Passkeys : les risques cachés d'une technologie présentée comme sécurisée
Sommaire
En bref
- L'article prétend que les passkeys, bien que techniquement plus sûrs que les mots de passe, concentrent le contrôle entre les mains des entreprises et des consortiums (FIDO Alliance) plutôt que des utilisateurs.
- Contrairement aux mots de passe ou aux applications d'authentification (TOTP), vous ne pouvez pas choisir où stocker vos passkeys ni facilement les partager.
- Le vrai risque : les sites pourraient progressivement exiger des passkeys « attestés » (certifiés par le fabricant), bloquant l'accès à ceux qui utilisent des appareils ou logiciels non approuvés.
Ce que dit la source
L'auteur affirme que les passkeys sont un piège déguisé en solution sécurisée. Bien que passkeys offrent effectivement une meilleure sécurité que les mots de passe (résistance aux attaques par phishing et man-in-the-middle), la source soutient que ce gain de sécurité cache un coût caché : la perte de contrôle utilisateur. Contrairement aux mots de passe (que vous écrivez où vous voulez) ou aux codes TOTP (que vous générez avec n'importe quel logiciel), les passkeys sont liés à des appareils ou services spécifiques contrôlés par des entreprises. L'auteur craint surtout que la FIDO Alliance (consortium regroupant Big Tech, gouvernements, agences de renseignement, banques) n'utilise l'attestation pour progressivement forcer les utilisateurs à ne plus pouvoir accéder que via des appareils et logiciels approuvés, transformant le web en écosystème verrouillé.
- L'auteur met en avant l'absence de groupes de défense des consommateurs au sein de la FIDO Alliance, contrairement au W3C qui inclut universités et autres entités non marchandes
- TOTP (codes d'authentification temporaires générés par n'importe quel logiciel) offre déjà une sécurité supérieure aux mots de passe sans nécessiter de remplacement technologique radical
- L'attestation permet aux sites web d'exiger que vos passkeys proviennent d'appareils et logiciels spécifiquement approuvés par le fabricant, créant un mécanisme de contrôle potentiel
- Les mots de passe présentent au moins l'avantage d'être compris universellement et de vous laisser choisir où les stocker
- 1Password a commencé à appliquer la vérification obligatoire (userVerification: required), forçant les utilisateurs à entrer leur mot de passe maître pour utiliser leurs passkeys, contredisant la promesse de simplicité
Dans les commentaires
Débat partagé, largement techniquement étayé. La majorité des commentateurs reconnaît un noyau valide aux préoccupations sur l'attestation et le verrouillage, mais conteste la recommandation de rejeter les passkeys entièrement au profit de TOTP. Le principal désaccord porte sur le scénario catastrophiste : certains experts en sécurité jugent peu plausible que les sites grand public demandent massivement l'attestation.
- Plusieurs commentateurs critiquent le scénario principal de l'article : l'attestation ne peut être exigée qu'à l'enregistrement, pas rétroactivement, et les navigateurs affichent une permission explicite. Les sites populaires (Netflix, Twitter) ne demandent actuellement pas l'attestation, donc l'hypothèse du basculement progressif manque de fondement immédiat.
- Un défenseur des passkeys en entreprise reconnaît un noyau de vérité sur 1Password et les contraintes évolutives, mais distingue l'usage en organisation (où les contraintes de sécurité sont justifiées) de l'usage grand public, où elles posent problème.
- L'article ne mentionne que tardivement sa propre admission : les passkeys sont résistants aux attaques man-in-the-middle et au phishing, les deux vecteurs de compromission de compte les plus courants, ce que certains commentateurs jugent être l'élément manquant de la démonstration.
- Des voix pointent que TOTP n'est pas sans risques (code usurpé par phishing, complexité d'usage dissuasive) et que les gestionnaires de mots de passe modernes (Bitwarden, 1Password, Keepass) offrent déjà une certaine flexibilité de stockage des passkeys.
- Une tension moins technique : l'article critique les géants tech pour manque de respect de la vie privée tout en reconnaissant que ces mêmes entreprises hébergent déjà vos données (Google Mail, Amazon, etc.), ce qui relativise l'argument spécifique aux passkeys.
Alternatives citées : TOTP (Time-Based One-Time Passwords), mots de passe + authentification à deux facteurs par SMS/email, gestionnaires de mots de passe supportant passkeys (Bitwarden, 1Password, KeePass), clés de sécurité physiques (YubiKey).
Notre lecture
L'article soulève un problème réel mais souvent exagéré : l'attestation est effectivement une glissade dangereuse, et la concentration du contrôle dans les mains de consortiums fermés est une préoccupation légitime. Cependant, le scénario de basculement progressif vers l'attestation obligatoire reste hypothétique et peu immédiat sur les sites grand public. TOTP n'est pas une panacée (phishing, UX pénible) et passkeys stockés dans un gestionnaire de mots de passe offrent un bon compromis pratique sans renoncer entièrement à la flexibilité. Le vrai diagnostic est juste : surveillez comment l'industrie implémente l'attestation et les contraintes de vérification (userVerification: required impose déjà un poids), et restez critique face aux dark patterns de migration forcée. Mais dire « n'utilisez pas les passkeys » est trop tranchant ; dire « exigez que votre provider ne verrouille pas l'accès » serait plus utile.