Yubico lance une clé de deuxième authentification NFC et USB-C
Depuis iOS 13.3, Safari prend bien mieux en charge les clés de deuxième authentification (2FA). Google en a d'ailleurs récemment tiré profit pour l'identification à ses services depuis Safari iOS. La pertinence de ces produits n'est plus à démontrer car ils sont plus sécurisés qu'un SMS et il n'est même pas nécessaire d'avoir avec soi un appareil de confiance pour s'authentifier ou recevoir une notification.
Yubico lance aujourd'hui un nouveau modèle de clé 2FA qui combine NFC et USB-C, la YubiKey 5C NFC. Cette nouvelle référence dans la gamme YubiKey 5 est disponible dès à présent au prix de 55 $ (on devrait la trouver rapidement sur Amazon). La clé supporte les principaux protocoles d'authentification (FIDO2, WebAuthn, FIDO U2F, PIV, OATH-HOTP et OATH-TOTP, OpenPGP et YubiOTP. Elle est aussi compatible avec les appareils iOS, macOS, Android, Windows et Linux pour peu qu'ils intègrent un port USB-C ou prennent en charge la NFC.
C’est un complément de authy ?
Est-ce que cela fonctionnerait sur in Mac ou PC doté d’un USB A et on le connecte via un adaptateur ?
Oui, sans problème.
Et du coup aussi est-ce que l’iPhone peut lire le NFC ?
@Danila
Oui depuis 13.3 on peut s’identifier en plaçant la clé proche de la puce NFC de l’iPhone
C'est tellement pratique de devoir brancher le machin quand tu veux t'identifier...
@fousfous
Ça peut être pratique dans certain cas en plus de Google Authenticator par exemple et d’un gestionnaire de mot de passe.
Ex : site administratif, travail ect.
C’est sur que c’est pas adapté à une authentification régulière . Car tu oublie la clé tu es B-Zé !
Ces clés sont peut-être plus sécurisées que les SMS, mais quels sont les sites qui s'en servent ?
@Ali Ibn Bachir Le Gros
J’avais testé un précédent modèle et je l’avait activé avec Twitter, 1Password et les services Google...
Une liste exhaustive des sites et services fonctionnant avec les Yubikey :
https://www.yubico.com/works-with-yubikey/catalog/
@Ali Ibn Bachir Le Gros
J’ai de memoire :
Google pro ou perso
Microsoft pro ou perso
Amazon
GitHub
Dropbox
Gandhi
PayPal
Docker
Adobe
Et d’autres trucs moins courant encore.
J’ai du mal à percevoir comment une clé d’authentification est plus sécurisée … si un malandrin veut accéder à mes données, si ma clé est volée il peut y accéder plus facilement qu’avec une application qui va gérer l’authentification en deux étapes du genre 1Password et bloquer les accès à cet authentification via des données biométriques et/ou un mot de passe ?
@Jeckill13
C’est un second facteur donc tu as tout jours le mot de passe classique.
Pour ma part je préfère l’application avec la liste des codes des comptes.
@lactel
Je précise, si un malandrin qui a réussi à obtenir le mot de passe vole la clé d’identification, il n’y a plus de sécurité contrairement à une identification générée.
L’utilisation d’une application comme 1Password devient plus sécurisé, puisque ça demande un mot de passe supplémentaire pour le coffre fort, et que du fait de l’utilisation de 1Password les mots de passe sont supposés complexes.
@Jeckill13
Cet clef est en complément de ton mot de passe.
Sans tes identifiants, une clé volée ne sert à rien.
L’avantage par rapport à l’OTP classique est qu’il n’est généré et stocké nul part. C’est la clé elle même qui a un identifiant unique et non replicable. De ce fait la 2FA ne peut être usurpée. A l’inverse effectivement si la clé est perdue, il faut en avoir prévu une de secours.
Pour moi, c’est un truc de plus à perdre ou oublier. Pas sûre que l’embêtement au quotidien vale le prix d’un surplus de sécurité supposé.
Si j'ai une telle clé, que j'active plusieurs services avec et si je la perds, comment est-ce possible de se connecter à ces services et éventuellement de changer de clé ou de méthode 2fa?