FIDO2 : Fast IDentity Online 2
Sécurité
FIDO2 : Fast IDentity Online 2. « Identité en ligne rapide, deuxième génération », par analogie avec le badge qu'on approche d'un lecteur au lieu de souffler un mot de passe au gardien. Le standard décrit une authentification sans mot de passe, fondée sur une paire de clés qui ne quitte jamais l'appareil de l'utilisateur.
Deux briques : FIDO2 associe WebAuthn, l'API du W3C que le navigateur expose au site, et CTAP, le protocole qui relie le navigateur à l'authentificateur (clé USB, NFC, Bluetooth ou puce intégrée au téléphone).
Défi et signature : À l'enregistrement, l'authentificateur génère une paire de clés propre au site et ne transmet que la clé publique. À chaque connexion, il signe un défi aléatoire avec la clé privée, après un geste local (empreinte, visage, code PIN).
Anti-hameçonnage natif : La signature est liée à l'origine du site : un domaine imité obtient un refus, quelle que soit la ressemblance de la page. Une base de données volée ne contient que des clés publiques, ce qui laisse l'attaquant sans rien à exploiter.
Passkeys : Les passkeys sont des identifiants FIDO2 synchronisés entre les appareils d'un même compte. La promesse « fin du mot de passe » remplit les slides depuis une bonne décennie ; celle-ci tient enfin en production, même si le mot de passe de secours dort encore quelque part, sur un post-it.
Ce qui arrive si on s'en passe
Sans FIDO2, l'authentification repose sur un secret partagé que l'utilisateur saisit et que le serveur vérifie : un mot de passe, souvent complété par un code à usage unique. Ce secret peut être saisi sur une page d'imitation puis rejoué aussitôt par un proxy intermédiaire, code temporaire compris, car rien ne lie la preuve au domaine légitime. Un mot de passe réutilisé sur un autre service permet le bourrage d'identifiants. Côté serveur, la base conserve des empreintes de mots de passe : en cas de fuite, elles peuvent être attaquées hors ligne, alors qu'une clé publique FIDO2 dérobée ne permet de se connecter nulle part. Les validations par notification restent exposées à la fatigue d'approbation. Enfin, aucune preuve cryptographique ne rattache la connexion à un appareil précis, ce qui affaiblit l'attribution des accès lors d'une investigation.
Explication de la marmotte
Pour entrer sur un site, on tape d'habitude un mot de passe, qu'un escroc peut voler avec une fausse page qui imite la vraie. Ici, on remplace ce mot secret par un petit objet (une clé à brancher, ou le téléphone lui-même) qui garde un secret qu'il ne montre jamais à personne. Le site pose une question différente à chaque visite, l'objet répond grâce à son secret, et le site vérifie la réponse. Comme l'objet reconnaît l'adresse exacte du vrai site, il refuse de répondre à une imitation. Pour valider, on pose juste le doigt, on montre son visage ou on tape un code court.
Où ce terme est utilisé
- Déployer FIDO2 pour comptes à privilèges (17 occurrences)
- Authentification défi-réponse, rejeu, relais et attaque hors ligne (4 occurrences)
- Déployer WebAuthn FIDO2 passwordless sur une application web (4 occurrences)
- Comment contrer le spear phishing et la fraude au président (2 occurrences)
- Pourquoi le phishing fonctionne malgré la formation (2 occurrences)
- Principes de sécurité, identité et cryptographie utile au réseau (2 occurrences)
- Comment former contre le phishing sans culpabiliser (1 occurrence)
- Formats, bibliothèques et API : rendre la crypto utilisable (1 occurrence)
- L'administration Active Directory en tiers en une page (1 occurrence)
- Mener une simulation de phishing interne éthique avec GoPhish (1 occurrence)