Même si le mouvement prendra des années, le futur se fera tôt ou tard sans mots de passe. De nombreuses entreprises investissent dans cette transition, y compris les grandes. On a ainsi vu l’année dernière la proclamation des passkeys, avec à leur tête la triade Apple-Google-Microsoft, sous l’égide de la FIDO Alliance.

• Que sont les passkeys, comment on s'en sert ?

Les gestionnaires de mots de passe, dont l’utilité serait forcément revue à terme, ont commencé à s’adapter, notamment en se rendant compatibles avec les passkeys. Ce qui n’a d’ailleurs rien d’un petit ajout, car ces clés posent certains soucis logistiques, comme nous l’avions précisé.

C’est dans ce contexte que BitWarden vient d'annoncer son tout premier rachat : Passwordless.dev. Société suédoise fondée en 2020, elle produit des API et commercialise des produits destinés à faciliter l’intégration de WebAuthn dans le développement.

Dans la foulée, BitWarden annonce la bêta d’un nouveau service baptisé Passwordless.dev by Bitwarden. Il permet l’intégration simplifiée de l’authentification biométrique sur l’ensemble des plateformes qui en proposent, comme Touch ID et Face ID chez Apple, ou Windows Hello chez Microsoft.

Le programme de test est pour l’instant gratuit, des tarifs seront annoncés plus tard. Les produits fournis par Passwordless.dev restent proposés aux développeurs, aux mêmes prix.

Comme d’habitude, le montant du rachat n’a pas été communiqué. Comme le fait remarquer TechCrunch cependant, l’entreprise suédoise n’a fait aucune levée de fond depuis sa création.

iOS 16.3 et macOS 13.2 sont là. Leur plus gros apport est sans aucun doute l’extension du chiffrement de bout en bout pour presque toutes les données sur iCloud, y compris les sauvegardes des appareils.

• Apple étend le chiffrement de bout en bout aux sauvegardes iCloud, entre applaudissements et grincements

La fonction s’active dans les paramètres d’iCloud dans Réglages. La sauvegarde d’appareil et des messages, iCloud Drive, Notes, photos, appels, les signets de Safari, les raccourcis Siri, les données du dictaphone et de Cartes sont ainsi chiffrées de bout en bout.

Cette capacité, nommée Protection avancée des données, fournit à son activation une clé de 24 caractères générée localement. Elle doit impérativement être notée, car Apple ne la possèdera pas. Si vous la perdez, les données deviendront inaccessibles.

On note également l’arrivée du support des clés de sécurité Yubico pour la protection du compte Apple. Jusqu’à présent, l’authentification à deux facteurs était gérée par l’apparition d’une notification sur un autre appareil, suivie d’un code à six chiffres.

Parmi les autres changements d’iOS 16.3, signalons la prise en charge du HomePod de 2e génération, des corrections de bugs dans Freeform et Maison, ainsi que la disparition d’un problème qui pouvait entraîner l’apparition temporaire de lignes horizontales pendant la réactivation de l’iPhone 14 Pro Max.

Dans une moindre mesure, watchOS 9.3 et tvOS 16.3 sont également disponibles, mais n’ont pas de nouveautés visibles, en dehors d’un fond d’écran Unity pour la montre, célébrant le mois de l’histoire des Afro-américains, comme chaque année.

Microsoft ayant bloqué les macros VBA par défaut dans Office en juillet 2022, les pirates utilisent désormais les pièces jointes de Microsoft OneNote dans des e-mails de phishing afin d'infecter leurs victimes avec des logiciels malveillants pouvant être utilisés pour installer d'autres logiciels malveillants, voler des mots de passe ou même des portefeuilles de crypto-actifs, souligne BleepingComputer : 

« Depuis la mi-décembre, des chercheurs en cybersécurité ont signalé que des acteurs de la menace avaient commencé à distribuer des courriels de spam malveillants contenant des pièces jointes OneNote. Contrairement à Word et Excel, OneNote ne prend pas en charge les macros, qui sont la manière dont les acteurs de la menace lançaient auparavant des scripts pour installer des logiciels malveillants. En revanche, OneNote permet aux utilisateurs d'insérer des pièces jointes dans un bloc-notes qui, lorsqu'on double-clique dessus, lancent la pièce jointe. »

Ce qui permet aux pirates d'abuser de cette fonctionnalité pour envoyer des pièces jointes VBS malveillantes « qui lancent automatiquement le script lorsqu'on double-clique dessus pour télécharger des logiciels malveillants depuis un site distant et les installer » : 

« Heureusement, lorsque vous lancez des pièces jointes OneNote, le programme vous avertit que cela peut endommager votre ordinateur et vos données. Malheureusement, l'histoire nous a montré que ce type d'avertissement est souvent ignoré et que les utilisateurs se contentent de cliquer sur le bouton OK. »