Le Passkey change la manière de se connecter, ce n'est pas juste moins de mots de passe à taper
Le Passkey est un moyen de connexion basé sur la norme FIDO, remplaçant les mots de passe traditionnels par des clés cryptographiques. Les utilisateurs doivent toujours confirmer leur identité via une empreinte digitale, une reconnaissance faciale, un code PIN ou un déverrouillage d'appareil, mais ils ne saisissent plus un mot de passe réutilisable sur le site.
Les sites enregistrent la clé publique, pas vos mots de passe
Un mot de passe traditionnel est un texte secret, susceptible d'être volé par des sites de phishing ou utilisé pour des tentatives de connexion répétées en cas de fuite de données. Lorsqu'un Passkey est créé, une paire de clés publique et privée est générée ; le service conserve la clé publique tandis que la clé privée reste sur l'appareil de l'utilisateur ou chez le fournisseur de Passkeys. La connexion se fait par une authentification cryptée, non par l'envoi d'un mot de passe.
Cela signifie également que si la base de données d'un site est compromise, les attaquants n'obtiennent pas directement un mot de passe réutilisable sur d'autres sites. La valeur de protection du Passkey contre le credential stuffing provient du fait qu'il ne repose plus sur des secrets partagés réutilisables.
Il est plus résistant au phishing, mais pas sans limites
Le Passkey établit un lien avec la bonne source de service. Des pages de connexion imitant l'apparence ne peuvent pas demander à l'utilisateur de saisir manuellement un texte secret comme le ferait un mot de passe traditionnel. Il est important de noter que si le même compte a toujours la vérification par SMS, des processus de récupération faibles ou des accès facilement contournables par l'ingénierie sociale, les attaquants peuvent cibler ces canaux de récupération plus faibles.
Préparez un moyen de récupération avant d'activer
Les e-mails principaux, les services de stockage en nuage, les outils de paiement, les comptes professionnels ou les principaux comptes de réseaux sociaux devraient être prioritaires pour envisager le Passkey. Cependant, avant de l'activer, assurez-vous d'avoir un moyen de récupération fiable, comme un appareil de secours, une clé de sécurité ou un code de récupération, et vérifiez si le service permet toujours un accès de connexion plus faible.
Réfléchissez bien lors du changement de téléphone ou de la perte d'appareil
Le Passkey présente des différences entre le type synchronisé et le type lié à l'appareil. Le type synchronisé est plus adapté aux utilisateurs qui passent d'un appareil à l'autre, tandis que le type lié à l'appareil peut dépendre davantage d'un appareil spécifique ou d'une clé de sécurité. Une fois activé, assurez-vous de vérifier le processus de récupération de compte, sinon la perte de l'appareil pourrait rendre la connexion difficile.
Les données biométriques ne sont généralement pas envoyées au site ; l'empreinte digitale ou la reconnaissance faciale se fait localement pour confirmer que vous pouvez déverrouiller l'appareil. Le site ne reçoit que le résultat de la vérification, et non votre empreinte ou vos données faciales.