FIDO2 est l'ensemble de spécifications qui permet d'authentifier un utilisateur par cryptographie asymétrique, sans secret partagé avec le service. Il réunit deux composants : WebAuthn, l'API web normalisée par le W3C, et CTAP, le protocole d'échange avec un authentificateur externe défini par la FIDO Alliance.
Le mécanisme en trois temps
- Enregistrement : l'authentificateur génère une paire de clés propre au service. La clé privée reste dans l'élément sécurisé ; seule la clé publique est transmise.
- Authentification : le service envoie un défi aléatoire, l'authentificateur le signe avec la clé privée après vérification de l'utilisateur (code PIN, empreinte, présence).
- Vérification : le service contrôle la signature avec la clé publique enregistrée.
Aucun secret réutilisable ne circule. Une fuite de la base côté serveur n'expose que des clés publiques, sans valeur pour un attaquant.
Pourquoi FIDO2 résiste au phishing
La signature intègre l'origine — le domaine réellement affiché par le navigateur. Une page d'hameçonnage hébergée sur un domaine voisin obtient une signature qui ne sera pas acceptée par le service authentique. Cette liaison à l'origine (origin binding) est le mécanisme qui met en échec le relais en temps réel des attaques AiTM.
Deux réserves subsistent : après la connexion, le vol de cookie de session reste possible si la session n'est pas protégée, et la procédure de récupération (perte de la clé) redevient le maillon faible si elle repose sur un canal plus faible.
Aller plus loin : passkey, FIDO2, WebAuthn : démêler les termes · définition de WebAuthn · définition d'une passkey · l'authentification cognitive