FIDO2.

FIDO2 est le terme générique pour deux spécifications complémentaires : WebAuthn, une API JavaScript du W3C (le Niveau 1 est devenu Recommandation en mars 2019 et le Niveau 2 en avril 2021) qui permet aux parties de confiance de créer et vérifier des identifiants à clé publique, et le Client to Authenticator Protocol (CTAP), qui permet aux navigateurs de dialoguer avec des authentificateurs externes via USB, NFC ou Bluetooth. CTAP2 est le protocole de FIDO2 ; l'ancien CTAP1 n'est autre que U2F, ce qui assure la compatibilité avec les clés de sécurité existantes.

À l'enregistrement, l'authentificateur génère une paire de clés ECDSA (ES256/P-256) ou EdDSA liée à l'origine de la partie de confiance et renvoie la clé publique accompagnée d'une déclaration d'attestation. À l'authentification, le serveur envoie un défi aléatoire ; la clé privée — libérée seulement après présence et vérification de l'utilisateur (toucher, biométrie ou PIN) — signe le défi avec l'origine. Comme les signatures sont liées à l'origine réelle et ne quittent jamais l'appareil, FIDO2 déjoue par conception l'hameçonnage, le rejeu et le credential stuffing ; un compteur de signatures monotone signale aussi les authentificateurs clonés. Il prend en charge le second facteur comme les flux entièrement sans mot de passe, et constitue la base technique des passkeys qu'Apple, Google et Microsoft ont commencé à déployer en 2022.

flowchart LR
  A[L'utilisateur visite le site] --> B[Le serveur envoie un défi aléatoire et le RP ID]
  B --> C[Le navigateur appelle l'authentificateur via WebAuthn]
  C --> D[L'utilisateur vérifie : toucher, biométrie ou PIN]
  D --> E[La clé privée signe le défi et l'origine]
  E --> F[Le serveur vérifie la signature avec la clé publique stockée]
  F --> G[Accès accordé]