C'est quoi ce système de nouvelle sécurité

Grossièrement, ton appareil crée une clé secrète pour ton compte.

Quand tu te connectes, ton téléphone prouve à Onche qu’il possède bien cette clé, sans jamais nous envoyer la clé elle-même. Ton empreinte, ton Face ID ou ton code servent simplement à autoriser ton téléphone à l’utiliser.

L’intérêt de cette méthode est qu’il n’y a pas de mot de passe à voler ou à récupérer côté Onche. Même si quelqu’un récupérait ce que nous stockons, ça ne lui donnerait pas ta clé secrète.

C’est justement pour ça que cette méthode est considérée comme beaucoup plus résistante aux attaques que le mot de passe classique.

Source : W3C

Y'a que moi qu'ai rien?

C'est basé sur la cryptographie.

Visiblement, l'empreinte ou le visage sert à générer une paire de clefs d'authentification.

Les données biométriques transitent pas par le réseau.

la clé est donc bien lié à un unique appareil et stocké au niveau hardware ?
Le service W3C qui crée ces clés, ils ont forcément ton visage ou tes empreintes à un moment, ils en font quoi ?

Mais jamais je donne mes empreintes hein

mais donc cette clé est bien liée à ton visage ou et / empreinte, l'entreprise qui fait ça garde quoi comme données ? Comment peut on être sur qu'ils n'ont pas un petit dossier avec clé X = visage taptaps

mais donc cette clé est bien liée à ton visage ou et / empreinte, l'entreprise qui fait ça garde quoi comme données ? Comment peut on être sur qu'ils n'ont pas un petit dossier avec clé X = visage taptaps

Mais vous connaissez pas WebAuth en big 2026 ?

C'est quoi cette armée de golem

Il nous surveille

Mais vous connaissez pas WebAuth en big 2026 ?

C'est quoi cette armée de golem

Mais les données biométriques sont enclavées sur ton appareil ! Ton visage ou ton empreinte sont envoyés nulle part

Quand tu utilises Face ID ou ton empreinte, ton appareil vérifie localement que c’est bien toi, puis autorise l’utilisation de la clé de connexion.

L’entreprise qui fournit ton téléphone n’a donc pas un dossier du genre « clé X = visage de taptaps »

Le W3C, lui, ne récupère rien : c’est simplement l’organisme qui définit le standard utilisé par les appareils, navigateurs et sites

Non, de ce que j'ai compris, l'empreinte ou la face ID te donne accès à ta clef privée pour que tu puisse prouver ton identité au serveur (en déchiffrant un nonce que le serveur a chiffré avec ta clef publique, seul toi peut déchiffrer, je suppose, ou alors en faisant une vérification de signature)

Je crois que l'empreinte c'est côté navigateur ou OS.


En gros, tu peux voir ça comme l'ouverture d'un coffre qui contient ta clef privée)

donc localement visage se transformer en clé, puis visage local déverouille compte onche en allant chercher clé cryptée associée sans jamais ne fournir visage à onche
la vraie question maintenant c'est de savoir si côté os c'est inviolable, par mesure de sécurité je ne le ferai pas

oui j'ai compris maintenant, donc les données sont du côté de l'os

Non, de ce que j'ai compris, l'empreinte ou la face ID te donne accès à ta clef privée pour que tu puisse prouver ton identité au serveur (en déchiffrant un nonce que le serveur a chiffré avec ta clef publique, seul toi peut déchiffrer, je suppose, ou alors en faisant une vérification de signature)

Je crois que l'empreinte c'est côté navigateur ou OS.


En gros, tu peux voir ça comme l'ouverture d'un coffre qui contient ta clef privée)

Mais du coup, ça ne dit pas que l'API WebAuthn est fiable à 100%.

Mais en fait tous les plus gros sites utilisent WebAuthn

Vous n'avez jamais essayé ? J'ai config mon compte Google dessus perso

Mais en fait tous les plus gros sites utilisent WebAuthn

Vous n'avez jamais essayé ? J'ai config mon compte Google dessus perso

Mais du coup, ça ne dit pas que l'API WebAuthn est fiable à 100%.