Module 2 · 2.4
Passkeys et clés de sécurité
Module 2: Mots de passe et connexion · Temps de lecture : 10 minutes
Objectif pédagogique : À l'issue de cette leçon, vous pourrez expliquer pourquoi les passkeys et les clés de sécurité résistent au phishing, distinguer les passkeys synchronisées des passkeys liées à un appareil, et déterminer quand les utiliser.
Notions clés : passkey, FIDO2, WebAuthn, clé publique et clé privée, liée au domaine, clé de sécurité, passkey synchronisée, passkey liée à un appareil
Le problème avec tout ce que vous recopiez
Dans la leçon 2.3, vous avez vu qu'un code provenant d'une application ou d'un SMS ne protège pas contre un faux site bien imité. Vous saisissez le code sur rnijnbank.example, l'escroc le transmet en quelques secondes à mijnbank.example et accède au compte. Le point faible est toujours le même : c'est vous qui devez juger si vous êtes bien sur le vrai site. Une personne pressée ou face à une page convaincante finit tôt ou tard par se tromper.
Les passkeys et les clés de sécurité vous retirent cette décision. Ce n'est plus vous qui vérifiez l'adresse, mais votre navigateur et votre appareil. Et il n'y a rien à recopier ni à transmettre.
Ce qu'est une passkey
Une passkey est un moyen de connexion qui remplace un mot de passe. La FIDO Alliance, l'organisation à l'origine de la norme, la décrit comme un substitut au mot de passe que vous déverrouillez de la même façon que votre appareil : avec votre empreinte digitale, votre visage ou votre code PIN.
Techniquement, une passkey est une paire de clés :
- une clé privée qui reste sur votre appareil (ou dans votre gestionnaire de mots de passe, voir ci-dessous) et qui ne quitte jamais le site web ;
- une clé publique que le site web conserve.
Ce qui a été signé avec la clé privée peut être vérifié par le site web grâce à la clé publique. Mais avec la clé publique, vous ne pouvez rien signer vous-même. Si la base de données du site web fuite, l'attaquant n'obtient que des clés publiques, qui ne lui permettent pas de se connecter. Il n'y a donc rien à casser, contrairement aux mots de passe divulgués évoqués dans la leçon 2.1.
Cette technologie s'appelle FIDO2. La partie intégrée à votre navigateur est WebAuthn, une norme du W3C (le consortium qui élabore les standards du web). La partie qui relie votre ordinateur à une clé de sécurité physique s'appelle CTAP.
Comment se déroule la connexion
- Sur
mijnbank.example, vous choisissez « Se connecter avec une passkey ». - Le site web envoie un défi aléatoire : un nombre utilisé une seule fois.
- Votre navigateur transmet ce défi à votre appareil, accompagné du domaine sur lequel vous vous trouvez.
- Votre appareil vous demande de le déverrouiller : empreinte, visage ou code PIN. Cette vérification a lieu sur votre appareil. Votre empreinte digitale ne quitte jamais le site web ; celui ci est seulement informé que la vérification a réussi.
- Votre appareil signe le défi avec la clé privée associée à
mijnbank.example. - Le site web vérifie la signature avec votre clé publique. Si elle correspond, vous êtes connecté.
Pourquoi une passkey ne fonctionne pas sur un faux site
Lors de sa création, une passkey est associée au domaine du site web. Dans WebAuthn, cela s'appelle le Relying Party ID : la passkey est liée à mijnbank.example (et éventuellement à ses sous domaines) et à rien d'autre. C'est le navigateur qui détermine quel domaine figure dans la requête, pas le site web. Un faux site ne peut pas falsifier cela.
Si vous arrivez via un e-mail de phishing sur https://rnijnbank.example ou https://mijnbank.example.inlog-check.example, voici ce qui se passe :
- Le faux site demande une passkey.
- Votre navigateur recherche une passkey pour ce domaine précis. Elle n'existe pas.
- Vous recevez un message du type « aucune passkey pour ce site » ou une liste de choix vide.
Il n'y a rien que vous puissiez approuver ou recopier par erreur. Même si vous ne repérez pas le faux site, la passkey n'y fonctionnera pas. C'est ce que l'on entend par résistant au phishing. Le NIST le confirme également : la résistance au phishing exige une authentification cryptographique ; les mots de passe, les codes que vous recopiez et les notifications d'approbation n'en font pas partie.
Si, sur un site où vous vous connectez habituellement avec une passkey, on vous propose soudain uniquement un champ de mot de passe, ou qu'on vous demande « juste un code de votre application » ? C'est un signal d'alerte. Vérifiez l'adresse.
Synchronisée ou liée à un appareil
Il existe deux types de passkeys. La différence réside dans l'endroit où se trouve la clé privée.
| Passkey synchronisée | Passkey liée à un appareil | |
|---|---|---|
| Où se trouve la clé privée ? | Dans un fournisseur de passkeys : le trousseau de votre système d'exploitation ou votre gestionnaire de mots de passe, qui la copie de manière chiffrée vers vos autres appareils | Sur un seul appareil, par exemple une clé de sécurité, et ne peut pas en être extraite |
| Nouveau téléphone ? | La passkey suit lorsque vous vous connectez chez votre fournisseur | Vous devez créer une nouvelle passkey sur le nouvel appareil |
| Appareil perdu ? | Aucun problème tant que votre compte fournisseur reste sécurisé | Sans clé de secours, vous êtes bloqué |
| Point faible | Le compte chez votre fournisseur : quiconque y accède détient toutes vos passkeys | La perte ; vous avez besoin d'une clé de secours |
| Convient pour | Presque tous les comptes courants | Comptes d'administration, hébergement, enregistrement de domaine, banque, le compte fournisseur lui même |
Dans la norme WebAuthn, une passkey synchronisée est appelée « multi device credential ». La FIDO Alliance considère les passkeys liées à un appareil sur une clé de sécurité comme la forme offrant le plus haut niveau de garantie, et recommande également une clé de sécurité comme moyen de récupération si vous perdez l'accès à vos appareils synchronisés.
Si vous utilisez des passkeys synchronisées, protégez d'autant mieux le compte de votre fournisseur : mot de passe fort, authentification à deux facteurs (2FA), et si possible une clé de sécurité.
Clés de sécurité
Une clé de sécurité est un petit appareil que vous branchez dans un port USB ou que vous approchez de votre téléphone (NFC). Elle contient des passkeys liées à l'appareil. La connexion se fait en touchant la clé, souvent avec un code PIN propre à la clé ou une empreinte digitale sur la clé.
Plusieurs fabricants proposent ce type de produit ; lors du choix, vérifiez la prise en charge de FIDO2, le type de connecteur dont vous avez besoin (USB-A, USB-C, NFC) et la prise en charge d'un code PIN ou d'une empreinte digitale.
La règle la plus importante : enregistrez toujours au moins deux clés. La seconde est votre clé de secours. Vous l'associez à chaque service, comme la première, et vous la conservez à un autre endroit, par exemple chez vous dans un tiroir ou un coffre. Si vous perdez votre clé quotidienne, vous vous connectez avec la clé de secours, vous supprimez la clé perdue de vos comptes et vous achetez une nouvelle seconde clé. Une clé ne peut pas être copiée ; c'est précisément le but recherché.
Se connecter sur un autre ordinateur
Vous souhaitez vous connecter sur un ordinateur portable, mais votre passkey se trouve sur votre téléphone. Le navigateur propose alors souvent d'afficher un code QR. Vous le scannez avec votre téléphone et vous déverrouillez celui ci. La FIDO Alliance appelle cela l'authentification inter appareils (cross device authentication). Le téléphone vérifie via Bluetooth qu'il se trouve réellement à proximité de l'ordinateur portable. Une personne qui dispose uniquement d'une photo du code QR ne peut donc pas s'en servir pour se connecter à distance.
Pièges et quand les utiliser
Les passkeys représentent une avancée majeure, mais elles ne sont pas magiques :
- Le mot de passe subsiste souvent. De nombreux services permettent encore de se connecter avec un mot de passe et un code, en plus de la passkey. Un escroc tentera alors cette voie. Si c'est possible, désactivez les anciennes méthodes de connexion ou choisissez un mot de passe long et unique.
- La récupération est le maillon le plus faible. Si quelqu'un peut contourner votre passkey via un e-mail de type « mot de passe oublié » ou un appel au support, votre compte n'est alors pas plus sûr que cette voie de récupération. Vérifiez quelles informations de récupération sont enregistrées (leçon 2.5).
- Tous les services ne le prennent pas en charge. Utilisez alors une application d'authentification.
- Les comptes partagés s'accordent mal avec des passkeys liées à un seul appareil personnel. Préférez donner à chacun son propre compte avec sa propre passkey (module 7).
- Un appareil déverrouillé est une porte ouverte. Protégez votre téléphone et votre ordinateur portable avec un bon verrouillage d'écran (module 5).
Par où commencer ? Par les comptes dont le piratage causerait le plus de dégâts : votre messagerie, votre gestionnaire de mots de passe ou fournisseur de passkeys, l'hébergement et l'enregistrement de domaine, la banque et la comptabilité. Si l'un de ces services propose les passkeys ou les clés de sécurité, activez les en premier.
Résumé
- Une passkey est une paire de clés : la clé privée reste chez vous, le site web ne dispose que de la clé publique. Une fuite chez le site web ne donne rien à casser.
- Le navigateur associe la passkey au véritable domaine. Sur un faux site, il n'y a pas de passkey, donc rien à voler ni à approuver.
- Les passkeys synchronisées suivent vos autres appareils ; les passkeys liées à un appareil (clé de sécurité) restent sur un seul appareil.
- Enregistrez toujours une clé de secours et conservez la à un autre endroit.
- Une passkey n'est jamais plus sûre que sa voie de récupération et les anciennes méthodes de connexion encore actives.
Quiz
Exercice
Exercice D2.4 : Votre première passkey ou clé de sécurité. Déterminez lesquels de vos comptes les plus importants prennent en charge les passkeys ou les clés de sécurité, configurez en au moins une, et prévoyez une clé de secours. Cochez la liste de contrôle et répondez aux questions de réflexion.
Exercice D2.4: Votre première passkey ou clé de sécurité
Voici comment procéder : (1) Vérifiez dans les paramètres de sécurité de vos comptes principaux (messagerie, gestionnaire de mots de passe ou fournisseur de passkey, hébergement, enregistrement du domaine, banque, comptabilité) s'ils prennent en charge les passkeys ou les clés de sécurité. (2) Choisissez pour chaque compte : passkey synchronisée (dans votre système d'exploitation ou votre gestionnaire de mots de passe) ou liée à un appareil (clé de sécurité). Pour la gestion de l'hébergement, des domaines et de votre fournisseur de passkey, privilégiez une clé de sécurité. (3) Configurez une passkey ou une clé pour au moins un compte. (4) Prévoyez une solution de secours : une seconde clé enregistrée et conservée dans un autre endroit, ou, pour une passkey synchronisée, un second appareil et une bonne protection du compte chez votre fournisseur. (5) Vérifiez si l'ancien mode de connexion (mot de passe avec SMS ou code) est encore actif. Désactivez-le si possible, ou utilisez un mot de passe long et unique. (6) Testez une fois la connexion sur un second appareil (par exemple avec le code QR et votre téléphone).
Vos cases cochées et vos notes restent uniquement dans ce navigateur ; nous ne les envoyons nulle part. Si vous êtes connecté, nous enregistrons dans Mes formations uniquement le fait que vous avez terminé l'exercice.
Pour aller plus loin
- FIDO Alliance, Passkeys (en anglais) : https://fidoalliance.org/passkeys/
- W3C, Web Authentication Level 3 (en anglais, la norme) : https://www.w3.org/TR/webauthn-3/
- passkeys.dev, Terms (en anglais, glossaire établi par des membres de la FIDO Alliance et du W3C) : https://passkeys.dev/docs/reference/terms/
- NIST SP 800-63B-4, partie sur la résistance au phishing et les authentificateurs synchronisables (en anglais) : https://pages.nist.gov/800-63-4/sp800-63b.html
- Cybermalveillance.gouv.fr, ressources pour les entreprises : https://www.cybermalveillance.gouv.fr/