Passkeys : pourquoi les clés d'accès résistent mieux au phishing que les mots de passe

Se connecter avec son empreinte digitale, son visage ou le code de son téléphone ne signifie pas forcément envoyer ces informations à un site internet. Avec les clés d'accès, appelées passkeys, le service s'appuie sur un mécanisme cryptographique qui remplace le mot de passe. L'appareil prouve qu'il possède une clé privée, sans la communiquer au serveur.

Deux clés plutôt qu'un mot secret

Lorsqu'une clé d'accès est créée, le dispositif enregistre une paire de clés mathématiquement liées. La partie publique est transmise au service. La partie privée reste protégée sur l'appareil ou dans le système de synchronisation de clés d'accès choisi par l'utilisateur.

Au moment de la connexion, le site envoie un défi cryptographique. L'appareil le signe avec la clé privée après validation locale de l'utilisateur. Le serveur vérifie cette signature grâce à la clé publique. Aucun mot de passe partagé n'est nécessaire.

Selon la FIDO Alliance, l'organisme à l'origine des standards concernés, chaque clé d'accès est liée au domaine du service et ne peut pas être réutilisée pour un autre. Cette propriété est l'un de ses avantages majeurs face aux attaques d'hameçonnage.

Pourquoi un faux site a plus de mal à voler une passkey

Un faux formulaire bancaire peut demander à un utilisateur de taper son mot de passe. Si la victime le fait, le fraudeur peut récupérer ce secret. Avec une clé d'accès, le navigateur et le système vérifient le domaine du site avant d'utiliser la clé correspondante. Un domaine imitant celui d'une banque ne pourra donc pas faire fonctionner la clé enregistrée pour le vrai domaine.

Cela ne rend pas l'ensemble du compte invulnérable. Un escroc peut toujours tromper un utilisateur sur une transaction, usurper un service d'assistance ou exploiter une procédure de récupération de compte mal protégée. Les clés d'accès réduisent un risque très important, mais ne dispensent pas de vérifier les demandes inhabituelles.

L'empreinte et le visage restent-ils privés ?

La reconnaissance biométrique, lorsqu'elle est utilisée, sert à déverrouiller localement l'accès à la clé privée. La FIDO Alliance indique que ces informations biométriques ne sont pas envoyées au service internet pendant la connexion. Un code PIN ou le code de déverrouillage du téléphone peut aussi servir à approuver l'opération, sans biométrie obligatoire.

Il existe des clés synchronisées entre plusieurs appareils et des clés liées à un appareil ou à une clé de sécurité physique. Les méthodes de sauvegarde et de restauration varient selon les fournisseurs. Ce point compte lors d'un changement de téléphone ou de la perte d'un appareil.

Quels réflexes adopter ?

Lorsqu'un service propose une clé d'accès, il faut comprendre où elle sera conservée et comment retrouver son compte en cas de perte. Vérifier les méthodes de récupération, protéger le compte principal de synchronisation et conserver un deuxième moyen d'accès lorsque c'est possible limite les mauvaises surprises.

Une clé d'accès ne doit pas non plus être confondue avec un simple code reçu par SMS : ce dernier reste une information que l'on peut communiquer à un fraudeur. Pour réduire le phishing, le mécanisme technique et la vérification du domaine font toute la différence.

Sources et références

• FIDO Alliance, FAQ sur les clés d'accès et leur fonctionnement.
• FIDO Alliance, présentation des normes FIDO2, WebAuthn et CTAP.
• Passkeys.dev, documentation technique et introduction.

Dans la rubrique Tech :

Partager cet article

WhatsAppFacebookLinkedInXCopier le lien