FIDO2 : le réseau sans mot de passe arrive

La FIDO Alliance a récemment annoncé la disponibilité de son protocole FIDO2(Fast Identity Online). Que désigne ce protocole, en quoi se distingue-t-il du processus de connexion traditionnel et pourquoi les institutions financières devraient-elles s'y intéresser ?

FIDO : éliminer les mots de passe traditionnels

Améliorer l'expérience utilisateur dans son ensemble et éliminer la friction est essentiel pour les institutions financières qui proposent des applications sur mobile et sur navigateur. En effet, la qualité de l'expérience utilisateur détermine la fidélisation des clients, le retour sur investissement des services en ligne et les coûts opérationnels. Des études ont ainsi démontré que les clients en mesure d'interagir aisément avec leur institution financière partout et à n'importe quel moment ont tendance à lui rester fidèles.

Même si la recherche de l'expérience client sans accroc est une priorité absolue pour les leaders du secteur de la banque et de la sécurité, la qualité de cette expérience ne fait pas tout. Les institutions financières doivent également se conformer à divers règlements et directives (DSP2, GDPR, NIST...), observer des normes de sécurité strictes et respecter le budget alloué au développement et aux opérations. Dans ce contexte, il est très difficile d'offrir une expérience parfaitement fluide.

Bien souvent, le premier obstacle rencontré par le client est le mot de passe requis à la connexion. Imaginer et se souvenir de plusieurs mots de passe est déjà pénible en soi, mais cette méthode est aussi connue pour sa vulnérabilité aux fuites de données.

L'authentification FIDO résout ce problème en remplaçant les mots de passe traditionnels par des options d'authentification fortes, telles que la biométrie ou les jetons logiciels et matériels.

Par essence, l'authentification FIDO est un écosystème standardisé, utilisable avec les applications mobiles comme sur navigateur, et qui fonctionne aisément avec d'autres systèmes. Ce système aide les organisations à proposer une authentification forte pour la connexion et la validation des transactions, tout en évitant des coûts de développement exponentiels en interne.

AUTHENTIFICATION FIDO

Solutions basées sur la norme FIDO pour une authentification plus simple et plus forte à l'aide d'une approche ouverte, évolutive et interopérable

En savoir plus

FIDO2 et le réseau sans mot de passe

FIDO2 est une combinaison de l'API WebAuthn de W3C et du protocole client-authentificateur (CTAP) de FIDO. WebAuthn est une API standard qui permet aux développeurs d'intégrer l'authentification FIDO aux navigateurs Web. Grâce au protocole CTAP, les utilisateurs peuvent se connecter sans mot de passe. Ils peuvent utiliser un identificateur externe (un smartphone ou un autre dispositif) pour communiquer leurs coordonnées d'authentification à un PC ou à un smartphone via Bluetooth, NFC ou USB. En d'autres termes, grâce au standard FIDO2, il est plus facile de s'authentifier sur les navigateurs Web à l'aide d'un authentifiant matériel FIDO ou de toute autre méthode d'authentification disponible sur l'ordinateur de l'utilisateur.

En outre, le protocole WebAuthn est en cours de mise en œuvre dans divers navigateurs, notamment ceux de Google et Mozilla. Il est attendu que le navigateur Safari d'Apple intègre WebAuthn lorsque FIDO2 aura été officiellement approuvé par le W3C en tant que standard international (notez que même si Apple est restée silencieuse à propos de FIDO, l'entreprise fait partie du groupe de travail WebAuthn). Lorsque le W3C aura confirmé le statut de standard international pour le FIDO2, il sera enfin possible de profiter du Web sans mot de passe.

Les institutions financières qui souhaitent bénéficier du protocole WebAuthn peuvent ajouter la prise en charge de FIDO à leur infrastructure bancaire existante sur navigateur ou sur mobile, ou mettre en œuvre une solution FIDO complète, capable de prendre en charge les requêtes d'authentification provenant de n'importe quel authentifiant FIDO.

L'avantage, c'est que FIDO2 est rétrocompatible avec tous les dispositifs de sécurité matériels et logiciels certifiés FIDO, et que ces solutions continueront à fonctionner dans les navigateurs Web compatibles avec WebAuthn. La FIDO Alliance elle-même recommande aux organisations qui souhaitent activer le standard FIDO dans leurs services sur navigateur et mobile de déployer un serveur d'authenfication universel, qui garantit la prise en charge de tous les authentifiants certifiés FIDO, que ce soit pour l'authentification à second facteur (U2F), mobile (UAF) ou FIDO2.

L'authentification FIDO par OneSpan

En tant que membre du comité de la FIDO Alliance et participant actif du groupe de travail FIDO2, OneSpan soutient l'initiative de standardisation du secteur de l'authentification via FIDO2. Notre portfolio d'authentification FIDO comprend une solution de serveur universel FIDO, compatible avec les solutions U2F, UAF et FIDO2.

Aujourd'hui, les organisations ont besoin de flexibilité dans leurs méthodes d'authentification. Par exemple, de nombreuses institutions financières ayant fourni à leurs clients des jetons d'authentification matérielle proposent également l'authentification mobile à leurs clients adeptes de ce canal. Elles ont donc besoin d'options matérielles et logicielles pour satisfaire les divers besoins et cas d'utilisation de leurs clients. Voici ce que propose OneSpan pour répondre à ces besoins :

• Des capacités FIDO complètes dans la OneSpan Mobile Security Suite. Cela signifie que les organisations peuvent mettre en œuvre l'authentification sans mot de passe, pour améliorer l'expérience utilisateur en remplaçant les mots de passe statiques par des capacités modernes telles que la biométrie, tout en protégeant leurs applications mobiles contre l'hameçonnage et les attaques par « Man in the middle » et par rejeu.
• Un authentifiant matériel FIDO compatible Bluetooth qui permet aux institutions financières d'associer les dispositifs logiciels et matériels en fonction de leurs besoins en matière d'authentification.

Les méthodes d'authentification certifiées FIDO sont prises en charge dès l'instant où elles arrivent sur le marché. Grâce à la standardisation, n'importe quelle application peut fonctionner sur tout appareil ou dispositif d'authentification. Cette approche confère aux organisations une multitude de possibilités pour prendre en charge l'authentification client.

Visitez notre page consacrée à l'authentification FIDO pour en savoir plus sur ce standard de connexion sans mot de passe et découvrir des cas d'authentification de transactions.