Configurer WebAuthn avec biométrie de l’appareil pour l’authentification sans mot de passe

​

Prérequis

1. Vous assurer que l’expérience Universal Login est activée et que le code HTML de la page de connexion n’est pas personnalisé dans Dashboard > Universal Login.
2. Sélectionner Identifier First + Biometrics dans Dashboard > Authentication Profile. Cela activera automatiquement WebAuthn avec biométrie de l’appareil dans la section Authentification multifacteur si ce n’est pas déjà fait.
3. Si vous utilisez une connexion de base de données personnalisée, assurez-vous que Import Mode est réglé sur On. Sinon, vous pouvez exécuter le script getUser pour obtenir le même résultat.

​

Comment ça fonctionne

​

Authentification multifacteur

• Lorsque vous activez la MFA dans le Dashboard, Auth0 ne demandera pas la MFA si les utilisateurs se sont authentifiés avec WebAuthn w/Biometrics comme premier facteur.
• Lorsque la MFA est activée et que les utilisateurs créent un nouveau compte, ils :
  • Créent un compte avec un nom d’utilisateur et un mot de passe.
  • S’inscrivent à la MFA avec une méthode d’authentification non biométrique, afin de pouvoir la compléter sur n’importe quel appareil.
  • Peuvent aussi s’inscrire à Device Biometrics.

• Lorsque les utilisateurs s’authentifient à l’aide de WebAuthn Biometrics comme seule méthode d’authentification, la valeur amr dans le ID Token sera définie sur mfa.
• Si vous souhaitez activer la MFA à partir de notre plateforme d’extensibilité, vous pourrez tenir compte de la façon dont les utilisateurs se sont authentifiés pour déterminer s’il faut leur demander la MFA ou non. La règle ci-dessous n’appliquera la MFA que si l’utilisateur ne s’est pas authentifié avec la méthode d’authentification webauthn-platform :

function (user, context, callback) {
  let authMethods = context.authentication.methods;

  const amr = authMethods.find((method) => method.name === 'webauthn-platform');

  if (!amr) {
    context.multifactor = {
      provider: 'any',
      allowRememberBrowser: false
    };
  }
  return callback(null, user, context);
}

exports.onExecutePostLogin = async (event, api) => {
  let authMethods = event.authentication.methods;

  let amr = authMethods.find((method) => method.name === 'webauthn-platform');

   if (!amr) {
     api.multifactor.enable('any');
  }
};

​

Reconnaissance de l’appareil

• Un utilisateur se connecte à Chrome sous Windows et est inscrit à Windows Hello. Dans les données d’inscription, Auth0 sait que l’utilisateur a effectué son inscription à partir d’un appareil Windows et enregistre un cookie d’« appareil connu » pour reconnaître l’agent utilisateur.
• La prochaine fois que l’utilisateur se connectera à Chrome, il sera invité à utiliser Windows Hello plutôt qu’un mot de passe.
• Si l’utilisateur se connecte plus tard à Firefox sous Windows, comme le cookie d’« appareil connu » n’est pas présent, il devra se connecter avec son mot de passe. Comme il est déjà inscrit à Windows Hello, il ne sera pas invité à s’inscrire de nouveau.
• La prochaine fois que l’utilisateur se connectera à Firefox, il sera invité à utiliser Windows Hello.

​

Webauthn.me

​

En savoir plus

• Configurer Universal Login avec Passwordless
• Configurer Email ou SMS pour l’authentification Passwordless
• Configurer WebAuthn avec biométrie de l’appareil pour MFA
• Authentification FIDO avec WebAuthn