Après les mots de passe, où conserver les clés de notre identité numérique ?
La généralisation des passkeys marque une évolution significative dans le domaine de l’authentification. Alors que leur adoption se développe, une question cruciale se pose pour les entreprises : faut-il synchroniser les identifiants entre appareils ou les attacher physiquement à un dispositif ?
La disparition progressive des mots de passe est désormais en marche. Basées sur les standards FIDO, les passkeys utilisent une cryptographie asymétrique, éliminant ainsi l’un des principaux points faibles de l’authentification traditionnelle : le secret partagé, susceptible d’être perdu ou communiqué à des attaquants. Ces nouvelles méthodes d’authentification offrent une réponse efficace face aux menaces de phishing.
Cependant, le terme « passkey » englobe plusieurs modèles. Les passkeys synchronisées, par exemple, offrent une expérience utilisateur fluide en permettant l’accès aux identifiants sur plusieurs appareils. En revanche, les passkeys liées à un dispositif, ou « device-bound », nécessitent que l’utilisateur possède physiquement l’authenticator qui les a créées. Cette contrainte peut être perçue comme un atout dans certains environnements professionnels, mais elle n’est pas toujours souhaitable pour le grand public.
Les récentes études de sécurité soulignent que, malgré la résistance accrue au phishing, l’environnement informatique demeure vulnérable à d’autres types d’attaques, tels que les malwares ou le détournement de session. Ainsi, la question ne se limite pas à la protection du processus d’authentification, mais s’étend également à la localisation des credentials les plus sensibles.
L’utilisation d’un authenticator externe pourrait constituer une solution. Dans ce cadre, les identifiants restent liés à un dispositif, tandis que la vérification de l’utilisateur peut se faire localement, par exemple via des méthodes biométriques. Cette architecture permet de dissocier le terminal qui demande l’authentification et le dispositif qui l’opère.
Les passkeys synchronisées et les authenticators physiques répondent à des besoins distincts. Une politique de gestion des identités et des accès (IAM) pourrait intégrer ces deux modèles, offrant des passkeys synchronisées aux utilisateurs standards, tandis que les profils à risque élevé, tels que les administrateurs ou les opérateurs d’infrastructures critiques, pourraient avoir recours à des authenticators externes.
La transition vers les passkeys ne doit pas être considérée comme une fin en soi, mais plutôt comme un nouveau point de départ. Les responsables de la sécurité devront se pencher sur des questions essentielles, telles que la localisation de la clé privée, sa possibilité de synchronisation ou d’exportation, et le niveau de preuve requis avant son utilisation.
Ces enjeux pourraient devenir aussi cruciaux pour les responsables de la sécurité de l’information (RSSI) que les politiques de mots de passe l’étaient par le passé.
Source : Journal du Net
