L’API Web Authentication

Dominique Hazael-Massieux — W3C

Copyright © 2019 W3C ® (MIT, ERCIM, Keio, Beihang)

L’API Web Authentication

Dominique Hazaël-Massieux

W3C

/dev/var/23

📷 Amaranta, DSCN0556, CC-BY-NC-ND

[email protected]

Sécuriser le Web

Chaque mois, voire chaque semaine, voit son lot d’annonces de vols d’information d’autentification

Mots de passe, mots de casse

Les mots de passe présentent une série de faiblesses rendant leur usage problématiques

Deloitte Review,
A world beyond passwords:
Improving security, efficiency,
and user experience in digital transformation

Solutions?

UsabilitéVolRéutilisationPhishingRévocation
Mot de passe⭐✩✩✩✩✩✩✩✩✩✩✩⭐⭐✩
Gestionnaire de mdp⭐✩✩✩✩✩⭐⭐⭐✩✩✩⭐⭐✩
2FA / OTP⭐✩✩✩✩✩⭐⭐⭐⭐✩✩⭐⭐✩
Biométrique⭐⭐✩⭐⭐✩✩✩✩⭐⭐✩✩✩✩
PKI✩✩✩⭐⭐⭐⭐⭐✩⭐✩✩⭐⭐✩

WebAuthn + FIDO2

UsabilitéVolRéutilisationPhishingRévocation
FIDO2⭐⭐✩⭐⭐⭐⭐⭐⭐⭐⭐⭐⭐⭐✩

Rend les PKI utilisables

Vue d’ensemble de l’architecture FIDO2

Ackermann Yuriy, Introduction to WebAuthn API

Exemples de clés FIDO U2F

Demo !

Différents types de vérification locale

(vérification purement locale)

Abandonner les mots de passe complètement ?

Adoption

Disponible Chrome (mobile et desktop) Edge Firefox

En développement Safari

Sites Dropbox

Server-Side Frameworks fido2-lib (node) java-webauthn-server more

Merci

MDN caniuse

Intro to WebAuthn API - WebAuthn/FIDO2: Verifying responses

[email protected]

@dontcallmeDOM