Les mots de passe ont fait leur temps. De multiples entreprises, de sécurité ou non, le disent depuis des années. Les recommandations de l’ANSSI ont évolué elles aussi, pour suivre les problèmes de sécurité liés aux mots de passe. Et ils sont nombreux.

Actuellement, on considère qu’un mot de passe est fort s’il contient au moins douze caractères mélangeant des majuscules, minuscules, chiffres et caractères spéciaux. Il ne doit incorporer aucune information évidente, comme un prénom, une date de naissance, le nom d’un animal domestique, etc. Il ne doit plus contenir aucun mot présent dans le dictionnaire.

L’alternative est la phrase de passe : une séquence de quatre ou cinq mots, liés par des caractères spéciaux (souvent des tirets). Ces mots peuvent être issus du dictionnaire et constituer une courte phrase, d’où leur nom. Il s’agit actuellement de la recommandation principale de l’ANSSI et de la CNIL. En effet, en dépit de l’usage de mots existants, c’est la taille de la phrase qui fait sa force.

Il manque une recommandation cruciale : ne jamais réutiliser les mots de passe. Idéalement, il faut que les mots ou phrases de passe soient aléatoires. Il faut également que chaque site ou service ait son propre mot de passe. Le danger, sinon, est connu : puisque l’adresse email sert souvent d’identifiant, la récupération des deux – par exemple, lors d’une fuite de données chez un prestataire – permet leur réutilisation sur d’autres services.

Les gestionnaires de mots de passe, une avancée…

Les gestionnaires de mots de passe permettent de simplifier largement la gestion des mots et phrases de passe. Ils peuvent créer des séquences aléatoires de caractères ou de mots. Des options autorisent une grande finesse dans cette génération, comme le nombre et le type de caractères. Plus la taille est importante, meilleur est le mot de passe.

• Mais au fait, pourquoi un gestionnaire de mots de passe ?

Il y a trois écoles parmi les gestionnaires. Premièrement, les solutions synchronisées comme LastPass, Dashlane, BitWarden et autres. Avantage : les identifiants vous suivent partout, sur tous les appareils. Intégrant des extensions pour les navigateurs et proposant des applications mobiles, on peut les utiliser dès que l’on en a besoin. Il y a deux inconvénients principaux. D’abord, il faudra créer un mot de passe protégeant le compte. Il doit être assez fort pour protéger efficacement l’accès à ce compte, particulièrement précieux. Ensuite, le service peut être victime d’une fuite. Auquel cas, si l’entreprise concernée n’a pas bien fait son travail, vos données peuvent se retrouver dans la nature. Les mésaventures de LastPass ont rappelé brutalement la réalité.

Deuxièmement, les gestionnaires intégrés aux navigateurs. Qu’il s’agisse d’Apple, Google ou encore de Microsoft, tous proposent un gestionnaire intégré. Dans le cas d’Apple, il s’agit du Trousseau, présent dans macOS depuis bien longtemps. Gros avantage de ces solutions : elles sont totalement intégrées. Si vous n’utilisez que le même navigateur partout, vos données vous suivent. Inconvénient, tout est beaucoup moins pratique dès que vous utilisez un ensemble hétérogène d’appareils. En outre, leur interface de consultation est souvent moins pratique qu’un gestionnaire dédié.

Enfin, les gestionnaires « simples ». On parle cette fois d’une petite application locale et non synchronisée. Le plus connu est KeePass (et sa variante KeePassXC). Il y a plusieurs avantages, dont l’hébergement local des données. Pas besoin de faire confiance à une entreprise quelconque. En outre, ces logiciels proposent souvent des fonctions très poussées pour la génération des mots de passe, afin d’augmenter l’entropie. Inconvénient majeur : leur récupération depuis d’autres appareils est moins aisée, car il faut alors s’occuper soi-même de la récupération des informations.

… mais une mesure minimale désormais

Un gestionnaire de mots de passe est aujourd’hui une mesure minimale. À moins d’une mémoire eidétique, il est impossible de retenir de nombreux mots de passe forts et uniques. Le gestionnaire résout ainsi les deux problèmes que sont les mots de passe unique et leur mémorisation.

Cependant, il ne peut rien faire contre les accidents survenant chez les prestataires de services. Une fuite de données et tout peut arriver. C’est pour cela que l’ANSSI et bien d’autres acteurs poussent vers l’authentification à facteurs multiples.

• Authentification multifacteur : la CNIL ouvre une consultation publique en vue d’une recommandation

Nous avons abordé le sujet en avril, quand la CNIL a évoqué une future recommandation. Le principe est simple : toujours associer deux facteurs parmi trois : connaissance, possession et inhérence.

Le plus souvent, il s’agit d’un code à six chiffres envoyé par SMS, email ou généré par une application. On doit donner ce code, en plus du mot de passe, pour pouvoir se connecter. Le code arrivant sur le smartphone, il permet de bloquer en théorie toutes les tentatives d’accès si le mot de passe est trouvé ou dérobé par un tiers. Comme nous l’avons vu cependant, cette protection est certes efficace, mais pas absolue.

Les clés d’accès, nées d’un besoin

La protection des accès aux données fait depuis longtemps l’objet de travaux. La biométrie a notamment renforcé cette protection, tout en simplifiant l’usage. Elle ne se substitue jamais cependant au mot de passe. Il reste disponible dans le cas où, par exemple, le capteur d’empreinte digitale ne fonctionnerait plus.

Pour franchir un pas significatif, plusieurs grosses sociétés américaines veulent se débarrasser des mots de passe. Apple, Google et Microsoft notamment, dont les travaux communs ont été chapeautés par la FIDO Alliance, qui émet des standards ouverts sur les mécanismes de vérification d’identité. Ce consortium cherchait une solution aux problèmes récurrents des mots de passe et a accouché des fameuses clés d’accès.

Qu’est-ce qu’une clé d’accès ?

Le principe d’une clé d’accès est simple : c’est un élément d’identification, attaché à un appareil et stocké dans une zone sécurisée. Elle est créée par un service qui, lors d’une connexion, ira la chercher automatiquement pour valider l’identification, sans avoir à écrire le mot de passe.

Par abus de langage, on parle d’une clé d’accès, mais chacune est en fait constituée de deux clés. La première, publique, est stockée par le service sur lequel on souhaite s’identifier. L’autre, privée, réside dans une zone sécurisée du téléphone (Secure Enclave pour les iPhone/iPad par exemple et équivalents). L’accès à la clé privée n’est pas automatique : quand un site veut s’en servir, une demande apparaît à l’écran. La validation se fait par la biométrie, un code PIN ou autre. Précision importante : bien que liées, les clés ne peuvent pas être utilisées séparément pour trouver l’autre.

Si la demande est validée, un jeton de sécurité est envoyé depuis l’appareil pour être mis en contact avec la clé publique. La mise en relation des deux valide l’authentification au service. De fait, une fois créée et stockée dans sa zone sécurisée, la clé privée n’en sort jamais, ses accès étant validés par le navigateur ou le système d’exploitation.

Si les clés d’accès représentent un « nouveau » mécanisme, leurs concepteurs n’ont pas réinventé la roue. Elles sont en effet basées sur l’API Web Authentication (ou WebAuthn), une recommandation du W3C (World Wide Web Consortium). C’est bien la mise en pratique de ce mécanisme qui représente une évolution, de même que sa prise en charge dans un nombre croissant de produits, à commencer par ceux des grandes entreprises de la tech.

D’accord, mais dans quel but ?

Le but « ultime » des passkeys est de se débarrasser des mots de passe. Actuellement, tous les sites et services les prenant en charge fonctionnent sur la base d’un identifiant et d’un mot de passe pour l’authentification. Dans les options, on peut demander à créer une clé. Celle-ci, une fois stockée, pourra être utilisée pour toutes les connexions ultérieures. Le mot de passe n’est plus demandé.

C’est bien sûr un grand pas en matière d’expérience utilisateur. Le site ou l’application qui vous demande de vous identifier interroge le navigateur ou le système d’exploitation (selon le contexte), qui génère alors une demande d’accès à la clé. Une fois validée (le plus souvent par biométrie), la clé déverrouille l’accès au service. Du point de vue de l’utilisateur, il n’a fallu qu’une étape : valider l’opération par une empreinte ou un scan de son visage.

Il est important de noter qu’un site, un service ou une application va créer une clé d’accès pour chaque appareil qui y accède. Si vous activez par exemple une clé d’accès sur Amazon (compatible) depuis un smartphone, il faudra faire de même depuis chaque appareil utilisé pour accéder ensuite au service. Une clé d’accès est unique et générée pour l’appareil en cours d’utilisation.

Comme nous le verrons dans un prochain article sur l’utilisation pratique des clés d’accès, les gestionnaires de mots de passe ont une importante carte à jouer.

Et c’est vraiment plus sécurisé qu’un mot de passe ?

Comment un mécanisme apportant une simplification pourrait-il être à la fois plus sécurisé ? La question est légitime, car sécurité et simplicité d’usage vont rarement de pair. C’est cependant le cas. Ce qui devrait d’ailleurs montrer à quel point le mot de passe est une protection dépassée.

Il y a principalement deux aspects expliquant l’intérêt des clés d’accès. D’une part, elles ne peuvent pas être volées. Un sérieux avantage face aux grandes campagnes d’hameçonnage. Le vol de l’appareil stockant les clés privées ne peut théoriquement pas ouvrir non plus l’accès aux services ainsi protégés. Le mécanisme est protégé par la biométrie, même si celle-ci ne constitue pas une défense absolue. En revanche, si l’appareil n’a pas de biométrie et que la méthode passe par une information à retenir (comme le code PIN), le danger est plus grand.

D’autre part, les clés d’accès ne sont pas sensibles aux attaques par force brute. Le mécanisme d’authentification est différent de celui des mots de passe et passe par un canal dédié.

Des problèmes d’ordre pratique

Les avantages des clés d’accès sont évidents. Elles ne peuvent être ni devinées, ni volées. Les utilisateurs n’ont pas besoin de les retenir et leur validation demande – idéalement – une empreinte digitale ou le scan du visage.

Les problèmes que posent les passkeys sont d’ordre pratique. Dans un prochain article, nous nous pencherons sur leur activation, leur utilisation et ce qui se passe dans certains cas, comme l’utilisation de plusieurs appareils, systèmes et navigateurs, l’utilisation de gestionnaires de mots de passe ou encore la perte du smartphone.

Les clés d’accès rendent en effet le téléphone essentiel dans la chaine de sécurisation. Cette crainte était exprimée initialement. Cependant, le téléphone est déjà impliqué dans la chaine d’authentification pour de nombreux services. Il est en effet, dans l’immense majorité des cas, le second facteur.

Par exemple, quand on se connecte pour la première fois sur un site depuis un appareil et qu’un code à six chiffres est réclamé. Il va être reçu par SMS, via l’application mobile du service, ou à récupérer depuis une application compatible OTP (de type Authenticator). Quand vous validez un achat sur internet, il y a de bonnes chances pour que vous voyiez apparaitre une notification de votre application bancaire.

La bascule prendra du temps

Si les clés d’accès représentent un bond en termes de facilité et de sécurité, elles ne sont pour l’instant qu’une solution « en plus ». Bien que l’on puisse en effet les activer chez Apple, Google, Microsoft ou encore Amazon, NVIDIA, X ou même Onlyfans (oui !), elles ne remplacent les mots de passe qu’après la création du compte, à l’utilisation.

Autrement dit, les mots de passe eux-mêmes existent toujours et leur création exigera encore pour longtemps une attention toute particulière. Certes, l’activation des clés d’accès exige du service concerné qu’il bascule sur cette méthode et ne demande plus le mot de passe. Mais puisqu’il existe des moyen de récupération (ne serait-ce qu’en cas de perte du téléphone), le mot de passe sert souvent d’ultime moyen pour retrouver l’accès à son compte.

Il faudra du temps pour généraliser l’usage des clés d’accès. Les systèmes d’exploitation et navigateurs sont compatibles depuis un moment maintenant. La liste des services prenant en charge les passkeys ne cesse de s’allonger. Mais il faut encore que les procédures soient suffisamment simples et accueillantes pour changer les habitudes.