Microsoft, Google et Apple veulent que vous utilisiez Passkeys. Devriez-vous?

Les mots de passe sont pénibles. Les mots de passe sécurisés doivent être uniques, complexes et difficiles à retenir. Même les meilleurs mots de passe peuvent toujours être divulgués ou phisés, conduisant à des prises de compte. PassKeys est censé résoudre tous ces problèmes, mais les font-ils, et valent-ils le temps de s'installer?

Que sont Passkeys?

PassKeys est un moyen de se connecter à vos comptes en ligne sans mot de passe. Le « Passkey » lui-même est stocké sur un appareil que vous possédez: votre téléphone, votre ordinateur portable ou votre tablette peuvent agir comme un touché passant, ou vous pouvez utiliser une clé de sécurité matérielle comme un Yubikey.

Lorsque vous vous connectez avec une touche passante, au lieu de saisir un mot de passe, vous autorisez soit la connexion avec votre appareil (qui est sécurisé avec une broche, une empreinte digitale ou une analyse de visage), soit appuyez sur votre clé de sécurité.

Comment fonctionnent Passkeys?

PassKeys utilise la norme WebAuthn qui génère des paires de clés cryptographiques hautement sécurisées sur votre appareil, partageant une clé publique avec le service en ligne qui peut être utilisé pour vérifier une tentative de connexion en utilisant la clé privée associée sur votre appareil. Les clés privées ne sont jamais partagées avec le service, et la clé publique auquel le service a accès ne peut pas être utilisé pour se connecter, donc si elle fuit, vos comptes restent en sécurité.

Certaines implémentations Passkey vous permettent de sauvegarder et de synchroniser vos clés privées entre les appareils (par exemple, à l'aide de Keychain iCloud ou Google Password Manager), donc si vous perdez votre téléphone, vous pouvez toujours vous connecter à partir d'une tablette ou d'un ordinateur portable synchronisé, ou restaurer vos clés à votre appareil de remplacement. Ceci est facultatif, et ceux qui veulent une sécurité supplémentaire peuvent opter pour ne pas l'activer ou utiliser des clés de sécurité matérielles.

PassKeys implémentés par les membres de la FIDO Alliance (qui comprend Google, Microsoft et Apple) sont conçus pour fonctionner sur les plateformes et services, vous ne devriez donc avoir besoin que de vous mettre en place avec l'un d'eux.

Comment Passkeys vous protège-t-il mieux que les mots de passe?

Passkeys fonctionne en prouvant que vous avez la possession de votre appareil pour vous connecter à un compte. Ceci, associé aux biométriques utilisés pour déverrouiller votre appareil et approuver la connexion, rend incroyablement difficile pour quelqu'un d'autre d'obtenir un accès non autorisé. Lorsque votre mot de passe fuit en ligne, n'importe qui peut l'utiliser pour se connecter à un compte, mais cela est presque impossible avec PassKeys lié à un appareil qui doit être en votre possession et déverrouillé pour approuver une connexion.

Les comptes liés à PassKeys auront toujours besoin d'une paire de nom d'utilisateur et de mot de passe à des fins de configuration et de récupération, mais la suppression de la nécessité de saisir votre mot de passe améliore considérablement la sécurité. Vous pouvez faire vos mots de passe vraiment Complexes et sécurisez-les dans un gestionnaire de mots de passe (sachant que vous n'aurez pas besoin de vous en souvenir), et il est plus difficile pour vous de vous être victime d'attaques de phishing. Être demandé votre mot de passe au lieu d'une touche passante peut indiquer un site Web illégitime, et PassKeys ne fonctionne que pour le site spécifique pour lequel ils ont été configurés (pas des imitateurs de phishing).

Alors, devriez-vous utiliser Passkeys?

Oui! Mis à part les considérations de sécurité, PassKeys est bien plus pratique à utiliser que les mots de passe. Ne se souvenant pas de différents mots de passe pour chaque application ou site Web, pas de saisie de mots de passe complexes frustrant et d'essayer de trouver des symboles sur votre clavier à l'écran. Assurez-vous simplement que vous avez sauvegardé vos clés PassKeys (et vos appareils), ou si vous utilisez des clés de sécurité matérielle, que vous avez configuré un appareil de secours qui est stocké quelque part sécurisé.

Vous pouvez configurer Passkeys sur vos comptes et appareils Apple, Google ou Microsoft. De nombreux autres services prennent également en charge directement Passkeys pour vous connecter, et ceux qui ne vous permettent pas souvent de vous connecter avec un compte qui fait (par exemple, en utilisant la fonction « Connectez-vous avec … » pour vous connecter avec votre compte Google sur un site différent).