Apple, Google et Microsoft veulent tuer le mot de passe avec la norme « passkey »

Le premier jeudi de mai est apparemment la « Journée mondiale du mot de passe » et pour fêter ça, Apple , Google et Microsoft font un  » effort conjoint  » pour tuer le mot de passe. Les principaux fournisseurs de systèmes d’exploitation souhaitent « étendre la prise en charge de la norme de connexion sans mot de passe commune créée par l’Alliance FIDO et le World Wide Web Consortium ».

La norme est appelée « identifiants FIDO multi-appareils » ou simplement « clé d’accès ». Au lieu d’une longue chaîne de caractères, ce nouveau schéma aura l’application ou le site Web auquel vous vous connectez pour envoyer une demande d’authentification à votre téléphone. À partir de là, vous devrez déverrouiller votre téléphone, vous authentifier avec une sorte de code PIN ou biométrique, puis vous êtes sur votre chemin. Cela ressemble à un système familier pour quiconque a configuré une authentification à deux facteurs basée sur le téléphone, mais il s’agit d’un remplacement de mot de passe, pas d’un facteur supplémentaire.

Des graphiques ont été fournis pour l’interaction de l’utilisateur :

Certains systèmes push 2FA fonctionnent sur Internet, mais ce nouveau schéma FIDO fonctionne sur Bluetooth. Comme l’explique le livre blanc, « Bluetooth nécessite une proximité physique, ce qui signifie que nous disposons désormais d’un moyen résistant au phishing d’utiliser le téléphone de l’utilisateur lors de l’authentification. » Bluetooth a une terrible réputation de compatibilité et je ne suis pas sûr que la « sécurité » ait jamais été un véritable préoccupation, mais l’alliance FIDO note que Bluetooth ne sert qu’à la « vérification de la proximité physique » et que le processus de connexion réel n’est « pas affecté par les propriétés de sécurité ». Bluetooth ». Bien sûr, cela signifie que les deux appareils auront besoin de Bluetooth à bord, ce qui est une donnée pour la plupart des smartphones et des ordinateurs portables, mais peut être une tâche ardue pour les anciens ordinateurs de bureau.

Tout comme un gestionnaire de mots de passe peut consolider vos identifiants sous un seul mot de passe, vos mots de passe peuvent être copiés par certains gros détenteurs de plateformes comme Apple ou Google. Cela vous permettra de transférer facilement vos informations d’identification vers un nouvel appareil, d’éviter qu’elles ne soient perdues et de faciliter la synchronisation des mots de passe entre les appareils. Si vous perdez votre appareil, vous pouvez toujours récupérer vos comptes en vous connectant (enfin, avec un mot de passe ?) à votre compte propriétaire de plateforme plus large. Il peut également être judicieux de configurer plusieurs appareils en tant qu’authentificateurs.

Les entreprises essaient d’éliminer les mots de passe depuis des années, mais cela n’a pas été facile à réaliser. Google a une chronologie complète sur son blog datant de 2008. Les mots de passe fonctionnent bien s’ils sont longs, aléatoires, secrets et uniques, mais le facteur humain dans les mots de passe est toujours un problème. Nous sommes mauvais pour nous souvenir de longues chaînes aléatoires de caractères. Il est tentant d’écrire des mots de passe ou de les réutiliser, et les stratagèmes de phishing essaient de vous inciter à donner votre mot de passe à un tiers. Lorsqu’une faille de sécurité se produit, les paires de nom d’utilisateur et de mot de passe sont facilement échangées et d’énormes bases de données d’informations d’identification compromises existent.

Un article de blog FIDO déclare : « Ces nouvelles fonctionnalités devraient être disponibles sur les plates-formes Apple, Google et Microsoft au cours de l’année prochaine. » et macOS Monterey, mais il n’est pas encore compatible avec d’autres plates-formes. La prise en charge des mots de passe Google a déjà été vue dans Play Services sur Android, elle devrait donc être rapidement prise en charge par des appareils Android encore plus anciens une fois qu’elle sera prête.

Image de la liste de FIDO Alliance