Les passkeys en entreprise : une authentification résistante à l'hameçonnage, au-delà du mot de passe et de l'OTP
Un mot de passe accompagné d'un code SMS ou TOTP reste hameçonnable. Pourquoi les passkeys FIDO2 résolvent le problème de l'origine, à quoi ressemble un déploiement fondé sur le risque et quelles questions restent ouvertes autour de la récupération et de la perte d'appareil.
L’hameçonnage reste la porte d’entrée la plus fiable vers les réseaux d’entreprise, et la plupart des seconds facteurs n’y changent pas grand-chose. Un mot de passe assorti d’un code SMS, d’une application TOTP ou d’une confirmation push passe pour de l’authentification multifacteur, mais reste attaquable en son cœur : qui attire l’utilisatrice sur une page falsifiée peut aussi capter le second facteur en temps réel. Les passkeys FIDO2 interviennent précisément à cet endroit.
Pourquoi la MFA classique reste hameçonnable
Le problème n’est pas le nombre de facteurs, mais leur transférabilité. Un code à usage unique est un secret partagé : il fonctionne partout où il est saisi, y compris sur la page d’hameçonnage. Ce qui manque, c’est le lien avec le correspondant authentique. C’est précisément ce lien qu’assure WebAuthn, le standard qui sous-tend les passkeys.
Ce que les passkeys font différemment
Un passkey est une paire de clés cryptographiques. La clé privée ne quitte jamais l’appareil, et la signature ne se fait qu’envers le domaine pour lequel le passkey a été enregistré. Ce lien à l’origine rend inopérante la redirection d’hameçonnage classique : un domaine falsifié n’obtient tout simplement aucune signature valide. Il n’existe aucun secret que l’on pourrait saisir sur le mauvais site. Le BSI a publié à ce sujet un modèle de menace formel, et la directive technique BSI TR-03188 fixe des exigences pour l’exploitation d’un serveur de passkeys.
Synchronisés, liés à l’appareil ou clé matérielle
Un passkey n’en vaut pas un autre. Un déploiement solide module la variante selon le besoin de protection :
- Clés de sécurité matérielles : pour les accès privilégiés et l’administration, là où la plus haute sécurité compte.
- Passkeys liés à l’appareil : sur les appareils d’entreprise gérés, couplés au matériel et non synchronisables.
- Passkeys synchronisés : pour l’ensemble du personnel, pratiques sur plusieurs appareils, avec un niveau de durcissement un peu moindre.
Cette gradation rejoint l’attente que les autorités de contrôle et les auditeurs formulent de plus en plus : pour les accès administratifs sensibles, l’authentification résistante à l’hameçonnage est de plus en plus considérée comme une exigence, et non comme une recommandation.
Les questions ouvertes
La partie difficile ne réside pas dans la connexion, mais dans les cas limites. Que se passe-t-il en cas de perte de l’appareil ? À quoi ressemble une voie de récupération qui ne devienne pas elle-même une porte dérobée hameçonnable ? Et comment traiter les systèmes hérités qui ne parlent pas encore WebAuthn ? Un déploiement réfléchi répond à ces questions en amont, au lieu de les improviser en cas d’incident. Comme trait d’union de la plateforme, Datargo ID ancre l’authentification unique et la MFA en un seul endroit, ce qui regroupe ces questions au lieu de les disperser application par application.
Le basculement décisif est le suivant : s’éloigner d’un secret que l’on peut connaître et donc trahir, pour aller vers une clé qui reste liée à l’appareil et au correspondant.