WebAuthn (Web Au­then­ti­fi­ca­tion)

Si l’on utilise Internet fré­quem­ment, on risque vite de posséder de nombreux mots de passe et noms d’uti­li­sa­teur. Vous en avez, entre autres, besoin pour les réseaux sociaux, le commerce en ligne ou pour accéder à vos comptes de mes­sa­ge­rie élec­tro­nique. Cependant, la na­vi­ga­tion sur Internet pourrait être, à l’avenir, beaucoup plus pratique pour les in­ter­nautes, du moins si la re­com­man­da­tion du World Wide Web Con­sor­tium (W3C) est suivi. Le nouveau standard WebAuthn est conçu pour rendre inutile la mé­mo­ri­sa­tion des mots de passe, sans toutefois com­pro­mettre la sécurité des données sensibles.

Au­pa­ra­vant, la seule façon de confirmer son identité sur Internet était de combiner un nom d’uti­li­sa­teur et un mot de passe. Avec un nom d’uti­li­sa­teur (dans la plupart des cas une adresse email), un uti­li­sa­teur spécifie à quel compte il est autorisé à accéder. Un mot de passe que lui seul connaît confirme ensuite son identité.

Cette méthode s’est avérée dé­fi­ciente dans le passé : comme elle est assez la­bo­rieuse, les uti­li­sa­teurs ont tendance à la sim­pli­fier par eux-mêmes. Ils utilisent alors des com­bi­nai­sons de ca­rac­tères qui sont faciles à mémoriser mais qui peuvent aussi être ra­pi­de­ment dé­chif­frées, ou bien ils utilisent le même mot de passe pour chaque compte. Pour remédier à cela, les ges­tion­naires de mot de passe et l’au­then­ti­fi­ca­tion à deux facteurs ont été in­tro­duits. Mais même ces mesures ne sont ni idéales ni très pratiques pour les in­ter­nautes.

Le World Wide Web Con­sor­tium (un organisme de stan­dar­di­sa­tion et as­so­cia­tion de plusieurs en­tre­prises de tech­no­lo­gies, qui publie ré­gu­liè­re­ment des normes pour Internet) a reconnu le problème et a recherché une solution. En col­la­bo­ra­tion avec la FIDO Alliance (une as­so­cia­tion de dif­fé­rentes en­tre­prises pour pro­mou­voir et uni­for­mi­ser des normes d’au­then­ti­fi­ca­tion), plusieurs mesures ont été dé­ve­lop­pées dans le cadre du projet FIDO2 : en plus du protocole de FIDO CTAP (Client to Au­then­ti­ca­tor Protocol), il s’agit avant tout du nouveau standard WebAuthn.

Web Au­then­ti­fi­ca­tion se veut une option d’au­then­ti­fi­ca­tion uniforme qui ne repose plus sur des mots de passe mais sur des données bio­mé­triques. La norme permet donc aux uti­li­sa­teurs de se connecter à leur compte en utilisant les em­preintes digitales ou la re­con­nais­sance faciale par exemple. Aujourd’hui, de nombreux appareils (en par­ti­cu­lier les smart­phones et les or­di­na­teurs portables) sont déjà équipés du matériel et des logiciels cor­res­pon­dants, ce qui explique pourquoi l’obstacle pour les uti­li­sa­teurs est désormais re­la­ti­ve­ment faible. Al­ter­na­ti­ve­ment, un token matériel (jeton d’au­then­ti­fi­ca­tion) peut être utilisé pour s’iden­ti­fier. Comme les uti­li­sa­teurs emportent toujours cette in­for­ma­tion avec eux, ils ne peuvent ni l’oublier ni la trans­mettre par né­gli­gence. Avec WebAuthn, la technique de l’ha­me­çon­nage (phishing) pourrait donc pro­ba­ble­ment ap­par­te­nir au passé.

WebAuthn doit à l’avenir fonc­tion­ner avec n’importe quel na­vi­ga­teur. Chrome, Firefox, Safari (en partie) et Edge sup­por­tent déjà le standard. Les sites Web qui sou­hai­tent vérifier l’identité des uti­li­sa­teurs à des fins de connexion accèdent à l’API Web Au­then­ti­fi­ca­tion dans le na­vi­ga­teur. L’uti­li­sa­teur concerné ne confirme à son tour son identité que sur son propre appareil. Il utilise par exemple un lecteur d’em­preintes digitales ou connecte son token à un or­di­na­teur portable ou or­di­na­teur de bureau. Les données d’identité sensibles (l’empreinte digitale par exemple) ne quittent pas l’appareil. Avec la méthode de la clef publique, seule une con­fir­ma­tion du na­vi­ga­teur est envoyée au service Web. L’uti­li­sa­teur n’a alors pas besoin d’entrer un mot de passe ou un nom d’uti­li­sa­teur.

L’interface est ac­ces­sible via Ja­vaS­cript. Il est donc très facile pour les opé­ra­teurs de sites Web de mettre en place Web Au­then­ti­fi­ca­tion, ce qui devrait ainsi permettre une diffusion rapide du standard. Si le four­nis­seur de services Web souhaite encore plus de sécurité pour son service, WebAuthn et l’au­then­ti­fi­ca­tion mul­ti­fac­teur (MFA) peuvent être utilisés ensemble. En sus de l’au­then­ti­fi­ca­tion par données bio­mé­triques, vous pouvez théo­ri­que­ment exiger un mot de passe.

De plus, puisque les in­ter­nautes ne sont plus res­pon­sables de la création des mots de passe et des noms d’uti­li­sa­teur, il n’y a aucun risque que les mêmes données soient utilisées pour dif­fé­rents comptes. La norme garantit en effet que le compte de chaque uti­li­sa­teur possède des in­for­ma­tions d’iden­ti­fi­ca­tion uniques. Vous n’avez qu’à en­re­gis­trer votre « au­then­ti­fi­ca­teur » (empreinte digitale, token, etc.) une seule fois auprès du service Web et vous pouvez ensuite utiliser le login adéquat.

Con­trai­re­ment aux anciennes pro­cé­dures qui uti­li­saient un mot de passe, WebAuthn offre plusieurs avantages pour les uti­li­sa­teurs et les four­nis­seurs de services Web. Mais c’est la facilité d’uti­li­sa­tion qui devrait surtout con­vaincre les in­ter­nautes. L’in­for­ma­tion n’a en effet plus besoin d’être mémorisée. Cela s’ac­com­pagne également d’un gain important en termes de sécurité : l’uti­li­sa­tion de mots de passe n’est en effet sécurisée que sous certaines con­di­tions. Ils peuvent être soit dé­chif­frés - avec une attaque par force brute ou avec les Rainbow Tables par exemple - ou bien les mots de passe sont piratés via l’ha­me­çon­nage (phishing). Avec WebAuthn, il n’y a pas de mot de passe qui peut être transmis ou dévoilé in­vo­lon­tai­re­ment.

Étant donné que le nouveau standard ne transmet pas de données sur Internet, une attaque de l’homme du milieu, dans laquelle les données peuvent être ex­ploi­tées pendant la trans­mis­sion, n’est ici d’aucune utilité. La procédure de clé publique sécurise par chif­fre­ment la trans­mis­sion du cer­ti­fi­cat d’au­then­ti­cité.

Le fait que toutes les données sensibles restent dans l’appareil de l’uti­li­sa­teur est aussi un avantage pour les opé­ra­teurs de sites Web. Les four­nis­seurs de services qui exigent une ins­crip­tion doivent ac­tuel­le­ment investir beaucoup d’énergie et d’expertise dans la sé­cu­ri­sa­tion des mots de passe et des noms d’uti­li­sa­teur. Si les criminels réus­sis­sent à pénétrer dans les bases de données du four­nis­seur, cela peut alors être ca­tas­tro­phique. Les en­tre­prises qui ne sont pas en mesure d’éviter une telle attaque seront con­fron­tées à de graves con­sé­quences, et les uti­li­sa­teurs qui en sont victimes devront alors faire face à une uti­li­sa­tion frau­du­leuse et mal­veil­lante con­sé­quente des données, surtout s’ils utilisent aussi ces données de connexion pour d’autres pla­te­formes.

WebAuthn est également considéré comme plus sûr que l’au­then­ti­fi­ca­tion mul­ti­fac­to­rielle. Bien que la fonction d’iden­ti­fi­ca­tion com­plé­men­taire, qui est demandée lors de la connexion via MFA, offre une pro­tec­tion sup­plé­men­taire, elle n’est pas sans risque. Certaines fonctions d’au­then­ti­fi­ca­tion - comme un mot de passe unique par SMS - peuvent être in­ter­cep­tées re­la­ti­ve­ment fa­ci­le­ment. De plus, ces mots de passe à court terme sont également devenus des cibles pri­vi­lé­giées des attaques par ha­me­çon­nage (phishing). En outre, le Multi-factor au­then­ti­fi­ca­tion (MFA) est un processus re­la­ti­ve­ment laborieux. WebAuthn fonc­tionne plus ra­pi­de­ment et est donc plus simple d’uti­li­sa­tion.

Il existe cependant des in­con­vé­nients si un nouvel « au­then­ti­fi­ca­teur » doit être en­re­gis­tré pour un compte existant. Si par exemple, le token matériel (jeton d’au­then­ti­fi­ca­tion) est perdu, il vous en faut un nouveau. Ce nouveau token ne peut alors pas être fa­ci­le­ment relié au profil existant, ce serait en effet un trop grand risque pour la sécurité. À la place, vous devez soit avoir un au­then­ti­fi­ca­teur de rem­pla­ce­ment destiné à cet usage par­ti­cu­lier, soit effectuer une réi­ni­tia­li­sa­tion. Ce processus est similaire à la réi­ni­tia­li­sa­tion d’un mot de passe et est par­ti­cu­liè­re­ment adapté aux services qui ne né­ces­si­tent pas un niveau de sécurité élevé.