Tout ce qui mérite d'être su, rien qui ne le mérite pas.
Ce que chacun protège réellement contre
Un code temporel généré par une application d'authentification est produit localement à partir d'un secret partagé et ne transite jamais sur le réseau. Il est donc protégé contre l'échange SIM, l'interception SS7 et l'espionnage au niveau du réseau. Un code SMS, quant à lui, transite par le réseau de l'opérateur et peut donc être redirigé en cas d'échange SIM et, sur les routes mal protégées, intercepté au niveau de la signalisation. Les deux méthodes restent efficaces contre la réutilisation classique des mots de passe et le bourrage d'identifiants (de loin l'attaque la plus courante).
Quel est le coût de chacun en utilisateurs ?
Les applications d'authentification présentent un seuil d'inscription : l'utilisateur doit installer l'application, scanner un code et conserver son appareil. Une part significative d'utilisateurs ne remplit pas ces conditions, et la perte de l'appareil génère une charge importante pour le support technique. SMS quant à eux, ne nécessitent aucune inscription : l'utilisateur possède déjà votre numéro. Sur les marchés où la pénétration des smartphones est plus faible ou lorsque les utilisateurs changent fréquemment de téléphone, SMS ne sont pas une solution moins performante, mais la seule qui fonctionne réellement.
Une hiérarchie sensée
Proposez des codes d'accès ou une application d'authentification comme facteur principal et rendez l'inscription attrayante. Conservez SMS comme solution de repli afin d'éviter tout blocage. Réservez les opérations les plus sensibles (virements, modifications de compte de paiement, désactivation des contrôles de sécurité) au facteur fort et ajoutez une vérification de l'état de la ligne : un changement récent SIM nécessitera alors une authentification renforcée. Ainsi, le facteur faible ne protégera jamais ce dont la perte serait la plus préjudiciable.
Si vous ne pouvez en expédier qu'un seul
Envoyez les codes OTP SMS de manière optimale : privilégiez les routes directes des opérateurs pour une réception en quelques secondes plutôt qu’en minutes, une durée de validité courte, un nombre réduit de tentatives et un message vocal de secours pour les rares SMS non reçus. Un code SMS correctement acheminé est plus efficace qu’une application d’authentification à laquelle l’utilisateur ne s’est jamais inscrit ; vous pouvez ainsi ajouter un facteur d’authentification plus robuste ultérieurement sans supprimer la solution de secours.