Contexte et affirmation contestée
Un article viral a suggéré que les passkeys pourraient être exploités via une « attestation cachée » obligeant les sites à accepter uniquement des appareils certifiés. L’auteur proposait de revenir aux mots de passe et aux codes TOTP. Scott Helme, chercheur en sécurité, réfute cette interprétation en montrant que les passkeys grand public ne transmettent aucune attestation exploitable pour restreindre les systèmes d’exploitation ou les extensions.
Fonctionnement de l’attestation WebAuthn
WebAuthn définit une attestation qui, lorsqu’elle est fournie, renvoie un AAGUID (identifiant du fabricant et du modèle de l’authentificateur) accompagné d’une chaîne de certificats du fournisseur. Cette information décrit uniquement le matériel (ex. YubiKey, authentificateur intégré) et ne mentionne ni le système d’exploitation, ni le navigateur, ni l’état de root/jailbreak. Les passkeys synchronisés via iCloud Keychain, Google Password Manager, 1Password ou Bitwarden ne contiennent aucune attestation ; la réponse du navigateur à une requête d’attestation est vide. Ainsi, un site qui exigerait une attestation bloquerait immédiatement la majorité de ses utilisateurs, ce qui rend cette hypothèse impraticable.
Analyse des risques liés à TOTP vs passkeys
Le TOTP améliore la sécurité par rapport au mot de passe seul, mais il reste vulnérable aux attaques de type phishing. Des kits comme Evilginx interceptent le code TOTP et le transmettent au site légitime en temps réel, permettant la prise de contrôle de la session. En revanche, un passkey est lié au domaine d’origine : le navigateur refuse d’utiliser une clé créée pour example.com sur examp1e.com. Cette contrainte élimine le vecteur d’erreur humaine (saisie du code sur le mauvais site) et empêche les relais de session, offrant une résistance intrinsèque aux attaques de type man‑in‑the‑middle.
Recommandations pratiques
Les utilisateurs doivent conserver les passkeys dans un gestionnaire de mots de passe ou de clés de confiance et activer la synchronisation si la mobilité est requise. Les organisations souhaitant un contrôle supplémentaire peuvent déployer des clés matérielles YubiKey, qui délivrent une attestation vérifiable grâce à un certificat Yubico. Cette attestation est destinée aux environnements d’entreprise où la politique d’accès exige la validation du matériel. Pour le grand public, il n’existe aucune pression actuelle des fournisseurs majeurs (Apple, Google, 1Password, Bitwarden) à activer l’attestation, et aucune évolution réglementaire ne l’impose. Ainsi, abandonner les passkeys au profit du TOTP ne réduit pas le risque d’attestation, mais augmente la surface d’exposition aux attaques de phishing.
