Qu'est-ce que c'est : FIDO2?
Qu'est-ce que c'est: FIDO2?
FIDO2 est une norme d'authentification ouverte développée par la FIDO Alliance qui offre une alternative sécurisée et facile à utiliser à l'authentification traditionnelle basée sur les mots de passe. FIDO2 s'appuie sur les normes précédentes U2F et CTAP et comprend deux composants principaux : l'API WebAuthn et le protocole CTAP2.
L'API WebAuthn est une API basée sur le navigateur qui permet aux sites Web et aux applications d'interagir avec les authentificateurs compatibles FIDO2 pour une authentification sans mot de passe. L'API fournit une manière normalisée pour le site Web ou l'application de communiquer avec l'authentificateur, y compris pour enregistrer de nouvelles informations d'identification, authentifier des informations d'identification existantes et récupérer des métadonnées sur l'authentificateur.
Le protocole CTAP2 est un protocole de communication entre le logiciel côté client (comme un navigateur Web ou une application mobile) et l'authentificateur (comme la clé matérielle de sécurité authenton#1) pour une authentification sans mot de passe. CTAP2 comprend plusieurs améliorations par rapport à la norme CTAP précédente, telles que la prise en charge de plusieurs informations d'identification, des formats d'attestation améliorés et la prise en charge de l'authentification par code PIN.
FIDO2 est basé sur la cryptographie à clé publique, où l'authentificateur génère une paire de clés publique-privée et l'utilise pour signer et vérifier des opérations cryptographiques. Le logiciel côté client génère un défi que l'authentificateur doit signer avec sa clé privée pour prouver son authenticité. La réponse signée est ensuite renvoyée au logiciel côté client pour vérification, garantissant que l'utilisateur est en possession de l'authentificateur et fournissant une forme robuste d'authentification à deux facteurs.
FIDO2 offre plusieurs avantages par rapport à l'authentification traditionnelle basée sur les mots de passe. Il est résistant aux attaques de phishing car l'utilisateur doit interagir physiquement avec l'authentificateur pour terminer le processus d'authentification. Il est également résistant aux attaques de l'homme du milieu car la réponse signée ne peut être vérifiée que par la partie qui a généré le défi original. De plus, FIDO2 offre une expérience utilisateur cohérente sur différents sites Web et applications qui prennent en charge la norme, ce qui facilite son utilisation et son adoption.
FIDO2 a été adopté par plusieurs grands services en ligne, notamment Apple, Google, Microsoft, AWS et Dropbox, et est pris en charge par les navigateurs Web populaires tels que Chrome, Firefox et Edge. La FIDO Alliance continue de développer et de promouvoir la norme FIDO2, ainsi que d'autres normes d'authentification sans mot de passe, pour améliorer la sécurité en ligne et l'expérience utilisateur.