Apple a modifié l’apparence des codes SMS d’authentification à deux facteurs pour une meilleure sécurité

Source : Bryan M. Wolfe / iMore

Apple a modifié l’apparence des messages SMS d’authentification à deux facteurs dans le but de renforcer la sécurité.

Le changement d’Apple signifie essentiellement que chaque fois qu’il vous envoie un nouveau SMS sous forme d’authentification à deux facteurs, le message ne sera fourni pour le remplissage automatique que sur les services et sites Web Apple grâce à l’ajout d’un nouveau texte. Tel que rapporté par Macworld, le déménagement a été proposé pour la première fois il y a plus d’un an – en août 2020, pour être exact.

Les nouveaux messages contiendront plus de texte que d’habitude – et sont déjà déployés depuis quelques semaines également.

• Un message standard lisible par l’homme, comprenant le code, suivi d’une nouvelle ligne.
• Le domaine délimité en tant que @domain.tld.
• Le code répété à nouveau comme #123456.
• Si le site utilise un élément HTML intégré, appelé iframe, la source de l’iframe est répertoriée après %, comme %ecommerce.example. (La spécification d’origine spécifie @ ; Apple semble utiliser % pour ses textes.)

L’ensemble de ce système fonctionne de la même manière que les gestionnaires de mots de passe et iCloud Keychain ne présenteront un mot de passe que sur un site Web spécifié ou dans une application associée. Cela signifie que les faux sites Web ne peuvent pas utiliser le remplissage automatique pour accepter un code d’authentification à deux facteurs, car iOS, iPadOS et macOS remarqueront que les domaines ne correspondent pas.

iOS, iPadOS et macOS proposent de remplir le code le plus récemment arrivé par SMS à l’application Messages dans n’importe quel champ correctement formaté, y compris le champ de code de vérification d’un site de phishing. Cela rend les choses trop faciles pour les escrocs.

Cependant, si le message texte est défini comme suggéré par Apple, les systèmes d’exploitation commençant par iOS 15, iPadOS 15 et macOS 11 Big Sur ne proposeront le remplissage automatique que sur les sites correspondant au nom de domaine. La sécurité n’est pas parfaite, mais c’est une simple mise à jour pour renforcer les actions défensives.

Vous devez toujours garder un œil sur l’endroit où vous cliquez et sur les mots de passe que vous entrez, mais ce changement de SMS devrait au moins aider les choses.

Vous pouvez également en savoir plus sur le fonctionnement de tout cela dans l’article original de Macworld.