Une nouvelle spécification décrivant les méthodes d'authentification sécurisée sur Internet vient d'être adoptée par le World Wide Web Consortium (W3C) et l'Alliance FIDO (Fast IDentity Online), inaugurant l'ère de l'accès sécurisé sans mot de passe.
Une connexion sans mot de passe a l'avantage d'être infaillible face au phishing
Le mot de passe, vieux comme le monde (ou en tout cas comme l'informatique), pourrait très bien disparaître un jour. Ou, du moins, il sera beaucoup moins utilisé à l'avenir. Car quelle que soit sa complexité, ce moyen de protection des données n'est pas infaillible. En témoignent les capacités de calcul croissantes des ordinateurs modernes, permettant de deviner les mots de passe en un temps plus réduit d'une part, et la popularité des attaques par phishing (qui ne se dément pas) d'autre part.C'est avec cette idée en tête que se sont réunis ce 10 avril 2018 le World Wide Web Consortium (cette organisation internationale qui rassemble 400 membres et qui a défini, entre autres, les standards HTML5 et CSS) et l'Alliance FIDO (Fast IDentity Online, une alliance ayant pour objectif de « révolutionner le monde de l'authentification grâce à des normes plus simples et plus sécurisées »). Au terme de cette réunion, la spécification WebAuthn a été retenue. C'est cette spécification qui définira la manière dont nous nous connecterons aux sites Internet.
Les principaux navigateurs travaillent déjà sur l'intégration de WebAuthn
Concrètement, la spécification WebAuthn permet à un authentificateur externe, une clé de sécurité ou un smartphone par exemple, de transmettre localement des identifiants d'authentification forte au système d'accès Internet de l'utilisateur (PC ou téléphone portable) par protocole USB, Bluetooth ou sans contact (NFC). Elle permet à l'utilisateur de s'authentifier facilement pour accéder à des services en ligne à partir d'un terminal fixe ou mobile, sans s'exposer au risque de phishing.Google, Microsoft et Mozilla se sont engagés à intégrer la spécification WebAuthn dans leurs navigateurs et ont d'ores et déjà entamé son déploiement dans les environnements Windows, Mac, Linux, Chrome OS et Android. Elle est publiquement disponible dès aujourd'hui, permettant aux développeurs et aux fabricants de s'en servir sans tarder pour les applications et le matériel qu'ils sont en train de concevoir.
- 41 Go d’identifiants et mots de passe découverts dans une base de données
- Mots de passe : les "bonnes pratiques" ne sont pas bonnes
- Mots de passe : 123456 encore le plus utilisé en 2017
- 5 règles pour créer un mot de passe sûr et introuvable… ou presque !
- Ce site vous dira si votre mot de passe a été volé
