Si vous voulez monter le cran de la sécurité de votre compte Google, sachez que ces derniers proposent depuis quelques jours un Programme de Protection Avancé que vous pouvez activer pour n’importe lequel de vos comptes Google.
L’idée derrière le Programme de Protection Avancé, c’est de sécuriser ceux qui le souhaitent, d’éventuelles attaques ciblées. Cela veut dire que si un attaquant sait tout de vous, qu’il connait votre mot de passe, que vous êtes suffisamment distrait pour tomber dans un phishing ciblé, que vous avez un trojan sur votre ordinateur qui permet à l’attaquant de prendre le contrôle de votre machine, qu’en plus celui-ci récupère tous vos SMS via la faille SS7, et que vous êtes dans les cibles à hacker d’organismes gouvernementaux (hors US j’entends, on parle quand même de Google là) ou de la Mafia, et bien vous serez quand même protégé.
C’est pas dingue ça ? Alors évidemment, comme je l’ai déjà expliqué par le passé, plus la sécurité est importante, plus on perd en confort et c’est parfaitement normal. Mais pour les lanceurs d’alertes, les journalistes, les enquêteurs ou les sociétés qui ont des informations vitales à protéger, ça peut-être une bonne idée d’activer cette option.
Pour enclencher ce Programme Avancé de Protection, vous aurez besoin de Chrome et de 2 clés physiques U2F qui offre de la double authentification hardware, ce qui évite que des codes de validation soient transmis par SMS ou emails.
Google vous donne les références à acheter. La première clé est Bluetooth (Feitian Multipass FIDO) et utilisé comme clé principale pour votre smartphone, tablette ou ordinateur. Et la seconde est une clé USB type Yubico FIDO U2F en backup qui sera utilisable uniquement avec un ordinateur.
Maintenant que propose concrètement ce Programme Avancé de Protection ?
Et bien, une double authentification U2F avec les clés de sécurité décrites ci-dessus + un accès contrôlé au partage et aux données auxquels les applications tierces associées à votre compte ont l’habitude d’accéder. Et si un attaquant essaye de lancer une procédure de récupération de compte perdu, Google a prévu différentes étapes supplémentaires de validation de votre identité pour empêcher tout accès frauduleux.
Ceinture, bretelle, parachute… Je pense que pour cracker ce genre de process, l’étape du dessus c’est de kidnapper la cible. Et je ne suis pas certain que le kidnapping soit reconnu dans la grille CVS du Bug Bounty de Google.
Bref, si ça vous intéresse, tous les détails sont ici.
Source