Une authentification à double facteur basée sur le bruit ambiant

A l’occasion des récentes conférences USENIX à Zurich, un nouveau processus de double authentification a été présenté par des chercheurs du Swiss Federal Institute of Technology. Surnommé Sound-Proof cette solution prototype s‘appuie sur les bruits ambiants pour valider l’accès aux sites.

Le principe de fonctionnement est simple coté utilisateur : une fois ses identifiants saisis sur un site intégrant Sound-Proof, le microphone de son ordinateur est mis à contribution pour enregistrer les sons ambiants. L’application mobile associée est elle aussi appelée pour activer en parallèle l’enregistrement de ces sons par le téléphone.

Ces deux enregistrements sont ensuite convertis en signatures digitales et transmises à un serveur pour être comparées. Si ces deux signatures sont identiques, l’authentification est validée. En cas d’échec, l’application propose d’autres options d’authentification double. Ce système n’impose pas à l’utilisateur de lancer l’application manuellement et fonctionne en intérieur comme en extérieur.

Ce service est pris en charge par certains navigateurs, compatibles HTML5 : Google Chrome, Firefox et Opera. IE devrait prochainement être ajouté à cette liste. Une première étude a été menée auprès d’utilisateurs volontaires, soulignant des résultats encourageants en termes d’adoption possible.

Notre Analyse : Développer l’usage des services d’authentification multi-facteurs

Ce service s’appuie sur la simplicité d’usage et la transparence pour séduire les utilisateurs. Alors que la mise en œuvre d’une fonctionnalité intégrant un processus d’authentification forte implique souvent un parcours client plus complexe : des outils complémentaires spécialement conçus ou des étapes dont l’utilisateur doit s’acquitter (lancer une application dédiée, saisir un identifiant uniquement généré par un token, etc.).

En cas d’attaque, Sound-Proof peut également alerter l’utilisateur, lui permettant de contrer d’éventuelles connexions malveillantes. Ce processus implique l’enregistrement des interactions de l’utilisateur et, par respect pour sa vie privée, nécessite donc des précautions particulières de la part de l’intégrateur. Par exemple, seule la signature est envoyée au serveur et non l’enregistrement de base.