Passkey

Qu'est-ce qu'une passkey ?

Une passkey est une authentification sans mot de passe basée sur la cryptographie à clé publique. Au lieu de stocker un secret partagé comme un mot de passe, une passkey se compose d’une clé privée stockée en toute sécurité sur l’appareil de l’utilisateur et d’une clé publique correspondante stockée par le service.

Lorsqu’un utilisateur s’authentifie, l’appareil prouve la possession de la clé privée à l’aide d’un défi cryptographique. Ce processus élimine la nécessité de transmettre ou de stocker des mots de passe, réduisant ainsi l’exposition au phishing et au vol d’identifiants.

Comment fonctionne l'authentification par passkey ?

L'authentification par Passkey repose sur la cryptographie asymétrique et les identifiants liés à l'appareil :

1. Un utilisateur s’inscrit à un service, générant une paire de clés publique/privée.
2. La clé publique est stockée par le service ; la clé privée reste sur l’appareil de l’utilisateur.
3. Lors de la connexion, le service envoie un défi.
4. L’appareil signe le défi en utilisant la clé privée.
5. Le service vérifie la signature en utilisant la clé publique.

L'authentification est généralement déverrouillée avec des données biométriques ou un code PIN de l'appareil, combinant une cryptographie forte avec un contrôle d'accès convivial.

Passkey vs mot de passe : quelle est la différence ?

Les passkeys et les mots de passe représentent des modèles d’authentification fondamentalement différents :

• Mots de passe : Secrets partagés pouvant être réutilisés, devinés ou volés
• Passkeys : Identifiants cryptographiques uniques qui ne quittent jamais l’appareil

Principales différences :

• Les passkeys sont résistantes au phishing ; les mots de passe ne le sont pas
• Les passkeys éliminent la réutilisation des identifiants entre les systèmes
• Les passkeys reposent sur la sécurité de l'appareil et la présence de l'utilisateur
• Les mots de passe dépendent du comportement des utilisateurs et de l'application des politiques

Ce changement supprime le vecteur d'attaque principal sur lequel les attaquants comptent : les identifiants compromis.

Les passkeys sont-elles sécurisées ?

Les passkeys améliorent considérablement la sécurité en supprimant les secrets partagés et en s'appuyant sur la cryptographie asymétrique pour l'authentification. Au lieu de transmettre les identifiants sur le réseau, l'authentification est effectuée via un mécanisme de défi-réponse dans lequel la clé privée ne quitte jamais l'appareil de l'utilisateur. Cette conception élimine des classes entières d'attaques qui dépendent de l'interception ou de la réutilisation des identifiants.

Parce que chaque passkey est liée à un domaine spécifique et à une paire de clés cryptographiques, les attaques de phishing sont inefficaces. Même si un utilisateur est trompé pour visiter un site malveillant, l'authentificateur ne produira pas de signature valide pour une origine différente. De même, credential stuffing et password spraying échouent car il n'y a pas de secret réutilisable à rejouer entre les services ou comptes. Les attaques par rejeu sont également atténuées puisque chaque demande d'authentification inclut un défi unique et limité dans le temps qui ne peut pas être réutilisé.

Cependant, la sécurité des passkeys n'est pas absolue et dépend de plusieurs contrôles sous-jacents. L'intégrité de l'endpoint est cruciale, car un malware ou un appareil compromis pourrait potentiellement accéder ou utiliser de manière abusive la clé privée via l'interface de l'authentificateur. Le stockage sécurisé des clés, généralement assuré par des modules matériels tels que TPM ou enclaves sécurisées, est essentiel pour empêcher l'extraction des clés. De plus, la gestion du cycle de vie de l'identité reste une exigence fondamentale, incluant la fourniture, la récupération, la révocation et la synchronisation des appareils, en particulier dans les environnements d'entreprise où les utilisateurs opèrent sur plusieurs appareils et fournisseurs d'identité.

Cas d'utilisation

• Authentification sans mot de passe pour l'accès des employés
• Connexion sécurisée pour les applications SaaS et cloud
• Authentification des consommateurs pour les applications web et mobiles
• Réduire la charge de travail du helpdesk liée aux réinitialisations de mot de passe
• Renforcer les stratégies de sécurité zero trust et axées sur l’identité

Comment Netwrix peut aider

Les passkeys gagnent en adoption, mais les mots de passe restent largement utilisés dans la plupart des environnements.

Les organisations comptent encore sur les mots de passe pour les service accounts, applications héritées, configurations d’identité hybrides et systèmes hors ligne. Ces domaines présentent souvent le risque le plus élevé car ils sont plus difficiles à moderniser et plus faciles à exploiter pour les attaquants.

C’est pourquoi le renforcement strict de la politique de mot de passe reste essentiel.

Netwrix Password Policy Enforcer complète l’adoption des passkeys en sécurisant les parties de votre environnement où les mots de passe sont encore nécessaires.

Avec Netwrix, vous pouvez :

• Bloquez les mots de passe faibles et compromis avant leur utilisation
• Appliquer des politiques granulaires dans des environnements hybrides Active Directory et Entra ID
• Réduisez l'exposition aux attaques par pulvérisation de mots de passe et basées sur les identifiants
• Fournir un retour en temps réel afin que les utilisateurs créent des mots de passe conformes dès la première tentative
• Conformez-vous aux normes telles que NIST 800-63B et PCI DSS

La sécurité ne consiste pas à éliminer les mots de passe partout.

Il s'agit de les contrôler partout où ils existent encore.