy a écrit :

Et surtout, ça reporte la sécurité chez l’opérateur de télécom. Mais si tout le monde se gausse avec la double authentification, moi je veux bien …

A force, les vrais pirates vont s’intéresser aux opérateurs, et ça sera le jackpot.

Non … dans double authentification il y a “double”. Ça rajoute un niveau de sécurité qui en effet repose sur l’opérateur dans le cas des SMS. Mais si l’opérateur est compromis il faut quand même avoir ton mot de passe.

Aegis1383

Le 23/05/2013 à 10h05

Dans l’absolu, moi je ne suis pas contre, bien au contraire…

Surtout que certains sites permettent de reconnaître, via un cookie ou un jeton, un ordinateur dit “fiable”. Ainsi, la 2ème auth n’est pas demandée à chaque fois sur cet ordi (pratique en cas de connexions fréquentes).

Quoiqu’il en soit, c’est toujours une fonction facultative donc bon…

Si ça devient obligatoire, là oui, ça craint. Mais je ne pense pas que les sites mettent une telle obligation de sitôt… " />

dj0- a écrit :

" />

Les codes maîtres ne sont pas des super mot de passe mais des super code pour la deuxième authentification : login && password && (standard code || master code)

My bad… merci pour la rectification " />

Groumfy

Le 23/05/2013 à 10h19

bzc a écrit :

Non … dans double authentification il y a “double”. Ça rajoute un niveau de sécurité qui en effet repose sur l’opérateur dans le cas des SMS. Mais si l’opérateur est compromis il faut quand même avoir ton mot de passe.

Je parle de la perte ou du vol d’un smartphone.

Hypothèse : le mot de passe de messagerie est enregistré dans un smartphone à l’écran déverrouillé.

Du coup, on peut lancer des opérations de récupération du mot de passe sur les sites. Le mail de récup arrive dans la boite, et roule.

Antwan

Le 23/05/2013 à 10h38

A noter que la façon d’authentifier est assez ridicule. Il faut envoyer un sms surtaxé pour valider son numéro !

Il n’y a pas de petites économies… " />

(En plus quand on sait qu’on peut spoofer l’MSISDN d’un SMS, cette façon de faire fait assez rigoler. C’est comme si on demandait d’envoyer un mail aux sites sur lesquels on veut s’inscrire pour vérifier qu’on est bien titulaire de l’adresse… Bidon.)

aypierre

Le 23/05/2013 à 11h34

Pourquoi ne pas proposer une solution comme google avec une appli type secureId ? Ca évite les sms, et pas besoin de filer son numéro.

Mudman

Le 23/05/2013 à 12h44

C’est une technique pour récupérer le numéro de téléphone, rien de plus.

Thald'

Le 23/05/2013 à 08h18

Je suis pas pressé.

Ils peuvent se gratter pour que je lâche mon numéros de mobile.

tout comme mon nom, prénom, groupe sanguin, et un prélèvement ADN " />

vince120 Abonné

Le 23/05/2013 à 08h20

Les opérateurs français ne sont pas supportés parce qu’on est trop en avance sur toute la technologie© " />

molybdène Abonné

Le 23/05/2013 à 08h28

Et si on perd son portable, on fait comment pour récupérer notre compte ?

Groumfy

Le 23/05/2013 à 08h37

molybdène a écrit :

Et si on perd son portable, on fait comment pour récupérer notre compte ?

Et surtout, ça reporte la sécurité chez l’opérateur de télécom. Mais si tout le monde se gausse avec la double authentification, moi je veux bien …

A force, les vrais pirates vont s’intéresser aux opérateurs, et ça sera le jackpot.

sydbarrett55

Le 23/05/2013 à 08h45

Perso, je pourrais plus me passer de l’application Google Authenticator " />

C’est vraiment trop pratique.

Florent_ATo

Le 23/05/2013 à 08h46

Groumfy a écrit :

Et surtout, ça reporte la sécurité chez l’opérateur de télécom. Mais si tout le monde se gausse avec la double authentification, moi je veux bien …

A force, les vrais pirates vont s’intéresser aux opérateurs, et ça sera le jackpot.

Et quand on sais quelles passoires servent de SI chez les opérateurs, y’a de quoi trembler.

Thald’ a écrit :

Je suis pas pressé.

Ils peuvent se gratter pour que je lâche mon numéros de mobile.

tout comme mon nom, prénom, groupe sanguin, et un prélèvement ADN " />

Espérons que Twitter propose une solution à la Google ou Blizzard à terme :)

vince120 Abonné

Le 23/05/2013 à 08h47

Et puis avec le report sur le numéro, au moins, si qqn vole un portable, il peut tout récupérer…

Et le plus fort, c’est qu’avec la double auth, on est sûr que “une blonde qui twitt” est bien la responsable de l’accident :http://fr.news.yahoo.com/vante-davoir-renvers%C3%A9-cycliste-twitter-164705191.h…

Aegis1383

Le 23/05/2013 à 08h57

molybdène a écrit :

Et si on perd son portable, on fait comment pour récupérer notre compte ?

Je ne sais pas sur Twitter (mais il n’y a pas de raison qu’il en soit autrement), en règle générale, il est possible d’obtenir un code maître ou une série de codes maîtres à imprimer et conserver en lieu sûr.

Il suffit de se connecter avec l’un de ces codes maîtres puis changer son mot de passe et le numéro de téléphone (sinon ça sert à rien " />)

Le code maître ne déclenche pas l’envoi du SMS.

“Et puis avec le report sur le numéro, au moins, si qqn vole un portable, il peut tout récupérer… ”

Nope. Il faudrait pour ça que le gars qui a volé le portable ait aussi le mot de passe du compte. Ca fait beaucoup, non ? ;-)

Le seul truc qu’il recevra quand je me connecterai à mon compte, c’est le SMS avec un code à 4 chiffres. Il saura, certes, que j’essaie d’accéder à mon compte en ce moment, mais c’est tout. D’où l’intérêt alors du code maître pour changer tout ça…

RaYz

Le 23/05/2013 à 09h01

molybdène a écrit :

Et si on perd son portable, on fait comment pour récupérer notre compte ?

Blocage de carte SIM. Envoie de la nouvelle carte SIM et voilà.

Thald'

Le 23/05/2013 à 09h04

Florent_ATo a écrit :

Espérons que Twitter propose une solution à la Google ou Blizzard à terme :)

Même pas. Je donne toujours que des conneries.

Jean cule, 06 65 54 43 21, 1 Rue de Rivoli 75001 Paris.

Hop là.