WebAuthn : le futur du web sans mot de passe se rapproche

Alors que les smartphones disposant d’un capteur d’empreinte digitale se généralisent, pourquoi sommes-nous encore obligés de rentrer des mots de passe pour nous identifier sur des sites web ou des services en ligne ? Pourquoi n’existe-t-il pas encore de solutions plus sécurisées et plus difficiles à voler de la part de pirates ? C’est sur ces questions que planche depuis de nombreux mois, voire années, la FIDO Alliance. Depuis 2015, cette alliance, qui regroupe les principaux mastodontes de l’informatique (Google, Microsoft ou Mozilla en tête) a pour but de mettre en place une nouvelle manière de s’identifier en ligne.

Déjà disponible sur Firefox et bientôt dans Chrome

Elle a donc développé une API nommée WebAuthn dont le but est de trouver une alternative plus sûre aux traditionnels mots de passe. Une API qui serait à la fois plus sécurisée, mais aussi libre, de façon à ce que n’importe quelle société, mais aussi développeur, puisse l’utiliser pour son site web ou ses services en ligne. Elle a été soumise au W3C et depuis quelques jours, elle est désormais disponible sur la version Nightly de Firefox 60. Mieux, elle devrait arriver d’ici quelques mois sur Chrome et Edge. Apple, de son côté, n’a donné aucune indication sur sa possible intégration à Safari.

Remplacer son mot de passe par le capteur d’empreinte de son smartphone

Comme l’explique avec force détails 01.net, le principe de ce nouveau protocole de sécurité repose sur un « système authentificateur » physique. Il peut s’agir aussi bien d’un dongle USB (comme Yubikey), que le capteur d’empreinte digitale d’un smartphone ou encore un système de reconnaissance faciale d’une caméra. Pour se connecter à un site web qui supportera WebAuthn, il suffira alors simplement de mettre son doigt sur le lecteur d’empreinte de son smartphone pour s’identifier.

Outre l’absence de mot de passe textuel, WebAuthn possède de nombreux avantages au niveau de la sécurité. Le site web ou service ne stockera ainsi aucun mot de passe. Il se contentera simplement de stocker une clé de sécurité publique envoyée par l’utilisateur et au moment de se connecter, son smartphone enverra au site un message d’authentification signé avec une clé privée, stockée uniquement sur son téléphone. Pirater le compte d’un utilisateur devrait donc s’avérer bien plus compliqué que de lui soutirer son mot de passe via un système de phising. Il faudra pour cela accéder à l’appareil authentificateur, puis trouver sa clé de sécurité privée.

Nouvelle solution, mais nouvelles contraintes

Un protocole de sécurité plus facile à utiliser et plus sécurisé côté utilisateur, certes, mais qui nécessite qu’il soit systématiquement équipé d’un appareil physique pour s’identifier. Avec ce problème : que faire quand on s’est fait voler cet appareil ? Question subsidiaire : finalement, est-il plus facile de se faire voler son mot de passe ou de se faire voler son téléphone ? Une nouvelle solution, certes, mais de nouvelles contraintes à la clé.

🟣 Pour ne manquer aucune news sur le Journal du Geek, abonnez-vous sur Google Actualités. Et si vous nous adorez, on a une newsletter tous les matins.