Qu'est-ce que le FIDO ?

Au lieu de s'appuyer sur une information que l'utilisateur connaît et qu'il pourrait être amené à divulguer par ruse, l'authentification FIDO utilise des identifiants cryptographiques liés à un appareil ou à un authentificateur contrôlé par l'utilisateur. Pour les entreprises qui abandonnent les mots de passe, FIDO est devenu l'une des normes fondamentales sur lesquelles reposent l'authentification moderne sans mot de passe, les clés d'accès et l'authentification multifactorielle résistante au phishing.

L'Alliance FIDO est une association industrielle ouverte qui élabore des normes d'authentification visant à réduire la dépendance mondiale vis-à-vis des mots de passe. Elle compte parmi ses membres des fournisseurs de solutions d'identité, des fabricants d'appareils, des développeurs de navigateurs, des institutions financières et des organismes publics, qui œuvrent tous à la réalisation d'un objectif commun : rendre les connexions à la fois plus sûres et plus faciles pour les utilisateurs.

FIDO n’est pas un produit et n’appartient à aucun fournisseur en particulier. Il s’agit d’une approche fondée sur des normes pouvant être mise en œuvre sur tous les appareils, systèmes d’exploitation, navigateurs, applications et dispositifs d’authentification. C’est notamment cette ouverture qui rend FIDO si utile pour les entreprises. La même norme qui fonctionne sur une clé de sécurité d'un fabricant fonctionne également sur un authentificateur de plateforme d'un autre fabricant, sur un appareil mobile ou au sein d'un navigateur. Il en résulte une base cohérente sur laquelle les organisations peuvent s'appuyer sans s'enfermer dans un écosystème unique.

RSA est l'un des membres fondateurs de la Alliance FIDO et siège à son conseil d'administration. RSA est également membre des groupes de travail suivants de l'Alliance FIDO :

• Groupe de travail sur le déploiement en entreprise
• Groupe de travail sur l'expérience utilisateur
• Groupe de travail sur les services de métadonnées
• Groupe de travail technique
• Sous-groupe chargé de l'expérience utilisateur en entreprise
• Sous-groupe chargé de l'authentification logicielle hors CTAP

Récemment, l'Alliance FIDO a publié un étude de cas expliquant comment RSA a mis en place l'authentification sans mot de passe pour l'ensemble de ses collaborateurs à l'échelle mondiale.

FIDO signifie « Fast Identity Online ». Ce nom reflète l'objectif de cette norme : une authentification plus rapide, plus simple et plus sûre que les mots de passe. Aujourd'hui, FIDO est étroitement associé à l'authentification sans mot de passe, aux clés d'accès et à l'authentification multifactorielle (MFA) résistante au phishing.

L'authentification FIDO repose sur la cryptographie à clé publique. Chaque fois qu'un utilisateur s'inscrit à un service en ligne, l'authentificateur génère une paire de clés unique. La clé privée ne quitte jamais l'authentificateur de l'utilisateur. C'est la clé publique que le service stocke. Lorsque l'utilisateur se connecte, le service émet un défi auquel seule la clé privée correspondante peut répondre, ce qui prouve que l'utilisateur contrôle ses identifiants sans jamais envoyer de mot de passe sur le réseau.

Concrètement, le processus se déroule comme suit :

1. Un utilisateur enregistre un authentificateur : Il peut s'agir d'un périphérique, d'un facteur biométrique, d'une clé de sécurité ou de tout autre moyen d'authentification pris en charge par FIDO.
2. L'authentificateur génère une paire de clés : La clé privée reste en possession de l'authentificateur. La clé publique est enregistrée auprès du service en ligne.
3. L'utilisateur vérifie localement : L'utilisateur peut déverrouiller l'authentificateur à l'aide de données biométriques, d'un code PIN ou d'une autre méthode locale.
4. Le service vérifie la réponse cryptographique : Le service vérifie que l'utilisateur détient bien la clé privée sans pour autant recevoir cette dernière.
5. L'authentification aboutit sans qu'il soit nécessaire d'envoyer un mot de passe : Cela permet de réduire le risque d'hameçonnage et vol d'identifiants.

Étant donné qu’aucun secret partagé ne quitte jamais l’authentificateur de l’utilisateur, un pirate qui intercepterait le trafic réseau, s’introduirait dans la base de données du serveur ou mettrait en place une fausse page de connexion convaincante n’aurait rien d’utile à voler.

FIDO désigne la famille au sens large des normes d'authentification ouvertes. FIDO2 est l'ensemble moderne des normes FIDO qui inclut WebAuthn et CTAP ; c'est ce à quoi la plupart des gens font référence aujourd'hui lorsqu'ils parlent de connexions sans mot de passe, de clés d'accès et d'authentification multifactorielle (MFA) résistante au hameçonnage.

FIDO remplace le mot de passe par un identifiant cryptographique contrôlé par l’utilisateur. Du point de vue de l’utilisateur, la connexion peut se faire par empreinte digitale, reconnaissance faciale, code PIN de l’appareil, simple pression sur une clé de sécurité ou validation via une application d’authentification mobile. Du point de vue du service, ce qui authentifie réellement l’utilisateur, c’est la preuve cryptographique liée à ce jeton d’authentification.

Il s'agit là d'une distinction importante. La donnée biométrique ou le code PIN ne sont pas ce que le service perçoit. Il s'agit simplement de la méthode locale utilisée par l'utilisateur pour déverrouiller son authentificateur. L'authentification elle-même repose sur la possession de l'identifiant FIDO et sur la réponse cryptographique qu'il génère. C'est ce qui rend FIDO utile pour authentification sans mot de passe. L'utilisateur n'a rien à saisir, un pirate n'a aucune information à hameçonner et il n'y a aucun élément réutilisable à voler. Selon la manière dont une organisation le déploie, FIDO peut prendre en charge une connexion entièrement sans mot de passe ou servir de deuxième facteur d'authentification fort au sein d'un processus d'authentification multifactorielle (MFA) plus large.

Les « passkeys » sont des identifiants FIDO reposant sur la cryptographie à clé publique ; elles constituent le moyen par lequel la plupart des utilisateurs auront recours à l’authentification FIDO au quotidien. Une clé d'accès peut être stockée sur un seul appareil, synchronisée sur tous les appareils d'un utilisateur via un fournisseur de services cloud, ou associée à un authentificateur matériel. Dans tous les cas, le principe sous-jacent est le même : une clé privée du côté de l'utilisateur, une clé publique enregistrée auprès du service, et un défi cryptographique à la place d'un mot de passe.

Pour les entreprises, les clés d'accès sont prometteuses, mais ce n'est pas encore une solution aboutie. L'expérience utilisateur est excellente et le gain de sécurité par rapport aux mots de passe est considérable. Mais les organisations doivent encore réfléchir attentivement à la manière dont les clés d'accès sont émises, où elles sont stockées, comment elles se synchronisent, comment elles sont récupérées lorsqu'un utilisateur perd son appareil, et comment elles sont gérées tout au long du cycle de vie de l'identité. La question n'est pas de savoir si clés d'accès fonctionnement. Il s'agit de déterminer si le modèle de déploiement répond aux exigences en matière d'assurance et de contrôle de l'environnement dans lequel il est mis en place.

Les identifiants FIDO sont liés au domaine de service légitime. C'est cette liaison qui rend la norme résistante au phishing. Un utilisateur amené par ruse à se rendre sur un site contrefait ne pourra pas y effectuer le même processus d'authentification, car l'identifiant cryptographique ne répondra pas à un domaine auprès duquel il n'a pas été enregistré.

Quelques détails sont importants :

• FIDO n'envoie pas de mots de passe réutilisables sur le réseau.
• Les clés privées restent en possession de l'authentificateur et ne sont jamais divulguées au service.
• Les identifiants à clé publique sont limités à une entité de confiance ou à un domaine spécifique.
• FIDO permet de réduire les risques liés au phishing d'identifiants, à la « fatigue de l'authentification multifactorielle » et à certaines techniques de contournement de l'authentification multifactorielle.
• Le modèle FIDO donne les meilleurs résultats lorsqu'il est associé à des processus solides d'inscription, de récupération et de gestion des appareils.

C'est en raison de ces caractéristiques que les analystes et les organismes de normalisation font de plus en plus souvent référence à FIDO lorsqu'ils évoquent authentification résistante au phishing. Elle élimine les conditions sur lesquelles reposent la plupart des attaques par usurpation d'identifiants.

La solution FIDO s'applique à divers scénarios d'entreprise, et le mode de déploiement le plus adapté dépend généralement du groupe d'utilisateurs et du profil de risque.

• Connexion sans mot de passe pour les employés : Les collaborateurs utilisent des dispositifs d'authentification pris en charge par FIDO pour accéder aux applications métier sans mot de passe.
• Une AMF résistante à l'hameçonnage: Les organisations utilisent le protocole FIDO comme facteur d'authentification renforcé pour les accès à haut risque.
• Authentification dans le secteur bancaire et des services financiers : Les banques peuvent recourir à la connexion sans mot de passe basée sur la norme FIDO afin de réduire les tentatives de hameçonnage visant les identifiants et de renforcer la sécurité des accès pour leurs clients et leur personnel.
• Accès utilisateur privilégié : Les administrateurs et les utilisateurs à haut risque peuvent utiliser les identifiants FIDO pour renforcer la sécurité des accès.
• Accès aux applications hybrides et dans le cloud : Lorsqu'il est intégré à une architecture IAM adaptée, FIDO permet de garantir la sécurité des identités dans les environnements cloud, hybrides et sur site.
• Gestion des identités et des accès (IAM) selon le modèle « Zero Trust » : FIDO permet de prendre en charge la gestion des identités et des accès selon le modèle « Zero Trust » en renforçant la vérification des utilisateurs avant l'octroi de l'accès.

Les arguments en faveur du modèle FIDO relèvent à la fois de la sécurité, de l'expérience utilisateur et d'une stratégie d'identité à long terme. Parmi les principaux avantages, on peut citer :

• Réduit les attaques par mot de passe : FIDO contribue à réduire les risques liés au vol d'identifiants, à la réutilisation des mots de passe et au phishing.
• Prend en charge l'authentification multifactorielle (MFA) résistante au phishing : L'authentification FIDO2 peut offrir une protection plus efficace que les SMS, les mots de passe à usage unique (OTP) ou les notifications push classiques. MFA.
• Améliore l'expérience utilisateur : Les utilisateurs peuvent s'authentifier à l'aide d'un appareil, d'une application d'authentification, d'un déverrouillage biométrique ou d'une clé de sécurité, plutôt que de saisir un mot de passe.
• Soutient les objectifs de sécurité « zero trust » : FIDO renforce la vérification d'identité dans le cadre d'un Confiance zéro Stratégie IAM.
• Permet de répondre aux exigences accrues en matière d'authentification : FIDO peut aider les organisations à se conformer à des exigences plus strictes en matière d'authentification multifactorielle (MFA) et aux normes de cybersécurité.
• S'adapte à différents groupes d'utilisateurs : Les entreprises peuvent utiliser différents types d'authentificateurs en fonction des niveaux de risque, des rôles et des environnements.

Mettre en place le modèle FIDO ne revient pas à le déployer correctement. La majeure partie de la valeur ajoutée provient des décisions connexes concernant les authentificateurs, l'inscription, les groupes d'utilisateurs, l'infrastructure et la gouvernance.

Choix de l'authentificateur

La plupart des organisations ont besoin d’une solution mixte. Les authentificateurs mobiles conviennent bien à l’accès quotidien des employés. Les identifiants liés à un appareil et les clés matérielles sont souvent plus adaptés aux utilisateurs privilégiés, aux environnements réglementés ou aux situations où la portabilité des identifiants doit être strictement contrôlée. Les authentificateurs intégrés aux ordinateurs portables et aux téléphones offrent une excellente expérience utilisateur à l’ensemble du personnel.

Inscription et recouvrement

La robustesse d'une authentification forte dépend entièrement de la procédure utilisée pour sa mise en place. Si un utilisateur peut récupérer un identifiant FIDO via un processus d'assistance technique peu sécurisé ou un système de secours basé sur un mot de passe, les avantages en termes de sécurité s'érodent rapidement. La procédure de récupération mérite donc la même attention que le processus d'authentification lui-même.

Groupes d'utilisateurs et niveaux de risque

Chaque rôle comporte des risques différents. Les utilisateurs disposant de privilèges, les sous-traitants, les fournisseurs et les salariés impliqués dans des processus réglementés ont souvent besoin de moyens d'authentification offrant un niveau de sécurité plus élevé. L'adéquation des options FIDO aux différentes catégories d'utilisateurs fait partie intégrante d'un déploiement réussi.

Exigences relatives au cloud, aux solutions hybrides et aux environnements sur site

FIDO doit fonctionner partout où la gestion des identités est nécessaire. Pour de nombreuses entreprises, cela implique simultanément des environnements cloud, hybrides, sur site et hautement sécurisés, y compris des déploiements souverains ou isolés physiquement (air-gapped) où les écosystèmes de clés d'accès grand public peuvent ne pas s'appliquer.

Gouvernance et conformité

Les identifiants FIDO doivent s'inscrire dans le cycle de vie de l'identité, et non en dehors de celui-ci. Cela implique de lier la délivrance, la révocation et les preuves d'audit des authentificateurs aux politiques d'accès et aux workflows de conformité, plutôt que de considérer le modèle FIDO comme une fonctionnalité autonome.

FIDO est l'un des outils les plus puissants dont disposent les entreprises pour aller au-delà des mots de passe et combler la faille exploitée depuis des années par le phishing d'identifiants. Mais pour tirer pleinement parti de cet outil, il ne suffit pas d’activer les clés d’accès. Cela dépend de la manière dont les authentificateurs sont délivrés, dont la récupération est gérée, dont les politiques d’accès sont régies et dont la garantie d’identité est maintenue dans les environnements cloud, hybrides, sur site et à haut niveau de sécurité.

RSA aide les organisations à intégrer FIDO dans une stratégie globale d'authentification sans mot de passe et de gestion des identités, en offrant la flexibilité, la gouvernance et les options de déploiement dont les entreprises ont besoin dans des environnements complexes. Pour découvrir comment cette solution s'adapte à votre organisation, consultez le site de RSA authentification sans mot de passe et authentification multifactorielle solutions.