IdentifiantMot de passe
Loading...
Mot de passe oublié ?Je m'inscris ! (gratuit)

Vous êtes nouveau sur Developpez.com ? Créez votre compte ou connectez-vous afin de pouvoir participer !

Vous devez avoir un compte Developpez.com et être connecté pour pouvoir participer aux discussions.

Vous n'avez pas encore de compte Developpez.com ? Créez-en un en quelques instants, c'est entièrement gratuit !

Si vous disposez déjà d'un compte et qu'il est bien activé, connectez-vous à l'aide du formulaire ci-dessous.

Identifiez-vous
Identifiant
Mot de passe
Mot de passe oublié ?
Créer un compte

L'inscription est gratuite et ne vous prendra que quelques instants !

Je m'inscris !

Un grand pari pour éliminer le besoin de mots de passe dans le monde,
La FIDO Alliance affirme avoir trouvé la pièce manquante sur la voie d'un avenir sans mot de passe

Le , par Bruno

88PARTAGES

6  0 
Après dix ans de travail sur la question d’élimination des mots de passe dans le monde, l'Alliance FIDO, une association industrielle qui travaille spécifiquement sur l'authentification sécurisée, pense avoir enfin identifié la pièce manquante du puzzle. Jeudi, l'organisation a publié un livre blanc qui expose la vision de la FIDO pour résoudre les problèmes d'utilisabilité qui ont entravé les fonctions sans mot de passe et, apparemment, les ont empêchées d'être largement adoptées.

Les membres de la FIDO tels qu'Intel et Qualcomm, de développeurs de plateformes de premier plan tels qu'Amazon et Meta, d'institutions financières telles qu'American Express et Bank of America, ainsi que des développeurs des principaux systèmes d'exploitation Google, Microsoft et Apple ont collaboré à la rédaction de ce livre blanc. Le document est conceptuel et non technique, mais après des années d'investissement pour intégrer les normes sans mot de passe FIDO2 et WebAuthn dans Windows, Android, iOS et d'autres systèmes, tout repose désormais sur le succès de cette nouvelle étape.

La figure ci-dessous résume l'idée d'identifiants FIDO multi-appareils (avec des clés liées à l'appareil) et la manière dont ils diffèrent des identifiants FIDO traditionnels.


« La clé du succès pour la FIDO est d'être facilement disponible, nous devons être aussi omniprésents que les mots de passe », explique Andrew Shikiar, directeur exécutif de l'Alliance FIDO. « Les mots de passe font partie de l'ADN du Web lui-même, et nous essayons de les supplanter. Ne pas utiliser de mot de passe devrait être plus facile que d'utiliser un mot de passe. »

Dans la pratique, cependant, même les systèmes sans mot de passe les plus transparents ne sont pas tout à fait au point. Une partie du défi réside simplement dans l'énorme inertie que les mots de passe ont accumulée. Les mots de passe sont difficiles à utiliser et à gérer, ce qui incite les gens à prendre des raccourcis, comme les réutiliser sur plusieurs comptes, et crée des problèmes de sécurité à chaque fois. Il s'est avéré difficile d'informer les consommateurs sur les alternatives sans mot de passe et de les mettre à l'aise avec ce changement.

Mais au-delà de la simple acclimatation, la FIDO cherche à comprendre ce qui rend les systèmes sans mot de passe difficiles à gérer. Le groupe a conclu que tout se résume à la procédure de changement ou d'ajout de dispositifs. Si la procédure de configuration d'un nouveau téléphone, par exemple, est trop compliquée et qu'il n'y a pas de moyen simple de se connecter à toutes vos applications et à tous vos comptes - ou si vous devez revenir aux mots de passe pour rétablir votre propriété sur ces comptes - la plupart des utilisateurs concluront que c'est trop compliqué de changer le statu quo.

La norme FIDO sans mot de passe s'appuie déjà sur les scanners biométriques d'un appareil (ou un code PIN principal que l’utilisateur sélectionne) pour s’authentifier sans qu'aucune de ses données ne transite par Internet vers un serveur Web pour validation. Le concept principal qui, selon la FIDO, résoudra finalement le problème des nouveaux appareils est la mise en œuvre par les systèmes d'exploitation d'un gestionnaire de « certificats FIDO », qui est quelque peu similaire à un gestionnaire de mots de passe intégré. Au lieu de stocker littéralement les mots de passe, ce mécanisme stockera des clés cryptographiques qui peuvent être synchronisées entre les appareils et sont protégées par le verrouillage biométrique ou par code d'accès de l’appareil.

L'Alliance FIDO et le groupe de travail WebAuthn du W3C proposent de combler ces lacunes dans une nouvelle version ("Niveau 3" de la spécification WebAuthn. Deux avancées proposées en particulier méritent d'être mentionnées :

  • Utiliser son téléphone comme authentificateur d'itinérance : les utilisateurs finaux disposent généralement déjà d'un smartphone ;
    La quasi-totalité des mécanismes d'authentification à deux facteurs de l'espace grand public actuels utilisent déjà le smartphone de l'utilisateur. Le problème est qu'ils le font d'une manière qui peut être piratée : Il est possible de saisir par inadvertance un OTP sur le site d'un cybercriminel, ou il est possible d’approuver une demande de connexion sur son smartphone sans se rendre compte que le navigateur est en train d'utiliser un OTP.

    Les ajouts proposés aux spécifications de la FIDO/WebAuthn définissent un protocole qui utilise le Bluetooth pour communiquer entre le téléphone de l'utilisateur (qui devient l'authentificateur FIDO) et le dispositif à partir duquel l'utilisateur tente de s'authentifier. Le Bluetooth nécessite une proximité physique, ce qui signifie que l’utilisateur diqpose maintenant d’un moyen résistant au phishing pour utiliser le téléphone de l'utilisateur pendant l'authentification.

    Grâce à cet ajout aux normes FIDO/WebAuthn, les déploiements à deux facteurs qui utilisent actuellement le téléphone de l'utilisateur comme second facteur pourront passer à un niveau de sécurité plus élevé (résistance au phishing) sans que l'utilisateur ait besoin de transporter un matériel d'authentification spécialisé (clés de sécurité).
  • Identités FIDO multi-dispositifs : l’équipe s’attend à ce que les fournisseurs d'authentifiants FIDO (en particulier ceux des authentificateurs intégrés dans des plateformes de systèmes d'exploitation) adaptent leurs implémentations d'authentificateurs de sorte qu'un justificatif FIDO puisse resister à la perte d'un appareil. En d'autres termes, si l'utilisateur a configuré un certain nombre d'identifiants FIDO pour différentes parties prenantes sur son téléphone, puis qu'il obtient un nouveau téléphone, il devrait pouvoir s'attendre à ce que toutes ses informations d'identification FIDO soient conservées.

Cela signifie que les utilisateurs n'ont plus besoin de mots de passe lorsqu'ils passent d'un appareil à l'autre, leurs identifiants FIDO sont déjà présentes, prêtes à être utilisées pour une authentification résistante au phishing. Notons que ce changement n'est pas un changement dans la norme c'est un changement que attendu des vendeurs d'authentificateurs dans la mise en œuvre de leur authentificateur. Il existe des propositions de modifications des spécifications WebAuthn et FIDO qui permettraient d'améliorer l'expérience des utilisateurs en matière d'authentification FIDO (y compris les authentifications FIDO multi-appareils), en particulier pour les parties prenantes qui doivent servir des utilisateurs utilisant un mot de passe et des utilisateurs utilisant la FIDO au même moment.

Pour ces informations d'identification FIDO multi-dispositifs, il incombe à la plateforme OS de s'assurer que les informations d'identification sont disponibles là où l'utilisateur en a besoin. (Notons que certaines entreprises appellent les informations d'identification FIDO passkeys dans leurs implémentations de produits, en particulier lorsque ces informations d'identification FIDO peuvent être des informations d'identification sur plusieurs appareils). Tout comme les gestionnaires de mots de passe le font avec les mots de passe, la plateforme OS sous-jacente "synchronisera" les clés cryptographiques qui appartiennent à un utilisateur.

Cela signifie que la sécurité et la disponibilité de la carte d'identité synchronisée d'un utilisateur dépendent de la sécurité de la plateforme OS sous-jacente (Google, Apple, Microsoft, etc.) pour ses comptes en ligne et de la méthode de sécurité utilisée pour rétablir l'accès en cas d'échec.

Si cela ne répond pas toujours aux besoins pour les cas d'utilisation qui exigent, par exemple, l'AAL3, il s'agit d'une amélioration considérable de la sécurité par rapport aux mots de passe. Lors de la conférence mondiale des développeurs d'Apple l'été dernier, la société a annoncé sa propre version de ce que décrit la FIDO, une fonction iCloud connue sous le nom de « Passkeys in iCloud Keychain », qui, selon Apple, est sa « contribution à un monde post-mots de passe ».

« Les Passkeys sont des informations d'identification WebAuthn avec l'incroyable sécurité que la norme offre, combinée à la convivialité d'être sauvegardée, synchronisée et de fonctionner sur tous vos appareils », a expliqué Garrett Davidson, un ingénieur de l'équipe d'expérience d'authentification des applications d'Apple, lors d’une conférence tenue en juin de l’année dernière. « Nous les stockons dans le trousseau iCloud. Comme tout ce qui se trouve dans votre trousseau iCloud, elles sont cryptées de bout en bout, de sorte que même Apple ne peut pas les lire... Et ils sont très faciles à utiliser. Dans la plupart des cas, il suffit d'une simple pression ou d'un clic pour se connecter. »

Si l’utilisateur a perdu son ancien smartphone par exemple, et qu’il possède un nouveau, le processus de transfert peut se faire simplement par le biais du flux de configuration proposé par Apple à ce moment-là. Si l’utilisateur décide de passer à Android, ou s’il passe d'un écosystème numérique à un autre, le processus ne sera peut-être pas aussi simple.

Chacune des plateformes référencées applique une analyse de risque sophistiquée et utilise des seconds facteurs implicites ou explicites lors de l'authentification pendant l'authentification, offrant ainsi des protections de type AAL2 à un grand nombre de leurs utilisateurs. Ce changement, qui consiste à laisser chaque service se débrouiller tout seul avec son propre système d'authentification basé sur un mot de passe, pour s'appuyer sur la plus grande des mécanismes d'authentification des plateformes, est la façon dont les utilisateurs peuvent réduire de manière significative la dépendance excessive de l'internet aux mots de passe à grande échelle.

Source : FIDO Alliance

Et vous ?

Que pensez-vous de cette initiative ? Peut-on parler de révolution pour la sécurité sur le web ?

Voir aussi

Les mots de passe enregistrés sur Google Chrome ne sont pas à l'abri des cyberattaques, la plateforme pourrait être à l'origine de la récente hausse observée des cyberattaques, selon ESET

Les équipes de sécurité trouvent plus facile d'atténuer Log4Shell plutôt que de le corriger définitivement, le délai moyen de remédiation après détection est de 17 jours, selon Qualys Cloud Platform

Les sites web du gouvernement russe sont confrontés à des cyberattaques sans précédent et des efforts techniques sont déployés pour filtrer le trafic web étranger, a déclaré l'agence de presse TASS

CrowdSec dévoile "The Majority Report", son premier rapport sur l'état des lieux de la menace cyber, basé sur les données de la communauté d'utilisateurs de CrowdSec

Une erreur dans cette actualité ? Signalez-le nous !

Avatar de 23JFK
Membre expert https://www.developpez.com
Le 06/05/2022 à 14:04
... ou comment remplacer des mots-de-passe fixes par des mots-de-passe tournants tout en obtenant l'identité civile de l'utilisateur via son numéro de téléphone et donc une valorisation de sa base de donnée utilisateur à dessein de profilage.

Cette pseudo avancée cache des problèmes bien plus lourds et difficiles à régler pour les personnes lambda que la simple réinitialisation d'un mot-de-passe en cas de panne, ou de vol, ou de perte, ou de changement d'appareil et/ou de numéro de téléphone ; sans compter les anciens numéros réaffectés qui enverront des demandes d'authentifications à la mauvaise personne...

Conclusion: Le mot-de-passe est un horizon indépassable en matière de sécurité et de relatif anonymat, il n'appartient qu'aux utilisateurs de ne pas choisir des mdp ridiculement faciles à cracker.
7  0 
Avatar de alexvb6
Membre du Club https://www.developpez.com
Le 26/03/2022 à 6:53
C'est clair qu'on va tous s'empresser de sauter sur le truc : imaginez un monde où s'em**rde à avoir sur soi un dispositif, qui ne marchera QUE quand y'a du réseau, ou de la batterie, ou du Bluetooth, et QUE avec des appareils/logiciels conçus pour gérer cette norme, qui sera évolutive pendant 15 ans et mal implémentée car faut baisser les coûts des IOT, au même titre que le WIFI (je me souviens du WIFI 802.11 B de 2004... c'était une galère sans nom pour rejoindre un réseau, même à 10cm du routeur).

Au final, le code informatique en AVAL des validations de hashs/clefs et autres secrets reste le même : un test qui renvoie une valeur booléenne.
Du coup, un peu de craquage dans un éditeur HEXA permettra TOUJOURS de faire foirer "le beau système".

On retrouve ainsi la force des booléens :

Code : Sélectionner tout
1
2
3
4
5
6
if (superLibrairieFIDO.fonctionAuthentification4096BitsQuantiquesDeMesCouilles = True) {
    userLogged = true;
}else if (JeSaisFaireDeLhexaEtDuCoupMemeSiCestFalseBenCaMarcheAussi = True) {
    userLogged = true;
}
Merci les gars, mais on se passera de votre machin.
On est pas des chiens, on préfère manger autre chose que du FIDO.
6  0 
Avatar de gangsoleil
Modérateur https://www.developpez.com
Le 22/03/2022 à 15:07
Bonjour,

Donc tant que je suis dans un écosystème donné (Google, Apple, Meta, Amazon, Microsoft), je peux faire une confiance aveugle à cette entreprise, et les mécanismes de changement de hardware et/ou de changement seront simples. Mais ces personnes ne pensent pas à uniformiser leur solution ??? Sérieusement ??? Et ils espèrent que cette solution sera adoptée ?

Google a déjà publié des articles du genre "nous avons trouvés comment se passer du mot de passe", mais jusqu'ici il n'en est rien. Je ne vois pas cette organisation être plus avancée.
5  0 
Avatar de Arya Nawel
Membre extrêmement actif https://www.developpez.com
Le 06/05/2022 à 10:36
Et ca se passe comment si tas pas de telephone?
6  1 
Avatar de megs
Membre régulier https://www.developpez.com
Le 28/03/2022 à 8:56
De bien grands mots pour dire qu'ils proposent de vendre des clés et certificats aux utilisateurs et aux entreprises afin de remplacer les mots de passe. bonne nouvelle pour les pirates. y a plus qu'a investir leurs systèmes chopper les certificats racines en attendant qu'ils prennent le pouvoir sur l'authentification. On nous prends vraiment pour des cons... Un moyen de plus pour un tiers d'investir vos affaires personnelles sans votre avis. imaginez que du jour au lendemain vos clés ne soient plus accessible ou bloqués par le prestataire par ce que vous n'avez plus assez d'argent pour payer le service, bha vous perdez l'acces a toute votre vie ... faites travailler vos neurones...
4  0 
Avatar de 23JFK
Membre expert https://www.developpez.com
Le 09/05/2022 à 17:16
C'est donner beaucoup trop de pouvoir à une poignée d'acteurs économiques déjà bien envahissants et une solution pas assez nationale. D'autant plus qu'avec ce système et la coopération obligatoire des sociétés américaines avec les agences gouvernementales, ça va devenir open-bar pour des dérives d'hyper-surveillance/espionnage.
4  0 
Avatar de sanderbe
Membre éclairé https://www.developpez.com
Le 21/03/2022 à 23:11
Bonsoir,

Un grand pari pour éliminer le besoin de mots de passe dans le monde, la FIDO Alliance affirme avoir trouvé la pièce manquante sur la voie d'un avenir sans mot de passe

Que pensez-vous de cette initiative ?
On "pense toujours" avoir trouvé la solution ... Même un code temporaire reste un mot de passe d'une façon ou d'une autre. On se heurte aussi à une autre réalité . Pour se connecter à certains service l'usager n'a pas spécialement envie d'avoir une artillerie de bidule sur lui ... Ou n'est pas en capacité de les avoirs.

Qui voudrait par exemple tout le temps saisir un code d'un téléphone ou d'un token pour utiliser le client logiciel Outlook ou Thunderbird ?

Peut-on parler de révolution pour la sécurité sur le web ?
Non car le risque de faille existera toujours .
3  0 
Avatar de sanderbe
Membre éclairé https://www.developpez.com
Le 07/05/2022 à 22:30
Bonsoir

Microsoft, Apple et Google accélèrent les efforts pour éliminer les mots de passe sur les grandes plateformes, les géants de la tech veulent déployer la norme "passkey"de FIDO dans l'année à venir

Que pensez-vous de cette initiative ?
Que le mot de passe classique a encore un bel avenir devant lui . Comme cité par mes voisins du dessus. Il y a de nombreux cas ou le fido pose problème ... Un peu comme demander une adresse mail à un vieux de 80 balais qui ouvre un compte en banque. ^^

Peut-on parler de révolution pour la sécurité sur le web ?
Non pas du tout.
3  0 
Avatar de gangsoleil
Modérateur https://www.developpez.com
Le 09/05/2022 à 15:04
OK, donc si je résume, mon téléphone remplace mon mot de passe, et j'ai un mot de passe de secours pour mon compte cloud -- au cas où.

Donc si je retourne le truc, en tant qu'attaquant, il y a toujours le mot de passe cloud qui est vulnérable.

Et en plus, à part Apple qui a un truc, les autres ne savent pas comment faire pour le cas où un utilisateur perdrait son téléphone et son mot de passe de compte cloud qu'il n'utilise jamais.

Mais c'est une avancée majeure ?

Et tout ceci ne prend pas en compte qu'une bonne partie des gens ne vérouillent pas du tout leur téléphone avec un code.
3  0 
Avatar de daerlnaxe
Membre éclairé https://www.developpez.com
Le 28/03/2022 à 9:06
Je rejoins l'avis de GangSoleil et je relance que je n'ai pas envie justement de me passer de mot de passe, l'identification automatique amène des facilités par la prise sur le réel en plus de déléguer un contrôle absolu.
2  0