FIDO2 / WebAuthn

Définition

FIDO2 est un ensemble de standards ouverts développé par l'Alliance FIDO (Fast IDentity Online) et le W3C pour permettre une authentification forte sans mot de passe, résistante au phishing, basée sur la cryptographie à clé publique. Il comprend deux composants : WebAuthn (Web Authentication API, standard W3C) qui définit l'API JavaScript permettant aux applications web de s'interfacer avec des authentificateurs, et CTAP2 (Client to Authenticator Protocol) qui définit la communication entre le navigateur/OS et l'authentificateur physique (clé de sécurité, smartphone). Le fonctionnement de FIDO2 repose sur un mécanisme de challenge-response asymétrique lié au domaine. Lors de l'inscription, l'authentificateur génère une paire de clés publique/privée spécifique au domaine (rpId) et enregistre la clé publique sur le serveur. Lors de l'authentification, le serveur envoie un défi aléatoire, l'authentificateur signe ce défi avec la clé privée, et le serveur vérifie la signature avec la clé publique enregistrée. La clé privée ne quitte jamais l'authentificateur. La résistance au phishing est la propriété clé de FIDO2 : la signature est liée cryptographiquement à l'origine du site (rpId = nom de domaine). Si une page de phishing (exemple-phishing.com) tente d'utiliser les clés FIDO2 enregistrées pour example.com, l'authentificateur refusera car les domaines ne correspondent pas. C'est impossible à contourner, même avec une attaque AiTM transparente. Les types d'authentificateurs FIDO2 incluent : les clés de sécurité matérielles (YubiKey, FIDO2 Security Keys Google Titan, Nitrokey), les authentificateurs intégrés (Touch ID/Face ID sur iPhone via iCloud Keychain, Windows Hello via TPM, Android Biometrics), et les authentificateurs cross-platform (utiliser son iPhone pour authentifier sur un PC Windows via Bluetooth). Les passkeys sont la nouvelle génération FIDO2 conçue pour le grand public : stockées dans les gestionnaires de mots de passe (iCloud Keychain, Google Password Manager, 1Password, Bitwarden) et synchronisées entre appareils, elles offrent la sécurité FIDO2 avec la commodité d'un accès multi-device. Les passkeys éliminent complètement les mots de passe et sont résistantes au phishing par construction. Microsoft, Google, Apple, GitHub, Shopify, et des dizaines de grands services ont adopté les passkeys. Le NIST SP 800-63B (AAL3) reconnaît FIDO2 comme le plus haut niveau d'assurance pour l'authentification en ligne.