@pcdata, @Matthieu Vergne, je vais faire une seule reponse car vos postes vont dans le même sens. Vous ne comprenez pas les aspects techniques de cette solution et comment elle adresse la plupart des points que vous soulevez.
Envoyé par
pcdata
Et pour que ton adresse serve pour plusieurs comptes, il faut bien que ton adresse et les clés soit stockée en base de données quelque part !?
Donc tu dépends forcément du propriétaire de cette base de donnée.
La seule base de données de laquelle tu dépends est le couple user/pwd de ton provider mail. C'est déjà le cas actuellement. Pas besoin de service tiers.
La base d'authentification contenant les clés privées nécessaire a l'authentification est locale au navigateur. Elle t'es locale.
Envoyé par
pcdata
Et si pas de mot de passe mais juste une adresse e-mail : quid sur un ordinateur partagé !??
Tes gosses vont accéder à ton compte bancaire ? Vive Noël !!
J'ai déjà évoqué le cas d'un ordinateur publique plus haut. Les clés générées on une durée de vie courte et son stockée localement. Supprime tes cookies, ou deloggue toi de ton provider mail. L’accès n'est plus possible.
Le cas que tu évoques est relatif aux sessions et est identique avec le système actuel. Si tu ne fermes pas tes sessions, leur contenu est toujours valide.
Envoyé par
pcdata
Et même avec l’authentification à deux facteurs (SMS je suppose), tu te fait cambrioler ton appartement : ordinateur et téléphone (ce qui n'arrive mais alors jamais...) et là Youpi, le jackpot pour les cambrioleurs.
Rien a voir et rien de différent d'aujourd'hui (en considérant que tu n'as pas de pin, ni mot de passe, ni que tes disques sont chiffres, ni que...). Ça fait beaucoup d'erreur.
De plus rien n’empêche (bien au contraire), d'utiliser Persona comme un seul élément du 2 factor.
Envoyé par
pcdata
Et il ne faut pas croire, mais il y en a pour qui c'est un métier de trouver les moyens de te "niquer" : il suffit de voir déjà avec le phishing comme ça marche bien.
Le phishing n'a plus de sens avec cette Persona, car il n'y a pas de user/mdp a voler.
Envoyé par
pcdata
Et plus tu simplifie les choses, plus ça les arrangent.
Et même au delà de ça, il existe un adage qui prévaut depuis des lustres : "Ne jamais mettre tous ses œufs dans le même panier".
Et c'est encore plus vrai en ce qui concerne la sécurité.
C'est totalement faux en sécurité. Tu cherches justement a réduire ta surface d'attaque en ne multipliant pas les services. C'est un principe de base. Plus ton information est répandue, plus tu t'exposes a des attaques.
@Matthieu Vergne
Envoyé par
Matthieu Vergne
Je sais pas pour vous, mais la contradiction est un peu grosse la quand même, non ? On parle d'une authentification centralisée pour ne plus avoir recours aux authentifications centralisées... J'invente rien, c'est l'article qui le dit.
Oui, c'est mal formule dans l'article, comme souvent avec les articles de vulgarisation sur developpez. La grosse difference avec Personna, c'est que si tu veux implementer le cote provider (CA) de la solution tu peux. Pas avec Facebook ID. En gros c'est une solution centralisee dans le sens ou l'authentification a des services tiers est centralisee. Mais c'est une solution decentralisee, car n'importe qui peut implementer le cote provider de la solution.
Envoyé par
Matthieu Vergne
Comme le souligne Neko, c'est une question de confiance : soit on crois en Facebook, soit on crois en Persona. En suivant la discussion, il semble que la responsabilité devrait être retransmise au provider mail... mais on ne fait que décaler le problème : j'ai pas forcément envie que mon provider mail ait les infos qui lui permette d'accéder à tous les sites que je visite en utilisant mon compte.
Non, c'est incorrect. Ton provider mail ne possédé pas les clés privées. Il ne fait que signer ta clé publique (Role du CA). Le problème de confiance est identique a celui de la PKI et pour l'instant on a rien trouve de mieux. Tu fais confiance au CA pour qu'il ne génère pas un certificat identique au tien pour quelqu'un d'autre.
Encore une fois si tu ne fait pas confiance a ton provider mail, rien ne t’empêche de jouer le rôle de CA (idp) toi même. Tu ne dépends ainsi de personne.
Envoyé par
Matthieu Vergne
De plus, on a toujours le problème de la centralisation des données (comme pcdata le souligne aussi), et donc de l'intérêt croissant qu'on donne au propriétaire de la base de données :
Globalement, c'est facile de sécuriser un service centralise avec une authentification forte (2 factor...). C'est impossible de sécuriser des services distribues que tu ne contrôles pas. De plus la supériorité de la PKI en matière d'authentification comparée au mot de passes n'est vraiment pas a démontrer. Ta surface d'attaque est énorme quand tu dépends de 50bdd plutôt qu'une. Vu le nombre de services utilises de nos jours, tout le monde réutilise ses mots de passe, ou fait confiance au navigateur pour les stocker dans le cloud. Ces 2 solutions sont bine pires que Persona.
Envoyé par
Matthieu Vergne
les crackers ne s'attaqueront plus au provider que pour récupérer tes mails, mais aussi pour accéder à tes sites favoris avec ton propre compte.
C'est déjà le cas. Ou vont tes mails de réinitialisation de mot de passe?
Envoyé par
Matthieu Vergne
Perso, j'aimerais ne faire confiance qu'à mon navigateur open source préféré, que ce soit lui qui stocke de manière sécurisée mes données (l'intérêt du distribué, c'est que tu te fais pas cracké tes données parce que t'es dans la même base de donnée que ce type qui a des ennemis partout). Mais s'il semble que Persona utilise le navigateur, il semble tout de même que ça utilise aussi un service externe pour générer les clés, donc on doit toujours faire confiance à ce service extérieur (qu'il ne stocke pas les clés, ne les revendent pas, ne se fasse pas cracker, ...).
Non, c'est faux. Les clés sont bien sur générée localement. Tu ne transmet que ta clé publique au provider que pour signature.
Envoyé par
Matthieu Vergne
Non, mise à part qu'il le font différemment, je ne vois pas en quoi leur système est plus sécurisé.
Je vais pas reprendre tous les points, mais:
- crypto asymetrique
- non utilisation de mot depasse (ta securite ne depends pas d'un site stockant tes mots de passes en clairs ou md5)
- Rend les attaques par phishing et MITM inutiles (sans utilisation de crypto)
- authentification centralisee
Je vous invite vraiment a lire ce
lien et a relancer le débat avec des arguments solides.
3 |
0 |
Mozilla vient de lancer la version beta de « Persona », son nouveau système d’authentification pour le Web.
Persona sur GitHub
)