Smartphone France Android Edition : Les impôts passent enfin à la double authentification

Bienvenue sur Smartphone France Android Edition
Actuellement, 79 visiteurs en ligne

Parmi les comptes en ligne que nous possédons tous, même ceux qui sont totalement réfractaires au numérique, l'accès à notre espace de contribuable est certainement un des plus sensibles. A partir de ce service il est en effet très facile de récupérer des informations très personnelles et très sensibles qui pourraient permettre une usurpation d'identité très simplement. Où habitez-vous ? Où travaillez-vous ? Quels types de biens immobiliers possédez-vous ? Quels sont vos revenus et vos placements ? S'il y a bien un organisme qui sait tout ou presque sur chacun d'entre nous, c'est bien le FISC. Pour cette raison il est donc primordial de protéger au mieux cet accès public possible à partir de la terre entière.

Aussi étonnant que cela puisse paraitre, jusqu'à très peu de temps, l'accès au site des impôts français n'était pas du tout protégé par une double authentification. Le numéro fiscal et un mot de passe suffisait pour se connecter. Pire, grâce ou à cause de France Identité, l'accès à un autre service comme la Sécurité Sociale permet d'accéder à un espace fiscal. Bref pas vraiment sécurisé tout ça. De notre côté notre mot de passe le plus compliqué et bien sûr unique, était celui des impôts mais était-ce suffisant ? Face à cette situation, le service a donc mis en place une double authentification. Le problème est, comme trop souvent avec les services de l'état, que la solution mise en place est loin d'être la meilleure. Certes, c'est mieux qu'avant mais aujourd'hui d'autres solutions bien meilleures existent.

Alors qu'ils auraient pu mettre en place des passkey, des clés de sécurité, l'utilisation de l'application mobile officielle via notification Push, l'utilisation d'une application de type Authenticator, … ils ont décidé de sécuriser l'accès à notre espace via un code envoyé par email. Un choix que nous trouvons, en tant que professionnels de l'informatique et de la cybersécurité, totalement stupide. Oui c'est mieux que rien mais SMS et courriels sont certainement les deux méthodes d'authentification les moins sécurisées qui existent. Les serveurs de messagerie des impôts sont heureusement bien configurés (SPF, DKIM et DMARC pour ceux qui connaissent) mais il est globalement simple d'intercepter un courriel et la première chose que se font pirater les gens sont souvent leur boite mail !

La nouvelle du jour est que les impôts ont un peu sécurisé nos accès mais qu'on attend une vraie solution pour un accès qui est très sensible. S'ils ne savent pas comment faire, qu'ils aillent voir du côté de France Travail, nous connaissons plein d'informaticiens compétents qui n'attendent qu'un appel pour partager leurs réelles compétences.