Apple, Google et Microsoft ont fait en sorte que les passkeys se synchronisent entre les appareils — et entre les plateformes

En 2022, le mot de passe était la faille de sécurité la mieux documentée d'Internet : des identifiants faibles et faciles à deviner intervenaient dans plus de 80 % des violations de données, selon le rapport annuel sur les violations de Verizon cité par TechCrunch. La FIDO Alliance et le W3C disposaient d'une réponse technique depuis 2018 — WebAuthn, qui signe chaque site avec une paire de clés générée sur l'appareil de l'utilisateur, de sorte que les serveurs ne détiennent aucun secret qui vaille la peine d'être volé et que les pages d'hameçonnage ne récoltent rien. Pourtant, la connexion sans mot de passe restait un créneau réservé aux clés de sécurité d'entreprise.

Le blocage était logistique, non cryptographique. Un identifiant FIDO vivait sur un seul appareil et devait être réenregistré site par site sur chaque nouveau téléphone ou ordinateur portable, si bien qu'une personne ordinaire possédant trois appareils ne s'en serait jamais donné la peine. À l'occasion de la Journée mondiale du mot de passe, le 5 mai 2022, Apple, Google et Microsoft se sont engagés conjointement à corriger exactement cela dans l'année : les passkeys se synchroniseraient entre les appareils d'un utilisateur, un téléphone pourrait se connecter aux applications d'un ordinateur à proximité, et l'ensemble fonctionnerait entre macOS/Safari, Android/Chrome et Windows/Edge — une passkey d'iPhone se connectant à Chrome sur un PC Windows.

Deux mois plus tard, à la WWDC, Apple a intégré les passkeys dans les bêtas d'iOS 16 et de macOS Ventura et a même doté la fonctionnalité d'une icône. Et en août 2022, le vice-président identité de Microsoft, Alex Simons, a confirmé la troisième pièce : les trois entreprises utiliseraient le nom commun « passkey » — et non « authentification FIDO » — afin que les utilisateurs ordinaires rencontrent un seul nom, quel que soit l'appareil qu'ils tiennent. Personne n'a revendiqué ce mot comme une marque.

Pourquoi cela a fonctionné : les trois rivaux ne possèdent pas la norme FIDO, mais ils en possèdent la distribution — systèmes d'exploitation, navigateurs et clouds d'identifiants déjà présents sur des milliards d'appareils. Un engagement simultané et multiplateforme a transformé un protocole resté en panne pendant quatre ans en une fonctionnalité réellement mise entre les mains des gens. La directrice de la CISA, Jen Easterly, a publiquement salué cette initiative comme un relèvement du niveau de base de la cybersécurité.

Synchroniser l'identifiant comme un mot de passe — tout en le gardant à l'épreuve de l'hameçonnage

L'ancien modèle de déploiement FIDO exigeait un réenregistrement par appareil et par site, ce qu'aucun consommateur multi-appareils n'aurait jamais fait ; la synchronisation cloud a ramené ce coût à zéro tout en conservant la résistance à l'hameçonnage.

Les trois fournisseurs de plateformes se sont engagés en même temps, de sorte qu'aucun utilisateur n'a été confronté à un silo propriétaire sans mot de passe — le problème des silos est ce qui a tué les schémas antérieurs à fournisseur unique.

S'accorder sur « passkey » comme simple nom commun a donné à la norme un nom unique tourné vers le consommateur ; le dernier kilomètre d'une norme technique, c'est le vocabulaire.

Utiliser le téléphone comme authentificateur itinérant a permis aux ordinateurs portables plus anciens d'adopter la technologie sans acheter de clés de sécurité matérielles.

Quand une norme s'enlise, examinez le parcours d'enregistrement, pas la spécification. Le protocole de 2018 était achevé ; ce qui comptait en 2022, c'était la synchronisation, un lancement conjoint et un nom simple. La distribution était la douve.

Apple a présenté les passkeys à la WWDC 2022 et les a intégrées dans les bêtas d'iOS 16 et de macOS Ventura cet été-là ; Google a indiqué que les outils de développement Android s'ouvriraient « vers la fin de 2022 » ; Microsoft s'est engagé à permettre la connexion aux comptes Microsoft via des passkeys de téléphone « dans un avenir proche ». En août 2022, les trois avaient également convergé sur le nom « passkey », et le directeur de la CISA a qualifié l'engagement conjoint de jalon pour relever le niveau de base de la sécurité des États-Unis.