J’ai récemment entrepris de sécuriser l’ensemble de mes comptes en ligne – Google, stockage cloud, messagerie. Ce que j’ai découvert en chemin m’a surprise : ma configuration de départ, que je croyais raisonnable, était en réalité fragile à plusieurs endroits. Cet article retrace la démarche et les principes qui m’ont guidée. Je ne peux pas en détailler toutes les étapes comme je le fais habituellement – la nature même du sujet impose de ne pas trop exposer ses choix techniques. Mais les principes, eux, sont utiles à partager.
Mon point de départ – et ses problèmes
Mon point de départ : un compte Google professionnel et un compte Google personnel, chacun configuré avec un mot de passe plutôt solide et l’adresse de l’autre pour une éventuelle récupération.
Le seul point positif : les mots de passe étaient stockés dans un gestionnaire de mots de passe.
Ce système posait plusieurs problèmes :
- Circularité des deux comptes : si quelqu’un prend le contrôle de l’un des deux comptes, il accède immédiatement à l’autre via la récupération. Les deux comptes tombent ensemble.
- Absence de second verrou : si quelqu’un accédait à mon mot de passe, il pouvait accéder à mon compte puis à l’autre. La solution : mettre en place la double authentification avec une application indépendante de toute plateforme, qui fonctionne sans connexion réseau.
- un ordinateur portable avec des disques durs non chiffrés, que n’importe qui aurait pu lire.
- si je n’avais plus accès à mon téléphone, je me retrouvais dépourvue de toute information pour agir.
Voici les solutions adoptées pour résoudre successivement ces problèmes.
Limiter le « blast radius »
Il faut tout faire pour que la compromission d’un seul compte n’ait pas d’impact sur les autres. C’est le principe de limitation du « blast radius » – le rayon de l’explosion.
On évite donc les adresses de récupération croisées : si l’adresse A est l’adresse de récupération de l’adresse B, alors l’adresse de récupération de l’adresse A doit être une adresse C indépendante – pas l’adresse B. Sinon, si quelqu’un prend le contrôle de l’un des deux comptes, il accède immédiatement à l’autre. Les deux tombent ensemble.
Pour les mêmes raisons, les mots de passe des différentes adresses doivent être différents, et on ne stocke pas de données sensibles dans un compte secondaire – les mots de passe d’autres comptes, par exemple.
La double authentification : choisir une application indépendante
Le guide complet pour activer la 2FA sur un compte Google avec Aegis Authenticator est disponible ici : Sécuriser un compte Gmail avec la double authentification et Aegis Authenticator.
Mais cette solution crée une nouvelle dépendance : si je perdais l’accès à mon téléphone (perte, vol, casse), je perdais l’accès à tous les comptes protégés par l’application d’authentification. Les codes de secours sont la réponse à ce problème.
Les codes de secours : prévoir la perte du téléphone
Les codes de secours donnent accès aux comptes protégés même si le téléphone ne peut plus servir : des codes à usage unique, générés par chaque service au moment de l’activation de la 2FA, qui te permettent de te connecter sans téléphone. Chaque code ne peut être utilisé qu’une seule fois.
Quelques principes pour les stocker correctement :
Les copies doivent être indépendantes les unes des autres. Si tous tes codes de secours sont sur Google Drive et que tu perds l’accès à ton compte Google, tu perds aussi les codes qui auraient pu te permettre de le récupérer. Utilise au moins un service de stockage indépendant de Google pour cette copie.
Les copies doivent être géographiquement séparées. Une copie à domicile et une copie ailleurs – chez une personne de confiance, dans un coffre, sur un service cloud accessible depuis n’importe où. Un incendie ou un cambriolage ne doit pas effacer toutes tes copies en même temps.
Une copie papier reste utile. Dans un scénario où tu n’as plus accès à aucun appareil ni à aucun service en ligne, un bout de papier chez une personne de confiance peut être ce qui te permet de tout récupérer.
Note que tous les services ne proposent pas de codes de secours. C’est un critère à prendre en compte : un service qui gère des données importantes et ne propose pas de codes de secours t’expose à une perte d’accès définitive si tu perds ton téléphone.
Chiffrer son ordinateur portable
Un portable volé, c’est potentiellement toutes tes données exposées – y compris les sessions ouvertes, les mots de passe en cache dans les navigateurs, les fichiers temporaires. Le chiffrement du disque rend ces données illisibles sans le bon mot de passe, même si quelqu’un retire le disque et le branche ailleurs.
Sur Windows, BitLocker remplit ce rôle. Le guide complet est disponible ici : Chiffrer les disques de son ordinateur portable avec BitLocker.
Un point souvent négligé : si ton ordinateur a deux disques, chiffre les deux – en commençant par le disque qui contient Windows. Le disque système contient bien plus de données sensibles qu’il n’y paraît, même si tous tes fichiers personnels sont sur le second disque.
La personne de confiance et la procédure d’urgence
Tous les systèmes de récupération décrits jusqu’ici supposent que tu peux accéder à quelque chose : un service cloud, un gestionnaire de mots de passe, un appareil. Mais dans un scénario extrême – perte simultanée du téléphone, de l’ordinateur et de l’accès à internet – il faut un dernier filet.
Ce filet, c’est une personne de confiance à qui tu as remis les informations minimales pour t’aider à récupérer l’accès à tes comptes essentiels : codes de secours imprimés, procédure claire expliquant quoi faire et dans quel ordre.
Cette procédure doit être rédigée pour quelqu’un qui n’est pas technicien – elle doit être compréhensible et actionnable sans contexte. Elle doit aussi prévoir un moyen de vérifier l’identité de la personne qui appelle, pour éviter qu’un attaquant ne se fasse passer pour toi.
Les informations les plus sensibles – mots de passe, clés de récupération, informations bancaires – méritent d’être séparées du reste, dans une enveloppe scellée distincte, avec une recommandation de la conserver dans un coffre.
Ce que cette démarche ne couvre pas
Cette démarche se concentre sur les comptes en ligne et l’ordinateur portable. Elle ne couvre pas :
- La sécurisation des appareils mobiles (code PIN, chiffrement Android ou iOS)
- La gestion des mots de passe eux-mêmes – un gestionnaire de mots de passe (1Password, Bitwarden, Dashlane ou KeePass) est un prérequis implicite à tout ce qui est décrit ici
- La sécurité du réseau domestique (routeur, Wi-Fi)
- Les sauvegardes de données – un sujet distinct, tout aussi important
Ces sujets ont chacun leur propre complexité et mériteraient des articles dédiés.
Pour aller plus loin
- Sécuriser un compte Gmail avec la double authentification et Aegis Authenticator
- Chiffrer les disques de son ordinateur portable avec BitLocker
Commentaires récents