Les conseils de sécurité crypto se concentrent sur les clés et les portefeuilles, là où se trouve la valeur et non là où les attaques commencent. Le chemin réaliste vers un compte de trading passe par une adresse de messagerie, un mot de passe réutilisé, ou une machine qui fait aussi tout le reste, et aucun de ces trois ne s'améliore avec une meilleure conservation.
Chaque compte que vous détenez a un chemin de récupération, et presque tous aboutissent à une adresse de messagerie. Qui contrôle cette adresse peut réinitialiser des mots de passe sur les plateformes, sur le gestionnaire de mots de passe, sur le compte téléphonique, et sur les services dont ceux-ci dépendent à leur tour. C'est la racine de l'arbre, et elle est généralement protégée considérablement moins bien que les comptes qui y pendent.
L'asymétrie mérite d'être posée parce qu'elle est très constante. Des traders qui utilisent un portefeuille matériel, un mot de passe unique sur chaque place et une application d'authentification protègent fréquemment leur messagerie avec un mot de passe qu'ils ont depuis des années et un numéro de téléphone de récupération. Un attaquant n'a pas besoin de vaincre les bonnes protections ; il lui faut le maillon le plus faible, et la chaîne se termine à la boîte aux lettres.
Le correctif est banal et c'est le changement le plus rentable disponible. Mettez le second facteur le plus solide disponible sur la messagerie, de préférence une clé de sécurité physique plutôt qu'une application. Retirez le numéro de téléphone de ses options de récupération. Et utilisez pour les comptes financiers une adresse que vous ne donnez à personne, ce qui la retire d'un coup de toutes les listes de fuites et de toutes les listes de cibles d'hameçonnage.
Votre compte de plateforme est aussi sûr que votre messagerie, quoi que vous ayez fait au compte de plateforme.
Quand vous vous connectez, le service émet un jeton de session vers votre navigateur pour ne pas avoir à redemander à chaque page. Ce jeton est un identifiant à part entière : quiconque en détient une copie est connecté en tant que vous, et surtout, changer votre mot de passe ne l'invalide pas nécessairement. De nombreux services laissent les sessions existantes vivantes après un changement de mot de passe, ce qui signifie que la réponse standard à une compromission supposée laisse l'attaquant exactement où il était.
C'est ainsi qu'une part substantielle des prises de contrôle persiste après que la victime croit avoir réglé le problème. Un logiciel malveillant qui vole des données de navigateur prend des jetons plutôt que des mots de passe, précisément parce que les jetons contournent entièrement le second facteur. Il n'y a rien à hameçonner et aucun code à intercepter ; la session est déjà authentifiée.
La réponse pratique est de savoir où se trouve la commande de déconnexion de toutes les sessions sur chaque plateforme que vous utilisez, et de s'en servir comme première étape de toute réponse de sécurité plutôt que la réinitialisation du mot de passe. Revoir périodiquement la liste des sessions actives vaut aussi la minute que cela prend : des lieux et des appareils inconnus dans cette liste sont le premier signal visible d'un problème.
Le bourrage d'identifiants est l'attaque la plus courante sur les comptes financiers et elle n'a rien d'astucieux. De grandes collections d'adresses et de mots de passe issues de fuites chez des services sans rapport sont essayées, automatiquement, contre toute plateforme qui vaut la peine d'être essayée. Cela réussit dès que quelqu'un a utilisé le même mot de passe deux fois, et assez de gens le font pour que l'approche reste économiquement rentable à échelle industrielle.
La défense est un mot de passe unique par service, ce qui n'est praticable qu'avec un gestionnaire, et l'objection qu'on soulève est que le gestionnaire devient un point de défaillance unique. Cette objection est correcte et l'alternative est pire : un gestionnaire avec un mot de passe maître solide et un second facteur est une cible bien plus petite qu'une douzaine de services partageant un mot de passe, et le mode de défaillance de la réutilisation n'est pas hypothétique, il tourne en continu contre tous les formulaires de connexion d'internet.
Il vaut aussi la peine de vérifier si vos adresses apparaissent dans des fuites connues, ce que plusieurs services publics vous diront. Une adresse qui figure dans une liste de fuite reçoit des tentatives ciblées, que quelque chose ait réussi ou non, et le savoir change l'importance des protections qui la couvrent.
Un ordinateur qui trade est aussi, pour la plupart des gens, un ordinateur qui navigue, installe des choses, ouvre des pièces jointes, et sert occasionnellement à quelqu'un d'autre. Chacune de ces activités est un chemin vers la machine, et la machine porte vos sessions, votre presse-papier, et ce que votre navigateur a mémorisé.
L'argument pour la séparation est plus solide qu'il n'en a l'air et moins coûteux qu'on ne le croit. Un profil de navigateur distinct, réservé aux comptes financiers, sans extension et sans autre navigation, retire l'essentiel de l'exposition pour zéro coût et trente secondes de mise en place. Un compte utilisateur distinct sur la même machine est mieux. Une machine distincte est encore mieux et le vaut réellement au-dessus d'un certain solde, que chacun peut fixer pour lui-même.
Le risque précis à nommer est celui des extensions de navigateur, parce que c'est la seule chose qu'on installe avec légèreté et qui a la permission de lire et de modifier chaque page qu'on ouvre. Les extensions changent de propriétaire, reçoivent des mises à jour écrites par quelqu'un d'autre que l'auteur d'origine, et le font en silence. Toute extension sur un profil qui touche à des comptes financiers devrait être une extension dont vous avez activement besoin, revue périodiquement, et la liste devrait être assez courte pour se relire en une minute.
Prenez une feuille et écrivez, pour chaque compte qui compte, ce qui permettrait à quelqu'un d'autre d'y entrer. Le mot de passe, puis ce qui réinitialise le mot de passe, puis ce qui protège cela. Suivez chaque branche jusqu'à ce qu'elle aboutisse à quelque chose de physique : un appareil que vous tenez, une clé dans un tiroir, un téléphone dans votre poche.
L'exercice prend vingt minutes et il trouve toujours quelque chose. Les découvertes habituelles sont une adresse de messagerie protégée par un seul mot de passe, un numéro de téléphone capable de réinitialiser trois choses distinctes, un gestionnaire de mots de passe dont la récupération renvoie à la messagerie, ou un second facteur dont les codes de secours sont rangés dans le compte qu'ils protègent. Chacune est une boucle ou un point unique que les protections individuelles masquaient.
Il y a une seconde question à laquelle le même schéma répond, et c'est celle qu'on repousse. Si vous n'étiez pas disponible, qui pourrait atteindre ces comptes, et comment. Une chaîne qui n'aboutit que dans votre tête est sûre contre tout le monde y compris votre famille, et c'est une décision qui mérite d'être prise délibérément plutôt que par défaut.
Chaque compte a une chaîne qui finit quelque part de physique. Personne ne la dessine, et la dessiner révèle toujours un maillon qui travaille beaucoup plus que les autres.
Le trading automatisé exige une clé d'API, et une clé d'API est une connexion qui n'expire jamais, ne demande jamais de second facteur, et vit dans un fichier de configuration. Elle survit à chaque changement de mot de passe et à chaque nouvel appareil, et elle est invisible dans la plupart des écrans de sécurité d'un compte à moins d'aller la chercher.
Les trois réglages qui rendent cela gérable sont tous disponibles et rarement employés. Restreignez la clé à des adresses réseau précises, pour qu'une copie soit inutile depuis ailleurs. N'accordez jamais de droit de retrait à moins qu'une chose ne l'exige réellement, parce que des droits de trading seuls ne peuvent pas sortir des fonds de la plateforme. Et supprimez les clés que rien n'utilise, ce qui est le cas de la plupart au bout d'un an.
Le même raisonnement couvre tout ce qui a un accès permanent : applications connectées, suiveurs de portefeuille en lecture, outils fiscaux, et tout ce qui a demandé une clé un jour sans jamais être revu. Chacun est un identifiant que vous avez émis, détenu par quelqu'un dont vous ne contrôlez pas la sécurité, et la liste est plus longue que quiconque ne s'en souvient.
L'ordre compte plus que les étapes prises séparément, parce que les faire dans le mauvais ordre laisse l'attaquant en place. Terminez toutes les sessions d'abord, sur la plateforme concernée et sur la messagerie, parce que cela retire un accès qu'un changement de mot de passe ne retirerait pas. Puis changez le mot de passe. Puis faites tourner le second facteur s'il a pu être compromis. Puis revoyez et révoquez les clés d'API et les applications connectées.
C'est seulement après cela qu'il vaut la peine d'enquêter sur ce qui s'est passé, et cela vaut la peine plutôt que d'être sauté. Regardez l'historique de connexion pour les lieux et les appareils, vérifiez si des adresses de retrait ont été ajoutées, et vérifiez si des règles de transfert ou des filtres de messagerie ont été créés, ce qui est une étape fréquente pour masquer les alertes qui suivent.
La seule action à prendre avant tout le reste, si des fonds sont en jeu et que la plateforme le permet, est de bloquer les retraits ou de geler le compte. La plupart des places offrent un moyen de le faire instantanément, c'est réversible, et cela achète le temps que tout le reste exige.
Rien de ce qui précède n'a besoin d'être fait en continu, et tout se dégrade. Une fois par an, ou après un incident où que ce soit dans vos comptes, parcourez la liste. Les sessions actives sur chaque plateforme. Les clés d'API et les applications connectées, en supprimant ce qui ne sert plus. Les options de récupération de la messagerie, en confirmant que le numéro de téléphone n'y figure pas. Les listes blanches d'adresses de retrait. Et les codes de secours de chaque second facteur, en confirmant qu'ils existent et qu'ils ne sont pas rangés dans le compte qu'ils protègent.
La raison de le programmer plutôt que d'y réagir est que les défaillances s'accumulent en silence. Une clé créée pour un outil abandonné il y a huit mois, une session sur un portable qui a été revendu, une application autorisée une fois et oubliée : rien de tout cela ne s'annonce, et chacun est un identifiant permanent détenu par quelqu'un. Une heure par an les retire, ce qui est un meilleur rendement que presque tout le reste de cette liste.
L'adresse de messagerie vers laquelle vos comptes se récupèrent. Elle est à la racine de presque toute chaîne de récupération, donc qui la contrôle peut réinitialiser les plateformes, le gestionnaire de mots de passe, et les services dont ceux-ci dépendent. Elle est aussi en général moins bien protégée que les comptes qui y pendent.
Parce que les jetons de session survivent fréquemment à un changement de mot de passe. Un jeton est un identifiant à part entière et il contourne entièrement le second facteur, ce qui explique que les logiciels malveillants volent des jetons plutôt que des mots de passe. Terminez toutes les sessions d'abord, changez le mot de passe ensuite, pas l'inverse.
Oui, et l'alternative est pire. Un gestionnaire avec un mot de passe maître solide et un second facteur est une cible bien plus petite qu'une douzaine de services partageant un mot de passe, et le bourrage d'identifiants contre les mots de passe réutilisés tourne en continu et à échelle industrielle contre tous les formulaires de connexion.
Un profil de navigateur séparé sans extension retire l'essentiel de l'exposition pour zéro coût et trente secondes de mise en place. Un compte utilisateur séparé est mieux, une machine séparée encore mieux. Où placer la limite dépend du solde en jeu, et la version bon marché capte l'essentiel du bénéfice.
Parce qu'elles ont la permission de lire et de modifier chaque page que vous ouvrez, et qu'on les installe avec légèreté. Les extensions changent de propriétaire et reçoivent des mises à jour écrites par quelqu'un d'autre que l'auteur d'origine, en silence. Tout profil qui touche à des comptes financiers devrait porter une liste assez courte pour se relire en une minute.
Bloquer les retraits ou geler le compte si la plateforme le permet, puisque c'est instantané et réversible. Puis terminer toutes les sessions sur la plateforme et sur votre messagerie. Puis changer les mots de passe, faire tourner le second facteur, et révoquer les clés d'API et les applications connectées. L'ordre compte parce qu'un changement de mot de passe seul laisse les sessions vivantes.
Comme des connexions qui n'expirent jamais et ne demandent jamais de second facteur. Restreignez chacune à des adresses réseau précises, n'accordez jamais de droit de retrait à moins qu'une chose ne l'exige vraiment, et supprimez celles que rien n'utilise, ce qui est le cas de la plupart au bout d'un an. Elles sont invisibles dans la plupart des écrans de sécurité si on ne les cherche pas.
N'importe où sauf dans le compte qu'ils protègent, qui est l'erreur la plus fréquente. Imprimés et rangés physiquement est la réponse ordinaire. Les ranger dans une messagerie que le même second facteur protège crée une boucle qui lâche exactement quand vous en avez besoin.