ebab7d0da53c51438720d60c6e2e467c - /page/wikibook/entry.mu

Micron Document

<!DOCTYPE html>

<title>WebAuthn</title>

</head>

<h1 id="firstHeading" class="firstHeading mw-first-heading">WebAuthn</h1>

</header>

</div>

<div id="mw-content-text" class="mw-body-content mw-content-ltr" lang="fr" dir="ltr"><div class="mw-content-ltr mw-parser-output" lang="fr" dir="ltr">WebAuthn (Web Authentication) est un standard du <a href="World_Wide_Web_Consortium" title="World Wide Web Consortium">World Wide Web Consortium</a> (W3C)<a href="#cite_note-W3C-WebAuthn-1">[1]</a>,<a href="#cite_note-2">[2]</a> avec la contribution de la <a href="Universal_Second_Factor" title="Universal Second Factor">FIDO Alliance</a><a href="#cite_note-fido2-3">[3]</a> qui propose une interface d'authentification des utilisateurs aux <a href="Application_web" title="Application web">applications Web</a> à l'aide de clés asymétriques. Cette interface est une extension de l'API plus générale « Credential Management » qui définit comment les <a href="Navigateur_web" title="Navigateur web">navigateurs Web</a> ou autres <a href="User_agent" title="User agent">agents utilisateur</a> doivent interagir avec un <a href="Gestionnaire_de_mots_de_passe" title="Gestionnaire de mots de passe">gestionnaire de mots de passe</a>.

WebAuthn peut être utilisé dans un contexte d'<a href="Authentification_simple" title="Authentification simple">authentification simple</a>, l'utilisateur n'étant pas obligé de fournir d'informations supplémentaires, comme un nom d'utilisateur ou un mot de passe. Toutefois, pour plus de sécurité, le système qui demande l'authentification peut exiger ces informations, ce qui en fait un processus d'<a href="Authentification_forte" title="Authentification forte">authentification multifacteur</a>. WebAuthn peut également être combiné à d'autres facteurs d'authentification, tels que des gestes ou une vérification <a href="Biom%C3%A9trie" title="Biométrie">biométrique</a>, ce qui améliore la sécurité, tout en évitant aux utilisateurs de saisir des <a href="Cha%C3%AEne_de_caract%C3%A8res" title="Chaîne de caractères">chaînes de caractères</a> longues et complexes.

WebAuthn peut être implémenté de différentes façons, car les opérations cryptographiques sous-jacentes sont déléguées à un authentificateur, qui est un modèle fonctionnel abstrait. Cela permet d'implémenter entièrement WebAuthn dans un logiciel, ou d'utiliser le Trusted Execution Environment (TEE) d'un processeur ou encore un <a href="Trusted_Platform_Module" title="Trusted Platform Module">Trusted Platform Module</a> (TPM). Les opérations cryptographiques sensibles peuvent aussi être déléguées à des <a href="Jeton_d'authentification" title="Jeton d'authentification">jetons d'authentification</a> externes auxquels on peut accéder via <a href="Universal_Serial_Bus" class="mw-redirect" title="Universal Serial Bus">USB</a>, <a href="Bluetooth" title="Bluetooth">Bluetooth</a> ou par <a href="Communication_en_champ_proche" class="mw-redirect" title="Communication en champ proche">communication en champ proche</a> (NFC). Cette pratique est en général considérée plus sécurisée, car les clés privées ne sont à aucun moment accessibles par les logiciels exécutés sur la machine. La communication avec les jetons d'authentification externes est conçue pour fonctionner avec le protocole CTAP (Client to Authenticator Protocol), ce qui permet à WebAuthn d'être rétrocompatible avec la norme <a href="Universal_Second_Factor" title="Universal Second Factor">U2F</a>.

WebAuthn et CTAP font tous deux partie du projet FIDO2 qui vise à standardiser les processus d'authentification sécurisés et sans mot de passe et dépasse le cadre des navigateurs et du Web. Ces deux protocoles sont basés sur des travaux antérieurs effectués par la FIDO Alliance, en particulier sur les normes Universal Authentication <a href="Framework" title="Framework">Framework</a> (UAF) et <a href="Universal_Second_Factor" title="Universal Second Factor">Universal 2nd Factor</a> (U2F).

<div class="mw-heading mw-heading2"><h2 id="Prise_en_charge_des_applications_et_des_appareils">Prise en charge des applications et des appareils</h2></div>

La proposition de <a href="Recommandation_W3C" title="Recommandation W3C">recommandation</a> « WebAuthn Level 1 » a été publiée le <time class="nowrap" datetime="2019-01-17" data-sort-value="2019-01-17">17 janvier 2019</time><a href="#cite_note-W3C-WebAuthn-1">[1]</a>.

<a href="Google_Chrome" title="Google Chrome">Google Chrome</a> prend en charge WebAuthn depuis la version 67<a href="#cite_note-chrome-support-4">[4]</a>. <a href="Mozilla_Firefox" title="Mozilla Firefox">Mozilla Firefox</a>, qui n'avait pas entièrement pris en charge le précédent standard FIDO U2F, a inclus et activé WebAuthn dans la version 60 de Firefox, publiée le <time class="nowrap" datetime="2018-05-09" data-sort-value="2018-05-09">9 mai 2018</time><a href="#cite_note-5">[5]</a>. En 2018, la version publiée de <a href="Microsoft_Edge" title="Microsoft Edge">Microsoft Edge</a> pour <a href="Windows_Insider" title="Windows Insider">Windows Insider</a> intégrait une version de WebAuthn qui fonctionnait à la fois avec <a href="Windows_10" title="Windows 10">Windows Hello</a> et avec des clés de sécurité externes<a href="#cite_note-6">[6]</a>.

Les clés <a href="Universal_Second_Factor" title="Universal Second Factor">FIDO U2F</a> existantes sont largement compatibles avec la norme WebAuthn, bien que WebAuthn ajoute la possibilité d'utiliser un <a href="Identificateur" title="Identificateur">identificateur</a> unique (user handle) par compte, que les <a href="Jeton_d'authentification" title="Jeton d'authentification">jetons d'authentification</a> les plus anciens ne peuvent pas stocker<a href="#cite_note-W3C-WebAuthn-1">[1]</a>. L'un des premiers authentificateurs officiellement compatible avec WebAuthn était la <a href="YubiKey" title="YubiKey">YubiKey</a> « Security Key » de Yubico, annoncée le <time class="nowrap" datetime="2018-04-10" data-sort-value="2018-04-10">10 avril 2018</time><a href="#cite_note-7">[7]</a>.

<a href="Dropbox" title="Dropbox">Dropbox</a> a annoncé la prise en charge des connexions WebAuthn (en tant que deuxième facteur d'authentification) le <time class="nowrap" datetime="2018-05-08" data-sort-value="2018-05-08">8 mai 2018</time><a href="#cite_note-8">[8]</a>.

L'API WebAuthn étend les méthodes <a href="JavaScript" title="JavaScript">JavaScript</a> <code>navigator.credentials.create()</code> et <code>navigator.credentials.get()</code> de l'API « Credential Management » afin qu'elles acceptent un paramètre <code>publicKey</code>.

La méthode <code>create()</code> est utilisée pour l'enregistrement d'authentificateurs en les associant à des comptes d'utilisateurs (par exemple au moment de la création du compte ou lors de l’ajout d’un nouveau dispositif de sécurité à un compte existant) alors que la méthode <code>get()</code> est utilisée pour l'authentification (par exemple lors de la connexion à un compte).

Pour vérifier si un navigateur implémente WebAuthn, les scripts doivent vérifier si l'interface <code>window.PublicKeyCredential</code> est définie.

En plus de <code>PublicKeyCredential</code>, la norme définit les interfaces <code>AuthenticatorResponse</code>, <code>AuthenticatorAttestationResponse</code> et <code>AuthenticatorAssertionResponse</code>, ainsi que divers dictionnaires et d'autres <a href="Type_(informatique)" title="Type (informatique)">types de données</a>.

À l'exception de la demande de création initiale, l'API n'autorise pas l'accès direct ni la manipulation de clés privées.

<div class="mw-heading mw-heading2"><h2 id="Critique">Critique</h2></div>

En <time class="nowrap" datetime="2018-08" data-sort-value="2018-08">août 2018</time>, une équipe de chercheurs de Paragon Initiative Enterprises a réalisé un audit de sécurité du futur standard WebAuthn. Bien qu'aucun <a href="Exploit_(informatique)" title="Exploit (informatique)">exploit</a> n'ait été trouvé, l'audit a révélé de graves faiblesses dans la manière dont la cryptographie sous-jacente au protocole est utilisée et est prescrite par le standard<a href="#cite_note-paragon-blog-9">[9]</a>.

Les problèmes détectés avaient déjà affecté d'autres systèmes cryptographiques par le passé et doivent donc être corrigés pour éviter des attaques similaires sur WebAuthn :

La FIDO Alliance a basé son standard sur un système de <a href="Cryptographie_asym%C3%A9trique" title="Cryptographie asymétrique">cryptographie asymétrique</a> appelé ECDAA<a href="#cite_note-ecdaa-spec-10">[10]</a>. Il s'agit d'une version de Direct Anonymous Attestation (DAA) basée sur des <a href="Courbe_elliptique" title="Courbe elliptique">courbes elliptiques</a>. Dans le cas de WebAuthn, elle est censée être utilisée pour vérifier l'intégrité des authentificateurs, tout en préservant la confidentialité des utilisateurs, car elle ne permet pas une corrélation globale des identificateurs. Cependant, ECDAA ne tient pas compte de certaines des leçons tirées des dernières décennies de recherche dans le domaine de la <a href="Cryptographie_sur_les_courbes_elliptiques" title="Cryptographie sur les courbes elliptiques">cryptographie sur les courbes elliptiques</a>, car la courbe choisie présente certains déficits de sécurité inhérents à ce type de courbes, ce qui réduit considérablement les garanties de sécurité. De plus, la norme ECDAA implique des signatures aléatoires, non déterministes, ce qui a déjà posé un problème par le passé.

Les auditeurs de Paragon Initiative Enterprises ont également critiqué la façon dont la norme a été élaborée, car la proposition n'a pas été rendue publique à l'avance et la communauté des cryptographes n'a pas été sollicitée. Par conséquent, la norme n'a pas été soumise à des recherches cryptographiques poussées dans le monde universitaire.

Malgré ces problèmes, les chercheurs de Paragon Initiative Enterprises encouragent les utilisateurs à continuer d'utiliser WebAuthn, mais ont formulé des recommandations qu'ils espèrent voir mises en œuvre avant la finalisation de la norme. Corriger ces erreurs le plus tôt possible éviterait à l’industrie les difficultés liées à l’obsolescence prématurée de la norme et à la nécessité de <a href="Compatibilit%C3%A9_ascendante_et_descendante" title="Compatibilité ascendante et descendante">compatibilité descendante</a>.

<div class="mw-heading mw-heading2"><h2 id="Notes_et_références">Notes et références</h2></div>

<li id="cite_note-W3C-WebAuthn-1"><abbr class="abbr indicateur-langue" title="Langue : anglais">(en)</abbr> « <a rel="nofollow" class="external text" href="https://www.w3.org/TR/webauthn/"><cite style="font-style:normal;" lang="en">Web Authentication: An API for accessing Public Key Credentials Level 1</cite></a> », World Wide Web Consortium (W3C) (consulté le <time class="nowrap" datetime="2019-01-30" data-sort-value="2019-01-30">30 janvier 2019</time>)

</li>

<li id="cite_note-2"><a href="#cite_ref-2">↑</a> <abbr class="abbr indicateur-langue" title="Langue : anglais">(en)</abbr> « <a rel="nofollow" class="external text" href="https://www.w3.org/blog/webauthn/"><cite style="font-style:normal;" lang="en">Web Authentication Working Group</cite></a> », W3C (consulté le <time class="nowrap" datetime="2018-05-11" data-sort-value="2018-05-11">11 mai 2018</time>)

</li>

<li id="cite_note-fido2-3"><a href="#cite_ref-fido2_3-0">↑</a> <abbr class="abbr indicateur-langue" title="Langue : anglais">(en)</abbr> « <a rel="nofollow" class="external text" href="https://fidoalliance.org/fido2/"><cite style="font-style:normal;" lang="en">FIDO2 Project</cite></a> », FIDO Alliance (consulté le <time class="nowrap" datetime="2018-05-11" data-sort-value="2018-05-11">11 mai 2018</time>)

</li>

<li id="cite_note-chrome-support-4"><a href="#cite_ref-chrome-support_4-0">↑</a> <abbr class="abbr indicateur-langue" title="Langue : anglais">(en)</abbr> Brand, « <a rel="nofollow" class="external text" href="https://developers.google.com/web/updates/2018/05/webauthn"><cite style="font-style:normal;" lang="en">Enabling Strong Authentication with WebAuthn</cite></a> », Google Developers, <time class="nowrap" datetime="2018-06-03" data-sort-value="2018-06-03">3 juin 2018</time> (consulté le <time class="nowrap" datetime="2018-06-25" data-sort-value="2018-06-25">25 juin 2018</time>)

</li>

<li id="cite_note-5"><a href="#cite_ref-5">↑</a> <abbr class="abbr indicateur-langue" title="Langue : anglais">(en)</abbr> Shankland, « <a rel="nofollow" class="external text" href="https://www.cnet.com/news/firefox-moves-browsers-into-the-post-password-future-with-webauthn/"><cite style="font-style:normal;" lang="en">Firefox moves browsers into post-password future with WebAuthn tech</cite></a> », CNET, <time class="nowrap" datetime="2018-05-09" data-sort-value="2018-05-09">9 mai 2018</time> (consulté le <time class="nowrap" datetime="2018-05-11" data-sort-value="2018-05-11">11 mai 2018</time>)

</li>

<li id="cite_note-6"><a href="#cite_ref-6">↑</a> <abbr class="abbr indicateur-langue" title="Langue : anglais">(en)</abbr> Sarkar, et. al., « <a rel="nofollow" class="external text" href="https://blogs.windows.com/windowsexperience/2018/05/31/announcing-windows-10-insider-preview-build-17682/#oHYCS0GkF95OMzKH.97"><cite style="font-style:normal;" lang="en">Announcing Windows 10 Insider Preview Build 17682</cite></a> », Microsoft, <time class="nowrap" datetime="2018-05-23" data-sort-value="2018-05-23">23 mai 2018</time> (consulté le <time class="nowrap" datetime="2018-06-25" data-sort-value="2018-06-25">25 juin 2018</time>)

</li>

<li id="cite_note-7"><a href="#cite_ref-7">↑</a> « <a rel="nofollow" class="external text" href="https://www.yubico.com/press-releases/280530/"><cite style="font-style:normal;">Yubico Launches New Developer Program and Security Key for FIDO2 and WebAuthn W3C Specifications</cite></a> », <time class="nowrap" datetime="2018-04-10" data-sort-value="2018-04-10">10 avril 2018</time> (consulté le <time class="nowrap" datetime="2018-05-11" data-sort-value="2018-05-11">11 mai 2018</time>)

</li>

<li id="cite_note-8"><a href="#cite_ref-8">↑</a> <abbr class="abbr indicateur-langue" title="Langue : anglais">(en)</abbr> Girardeau, « <a rel="nofollow" class="external text" href="https://blogs.dropbox.com/tech/2018/05/introducing-webauthn-support-for-secure-dropbox-sign-in/"><cite style="font-style:normal;" lang="en">Introducing WebAuthn support for secure Dropbox sign in</cite></a> », Dropbox Tech Blog, Dropbox, <time class="nowrap" datetime="2018-05-08" data-sort-value="2018-05-08">8 mai 2018</time> (consulté le <time class="nowrap" datetime="2018-05-11" data-sort-value="2018-05-11">11 mai 2018</time>)

</li>

<li id="cite_note-paragon-blog-9"><a href="#cite_ref-paragon-blog_9-0">↑</a> <abbr class="abbr indicateur-langue" title="Langue : anglais">(en)</abbr> « <a rel="nofollow" class="external text" href="https://paragonie.com/blog/2018/08/security-concerns-surrounding-webauthn-don-t-implement-ecdaa-yet"><cite style="font-style:normal;" lang="en">Security Concerns Surrounding WebAuthn: Don't Implement ECDAA (Yet)</cite></a> », Paragon Initiative Enterprises Blog, <time class="nowrap" datetime="2018-08-23" data-sort-value="2018-08-23">23 août 2018</time> (consulté le <time class="nowrap" datetime="2018-10-09" data-sort-value="2018-10-09">9 octobre 2018</time>)

</li>

<li id="cite_note-ecdaa-spec-10"><a href="#cite_ref-ecdaa-spec_10-0">↑</a> <abbr class="abbr indicateur-langue" title="Langue : anglais">(en)</abbr> « <a rel="nofollow" class="external text" href="https://fidoalliance.org/specs/fido-v2.0-id-20180227/fido-ecdaa-algorithm-v2.0-id-20180227.html"><cite style="font-style:normal;" lang="en">FIDO ECDAA Algorithm</cite></a> », FIDO Alliance, <time class="nowrap" datetime="2018-02-27" data-sort-value="2018-02-27">27 février 2018</time> (consulté le <time class="nowrap" datetime="2018-10-09" data-sort-value="2018-10-09">9 octobre 2018</time>)

</li>

</ol></div>

</div>

<div class="mw-heading mw-heading2"><h2 id="Liens_externes">Liens externes</h2></div>

<ul><li><a rel="nofollow" class="external text" href="https://www.w3.org/TR/webauthn/">Web Authentication: An API for accessing Public Key Credentials Level 1</a></li>

<li><a rel="nofollow" class="external text" href="https://www.w3.org/Webauthn/">Web Authentication Working Group</a></li>

<li><a rel="nofollow" class="external text" href="https://developer.mozilla.org/en-US/docs/Web/API/Web_Authentication_API">Web Authentication API on MDN</a></li>

<li>« <a rel="nofollow" class="external text" href="https://www.zdnet.fr/actualites/le-w3c-finalise-la-norme-web-authentication-webauthn-39881553.htm"><cite style="font-style:normal;">Le W3C finalise la norme Web Authentication (WebAuthn)</cite></a> », sur ZDNet France (consulté le <time class="nowrap" datetime="2023-12-31" data-sort-value="2023-12-31">31 décembre 2023</time>)</li></ul>

</div>

<ul id="bandeau-portail" class="bandeau-portail"><li> Portail d’Internet </li> <li> Portail de la sécurité des systèmes d'information </li> </ul></div><div><div class="zim-footer">

Cet article est issu de <a class="external text" title="Dernière modification le 2025-06-15" href="https://fr.wikipedia.org/wiki/?title=WebAuthn&oldid=226525301">Wikipédia</a>. Sauf mention contraire, le texte est disponible sous <a class="external text" href="https://creativecommons.org/licenses/by-sa/4.0/deed.fr">Creative Commons Attribution-Share Alike 4.0</a>. Des conditions supplémentaires peuvent s’appliquer aux fichiers multimédias.

</div>

</div></div>

</div>

</main>

</div>

</body></html>