Tout comprendre au Multi-device FIDO, cette norme conçue pour enfin tuer les mots de passe

Cela fait des années que tout le monde veut le tuer, mais personne n’y arrive. Après que l’informatique existe, il passe nous empoisonne notre quotidien. Il faut le rendre complexe sans toutefois l’oublier, le gérer dans des logiciels dédiés, le changer régulièrement, faire attention à ne pas le refiler à n’importe qui, etc.

En 2018, le consortium FIDO Alliance réfléchit à initier la mise en bière en proposant la norme FIDO2. Celui-ci s’appuie sur un mécanisme de cryptographie asymétrique assez ingénieux pour se débarrasser de ces codes secrets encombrants. More la mayonnaise n’a pas pris, et le mot de passe est toujours très vivant. L’alliance propose de maintenir un nouveau standard : le « Multi-device FIDO », qui est soutenu par les principaux acteurs technologiques (Google, Apple, Microsoft). Voici cinq questions pour bien comprendre de quoi il revient.

Pourquoi FIDO2 at-il été un échec ?

Sur le papier, FIDO2 est une excellente alternative au mot de passe. L’utilisateur qui se connecte une fois à un service en ligne doit d’abord procéder à un enrôlement qui consiste en un générique dans son “authentificateur” — un navigateur, un smartphone, un moniteur connecté, etc. — une clé privée et une clé publique. La licence publique est transmise au fournisseur de services et la licence privée reste stockée au terminal. Une fois que l’utilisateur s’est connecté, il envoie un message d’authentification signé avec le fournisseur de service privé, qui peut vérifier la signature auprès du fournisseur de service public. C’est tout. Le grand avantage, c’est qu’il n’y a aucun mot de passe à taper et le risque de phishing est supprimé.

Le problème est qu’il existe trois rares services en ligne qui n’ont pas implémenté la norme FIDO2. Et c’est logique, car cette procédure d’enrôlement est trop contrariante. Comme la clé privée créée est unique pour chaque authentificateur, il faut faire l’enrôlement pour chaque terminal et chaque service. Ou, les particuliers manipulent beaucoup de différents et les renouvellent fréquemment. Avec trois processeurs et vingt services, cela fait théoriquement… 60 procédures d’enrôlement ! Et pour chaque nouveau terminal acheté, il faut se farcir à nouveau vingt enrôlements. On a vite fait de préférer un gestionnaire de mots de passe centralisé dans le cloud. On le remplit une fois, et c’est fini.

Quelle réponse le FIDO Multi-device prend-il en charge ?

De nombreuses améliorations apportées pour simplifier l’utilisation des technologies FIDO au niveau du grand public. La première est une fonction “roaming”, qui vous permet d’utiliser l’authentification FIDO sur un système qui n’est pas inscrit. Aussi, le processus pour être relayé par Bluetooth verra un authentificateur à proximité, typiquement un smartphone, ou l’utilisateur validera la connexion. L’avantage, c’est que le particulier n’aura plus besoin d’enrôler la borne chaque. A la limite, le même peut se contenter d’un seul, à condition évidemment que les systèmes soient interopérables entre eux.

La deuxième nouveauté est la possibilité de sauvegarder de manière centralisée dans les mains privées de l’authentificateur (c’est-à-dire le smartphone). Si la dernière est perdue, l’utilitaire pourra donc facilement régénérer ses accès, sans passer par de nouvelles procédures d’enrôlement.

Le but, au final, c’est d’avoir un système facile à gérer. « Du point de vue de l’expérience utilisateur, cela sera très similaire à la façon dont on interagit avec un gestionnaire de mots de passe aujourd’hui, quand il s’agit de s’enregistrer et de se connecter en toute sécurité aux sites Web . Cependant, ce sera beaucoup plus sécurisé, car le serveur du service ne reçoit pas un mot de passe, mais une clé publique », nous expliquons un porte-parole de l’alliance FIDO.

Commentaire Etes-vous certain que les terminaux seront interopérables ?

L’itinérance d’authentification Bluetooth fait partie intégrante de la norme FIDO. Tous les systèmes mettant en œuvre le « FIDO Multi-device » sont automatiquement interopérables. La bonne nouvelle, par ailleurs, c’est donc que les trois géants Google, Apple et Microsoft ont annoncé qu’ils intégreront cette nouvelle technologie d’authentification dans leurs plaques-formes. En plus de cela, nous nous attendons également à ce que les systèmes Android, Windows, iOS et macOS soient tous interopérables au niveau de l’itinérance. Ce qui permet de couvrir presque tout le marché informatique grand public.

À ce jour, cependant, aucun délai n’est indiqué. On ne sait pas non plus si les fournisseurs de service vont enfin sauter le pas et adopter FIDO de leur côté. Cela ne va pas de soi, car il faut adapter les plateformes. L’inertie risque d’être forte, car c’est un investissement non négligeable.

A découvrir également en vidéo :

FIDO multi-appareils est également sûr que FIDO2 ?

Non. Ce que l’on gagne au niveau de la facilité d’utilisation, on le los un peu au niveau de la sécurité, car les deux nouvelles fonctionnalités introduisent aussi deux nouveaux risques. Désormais, il faudra faire confiance aux géants informatiques pour la sauvegarde des clés privées. Ils doivent être différenciés de manière centralisée également risque d’aiguiser des appétits chez les pirates… ou les agences de renseignement. Pour ailleurs, comment ces clés privées seront-elles attribuées chez Google, Apple et Microsoft ? Ces derniers vont-ils mettre en place un chiffrement de bout en bout, comme le font la plupart des gestionnaires de mots de passe dans le cloud ? Pour l’instant, on ne sait pas.

Le deuxième risque nouveau est le relais de la procédure d’authentification via Bluetooth, qui crée une nouvelle surface d’attaque. Cependant, l’alliance minimise les risques. D’une part, cela se passe dans un contexte de proximité. D’autre part, le protocole FIDO sous-jacent « Ne vous fiez pas aux propriétés de sécurité Bluetooth pour la sécurité de la procédure d’authentification. D’autre part, l’utilisation de fonctions cryptographiques standards au niveau de l’application couche pour protéger les dons »explique le consortium.

Que se passe-t-il si je change d’écosystème ?

Ce sera probablement le gros point noir de toute cette construction, car à priori les sauvegardes des clés privées ne seront pas interopérables d’un écosystème à l’autre. Avec Multi-device FIDO, l’idée est d’utiliser un smartphone comme la plupart des accès à tous les services. Dans les faits, les clés privées seront donc sauvegardées soit chez Google, soit chez Apple. Plus de gens disent qu’il y aura un écosystème passerelle versus l’autre, et le site de l’alliance FIDO suggère plus que l’inverse. Par conséquent, le jour où l’utilisateur de remplacement sera un smartphone Android pour un iPhone, il est probable qu’il devra passer à toutes les inscriptions. Alors qu’avec un gestionnaire de mots de passe, ce problème n’existe pas.

Leave a Comment