Tamarou a écritSuite à ta question, j'ai cherché de quoi il s'agit. Si j'ai bien compris, c'est une des méthodes qui permettent l'authentification à plusieurs facteurs.
Ton premier lien est vraiment top.
Oui on y apprends qu'une des solutions pour améliorer la sécurité de l'accès de son serveur Web est de rajouter une autre méthode d'authentification de l'existant qui est généralement le mot de passe.
Après rien n'empêche de pas utiliser le mot de passe mais uniquement l'authentification par certificat. 😉
De mon point de vue, le gros avantage est que l'authentification se fait à plus bas niveau, alors que le mot de passe, uniquement au niveau de l'application, du PHP en l’occurrence.
Dans le cas d'une attaque, la personne se fait rejeter par l'application car il ne dispose pas du mot de passe (tout du moins, si les mots de passe sont difficile à deviner, ce qui n'est pas toujours gagner) par contre l'assaillant peut malgré tout accéder au serveur, notamment à la page de login
Imaginons que l'authentification par mot de passe (de l'application hébergée) est représentée par la porte d'entrée d'une maison. En se faisant rejeter par le mot de passe de l'application, l'assaillant se retrouve devant la porte qu'il n'arrive pas à franchir. Je n'y connais rien mais rien ne lui empêche de faire le tour et observer si il n'y aurait pas un autre moyen de s'introduire dans la maison. Une fenêtre ouverte?
Alors qu'avec l'authentification par certificat, le visiteur se fait direct rejeter au portail de la propriété. Sauf erreur de part, dans la vie réelle, on ne laisse pas le portail ouvert du jardin ^^
Je trouve plus logique que l'on vérifie l'identité du client directement au niveau du serveur et non applicatif.
Tamarou a écritMais je ne sais si c'est le plus pratique du côté client, et même pour la gestion du serveur. Les spécialistes nous dirons.
J'aime bien cette vidéo à ce passage qui présente les différents type d'authentification :
https://youtu.be/EHd-FvKMLuM?t=23
L'authentification par empreinte me semble très compliqué et surtout pas portable du tout. L'authentification par sms, il faut payer un service (quoi que avec Free) mais c'est une authentification au niveau de l'application.
De ce que je comprends, je pense que l'authentification par certificat du client est le plus facile à mettre en place.
Après c'est certain que c'est pas très pratique coté client
