Identité numérique: iOS, quid de la confidentialité ?
Apple se targue de défendre nos données, quand nous nous servons des appareils mobile de sa marque (iPhone, iPad ou Macs). Avec des solutions tels que TouchID ou FaceID, l’accès à nos appareils pommés est censé être protégé, par le biais d’éléments physiques internes (Secure Enclave). Mais si nous souhaiterions déposer nos identifiants ailleurs ? Petit tour d’horizon des solutions possibles.
On se blinde les accès !
Bien qu’Apple intègre une notion de gestion de l’identité, avec un niveau de sécurité qui a été déjà éprouvé, on voit qu’une tendance de pouvoir gérer ses identités hors des appareils. Comme nous avons pu le voir dans un précédent article, quand on parle d’autorisation IAM, Il s‘agira pour l’utilisateur final de prouver son identité sur le réseau.
La méthode traditionnelle consiste à combiner l’utilisation d’un nom d’utilisateur et d’un mot de passe. L’autre méthode (d’authentification) consiste à combiner mémorisation et support physique (clefs de sécurité ou autre). Il s’agira notamment d’un badge, d’un téléphone portable, d’un jeton, d’empreintes digitales, etc. Ces dernières étant très souvent considérées comme des formes d’authentification forte ou de méthode d’authentification à 2 facteurs.
C’est dans ce contexte que FEITIAN, que nous avions déjà mentionné, à réalisé une clef dédiée aux appareils iOS: la iePASS. Basé sur FIDO, cette clef a la particularité d’avoir 2 embouts (Lightning et USB-C), ce qui permet de fonctionner aussi bien avec les iPhones qu’avec des iPad Pro mais aussi avec des Macs.
Petite vidéo de test sur iPhone et iPad:
Comme vous pouvez le constater, c’est très simple d’emploi. Comme pour les tests précédents, il est important d’avoir la clef de sécurité enregistrée dans les solutions de validation d’identité (ex. Microsoft, Google ou Facebook).
Pour le cas de Microsoft et son environnement, une App (Authentificator) est préconisé, avec possibilité de donner une validation depuis une Apple Watch. Ceci étant l’approche de validation à 2 facteurs de la firme de Redmond mais, les données d’identification sont stockés sur le Cloud et donc, une rétention locale n’est pas prévue (à l’instar de la clef de FEITIAN).
Google a également une solution, disponible sur iOS: Google Authentification. Il s’agit d’une application qui génère des codes de validation. Ces codes sont à entrer quand on a configuré la validation en deux étapes sur un service (Google, réseaux sociaux, Discord, etc). Le code est obligatoire pour autoriser la connexion sur un appareil. Ainsi, si un hacker arrive à obtenir votre identifiant et votre de passe, il ne pourra pas aller plus loin. En effet, il n’aura pas le code de vérification nécessaire pour se connecter à votre identifiant.
La partie la plus intéressante dans l’utilisation des clefs de sécurité, c’est qu’elles peuvent servir dans plusieurs cas de figure. Petite vidéo d’intro de FEITIAN:
Et ma propre vidéo, sur l’intégration d’une carte de sécurité FEITIAN en NFC sur mon système MyFOX:
En résumé, c’est vraiment blindé !
Vous l’aurez compris, même si des solutions de gestion d’identification sont disponibles sur smartphones (avec copie locale ou dans le cloud), il est parfois utile d’avoir des alternatives, pour gérer son identité numérique. L’avantage d’une clef de sécurité, c’est qu’elle peut servir dans divers contextes mais surtout, avec n’importe quel solution compatible NFC/FIDO du marché.