Vient-on de passer une étape supplémentaire vers la fin des mots de passe ? C’est en tout cas ce qu’espère Google en annonçant, mercredi 3 mai, la possibilité de recourir aux « clés d’accès » (passkeys, en anglais) pour s’identifier à son compte.
Les problèmes posés par les mots de passe sont nombreux et connus : ils sont souvent oubliés, trop courts et trop simples mais surtout très facilement récupérables par des pirates. La clé d’accès, en revanche, est un mécanisme cryptographique stocké à l’intérieur d’un appareil (ordinateur ou téléphone) infiniment plus difficile à dérober pour les pirates.
Ces clés promettent également un accès plus pratique et rapide pour l’utilisateur. Il lui suffira en effet de déverrouiller par exemple son téléphone (comme il le fait d’habitude, avec reconnaissance faciale, digitale ou par code) pour « activer » cette clé d’accès et se connecter à son compte, plutôt que de saisir un mot de passe. En clair, le téléphone (ou l’ordinateur) devient la clé qui permet d’accéder à son compte. L’utilisateur ne devra bien sûr pas l’utiliser chaque fois qu’il se connecte, mais seulement lorsqu’il voudra le faire sur un nouvel appareil, comme pour les mots de passe aujourd’hui.
Une adoption encore très progressive
Google précise que, même après l’activation d’une clé d’accès, le mot de passe fonctionnera encore, notamment pour se connecter sur des appareils qui ne peuvent pas les stocker (comme des téléphones plus anciens, par exemple). Selon l’entreprise, cela ne veut pas dire que la création des clés d’accès ne servira à rien : si un utilisateur en use régulièrement, il sera de fait plus attentif aux connexions qui nécessitent un mot de passe et déjouera plus facilement les pirates qui tenteraient de les lui soustraire.
Les clés d’accès ne sont pas une création de Google mais un standard technologique développé par de nombreuses entreprises. Il est donc censé se généraliser à tous les services qui réclament un mot de passe. Mais, comme le précise Google, « les clés d’accès sont encore nouvelles et il faudra un certain temps avant qu’elles ne fonctionnent partout ».
Le principal écueil de ce nouveau moyen de sécurisation des comptes survient lors de la perte de l’appareil sur lequel les clés d’accès sont stockées. Google recommande de renseigner dans son compte une adresse e-mail et un numéro de téléphone de récupération pour remédier à cette situation.