Si vous avez activé les clés d’accès pour votre compte Google, vous avez probablement entendu le discours : aucun mot de passe à saisir, rien à hameçonner, rien qui reste dans une base de données en attendant de fuiter. Ce discours est en grande partie vrai. Mais des chercheurs ont maintenant décrit une technique — surnommée « Pass-ta-key » — qui montre que des logiciels malveillants présents sur votre propre appareil peuvent malgré tout accéder aux clés d’accès stockées dans Google Password Manager. Il vaut la peine de comprendre exactement ce que cela signifie et ce que cela ne signifie pas, car la solution n’est pas d’« arrêter d’utiliser les clés d’accès ».
Petit rappel sur le fonctionnement réel des clés d’accès
Une clé d’accès est une paire de clés, et non un secret que vous saisissez. La partie privée est censée ne jamais quitter votre appareil ; le site ou l’application ne voit que la partie publique et une signature prouvant que vous détenez la clé privée. C’est ce qui rend les clés d’accès résistantes à l’hameçonnage classique : il n’y a ni mot de passe ni code à usage unique qu’une fausse page de connexion pourrait voler, car la clé privée n’est pas quelque chose qu’on peut vous inciter à saisir quelque part.
Le problème tient au mot « synchronisées ». Pour permettre à une clé d’accès de fonctionner sur votre téléphone, votre ordinateur portable et votre tablette, Google Password Manager chiffre et synchronise vos clés d’accès via votre compte Google au lieu de lier chacune d’elles à un seul appareil physique. Cette commodité constitue aussi une surface d’attaque plus grande que celle d’une clé d’accès physiquement liée à une seule clé de sécurité ou à un seul appareil.
Ce que montre réellement la recherche sur Pass-ta-key
D’après les informations publiées sur cette recherche (via Malwarebytes), la découverte est que des logiciels malveillants s’exécutant sur un appareil où Google Password Manager est déverrouillé peuvent détourner des comptes protégés par des clés d’accès — non pas en cassant la cryptographie à clé publique sous-jacente, mais en exploitant la couche logicielle qui stocke, déverrouille et synchronise les clés. Autrement dit : les mathématiques derrière les clés d’accès n’ont pas été cassées. Ce qui est ciblé, c’est tout ce qui se trouve autour des mathématiques — le coffre-fort local, le processus de déverrouillage, le canal de synchronisation.
Les mécanismes techniques précis de la chaîne d’exploitation n’ont pas été entièrement détaillés dans les informations publiques disponibles jusqu’à présent ; il convient donc d’éviter de transformer cela en « les clés d’accès sont cassées ». Ce qui est clair, et cohérent avec le fonctionnement habituel de ce type d’attaque, c’est la forme générale du risque : si un logiciel malveillant obtient un niveau d’accès suffisamment élevé sur un appareil où un coffre de clés d’accès est déverrouillé, il peut potentiellement agir à votre place dans ce coffre, ou extraire des éléments permettant à un attaquant de s’authentifier en votre nom ailleurs.
Pourquoi cela ne remet pas en cause les arguments en faveur des clés d’accès
Il est tentant de lire un titre comme celui-ci en se disant : « les clés d’accès ont échoué ». Ce n’est pas le cas : elles ont bloqué une attaque précise et extrêmement courante, l’hameçonnage à distance, dans lequel un attaquant situé n’importe où dans le monde vous incite à saisir un mot de passe ou un code à usage unique sur un faux site. Cette attaque reste inefficace contre une véritable clé d’accès. Ce que Pass-ta-key illustre, c’est un autre modèle de menace, plus ancien : celui d’un attaquant qui a déjà du code en cours d’exécution sur votre appareil. Cette menace a toujours existé et elle était sans doute pire avec les mots de passe — un enregistreur de frappe ou un logiciel voleur d’informations sur une machine infectée pouvait récupérer tout aussi facilement un mot de passe saisi et un cookie de session. Les clés d’accès réduisent la surface d’attaque ; elles ne suppriment pas la catégorie « votre appareil est compromis ».
Ce qu’il faut réellement vérifier et faire
Quelques mesures concrètes et vérifiables, à peu près dans l’ordre de leur impact :
- Sachez lesquelles de vos clés d’accès sont synchronisées et lesquelles sont liées à l’appareil. Dans Google Password Manager (passwords.google.com, sous « Clés d’accès »), vous pouvez voir ce qui est stocké et synchronisé avec votre compte. Une clé d’accès créée et confirmée avec une clé de sécurité physique (comme une YubiKey) que vous n’avez pas synchronisée est liée à ce matériel et n’est pas exposée à cette catégorie d’attaque de la même manière.
- Pour vos comptes les plus importants — adresse e-mail principale, banque, authentification unique professionnelle — préférez une clé de sécurité matérielle à une clé d’accès synchronisée. C’est légèrement moins pratique (vous avez besoin de la clé physique), mais elle ne passe jamais par la synchronisation cloud, ce qui supprime entièrement cette surface d’attaque pour le compte concerné.
- Gardez l’appareil lui-même sain, puisque c’est désormais le véritable champ de bataille. Installez rapidement les mises à jour du système d’exploitation et du navigateur, évitez d’installer des applications ou des extensions provenant de l’extérieur des boutiques officielles et ne négligez pas les alertes de l’antivirus ou de la solution de sécurité des terminaux — une infection par un logiciel malveillant est la condition préalable à ce type d’attaque ; une bonne hygiène de l’appareil sert donc un double objectif.
- Activez le programme Advanced Protection de Google si vous êtes une cible plausible (journalistes, militants, cadres dirigeants, administrateurs ou toute personne ayant déjà été ciblée). Il renforce les règles de récupération de compte et de connexion spécifiquement contre ce type de scénario de prise de contrôle de compte.
- Examinez régulièrement l’« Activité de sécurité récente » de votre compte Google et les appareils connectés, puis supprimez tout ce que vous ne reconnaissez pas ou que vous n’utilisez plus — y compris les anciennes clés d’accès synchronisées présentes sur des appareils que vous avez depuis remplacés.
- Ne supprimez pas votre méthode d’authentification de secours. Conservez une méthode de récupération (codes de secours, seconde clé d’accès sur un autre type d’appareil) qui ne dépende pas du même appareil, afin de ne pas être bloqué si vous devez effectivement effacer une machine infectée.
En bref : les clés d’accès restent meilleures que les mots de passe, et « impossibles à hameçonner » demeure une formulation exacte de ce qu’elles offrent contre l’hameçonnage à distance. Pass-ta-key rappelle que « impossibles à hameçonner » n’a jamais voulu dire « immunisées contre un appareil compromis » — et votre défense contre ce second risque est la partie peu passionnante : mettez vos appareils à jour, surveillez les logiciels malveillants et protégez vos comptes les plus importants avec des clés liées au matériel plutôt qu’avec des clés synchronisées.
