De plus en plus de voix s’élèvent, se demandant si « mot de passe » rime encore avec « avenir », lorsqu’il s’agit d’évoquer le futur de l’authentification.
L’authentification par mot de passe consiste à prouver que vous connaissez un secret à un service qui le vérifie.
Tout ce que vais écrire ensuite est caduc si par ingénierie social ou indiscrétion local il est possible pour un attaquant de deviner le secret.
Reprise de ce que j’ai posté dans une discussion sur un autre site :
Trop d’informations sont échangées lors de l’authentification par mot de passe, car le secret de l’utilisateur est partagé avec le serveur, à l’inscription puis à chaque authentification.
Il existe des moyens de prouver la connaissance d’un secret sans le partager.
Le plus simple à comprendre est le système Lamport : à l’enregistrement, le serveur vous demande votre mot de passe hashé 500 fois. Pour vous identifier la première fois il vous demande votre mot de passe hashé 499 fois. Il le hash une fois et vous êtes authentifié si le résultat correspond à ce qu’il avait enregistré. Il remplace le hash 500 par le 499 que vous venez d’envoyer. Et ainsi de suite jusqu’au hash 1. A ce moment vous devez enregistrer un nouveau mot de passe hasher 500 fois.
C’est juste un exemple, il y en a d’autres mais moins simples à expliquer.
les autres exemples sont les protocoles Schnorr, Guillou-Quisquarter ou Okamoto.
2 « J'aime »
Je ne comprends pas, ne dit on pas que si on est un honnête citoyen, que l’on n’est pas un terroriste et bien l’on n’a rien à cacher donc on ne devrait pas avoir besoin de ce genre de chose ?
tu confonds secret et privé. Avec un mot de passe, on ne cherche pas à avoir des secrets mais à protéger nos données privées.
la biométrie existe, mais, personne ne veut l’utiliser.
la reconnaissance par empreinte digitale, existe, c’est la plus simple, pourquoi ne pas l’utiliser partout?
La gestion du mot de passe se gère coté Serveur… la biométrie coté utilisateur.
Pour la biométrie, il faut de bon capteurs, de très bon capteurs pour éviter les faux-positifs, l’usurpation et/ou la fronde des utilisateurs parce que ça ne marche pas dans 90% des cas. Et cela coûte cher à implémenter dans les produits bas/milieu de gamme pour contre-balancer l’utilisation du mot de passe.
les données biométriques sont des noms d’utilisateurs, pas des mots de passe. méfiance à tout les vendeurs de solutions miracles. ce sont de véritables guignols.
le mot de passe est le meilleur que nous ayons à ce jour, mais bien galère de bien les gérer quand on est inscrit à 300 services, catastrophe pour les non technophiles.
le futur: l’authentification par authenticator logiciel ou physique (WebAuthn, FIDO effectivement, bravo clubic à nouveau), qui grâce à un système de clé privée/publique permettra de s’authentifier et d’avoir un répertoire automatiquement crée avec le nom de chaque service/url sur lequel on a crée un compte.
reste un problème qui sera toujours d’actualité: la sauvegarde de nos clés privées. attendons nous à voir fleurir nombre de services de backup de clés en ligne, proposons différents niveaux de services plus ou moins payants. les technophiles seront gagnants sur tout les points.
Sans certitude, c’est peut-être parce que utiliser la reconnaissance par empreinte digitale implique que tu « partages » ton empreinte lors de la configuration. On touche donc là presque à de l’intimité (« on se donne »), contrairement au mot de passe qui peut être impersonnel.
Encore une fois c’est une supposition. Lorsque je dis « partager » son empreinte, je veux dire que pour certains l’empreinte enregistrée par exemple dans le smartphone pourrait être sauvegardée chez le constructeur (Google, Apple, Samsung…).
Toujours concernant les smartphones, je suis curieux de savoir le pourcentage des personnes utilisant la reconnaissance physique (digitale ou faciale) contre celles utilisant un mot de passe.
Pour compléter, comme un mot de passe peut être compromis, une donnée biométrique peut l’être aussi. Dans le cas d’un mot de passe, on change le mot de passe. Et dans le cas d’une donnée biométrique comme une empreinte digitale ou d’un fond de rétine, que fait-on ? on coupe le doigt ? on éborgne ?
Au passage, nous laissons traîner partout nos empreintes digitales, alors comme clef de coffre-fort, une empreinte digitale ce n’est pas ce que l’on fait de mieux.
Un petit mot sur le touch-id d’Apple que j’ai activé sur mon iPhone. La procédure pour enregistrer est simple : il suffit d’aller dans les réglages idoines et le logiciel demande de poser un doigt, puis de l’enlever, puis de le reposer, puis … plusieurs fois. La première fois, j’ai posé mon index, puis la deuxième fois j’ai posé mon majeur, puis l’annulaire et je recommence jusqu’à ce que le système se lasse et valide mes 3 doigts. Et ça marche ! je peux utiliser index, majeur et annulaire pour déverrouiller mon iphone qui ne sait donc pas faire la différence entre ces 3 doigts. Le doute m’habite concernant la fiabilité de ce système.
quand j’ai écrit ce trhead, j’ai pensé à ce que vous avez dit tous les deux ( backsec et faciliteur_de_transit ). il est bien évident que Google et consort, récupèrent ces éléments biométriques, te promettent (promis juré), qu’elles seront à l’abri de tout et le jour ou un quidam avec plein de sous se pointe et demande ces données, « c’est un cas de force majeure »…
pour moi, un début de solution, passe, par une répression accrue et pas seulement verbale ou « numérique ». tant qu’on ne mettra pas en prison et pour longtemps ce genre de personnage, rien ne changera, sauf le discours.
Bonjour !
Choisir de bon mot de passe et les changer fréquemment, c’est bien. Mais la saisie du mot de passe n’est pas le seul élément de l’authentification, qui reste un point sensible.