Après avoir récemment abordé le sujet de l’organisation et la mémorisation en lieu sûr de vos mots de passe, nous avons décidé, chez Chic & Geek, de renforcer un peu notre sécurité (de franchir le pas vers la paranoïa aigüe, dirait Anne à mon encontre…). Nous avons donc installé un outil, développé par Duo Security, une entreprise Américaine, permettant une authentification à deux facteurs, authentification forte, ou « 2 factor authentification » en english.

En résumé, pour celles et ceux qui ne connaîtraient pas, il s’agit d’ajouter à vos login et mot de passe habituels, un second élément, qui peut avoir diverses formes, mais dont la caractéristique commune est d’être en votre possession.

Dans certains cas il s’agira d’un petit boitier affichant un nombre à 6 ou 8 chiffres changeant toutes les minutes, dans d’autres cas votre empreinte digitale, ou votre empreinte vocale.

Ici, pour faire simple, il s’agît de votre téléphone (mobile ou fixe, mais c’est plus pratique avec un mobile, vous allez voir). Les outils développés par Duo Security peuvent être interfaces avec toutes sortes d’applications, mais nous n’allons parler ici que du cas qui nous intéresse: WordPress.

La première étape consiste à ouvrir un compte chez Duo Security, et là commencent les bonnes nouvelles, c’est gratuit pour les sites jusqu’à 10 utilisateurs et les projets Open Source:

Lors de l’ouverture de ce compte, vous allez bien sûr appliquer le même type de mesures de sécurité, et lier votre compte à un numéro de téléphone de votre choix.

Une fois votre compte ouvert, il suffit de télécharger, installer et activer un plugin WordPress, Duo Two-Factor Authentication, puis le configurer en renseignant trois champs à partir d’informations disponibles sur votre compte Duo Security.

A partir de là, chacun des administrateurs de votre blog devra, lors de sa connexion suivante, lier un  ou plusieurs numéros de téléphone à son compte. Le système supporte à la fois la voix, les sms ou les notification via Push pour une application iOS ou Android, vous avez donc le choix en fonction du type d’appareil que vous avez à disposition.

De plus, si vous avez un iPhone ou un smartphone Android et vous choisissez la méthode Push (que je décrirai ci-dessous) il vous est toujours possible de basculer vers le SMS lors de chaque login ultérieur, ce qui est pratique si jamais vous perdez votre iPhone ou qu’il tombe en panne et que temporairement vous utilisez un mobile traditionnel.

Configuration de l’iPhone en mode Push

Voici comment se passe concrètement la première configuration pour chaque utilisateur:

• Vous arrivez sur la page classique de login WordPress, saisissez votre login et mot de passe.
• Un formulaire s’affiche alors, vous demandant de saisir votre numéro de téléphone.
• Un code est envoyé par sms sur votre iPhone, que vous devez saisir dans un champ, ce qui confirme que vous recevez bien les messages sur cet iPhone.
• Un nouvel SMS vous est envoyé, avec un lien permettant d’installer l’application Duo Mobile
• L’application génère un code à 6 chiffres que vous devez saisir dans le formulaire.
• Duo Security vous envoie un dernier sms qui active l’application.

Cela peut sembler compliqué, mais ça prend en tout 3 minutes. Une fois que c’est fait, vous avez donc un iPhone sur lequel est installée une application et les deux sont identifiés de manière unique chez Duo Security.

Procédure d’identification une fois la configuration effectuée

Voilà que vous souhaitez vous connecter à votre blog, pour poster un article, modérer des commentaire sou que sais-je encore. Vous arrivez sur l’écran de login habituel:

Vous saisissez identifiant et mot de passe et arrivez sur un deuxième écran:

Celui-ci vous propose de choisir un téléphone dans la liste de ceux que vous avez autorisés, et de choisir la méthode d’authentification, ici Duo Push puisque j’utilise l’application sur mon iPhone (dans le cas du SMS, vous recevez un SMS avec un code à saisir dans le champ vide).

Vous cliquez sur le bouton Log in et une alerte se présente sur votre iPhone:

 

(Une de ces deux captures provient de mon iPhone, l’autre de celui d’Anne, je vous laisse deviner qui est qui… 😉 )

Vous cliquez sur « Approve » et vous voilà automatiquement identifié et redirigé vers votre tableau de bord habituel.

Conclusion

Qu’avons-nous gagné, me direz-vous?

Nous avons amélioré la sécurité de notre site car désormais, même si quelqu’un devinait, craquait ou récupérait nos mots de passe, d’une manière ou d’une autre, ou si quelqu’un réussissait à pirater nos adresses email, puis à utiliser la fonction « Mot de passe oublié » pour le réinitialiser, au moment où cette personne essaierait de se connecter à Chic & Geek, Anne ou moi recevrions une demande d’autorisation sur nos téléphones, demande que, bien sûr, nous refuserions, en apprenant au passage l’adresse IP du pirate (effacée ci-dessus mais bien présente sinon).

Tout cela au prix d’environ 10 à 15 minutes de temps passé pour installer et configurer ces outils.

Alors, est-ce de la paranoïa que de s’en servir, ou de l’inconscience de s’en passer?

Paolo