Avantages et inconvénients des clés d'accès : les avantages en matière de sécurité l'emportent sur les risques

Les nouvelles technologies, en particulier celles qui sont révolutionnaires, font l’objet d’un examen minutieux – c’est tout à fait normal. Il convient d’en comprendre soigneusement les avantages ainsi que les inconvénients potentiels. Le danger pour le progrès résulte toutefois d’un déséquilibre dans l’attention portée… lorsque l’on accorde trop d’importance aux cas marginaux au détriment de tous les avantages.

On ne voit plus la forêt à force de regarder les arbres.

Les clés d’accès en sont un parfait exemple. Les clés d’accès (également appelées identifiants FIDO sans mot de passe) constituent une approche d’authentification révolutionnaire. Elles résistent au phishing, sont faciles à utiliser et à l’épreuve du temps (norme ouverte prise en charge par l’écosystème). Bien qu’elles soient encore peu connues de la plupart des utilisateurs, les clés d’accès deviendront rapidement le moyen d’authentification privilégié, tout comme la plupart des utilisateurs ont volontiers adopté Touch ID et Face ID lorsqu’ils ont pu s’en servir pour se connecter à des applications.

Pourquoi les passkeys sont-elles plus sûres que les mots de passe ?

En termes simples, les passkeys offrent une sécurité renforcée tout en simplifiant la connexion :

• Les clés d’accès ne peuvent pas faire l’objet d’une « hameçonnage » (il n’y a pas de « secret » à partager).
• Les sites frauduleux (attaques de type « man-in-the-middle ») échoueront car ils ne disposent pas de la clé privée appropriée pour usurper l’identité d’un utilisateur.
• Les attaques ne peuvent pas se généraliser, car l’attaquant doit physiquement disposer de l’appareil de l’utilisateur sur lequel la clé privée est stockée, ainsi que de sa méthode de vérification d’identité (empreinte digitale, reconnaissance faciale, etc.).
• Les utilisateurs n’ont pas besoin de mémoriser des mots de passe complexes : ils peuvent s’authentifier d’un simple glissement de doigt ou d’un regard vers la caméra. La complexité des clés privées et publiques reste en arrière-plan.

Les risques de sécurité potentiels relèvent de scénarios rares

Bien que les clés d’accès soient nettement plus sûres et améliorent considérablement l’expérience utilisateur, l’attention semble se concentrer sur les « cas limites » qui les empêchent d’être « parfaites ».

• Cas limite n° 1 : on ne sait pas exactement comment la clé synchronisée est protégée. Que se passerait-il si elle était compromise ? Les clés d’accès synchronisées peuvent être stockées par des fournisseurs de plateformes tels qu’Apple et Google, ou bien être protégées par des gestionnaires de mots de passe. Cela ne diffère en rien des mots de passe. La grande différence réside toutefois dans le fait que les mots de passe peuvent facilement faire l’objet d’hameçonnage et être volés. Si les gestionnaires de mots de passe peuvent aider à prévenir l’hameçonnage, tout le monde n’en utilise pas. De plus, la partie de confiance ne peut pas savoir si l’utilisateur utilise un gestionnaire de mots de passe ni évaluer la force réelle du mot de passe. Avec les clés d’accès, la résistance à l’hameçonnage ne dépend pas du comportement de l’utilisateur. Elle est garantie par la norme. Et pour voler la clé d’accès de quelqu’un, il faudrait prendre le contrôle de son compte ou tromper un fournisseur afin qu’il restaure une clé sur votre appareil, ce qui est d’un ordre de grandeur plus difficile à réaliser. Est-ce possible ? Oui, mais le risque actuel lié aux mots de passe est bien plus élevé.
• Cas limite n° 2 : la sécurité du transport des clés est inconnue. Le protocole peut être propriétaire du fournisseur ; toutefois, les grands fournisseurs chiffrent fortement les clés d’accès et la synchronisation des mots de passe vers le cloud utilise également des protocoles propriétaires.
• Cas limite n° 3 : la clé a peut-être été partagée (via AirDrop). C’est vrai, un utilisateur peut envoyer sa clé d’accès à un autre utilisateur via AirDrop. Il est toutefois tout aussi vrai que n’importe qui peut tout aussi facilement partager son mot de passe. Et, contrairement aux clés d’accès, les mots de passe peuvent être facilement devinés, ce qui les rend bien plus vulnérables.

Les cas marginaux ne remettent pas en cause les avantages des clés d’accès en matière de sécurité

Il est important de comprendre les risques, mais pas au détriment des avantages.

Imaginez que toutes les portes et fenêtres de votre maison soient équipées de cadenas fragiles que l’on peut facilement casser d’un simple coup de pied. Vous avez la possibilité de les remplacer par un système de verrouillage haute sécurité résistant aux coups de pied. Cependant, il y a une toute petite fenêtre au troisième étage qui nécessiterait une échelle de 30 pieds et des acrobaties sur votre toit pour qu’un voleur puisse l’atteindre, mais qui ne peut pas bénéficier du nouveau système de verrouillage. Comme vous ne pouvez pas sécuriser cette seule fenêtre, vous décidez de n’en sécuriser aucune.

C’est ne pas voir la forêt qui se cache derrière les arbres.

En fin de compte, même si vous ne changez rien d’autre, vous réduisez considérablement votre surface d’attaque en mettant en place des clés d’accès pour remplacer les mots de passe partout où cela est possible. Pour les marchés réglementés qui exigent généralement une authentification multifactorielle (MFA) avec un lien fort à un appareil, vous pouvez combiner des clés d’accès liées à un appareil avec des clés d’accès synchronisées, créant ainsi un ancrage de confiance pour faire face au problème de la fenêtre du troisième étage.

Les mots de passe à usage unique (OTP) continueront de répondre à des cas d’utilisation importants, en particulier dans les scénarios réglementés ou nécessitant un niveau de sécurité élevé. Mais les clés d’accès font évoluer les fondements vers une authentification plus solide et plus fluide pour les connexions quotidiennes.

White paper

Passkey security

In this white paper, explore the core security properties of passkeys and how to assess differences across passkey types and authenticator implementations.

Read the white paper