L’ère du mot de passe est révolue

L’ère du mot de passe révolue pour l'alliance FIDO
qui propose un nouveau standard pour faciliter et normaliser les systèmes d’authentification

En juillet 2012, plusieurs grandes entreprises avaient formé ce que l’on appelle la FIDO Alliance (Fast IDentity Online), dans un effort de créer un moyen à la fois sécurisé et facile à utiliser, qui permettrait de ne plus avoir à retenir de mots de passe. Les membres de cette alliance sont tous de grandes multinationales dans le domaine de l’IT mais aussi dans la finance, dont Google, Microsoft, Lenovo, Samsung Electronics, BlackBerry, ARM Holdings, Bank of America Corporation, PayPal, RSA, Visa, Synaptics, ainsi que d’autres.

Après plus de deux ans d’efforts, la FIDO Alliance a enfin publié les spécifications finales des deux systèmes d’authentification proposés. Le premier est décrit comme « un protocole sans mot de passe » et porte le nom de « Universal Authentication Framework (UAF) ». Ce protocole se base sur l’utilisation de l’authentification biométrique comme les empreintes digitales, la reconnaissance des visages ou encore la reconnaissance de la voix à travers une expérience utilisateur simplifiée et intuitive.

Le deuxième protocole, dénommé « Universal Second Factor (U2F) », est destiné aux infrastructures existantes à base de mot de passe, renforcées par l’introduction d’un second facteur d’authentification, qui prend ici la forme d’un périphérique externe (ex : clé USB, Bluetooth, NFC…). Ceci permettrait de diminuer la longueur des mots de passe à quatre chiffres seulement, rendant leur mémorisation plus facile pour les utilisateurs, comme c’est le cas pour les actuelles cartes de crédit.

http://www.developpez.com/public/ima...FIDO-login.png
Schéma récapitulatif de l'authentification selon les spécifications de FIDO Alliance

Ces deux techniques ne semblent rien apporter de nouveau, puisqu’elles sont déjà utilisées depuis plusieurs années. Toutefois, la particularité des protocoles FIDO, est que selon les spécifications publiées, « l’authentification se passe en local et non dans le serveur distant ». En d’autres termes, une fois que le client introduit son périphérique d’authentification ou son empreinte digitale, par exemple, c’est la machine de l’utilisateur qui détermine son identité puis envoie une clé chiffrée au serveur pour la comparer avec les autres clés. De ce fait, les informations privées de l’utilisateur ne sont pas stockées chez le fournisseur de service. De plus cela permettrait d’éviter toute forme de tracking de l’utilisateur à travers différents sites web.

Une autre particularité des spécifications proposées par FIDO Alliance, est qu’elles visent à normaliser l’expérience utilisateur ainsi que les différentes couches des protocoles d’authentification, de sorte à créer un standard unifié. Le client pourrait même être « préinstallé dans le système d’exploitation ou dans le navigateur », peut-on lire sur le site de l’alliance. Selon elle, les protocoles U2F et UAF pourraient être la solution aux problèmes actuels des infractions causées par le vol d’identifiants et de mots de passe, représentant 76 % des infractions, selon le rapport d’enquête de Verizon.

Source : FIDO Alliance

Et vous ?

:fleche: Qu’en pensez-vous ? Vers la fin du mot de passe ?

L'authentification a toujours eu 3 critères différents :

• Ce que tu as.
• Ce que tu es.
• Ce que tu sais.

Une authentification un minimum valable se base sur 2 de ces trois critères. Le système présenté réduit tout à un seul facteur, ce que tu es.

Or il a été prouvé à de nombreuse reprise que les systèmes d'authentification biométrique sont facilement trompé...

D'autant plus qu'il est plus facile d'obtenir l'emprunte d'une personne ou son téléphone que son mot de passe.

Cordialement,
Patrick Kolodziejczyk.

Il n'y a que moi qui vois un lien fort entre FIDO et UAF-UAF? :dehors:

Sinon rien de révolutionnaire comme préciser dans le communiquer.
Tout comme un iphone 5s ou 6 la reconnaissance c'est bien si l'empreinte n'a pas été altéré (blessure, bain chaud trop long etc...) et le mot de passe devient alors de nouveau indispensable.

Pour la solution du second factor c'est bien beau quand on a plus de batterie sur son téléphone (voir pa son téléphone tout court).

Citation:

---

Envoyé par kolodz

Or il a été prouvé à de nombreuse reprise que les systèmes d'authentification biométrique sont facilement trompé...

D'autant plus qu'il est plus facile d'obtenir l'emprunte d'une personne ou son téléphone que son mot de passe.

Patrick Kolodziejczyk.

---

En mode film d'espionnage avec un pauvre gars (mort ou vif) qui se fait couper le doigt pour passer une porte sécurisé par reconnaissance d'empreinte. (Quand c'est pas l'oeil qui lui a été pris)

Citation:

---

Pour la solution du second factor c'est bien beau quand on a plus de batterie sur son téléphone (voir pa son téléphone tout court).

---

Ca ne serait pas possible du second factor avec une puce RFID, qui n'aurait donc pas besoin d'énergie ?

Juste besoin d'avoir la puce sur une carte dans son portefeuille et op.

Après les mots de passes ça marche très bien pour peux qu'on utilise un logiciel de portefeuille de mot de passe...

Citation:

---

c’est la machine de l’utilisateur qui détermine son identité puis envoie une clé chiffrée au serveur pour la comparer avec les autres clés.

---

Donc suffit d'intercepter cette clé une fois pour se reloguer à la place de l'utilisateur en bypassant complètement le protocole "client" d'authentification.
Sans moi...

Pratique dans le cas de possession d'un outil qui n'est pas utilisé depuis longtemps et d'on le mot de passe a sûrement été oublié. La plupart du temps l'importance sentimentale ou le prix de ses outils influx sur le facteur qualité et antivol. Pour peu que le nombres d'utilisateurs et leurs grades soient connus.

La suppression systématique de celui-ci ?
Je présume que bientôt ils voudront que les mots de passes fort soit créer par les systèmes et sauvegardés en pouvant identifier de façon unique le titulaire du compte ou appareil en réseau ou pas. Je crains que sa tourne mal au final.

Citation:

---

Envoyé par squizer

Donc suffit d'intercepter cette clé une fois pour se reloguer à la place de l'utilisateur en bypassant complètement le protocole "client" d'authentification.
Sans moi...

---

Ils ont surement déjà pensé à ce cas.

oui c'est ce qu'on s'est dit de ceux qui ont fait la visa sans contact. et en fait.....

Citation:

---

Envoyé par youtpout978

Ils ont surement déjà pensé à ce cas.

---

On dirait vu qu'il y a une liste de clef dans le visuel.
Mais bon une signature généré automatiquement pour chaque requête avec la date (pour pas pouvoir rejouer les requête passées).
Plus un système de chiffrement symétrique avec un échange de clefs Diffie-Hellman et le mec au milieu il aura du mal à faire quelque chose (enfin sauf s'il intercepte les échanges de clefs et puis après déchiffre et re-chiffre tous les messages, donc un petit coup de clef public-privé avec certificat pour l'échange des clefs).

Citation:

---

Envoyé par cuicui78

oui c'est ce qu'on s'est dit de ceux qui ont fait la visa sans contact. et en fait.....

---

Il ne demande pas de validation à l'utilisateur. Et c'est bien plus problématique...

Citation:

---

Envoyé par squizer

Donc suffit d'intercepter cette clé une fois pour se reloguer à la place de l'utilisateur en bypassant complètement le protocole "client" d'authentification.
Sans moi...

---

Impossible car la clé renvoyée au serveur dépend de la clé qui t'a été envoyé pour l'authentification (voir le site).

Citation:

---

Envoyé par Etanne

Impossible car la clé renvoyée au serveur dépend de la clé qui t'a été envoyé pour l'authentification (voir le site).

---

Y'a un trousseau de clef. Donc si tu les connait toutes (a force d'écouter le réseau), tu les connais toutes. Après pour savoir la quelle envoyé c'est un algo il doit être connu du serveur et du client donc du pirate (un secret partagé ne tient jamais longtemps). Donc bon il faudrait regarder de plus près, mais jamais rien est parfait. Le mieux ca serait sans échange. Mais c'est un peu dure non :p

Citation:

---

Envoyé par Etanne

Impossible car la clé renvoyée au serveur dépend de la clé qui t'a été envoyé pour l'authentification (voir le site).

---

Reste que la génération est basé sur le flux de donnée capturé (caméra ou lecteur) qui lui est de toute manière en clair. Et logiquement facilement récupérable/ reproductible par un tiers.

Bonjour,

Je suis déjà rentré dans la réflexion du second système à savoir comment simplifier le processus d'authentification tout en le rendant plus securisé.
J'avais alors imaginé qu'une haute instance pourrait entrer en jeu.

Si on s’intéresse au cas du téléphone une personne malveillante devrait pirater un FAI + se procurer le téléphone de l'utilisateur et s'en servir avant que ce dernier ne l'ai déclaré volé ça parait pas mal.
Après sans parler du problème de batterie comment cela se passerait en cas de panne ? le système pourrait être couplé à une puce qu on branche sur le téléphone qui contient une information inaltérable et qui n'a pas de durée de vie à garder sur soi comme on garde ses clées.
Au final il ne resterait que le facteur "humain" vol de la puce par exemple, malheureusement il n'y a pas de solution miracle si cela se produit ce sera à l'utilisateur de prévenir la haute instance afin que son accès soit désactivé.

Pour blinder la chose on pourrait ajouter de l'authentification conditionnelle. Je m'explique, pour que l'authentification réussisse l'utilisateur doit se trouver à tel endroit (la geoloc du téléphone ferait le reste).

Qu'en pensez vous ?

Citation:

---

Envoyé par fredd5

Bonjour,

Je suis déjà rentré dans la réflexion du second système à savoir comment simplifier le processus d'authentification tout en le rendant plus securisé.
J'avais alors imaginé qu'une haute instance pourrait entrer en jeu.

Si on s’intéresse au cas du téléphone une personne malveillante devrait pirater un FAI + se procurer le téléphone de l'utilisateur et s'en servir avant que ce dernier ne l'ai déclaré volé ça parait pas mal.
Après sans parler du problème de batterie comment cela se passerait en cas de panne ? le système pourrait être couplé à une puce qu on branche sur le téléphone qui contient une information inaltérable et qui n'a pas de durée de vie à garder sur soi comme on garde ses clées.
Au final il ne resterait que le facteur "humain" vol de la puce par exemple, malheureusement il n'y a pas de solution miracle si cela se produit ce sera à l'utilisateur de prévenir la haute instance afin que son accès soit désactivé.

Pour blinder la chose on pourrait ajouter de l'authentification conditionnelle. Je m'explique, pour que l'authentification réussisse l'utilisateur doit se trouver à tel endroit (la geoloc du téléphone ferait le reste).

Qu'en pensez vous ?

---

Je pense finalement que la méthode actuel avec mot de passe est déjà pas mal :mouarf:

Citation:

---

Envoyé par fredd5

Bonjour,

Je suis déjà rentré dans la réflexion du second système à savoir comment simplifier le processus d'authentification tout en le rendant plus securisé.
J'avais alors imaginé qu'une haute instance pourrait entrer en jeu.

Si on s’intéresse au cas du téléphone une personne malveillante devrait pirater un FAI + se procurer le téléphone de l'utilisateur et s'en servir avant que ce dernier ne l'ai déclaré volé ça parait pas mal.
Après sans parler du problème de batterie comment cela se passerait en cas de panne ? le système pourrait être couplé à une puce qu on branche sur le téléphone qui contient une information inaltérable et qui n'a pas de durée de vie à garder sur soi comme on garde ses clées.
Au final il ne resterait que le facteur "humain" vol de la puce par exemple, malheureusement il n'y a pas de solution miracle si cela se produit ce sera à l'utilisateur de prévenir la haute instance afin que son accès soit désactivé.

Pour blinder la chose on pourrait ajouter de l'authentification conditionnelle. Je m'explique, pour que l'authentification réussisse l'utilisateur doit se trouver à tel endroit (la geoloc du téléphone ferait le reste).

Qu'en pensez vous ?

---

Et pi en plus, il faudrait se filmer avec son tel, en train de danser à cloche-pied un soir de pleine lune, au milieu de 12 statuettes enroulées dans du jambon...

Je pense qu'on tient un truc ! :mouarf:

(ah non, on me dit que cela a déjà été proposé :aie:)


edit :

Citation:

---

Envoyé par vanskjære

Il n'y a que moi qui vois un lien fort entre FIDO et UAF-UAF? :dehors:

---

:ptdr:

Tu es mon héros du vendredi de cette semaine !

Pourquoi pas, il faut toujours tenter quelque chose de nouveaux avant de l'évaluer, mes perso je fait plus confiance à ma tête pour l'instant.

Citation:

---

Envoyé par vanskjære

En mode film d'espionnage avec un pauvre gars (mort ou vif) qui se fait couper le doigt pour passer une porte sécurisé par reconnaissance d'empreinte. (Quand c'est pas l'oeil qui lui a été pris)

---

Quelque chose me dit que t'a regarder un certain La tour... quelque chose :D

Sur la sécurité des serrures à empreinte : http://en.wikipedia.org/wiki/MythBus...ngerprint_Lock
Ca donne un peu le niveau de "fausse sécurité" de ce truc ...

Si on rajoute la notion de confidentialité des données biométriques, ça donne de bonnes raisons de ne jamais y passer.

Citation:

---

Envoyé par bhamp0

Sur la sécurité des serrures à empreinte : http://en.wikipedia.org/wiki/MythBus...ngerprint_Lock
Ca donne un peu le niveau de "fausse sécurité" de ce truc ...

Si on rajoute la notion de confidentialité des données biométriques, ça donne de bonnes raisons de ne jamais y passer.

---

C'est d'autant plus vraie que lorsqu'un mdp est corrompu, il est possible de le changer alors qu'une signature biométrique...

Sans oublier que les empreintes biométriques peuvent s'altérer facilement (maladie, etc.)
Avez-vous déjà essayer de prendre votre empreinte à la sortie de la piscine ?

Il y a tout de meme un truc que je ne comprends pas, c'est l'acharnement mis par ces entreprises à vouloir se débarasser du mot de passé, en présentant des solutions somme toutes super complexes : on scanne ton empreinte, on en fait une clef, on te demande de valider par un mot de passé à 4 chiffres, on secoue le tout, et hop, c'est sécurisé...

Le lecteur d'empreinte des iphone était suffisamment contournable lors de la sortie de l'iphone 5 pour que les entreprises de sécurité conseillent de continuer à utiliser un mot de passé long... Il en sera de meme dans les prochains appareils, car la sécurité coûte cher, et que les gens ne sont pas prêt à dépenser 100 euro de plus pour leur telephone pour avoir un peu plus de sécurité.

Non, vraiment, le seul intérêt que je vois pour les gros sites est de ne plus stocker les informations des mots de passe, et donc de pouvoir se dédouaner de cette responsabilité.