Conclusions Empiriques Clés
- Les coûts des SMS OTP pour 50 000 utilisateurs actifs peuvent coûter plus de 25 000 000 IDR par mois rien que pour le coût d'envoi du code de vérification.
- La norme FIDO2 WebAuthn utilise une cryptographie asymétrique à clé publique immunisée à 100 % contre les attaques de phishing sur le Web.
- Les utilisateurs peuvent accéder au tableau de bord du commerçant en 0,8 seconde en appuyant simplement sur leur doigt (Touch ID) ou en scannant leur visage (Face ID).
- Base de données sans mot de passe : le serveur ne stocke jamais les informations d'identification sensibles qui pourraient être divulguées lors d'un incident de violation de la base de données.
Fragilité de la sécurité des codes OTP basés sur SMS et leur charge financière
SMS n'a jamais été conçu comme un protocole de communication sécurisé. Les messages texte sont envoyés au format texte ouvert sur les réseaux cellulaires et sont vulnérables aux écoutes via les attaques SS7 ou le changement de carte SIM dans les points de vente des opérateurs.
En implémentant WebAuthn, la clé privée est générée de manière sécurisée au sein du module de sécurité matériel de l'utilisateur (Secure Enclave sur iPhone ou Titan M sur Android), et le serveur Balian stocke uniquement la clé publique pour vérifier la signature numérique.
Questions Fréquentes & Analyse Technique
Quelles sont les principales conclusions de la recherche sur les clés d'accès WebAuthn et FIDO2 ?
Le coût de l'envoi de SMS OTP via les opérateurs cellulaires indonésiens (Rp. 350 - Rp. 600 par message) pèse sur les coûts opérationnels des plateformes numériques, en plus du risque de délits de détournement de numéro de téléphone (SIM Swap) et de fraude par ingénierie sociale. Cet article décrit la transition du système d'authentification Balian Pass vers les clés d'accès WebAuthn basées sur la biométrie locale de l'appareil. Les principales conclusions prouvent que : les coûts des SMS OTP pour 50 000 utilisateurs actifs peuvent coûter plus de 25 000 000 IDR par mois rien que pour le coût d’envoi des codes de vérification.
Quel sera l'impact de cette mise en œuvre sur les opérations commerciales de Bali (Authentication Security & Cryptography) ?
La norme FIDO2 WebAuthn utilise une cryptographie asymétrique à clé publique qui est 100 % immunisée contre les attaques de phishing sur le Web. De plus, les utilisateurs peuvent accéder au tableau de bord du commerçant en 0,8 seconde simplement en appuyant sur leur doigt (Touch ID) ou en scannant leur visage (Face ID).
Pourquoi les normes de fragilité de la sécurité des codes OTP basés sur SMS et leur charge financière sont-elles importantes pour un écosystème numérique indépendant ?
Base de données sans mot de passe : le serveur ne stocke jamais les informations d'identification sensibles qui pourraient être divulguées lors d'un incident de violation de la base de données. L'ensemble du système fonctionne en temps réel avec prise en charge des paiements Rupiah via QRIS.
Références Académiques & Sources Vérifiées
- Authentification Web W3C : une API pour accéder aux informations d'identification à clé publique niveau 2 — World Wide Web Consortium (W3C) (2021). W3C Recommendation. Lien source