Fido Alliance

L’alliance FIDO est un regroupement d’industries lancé en février 2013. Son but est de réduire l’utilisation de l’authentification classique par le couple login/mot de passe sur les applications webs grand public. L’alliance vise également de renforcer et de simplifier l’authentification à double facteur sur les applications web. Pour cela, l’alliance Fido propose un nouveau standard d’authentification.

Ce nouveau standard est décliné aujourd’hui en trois spécifications :

  • Universal Second Factor (U2F),
  • Universal Authentication Framework (UAF),
  • et le Client to Authenticator Protocol (CTAP).

 

Univers Authentification Framework

 

Le protocole Universal Authentication Framework (UAF) a pour objectif de proposer à l’utilisateur une expérience « passwordless » ou sans mot de passe. Concrètement, l’utilisateur enregistre son appareil ou équipement FIDO auprès du service en ligne. Ce faisant, il sélectionne un mécanisme d’authentification local et personnel. Par exemple une authentification par reconnaissance digitale, reconnaissance faciale ou un code PIN. C’est l’étape d’enrôlement ou d’enregistrement de l’équipement. Ensuite, pour chaque authentification auprès d’un service web compatible FIDO (exemple : site marchand, site bancaire), l’utilisateur doit s’authentifier localement avec la(es) méthode(s) d’authentification choisie(s) à l’enrôlement. Au final, l’utilisateur n’a donc plus besoin de saisir son couple login/mot de passe pour s’authentifier auprès du service web en question.

 

Universal Second Factor

 

Le protocole Universal Second Factor (U2F) a pour objectif de standardiser une authentification à deux facteurs pour l’utilisateur. Concrètement, cela permet aux services web (exemple : site marchand) d’accroître la sécurité des accès en ajoutant un second facteur d’authentification. Tout cela en sus du couple login/mot de passe classique. L’utilisateur s’authentifie donc avec un nom d’utilisateur et un mot de passe comme auparavant. Mais, l’application lui demande de présenter un deuxième appareil FIDO U2F enrôlé. L’utilisateur présente ensuite le deuxième facteur. Pour ce faire, il appuie, par exemple, sur un bouton sur le dongle USB ou utilise une authentification biométrique locale.

 

Ces protocoles sont basés sur la cryptographie à clé publique et résistent au phishing.

 

WebAuthN

 

Aujourd’hui, FIDO2 comprend la spécification d’authentification Web WebAuthN. Cette dernière définit une API Web standard à intégrer aux navigateurs. Une fois intégrée, elle permet la prise en charge de l’authentification FIDO (via des appareils compatibles FIDO ou non). WebAuthn est une évolution majeure. En effet, elle ouvre concrètement le champ à l’utilisation des capacités d’authentification biométriques des périphériques tels que les smartphones. De plus, elle pourrait s’intégrer aux applications internes et aux applications grand public. Mozilla Firefox 60 a déjà adopté le WebAuthN. Edge et Chrome suivent.

 

Des géants du secteur comme Google, Amazon ou Facebook supportent déjà FIDO.

 

Pour aller plus loin sur ce sujet, nous suggérons : https://fidoalliance.org/fido2/ et https://www.w3.org/TR/webauthn/.

Vous souhaitez en savoir plus sur FIDO et ses applications, contactez-nous !