Qu’est-ce que le passkey (Passkey) ?
Le passkey (Passkey) est une alternative sécurisée et pratique basée sur FIDO aux mots de passe traditionnels. Ils utilisent une cryptographie avancée pour protéger vos comptes contre les attaques de phishing .
- Unique pour chaque service : Lorsque vous vous inscrivez à un service, votre appareil crée un passkey (Passkey) unique lié au domaine spécifique de ce service.
- Lié à l’appareil : Les passkeys (Passkeys) sont généralement liés à un appareil, tel qu’un téléphone, un ordinateur portable, un identifiant biométrique ou des clés de sécurité matérielles.
- Paire de clés publique-privée : L’appareil conserve la clé privée, tandis que la clé publique est partagée avec le service. Ces paires de clés cryptographiques sont appelées passkeys (Passkeys). (Cité de FIDO )
- Plusieurs méthodes d’authentification : Vous pouvez utiliser une empreinte digitale, la reconnaissance faciale, le code PIN de l’appareil, le scan de code QR ou des clés de sécurité pour vous authentifier avec un passkey (Passkey).
- Synchronisation entre appareils : Les passkeys (Passkeys) peuvent être synchronisés entre les appareils en utilisant un stockage cloud sécurisé (par exemple, le Trousseau iCloud d’Apple ou le Gestionnaire de mots de passe Google), vous permettant de vous connecter à partir de n’importe quel appareil pris en charge.
À quoi ressemble le flux de travail du passkey (Passkey) ?
Les passkeys (Passkeys) fonctionnent en utilisant la cryptographie à clé publique pour fournir des identifiants sécurisés.
- Enregistrement
- Lorsque vous vous inscrivez à un service, votre appareil génère une paire de clés cryptographiques unique liée à ce service.
- La clé privée reste sur votre appareil, tandis que la clé publique est partagée avec le service.
- Authentification
- Lorsque vous tentez de vous connecter, le service envoie un défi à votre appareil.
- Votre appareil utilise la clé privée pour générer une signature cryptographique basée sur le défi.
- La signature est renvoyée au service, qui la vérifie à l’aide de la clé publique.
- Si la signature est valide, l’authentification réussit.
Lisez WebAuthn, une API pour implémenter des passkeys (Passkeys), pour apprendre les détails.
À quoi ressemble le flux d’utilisateur final du passkey (Passkey) ?
Les passkeys (Passkeys) offrent de la flexibilité avec deux types d’authentificateurs pour une utilisation à la fois locale et dans le cloud, et les utilisateurs peuvent activer l’un ou les deux pour le service.
- Authentificateur de plateforme (authentificateur interne) : Lié à un système d’exploitation de périphérique spécifique (par exemple, téléphone, ordinateur portable), utilisant des données biométriques ou un code d’accès de l’appareil pour autoriser. C’est rapide et pratique.
- Exemples : Trousseau iCloud sur les appareils Apple (vérification via Touch ID, Face ID ou code d’accès de l’appareil), Windows Hello, Gestionnaire de mots de passe Google sur Android.
- Authentificateur d’itinérance (authentificateur externe) : Appareils portables ou logiciels, par exemple, clés de sécurité, smartphones. Peut être utilisé sur plusieurs appareils, mais peut nécessiter des étapes supplémentaires comme le scan de code QR ou l’appairage NFC/Bluetooth.
- Exemples : YubiKey et comptes basés sur le cloud sur les smartphones. Les authentificateurs mobiles doivent souvent passer par le scan d’un code QR pour se lier aux appareils de bureau, et l’authentification multi-appareils doit se connecter via Bluetooth, NFC ou USB pour s’assurer que l’authentificateur est à proximité.
Quand utiliser le passkey (Passkey) ?
Les passkeys (Passkeys) sont un facteur d’authentification moderne pouvant être utilisé comme premier ou deuxième facteur.
- Connexion avec passkey (Passkey) : Les passkeys (Passkeys) offrent une méthode d’authentification sans mot de passe plus rapide et plus sécurisée par rapport aux mots de passe traditionnels.
- Les applications modernes présentent généralement un bouton “Se connecter avec passkey (Passkey)” sur la page de connexion, incitant les utilisateurs à taper cette option de manière proactive.
- De plus, la page de connexion peut automatiquement afficher une fenêtre de connexion par passkey (Passkey) si elle reconnaît que l’utilisateur accède au même appareil et navigateur où son passkey (Passkey) est enregistré.
- MFA avec passkey (Passkey) : Les passkeys (Passkeys) peuvent également servir de deuxième facteur pour la MFA.
- Lorsqu’un utilisateur tente de se connecter, il entre d’abord son e-mail et son mot de passe (ou d’autres premiers facteurs), après quoi le service les invite à compléter la vérification en deux étapes en utilisant un passkey (Passkey).
- S’il y a des sessions existantes dans le navigateur, le service peut directement inviter les utilisateurs à se connecter avec leur passkey (Passkey) sans leur demander de saisir à nouveau leur mot de passe. Ce processus, connu sous le nom de MFA, car passkey (Passkey) est une sécurité de haut niveau en se liant à l’appareil actuel et en vérifiant les utilisateurs à travers les biométries, les codes PIN, ou d’autres méthodes matérielles.
- Vérification de sécurité : Dans les environnements à haute sécurité, les passkeys (Passkeys) sont souvent utilisés pour vérifier l’identité de l’utilisateur. Par exemple, lors de l’accès à des informations financières sensibles ou de la réalisation d’opérations critiques (banque, gouvernement, système d’entreprise).