Les passkeys ne sont pas un piège
Original : Passkeys are not a trap
Pourquoi c'est important
La désinformation sur les passkeys freine l'adoption d'une technologie anti-phishing éprouvée.
Un article viral conseillait d'abandonner les passkeys au profit des codes TOTP. Scott Helme, chercheur en sécurité, démonte point par point ces affirmations en s'appuyant sur le fonctionnement réel de WebAuthn et de l'attestation.
Un article intitulé « Passkeys are a trap. Do not use them. » a circulé sur Hacker News, poussant de nombreux internautes à s'interroger sur la fiabilité des passkeys. L'argument central : la fonctionnalité d'attestation permettrait aux sites web de n'autoriser que des logiciels et systèmes d'exploitation approuvés, menant à terme à un contrôle total sur les appareils des utilisateurs.
Scott Helme, qui a lui-même développé une bibliothèque open source pour les passkeys, réfute cette lecture. Les passkeys synchronisés — stockés dans iCloud Keychain, Google Password Manager, 1Password ou Bitwarden — ne transmettent aucune attestation aux sites. Un site qui n'accepterait que des passkeys attestés exclurait immédiatement la quasi-totalité de ses propres utilisateurs. La recommandation officielle pour les sites grand public est d'ailleurs de ne pas demander d'attestation depuis des années.
Autre erreur factuelle relevée : l'article recommande les YubiKeys comme solution pour « éviter l'attestation liée à l'OS ». Or, les YubiKeys sont précisément les authenticateurs qui intègrent l'attestation — chaque clé est livrée avec un certificat Yubico.
Enfin, ériger le TOTP en alternative supérieure ignore sa vulnérabilité majeure : un code TOTP peut être saisi sur un faux site. Des kits de phishing comme Evilginx relaient en temps réel identifiants et codes vers le vrai service, volant la session. Les passkeys, eux, sont liés cryptographiquement au domaine d'origine — le navigateur refuse tout simplement de les utiliser sur un autre site.