Connaissez-vous «Passkeys»? Depuis plusieurs années, les géants du Web développent cette nouvelle forme d’authentification qui vise à remplacer les mots de passe à moyen terme. Avec «Passkeys», qui peut être traduit par «clé d’accès» en français, ils ont l’intention de répondre aux faiblesses récurrentes des mots de passe et aux défis posés en les maintenant au courant des utilisateurs d’Internet.
Les mots de passe sont l’une des vulnérabilités les plus importantes de la sécurité informatique aujourd’hui. Ils doivent être extrêmement complexes pour garantir leur sécurité. Ils doivent également être mis à jour régulièrement et ne doivent pas être répétés d’un site à un autre pour éviter les fuites de données. À tel point qu’il devient difficile de s’en souvenir quotidiennement. Et l’utilisation des applications du gestionnaire de mots de passe est loin d’être un réflexe pour la majorité des utilisateurs d’Internet.
Sur la base de cette observation, Apple, Google, Microsoft et une dizaine de sociétés technologiques ont développé un système sécurisé qui permet d’accéder aux comptes sans avoir à se souvenir des mots de passe.
Comment fonctionnent les «Passkeys»?
Pour le dire simplement, chaque fois que vous créez un compte sur un site, le site créera un verrou virtuel, qui ne peut être ouvert qu’avec une seule clé. Cette clé ne sera stockée que sur votre téléphone ou votre ordinateur. De cette façon, vous n’aurez qu’à déverrouiller votre téléphone ou votre ordinateur pour accéder à votre compte. Soit en tapant un code PIN, soit en scannant votre empreinte digitale ou votre visage.
Les «Passkeys» sont en fait la traduction simplifiée d’un mécanisme de chiffrement basé sur l’utilisation de clés cryptographiques, de séquences de nombres et de lettres uniques aléatoires qui sont suffisamment longues et complexes. Les «Passkeys» sont conçus pour reléguer le processus d’échange de clés vers l’arrière-plan. Le problème cryptographique est résolu simplement en débloquant un appareil de confiance.
Une fois configurés, «Passkeys» est censé être plus rapide, plus pratique, mais aussi plus sécurisé que les mots de passe à l’utilisation. Le système a l’avantage de ne pas être vulnérable aux fuites de données car les clés privées restent séparées dans les appareils des utilisateurs. Vous auriez besoin d’avoir un accès direct à votre smartphone pour obtenir vos «Passkeys». Passkeys n’est pas non plus exposé à des menaces de phishing, car il n’y a aucun indice pour les deviner.
Toujours obstacles à leur généralisation
Les «Passkeys» ont de nombreuses promesses. Mais ils sont loin d’être généralisés encore parce que leur mise en œuvre reste entravée par certaines limites. Passkeys est soutenu par de plus en plus de sites Web, des centaines aujourd’hui. Apple, Google, Microsoft les ont intégrés dans leur système. Vous pouvez facilement configurer un «Passkey» pour votre compte Google sur myAccount.google.com, par exemple. Uber, Amazon, WhatsApp ou LinkedIn offrent également cette option dans leurs paramètres de sécurité. Si vous faites attention, vous verrez cette option apparaître sur de nombreux sites et applications.
-Le problème avec PassKeys est que la procédure varie selon la plate-forme, le navigateur et l’appareil. La connexion à Apple ne fonctionne pas de la même manière que sur un smartphone Android ou sur un compte PayPal, par exemple. Ce manque de compatibilité nuit à leur développement. Les «Passkeys» ont également l’inconvénient d’être compliqué pour se synchroniser entre différents univers. Si vous configurez un «Passkey» via votre compte Google, il sera stocké dans le gestionnaire de mots de passe d’Android. Idem avec iOS sur iPhone. Mais vous aurez des difficultés à vous connecter à votre compte Uber en utilisant votre «Passkey» si vous modifiez les navigateurs.
Parce qu’ils sont liés à un appareil spécifique, les clés de pass sont également difficiles à synchroniser entre les différents dispositifs légitimes d’une personne. Ils ont également l’inconvénient d’être difficiles à renouveler en cas de changement ou de perte de téléphone. Il est généralement possible de fournir un e-mail ou un numéro de récupération. Mais le processus peut être plus ou moins complexe selon la plate-forme. Enfin, vous devez également veiller à ne pas configurer «Passkeys» sur un appareil qui ne vous appartient pas car la personne pourrait accéder à votre compte sans avoir à taper un mot de passe.
Trouvez «The Digital Golden Rule», tous les dimanches, dans le flux «It Can To You»
Trouver (le podcast «inimitable)« Golden Rule »chaque semaine… et à partir de maintenant son homologue numérique dédié aux problèmes quotidiens en ligne. Comment parcourir Internet en toute sécurité? Quels paramètres devez-vous configurer pour protéger vos données personnelles? Comment repérer les escroqueries en ligne avant de tomber amoureuses… Benjamin Hue, journaliste chez RTL, répond ici aux questions que vous vous posez chaque jour sur les nouvelles technologies.
En savoir plus
