Passkeys - Accès crypté au lieu d'utiliser un mot de passe

Qu'est-ce qu'un passe-partout ? Certains d'entre vous se demandent probablement qu'après la WWDC22 et à l'approche de la sortie d'iOS 16, iPadOS 16, macOS Ventura and Co. J'ai répertorié la réponse à cette question ci-dessous. Ce faisant, je n'aborde pas seulement les avantages promis aux utilisateurs de la technologie Passkey. Je montre également des sources qui pourraient être intéressantes pour les développeurs. Parce que la connexion avec des mots de passe dans Applications et sur les sites Web, selon Apple, peut être facilement mis en œuvre ; l'"Authentication Services API" est proposée pour cela.

Qu'est-ce qu'un passe-partout ?

Les clés d'accès sont destinées à remplacer les mots de passe précédemment utilisés pour se connecter aux applications ou aux sites Web. Le tout devrait fonctionner de la même manière que le remplissage automatique des champs de connexion et la confirmation via Face ID ou Touch ID. Pour les utilisateurs d'appareils Apple et du trousseau iCloud, il n'y a pratiquement aucune différence avec la procédure précédente lors de l'utilisation de cette nouvelle méthode de connexion. 

Cependant - et c'est en fait une différence - les clés d'accès sont des clés d'accès cryptées qui sont créées individuellement et une fois pour chaque compte. Ils sont cryptés de bout en bout et ne peuvent être utilisés qu'avec le service respectif, dans l'application correspondante ou sur le site Web. Cela rend difficile Phishing via de faux sites Web ou d'autres masques de saisie. Ainsi, une clé d'accès est beaucoup plus sûre qu'un mot de passe.

Voici comment fonctionnent les clés d'accès

Lors de la création d'un compte pour une application ou un site Web, le système d'exploitation (iOS, macOS, iPadOS, etc.) génère une paire de clés cryptées. Celui-ci se compose d'une clé publique qui est stockée sur un serveur et d'une clé qui n'est utilisée que localement. La norme WebAuthentication, WebAuthn en abrégé, est utilisée pour cela. De plus, les fournisseurs de plateformes travaillent par l'intermédiaire de l'Alliance FIDO pour s'assurer que les clés de sécurité fonctionnent sur toutes les plateformes sur une grande variété d'appareils.

Les clés d'accès peuvent être considérées comme une paire de clés. Vous avez une clé, à savoir celle créée de manière unique et fortement cryptée. La clé associée, publique et non protégée, appartient à l'opérateur du service que vous souhaitez utiliser. Ce n'est que lorsque les deux seront réunis que la porte s'ouvrira et que vous aurez accès à votre compte et aux offres auxquelles vous pouvez accéder (shopping, contenu de l'application, banque en ligne, etc.). 

Pourquoi les clés d'accès sont-elles plus sûres que les mots de passe ?

Les mots de passe peuvent être obtenus auprès de personnes imprudentes par la pêche ou d'autres méthodes. Mais même les utilisateurs prudents peuvent par exemple Spyware surveillés, qui peuvent également révéler leurs mots de passe. Et même si vous n'utilisez que Touch ID et Face ID sur Mac et iPhone pour vérifier la saisie semi-automatique, les mots de passe sont toujours sur le serveur du service que vous souhaitez utiliser.

Étant donné que la propre clé d'accès de l'utilisateur ne ressemble à aucune autre clé (contrairement aux mots de passe qui sont utilisés plusieurs fois) et qu'elle est fortement cryptée et stockée sur un stockage local sécurisé, il est pratiquement impossible de la pirater. Selon Apple, les mots de passe et les clés d'accès stockés dans iCloud peuvent être protégés et récupérés même si le compte a été piraté, s'il y a eu une attaque externe ou si les employés y ont accès. Plus d'informations peuvent être trouvées dans le document d'assistance "Informations de sécurité de la clé de passe" avec le numéro HT213305.

Informations pour les développeurs qui souhaitent utiliser des clés de sécurité

Les clés de sécurité sont solides, ne peuvent pas être devinées et ne sont pas réutilisées. Ce sont des arguments qu'Apple sur la page développeur correspondante attache. Si vous souhaitez implémenter la méthode de connexion, vous pouvez la lire là-bas et vous trouverez également une référence à l'API des services d'authentification mentionnée ci-dessus. Des exemples de codes peuvent également être consultés pour faciliter la mise en œuvre. Avec ce lien Si vous êtes intéressé, vous trouverez également des vidéos de WWDC21 et WWDC22 qui traitent des clés de sécurité et de leur utilisation (dans votre propre application). Vous pouvez également retrouver les vidéos dans Développeur App.

Johannes Domke

Après avoir obtenu son diplôme d'études secondaires, Johannes a effectué un apprentissage en tant qu'assistant commercial spécialisé dans les langues étrangères. Après cela, cependant, il a décidé de faire de la recherche et de l'écriture, à partir desquelles il est devenu indépendant. Il travaille entre autres pour Sir Apfelot depuis plusieurs années maintenant. Ses articles incluent des lancements de produits, des actualités, des tutoriels, des jeux vidéo, des consoles et plus encore. Il suit Apple Keynotes en direct via le flux.