FIDO2 : le nouveau standard pour une connexion Web sécurisée

L’au­then­ti­fi­ca­tion par nom d’uti­li­sa­teur et mot de passe sur Internet n’est plus si d’actualité pour diverses raisons : d’une part, la saisie de données per­son­nelles des uti­li­sa­teurs devient de plus en plus la­bo­rieuse en raison du nombre toujours croissant de services utilisés. D’autre part, la sécurité des données de connexion est de plus en plus menacée du fait des pos­si­bi­li­tés tech­niques accrues des cy­ber­cri­mi­nels. Par exemple, le nombre d’attaques par force brute ciblées ou les emails d’ha­me­çon­nage qui a première vue peuvent sembler inof­fen­sifs, augmente cons­tam­ment, et les in­ter­nautes ne re­mar­quent souvent même pas que leurs propres données de connexion ont déjà été es­pion­nées et piratées.

Le standard de sécurité FIDO2 répond à ce problème en s’appuyant sur une au­then­ti­fi­ca­tion à deux facteurs basée sur l’uti­li­sa­tion de clés de sécurité (clés FIDO2) et de tokens (jetons d’au­then­ti­fi­ca­tion). Grâce à l’in­té­gra­tion du standard de W3C WebAuthn, cette procédure permet non seulement des con­nexions chiffrées et anonymes, mais aussi des con­nexions sans mots de passe. Mais comment fonc­tion­nent exac­te­ment les clefs et tokens FIDO2 et quels sont les éléments né­ces­saires pour pouvoir utiliser cette nouvelle procédure de connexion pour ses activités sur Internet.

FIDO2 est la dernière spé­ci­fi­ca­tion de la FIDO Alliance (Fast Identity Online) non com­mer­ciale créée dans le but de dé­ve­lop­per des normes libres de droits pour une au­then­ti­fi­ca­tion sécurisée au niveau mondial sur le World Wide Web. Après FIDO Universal Second Factor (FIDO U2F) et FIDO Universal Au­then­ti­ca­tion Framework (FIDO UAF), FIDO2 est déjà le troisième standard à voir le jour grâce au travail de l’Alliance.

La base de FIDO2 est cons­ti­tuée du Client to Au­then­ti­ca­tor Protocol (CTAP) et du standard de W3C WebAuthn, qui se combinent pour permettre l’au­then­ti­fi­ca­tion lorsque les uti­li­sa­teurs s’iden­ti­fient avec des au­then­ti­fi­ca­teurs cryp­to­gra­phiques (comme la biométrie ou les codes PIN) ou des au­then­ti­fi­ca­teurs externes (comme les clés FIDO, les appareils portables ou mobiles) sur un terminal WebAuthn en toute sécurité (également appelé FIDO2 Server) gé­né­ra­le­ment associé à un site Web ou une ap­pli­ca­tion Web.

FIDO2 permet en option une au­then­ti­fi­ca­tion à deux facteurs, où la connexion tra­di­tion­nelle avec nom d’uti­li­sa­teur/mot de passe est complété par un chif­fre­ment avec des clés FIDO2 ainsi qu’un token FIDO2 (matériel), ou bien une au­then­ti­fi­ca­tion com­plè­te­ment libre de mot de passe, qui fonc­tionne sans saisie.

Les deux variantes ont l’avantage commun d’éliminer la faiblesse bien connue du login uti­li­sa­teur standard constitué d’un nom uti­li­sa­teur et mot de passe ainsi que des clas­siques au­then­ti­fi­ca­tions à deux facteurs (email, ap­pli­ca­tion mobile, SMS). Elles empêchent les cy­ber­cri­mi­nels d’utiliser des modèles d’attaques typiques tels que les attaques de l’homme du milieu et les attaques par ha­me­çon­nage (phishing) pour prendre le contrôle d’un compte uti­li­sa­teur. Même si les données de connexion devaient être com­pro­mises ou piratées, la connexion FIDO2 ne réussit qu’avec le token (jeton) ou la clé privée cor­res­pon­dante, qui est également liée à un matériel dédié.

Le fait que FIDO2 soit un standard libre permet aux dé­ve­lop­peurs de logiciel et matériel de plus fa­ci­le­ment im­plé­men­ter dans leurs propres produits le processus afin d’offrir aux uti­li­sa­teurs cette méthode de connexion très sûre.

L’objectif principal de la FIDO Alliance est l’éli­mi­na­tion pro­gres­sive des mots de passe sur Internet et la FIDO Alliance a ainsi favorisé le dé­ve­lop­pe­ment de FIDO2. Pour cela, le chemin de com­mu­ni­ca­tion sécurisé entre le client (le na­vi­ga­teur) et les services Web res­pec­tifs est d’abord configuré ou en­re­gis­tré afin d’être dis­po­nible en per­ma­nence pour les con­nexions ul­té­rieures. Dans ce processus, les clés FIDO2 men­tion­nées plus haut sont générées et vérifiées, et four­nis­sent la base du chif­fre­ment de la procédure de connexion. La procédure est la suivante :

1. L’uti­li­sa­teur s’en­re­gistre auprès du service en ligne et génère une nouvelle paire de clés sur l’appareil utilisé, composée alors d’une clef privée (Private Key) et d’une clé publique FIDO2 (Public Key).
2. Alors que la clé privée est stockée sur l’appareil et n’est connue que du côté client, la clé publique est en­re­gis­trée dans la base de données des clés du service Web.
3. Les au­then­ti­fi­ca­tions ul­té­rieures ne sont désormais possibles qu’en jus­ti­fiant la clé privée, qui doit toujours être dé­ver­rouil­lée par l’action de l’uti­li­sa­teur. Il existe plusieurs options telles que la saisie d’un code PIN, l’appui sur un bouton, la saisie vocale ou l’insertion d’un matériel à deux facteurs (token FIDO2) distinct. Certains systèmes d’ex­ploi­ta­tion tels que Windows 10 et Android peuvent désormais également servir de jetons (tokens) de sécurité.

La spé­ci­fi­ca­tion FIDO2 spécifie tous les com­po­sants né­ces­saires à une au­then­ti­fi­ca­tion moderne :

Tout d’abord, le standard WebAuthn du W3C, que nous avons mentionné à plusieurs reprises et qui permet aux services en ligne de permettre l’au­then­ti­fi­ca­tion FIDO via une API Web standard (écrite en Ja­vaS­cript) et qui est également im­plé­men­tée dans divers na­vi­ga­teurs et systèmes d’ex­ploi­ta­tion. Les ap­pli­ca­tions qui sup­por­tent déjà le standard depuis mars 2019 sont notamment Windows, Android et iOS (version 13 ou su­pé­rieure) ainsi que les na­vi­ga­teurs Google Chrome, Mozilla Firefox, Microsoft Edge et Apple Safari (version 13 ou su­pé­rieure).

Le deuxième composant essentiel est le protocole CTAP (Client to Au­then­ti­ca­tor Protocol). Ce protocole permet aux dif­fé­rents tokens FIDO2 d’interagir avec les na­vi­ga­teurs et aussi d’agir comme au­then­ti­fi­ca­teurs. Le na­vi­ga­teur utilisé et le token matériel souhaité doivent donc pouvoir com­mu­ni­quer via le CTAP afin d’utiliser cette fonction de sécurité (y compris la connexion sans mot de passe).

La raison pour laquelle les pro­cé­dures de connexion sans mot de passe ou les procédés de con­nexions au­then­ti­fiées par deux facteurs sup­plé­men­taires, telles que FIDO2 sont l’avenir a déjà été abordée dans l’in­tro­duc­tion. Par rapport à la connexion par mot de passe tra­di­tion­nelle, elles offrent une zone d’attaque beaucoup plus res­treinte pour les cy­ber­cri­mi­nels. Les mots de passe sont en effet souvent ra­pi­de­ment dé­cou­verts avec les bons outils, tandis que les at­ta­quants ont besoin du token de sécurité matériel pour obtenir un accès non autorisé à un compte uti­li­sa­teur protégé par FIDO2. De plus, vous pouvez utiliser un seul token FIDO2 pour dif­fé­rents services Web au lieu de créer et de mémoriser plusieurs mots de passe.

Les avantages de l’au­then­ti­fi­ca­tion FIDO2 en résumé :

Bien que la procédure FIDO2 soit avan­ta­geuse à bien des égards, il existe cependant quelques fai­blesses. Il n’existe ac­tuel­le­ment que quelques services Web qui offrent cette forme d’au­then­ti­fi­ca­tion, c’est pourtant une condition de base pour son uti­li­sa­tion. Si FIDO2 est possible, vous devez également prévoir des coûts sup­plé­men­taires pour l’achat de tokens de sécurité externes. Surtout dans les en­tre­prises où chaque employé a besoin de sa propre clé de sécurité, le passage à FIDO2 peut alors se révéler ra­pi­de­ment être une opération coûteuse.

Enfin, la méthode d’au­then­ti­fi­ca­tion stan­dar­di­sée nécessite une étape sup­plé­men­taire par rapport à une au­then­ti­fi­ca­tion par mot de passe ordinaire si elle est im­plé­men­tée comme un composant com­plé­men­taire dans le cadre d’une au­then­ti­fi­ca­tion à deux facteurs. Ainsi, si vous vous connectez à un ou plusieurs services plusieurs fois par jour, vous devez vous préparer à ce que FIDO2 ne soit pas l’une des tech­niques de connexion les plus ef­fi­cientes.