La biométrie peut-elle remplacer les mots de passe ?

Déverrouiller son smartphone, payer un achat ou accéder à son compte bancaire… L’authentification biométrique commence à se banaliser. La preuve, ce marché devrait progresser de 10,3 % d’une année sur l’autre entre 2018 et 2023.

De là à penser qu’elle peut remplacer les mots de passe, il n’y a qu’un pas qui est vite franchi par certains experts… En réalité, l’authentification biométrique n’élimine pas les mots de passe, elle ne fait que créer un raccourci pour les contourner.

Lorsque les utilisateurs changent de smartphone, ils doivent saisir à nouveau leur mot de passe lors de la première connexion à leur application bancaire par exemple. Problème : les personnes habituées à l’authentification biométrique sont moins « motivées » pour sauvegarder leurs précieux sésames sur un support sécurisé (comme une clé USB ou un fichier bureautique chiffrés).

Photos haute résolution d’un pouce

D’où la nécessité de passer par le fameux processus « Mot de passe oublié ? ». Et la boucle se referme : un mot de passe (qui est censé être provisoire…) est envoyé automatiquement, l’utilisateur l’intègre dans son application et passe ensuite à l’authentification biométrique. Et à chaque fois qu’il changera de téléphone, il devra certainement refaire ces différentes étapes… pour chacun de ses comptes dont l’accès est sécurisé par la biométrie…

Ce problème ne se limite pas aux nouveaux appareils. Le lien entre l’identifiant biométrique d’un utilisateur et une application mobile peut se rompre lorsqu’il ajoute ou supprime des identifiants enregistrés, réinitialise l’appareil à ses paramètres d’usine ou réinstalle une application.

Bref, les mots de passe existent toujours sous la surface et peuvent être utilisés en cas de bug ou d’empreinte abîmée (après une coupure par exemple).

Et les systèmes biométriques des géants des smartphones ne sont pas parfaits. Le TouchID d’Apple et les capteurs biométriques de Samsung sont régulièrement piratés. Fin 2014, un hacker (Jan Krissler, membre du Chaos Computer Club, célèbre association allemande de hackers) avait même recréé l’empreinte digitale de la récemment élue présidente de la Commission européenne Ursula von der Leyen à l’aide de photos haute résolution de son pouce prises lors d’une conférence de presse et du logiciel VeriFinger.

Plus récemment, une faille de sécurité massive dans un système biométrique utilisé par les banques, la police et les entreprises de défense du Royaume-Uni, a révélé les empreintes digitales de plus d’un million de personnes ainsi que des mots de passe non cryptés, des informations de reconnaissance faciale et autres données personnelles.

On découvre alors l’inconvénient majeur de l’authentification biométrique : vous pouvez changer votre mot de passe, pas votre empreinte digitale !