À quoi ressemble la vie dans le cadre du programme Google Advanced Protection

L'auteur et la nouvelle clé de sécurité Google Titan, qui utilise les protocoles U2F développés par l'Alliance FIDO pour fournir un deuxième facteur sécurisé d'authentification en ligne. La clé de sécurité Titan est maintenant en vente dans le Google Store.

Je ne suis pas ce que j'appellerais une personne très importante. Je me considère toujours comme une sorte de journaliste (et c'est ce qui figure sur mon diplôme universitaire), mais je ne dirais pas que je pratique comme je le faisais lorsque je faisais des journaux. Je ne suis ni activiste, ni chef d'entreprise, ni membre d'une équipe de campagne politique.

Suis-je vraiment candidat au programme de protection avancée de Google? Ai-je vraiment besoin de la meilleure sécurité de compte que Google offre publiquement?

Je vais y répondre dans une minute. Mais d'abord, je vais définir ce que je pense que je suis ces jours-ci: j'approche la cinquantaine en regardant mes filles commencer leur vie en ligne, et Je suis plus que jamais convaincu qu'Internet est intrinsèquement à l'envers et cassé, et nous devons tous prendre notre sécurité en ligne plus au sérieux. (Autrement dit, si nous y réfléchissons du tout.)

La question que vous devez vous poser est pourquoi ne serait pas vous voulez protéger au mieux votre vie en ligne.

La sécurité à deux facteurs devrait être obligatoire. Si un service ne le fournit pas, vous ne devriez probablement pas utiliser ce service. Mais tous les schémas à deux facteurs ne sont pas créés égaux. Les mots de passe à usage unique envoyés par SMS peuvent être interceptés par un attaquant déterminé. Les jetons logiciels sont meilleurs, mais pas infaillibles. Mieux encore, les clés matérielles physiques. Une clé physique que vous connectez à un ordinateur via USB, ou par NFC ou Bluetooth, que vous connectez à un compte. Vous n'avez pas la clé? Vous n'entrez pas.

Tout cela fait partie de la Alliance FIDO - "Le plus grand écosystème au monde pour une authentification interopérable basée sur des normes" - et U2F, l'expérience «Universal 2-Factor» née de FIDO. Vous pouvez fondamentalement penser à U2F et 2FA comme la même chose, et FIDO est le groupe qui fait la norme, avec des gens de Google, Microsoft, Lenovo et Amazon (entre autres) sur son tableau.

Abonnez-vous à Modern Dad sur YouTube!

Les bases du programme de protection avancée

Les clés matérielles physiques sont utilisées comme deuxième forme d'authentification depuis des années et constituent une option de sécurité pour les comptes Google depuis un certain temps.

Le programme de protection avancée de Google en fait un mécanisme obligatoire de connexion et en fait le seulement Option 2FA. Vous aurez toujours votre mot de passe Google et vous devrez maintenant utiliser une clé matérielle physique avec ce mot de passe pour accéder à votre compte. Plus de codes SMS. Plus d'application Google Authenticator. Pas d'appels téléphoniques. C'est mot de passe et clé, ou vous n'entrez pas.

C'est aussi simple que ça, vraiment. Mais Google va un peu plus loin. Vous pourrez toujours vous connecter à des sites Web avec votre compte Google. Mais les applications qui peuvent accéder aux fichiers Gmail ou Google Drive seront sévèrement limitées. Voici comment Google le dit:

Pour vous protéger, la protection avancée autorise uniquement les applications Google et certaines applications tierces à accéder à vos e-mails et fichiers Drive.

En contrepartie de cette sécurité renforcée, la fonctionnalité de certaines de vos applications peut être affectée. La plupart des applications tierces qui nécessitent un accès à vos données Gmail ou Drive, telles que les applications de suivi de voyage, n'auront plus d'autorisation. Et vous ne pourrez utiliser Chrome et Firefox que pour accéder à vos services Google connectés comme Gmail ou Photos.

Les applications de messagerie, de calendrier et de contacts d'Apple continueront de pouvoir accéder à vos données Google comme d'habitude.

Ce sera probablement le plus gros obstacle auquel vous serez confronté dans l'utilisation quotidienne.

Google jette également des obstacles supplémentaires devant quelqu'un s'il tente de prétendre être vous et que vous êtes déconnecté de votre compte.

Les pirates informatiques essaient souvent d'accéder à votre compte en se faisant passer pour vous et en prétendant qu'ils ont été exclus de votre compte. Pour vous offrir la meilleure protection contre ce type d'accès frauduleux au compte, la protection avancée ajoute des étapes supplémentaires pour vérifier votre identité pendant le processus de récupération de compte.

Si jamais vous perdez l'accès à votre compte et à vos deux clés de sécurité, ces exigences de vérification supplémentaires prendront quelques jours pour restaurer l'accès à votre compte.

Ce n'est pas une expérience que j'ai encore eu à expérimenter, mais cela n'a pas l'air amusant.

La plupart d'entre nous en dehors d'un environnement de travail sécurisé n'auront pas à utiliser une clé physique pour s'authentifier très souvent, c'est donc plutôt une méthode de protection extrêmement puissante.

À quoi ressemble l'utilisation du programme de protection avancée Google

Tout d'abord, accédez à Google Site Web du programme de protection avancée. Vous serez invité à saisir quelques clés U2F. Auparavant, Google recommandait des clés tierces, ce qui est bien. Mais maintenant que les clés Titan sont disponibles dans le Google Store, il est tout aussi facile de les saisir. La façon dont vous les utilisez sera exactement la même.

Une fois que vous les avez, vous vous inscrivez réellement au service. Cela activera toutes les protections - et cela vous déconnectera également de tout, pour des raisons évidentes.

Il est donc temps de vous reconnecter. Ou pas. C'est là que les choses deviennent un peu intéressantes.

Je dois maintenant utiliser Gmail dans un navigateur Web plutôt que dans un wrapper comme Mailplane ou Shift. Cela a été un ennui mineur, mais pas vraiment un coup de cœur. (Enfer, c'est une application de moins à exécuter en arrière-plan.) Mais cela signifie également que Mac OS n'a plus accès à Gmail non plus. C'était en fait un peu surprenant, étant donné à quel point le programme de protection avancée fonctionne avec iOS via une application d'aide «Smart Lock». Peut-être que cela changera à un moment donné. Mais d'un autre côté, je n'échangerais pas Gmail dans un navigateur pour l'application Mail d'Apple.

L'application Google Smartlock sur iPhone X.

Se reconnecter aux téléphones était assez simple. Pour cela, j'ai utilisé mon porte-clés Bluetooth / USB. Celui que j'ai depuis un mois environ se charge maintenant via microUSB, ce qui est un peu ennuyeux. Mais, encore une fois, pas un facteur décisif. Si je veux l'utiliser avec un téléphone, je me connecte via Bluetooth. Si je veux l'utiliser avec un ordinateur, je le branche. Assez facile. J'ai également utilisé le Yubikey Neo, qui est USB-A et a NFC intégré, et cela fonctionne très bien aussi. Notez que si vous utilisez un iPhone, vous aurez besoin de quelque chose avec Bluetooth, au moins jusqu'à ce que NFC soit officiellement ouvert dans iOS 12.

La connexion à un Pixelbook a pris 10 secondes. Tapez mon mot de passe, branchez une clé et authentifiez-vous, et je suis opérationnel. (Bien que si vous vraiment à l'aide d'un Chromebook et vraiment en utilisant la protection avancée, vous voudrez vous assurer que vous avez mis en œuvre une autre sécurité de connexion de base, de sorte que quelqu'un ne peut pas simplement ouvrir la chose et commencer à l'utiliser. Comme n'importe quel autre ordinateur portable, vraiment.)

Le plus gros problème pour moi a été avec le téléviseur NVIDIA Shield. (Lorsque vous êtes déconnecté de tout, vous êtes déconnecté de tout.) Vous penseriez pouvoir vous connecter comme un téléphone Android. (Parce que c'est une plate-forme Android, après tout.) Mais pour une raison quelconque, ça ne marche pas, comme si vous tentiez de vous connecter avec une autre source tierce non approuvée.

Au-delà de cela, les choses se sont pratiquement déroulées sans heurts. Ce n'est pas comme si je devais me connecter à mon compte tous les jours. (Bien que dans certains environnements professionnels, c'est exactement ce pour quoi ce schéma de clé physique est idéal.)

Si je faire besoin de me connecter à un nouvel appareil quelque part, je dois juste m'assurer que j'ai ma clé sur moi. J'en garde donc un sur mes clés et une sauvegarde dans un endroit sûr. (Non, je ne vous dis pas où.)

À propos: vous pouvez vous désinscrire du programme Google Advanced Protection si vous ne pouvez tout simplement pas vivre avec. Mais je n'ai pas du tout ressenti cette envie. En outre, vous pouvez désinscrire des clés de n'importe quel service à tout moment - il vous suffira de vous souvenir des services avec lesquels vous utilisez une clé. (Ou vous pouvez toujours simplement détruire une clé si vous en avez terminé.)

Il n'y a pas de clé parfaite pour tout le monde - cela dépendra beaucoup des appareils dont vous avez besoin pour vous authentifier.

Quelle clé U2F est la meilleure pour la protection avancée?

Voici où les choses dépendent vraiment de votre propre situation. Vous pouvez obtenir une clé USB-A directe. Vous pouvez obtenir une clé USB-C. Vous pouvez obtenir une clé nano (USB-A ou USB-C) qui vit dans votre ordinateur portable la plupart du temps mais qui ne gêne pas (en dehors de la prise d'un port). Vous pouvez obtenir quelque chose avec Bluetooth ou NFC.

Vous n'êtes pas obligé d'utiliser la clé de sécurité Titan de Google si quelque chose d'autre fonctionnera mieux pour vous.

(Une note à ce sujet, cependant: le modèle USB de la clé de sécurité Titan de Google comprend NFC, mais cela ne fonctionnera pas au lancement. Cela nécessitera une mise à jour des coulisses de votre téléphone. D'autres clés matérielles gèrent très bien le NFC, si vous devez le faire correctement cette seconde.)

Tout dépend de la fréquence à laquelle vous devez vous connecter à celui auquel vous devez vous connecter et du type d'appareil que vous utilisez. Si votre entreprise nécessite une autorisation quotidienne, mais sur un ordinateur de confiance (par exemple, derrière un tas de portes verrouillées), alors peut-être qu'une clé USB-A nano est la solution. Si, comme moi, vous n'avez pas besoin de vous connecter très souvent mais que vous voulez tout de même tout ce qu'offre la protection avancée, quelque chose de plus grand pourrait ne pas être terrible. Si vous avez un ordinateur portable USB-C et un téléphone USB-C, eh bien, cela rend cette décision encore plus facile. Cela va varier en fonction de ce que vous utilisez.

Et vous n'avez pas nécessairement besoin de la clé Titan de Google non plus. Elles fonctionnent exactement de la même manière que les autres touches U2F - seules celles-ci ont la puissance de Google derrière elles, contrôlant le firmware qui se trouve à l'intérieur. (Et cela est un bon argument de vente.) Et contrairement aux autres clés, qui peuvent être manipulées par un service informatique, le firmware est totalement verrouillé. Vous les utiliserez comme Google l'a prévu.

La clé Google Titan est équipée de NFC, mais elle nécessitera une mise à jour en arrière-plan avant de fonctionner avec les téléphones Android.

Le programme de protection avancée de Google est-il la bonne solution pour vous?

C'est une de ces choses dont je ne peux pas répondre pour vous.

Le programme de protection avancée est un peu exagéré, mais c'est aussi la bonne façon d'assurer la sécurité.

D'une part, je veux dire oui, ça l'est. J'ai trouvé que le compromis entre la sécurité et la gêne était minime. Cela ne remplacera pas complètement les codes SMS et les jetons logiciels de toute façon, même si ce serait bien si c'était le cas. Le simple fait est que les services n'utilisent pas suffisamment de clés matérielles. (Et certains ne leur permettent que secondaire Méthodes 2FA.) Hit up twofactorauth.org pour savoir si votre service préféré les utilise.

Et je suis vraiment sur le point d'y mettre le compte de ma fille. (Si je ne l'ai pas déjà fait, parce que maintenant que j'écris ceci…)

J'ai déjà dû aider trop de membres de ma famille à récupérer des comptes. Il est tout simplement trop facile de cliquer accidentellement sur des liens qui n'auraient jamais dû être cliqués. Ça arrive aux meilleurs d'entre nous.

Ce dont nous avons besoin, c'est d'un soutien back-end plus fort pour aller de pair avec la connaissance que l'Internet est à l'envers et cassé et nous devons être plus vigilants.

Google Advanced Protection offre cette assistance.

C'est à nous de l'utiliser. Et je ne l'éteins pas.