VT2018 FIDO - Revision history

Najwa.Ez-Zine: /* Résumé */

2019-01-14T12:04:09Z

Résumé

← Older revision		Revision as of 12:04, 14 January 2019
Line 5:		Line 5:
	=Résumé=		=Résumé=

	À l'heure actuelle, les experts en sécurité doivent faire face à un dilemme : renforcer la sécurité ou améliorer l'expérience utilisateur. C'est ~~avec~~ ~~pour~~ but de mettre fin à ce dilemme que les poids lourds du secteur informatique se sont alliés, formant la Fido Alliance. Pour produire une solution alliant renforcement de la sécurité et amélioration de l'expérience utilisateur.		À l'heure actuelle, les experts en sécurité doivent faire face à un dilemme : renforcer la sécurité ou améliorer l'expérience utilisateur. C'est dans cd but de mettre fin à ce dilemme que les poids lourds du secteur informatique se sont alliés, formant la Fido Alliance. Pour produire une solution alliant renforcement de la sécurité et amélioration de l'expérience utilisateur.

	=Abstract=		=Abstract=

Najwa.Ez-Zine: /* Cérémonie d'authentification */

2019-01-14T11:45:56Z

Cérémonie d'authentification

← Older revision		Revision as of 11:45, 14 January 2019
Line 42:		Line 42:

	Quand le serveur reçoit une demande d'authentification, il génère un challenge qu'il envoie au navigateur puis à la clé de sécurité. La clé de sécurité le signe et renvoie sa réponse au serveur. Le scénario basique d'authentification est très simple. Mais tel quel il présente beaucoup de failles de sécurité.		Quand le serveur reçoit une demande d'authentification, il génère un challenge qu'il envoie au navigateur puis à la clé de sécurité. La clé de sécurité le signe et renvoie sa réponse au serveur. Le scénario basique d'authentification est très simple. Mais tel quel il présente beaucoup de failles de sécurité.

	C'est pourquoi d'autres couches de sécurité ont été ajoutées. Tout d'abord pour contrer les attaques de type phishing, on ajoute le champs "Origin". Il est utilisé de la même façon que pour la cérémonie d'enregistrement.		C'est pourquoi d'autres couches de sécurité ont été ajoutées. Tout d'abord pour contrer les attaques de type phishing, on ajoute le champs "Origin". Il est utilisé de la même façon que pour la cérémonie d'enregistrement.

	Ensuite, si ma clé de sécurité ne générait qu'une seule paire de clé et qu'elle l'utilisait sur tous les sit
	es alors il serait possible de traquer mon activité. Donc on impose la génération d'une paire de clé pour tous les services. Le gestionnaire de clé permet ensuite de retrouver la clé privé avec laquelle signer le challenge.		Ensuite, si ma clé de sécurité ne générait qu'une seule paire de clé et qu'elle l'utilisait sur tous les sites alors il serait possible de traquer mon activité. Donc on impose la génération d'une paire de clé pour tous les services. Le gestionnaire de clé permet ensuite de retrouver la clé privé avec laquelle signer le challenge.

	Il est également possible que ma clé de sécurité se fasse cloner. Dans ce cas, 2 clé identiques circulent. on met en place un compteur. A chaque fois que je signe j'incrémente ce compteur et j'informe le serveur de la valeur du compteur. Le serveur sauvegarde également cette valeur. Si 2 clés circulent, l'une d'entre elle va se retrouver dans le "passé". En voyant une baisse de la valeur du compteur le serveur sait qu'il existe 2 clés. En revanche il est incapable de les différencier. La plupart des providers, ferment les comptes associés à des clés clonées ou bien forcent le retour à une authentification classique.		Il est également possible que ma clé de sécurité se fasse cloner. Dans ce cas, 2 clé identiques circulent. on met en place un compteur. A chaque fois que je signe j'incrémente ce compteur et j'informe le serveur de la valeur du compteur. Le serveur sauvegarde également cette valeur. Si 2 clés circulent, l'une d'entre elle va se retrouver dans le "passé". En voyant une baisse de la valeur du compteur le serveur sait qu'il existe 2 clés. En revanche il est incapable de les différencier. La plupart des providers, ferment les comptes associés à des clés clonées ou bien forcent le retour à une authentification classique.

Najwa.Ez-Zine: /* Cérémonie d'enregistrement */

2019-01-14T11:45:33Z

Cérémonie d'enregistrement

← Older revision		Revision as of 11:45, 14 January 2019
Line 30:		Line 30:
	Il génère un challenge qu'il m'envoie avec l'identification de l'application AppId.		Il génère un challenge qu'il m'envoie avec l'identification de l'application AppId.
	Le navigateur transfère ces informations à la clé ainsi qu'un champs "Origin". Ce champ est en fait la résolution par le navigateur du nom de domaine d'où provient la requête. Cela permet de protéger l'utilisateur contre les attaques de type phishing.		Le navigateur transfère ces informations à la clé ainsi qu'un champs "Origin". Ce champ est en fait la résolution par le navigateur du nom de domaine d'où provient la requête. Cela permet de protéger l'utilisateur contre les attaques de type phishing.

	Avec toutes ces informations la clé génère une paire de clés publique et privé ainsi qu'un gestionnaire de clés.		Avec toutes ces informations la clé génère une paire de clés publique et privé ainsi qu'un gestionnaire de clés.
	Le gestionnaire de clé permet à la clé cde sécurité de retrouver la clé privé avec laquelle il doit signer le challenge. En effet, une paire de clé est générée pour chaque service.		Le gestionnaire de clé permet à la clé cde sécurité de retrouver la clé privé avec laquelle il doit signer le challenge. En effet, une paire de clé est générée pour chaque service.
	La clé de sécurité envoie ces informations (gestionnaire clé, origine,...) au navigateur qui les transfère au serveur.		La clé de sécurité envoie ces informations (gestionnaire clé, origine,...) au navigateur qui les transfère au serveur.
	Le serveur vérifie les informations reçues (Origin en cas de phishing...) et enregistre cette clé publique avec le gestionnaire clé associé.		Le serveur vérifie les informations reçues (Origin en cas de phishing...) et enregistre cette clé publique avec le gestionnaire clé associé.

	La cérémonie d'enregistrement est terminée.		La cérémonie d'enregistrement est terminée.

Najwa.Ez-Zine: /* Cérémonie d'authentification */

2019-01-14T11:45:08Z

Cérémonie d'authentification

← Older revision		Revision as of 11:45, 14 January 2019
Line 38:		Line 38:
	=== Cérémonie d'authentification ===		=== Cérémonie d'authentification ===
	[[File:CEREMONIE1.png\|970px\|CEREMONIE AUTHENTIFICATION]]		[[File:CEREMONIE1.png\|970px\|CEREMONIE AUTHENTIFICATION]]

			Quand le serveur reçoit une demande d'authentification, il génère un challenge qu'il envoie au navigateur puis à la clé de sécurité. La clé de sécurité le signe et renvoie sa réponse au serveur. Le scénario basique d'authentification est très simple. Mais tel quel il présente beaucoup de failles de sécurité.
			C'est pourquoi d'autres couches de sécurité ont été ajoutées. Tout d'abord pour contrer les attaques de type phishing, on ajoute le champs "Origin". Il est utilisé de la même façon que pour la cérémonie d'enregistrement.
			Ensuite, si ma clé de sécurité ne générait qu'une seule paire de clé et qu'elle l'utilisait sur tous les sit
			es alors il serait possible de traquer mon activité. Donc on impose la génération d'une paire de clé pour tous les services. Le gestionnaire de clé permet ensuite de retrouver la clé privé avec laquelle signer le challenge.
			Il est également possible que ma clé de sécurité se fasse cloner. Dans ce cas, 2 clé identiques circulent. on met en place un compteur. A chaque fois que je signe j'incrémente ce compteur et j'informe le serveur de la valeur du compteur. Le serveur sauvegarde également cette valeur. Si 2 clés circulent, l'une d'entre elle va se retrouver dans le "passé". En voyant une baisse de la valeur du compteur le serveur sait qu'il existe 2 clés. En revanche il est incapable de les différencier. La plupart des providers, ferment les comptes associés à des clés clonées ou bien forcent le retour à une authentification classique.

	== Résultats ==		== Résultats ==

Najwa.Ez-Zine: /* Cérémonie d'enregistrement */

2019-01-14T11:38:09Z

Cérémonie d'enregistrement

← Older revision		Revision as of 11:38, 14 January 2019
Line 26:		Line 26:
	=== Cérémonie d'enregistrement ===		=== Cérémonie d'enregistrement ===
	[[File:CEREMONIE2.png\|970px\|CEREMONIE ENREGISTREMENT]]		[[File:CEREMONIE2.png\|970px\|CEREMONIE ENREGISTREMENT]]

			Quand je souhaite enregistrer une clé, le serveur enclenche la cérémonie d'enregistrement.
			Il génère un challenge qu'il m'envoie avec l'identification de l'application AppId.
			Le navigateur transfère ces informations à la clé ainsi qu'un champs "Origin". Ce champ est en fait la résolution par le navigateur du nom de domaine d'où provient la requête. Cela permet de protéger l'utilisateur contre les attaques de type phishing.
			Avec toutes ces informations la clé génère une paire de clés publique et privé ainsi qu'un gestionnaire de clés.
			Le gestionnaire de clé permet à la clé cde sécurité de retrouver la clé privé avec laquelle il doit signer le challenge. En effet, une paire de clé est générée pour chaque service.
			La clé de sécurité envoie ces informations (gestionnaire clé, origine,...) au navigateur qui les transfère au serveur.
			Le serveur vérifie les informations reçues (Origin en cas de phishing...) et enregistre cette clé publique avec le gestionnaire clé associé.
			La cérémonie d'enregistrement est terminée.

	=== Cérémonie d'authentification ===		=== Cérémonie d'authentification ===

Najwa.Ez-Zine: /* Cérémonie d'enregistrement */

2019-01-14T11:31:47Z

Cérémonie d'enregistrement

← Older revision		Revision as of 11:31, 14 January 2019
Line 25:		Line 25:

	=== Cérémonie d'enregistrement ===		=== Cérémonie d'enregistrement ===
	[[File:CEREMONIE2.png\|~~390px\|thumb\|right~~\|CEREMONIE ENREGISTREMENT]]		[[File:CEREMONIE2.png\|970px\|CEREMONIE ENREGISTREMENT]]

	=== Cérémonie d'authentification ===		=== Cérémonie d'authentification ===

Najwa.Ez-Zine: /* Cérémonie d'authentification */

2019-01-14T11:31:26Z

Cérémonie d'authentification

← Older revision		Revision as of 11:31, 14 January 2019
Line 28:		Line 28:

	=== Cérémonie d'authentification ===		=== Cérémonie d'authentification ===
			[[File:CEREMONIE1.png\|970px\|CEREMONIE AUTHENTIFICATION]]

	== Résultats ==		== Résultats ==

Najwa.Ez-Zine: /* Cérémonie d'enregistrement */

2019-01-14T11:30:27Z

Cérémonie d'enregistrement

← Older revision		Revision as of 11:30, 14 January 2019
Line 25:		Line 25:

	=== Cérémonie d'enregistrement ===		=== Cérémonie d'enregistrement ===
			[[File:CEREMONIE2.png\|390px\|thumb\|right\|CEREMONIE ENREGISTREMENT]]

	=== Cérémonie d'authentification ===		=== Cérémonie d'authentification ===

Najwa.Ez-Zine: /* Références */

2019-01-14T08:35:01Z

Références

← Older revision		Revision as of 08:35, 14 January 2019
Line 48:		Line 48:

	https://www.journaldugeek.com/2018/04/12/webauthn-futur-web-de-passe-se-rapproche/		https://www.journaldugeek.com/2018/04/12/webauthn-futur-web-de-passe-se-rapproche/

			https://www.yubico.com/

Najwa.Ez-Zine: /* Futur? */

2019-01-14T03:24:55Z

Futur?

← Older revision		Revision as of 03:24, 14 January 2019
Line 35:		Line 35:

	== Futur? ==		== Futur? ==
	Le monde de demain sera un monde sans mot de passe. C'est en tout cas l'objectif ultime de la FiDO Alliance. Elle s'est d'ailleurs ~~allié~~ avec WC pour produire une API permettant l'authentification à l'aide de la reconnaissance faciale, les empreintes digitales et autres.		Le monde de demain sera un monde sans mot de passe. C'est en tout cas l'objectif ultime de la FiDO Alliance. Elle s'est d'ailleurs alliée avec WC pour produire une API permettant l'authentification à l'aide de la reconnaissance faciale, les empreintes digitales et autres.

	==Références==		==Références==