Passkeys et authentification sans mot de passe : la fin des gestionnaires de mots de passe ?
Tout au long de l’année dernière, un nouveau mot à la mode était sur toutes les lèvres : « passwordless », sans mot de passe.
Les mots de passe appartiendront-ils bientôt au passé ? Entrons-nous dans un monde nouveau où nous n’aurons plus besoin d’inventer, de retenir ni de stocker en sécurité nos mots de passe ?
Regardons cela de plus près pour savoir si c’est vraiment le cas.
Commençons par les bases : que se cache-t-il derrière la technologie sans mot de passe ?
À vrai dire, la nouvelle technologie sans mot de passe basée sur les passkeys (clés d’accès) n’est rien d’autre que la bonne vieille cryptographie à clé publique (asymétrique) : la clé publique est stockée du côté du service et la clé privée reste sur votre appareil. La clé privée n’est jamais transmise et sert à vérifier les demandes d’authentification du service.
Parmi les points forts des passkeys, on retient qu’elles sont réputées toujours robustes et résistantes au phishing.
La FIDO Alliance, une association industrielle ouverte dont la mission est de « réduire la dépendance du monde aux mots de passe », est à l’avant-garde de l’authentification sans mot de passe. Ses efforts visent à améliorer l’expérience d’authentification des utilisateurs.
Actuellement, l’authentification sans mot de passe FIDO par passkeys est disponible pour Windows, macOS, Android, iOS, Chrome, Edge et Safari. De grands services en ligne comme Apple, Google, Microsoft, Amazon, PayPal ou Adobe proposent déjà la connexion par passkey.
Il s’agit bien sûr de pionniers, et le chemin vers une adoption généralisée est encore long, d’autant que la technologie est toujours en développement et n’offre pas de fonctionnement multiplateforme. Les utilisateurs doivent donc créer plusieurs passkeys pour leurs différents appareils, ce qui rend pour beaucoup la transition vers le sans mot de passe laborieuse et encore inaboutie.
Pour être juste, précisons que les passkeys peuvent être stockées sur une YubiKey et, avec certaines restrictions, dans certains gestionnaires de mots de passe, ce qui améliore l’expérience multiplateforme.
Quand notre monde numérique se passera-t-il de mots de passe ?
Malheureusement, pas aussi vite que l’espèrent les adeptes du « passwordless ». Voici pourquoi.
Jetons un œil à quelques statistiques sur l’authentification.
Selon l’enquête de la FIDO, l’authentification par mot de passe seul reste prédominante (plus de 30 % des personnes interrogées se connectent ainsi à leurs ordinateurs et comptes professionnels !). À noter également : l’utilisateur moyen doit saisir manuellement un mot de passe environ 4 fois par jour.
Les méthodes préférées pour se connecter aux comptes en ligne, aux applications et aux appareils connectés sont : la biométrie (27 %), un mot de passe complexe et unique (17 %), les codes à usage unique (14 %), le gestionnaire de mots de passe (8 %) et les clés de sécurité physiques (4 %).
En moyenne, près de quatre fois par mois, une personne abandonne un achat ou renonce à accéder à un service en ligne parce qu’elle ne se souvient plus de son mot de passe. Ce chiffre, tout comme le nombre de saisies manuelles quotidiennes, s’explique facilement par la faible adoption des gestionnaires de mots de passe parmi les répondants.
Pour l’instant, le classement des méthodes d’authentification en entreprise se présente ainsi : mots de passe (76 %), authentification multifacteur (MFA) (43 %), codes à usage unique (33 %) et technologies d’authentification unique (SSO) (27 %). Toutefois, 92 % prévoient de recourir davantage aux technologies sans mot de passe à l’avenir.
Selon les répondants, l’authentification sans mot de passe réduira les offres MFA classiques (50 %), le besoin de SSO (48 %) et celui de gestion des accès à privilèges (46 %), sans que l’on sache encore dans quelle mesure.
89 % des décideurs IT interrogés s’attendent à ce que leur entreprise utilise des mots de passe pour moins de 25 % des connexions d’ici cinq ans. En moyenne, près d’un tiers des entreprises prévoient d’adopter, d’utiliser ou de continuer à utiliser l’authentification sans mot de passe dans les 1 à 3 prochaines années.
39 % des décideurs IT reconnaissent que les utilisateurs rechignent au changement, et 49 % déclarent que les applications qu’ils utilisent ne sont pas conçues pour fonctionner sans mot de passe.
Malgré l’effervescence médiatique, un avenir entièrement sans mot de passe semble irréaliste. Mais le monde numérique s’en rapproche, lentement mais sûrement.
Quelle place pour les mots de passe et les gestionnaires de mots de passe dans un avenir « sans mot de passe » ?
Ils sont là pour rester : ne vous précipitez donc pas pour résilier l’abonnement à votre gestionnaire de mots de passe.
Le principal inconvénient des mots de passe par rapport aux passkeys est qu’ils sont stockés sur les serveurs des services (en règle générale non pas en clair, mais sous forme obscurcie) et peuvent être exposés lors d’une fuite de données (s’ils sont déchiffrés). Dans ce cas, il est utile de comparer ses mots de passe avec la base des identifiants divulgués. Notre gestionnaire de mots de passe PassSecurium™ dispose de cette fonction.
Les passkeys sont également réputées à l’épreuve du phishing, mais avec un gestionnaire de mots de passe, vous pouvez aussi réduire le risque de tomber sur un site d’hameçonnage en y enregistrant le lien vers le site légitime et en l’ouvrant directement depuis le gestionnaire.
De manière générale, les utilisateurs peuvent réduire considérablement les cyberrisques liés aux mots de passe en utilisant un gestionnaire de mots de passe et en activant la 2FA/MFA là où les passkeys ne sont pas disponibles.
De plus, un gestionnaire de mots de passe peut stocker bien plus que des couples identifiant/mot de passe : cartes de crédit, comptes bancaires, cartes de fidélité et pièces d’identité de toutes sortes, accès aux serveurs, paramètres de messagerie. Vous pouvez aussi joindre des fichiers à vos entrées et créer des notes sécurisées.
Pour le partage multiplateforme d’identifiants entre plusieurs utilisateurs, en particulier en entreprise, le gestionnaire de mots de passe reste la solution la plus acceptée et la plus pratique.
Et peu à peu, les éditeurs de gestionnaires de mots de passe ajoutent à leurs produits la possibilité de stocker des passkeys (nous gardons nous aussi cette idée en tête dans nos projets).
Quelle conclusion en tirer ?
Manifestement, une transition complète vers l’authentification sans mot de passe n’est pas pour demain.
Les passkeys sont un sujet brûlant, mais il est trop tôt pour mesurer la part de battage médiatique. La technologie est encore récente et se présente comme la méthode d’authentification la plus sûre et la plus résistante au phishing, mais n’oublions pas que la cybersécurité est une perpétuelle course aux armements avec les pirates. Il y a tout lieu de penser que nous verrons bientôt les premières tentatives d’attaque, de contournement ou d’exploitation des technologies sans mot de passe.
Petit à petit, services et applications passeront à l’authentification sans mot de passe, et c’est une bonne nouvelle. Mais de nombreux services sont moins agiles et continueront probablement à utiliser les méthodes traditionnelles pendant longtemps.
Utilisez les passkeys partout où c’est possible. Si vous continuez à utiliser des mots de passe, nous vous recommandons vivement de suivre les bonnes pratiques de gestion des mots de passe, notamment en utilisant un gestionnaire de mots de passe comme PassSecurium™.
Les gestionnaires de mots de passe, y compris notre propre produit, se diversifient et s’adaptent : ils auront toujours leur place et resteront nécessaires, même dans un avenir sans mot de passe.
Sources
Online Authentication Barometer – enquête de la FIDO
Enquête sur l’authentification
Ce site web utilise des cookies. Ceux-ci ont deux fonctions: d'une part, ils fournissent des fonctionnalités de base pour le site web. D'un autre côté, ils nous permettent d'améliorer notre contenu en enregistrant et en analysant les données anonymes des utilisateurs. Vous pouvez à tout moment reconsidérer votre consentement à l'utilisation des cookies. Trouvez plus d'informations sur les cookies sur notre Déclaration relative aux cookies et sur notre Politique de confidentialité.