Code OTP : l’authentification forte par SMS

L’apparition du code OTP constitue une véritable révolution en matière de sécurité et d’authentification. La récente augmentation du nombre d’entreprises qui changent de modèle pour travailler à domicile et l’évolution du commerce en ligne ont soulevé de nouvelles questions sur la sécurité des données et des réseaux. La double authentification, généralement effectuée par le biais d’un OTP (acronyme de « one time password » en anglais), reste l’une des meilleures méthodes pour sécuriser un compte au moment de la connexion.

Définition de mot de passe à usage unique

Un OTP, ou mot de passe à usage unique en français, est une méthode de connexion à un compte utilisateur qui nécessite la saisie d’un code utilisable une seule fois.

Les mots de passe à usage unique sont des codes numériques générés de manière aléatoire lors de chaque authentification.

Ils sont généralement programmés pour être basés sur le temps (TOTP). Cela signifie qu’ils sont valables uniquement pendant un intervalle de temps limité, qui est déterminé par le système créateur du code.

Une fois saisi ou quand le temps de validité s’est écoulé, le code OTP devient inutilisable.

Il ajoute donc une couche supplémentaire de sécurité, car le mot de passe généré correspond à un nouvel ensemble de chiffres aléatoires à chaque tentative d’authentification. Il est donc impossible de le deviner.

Code OTP : Comment se fait l’envoi de la clé par SMS ?

Le code OTP fonctionne grâce à un algorithme de cryptographie symétrique. Les deux parties, l’émetteur et le récepteur, partagent des informations et les comparent. Si les informations récupérées auprès de chaque partie sont identiques, la vérification via OTP est réussie.

Dans le cas d’un code OTP envoyé par SMS, le processus backend se déroule de la façon suivante :

Le serveur agit comme émetteur. Il crée une clé secrète, qui est un facteur fixe.
Le serveur partage la clé secrète avec le service qui génère l’OTP.
Un code d’authentification cryptographe est généré à l’aide de la clé secrète et du facteur fixe. Dans le cas d’un TOTP, il s’agit de l’heure à laquelle la clé a été obtenue.
Le code généré est tronqué de façon dynamique pour le délivrer à l’utilisateur final.
La partie réceptrice, qui est en train de s’identifier, reçoit un code de sécurité numérique ou alphanumérique court et facile à saisir.

De l’autre côté, le processus utilisateur se déroule de la manière suivante :

L’utilisateur saisit ses identifiants habituels, généralement son adresse mail et son mot de passe.
Le système l’envoie vers une nouvelle fenêtre où il lui demande de saisir un code OTP.
Si l’utilisateur a enregistré son numéro de téléphone portable, il reçoit immédiatement le code par SMS. Dans le cas contraire, il doit saisir son numéro de téléphone à ce moment-là.
L’utilisateur reçoit un code par SMS et le saisit dans le champ d’authentification.
Il accède ainsi à son compte.

Code OTP : pourquoi utiliser une clé de sécurité ?

Protection contre l’usurpation d’identité en ligne

L’authentification par SMS avec un OTP est une méthode d’authentification forte. Pour que les cyber criminels trouvent les deux facteurs d’authentification, il leur faudrait intervenir sur l’ordinateur et sur le téléphone portable de l’utilisateur en même temps.

Le processus de connexion reste donc protégé, et dans le cas où l’utilisateur perd son mot de passe, personne ne peut accéder à son compte sans la clé OTP, qui représente la deuxième couche de sécurité du compte.

Intégration et déploiement faciles

Les développeurs peuvent intégrer ce système de façon quasi instantanée grâce à une clé API.

Plus de problèmes de sécurité liés aux mots de passe

Les mots de passe sont une méthode de protection dépassée et très vulnérable. Malgré la mise en place de meilleures pratiques par les développeurs de sites Web et d’applications, l’utilisateur final se montre parfois réticent à utiliser des générateurs de mot de passe ou à créer des mots de passe sécurisés.

En outre, sauvegarder les mots de passe sur un navigateur ouvre la porte aux cyberattaques. Ils se servent du cache du navigateur pour voler l’identité de l’utilisateur.

Ces problèmes sont surmontables grâce à la mise en place de l’authentification à deux facteurs. Et ce, lors de la connexion au compte.

Utilisation sans tracas

Les utilisateurs préfèrent une authentification rapide et transparente : les SMS de vérification sont donc la solution idéale.

De plus, Google a récemment mis en place une interface Web OTP qui recueille la clé OTP depuis le SMS de façon directe et automatique sans que le destinataire n’ait à la saisir. Cela facilite donc l’authentification forte sans gêner les utilisateurs.

Code OTP : Pour finir

Des failles dans la sécurité des comptes utilisateurs peuvent provoquer la divulgation d’une grande quantité de mots de passe utilisateurs.

Afin d’améliorer la sécurité du protocole d’authentification, il est nécessaire de mettre en place une authentification complémentaire grâce à un mot de passe à usage unique. L’une des solutions les plus répandues pour y parvenir, c’est l’utilisation d’un service d’envoi de SMS.