Une passkey ne vaut que ce que vaut son inscription. Le protocole FIDO2 garantit qu'une clé privée ne quittera jamais son authentificateur ; il ne garantit absolument pas que la personne qui a créé cette clé était la bonne. L'enrôlement est donc le point où se joue la valeur de tout le dispositif, et c'est aussi celui que les projets traitent le plus vite.
Le problème d'amorçage, formulé simplement
Pour inscrire une passkey, il faut d'abord authentifier l'utilisateur. Mais s'il n'a pas encore de passkey, avec quoi l'authentifie-t-on ? La réponse choisie détermine le plancher de sécurité du compte pour toute sa durée de vie.
| Mode d'amorçage | Ce qu'il prouve | Faiblesse structurelle |
|---|---|---|
| Mot de passe existant | connaissance d'un secret possiblement fuité | hérite de toute compromission antérieure |
| Lien ou code envoyé par e-mail | contrôle d'une boîte mail | la messagerie devient le facteur racine |
| Code SMS | contrôle d'une carte SIM | SIM swapping ; catégorie « restricted » au NIST SP 800-63B |
| Visioconférence avec un agent | ressemblance perçue à une pièce d'identité | exposé aux deepfakes vidéo |
| Vérification en présentiel | présence physique et pièce vérifiée | coût logistique, difficile à l'échelle |
| Portefeuille d'identité eIDAS 2 | identité déjà attestée par un tiers qualifié | dépend du déploiement de l'écosystème |
| Enrôlement hors ligne dédié | remise d'une méthode de résolution personnelle | nécessite une organisation dédiée |
La règle à retenir tient en une phrase : une passkey inscrite après un code e-mail est, du point de vue de l'attaquant, un compte protégé par un code e-mail. Le reste est du confort d'usage.
L'attaque qu'on oublie : l'inscription d'un justificatif attaquant
Le scénario classique n'est pas le vol d'une passkey — c'est l'ajout d'une passkey de plus. Un attaquant qui obtient un accès temporaire à un compte, par mot de passe fuité ou par session volée, inscrit son propre authentificateur. Il obtient alors un accès durable, résistant au phishing et invisible, qui survivra au changement de mot de passe de la victime.
Les contrôles qui traitent ce scénario :
- Exiger une preuve fraîche au moment de l'inscription d'un nouveau justificatif, pas simplement une session ouverte.
- Notifier hors bande l'utilisateur à chaque ajout, avec un moyen de contestation simple.
- Imposer un délai d'activation pour les justificatifs ajoutés depuis un contexte inhabituel.
- Journaliser les inscriptions au même niveau que les élévations de privilèges — c'est une exigence de traçabilité que NIS2 et DORA rendent concrète en cas d'incident.
- Interdire l'inscription depuis une session obtenue par un facteur plus faible que le justificatif inscrit.
Ce dernier point est le plus structurant : il interdit qu'un facteur de niveau inférieur produise un facteur de niveau supérieur.
Inscrire deux justificatifs, pas un
L'enrôlement est le seul moment où l'utilisateur est attentif, disponible et accompagné. C'est donc le moment d'inscrire un second justificatif sur un support distinct. Le bénéfice est double : la perte d'un appareil cesse d'être un incident de sécurité, et le parcours de récupération, qui est toujours le maillon faible, est sollicité beaucoup moins souvent.
Une organisation qui n'inscrit qu'un justificatif transfère mécaniquement la charge sur son helpdesk et, avec elle, l'exposition à l'ingénierie sociale.
Attestation : savoir ce qui a été inscrit
L'attestation permet au service de connaître le modèle d'authentificateur employé lors de l'inscription. Elle rend possibles des politiques du type « les comptes d'administration n'acceptent que des authentificateurs matériels certifiés ». Son coût est réel : elle complique le parcours, restreint le choix des utilisateurs et soulève des questions de vie privée sur les déploiements ouverts au public.
L'arbitrage raisonnable consiste à différencier par population : attestation exigée sur les comptes à privilèges, attestation optionnelle sur les usages courants.
Le cas de la biométrie à l'enrôlement à distance
Beaucoup de parcours grand public amorcent l'enrôlement par une vérification d'identité à distance : photographie d'un titre, selfie, test de vivacité. La qualité de l'authentification ultérieure est alors plafonnée par celle de cette vérification, désormais confrontée à des visages et des voix synthétiques d'un réalisme croissant.
Deux orientations limitent l'exposition. La première consiste à s'appuyer sur une identité déjà attestée par un tiers qualifié, ce que le règlement eIDAS 2 organise avec le portefeuille européen. La seconde consiste à sortir l'enrôlement du canal attaquable : un enrôlement hors ligne, qui dote l'utilisateur d'une méthode de résolution personnelle, ne peut pas être rejoué par une falsification d'image. C'est l'approche retenue par l'authentification cognitive, où le facteur « je sais faire » est constitué lors d'un moment maîtrisé, puis mobilisé sans jamais transmettre de valeur réutilisable.
FAQ
Peut-on enrôler une passkey entièrement à distance sans dégrader la sécurité ?
Oui, à condition que le facteur d'amorçage ne soit pas plus faible que la passkey elle-même. En pratique cela suppose de s'appuyer sur une identité déjà attestée, ou sur un secret d'enrôlement remis par un canal distinct et à usage unique, avec une fenêtre de validité courte.
Faut-il réenrôler tout le monde lors d'une migration ?
Non, mais il faut décider explicitement du sort des comptes existants. Laisser cohabiter d'anciens facteurs faibles et de nouvelles passkeys sans plan de retrait produit une illusion de sécurité, l'attaquant empruntant systématiquement le chemin le plus faible.
Comment gérer les prestataires et les comptes externes ?
En les traitant comme une population distincte, avec un mode d'amorçage explicite et une durée de validité limitée. Les accès externes cumulent souvent enrôlement rapide, absence d'appareil géré et absence de suivi des départs.
L'attestation est-elle compatible avec le RGPD ?
Elle traite des informations sur le matériel, pas sur la personne, et se justifie par un objectif de sécurité proportionné. Comme toujours, ce sont la finalité, la durée de conservation et l'information des personnes qui doivent être documentées.
Aller plus loin : pilier : authentification cognitive · sécuriser la connexion avec passkey · biométrie faciale à l'enrôlement · panorama du passwordless