Les mots de passe restent l’un des points faibles les plus persistants de la cybersécurité. Les passkeys, ou clés d’accès, sont présentées comme une réponse à ce problème, mais selon une analyse publiée par SecurityWeek, elles ne suffisent pas à résoudre la question plus large de la confiance accordée à une identité.
Une protection plus solide que les mots de passe
Les passkeys reposent sur la cryptographie à clé publique, qui remplace les secrets partagés par des identifiants cryptographiques. Il n’existe donc plus de mot de passe qu’un attaquant pourrait voler, intercepter par hameçonnage (phishing) ou réutiliser auprès d’un autre service. Lorsqu’elles sont correctement mises en œuvre, elles résistent aussi à l’hameçonnage, car l’authentification est liée au service légitime.
Le dispositif se distingue des méthodes traditionnelles. Les codes à usage unique, les SMS ou les notifications push, même plus robustes que les mots de passe seuls, restent vulnérables à l’hameçonnage, aux attaques dites « de l’intermédiaire », à la fatigue liée aux demandes répétées (MFA fatigue), au SIM swapping et à l’ingénierie sociale. Avec les passkeys, l’appareil de l’utilisateur conserve une clé privée, tandis que le service garde la clé publique correspondante. La clé privée n’est jamais transmise pendant l’authentification.
Authentifier n’est pas identifier
Une authentification réussie fournit une preuve cryptographique solide qu’un identifiant associé à un compte a suivi le processus. Elle ne dit pas pour autant si le compte a été légitimement créé, si l’identité sous-jacente a été compromise, si l’appareil est fiable ou si un attaquant agit à travers une session authentifiée.
Le risque se déplace notamment lors de l’enrôlement. Si un attaquant crée ou prend le contrôle d’un compte avant qu’une passkey ne lui soit associée, l’organisation peut ensuite authentifier avec un haut niveau de sécurité la mauvaise personne. Plus le dispositif d’authentification est solide, plus l’intégrité de cette étape devient importante.
La question se pose aussi lorsque l’utilisateur change d’appareil, ce qui arrive fréquemment : téléphones perdus, volés ou remplacés, nouveaux ordinateurs portables, changements d’écosystème. Si la procédure de secours repose sur un mot de passe, un code SMS, un lien par e-mail, une question secrète ou un service d’assistance, les attaquants peuvent viser ce chemin plus faible. Comme le résume l’analyse, « la passkey n’a pas été compromise. L’attaquant a contourné le dispositif ».
Évaluer la confiance dans la durée
Selon l’analyse, l’authentification ne constitue qu’un moment du parcours. Les attaques modernes peuvent détourner des sessions déjà ouvertes, compromettre des appareils de confiance, abuser de privilèges ou modifier des attributs de compte. Dans ces cas, le mécanisme d’authentification peut avoir fonctionné exactement comme prévu.
L’auteur propose donc de compléter les passkeys par la détection des menaces liées à l’identité, qui évalue en continu le risque. Les caractéristiques de l’appareil, les attributs de l’identité, les comportements anormaux, les informations sur le réseau ou les changements de compte peuvent aider à déterminer si une identité reste digne de confiance. Un utilisateur connu, depuis un appareil établi et au comportement habituel, ne devrait pas être gêné. En revanche, une tentative de récupération depuis un appareil inconnu ou une modification d’attributs critiques peut déclencher une vérification supplémentaire.
Le modèle passe ainsi de « authentifier une fois, puis faire confiance » à « établir la confiance, évaluer le risque en continu et réagir lorsque la confiance change ». Les passkeys répondent à la question de savoir si l’utilisateur possède un identifiant légitime, tandis que la détection des menaces liées à l’identité porte sur celle de savoir s’il faut encore faire confiance à cette identité. Les organisations doivent répondre aux deux.
