Clés FIDO2

Qu'est-ce qu'une passkey ?

Une passkey est une authentification moderne, résistante au phishing, qui remplace les mots de passe traditionnels. Les passkeys sont basées sur la cryptographie à clé publique et peuvent être stockées sur des appareils ou des clés de sécurité, permettant aux utilisateurs de s'authentifier de manière sécurisée et transparente sur les applications et les appareils.

ADSelfService Plus prend en charge les passkeys basées sur FIDO2, suivant la norme d'authentification ouverte développée par la FIDO Alliance. Avec l'intégration WebAuthn, ADSelfService Plus permet l'authentification par passkey pour un accès sécurisé aux ressources réseau.

ADSelfService Plus fournit actuellement l'authentification par passkey FIDO2 pour les éléments suivants :

• Connexions au portail ADSelfService Plus
• Connexions aux applications cloud
• Connexions aux machines (Windows, macOS et Linux)
• VPN et MFA RADIUS lorsque la vérification par e-mail SecureLink est activée
• Outlook Web Access (OWA)
• Réinitialisations de mot de passe ou déblocages de compte depuis le portail ADSelfService Plus

Comment ça fonctionne

Les passkeys FIDO2 sont des identifiants résistants au phishing basés sur la cryptographie à clé publique et intégrés à ADSelfService Plus via l'API WebAuthn. Lors de l'enregistrement, les utilisateurs enregistrent leur passkey (clé de sécurité ou passkey d'appareil) auprès d'ADSelfService Plus en fournissant une vérification utilisateur (biométrie, PIN ou tapotement physique) sur leur authentificateur. L'authentificateur génère une paire de clés cryptographiques unique : la clé privée reste stockée en toute sécurité sur l'appareil ou la clé de sécurité de l'utilisateur et ne le quitte jamais, tandis que la clé publique est envoyée et enregistrée auprès d'ADSelfService Plus avec l'ID de la partie faisant confiance (RP ID).

Lors de l'authentification, les utilisateurs vérifient leur identité directement sur leur appareil ou clé de sécurité en utilisant la biométrie, le PIN ou un tapotement physique. L'authentificateur utilise la clé privée pour signer cryptographiquement un défi et envoie la réponse signée à ADSelfService Plus. ADSelfService Plus valide cette réponse par rapport à la clé publique stockée et accorde l'accès après vérification réussie. Cette approche sans mot de passe élimine les risques de phishing puisque la clé privée ne quitte jamais l'appareil de l'utilisateur et que l'authentification est liée au domaine spécifique (RP ID), empêchant l'utilisation des identifiants sur des sites web frauduleux.

Limitations

• Limité aux connexions machines et à l'authentification via navigateur : Les passkeys FIDO2 ne prennent actuellement pas en charge les réinitialisations de mot de passe et les déblocages de compte via l'application mobile ADSelfService Plus.
• Exigences de compatibilité pour l'authentification biométrique : L'authentification biométrique via des clés de sécurité biométriques comme les appareils YubiKey Bio Series nécessite une compatibilité du navigateur ou du système d'exploitation pour l'authentification biométrique. Si ni le navigateur ni le système d'exploitation ne prennent en charge l'authentification biométrique lors de la MFA, l'appareil YubiKey Bio basculera automatiquement vers une authentification par PIN. Pour les informations de compatibilité, consultez la documentation YubiKey. Pour les étapes de dépannage, voir la page de dépannage.

Prérequis

Avant de configurer les passkeys FIDO2, assurez-vous que les exigences suivantes sont remplies :

• Privilèges administrateur : La configuration ne peut être effectuée qu'en utilisant le compte administrateur par défaut d'ADSelfService Plus ou un compte technicien produit avec des privilèges Super Admin.
• Appareils compatibles WebAuthn : Les utilisateurs doivent disposer de appareils compatibles WebAuthn pour utiliser l'authentification par passkey FIDO2.
• Configuration HTTPS : ADSelfService Plus doit avoir HTTPS activé avec un certificat SSL valide.
• Nom de domaine valide : L'URL d'accès doit être configurée avec un nom de domaine valide, et non une adresse IP.
• Exigences relatives aux certificats :
  • Un certificat valide doit être déployé dans ADSelfService Plus
  • Le Nom Commun (CN) ou le Nom Alternatif du Sujet (SAN) sur le certificat doit correspondre au nom d'hôte utilisé dans l'URL d'accès ADSelfService Plus.
  • Si vous utilisez une Autorité de Certification (CA) interne, le certificat CA doit être approuvé sur tous les appareils des utilisateurs. Apprenez comment distribuer les certificats aux machines des utilisateurs.

Configuration des FIDO2 Passkeys

Les clés FIDO2 permettent aux utilisateurs de s'authentifier avec deux types d'authenticators :

• Clés de sécurité
• Passkeys d'appareil

Clés de sécurité

Cela inclut les clés de sécurité matérielles portables compatibles FIDO2 comme YubiKey et Titan Security Key, qui sont amovibles et compatibles avec plusieurs plateformes. Ces authentificateurs peuvent être connectés à un appareil via USB, NFC ou Bluetooth pour une authentification sécurisée.

Passkeys d'appareil

Ces authentificateurs sont intégrés à l'appareil de l'utilisateur et gérés par le système d'exploitation. Ils vérifient l'identité de l'utilisateur en utilisant des identifiants biométriques ou basés sur un PIN, stockés en toute sécurité sur l'appareil. Parmi les exemples, on trouve Windows Hello, les biométries Android, ainsi que Apple Touch ID ou Face ID.

Les passkeys d'appareil peuvent être liées à un appareil ou synchronisées entre plusieurs appareils, selon la manière dont le fournisseur les a implémentées.

• Passkeys liées à un appareil : Ce sont des passkeys stockées uniquement sur l'appareil et non synchronisées avec des services cloud. Cela signifie que les utilisateurs doivent s'enregistrer séparément sur chaque appareil qu'ils souhaitent utiliser.
• Passkeys synchronisées : Ce sont des passkeys stockées en toute sécurité dans le cloud et synchronisées entre les appareils d'un utilisateur via des services cloud tels que iCloud Keychain ou Google Password Manager. Cette synchronisation permet un accès transparent à ADSelfService Plus sans avoir besoin de réenregistrer chaque appareil. Cependant, les données de vérification utilisateur, telles que les PIN et les données biométriques (y compris Face ID et Touch ID), restent spécifiques à chaque appareil et doivent être configurées individuellement sur chaque appareil. Par exemple, si John utilise Touch ID sur son MacBook puis achète un nouvel iPhone, il n'a pas besoin de réenregistrer l'iPhone dans ADSelfService Plus, mais doit configurer Face ID sur l'iPhone pour s'authentifier.
• Les passkeys synchronisées basées sur mobile prennent également en charge l'authentification inter-appareils (CDA), permettant aux utilisateurs de vérifier leur identité sur un appareil tout en accédant aux ressources sur un autre. Par exemple, les utilisateurs peuvent utiliser les authentificateurs intégrés de leur smartphone, tels que les biométries Android ou Apple Face ID, pour se connecter à ADSelfService Plus sur leur ordinateur portable en scannant un code QR et en établissant une connexion Bluetooth.

Étapes de configuration

1. Connectez-vous au portail administrateur ADSelfService Plus et naviguez vers Configuration > Self-Service > Multi-factor Authentication > FIDO2 Passkeys > Modifier.

1. L'ID de la partie faisant confiance doit être soit le nom de domaine, soit le nom de domaine effectif (nom du serveur ou domaine parent du nom du serveur) utilisé dans l'URL d'accès.

Par exemple, si l'URL d'accès est https://selfservice.example.com, seuls les RP ID suivants sont valides :

• selfservice.example.com
• example.com

Prudence en matière de sécurité : Spécifier un domaine parent dans le RP ID permet également d'utiliser les passkeys FIDO2 sur les sites web des sous-domaines du domaine. Par exemple, si example.com est choisi comme RP ID, alors les passkeys FIDO2 enregistrées sur site1.example.com peuvent aussi être utilisées sur site2.example.com ou site3.example.com. Pour permettre aux passkeys FIDO2 enregistrées avec ADSelfService Plus de s'authentifier uniquement avec le produit, vous pouvez définir la portée d'authentification en spécifiant l'URL d'accès utilisée dans ADSelfService Plus comme RP ID.

1. Un modèle de nom d'utilisateur aide à éviter les ambiguïtés en associant le compte utilisateur à des valeurs d'attribut distinctes dans AD. Il s'agit d'un nom d'utilisateur facilement mémorisable et distinct créé selon ce modèle pour le compte utilisateur qui sera enregistré avec la passkey FIDO2.
2. Open Advanced Settings and use the Allowed Passkey Types dropdown to configure the types of FIDO2 passkeys your users can enroll in.
   • Sélectionnez Clés de sécurité pour permettre aux utilisateurs de votre organisation de s'enregistrer pour des passkeys telles que YubiKeys ou les clés Google Titan.
   • Sélectionnez Device Passkeys pour permettre aux utilisateurs de votre organisation de s'inscrire avec des passkeys basées sur l'appareil qui utilisent les méthodes d'authentification intégrées de la machine ou du téléphone, telles que les biométries comme l'empreinte digitale ou la reconnaissance faciale.
3. Activez la case à cocher Deny syncable passkeys pour garantir que les passkeys sont liées à des appareils organisationnels spécifiques et ne sont pas synchronisées sur plusieurs appareils via des services cloud. Cela est idéal pour les organisations ayant des exigences de sécurité visant à autoriser uniquement les passkeys liées à l'appareil.

1. Dans le menu déroulant, sélectionnez si la Vérification de l'utilisateur est Requise, Préférée ou Découragée pour les clés de sécurité. La vérification de l'utilisateur, telle qu'un PIN ou des biométries supplémentaires, offre une couche de sécurité supplémentaire, garantissant que la clé de sécurité est en possession des personnes autorisées. Cela est important car des clés égarées pourraient être exploitées par des utilisateurs non autorisés qui les trouvent.

• Requise : L'utilisateur devra toujours vérifier son identité en utilisant le mécanisme de vérification intégré configuré sur la clé de sécurité après l'avoir insérée.
• Préférée : Si une vérification de l'utilisateur, telle qu'un PIN ou des biométries, est configurée sur la clé de sécurité, les utilisateurs seront invités à vérifier leur identité lors de l'insertion de l'authentificateur. Si aucune méthode de vérification n'est définie, les utilisateurs ne seront pas sollicités pour une identification.
• Découragée : Si votre organisation utilise des clés de sécurité basées sur U2F (Universal 2nd Factor qui ne prennent pas en charge la vérification de l'utilisateur), les administrateurs peuvent sélectionner l'option Découragée. Les utilisateurs ne seront pas invités à se vérifier lors de l'insertion de leur passkey FIDO2. Cependant, certaines clés de sécurité exigent une vérification sur les appareils compatibles même lorsque l'option est Découragée. Veuillez consulter la documentation fournie avec votre clé de sécurité pour le confirmer.

1. Spécifiez le nombre maximal de passkeys que chaque utilisateur peut ajouter dans le champ No. of passkeys allowed per user. Les utilisateurs peuvent s'inscrire jusqu'à cinq passkeys FIDO2.
2. Cliquez sur Enregistrer.

Appareils pris en charge

Les OS et navigateurs qui prennent en charge chacun des types de clés suivants sont les suivants :

Clés de sécurité

Les clés de sécurité peuvent être utilisées sur une large gamme de systèmes d'exploitation et de navigateurs, à condition que le système d'exploitation et le navigateur répondent aux exigences nécessaires pour la prise en charge de WebAuthn.

*Les chiffres entre parenthèses indiquent la version minimale du navigateur prise en charge requise.

Clés d'accès des appareils

Les Device passkeys sont prises en charge sur une large gamme de navigateurs et de systèmes d'exploitation, la compatibilité variant selon la manière dont les passkeys sont accessibles :

1. Passkeys liées à l’appareil :

*Les chiffres entre parenthèses indiquent la version minimale du navigateur prise en charge requise.

2. Passkeys synchronisées

*Les chiffres entre parenthèses indiquent la version minimale du navigateur prise en charge requise.

3. Authentification Cross-Device

Client CDA : Le client CDA dans un flux d'authentification Cross-Device est l'appareil sur lequel ADSelfService Plus est utilisé.

Authentificateur CDA : L'authentificateur CDA dans un flux d'authentification cross-device est l'appareil utilisé pour vérifier leur identité.

Par exemple, vous pouvez utiliser votre téléphone comme authentificateur cross-device pour vous connecter à ADSelfService Plus depuis votre ordinateur portable. Dans ce cas, l'ordinateur portable est le client CDA, et le téléphone agit comme l'authentificateur CDA.

Les clients et authentificateurs CDA pris en charge sont les suivants :

*Les chiffres entre parenthèses indiquent la version minimale du navigateur prise en charge requise.

Passkeys FIDO2 prises en charge pour les scénarios de connexion machine

L'authentification multifactorielle (MFA) des points de terminaison renforce la sécurité de connexion sur les points de terminaison utilisateur en activant des passkeys FIDO2 résistantes au phishing. Avant d'imposer les connexions machine basées sur FIDO2, consultez le tableau ci-dessous pour comprendre quelles méthodes de passkey sont prises en charge selon les systèmes d'exploitation et les scénarios de connexion machine. Pour plus de détails sur la MFA pour les points de terminaison, cliquez ici.

Pour les scénarios de connexion, déverrouillage et UAC, les utilisateurs peuvent utiliser une clé de sécurité ou leur téléphone mobile. Les téléphones mobiles permettent aux utilisateurs de scanner un code QR pour ouvrir un lien sécurisé sur leur appareil et s'authentifier en utilisant des passkeys intégrées ou des clés de sécurité, sans connexion directe appareil-à-appareil (comme CDA) requise. Notez que les téléphones mobiles ne peuvent pas être utilisés pour la MFA hors ligne.

Pour les sessions RDP, l'authentification FIDO2 peut être activée sur les clients et serveurs Windows pris en charge en utilisant la redirection WebAuthn native de Windows. Sur les systèmes ne supportant pas cette fonctionnalité, comme les versions de Windows antérieures à la version 10 1809, vous devrez utiliser des outils tiers USB-over-IP tels que IncentivesPro USB Redirector RDP Edition ou Eltima USB Network Gate.

Versions client et serveur prises en charge pour Windows Hello :

• OS client : Windows 10 version 1809 ou ultérieure, ou Windows 11
• OS serveur : Windows Server version 1809, 2019, 2022, ou 2025 et ultérieures

Inscription des passkeys FIDO2

Lors de l'inscription, les utilisateurs peuvent choisir leur type de passkey préféré parmi les options proposées, telles que les clés de sécurité ou les Device passkeys.

Clés de sécurité : L'utilisateur devra s'authentifier en utilisant le mécanisme intégré de la clé de sécurité. Par exemple, s'il utilise un YubiKey, il pourrait devoir saisir un PIN ou scanner son empreinte digitale via le capteur. Les clés de sécurité peuvent être inscrites via le portail web ADSelfService Plus depuis un appareil prenant en charge les connexions USB, near-field communication (NFC) ou Bluetooth Low Energy (BLE). Une seule clé de sécurité peut être inscrite comme passkey pour plusieurs utilisateurs, et plusieurs clés de sécurité peuvent être inscrites pour un seul compte utilisateur.

Device passkeys : L'utilisateur terminera l'inscription en vérifiant son identité à l'aide de l'authentificateur intégré de son appareil, tel que Face ID, Touch ID ou PIN.

• Passkeys liées à l'appareil : Une passkey liée à l'appareil est stockée uniquement sur l'appareil où elle a été créée. Si les utilisateurs souhaitent utiliser la passkey sur d'autres appareils, ils doivent inscrire une nouvelle passkey sur chaque appareil prenant en charge les passkeys liées à l'appareil.
• Passkeys synchronisées : Une passkey synchronisée est stockée dans le cloud et automatiquement synchronisée sur les appareils de l'utilisateur liés au même compte, en utilisant des services comme iCloud Keychain ou Google Password Manager. Une fois synchronisée, les utilisateurs n'ont pas besoin de réinscrire la passkey sur d'autres appareils prenant en charge les passkeys synchronisées.

Si un utilisateur souhaite enregistrer un autre smartphone ou une autre tablette, il peut scanner le code QR affiché à l'écran pour démarrer le processus d'authentification via Bluetooth. Les administrateurs doivent s'assurer que les appareils des utilisateurs prennent en charge CDA pour un processus d'enregistrement fluide. Une liste des appareils pris en charge est disponible ici.

Vous pouvez trouver le processus d'enregistrement étape par étape pour les utilisateurs ici.

Vérification avec les passkeys FIDO2

Une fois enregistrés, les utilisateurs vérifieront leur identité en utilisant leurs passkeys lors de la connexion.

Clés de sécurité : Les utilisateurs doivent vérifier la clé de sécurité sur leur appareil en se connectant via USB, NFC ou BLE. Une fois vérifiée, la clé peut être utilisée sur d'autres appareils en répétant le processus. Cela garantit un accès sécurisé et cohérent sur tous les appareils.

Device passkeys : Les authentificateurs intégrés de l'appareil peuvent être utilisés pour la vérification sur l'appareil inscrit. Si la passkey est synchronisée sur plusieurs appareils, elle peut également être utilisée sur ces appareils.

• Passkeys liées à l'appareil : Les utilisateurs doivent vérifier leur identité sur le même appareil où la passkey a été inscrite. Cela peut impliquer la saisie d'un PIN ou l'utilisation de l'authentification biométrique. En cas de succès, le système reconnaîtra la passkey et permettra à l'utilisateur de se connecter.
• Passkeys synchronisés : Lorsque le passkey est synchronisé sur plusieurs appareils liés au même compte, les utilisateurs peuvent l’utiliser pour la MFA sur n’importe lequel de ces appareils. L’utilisateur peut vérifier son identité à l’aide d’un authentificateur intégré, et l’authentification est complétée en utilisant le passkey synchronisé, permettant une expérience de connexion fluide.

Si un utilisateur doit s'authentifier en utilisant un autre smartphone ou une autre tablette, il peut scanner le code QR affiché à l'écran pour compléter la vérification via Bluetooth.

Vous pouvez trouver les étapes détaillées de vérification ici.

Conseils

1. Finalisez la configuration avant le déploiement : Déterminez votre URL d’accès et votre RP ID avant d’activer les FIDO2 Passkeys, en particulier pour les déploiements en répartition de charge ou à haute disponibilité. Modifier l’URL d’accès après que les utilisateurs se soient inscrits modifiera le RP ID, entraînant la perte complète de toutes les données d’enregistrement et forçant une réinscription à l’échelle de l’organisation.
2. Choisissez la bonne portée de RP ID : Utilisez l’URL d’accès complète (par exemple, selfservice.example.com) comme RP ID pour restreindre les passkeys exclusivement à ADSelfService Plus. N’utilisez le domaine parent (par exemple, example.com) que si vous souhaitez intentionnellement que les passkeys fonctionnent sur plusieurs sous-domaines, mais comprenez que cette portée plus large crée des implications de sécurité car les passkeys enregistrés sur un sous-domaine peuvent authentifier sur d’autres.
3. Configurez des mécanismes de secours pour les clés de sécurité biométriques : Pour les clés de sécurité biométriques comme la série YubiKey Bio, assurez-vous que les utilisateurs configurent l’authentification par PIN comme mécanisme de secours. L’authentification biométrique nécessite le support du navigateur ou du système d’exploitation ; lors de l’accès aux systèmes depuis des navigateurs anciens ou des machines incompatibles, le YubiKey Bio bascule automatiquement vers l’authentification par PIN, évitant les blocages tout en maintenant la sécurité.