Qu’est-ce qu’un passkeys et comment peut-il protéger vos données sur les sites web et applications?

Vu l’omniprésence d’internet de nos jours, nos collectionnons les comptes sur les sites web et applications. Pour accéder à ces comptes, nous avons évidemment besoin de mots de passe. Problème: il est souvent difficile de se souvenir de tous nos mots de passe et ces derniers peuvent facilement être piratés par des personnes malintentionnées. Vu les risques, les entreprises cherchent des alternatives encore plus sécurisées et les passkeys pourraient être l’une d’entre elles. Découvrons ci-dessous en quoi cela consiste.

Qu’est-ce qu’un passkeys?

Un passkeys est en fait une clé d’identification contenant des données cryptées qui prouvent que vous êtes bien le propriétaire du compte auquel vous tentez d’accéder. Tout fonctionne seulement le système de de chiffrement asymétrique. Qu’est-ce que cela signifie? C’est plutôt simple: un passkeys propose deux clés de chiffrement:

• La clé publique (Public Key): cette dernière est stockée directement sur les serveurs du service web utilisé, par exemple Google ou Amazon. Si cette dernière est récupérée par un hackeur lors d’une fuite de données, elle lui sera complètement inutile.
• La clé privée (Private Key): celle-ci est stockée directement sur votre appareil comme votre smartphone ou votre tablette. Elle ne quittera jamais votre smartphone et ne se retrouvera jamais sur internet.

Autrement dit, il est extrêmement difficile pour un hackeur de récupérer ces deux clés pour ensuite accéder à vos différents comptes. Alors, quand vous essayez de vous connecter à un compte, les deux clés se synchronisent pour vous autoriser l’accès. Cette cryptographie asymétrique vous rend insensible aux tentatives de phishing car votre appareil va vérifier automatiquement que l'URL du site correspond exactement à l'originale. Si ce n’est pas le cas, la connexion sera automatiquement annulée et vous resterez en sécurité.

Nous vous présentons toutes les bases des passkeys dans l’un de nos Techlab:

Comment fonctionne un passkeys?

Aujourd’hui, plein d’entreprises, dont les plus puissantes, proposent aux utilisateurs de se créer un passkeys. C’est par exemple le cas de Google, Microsoft ou même Apple. Ainsi, lors de la création de votre passkeys, vous allez devoir indiquer votre adresse mail, les appareils liés à votre compte comme votre smartphone ou votre tablette ainsi que le navigateur web que vous utilisez. Une fois votre passkeys créés, vous pourrez décider de l’activer via votre empreinte digitale, la reconnaissance faciale ou bien simplement un code pin. De cette manière, vous pourrez vous connecter à vos différents comptes très facilement et rapidement.

Une fois ce passkeys configuré, vous pouvez aller créer un compte sur un site web ou une application et en principe, vous pourrez décider d’activer le passkeys lors de la création d’un compte sur un site web ou une application.

Que se passe-t-il si vous perdez votre smartphone?

Vu que la clé privée de votre passkey est stockée sur votre smartphone, que se passe-t-il si vous perdez ou cassez votre précieux téléphone? Pas de panique! En effet, cette clé est est sauvegardée en toute sécurité et synchronisées de bout en bout à travers l'écosystème de l'utilisateur via des trousseaux dans le cloud. Pensez par exemple au Trousseau iCloud d'Apple, le Gestionnaire de mots de passe de Google, ou des gestionnaires tiers comme 1Password et Bitwarden. Autrement, lors de votre changement de téléphone, vous pourrez facilement restaurer vos clés numériques en vous connectant à l’un de ces services.

Les passkeys sont-ils vraiment plus sécurisés?

Il existe différents outils pour sécuriser ses comptes comme un gestionnaire de mots de passe ou l’authentification à deux facteurs, disponible sur plein de sites comme Facebook pour ne citer que celui-là. Cela dit, cela reste faillible, car si quelqu’un parvient à pirater votre gestionnaire de mots de passe ou votre adresse mail, vous êtes en danger.

Les passkeys ne sont pas infaillibles mais offrent tout de même plus de sécurité. Pourquoi? Simplement parce que la clé privée dont nous avons parlé ci-dessous est stockée sur votre appareil et nulle part ailleurs. C’est-à-dire qu’aucun site web ou plateforme n’y a accès, ce qui la rend très difficile à pirater. De plus, se connecter via une donnée biométrique (empreinte digitale, reconnaissance faciale) ajoute une couche de sécurité supplémentaire.

Le seul élément qui pourrait s’avérer fâcheux, c’est si vous décidez de changer d’appareil sur lequel figure votre clé privée. Si vous passez d’un appareil Android à un autre appareil Android, c’est plus simple puisqu’il suffit de transférer votre passkeys via votre compte Google grâce à une synchronisation. Mais si vous passez d’Apple à Android ou inversement, l’opération est un peu plus longue. Imaginons que vous essayez de vous connecter à un service sur un PC Windows grâce à un iPhone:

• Rendez-vous sur un site web comme Google, Amazon ou celui de votre banque et cliquez sur « Se connecter avec un passkey »
• Le navigateur du PC Windows va ensuite remarquer qu’aucun passkey n’est enregistré localement. Il va alors vous proposer d'« Utiliser un téléphone ou une tablette ».
• Un QR code va aller être généré et vous allez pouvoir le scanner avec votre iPhone.
• Une bannière va s’afficher sur votre écran: « Se connecter avec une clé d'accès ». Cliquez dessus.
• Veillez à activer le Bluetooth sur votre iPhone car le PC et votre smartphone vont établir une connexion.
• Votre iPhone va vous demander de valider la connexion via Face ID ou Touch ID. Une fois la validation effectuée, la connexion sera validée sur Windows et tout sera en ordre.

Les passkeys, même s’ils sont particulièrement pratiques et sécurisés, ne sont pas près de remplacer les mots de passe dans un avenir proche. Mais à l’avenir, cela pourrait être le cas. Dans tous les cas, si vous êtes à la recherche d’une manière pour sécuriser vos comptes à l’instant T, les passkeys représentent une solution tout à faire décente.