Authentification : la longue maturation des clés de sécurité physiques
La prise en charge des clés de sécurité physiques sur Twitter évolue… à un rythme qui rappelle que leur arrivée dans le paysage de la sécurité informatique s’inscrit sur le long terme.
Les mots de passe, bientôt facultatifs sur Twitter ? L’entreprise entend proposer « prochainement » une telle option d’authentification. Elle reposerait sur des clés de sécurité physiques. Cette solution devient d’autant plus envisageable que le réseau social permet désormais d’en enregistrer plusieurs sur un même compte.
Secure your account (and that alt) with multiple security keys. Now you can enroll and log in with more than one physical key on both mobile and web.
And coming soon: the option to add and use security keys as your only authentication method, without any other methods turned on.
— Twitter Support (@TwitterSupport) March 15, 2021
La prise en charge de ce type de clés sur Twitter avait démarré à la mi-2018. L'authentification reposait alors sur la norme FIDO U2F. Un an plus tard, on basculait vers FIDO2 et son implémentation WebAuthn, fondée sur la cryptographie à clés publiques.
We want to give you the most secure experience on Twitter. Today, we updated our login process to support WebAuthn for an enhanced Two-Factor Authentication (2FA), so you can easily and securely authenticate your login with a single tap. Read more below.https://t.co/yduXz7OBjY
— Twitter Safety (@TwitterSafety) May 30, 2019
Twitter n'a pas encore cassé les codes
Il avait fallu attendre fin 2020 pour voir WebAuthn arriver sur les applications mobiles du réseau social. Restait alors la limite d'une clé par compte... pas forcément appropriée au regard des bonnes pratiques, qui invitent à disposer d'une clé de réserve.
Dans ce contexte, Twitter imposait, jusqu'alors, d'enregistrer un autre moyen d'authentification secondaire. Soit un numéro de téléphone, soit une application, pour recevoir, dans les deux cas, des codes à usage unique et à durée limitée. Ce qui, au final, abaissait d'autant le niveau de sécurité du compte, ces codes étant considérés comme plus fragiles, car exposés notamment au phishing.
On aurait pu penser que cette exigence disparaîtrait avec la possibilité d'enregistrer plusieurs clés physiques. Ce n'est pour le moment pas le cas.
Pourquoi, alors, ne pas faire un double de sa clé ? De manière générale, elle sont conçues pour empêcher cette pratique : les secrets ne s'écrivent qu'une seule fois, à quelques exceptions près selon les modèles de clés.
Illustration principale © Rawpixel.com - Adobe Stock
