Après les mots de passe, où conserver les clés de notre identité numérique ?
Les passkeys remplacent progressivement les mots de passe. Mais où conserver nos clés privées ? Passkeys synchronisées ou liées à un dispositif : deux modèles de sécurité à considérer.
La généralisation des passkeys constitue l'une des évolutions les plus importantes de l'authentification depuis plusieurs décennies. Mais à mesure que leur adoption progresse, une distinction devient particulièrement importante pour les entreprises: faut-il synchroniser les credentials entre appareils ou les attacher physiquement à un dispositif ?
La disparition progressive du mot de passe est engagée.
Basées notamment sur les standards FIDO, les passkeys reposent sur une cryptographie asymétrique et permettent d'éliminer l'un des principaux points faibles de l'authentification traditionnelle: le secret partagé que l'utilisateur peut perdre, réutiliser ou communiquer à un attaquant.
Elles apportent surtout une réponse particulièrement efficace au phishing.
Mais derrière le terme générique "passkey" coexistent plusieurs modèles.
L’authentification sort de l’ordinateur
Synced et device-bound passkeys
Une passkey synchronisée privilégie la continuité de l'expérience utilisateur.
Les credentials peuvent être disponibles sur plusieurs appareils grâce à l'écosystème utilisé par l'utilisateur. Cette approche simplifie considérablement le déploiement et la récupération des accès.
À l'inverse, une device-bound passkey reste attachée à l'authenticator qui l'a créée.
Elle introduit donc volontairement une contrainte: posséder physiquement l'authenticator.
Pour le grand public, cette contrainte n'est pas toujours souhaitable.
Pour certains environnements professionnels, elle peut au contraire devenir une propriété de sécurité recherchée.
Le endpoint reste un endpoint
Les travaux de sécurité récemment publiés autour de scénarios impliquant des machines déjà compromises rappellent une distinction essentielle.
La résistance au phishing ne signifie pas que l'ensemble de l'environnement informatique devient invulnérable.
Malware, compromission du terminal, détournement de session ou ingénierie sociale restent des vecteurs d'attaque possibles.
La question n'est donc plus uniquement de savoir comment protéger le processus d'authentification.
Elle consiste également à déterminer où doivent résider les credentials les plus sensibles.
Séparer l'authenticator du terminal
L'une des réponses consiste à utiliser un authenticator externe.
Dans cette architecture, les credentials restent liés au dispositif, tandis que la vérification de l'utilisateur peut être réalisée localement, notamment par biométrie.
L'authenticator peut également intégrer un écran permettant à l'utilisateur d'obtenir une information visuelle directement sur le dispositif avant certaines opérations.
La communication avec le terminal peut s'effectuer via différents canaux, notamment USB, NFC ou Bluetooth.
Cette architecture répond à une logique simple : le terminal qui demande l'authentification et le dispositif qui la réalise ne sont plus nécessairement le même équipement.
Tous les utilisateurs n'ont pas le même niveau de risque
Il serait néanmoins contre-productif d'opposer systématiquement passkeys synchronisées et authenticators physiques.
Les deux répondent à des besoins différents.
La synchronisation apporte une expérience utilisateur particulièrement fluide et facilite le déploiement massif du passwordless.
Le device-bound apporte de son côté une propriété supplémentaire : l'authentification dépend de la possession d'un élément physique déterminé.
Une politique IAM mature pourrait donc demain combiner plusieurs niveaux.
Les utilisateurs standards pourraient bénéficier de passkeys synchronisées tandis que certains profils, administrateurs, dirigeants, opérateurs d'infrastructures critiques ou personnes ayant accès à des informations particulièrement sensibles, utiliseraient des authenticators externes.
Le passwordless n'est qu'une première étape
La transition vers les passkeys ne doit donc probablement pas être considérée comme l'aboutissement de l'évolution de l'authentification.
Elle ouvre au contraire une nouvelle réflexion architecturale.
Une fois le mot de passe supprimé, les responsables de sécurité devront répondre à trois nouvelles questions :
- Où réside la clé privée?
- Peut-elle être synchronisée ou exportée?
- Quel niveau de preuve exige-t-on avant de permettre son utilisation?
Dans les prochaines années, ces questions pourraient devenir aussi importantes pour les RSSI que la politique de mots de passe l'était auparavant.