La fin du mot de passe : Comment les Passkeys redéfinissent la sécurité web

On connaît tous le rituel. Vous tapez votre mot de passe. Incorrect. Vous essayez la variation avec la majuscule. Incorrect. Vous essayez celle avec le point d’exclamation. Incorrect. Vaincu, vous cliquez sur “Mot de passe oublié”, attendez le courriel, et tapez un tout nouveau mot de passe. L’écran clignote en rouge : Le nouveau mot de passe ne peut pas être identique à l’ancien. Vous hurlez intérieurement.

Avant de lire : Si vous vous intéressez à l’évolution fondamentale de l’architecture web, jetez un œil à notre article Why WebAssembly is Quietly Eating the Backend. Aujourd’hui, on s’attaque à l’équivalent frontend de la sécurité : la mort silencieuse, et très attendue, du mot de passe.

Table des matières

• Le cadenas à combinaison vs le portier biométrique
• Les chiffres : Pourquoi les mots de passe devaient mourir
• Comment fonctionnent vraiment les passkeys (sans le jargon mathématique)
• Un bref intermède sur la misère des mots de passe
• L’attrape : Bienvenue dans le jardin clos
• Sources

Le cadenas à combinaison vs le portier biométrique

Les mots de passe sont un concept fondamentalement brisé. Ils fonctionnent comme un cadenas à combinaison bon marché sur un casier d’école secondaire. Si quelqu’un vous regarde tourner le cadran, ou trouve le post-it où vous avez noté les chiffres, il possède le casier.

Les passkeys (ou clés d’accès), basés sur le standard FIDO2 WebAuthn, changent entièrement la donne. Au lieu d’un cadenas à combinaison, un passkey est un portier cryptographique. Le portier sait exactement à quoi ressemble votre visage ou votre empreinte digitale. Quand vous voulez entrer, vous ne lui donnez pas un code secret qui peut être intercepté ; vous prouvez simplement que vous êtes vous, et votre appareil se porte garant pour vous.

Voici un fait amusant : Le premier mot de passe informatique a été inventé en 1961 par Fernando Corbató au MIT. Les chercheurs partageaient un seul ordinateur central et devaient garder leurs fichiers privés. Des décennies plus tard, Corbató a publiquement admis que son invention était devenue un cauchemar total pour les utilisateurs modernes du web. Il est décédé en 2019, probablement avec au moins trois comptes bloqués.

Les chiffres : Pourquoi les mots de passe devaient mourir

Nous avons passé deux décennies à entraîner les utilisateurs à créer des mots de passe comme Tr0ub4dour&3, qui sont impossibles à retenir pour des humains mais prennent environ six secondes à un GPU moderne pour être piratés.

Selon le rapport 2023 sur les violations de données de Verizon (DBIR), 74% de toutes les brèches impliquent l’élément humain, les identifiants volés étant le vecteur principal. L’hameçonnage fonctionne parce que les mots de passe peuvent être hameçonnés. Vous ne pouvez pas hameçonner un passkey.

Comment fonctionnent vraiment les passkeys (sans le jargon mathématique)

Lorsque vous enregistrez un passkey sur un site web, votre appareil génère une paire de clés cryptographiques. La clé publique va au serveur. La clé privée reste verrouillée dans l’enclave matérielle sécurisée de votre téléphone ou de votre portable. Elle n’en sort jamais.

Lorsque vous vous connectez, le serveur envoie un casse-tête mathématique. Votre appareil utilise votre visage ou votre empreinte pour déverrouiller la clé privée, résout le casse-tête, et renvoie la réponse.

Honnêtement, le génie de WebAuthn n’est pas la cryptographie. La cryptographie à clé publique existe depuis les années 1970. Le génie est de l’avoir intégrée directement dans iOS, Android et Windows pour que ma mère puisse utiliser un chiffrement de niveau militaire sans savoir ce qu’est un hachage cryptographique.

Un bref intermède sur la misère des mots de passe

Avant d’enterrer définitivement le mot de passe, prenons un moment pour rire du système qui nous a torturés pendant des décennies. Soyons francs, l’ère du mot de passe a été une vraie comédie d’erreurs.

• Je traite mes mots de passe exactement comme mes plantes d’intérieur. Je les oublie complètement pendant 90 jours, je panique, puis je dois les remplacer en entier.
• Mon genre de fiction préféré, c’est l’exigence des sites web qui dit : “Votre mot de passe doit contenir une majuscule, un chiffre, un caractère spécial, un haïku et le sang d’une vierge.”

L’attrape : Bienvenue dans le jardin clos

Voici la perspective critique que les géants de la technologie passent sous silence : les passkeys résolvent un problème de sécurité massif en créant un problème subtil de dépendance (vendor lock-in).

Apple, Google et Microsoft poussent ce standard sans relâche. Pourquoi ? Parce que vos clés privées se synchronisent via iCloud Keychain, Google Password Manager ou Windows Hello. Si vous achetez un iPhone, vos passkeys se synchronisent de manière transparente avec votre Mac.

Mais essayez de déplacer toute votre identité numérique d’un iPhone vers un appareil Android. Soudainement, le futur “transparent” devient un bordel maladroit impliquant de scanner des codes QR entre plusieurs écrans.

Considérez ce deuxième fait amusant : La FIDO Alliance, le groupe derrière les passkeys, inclut des rivaux acharnés comme Apple, Google et Microsoft travaillant ensemble en parfaite harmonie. Quand des concurrents valant des milliers de milliards de dollars se tiennent la main et s’entendent sur un standard, vous devriez probablement vérifier votre portefeuille. Ils ne font pas que sécuriser vos comptes ; ils ancrent votre identité numérique à leurs écosystèmes matériels spécifiques.

Franchement, je préfère le jardin clos plutôt que de voir mon compte bancaire vidé par une attaque de bourrage d’identifiants. Le mot de passe est mort. Vive le passkey. Assurez-vous juste d’aimer l’entreprise qui garde les clés.

Sources

• Verizon 2023 Data Breach Investigations Report (DBIR)
• FIDO Alliance: How FIDO Works
• The Wall Street Journal: Fernando Corbató, the Inventor of the Password