Authentification sans mot de passe avec WebAuthn | WordPress

Authentification sans mot de passe avec WebAuthn

L'authentification sans mot de passe permet aux utilisateurs de se connecter sans avoir besoin de mémoriser un mot de passe. Au lieu du nom d'utilisateur et du mot de passe conventionnels, WebAuthn vous permet d'utiliser les méthodes de connexion déjà configurées sur votre appareil. Ainsi, en utilisant l'authentification Web, vous pourrez utiliser le capteur d'empreintes digitales sur votre téléphone ou Windows Hello sur votre PC, ou vous pourrez même utiliser votre identifiant Apple pour vous connecter à n'importe quel site Web.

Les méthodes prises en charge incluent, sans s'y limiter :

• Windows Bonjour
• Capteurs d'empreintes digitales sur les ordinateurs portables et mobiles
• PIN Windows
• Yubikey
• Authentification faciale

La plupart des utilisateurs peuvent utiliser les mêmes informations d'identification pour différents systèmes. Cela affaiblit considérablement la sécurité de tous ces sites Web si les informations d'identification sont divulguées ou obtenues par un utilisateur non autorisé. L'authentification Web est une spécification relativement nouvelle, créée pour la nouvelle ère d'Internet et des nouvelles technologies qui y sont associées. Nous donner les ressources et l’infrastructure nécessaires pour utiliser diverses méthodes d’authentification.

Contrairement à son prédécesseur, WebAuthn devrait être là pour rester. Bien que les subtilités de la spécification soient complexes, l’authentification Web a été assez facile à mettre en œuvre dans la pratique. Au moment d'écrire ces lignes, Chrome et Firefox disposent des types de données nécessaires pour WebAuthn, et Nightly Build de Firefox est capable de créer et de demander des informations d'identification. Nous parlerons un peu plus tard de ce que cette nouvelle norme pourrait signifier pour l'avenir des mots de passe (désolé, ils ne disparaîtront probablement pas demain), mais d'abord, un peu plus sur les composants centraux de l'API WebAuthn.

Authentification Web vs méthodes d'authentification conventionnelles

L'essentiel que WebAuthn souhaite fournir est l'authentification biométrique multifacteur basée sur « quelque chose qu'est un utilisateur ». Un utilisateur (dans la plupart des cas) possède une voix, une empreinte digitale ou une rétine qui lui est propre. De nos jours, la plupart des utilisateurs disposent également d'un dispositif biométrique, comme un smartphone, qui peut utiliser ces données pour créer et gérer des informations d'identification auxquelles seul l'utilisateur peut accéder via ces caractéristiques uniques.
Pour voir les implémentations de WebAUthn dans la vie réelle, vous pouvez vous rendre sur Github, qui prend nativement en charge l'authentification Web comme méthode de connexion. Pour une démo Web, vous pouvez consulter l’intégralité de la mise en œuvre ici. https://webauthn.io/

Activation de WebAuthn pour votre site Web WordPress

miniOrange est actuellement le seul moyen de faire fonctionner WebAUthn de manière fiable sur votre site Web WordPress. Grâce à notre plugin d'authentification à deux facteurs, vous pourrez utiliser l'authentification Web comme deuxième facteur. miniOrage fournit un plugin de mécanisme d'authentification sécurisé à deux facteurs pour plusieurs plates-formes (WordPress, Atlassian, Drupal, Magento et Moodle) qui ajoute une couche de sécurité supplémentaire aux bases de données et au site Web de votre entreprise. Grâce à ces plugins, vous aurez accès à plusieurs méthodes d'authentification qui peuvent empêcher le partage des informations d'identification de l'utilisateur avec qui que ce soit, volontairement ou par accident. Lorsque l'utilisateur saisit son nom d'utilisateur et son mot de passe corrects, une page d'authentification à deuxième facteur lui est proposée, afin de se connecter avec succès. Nous proposons plus de 15 méthodes d'authentification, notamment OTP sur e-mail, OTP sur SMS, jeton matériel, authentification par code QR, authentificateur Google, etc.

Quels sont les avantages de l'authentification sans mot de passe avec WebAuthn ?

• Meilleure sécurité

  Les mots de passe contrôlés par l'utilisateur constituent une vulnérabilité majeure, car les utilisateurs réutilisent leurs mots de passe et peuvent les partager avec d'autres.
  
  La sécurité des systèmes d'authentification sans mot de passe dépend des preuves d'identité requises et de leur mise en œuvre.
  
  Par exemple, l'utilisation de notifications push sécurisées sur l'appareil mobile du titulaire du compte est généralement considérée comme plus sécurisée que les mots de passe. Le mot de passe One TIme par SMS sur les appareils mobiles est généralement utilisé comme deuxième facteur d'authentification en dehors de la combinaison traditionnelle de nom d'utilisateur et de mot de passe.




• Un meilleur contrôle

  Le phishing, la réutilisation et le partage sont des problèmes courants lorsque l'on s'appuie sur des mots de passe, les utilisateurs se connectant sans mot de passe ayant un meilleur contrôle sur leur compte et étant moins sensibles au phishing.
  Avec les mots de passe hors de vue, l’expérience utilisateur et la sécurité s’améliorent.

Qu'est-ce que la connexion sans mot de passe empêche avec WebAuthn ?

• Pulvérisation par mot de passe

  La pulvérisation de mots de passe est une attaque qui tente d'accéder à un grand nombre de comptes (noms d'utilisateur) avec quelques mots de passe couramment utilisés. Les attaques traditionnelles par force brute tentent d'obtenir un accès non autorisé à un seul compte en devinant le mot de passe.
  
  Lors de la pulvérisation de mots de passe, un attaquant essaie des combinaisons de nom d'utilisateur et de mots de passe à partir de la liste des mots de passe couramment utilisés.




• Bourrage d'informations d'identification

  Le bourrage d'informations d'identification est un type d'attaque dans lequel des informations d'identification volées sont utilisées et consistent en une liste de noms d'utilisateur ainsi que de leurs mots de passe. Le bourrage d'informations d'identification est différent de l'attaque par force brute dans le sens où il n'essaie pas de deviner les informations d'identification d'un utilisateur mais utilise plutôt une liste d'informations d'identification divulguées.
  
  Les attaques par credential stuffing sont possibles car de nombreux utilisateurs réutilisent la même combinaison nom d'utilisateur/mot de passe sur plusieurs sites. Une enquête révèle que 81 % des utilisateurs ont réutilisé un mot de passe sur deux sites ou plus et que 25 % des utilisateurs utilisent les mêmes mots de passe sur une majorité de sites. leurs comptes.




• Attaque de force brute

  L'attaque par force brute est un type d'attaque dans lequel une combinaison de nom d'utilisateur et de mot de passe est devinée par essais et erreurs. Il s’agit de tentatives de connexion répétées effectuées avec des combinaisons différentes à chaque fois. Deviner un mot de passe court peut être relativement simple, mais ce n'est pas nécessairement le cas pour des mots de passe ou des clés de chiffrement plus longs : la difficulté des attaques par force brute augmente de façon exponentielle à mesure que le mot de passe ou la clé est long.

Connexion sans mot de passe dans WordPress à l'aide du plugin miniOrange 2 Factor Authentication avec WebAuthn

La connexion peut être effectuée par nom d'utilisateur et 2 facteurs ou uniquement par nom d'utilisateur qui peut être décidé en fonction du rôle de l'utilisateur. Si un rôle n'est pas autorisé pour la connexion sans mot de passe, il se connectera avec un mot de passe et un nom d'utilisateur.

Il y a deux options :

• Connectez-vous avec mot de passe + 2ème facteur :

  Vous pouvez vous connecter avec un nom d'utilisateur + un mot de passe WordPress, puis une authentification à 2ème facteur.




• Connectez-vous avec 2nd Factor uniquement :

  Dans cette deuxième option, vous obtenez des variantes de Nom d'utilisateur + Mot de passe et Nom d'utilisateur + Authentification à 2 facteurs dans la même fenêtre.

Quels sont les modules complémentaires liés à la connexion WordPress ?

• Appliquer la vérification à deux facteurs aux utilisateurs WordPress lors de l'inscription des utilisateurs

  Avec le plugin miniOrange à deux facteurs pour la connexion WordPress, vous pouvez demander aux utilisateurs de WordPress de configurer la vérification Telegram lors de l'inscription en ligne afin que la deuxième couche de sécurité soit ajoutée à leur compte WordPress.



• vérification à deux facteurs compatible avec les formulaires Woocommerce

  Cette méthode de vérification est compatible avec presque tous les formulaires de connexion WordPress ainsi qu'avec le formulaire WooCommerce.



• Connexion sans mot de passe avec vérification à deux facteurs

  Vous pouvez configurer la connexion sans mot de passe sur votre connexion WordPress sans soucis en configurant la vérification Telegram en quelques étapes simples.



• Personnalisation

  La sécurité de connexion miniOrange fournit également des options de personnalisation. Vous pouvez personnaliser l'interface utilisateur d'invite à deux facteurs en fonction de la conception de votre site Web WordPress.



• Méthodes de sauvegarde

  Si vous perdez votre capacité d'authentification à deux facteurs, vous bénéficierez également de méthodes de sauvegarde telles qu'une méthode alternative à deux facteurs ou une autre solution de sécurité supplémentaire pour revenir à votre compte WordPress.