Comment nous protégeons ce que nous vendons

Les clés restent sur l’appareil

Lorsqu’un utilisateur s’enrôle, une paire de clés est générée dans le matériel sécurisé du téléphone. La clé privée ne quitte jamais l’appareil : elle ne peut être ni copiée, ni exportée, ni détournée par un SIM swap, ni rejouée. Chaque appareil enrôlé est identifié par son propre certificat X.509.

Une approbation est une signature numérique apposée sur la demande, horodatée et adossée à un certificat. Vos systèmes la vérifient par cryptographie et la conservent comme preuve d’audit. Notakey ne stocke jamais de données utilisateur de manière centralisée.

Une notification push n’est qu’une sonnette

La notification push ne porte aucune décision. L’application récupère la carte d’approbation via HTTPS auprès du domaine de service sur lequel elle a été enrôlée, et le serveur peut être configuré pour y afficher l’adresse IP à l’origine de la demande, le nom du service ou l’URL. Les demandes expirent, et un limiteur intégré plafonne la fréquence à laquelle elles peuvent être déclenchées.

C’est ce qui met en échec le push-bombing : chaque demande indique ce qui est approuvé, et une sollicitation que personne n’a déclenchée est facile à refuser.

Ce que nous n’affirmons pas

L’approbation sur le téléphone supprime le mot de passe comme moyen de connexion et le code SMS comme second facteur. Elle n’arrête pas, à elle seule, une attaque par adversaire intercepteur, où un proxy relaie une vraie connexion et où l’utilisateur approuve sa propre session sur le mauvais site. Afficher la provenance de la demande sur la carte d’approbation rend un tel proxy visible pour l’utilisateur attentif ; cela ne rend pas l’attaque impossible.

La CISA ne reconnaît comme résistantes au phishing que les méthodes FIDO/WebAuthn et celles fondées sur une PKI, et l’approbation par notification push n’en fait pas partie. Nous le disons sur nos propres pages plutôt que de nous approprier ce label.

Fonctionne là où se trouvent vos données

L’appliance Notakey s’exécute comme machine virtuelle sur votre propre infrastructure ou dans notre cloud. Avec l’appliance sur site, le serveur d’authentification et ses données restent chez vous, et c’est vous qui maîtrisez les mises à jour et la redondance. Les utilisateurs s’enrôlent auprès de l’annuaire que vous exploitez déjà (Active Directory, LDAP ou RADIUS), et l’appliance parle RADIUS, SAML et OAuth : votre VPN et vos applications continuent de fonctionner sans changement.

Conformité

La plateforme est conçue pour l’authentification forte du client au sens de la PSD2, pour les signatures électroniques avancées et qualifiées au sens d’eIDAS, et pour la minimisation des données au sens du RGPD, le matériel cryptographique de l’utilisateur restant sur son propre appareil. Notre accord de traitement des données est publié sur ce site.

Ce site web

Ce site est en HTML statique, sans système de gestion de contenu : il n’y a donc aucune interface d’administration à attaquer ni aucun CMS à maintenir à jour. Le formulaire de contact envoie ses données à une unique fonction serverless. Les polices sont auto-hébergées et la mesure d’audience est anonyme et sans cookies, d’où l’absence de bandeau de consentement. La politique de confidentialité décrit précisément ce qui est collecté.