C’est la fin des mots de passe (et c’est une bonne nouvelle !)

Le faites-vous ? Apple, Google et Microsoft vous demandent depuis un an d’abandonner vos mots de passe au profit de leurs « passkeys ». C’est une méthode d’authentification par clé d’accès (souvent biométrique) intégrée à leurs appareils qui promet d’être plus sûre… mais qui a quand même ses limites.

Pour les trois géants informatiques, les « passkeys » sont une énième tentative de remplacer chacun des mots de passe que leurs utilisateurs doivent créer et mémoriser chaque fois qu’ils s’enregistrent sur un site web, qu’ils installent une application mobile ou qu’ils s’abonnent à un nouveau service numérique.

Des clés d’accès au doigt et à l’œil

Le fonctionnement de ces clés d’accès est assez simple. Elles s’activent quand vous créez un nouveau compte ou lorsque vous changez le mot de passe d’un compte déjà existant. Au moment de choisir un nouveau mot de passe, vous verrez surgir à l’écran de votre PC ou de votre mobile une fenêtre contextuelle qui vous suggérera un mot de passe extrêmement long, lequel sera ensuite stocké dans le trousseau d’accès de l’appareil. Pour accéder au compte, vous n’aurez plus qu’à vous identifier sur votre appareil.

Par la suite, pour vous identifier à partir d’un iPhone ou d’un mobile Android, vous devrez entrer le code de déverrouillage du mobile, ou vous faire reconnaître par le capteur d’empreintes digitales ou la reconnaissance faciale, lorsque ces dispositifs sont configurés. C’est le même procédé sur les PC compatibles avec le protocole Windows Hello ainsi que sur les Mac équipés d’un capteur d’empreintes Touch ID.

Les clés d’accès sont plus sûres, promet-on. Et comme cette forme d’authentification est automatisée, elle se fait aussi plus rapidement. Google, qui offre depuis octobre dernier ses « passkeys » aux utilisateurs du système mobile Android ainsi qu’aux internautes naviguant à partir du fureteur Chrome, calcule qu’il est 40 % plus rapide de se connecter à un service en ligne à l’aide de sa technologie que de le faire avec un nom d’usager et un mot de passe, même si on les connaît par cœur.

« Les clés d’accès sont plus sûres et plus faciles à utiliser que les mots de passe, car les usagers n’ont plus besoin de se fier au nom de leur animal favori, de choisir leur date de naissance ou de recourir à l’infâme "Password123", expliquent Christiaan Brand et Sriram Karra, les responsables de la solution de clés d’accès de Google. À la place, les clés d’accès permettent aux gens de s’identifier en déverrouillant leurs appareils. »

Les clés d’accès peuvent aussi être combinées à un deuxième moyen d’identification, comme l’envoi d’un code par messagerie texte ou à l’aide d’une application mobile d’authentification. Cela garantit un haut niveau de sécurité pour vos comptes en ligne.

Pour activer les clés d’accès Google, cliquez ici. Pour activer les clés d’accès Windows, cliquez ici. Et pour obtenir plus d’information sur la sécurité des clés d’accès d’Apple, cliquez ici.

Fini les mots de passe complexes

« Les clés d’accès sont l’avenir de l’authentification », assure justement Microsoft. Elles sont intuitives et éliminent le besoin de créer des mots de passe complexes, puis de s’en souvenir tout le temps. »

Microsoft a renforcé à la fin 2023 son utilisation des clés d’accès en permettant l’authentification à partir d’un second appareil ou d’une autre application où l’utilisateur est déjà authentifié. Ainsi, vous pourriez vous identifier sur un site web consulté sur votre PC à l’aide d’une application de messagerie Outlook sur votre téléphone Android, si les deux sont configurés à partir du même compte Microsoft.

Plus sûres, mais…

Du côté d’Apple, on ajoute que les clés d’accès ont l’avantage d’être stockées dans un trousseau d’accès qui est chiffré, mais qui peut aussi être synchronisé sur tous les appareils associés au même compte Apple ID.

Car il y a justement un bémol à cette technologie : pour utiliser les mots de passe, il faut avoir en main un appareil sur lequel sont mémorisées ces clés d’accès. Heureusement, Apple, Google, Microsoft et les autres fournisseurs de clés d’accès vont garder une copie de sûreté de vos clés d’accès sur des serveurs sécurisés et il vous sera possible de les utiliser sur un autre appareil, à condition… de vous identifier là, également.

Ce ne sont pas tous les services numériques qui peuvent aussi remplacer les mots de passe par une clé d’accès. Seuls peuvent le faire ceux qui sont accessibles à partir du web ou d’une application mobile. Les comptes de courrier électronique qu’on consulte via un client de messagerie, par exemple, ne fonctionnent donc pas à partir de clés d’accès.

Ainsi, les clés d’accès ne signifient pas la fin complète des mots de passe. Ces clés permettent surtout de sécuriser la plupart des comptes que vous avez sur votre ordinateur personnel, sur vos appareils mobiles et sur Internet, un peu comme le font déjà les gestionnaires de mots de passe, dont le plus connu est peut-être 1Password.

Aussi, comme elles sont créées et stockées localement, c’est-à-dire directement sur les appareils que vous avez en votre possession, les clés d’accès sont peut-être un moyen plus universel de s’identifier sur Internet que les solutions d’authentification unique (appelées Single sign-on ou SSO en anglais). Ces services permettent par exemple de vous identifier à partir de votre compte Google ou Facebook déjà existant. Mais ce ne sont pas tous les sites et services en ligne qui les intègrent.

Et contrairement à d’autres technologies numériques, les clés d’accès proposées par Apple, Google et Microsoft, entre autres, reposent sur une norme d’industrie créée par un regroupement d’entreprises technologiques appelé FIDO Alliance.

Cette alliance a été créée avec pour seul objectif de réduire la dépendance excessive aux mots de passe, pour une raison évidente : au fil du temps, les mots de passe ― souvent trop simples ou trop faciles à deviner ― sont devenus un des maillons les plus faibles de la sécurité informatique.

À lire aussi

Puis-je empêcher l’intelligence artificielle de voler mon image ?

Comment utiliser les clés d’accès (passkeys)