Avec WebAuthn, le navigateur inscrit l’origine dans clientDataJSON et l’authentificateur signe le condensat de l’ID de la partie de confiance (RP ID) : un identifiant créé pour example.com ne fonctionne tout simplement pas sur examp1e.com, et rien de ce que tape l’utilisateur ne peut être relayé. Les mots de passe, les codes reçus par SMS ou par e-mail, les applications TOTP et les validations par notification push peuvent tous être hameçonnés en temps réel par des kits de proxy, ce qui explique que les attaquants contournent couramment l’authentification multifacteur.
La NIST SP 800-63B-4 définit la résistance à l’hameçonnage, exige de proposer une option d’authentificateur résistant à l’hameçonnage au niveau AAL2 et impose la résistance à l’hameçonnage au niveau AAL3 ; la politique fédérale américaine (OMB M-22-09) impose au personnel une MFA résistante à l’hameçonnage. Les parcours de récupération et de secours ne doivent pas réintroduire discrètement des facteurs hameçonnables.