Générateur d'ID d'authentification WebAuthn

WebAuthn (Web Authentication API, norme W3C) permet une authentification sans mot de passe à l'aide de la cryptographie à clé publique. Lorsqu'un utilisateur enregistre une clé d'accès ou une clé de sécurité, l'authentificateur génère une paire de clés et renvoie un identifiant d'authentification — une séquence d'octets opaque unique qui identifie l'authentification. Le serveur stocke l'identifiant d'authentification aux côtés de la clé publique. Lors de l'authentification, le serveur envoie l'identifiant d'authentification pour demander à l'authentificateur de signer un défi avec la clé privée correspondante.

Des identifiants d'authentification prévisibles permettraient aux attaquants d'énumérer les authentifications enregistrées, découvrant potentiellement quels utilisateurs ont enregistré des clés d'accès et ciblant le hameçonnage. La spécification FIDO2 exige que les identifiants d'authentification générés par l'authentificateur soient indiscernables des données aléatoires. Lors de la génération d'identifiants d'authentification côté serveur pour les tests ou les authentificateurs simulés, l'utilisation d'un CSPRNG tel que crypto.getRandomValues() est obligatoire.

Base64url est une variante de Base64 compatible avec les URL qui remplace + par -, / par _, et omet le remplissage =. WebAuthn utilise Base64url car les identifiants d'authentification doivent être transmis sous forme de chaînes JSON dans les structures authenticatorData et clientDataJSON. Base64 standard avec les caractères + et / nécessiterait un encodage URL dans les contextes JSON, ajoutant de la complexité. Base64url maintient les données compactes et sûres pour les URL, les en-têtes et le JSON sans échappement.

WebAuthn utilise la cryptographie asymétrique : la clé privée ne quitte jamais l'authentificateur (clé de sécurité matérielle ou authentificateur de plateforme comme Face ID/Touch ID), il n'y a donc rien à voler sur le serveur. Le serveur ne stocke que la clé publique et l'identifiant d'authentification. L'authentification prouve la possession de la clé privée en signant un défi généré par le serveur. Même si le serveur est compromis, les attaquants n'obtiennent que des clés publiques — inutiles sans la clé privée sur l'appareil de l'utilisateur.