Passkeys : tout savoir sur ce système d’authentification qui veut remplacer les mots de passe

En mai dernier, Google annonçait la prise en charge d’un nouveau système d’identification : les passkeys, ou clés d’accès. Quelques mois plus tard, il faisait des passkeys son système d’identification par défaut. Presque inconnues il y a un an, les clés d’accès semblent se développer à une vitesse telle qu’elles pourraient, dans un futur proche, remplacer les mots de passe. En effet, de nombreux autres acteurs ont suivi cette tendance, comme Apple, Microsoft, WhatsApp, et même TikTok. Alors, en quoi consistent les passkeys, et que changeront-elles concrètement ? On vous dit tout !

Qu’est-ce qu’une passkey ?

Les passkeys représentent une technologie d’authentification qui utilise des données chiffrées. Ils sont développés par l’Alliance FIDO, une association qui vise à offrir des alternatives sécurisées aux mots de passe. L’authentification s’opère en deux étapes :

1. La reconnaissance de l’appareil : lorsque vous vous inscrivez à un service ou une application, deux clés sont générées, une publique et une privée, qui fonctionnent en tandem. La clé privée, liée à l’appareil, interagit avec la clé publique, intégrée au service ou à l’application. Au moment de la connexion, la clé publique reconnaît la clé privée.
2. La reconnaissance de l’utilisateur : pour s’assurer que le smartphone est bien utilisé par son propriétaire, une seconde couche d’authentification est opérée. L’utilisateur peut alors sélectionner la méthode qui lui convient : déverrouillage biométrique, empreinte digitale, code PIN, schéma, etc.

Les passkeys : plus sécurisées que les mots de passe

Régulièrement, les mots de passe sont pointés du doigt pour leurs failles en matière de sécurité. Selon une étude menée par Specops Software, un mot de passe de 10 caractères, composé de majuscules et de minuscules, peut être déchiffré en seulement 2 jours par un hacker. Les spécialistes de la cybersécurité s’accordent également à dire que, pour une connexion sécurisée, les utilisateurs devraient utiliser un mot de passe différent pour chaque compte. Inutile de préciser que la majorité des internautes sont loin de suivre ces recommandations.

Les passkeys apparaissent alors comme une alternative crédible. Les informations d’identification n’étant pas stockées sur un serveur central, les pirates ne peuvent envisager d’attaque à grande échelle. Les passkeys offrent également une protection presque infaillible contre le phishing. Pour les utilisateurs, ce système a pour avantage d’éviter de retenir une multitude d’identifiants complexes.

Pour autant, les mots de passe ne devraient pas disparaître de sitôt. Fermement ancrés dans les habitudes des utilisateurs, leur obsolescence devrait être progressive, et rien n’assure que les passkeys parviendront à faire l’unanimité.

Apple, Google, Microsoft : les passkeys sont-elles interopérables ?

Les passkeys sont encore en construction, et la parfaite interopérabilité entre les différents écosystèmes sera une condition nécessaire à leur adoption par le plus grand nombre. En d’autres termes, il est essentiel que les utilisateurs puissent utiliser un seul et même système pour se connecter aux produits Windows, Android ou iOS.

En effet, les clés privées sont stockées localement sur un appareil (smartphone, PC ou tablette) et, à ce jour, chaque écosystème permet la synchronisation des clés d’accès sur son cloud (Drive pour Google, iCloud pour Apple ou OneDrive pour Microsoft). Cependant, la compatibilité entre les systèmes d’exploitation n’est pas optimale. Le transfert des passkeys est possible, notamment via un système de QR code, mais la synchronisation pose encore problème. Cette situation complique l’utilisation de produits issus d’écosystèmes différents – par exemple un smartphone Android avec un Mac – ou lors d’un changement d’appareil d’un écosystème à un autre.

Mais cette problématique pourrait être résolue prochainement. En effet, les géants de la tech, tels que Google, Apple et Microsoft sont favorables à la transition vers les passkeys, et ont intérêt à en faciliter l’accès. Membres du conseil d’administration de l’Alliance FIDO, aux côtés d’autres grands noms comme Samsung, Amazon ou Meta, ils travaillent activement à l’amélioration des normes d’interopérabilité, comme le confiait le directeur exécutif de l’association, Andrew Shikiar, au journal Le Monde il y a un an.