- Nikita Bier, responsable produit chez X, critique le fait que le concept de passkey et son emplacement de stockage ne soient pas clairement expliqués aux utilisateurs, ce qui donne l’impression, lors de la connexion à une app, qu’on leur demande une sorte de « poudre magique » impossible à identifier
- Il est difficile de savoir si la passkey correspond au téléphone, au navigateur, au système d’exploitation ou aux données biométriques, et les explications claires manquent pour permettre aux utilisateurs d’en évaluer les avantages en matière de sécurité
- Les défenseurs des passkeys expliquent qu’il s’agit d’utiliser un appareil que l’on possède comme clé, par exemple un téléphone ou un ordinateur portable, plutôt qu’un mot que l’on saisit, et que c’est plus sûr qu’un mot de passe facile à voler
- Les opposants soulignent que perdre le seul appareil contenant une passkey peut aussi signifier perdre l’accès à son compte, et que les implémentations imparfaites comme les expériences de récupération augmentent le risque de verrouillage de compte
- Certains soupçonnent une motivation liée à la réduction des coûts et à l’enfermement dans l’écosystème des grandes plateformes, tandis que d’autres rétorquent que les mots de passe sont fondamentalement vulnérables et qu’il ne faut pas rejeter une alternative uniquement parce qu’elle est peu pratique
Un mode d’authentification que les utilisateurs ne comprennent pas
- Un dirigeant d’entreprise tech explique que Google propose des passkeys à des utilisateurs qui viennent à peine d’apprendre à stocker leurs mots de passe, alors qu’il est même difficile de savoir s’il s’agit d’une empreinte digitale, de reconnaissance faciale ou de données numériques
- Nikita Bier critique les passkeys, qu’il estime avoir été créées par des ingénieurs sécurité qui ne comprennent pas la psychologie des consommateurs
- Selon lui, les utilisateurs ne comprennent pas ce que sont les passkeys, ce qui les empêche d’en évaluer les avantages ou même de les contester
- Résultat : les apps demandent, pour se connecter, un moyen d’authentification dont l’utilisateur ne sait pas où il se trouve
- Il souligne aussi que l’on ne sait pas clairement si la passkey se trouve dans le téléphone, le navigateur, le système d’exploitation ou le corps de l’utilisateur
Au lieu d’un « mot à saisir », une « clé que l’on possède »
- Un commentaire favorable aux passkeys les décrit non pas comme un mot à saisir, à la manière d’un mot de passe, mais comme une clé possédée par l’utilisateur
- La plupart des gens utilisent leur téléphone comme clé, mais un ordinateur portable ou un autre appareil peut aussi servir
- La différence essentielle est qu’un mot est facile à voler, tandis qu’une clé est relativement plus difficile à dérober
- Selon cet avis, les explications centrées sur la commodité ou la biométrie embrouillent plutôt le concept, alors qu’elles sont peu liées à l’essence du modèle : une authentification fondée sur la possession
Perte d’appareil et récupération de compte
- Les critiques craignent que perdre le seul appareil passkey fonctionnel entraîne aussi la perte de l’accès au compte
- L’argument avancé est qu’un mot de passe peut être mémorisé ou conservé séparément, et qu’une app 2FA peut être installée sur plusieurs appareils, tandis qu’une passkey renforce à la fois la robustesse quand elle est bien utilisée et le risque de perdre sa clé
- Un autre commentaire juge également l’implémentation des passkeys comme un échec et soulève les problèmes suivants
- L’expérience utilisateur est mauvaise et l’usage est difficile
- Le risque de se retrouver bloqué hors de son compte est élevé
- Les raisons qui poussent les plateformes à les imposer suscitent des soupçons de réduction des coûts et d’enfermement dans leur écosystème
Controverse sur la dépendance aux grandes plateformes
- Tim Sweeney considère les passkeys comme un plan pour enfermer les utilisateurs dans les grandes plateformes technologiques
- Comme l’expérience des passkeys est liée au téléphone, au navigateur ou au compte du système d’exploitation, certains estiment que l’utilisateur peut avoir le sentiment de ne pas contrôler directement l’emplacement de son moyen d’authentification ni l’entité qui le gère
La contre-argumentation : une meilleure alternative aux mots de passe
- Certains comprennent les passkeys comme une combinaison entre appareil et authentification biométrique ou mot de passe, ce qui réduit selon eux la probabilité qu’un attaquant obtienne les deux facteurs
- Les contre-arguments soulignent que les mots de passe sont un modèle de sécurité fondamentalement cassé et que les utilisateurs les ont rarement utilisés correctement
- Selon cet avis, il n’est pas souhaitable de s’en tenir aux problèmes faciles au seul motif qu’une nouvelle approche est difficile ; plutôt que de se limiter à la critique, il faut proposer un meilleur modèle d’authentification
4 commentaires
Hum, Nikita Bier, le head of product de X, est connu depuis longtemps pour son franc-parler. Il rappelle un peu Elon Musk, mais avec une tonalité assez différente.
BeeBS, qui vient d’ouvrir, prend en charge les passkeys. Personnellement, je trouve ça pratique.
Cela dit, si l’inscription repose uniquement sur une passkey, sans synchronisation ni autre moyen de récupération, on risque de ne plus pouvoir accéder à son compte en cas de perte de l’appareil. C’est pourquoi BeeBS fait d’abord passer par une inscription via magic link par e-mail, puis permet d’enregistrer une passkey.
En combinant ces deux méthodes, on peut éviter totalement de stocker le mot de passe de l’utilisateur sur le serveur, et même en cas de changement ou de perte d’appareil, il reste possible de se reconnecter par e-mail pour enregistrer une nouvelle passkey.
« Les passkeys, c’est bien. Ne critiquez pas sans proposer d’alternative !! »,
Sauf qu’en réalité, les passkeys sont censées être l’alternative à la méthode existante, et on insiste pour dire que c’est bien alors qu’elles ne proposent pas vraiment d’alternative correcte.
Pour utiliser les passkeys confortablement, il faut utiliser une seule application de gestion de mots de passe qui traverse toutes les plateformes....
Sinon, on ne sait même plus où ni comment on a créé une passkey, et il est aussi difficile de se rendre compte que le navigateur pose la demande de passkey au mauvais acteur. Du coup, en dehors de quelques plateformes qu’on utilise souvent, c’est trop peu pratique, donc je n’utilise pas les passkeys.
Maintenant que j’y pense, on dirait une fonctionnalité conçue pour vendre des applications de gestion de mots de passe.
Avis de Hacker News
Je travaille depuis 26 ans dans le secteur tech et je comprends le principe des clés publiques/privées, mais je ne sais pas comment utiliser les passkeys sur plusieurs appareils et navigateurs sans compromettre mes connexions
J’utilise Brave, Firefox, Safari et LastPass sur iPad, iPhone, un PC de bureau Windows et un MacBook Pro ; si je crée par hasard une passkey dans Safari sur mon téléphone, je ne sais pas clairement si je pourrai aussi me connecter sur mes autres appareils, si je peux synchroniser les passkeys ou en ajouter une par appareil, ni combien chaque site en autorise
Les politiques pouvant aussi varier selon les sites et les apps, je compte continuer pour l’instant à utiliser LastPass et des mots de passe, récupérables même si je perds un appareil ou si j’utilise celui de quelqu’un d’autre
Si je partage des comptes Pandora ou Amazon Prime avec mon conjoint, je me demande aussi si chacun peut créer sa propre passkey ; sinon, comment lui donner accès
Même en tant qu’ingénieur, je trouve l’UI des passkeys tout sauf claire ; chacun essaie de contrôler exclusivement les passkeys de l’utilisateur tout en le cachant, en se contentant de dire « on s’en occupe pour vous »
Mes proches non techniciens sont extrêmement perdus quant à savoir s’ils doivent utiliser les passkeys et comment, et même moi j’ai du mal à leur répondre correctement
Si on les perd, on les réinitialise via les procédures de récupération existantes, comme l’e-mail « mot de passe oublié » ; en général, elles sont stockées dans un gestionnaire de mots de passe et synchronisées vers les autres appareils, donc on ne les perd pas
Mais le copier-coller n’est pas autorisé : elles doivent être présentées via le gestionnaire de mots de passe, ce qui évite de les transmettre par erreur à un acteur de phishing
Les principaux gestionnaires ne prennent pas non plus en charge l’export vers un fichier lisible ou sauvegardable par l’utilisateur, et imposent leurs propres procédures pénibles de migration entre apps pour les transferts entre gestionnaires ; ils semblent donc accueillir favorablement cet effet de dépendance
Ce n’est que pour se connecter au gestionnaire de mots de passe lui-même qu’il faut un moyen externe, comme un mot de passe ou une YubiKey
https://danfabulich.medium.com/passkeys-are-just-passwords-t...
LastPass a divulgué tous les mots de passe en 2022 puis encore le mois dernier ; il est donc temps de partir, et l’alternative la plus proche est 1Password, qui n’a pas connu plusieurs compromissions graves
Mais ces méthodes de connexion de secours sapent l’objectif central des passkeys, à savoir éliminer le phishing ; on ne sait donc pas combien de temps elles resteront disponibles
Certains sites demandent encore une 2FA TOTP ou une vérification par e-mail après une connexion par passkey, ce qui fait aussi disparaître l’avantage principal côté confort utilisateur
Un mot de passe peut être écrit sur papier et conservé dans un endroit physiquement sûr, mais avec les passkeys et l’authentification à deux facteurs, la récupération est un cauchemar ; et si l’on prévoit un moyen de récupération pratique, la sécurité disparaît
À l’inverse, les passkeys sont excellentes pour beaucoup de consommateurs ordinaires ; ce sont plutôt les ingénieurs qui comprennent l’authentification et ont leur propre système de gestion des mots de passe qui semblent plus déconcertés
Les utilisateurs de l’écosystème Apple sont déjà habitués à utiliser Touch ID ou Face ID quand on le leur demande
Après avoir configuré une passkey sur Amazon, j’ai pu me connecter sur Mac et iPhone sans la moindre friction
Pour l’utilisateur lambda, une passkey ne remplace pas le fait d’aller chercher un mot de passe complexe dans un gestionnaire pour le coller ; elle remplace le fait de saisir directement le même mot de passe réutilisé sur tous les sites
Les passkeys sont liées à un appareil donné et deviennent gênantes dès qu’on en utilise un autre ; elles ressemblent moins à des identifiants possédés et contrôlés par l’utilisateur qu’à un mot de passe unique relié à tout
Dans certains cas, elles seront plus sûres, mais elles ressemblent surtout à une solution inférieure pour un problème qui a déjà une meilleure réponse
C’est un concept épouvantable imposé à des utilisateurs qui n’y comprennent rien
Le système pousse sans cesse à utiliser un PIN plutôt qu’une YubiKey ou un mot de passe
La première fois qu’un site m’a proposé d’utiliser une passkey, j’ai fait une recherche, mais je n’ai pas trouvé de réponse dans les 5 minutes que j’y ai consacrées en interrompant ce que j’étais en train de faire
La définition la plus juste que j’aie vue jusqu’ici est : de la poudre de fée magique qui vous connecte à une appli
Avec les mots de passe et les jetons TOTP, je comprends leur fonctionnement et ce dont je suis responsable dans leur gestion, mais je ne sais pas ce qui se passe si je perds mon téléphone, si chaque appareil a besoin de sa propre passkey, quelle est la fréquence de remplacement, ni comment réagir en cas de vol
Je suis rassuré de voir que je ne suis pas le seul à trouver que tout cela est extrêmement mal expliqué
Même en étant à l’aise avec la technologie, je ne comprends pas où les passkeys sont stockées, à quels appareils elles sont liées, ni pourquoi scanner un QR code avec Chrome sur mon téléphone me connecte
Un jour, elles sont simplement apparues comme option, et appuyer sur le bouton connectait l’utilisateur ; il n’y a eu aucune pédagogie utilisateur
Si même des utilisateurs de Hacker News, probablement dans le top 1 % en maîtrise de l’informatique, en sont là, une famille ordinaire ou un professionnel de l’immobilier ne comprendra pas et n’ira pas apprendre par lui-même
https://news.ycombinator.com/item?id=46301585#46303892
La clé est stockée non pas dans un fichier, mais dans un module matériel de sécurité comme une YubiKey ou un TPM ; lors de l’inscription, le site crée une paire de clés asymétriques, puis la connexion utilise un mécanisme classique de défi-réponse
Le grand progrès est la résistance au phishing : une fausse page de connexion peut relayer un code TOTP, mais elle ne peut pas relayer le défi-réponse d’une passkey
Même après plus de 20 ans dans la tech, les passkeys restent déroutantes
Je comprends le concept de clé en informatique, mais je ne sais pas comment les utiliser entre appareils, et l’idée de les lier à une clé physique me préoccupe beaucoup, car je pourrais ne jamais récupérer l’accès après une perte
Certains les demandent dès l’arrivée sur la page de connexion, d’autres exigent d’abord un nom d’utilisateur ou une adresse e-mail ; une passkey peut remplacer à la fois le mot de passe et le second facteur, ou n’être utilisée que comme second facteur après le mot de passe
Certains services exigent aussi, sans mot de passe, une passkey combinée à une autre authentification comme le SMS
Si l’on ajoute la confusion autour de l’enregistrement des appareils et de la synchronisation, il manque fortement de cohérence dans l’expérience utilisateur
L’interopérabilité entre fournisseurs de plateformes peut s’améliorer, mais le problème des comportements différents selon les sites et les applis semble difficile à résoudre
On peut utiliser un gestionnaire compatible comme Apple, Google, 1Password ou KeePass, ou scanner le QR code affiché avec le téléphone que l’on a toujours sur soi ; un appareil dédié comme une YubiKey fonctionne aussi
Sur Android et Chrome, il suffit d’utiliser le gestionnaire de mots de passe de Chrome ou de scanner le QR code avec le téléphone
L’application gouvernementale polonaise mObywatel repose aussi sur une structure similaire : après connexion, elle télécharge un certificat, puis on photographie un QR code pour accéder aux sites de l’administration avec un PIN ou une authentification biométrique
Les passkeys sont aussi simples que des mots de passe qu’on n’a pas besoin de saisir, et je les utilise facilement en installant 1Password sur tous mes appareils
Sur Android aussi, je peux définir 1Password comme fournisseur de passkeys par défaut et les partager entre appareils
Synchroniser les clés avec 1Password est peut-être un peu moins sûr, mais comme je partageais déjà mes mots de passe de la même façon auparavant, je considère que ma posture de sécurité n’a pas changé
En revanche, je n’ai plus besoin de générer, saisir ni copier des chaînes de nom d’utilisateur et de mot de passe, et 1Password reconnaît le site et la demande de passkey pour réagir automatiquement
Si j’ai plusieurs comptes, je peux choisir la passkey à utiliser ; dans l’ensemble, c’est un système qui fonctionne tout simplement, et je le préfère nettement aux mots de passe
Elles n’offrent pas non plus d’avantage de sécurité concret par rapport à des mots de passe complexes, uniques et générés par un gestionnaire
Sur Windows, Firefox appelle le gestionnaire de mots de passe de Windows au lieu de 1Password sur certains sites, et sur Android, Chrome et Firefox semblent les gérer différemment
Un compte Microsoft exige d’être d’abord connecté avec ce compte sur l’appareil où la passkey est enregistrée, ce qui complique le parcours et oblige à passer par une autre méthode
Quand une appli comme Libby redirige vers Amazon, un écran de mot de passe séparé sans passkey apparaît, il faut donc aussi avoir le mot de passe sous la main
Quand ça marche, c’est excellent, mais au final, 1Password plus le couple nom d’utilisateur/mot de passe semble offrir une meilleure UX
Si je crée une passkey, mon ancien mot de passe est-il supprimé ? Comment me connecter depuis un autre appareil ? Si j’en crée une sur un nouvel appareil, l’ancienne passkey change-t-elle et me bloque-t-elle sur le premier appareil ? La communication et les guides ne permettent pas de le savoir
J’ai expliqué à mes parents de 78 ans qu’une clé U2F physique était « une clé nécessaire pour accéder à vos comptes, comme la clé de la porte d’entrée de la maison : ne la perdez pas, ne la prêtez pas, et gardez aussi une clé de secours ». Ils ont parfaitement compris et l’ont ajoutée à tous leurs comptes.
On a supposé, sans même laisser leur chance aux consommateurs, qu’ils étaient trop ignorants pour comprendre ce concept, alors qu’en réalité l’analogie de la clé physique suffisait.
Si l’on transporte les deux clés ensemble et qu’on les enregistre toutes les deux, on risque de les perdre en même temps ; si l’on en laisse une dans un coffre, il faut suivre quel service a quelle clé enregistrée et ressortir la clé de secours à chaque nouveau service pour l’enregistrer.
Aucune des deux options n’étant satisfaisante, j’ai finalement choisi une application OTP sauvegardable.
Les fournisseurs ne prennent pas en charge ces usages des consommateurs, ni même ne reconnaissent leur existence, tout en essayant de vendre cher aux entreprises des implémentations complexes.
Les clés physiques se perdent, ce qui conduit à laisser une clé de secours sous un pot de fleurs, et cela ne fait qu’ajouter un objet de plus à avoir toujours sur soi.
On trouve des téléphones partout, mais tant qu’on ne pourra pas dire à sa grand-mère « demandez une YubiKey au rayon électronique de Walmart », le problème restera entier.
Même Amazon met au minimum 6 jours selon les délais de livraison en zone rurale, donc la commande en ligne n’est pas une solution valable dans ce cas, et remplacer immédiatement une clé perdue est pratiquement impossible.
Les gens qui considèrent les passkeys comme simples semblent, pour la plupart, confier tous leurs identifiants à un fournisseur cloud propriétaire qui les synchronise sur tous leurs appareils.
Pour ceux qui veulent conserver leurs identifiants hors ligne et gérer eux-mêmes synchronisation et sauvegardes, il est important de savoir exactement comment fonctionnent les procédures d’enregistrement, de sauvegarde et de partage.
Avec l’attestation distante, la vérification de l’âge, le scan CSAM et les restrictions au sideloading, cela semble faire partie d’un mouvement où, à terme, Big Tech ou les gouvernements devront valider les participants, les contenus, le matériel et les logiciels avant d’autoriser les interactions sur Internet.
Même parmi les techniciens, beaucoup soutiennent cela, si bien qu’il semble qu’on n’aura bientôt plus d’autre choix que d’entrer dans un écosystème cloud propriétaire.
Je pourrais prendre deux YubiKey, en mettre une dans un coffre à la banque et l’autre ailleurs, puis abandonner le cloud, mais je n’ai pas encore vraiment de raison de le faire.
Avec les passkeys, il n’y a rien à abandonner par rapport aux mots de passe ; au contraire, elles sont bien plus faciles à gérer.
Le fait d’avoir gardé pendant 10 ans des clés privées SSH sur du matériel sécurisé peut m’avoir habitué à transporter une clé physique, mais dans l’ensemble je pense que c’est une meilleure approche.
Supprimer les mots de passe n’a rien à voir avec l’attestation distante ou la vérification de l’âge.
Ces 20 dernières années, les seuls mots de passe que j’ai mémorisés étaient deux ou trois mots de passe pour des machines individuelles ou des comptes d’entreprise et de foyer ; le reste devrait être géré par des identifiants matériels granulaires.
Les passkeys sont un cauchemar pour les techniciens qui veulent comprendre et gérer leurs propres outils.
Elles sont optimisées pour des utilisateurs qui n’ont ni la capacité ni la volonté de comprendre, se contentent d’appuyer sur le bouton indiqué à l’écran et vivent dans l’écosystème fermé de quelqu’un d’autre.
Pour cet usage, elles fonctionnent bien, mais elles créent un énorme verrouillage fournisseur où tout casse dès qu’on quitte l’écosystème ; on peut même se demander si ce n’était pas l’objectif de conception dès le départ.
Le site de mon HSA m’a forcé à configurer une passkey lors de ma dernière connexion ; je l’ai enregistrée sur mon ordinateur portable professionnel et dans le gestionnaire de mots de passe de l’entreprise, et maintenant je ne peux plus accéder à mon compte depuis mon ordinateur personnel.
Un résultat fantastique, exactement ce que je voulais.
Je peux encore me connecter via le SSO de mon employeur, donc je repousse la configuration jusqu’à ce que ce soit vraiment nécessaire.
Une passkey n’est pas magique, ce n’est qu’un mot de passe particulier ; si le site n’a pas implémenté de bouton de récupération, cela montre davantage un défaut d’implémentation du site qu’un problème des passkeys.
Le problème des passkeys n’est pas l’UX.
Big Tech veut empêcher les consommateurs de posséder des appareils informatiques généralistes et les pousser dans des écosystèmes fermés, et les passkeys ont été conçues pour servir cet intérêt.
Comme toujours lorsqu’on retire des libertés, le prétexte est la sécurité ; au final, cela devient un modèle d’exploitation pour appareils gérés par l’entreprise, où l’utilisateur ne peut faire que ce que le propriétaire de l’appareil autorise.
La mauvaise UX est une conséquence de ce problème fondamental.
Jusqu’ici, le seul endroit qui a imposé une passkey précise et a été particulièrement mauvais, c’est Nintendo ; et même là, cela fait partie des choses les moins mauvaises que Nintendo ait faites.