L’authentification double facteur U2F disponible sur Dropbox

Si vous utilisez Dropbox, vous avez peut être raté l’annonce qu’ils ont fait le 12 Août: le service de stockage et de synchronisation dans le Cloud supporte désormais l’authentification double facteur FIDO U2F. Mais c’est quoi ? 

L’authentification double facteur repose généralement sur le fait d’identifier un utilisateur par un couple login / mot de passe ainsi qu’un “deuxième facteur” qui peut être un code unique transmis par SMS ou généré par une application comme Google Authenticator ou Authy. Mais cela peut aussi se faire par le biais de “tokens” physiques , comme les générateurs RSA parfois utilisés dans les grandes entreprises :

Token RSA

Depuis quelques temps déjà Google fait la promotion des tokens de l’alliance FIDO de type U2F (Universal 2nd Factor). Des clefs USB très simples et peu coûteuses pouvant servir de deuxième facteur d’authentification. Pour le moment le support est limité à l’utilisation de Google Chrome ce qui limite les perspectives mais les choses vont évoluer.

Logo Dropbox

Dropbox gère donc depuis quelques jours l’authentification double facteur avec une clef USB U2F. Comment ça se passe? D’abord la première fois vous associez votre compte Dropbox à votre clef U2F (on en trouve à tous les prix même si la qualité de construction des premiers prix n’est pas folle) dans l’onglet Sécurité de vos réglages. A la prochaine connexion, suite au login depuis Chrome il vous sera proposé ceci :

Dropbox U2F PromptDans le cas de ma clef (la Yubikey NEO) il faut appuyer sur l’unique bouton de la clef. Et hop nous voilà connecté 🙂

Il est possible d’enregistrer plusieurs clefs U2F par compte donc vous pouvez en avoir une sur un trousseau de clef de la maison et l’autre sur les clefs du bureau etc.

Pour le moment l’U2F n’est pas supporté par énormément de services : Google, Dropbox, Duo Security, OpenSSH et WordPress sont les rares à le gérer. Pour une liste (presque) à jour des services qui gèrent ce mode de double authentification, consultez le site DongleAuth.info.