Passkeys : la fin des mots de passe ?

Parano ou non ? Si vous êtes dans la première catégorie, vous êtes sensible à la protection de vos données personnelles et vous respectez plus ou moins les règles de base de la sécurité informatique. À savoir, un mot de passe unique par compte et des mots de passe difficiles à retenir, par exemple Aj+577kRt !Z.

Si vous l’êtes un peu moins, vous estimez le risque limité. Par conséquent, vous réutilisez souvent les mêmes mots de passe pour accéder à votre site de e-commerce préféré, votre compte bancaire en ligne et votre compte de streaming vidéo.

Quelle que soit la catégorie dans laquelle on se trouve, tout le monde reconnait que les mots de passe sont une plaie. Même s’il existe des méthodes et des solutions efficaces (et pas compliquées comme les logiciels appelés « gestionnaires de mots de passe »), les mots de passe compliquent la vie de l’internaute.

Mais surtout, les mots de passe n’offrent pas un niveau élevé de sécurité (sauf si vous utilisez les fameux « gestionnaires ») et que vous êtes également vigilant. Car les arnaqueurs sont de plus en plus doués pour récupérer nos identifiants et mots de passe grâce à des emails de phishing de plus en plus parfaits.

Une clé sécurisée dans son smartphone

Mais tout cela appartiendra bientôt au passé si l’on en croit les poids lourds de la tech américaine. Passkey est une initiative conjointe d’Apple, Google et Microsoft – en collaboration avec l’Alliance FIDO – visant à améliorer l’authentification. Ces « clés d’accès » devraient être plus sûres que les mots de passe, car les malfaiteurs doivent avoir accès à l’appareil et à l’empreinte digitale, à l’identification faciale ou au code PIN pour le déverrouiller.

Ou alors, ils doivent se trouver à proximité de l’appareil d’une personne pour utiliser le Bluetooth. Si quelqu’un perd un appareil, le voleur ne pourra pas accéder aux informations sans l’authentification biométrique.

Chaque clé d’accès est également unique et créée à l’aide d’un algorithme de cryptage puissant. L’utilisateur grand public ou professionnel (Microsoft ayant annoncé la compatibilité avec Windows 365, Azure Virtual Desktop et Virtual Desktop Infrastructure) n’a pas à s’inquiéter des mots de passe faibles qui peuvent être devinés.

Comment fonctionne Passkey ? Contrairement à l’authentification à deux facteurs standard (code reçu par SMS, empreinte digitale…), Passkey utilise la connexion Bluetooth au lieu du Wi-Fi. Cette connexion sans fil a été privilégiée, car elle nécessite une proximité physique, ce qui permet de vérifier que c’est bien l’utilisateur qui tente de se connecter.

Une fois que vous vous serez inscrit et lié à vos différents comptes, vous recevrez une notification push sur votre smartphone via Bluetooth. En déverrouillant votre téléphone, par code PIN ou authentification biométrique (dont Windows Hello), votre appareil sous MacOS ou Windows 10 et 11 créera et enverra une clé publique unique au service web associé à votre compte. S’il y a une correspondance, vous serez connecté à votre compte.

Passkey étant une technologie universelle, elle devrait donc fonctionner, quelle que soit la plate-forme OS, le navigateur ou l’appareil, ce qui la rend accessible à un plus grand nombre d’utilisateurs. Les Passkeys peuvent également être sauvegardées par une grande plate-forme, comme Apple ou Google, ce qui facilitera le transfert de vos informations d’identification sur un nouvel appareil et simplifiera la synchronisation des Passkeys sur votre téléphone, votre tablette et votre ordinateur portable.

Il est important de noter que vos données biométriques ne quittent jamais votre smartphone, vous n’avez donc pas à vous inquiéter que des services tiers puissent avoir accès à vos données personnelles.

La synchronisation des clés d’accès facilite l’usage des Passkeys, mais surtout leur récupération en cas de perte d’un seul appareil. Sur les appareils d’Apple, elles peuvent être récupérées par le trousseau iCloud. En option, un utilisateur peut configurer un contact de récupération de compte pour s’assurer qu’il a toujours accès à son compte, même s’il oublie son mot de passe Apple ID ou le code d’accès de son appareil.

Sur le papier, les Passkeys semblent très prometteuses. Mais pour l’instant, peu de sites et d’applications les ont intégrées.