Qu'est-ce qu'un mot de passe et qu'est-ce que cela signifie pour votre application grand public ?
La protection par mot de passe est une problématique constante. Il est bien connu que beaucoup d'entre nous ont tendance à utiliser par défaut des mots de passe faibles et faciles à deviner. Même lorsque ce n'est pas le cas, la mémorisation de mots de passe complexes devient un véritable défi.
Ce qui est préoccupant, c'est que même les mots de passe robustes, composés de combinaisons sophistiquées, ne sont pas invulnérables face aux tentatives de phishing et autres escroqueries. Les gestionnaires de mots de passe ont pu constituer une solution temporaire, mais ils ne sont pas exempts de défauts et de vulnérabilités.
Cependant, l'avenir s'annonce prometteur : après presque dix années de développement, les clés d'accès sont sur le point de révolutionner notre sécurité numérique. Examinons de plus près ce que sont ces clés, comment elles sont destinées à transformer l'authentification numérique et ce que cela impliquera pour votre application grand public.
Comprendre le concept de clés d'accès
Contrairement à la méthode traditionnelle basée sur une association nom d'utilisateur/mot de passe, une clé d'accès propose une solution à la fois plus sûre et plus simple pour se connecter aux plateformes en ligne. L'avantage des clés d'accès réside dans leur utilisation de la cryptographie à clé publique. Sans entrer dans des détails trop techniques, lors de chaque connexion, votre appareil reçoit un identifiant de connexion unique.
Ce procédé réduit significativement le risque que des pirates informatiques accèdent à vos informations. Cette avancée est le fruit des efforts de la FIDO Alliance, un consortium regroupant des géants de la technologie tels qu'Apple, Google, Microsoft et bien d'autres, qui ont pris conscience de l'urgence de mettre en place une méthode d'authentification plus fiable.
Comment fonctionnent les clés d'accès ?
Les clés d'accès s'appuient sur l'authentification Web (WebAuthn). Ce système emploie la cryptographie à clé publique, une méthode éprouvée déjà utilisée par de nombreuses plateformes de messagerie et de paiement sécurisées.
Voici une explication succincte :
| Clés publiques et privées | Lors de la création d'un compte, deux clés sont générées. La clé publique, stockée sur les serveurs du service, n'a pas besoin d'être confidentielle. À l'inverse, la clé privée reste sauvegardée sur votre appareil. |
| Processus d'authentification | Lors de la connexion, le service utilise votre clé publique pour vérifier votre appareil. La clé privée de votre appareil relève ce défi sans révéler aucune information sensible. Cela garantit une authentification sécurisée et à l'abri du piratage. |
Pour les utilisateurs, ce processus est presque invisible. Une simple demande de confirmation par l'appareil ou le navigateur, via un code PIN ou une vérification biométrique (comme FaceID ou TouchID), est tout ce que vous aurez à faire.
Les clés d'accès intègrent une couche supplémentaire qui synchronise ces clés entre les services cloud des grandes entreprises technologiques (Apple, Google, Microsoft). Cette couche est essentielle pour améliorer l'expérience utilisateur, permettant un passage fluide entre les appareils sans qu'il soit nécessaire de réenregistrer les clés. Ceci était considéré comme un frein majeur à l'adoption généralisée de FIDO2.
Puisque les clés d'accès, par définition, font appel à plusieurs facteurs, elles répondent aux exigences de l'authentification multifacteur (MFA), en particulier aux points suivants :
- Facteur de possession (quelque chose que vous avez) : l'utilisateur possède l'appareil contenant la clé privée.
- Facteur d'inhérence ou facteur de connaissance : données biométriques de l'utilisateur (FaceID, Touch ID, empreinte digitale) ou code PIN de l'appareil.
Ces caractéristiques font des clés d'accès un facteur d'authentification unique valide pour les scénarios de connexion, ou un complément à d'autres facteurs dans des scénarios d'authentification renforcée. Pour observer une implémentation concrète, consultez cette Démonstration de clés d'accès.
Compatibilité des appareils
Pour le moment, l'interopérabilité multiplateforme des clés d'accès est encore en développement. Les appareils iOS et macOS d'Apple prennent en charge les clés d'accès, tout comme les appareils Android de Google. Microsoft travaille également activement à améliorer sa prise en charge des clés d'accès, et d'importantes mises à jour sont attendues.
Vous trouverez une mise à jour de la liste de compatibilité des appareils.
Comment commencer à mettre en œuvre les clés d'accès ?
L'intégration des clés d'accès peut être simple, à condition de disposer de l'infrastructure adéquate. Un élément crucial de votre architecture est un service ou un serveur back-end WebAuthn, qui fournit les points de terminaison d'API nécessaires pour gérer l'ensemble du cycle de vie de la gestion des clés d'accès.
Une fois qu'un service WebAuthn est en place, l'accès aux SDK et aux bibliothèques côté client est nécessaire pour exécuter les processus d'enregistrement et de vérification côté client. Heureusement, de nombreuses bibliothèques côté client largement disponibles peuvent simplifier cette procédure. Par exemple, Authsignal propose les SDK suivants:
- SDK Javascript pour les clés d'accès
- SDK React Native pour les clés d'accès
- SDK iOS pour les clés d'accès
- SDK Android pour les clés d'accès
Il est important de souligner que l'intégration technique ne représente qu'une partie de la mise en œuvre. Il est essentiel de bien comprendre l'expérience utilisateur et les aspects de sécurité. Les Considérations relatives à la mise en œuvre des clés d'accès sont expliquées en détail dans un article de blog.
Les clés d'accès : l'avenir, c'est maintenant.
Nous sommes aujourd'hui à un moment charnière marqué par la maturation rapide de la technologie des clés d'accès. Les navigateurs et les appareils récents, en particulier au sein des écosystèmes Apple et Android, offrent une large compatibilité avec les clés d'accès, et de nombreuses applications grand public proposent désormais cette fonctionnalité (comme Kayak ou TikTok). De plus, l'intégration technique a été simplifiée grâce à des solutions de clés d'accès prêtes à l'emploi telles qu'Authsignal, qui fournissent tous les composants nécessaires sous forme de service WebAuthn back-end et de SDK clients.
Il ne devrait y avoir aucun obstacle majeur pour que votre application adopte les clés d'accès comme un élément essentiel de l'interaction avec vos clients. Cela garantit une expérience utilisateur fluide et surtout, une sécurité renforcée.