Les passkeys changent la connexion, pas tous les risques

Une passkey est un moyen d'authentification fondé sur une paire de clés cryptographiques. Le service conserve une clé publique ; l'authentificateur utilise la clé privée pour répondre à un défi. Le code ou la biométrie qui déverrouille l'appareil n'est pas un nouveau mot de passe envoyé au site.

FIDO distingue les passkeys synchronisées entre appareils et celles liées à un appareil ou à une clé de sécurité. Ce choix compte pour l'usage quotidien comme pour la récupération.

L'authentification est liée au service concerné. Un faux domaine ne peut pas simplement récupérer puis rejouer la passkey comme il le ferait avec un mot de passe saisi. Cette propriété est plus importante que la disparition de la saisie au clavier.

Les recommandations NIST distinguent les exigences selon le niveau d'assurance. Toutes les configurations de passkeys ne procurent donc pas automatiquement le niveau le plus élevé.

Que se passe-t-il quand le téléphone est perdu ou quand le compte qui synchronise les clés devient inaccessible ? La réponse dépend du fournisseur, des appareils enregistrés et des moyens de secours.

Un parcours de récupération faible peut contourner une connexion solide. Il faut regarder les options effectivement proposées par le service, pas seulement sa page qui annonce la prise en charge des passkeys.

Une meilleure connexion ne remplace ni la protection du poste, ni les mises à jour, ni la gestion des sessions. Une personne qui contrôle un appareil déverrouillé ou une session active n'a pas toujours besoin de refaire l'authentification.

Pour une organisation, le déploiement inclut donc la perte d'appareil, le départ d'un salarié et la révocation des accès. Pour un particulier, cela signifie aussi savoir retrouver et supprimer les connexions encore actives.

Commencer par un compte important dont le fonctionnement est compris. Vérifier les moyens de récupération, enregistrer une solution de secours lorsqu'elle est disponible et tester le parcours sur ses appareils.

Il n'est pas nécessaire de conserver indéfiniment un mot de passe faible pour se rassurer. Le choix doit porter sur des moyens de secours adaptés, correctement protégés et documentés.