YubiKey : rôle et protection des comptes
Auteur : Rédaction Domeny.ForSale Publié le
En bref : YubiKey est une petite clé de sécurité matérielle de Yubico qui sert à confirmer la connexion aux comptes et aux services. Avec FIDO2 ou U2F, elle protège plus efficacement du phishing que les codes à recopier, car elle vérifie que l’authentification correspond au bon site. Deux clés ne sont pas indispensables, mais une clé de secours réduit nettement le risque de perdre l’accès si la clé principale est perdue ou endommagée.
Qu’est-ce que YubiKey et contre quoi protège-t-elle ?
YubiKey ressemble à une petite clé USB, mais ne sert pas à stocker des documents. Selon le modèle, vous la branchez sur le port USB adapté ou vous l’approchez du téléphone pour communiquer par NFC, une technologie de communication à courte portée. Vérifiez les connecteurs exacts et les fonctions prises en charge avant l’achat.
La clé peut servir de second facteur d’authentification. Elle apporte une preuve d’identité supplémentaire au mot de passe : la personne qui tente de se connecter doit non seulement connaître ce secret, mais aussi disposer de l’appareil physique. Certains services permettent également d’utiliser la clé pour se connecter sans mot de passe.
Son principal intérêt est de protéger contre la prise de contrôle d’un compte, notamment par phishing, ou hameçonnage : cette technique consiste à imiter une véritable page de connexion. Cela ne signifie pas que l’ordinateur est entièrement protégé : YubiKey n’est pas un antivirus et ne protège pas automatiquement contre les logiciels malveillants ni contre le détournement d’une session déjà active.
Comment fonctionne la connexion avec YubiKey ?
Dans un usage courant, la clé utilise FIDO2 ou son prédécesseur U2F, des standards qui permettent de confirmer l’identité à l’aide de la cryptographie. Lors de l’ajout de la clé à un compte, une paire de clés cryptographiques est créée. Le service reçoit la partie publique, tandis que la partie privée reste sur l’appareil.
À la connexion, le service envoie un défi auquel YubiKey fournit une réponse signée. Le navigateur et la clé lient cette opération au bon site. Un faux site ne peut donc pas simplement intercepter cette réponse et s’en servir pour se connecter au véritable service.
Pour l’utilisateur, la procédure se déroule généralement ainsi :
- Vous ouvrez le site du service et lancez la connexion.
- Si la configuration l’exige, vous saisissez votre mot de passe.
- Vous branchez YubiKey ou l’approchez du téléphone.
- Si cela vous est demandé, vous saisissez le code PIN de la clé et touchez sa zone de contact.
Le simple contact confirme généralement la présence physique de l’utilisateur, sans vérifier son identité par empreinte digitale. La biométrie est une fonction de certains modèles, pas de toutes les clés YubiKey.
FIDO2 permet également de stocker sur une clé compatible des passkeys, ou clés d’accès, qui permettent de se connecter sans mot de passe traditionnel. La disponibilité de cette option dépend du modèle, du service et de la configuration.
Quels avantages par rapport aux SMS et aux applications ?
Un code reçu par SMS ou généré par une application d’authentification peut être saisi sur un faux site, puis immédiatement utilisé par un attaquant. Avec FIDO2 ou U2F, YubiKey ne repose pas sur la recopie d’un tel code et protège donc mieux contre ce scénario.
Par exemple, vous recevez un message affirmant que votre messagerie a été bloquée. Le lien mène à une copie convaincante de la page de connexion. Si vous y saisissez votre mot de passe et le code actuel de votre application, l’escroc peut tenter de prendre le contrôle du compte. L’authentification FIDO ne fonctionnera pas sur cette copie comme sur le véritable site, car son adresse est différente.
Toutes les fonctions de YubiKey n’offrent toutefois pas la même protection. Certains modèles prennent aussi en charge les codes à usage unique et d’autres mécanismes. La résistance au phishing décrite ci-dessus concerne la connexion par FIDO2 ou U2F, et non tous les usages de l’appareil.
La clé est particulièrement utile pour protéger votre messagerie principale, votre gestionnaire de mots de passe, vos comptes administrateur et l’interface de votre bureau d’enregistrement de domaines. La prise de contrôle de la messagerie peut permettre de réinitialiser les mots de passe d’autres services. Celle du compte de gestion des domaines peut permettre de modifier les paramètres qui dirigent le trafic vers le site et la messagerie.
Faut-il avoir deux clés ?
Une seule clé suffit généralement pour utiliser un service, mais en prévoir deux est une précaution raisonnable. Vous utilisez la première au quotidien et conservez la seconde dans un autre endroit sûr. Les transporter sur le même trousseau ne protège pas contre leur perte simultanée.
La clé de secours doit être ajoutée séparément à chaque compte. Elle ne devient pas automatiquement une copie de la première, et l’achat d’une seconde clé après la perte d’accès ne rétablira pas les enregistrements précédents. Vérifiez également que le service permet d’enregistrer plusieurs clés.
Si vous ne possédez qu’une seule clé YubiKey, prévoyez un autre moyen de récupérer l’accès à votre compte. Il peut s’agir de codes de récupération conservés en dehors de ce compte ou d’une autre méthode autorisée par le service. Une méthode de secours moins sûre peut toutefois affaiblir la protection de l’ensemble du compte.
Si vous perdez votre clé, connectez-vous avec la méthode de secours et supprimez l’appareil perdu dans les paramètres de sécurité. La perte de la clé ne signifie pas nécessairement que le compte a été compromis, mais il ne faut pas la laisser active comme méthode de connexion.
Comment choisir et configurer YubiKey en toute sécurité ?
Consultez d’abord la documentation officielle de vos services les plus importants pour vérifier qu’ils prennent en charge les clés de sécurité, ainsi que la connexion sans mot de passe si vous souhaitez l’utiliser. Comparez ensuite, dans la documentation de Yubico, les connecteurs, la prise en charge du NFC, les standards et la compatibilité du modèle choisi avec votre téléphone et votre ordinateur. Un connecteur adapté à l’appareil ne garantit pas à lui seul la prise en charge de toutes les fonctions.
Commencez la configuration par un compte important. Ajoutez la clé principale, enregistrez la clé de secours et conservez les codes de récupération disponibles. Avant de désactiver d’autres méthodes, vérifiez dans une fenêtre distincte du navigateur que vous parvenez à vous connecter avec chaque clé et à utiliser la procédure de secours prévue.
À lire aussi : Qu’est-ce que HAproxy ?
À lire aussi
