Mots de passe : Microsoft avance sur la piste Web Authentication
Microsoft renforce, sur Edge, la prise en charge de Web Authentication. L’API facilite la connexion aux sites par des méthodes alternatives au mot de passe.
Le 11 juillet dernier, Microsoft mettait à disposition des bêtatesteurs de Windows 10 la build 17713.
Le moteur de rendu EdgeHTML y est mis à jour en version 18. C’est la première à prendre en charge l’API Web Authentication dans ses spécifications datées du 20 mars 2018.
Ces spécifications, le W3C les a élevées du statut de « brouillon de travail » au rang de « recommandation candidate ». Un nouveau stade de maturité censé ouvrir la porte à davantage d’expérimentations, en attendant l’étape ultime : le passage en « recommandation ».
Pour Web Authentication, le principal terrain d’expérimentation est aujourd’hui celui des navigateurs internet (son implémentation initiale dans Edge remonte à avril 2016). Avec un objectif : faciliter l’enregistrement et la connexion sur les sites à l’aide de dispositifs alternatifs aux mots de passe. Notamment la biométrie, que Microsoft met en œuvre à travers Windows Hello.
Extension de l’API Credential Management, Web Authentication peut aussi être considéré comme le successeur de l’Universal Authentication Factor (UAF), que l’alliance FIDO n’a pas réussi à imposer.
L’ensemble se fonde sur un système de chiffrement asymétrique : la clé privée stockée dans un environnement sécurisé côté client (hardware avec puce TPM si disponible ; logiciel sinon ou bien sur un équipement externe de type clé physique) permet de créer une clé publique côté serveur.
L’intégration avec les applications « universelles » (UWP) et les applications web progressives (PWA) n’est pas encore d’actualité chez Microsoft.
Chez Google, le navigateur Chrome gère les dernières spécifications de l’API depuis la version 67 rendue disponible fin mai. Firefox fait de même depuis la version 60 lancée quelques semaines auparavant.
* Elle peut intervenir en remplacement des mots de passe… ou en simple complément, aussi bien pour les sites qui ne proposeraient pas d’autres méthodes d’authentification que pour ceux qui souhaiteraient vérifier périodiquement la présence physique d’un utilisateur.
Crédit photo : bygermina – Shutterstock.com