v1 with U2F

Contents

Références et ressources

FIDO Alliance

Serveurs de test

Implems open source

List of libraries to start an implem
voir la section serveurs de tests

Introduction

Motivation : les limites à l'utilisation des passwords

passwords could be stolen from the server
could be entered into untrusted apps/websites (phishing)
hard to type on mobile devices
usability : too many passwords to remember

Type d'attaques

attaques du server
attaques du client
- user input channel compromized (keyloggers)
- fausse fenêtre de login
quand on est authentifié, on de dit pas pourquoi

Présentation de Fido 1.X

Historique

fev 2013 : Fido Alliance Announced
dec 2013 : FIDO ready program
Feb 2014 : Specification review draft
fin 2014 : premiers déploiement UAF et U2F
9 dec 2014 : FIDO 1.0
mai 2015 : certification program
juin 2015 : Bluetooth et NFC transports added
Fev 2016 : W3C standardisation
nov 2016 : FIDO 1.1

Adoption

Avantages de FIDO

pas d'autorité centrale
pas de secret sur le serveur pour FIDO (que des clés privées)
les données biométriques de UAF restent sur le device
pas de possibilité de tracking de l'utilisateur entre service ou comptes

Les DEUX standards

Différences entre UAF et U2F

UAF standard : First Factor - passwordless, avec biométrie
- UAF 1.1 (February 2nd, 2017)
  - Android "N" attestation support
  - APDU framing of commands (optional – for "smart cards")
  - New metadata statement fields
  - "Delete-all" de-provisioning Functionality
U2F standard : Second factor - Universal 2nd Factor
- U2F 1.2 (July 11th, 2017)
  - Change USB transport to conform to ISO7816-4
  - NFC (ISO7816-4) support
  - Bluetooth Low Energy support
  - Updated JavaScript 1.1 specification
  - Transports Extension specification
  - Expanded Metadata Service specification to include U2F

→ Important : lors de l'authentification avec U2F, on s'attend à un utilisateur que l'on connait déjà, alors que ce n'est pas le cas avec UAF. Les flots sont donc différents.

U2F

Acteurs

Relying Party server
FIDO Client API du browser ou une app
Authenticator physical token which stores the private key

L'Authenticator dispose d'une paire de clé publique/clé privée (authentication keys) pour chaque Relying Party (site web, généralement) et utilisateur, afin d'empêcher le suivi des utilisateurs entre RP en suivant les clés. Il a partagé chaque clé publique avec le RP correspondant.

Après le login, le RP connait l'utilisateur qui est authentifié. Il envoie un challenge. Le FIDO client transmet ce challenge à l'Authenticator qui le signe avec sa clé privée. Le challenge signé est alors renvoyé par le FIDO client au RP qui vérifie la signature avec la clé publique.

Par voie de conséquence

Cette interaction permet de vérifier que l'utilisateur possède la clé privée. C'est tout. Ce n'est PAS l'identification d'une personne, qui est faite par le login, mais au plus l'identification d'un device (la possession de la clé privée).
Un geste physique peut être demandé à l'utilisateur côté Authenticator afin de provoquer la lecture de la clé privée. Ce geste aussi simple que presser un bouton est un test de présence qui permet d'éviter des tentatives de chiffrements via API.

→ device sign data given by the server with his private key. Server knows the public key (pre shared) and can verify the user.

UAF

séparation entre
- user verification, on the authenticator
- authentication, on the server

attestation cryptographic proof for letting the server understanding authenticator security (fingerprint,…)
keys (on the authenticator)
- attestation key : injected at manufacturing time, doesn't change
- authentication keys : generated at registration time

Vocabulaire

old name	new name
rpid	App ID
account info (AI)	username
COpts.webauthn_authnSel	policy
AAGUID	AAID
FinalChallengeParam	clientData
fc	clientDataHash (cdh)
credentials	handle (h)

FIDO en pratique

Browsers compatibility

Google Chrome v38
Opera v40
Firefox v57
Microsoft is working on FIDO 2.0 support for Windows 10 and the Edge

Devices certifiés U2F

La plupart des équipements sont disponibles sur Amazon, parfois à des prix plus intéressants que sur le site web de l'équipmentier.