U2F2 : Prévenir la menace fantôme sur FIDO/U2F


L’authentification à deux facteurs (2FA) devient un remplaçant de plus en plus répandu des méthodes d’authentification classiques basées principalement sur les mots de passe. Bien que ce second facteur puisse prendre plusieurs formes, l’alliance FIDO a standardisé le protocole U2F (Universal Second Factor) amenant un token dédié comme facteur.

Le présent article discute de la sécurité de ces tokens au regard de leur environnement d’utilisation, des limitations des spécifications ainsi que de l’état de l’art des solutions apportées par l’open source et l’industrie. Un PoC implémentant des améliorations de sécurité, utiles dans des contextes sensibles, est détaillé. Il est fondé sur la plateforme open source et open hardware WooKey amenant de la défense en profondeur contre divers modèles d’attaquants.

En savoir plus sur le site du SSTIC.

Liens externes