Options d'authentification de l'utilisateur

SMS OTP - Pour les utilisateurs mobiles qui n'ont pas encore votre application

Les SMS OTP ont de nombreux défauts (il ne s’agit pas réellement d’authentification multi-facteur, ne fonctionne pas en itinérance, les délais de livraison varient de très bons à très mauvais). Cependant, l’utilisation d’OTP SMS peut être pertinente dans certaines situations. De ce fait, les OTP sms sont supportés (option non pas autorisée par défaut). L’utilisateur devra entrer un code reçu sur son téléphone portable pour se connecter à votre service.

Mobile offline OTP - La méthode à l'ancienne

La génération d'OTP hors ligne utilisant n'importe quel téléphone portable ou smartphone en tant que terminal de confiance

L’application d’authentification fournie avec Visual Guard (= périphérique de confiance) est utilisé comme générateur de mot de passe à usage unique (OTP) hors ligne . Le nom de l'utilisateur et l'OTP sont ensuite soumis par l’utilisateur dans votre page d'authentification. Notre plate-forme est interrogée via le connecteur d'application, valide l'OTP avant d’authentifier l’utilisateur.

Cette méthode fonctionne en toutes circonstances (y compris en mode hors ligne et en mode avion). Cependant elle est fastidieuse et il existe des moyens beaucoup plus simples.

Notifications push - dans l'air du temps

Génération d'OTP utilisant les notifications push reçues sur un smartphone utilisé comme dispositif de confiance

L’utilisateur soumet son login dans votre page d'authentification. La plate-forme d’authentification forte est interrogée via le connecteur d'application et envoie une notification push à l'application d'authentification enregistrée pour ce nom d'utilisateur. L’application se réveille et apparaît sur le téléphone de l’utilisateur. Il saisit son code PIN pour qu'un OTP soit généré par l'application et soumis en arrière-plan à notre plate-forme pour validation.

Ici, le PIN (alias le deuxième facteur) est une étape qui peut être sautée s'il y a eu une première authentification. Il peut également être remplacé par une touche sur un capteur d'empreintes digitales si le smartphone en est équipé. Bientôt, ce sera aussi la reconnaissance faciale ou vocale ou toute autre forme d'authentification biométrique fournie par le smartphone ou par le module d'authentification forte.

En supposant qu'il y a suffisamment de réseau, cette méthode est beaucoup plus conviviale. Cependant, l’utilisateur a besoin de son téléphone à chaque fois qu'il s'authentifie. La facilité d’utilisation est appréciable, surtout comparée aux méthodes d’authentification précédentes. Cependant, la répétition cette procédure à chaque connexion aux applications devient rapidement lassant. Comment faire mieux ?

Affichage OTP - Une variante peu élégante mais intelligente d'OTP mobile

Affichage OTP

Tous vos utilisateurs ne sont pas équipés de smartphones ? Ou certains disposent d'un smartphone personnel qu'ils ne veulent pas utiliser pour s'authentifier à votre service. Peut-être aimeraient-ils quelque chose d’encore plus simple... Pour couvrir ces cas et quelques autres, Visual Guard utilise une "application web" qui affiche les OTPs directement dans le navigateur de l'utilisateur.

C'est de l’authentification multi-facteurs sans téléphone ni jeton ! Mais pourquoi s'arrêter là ? La nécessité de transporter un token ne constitue que la moitié de la difficulté, les OTP étant la deuxième partie du problème. Pouvons-nous tout simplement supprimer la saisie de mot de passe ? Cela est possible pour les services en ligne.

Authentification par navigateur - La méthode sans Friction

Génération d'OTP en utilisant le navigateur comme un dispositif de confiance

Le navigateur utilisé pour accéder à votre service a été enrôlé comme terminal de confiance. Votre page d'authentification le détecte et affiche le Virtual Authenticator, la méthode d'authentification basée sur un navigateur. L’utilisateur peut facultativement vérifier les informations de sécurité (comme elle le ferait pour un site web avec un certificat SSL) et entrer son code PIN. Un OTP est généré et soumis en arrière-plan à votre serveur. Notre plateforme est interrogée via le connecteur d'application, valide l'OTP et authentifie l’utilisateur.

Cette méthode est bien plus simple : L’utilisateur n’a pas eu besoin de son téléphone car il a utilisé un de ses appareils habituels pour accéder à votre service.

De plus, il n'a pas pas eu besoin de copier d'OTP. Pour la première fois, il ne ressent aucune contrainte à utiliser une nouvelle solution de sécurité.

Mais comment peut-il se connecter à ses applications s’il n’a pas son ordinateur habituel ?

Authentification convergente - La solution universelle

Votre page d'authentification est maintenant assez intelligente pour teste les transactions. Si la méthode d'authentification par navigateur est impossible, une alternative sera proposée automatiquement (notifications push, OTP mobile hors ligne, OTP par SMS). L'expérience est transparente.

Qu'en est-il de la FIDO ?

Nous n'avons pas parlé de normes telles que la FIDO parce que ces normes en elles-mêmes n'apportent pas de bénéfices, de fonctionnalités, ou de sécurité supplémentaires.