Authentification sur mobile pour l’Afrique – quelles sont les options et les risques

Une identification et une authentification hautement sécurisées sont essentielles au développement d’une économie numérique. Cependant, les systèmes d’identification traditionnels ne suffisent pas à répondre aux besoins de l’économie numérique actuelle.

Pour protéger les utilisateurs lorsque leurs identifiants de connexion sont compromis, l’authentification à deux facteurs (2FA) et les méthodes d’authentification multifactorielle sont rapidement adoptées par l’ensemble des acteurs du secteur. L’authentification d’un utilisateur où plus d’un facteur est requis pour la validation, permet une dissuasion de la fraude beaucoup plus forte et plus fiable. Examinons ci-dessous les options disponibles pour l’authentification sur mobile, ainsi que les avantages et les inconvénients de chacune des méthodes.

SMS avec mot de passe à usage unique

L’authentification à deux facteurs par SMS/texte est le processus le plus fréquemment utilisé pour l’authentification mobile. Un mot de passe à usage unique (OTP) est envoyé à l’utilisateur par SMS afin d’être utilisé pour compléter une connexion ou authentifier une transaction. Bien que cette méthode soit sûre, comparée à un simple courriel et à un mot de passe, elle présente des failles.

Les OTP par SMS peuvent être compromis par des fraudeurs qui : interceptent les messages contenant les OTP dans le réseau, Commettent une fraude par SIM swap, où les fraudeurs se font passer pour un client signalant l’endommagement la perte ou le vol de sa carte SIM.

La carte SIM du client est ensuite désactivée et la nouvelle est activée par le fraudeur pour recevoir tous les appels et messages envoyés au téléphone, activer le transfert d’appel, par lequel tous les appels et messages destinés au téléphone sont détournés vers le portable du fraudeur. Les OTP par SMS peuvent également, pour se prémunir des fraudes, tromper les utilisateurs en les incitant à installer un malware, qui peut intercepter les messages texte, y compris ceux contenant des OTP, sur son téléphone.

Une fois que les fraudeurs ont pu accéder à l’OTP envoyé par SMS, ils peuvent alors utiliser ces textes pour usurper l’identité de leur cible et accéder aux comptes bancaires et autres données sensibles authentifiées par cette méthode.

Une autre faiblesse concerne le « travail de l’intérieur ». Les réseaux cellulaires et les intermédiaires de messagerie stockent généralement les messages SMS et les codes d’authentification. En général, le centre de service de messages courts (SMSC) les stocke en texte clair avant qu’ils ne soient remis au destinataire. Le système est donc menacé par des « initiés » corrompus. Ils peuvent voler les codes d’accès et intercepter les messages pendant leur transmission.

Un autre type de faille dans le système de SMS concerne la fiabilité du flux de messages. De nombreux
intermédiaires peuvent être nécessaires pour transmettre un message. Parfois, ces intermédiaires utilisent des « routes grises » (ils passent par des opérateurs d’autres pays pour des raisons de coût). Le résultat est que les messages peuvent mettre beaucoup de temps à arriver – ou parfois ne pas arriver du tout. Lorsqu’un fournisseur de services envoie des informations de connexion sensibles au facteur temps, cela comporte un réel risque.

Authentification par application

Les applications d’authentification spécialement conçues ou les fonctions d’authentification au sein des applications sont utilisées pour confirmer une transaction ou une connexion. Un code d’authentification est envoyé à un serveur pour être vérifié, le processus étant crypté de bout en bout. L’authentification par application constitue une mesure de sécurité solide, avec une expérience utilisateur agréable. Toutefois, dans le contexte africain, se pose la question du marché adressable. Alors que les SMS sont universels, les applications nécessitent un smartphone pour y accéder et une connexion internet pour les utiliser à des fins d’authentification.

Selon la GSMA, seuls environ 33 % des Africains subsahariens possèdent un smartphone. Parallèlement, les connexions internet sont encore relativement rares en Afrique. Encore selon la GSMA, 550 millions d’Africains seront connectés d’ici 2020, ce qui laisse 60 % de la population hors ligne. Cela signifie que l’authentification par le biais d’applications n’est pas une solution viable pour que les fournisseurs de services puissent s’adresser à tous leurs clients en Afrique. De plus, les fournisseurs de services ne peuvent pas garantir qu’un utilisateur téléchargera une application.

Authentification biométrique

La biométrie ajoute une nouvelle couche de sécurité au processus d’authentification mobile. Si le code PIN est « quelque chose que vous connaissez » et le combiné « quelque chose que vous avez », l’empreinte digitale, la voix ou l’iris sont « quelque chose que vous êtes ». Les données biométriques sont également intrinsèquement uniques et faciles à utiliser. Enfin, les données biométriques sont généralement stockées localement – dans le téléphone, plutôt que dans une ferme de serveurs lointaine – ce qui constitue une autre couche de protection contre les tiers corrompus. Toutefois, la technologie biométrique n’est pas totalement exempte de risques. Des fraudeurs et des criminels ont copié des empreintes digitales, trompé des systèmes de reconnaissance faciale et piraté certains logiciels de reconnaissance vocale. En réalité, ces risques sont encore minimes. Le plus gros problème dans une région émergente comme l’Afrique est la disponibilité. En effet peu de personnes possèdent un smartphone, et encore moins d’appareils haut de gamme prenant en charge la biométrie.

Authentification hors bande via USSD

L’authentification hors bande (OBA) exige que le canal utilisé pour authentifier une transaction ou une connexion soit distinct du canal utilisé pour initier la transaction ou la connexion. L’utilisation de l’OBA fournit une couche supplémentaire de sécurité, car si le canal utilisé pour initier une connexion ou une transaction est compromis, l’authentification ne sera pas effectuée sur le même canal. L’OBA via l’USSD est un choix populaire pour l’authentification mobile en Afrique car il fournit une méthode d’authentification puissante et donne accès à 100% du marché adressable d’un fournisseur de services. L’USSD (Unstructured Supplementary Service Data) est une technologie de communication utilisée pour transférer des données entre des appareils mobiles et un réseau de manière sûre, sécurisée et temporaire.

Pourquoi la technologie USSD fonctionne-t-elle pour l’authentification en Afrique?

Elle est universelle. L’USSD fonctionne sur n’importe quel combiné GSM – depuis le téléphone de fonction le plus basique – et ne nécessite donc pas de connexion internet pour envoyer ou recevoir des messages. Il fonctionne en temps réel et par session. Les messages USSD comportent jusqu’à 182 caractères alphanumériques. Contrairement aux SMS, les messages USSD n’existent qu’en temps réel pendant une session USSD, ce qui permet un échange d’informations dans les deux sens. Ainsi, l’USSD est plus réactif et immédiat que le SMS. Les messages USSD ne sont pas stockés ou conservés par un tiers. Comme indiqué ci-dessus, l’USSD est basé sur une session. Il n’est « vivant » que pendant la durée de la session. Par conséquent, aucun tiers ne peut stocker les informations et celles-ci ne sont pas susceptibles d’être interceptées ou volées. C’est instantané. Les messages USSD vont directement de l’opérateur au combiné. Il n’y a pas d’intermédiaire pour retarder ce processus. Cela signifie que les communications sont presque instantanées, ce qui est essentiel pour les cas d’utilisation sensibles au temps comme l’accès et l’authentification. L’USSD n’entraîne pas de frais d’itinérance. Le texte peut être notoirement cher, alors que l’USSD est gratuit pour les clients. C’est important dans certains cas d’utilisation de l’authentification mobile – s’inscrire pour travailler en tant que migrant économique, par exemple.