Les passkeys, suppos\u00e9s rem\u00e8de ultime contre le phishing, viennent d\u2019encaisser un s\u00e9rieux revers. Trois failles d\u00e9couvertes lors de la conf\u00e9rence Black Hat de Las Vegas ont mis \u00e0 jour des vuln\u00e9rabilit\u00e9s critiques dans les syst\u00e8mes de Microsoft, Google et Apple. Ces d\u00e9couvertes, bien que ne touchant pas la cryptographie elle-m\u00eame, soul\u00e8vent des questions urgentes sur la s\u00e9curit\u00e9 des environnements num\u00e9riques.<\/p>\n
La premi\u00e8re faille, identifi\u00e9e par le chercheur Michael Grafnetter, r\u00e9v\u00e8le une vuln\u00e9rabilit\u00e9 dans les journaux d\u2019\u00e9v\u00e9nements de Windows (CVE-2026-34348). Ces journaux, qui conservent des signatures de cl\u00e9s de s\u00e9curit\u00e9 physiques en clair, sont accessibles \u00e0 distance par des utilisateurs authentifi\u00e9s. Un attaquant peut ainsi usurper des comptes en r\u00e9utilisant ces signatures, contournant les politiques de s\u00e9curit\u00e9 d\u2019Entra ID. Cette faille, corrig\u00e9e le 14 juillet, montre que m\u00eame un syst\u00e8me apparemment inviolable peut avoir des failles de conception.<\/p>\n
Le second point de vuln\u00e9rabilit\u00e9 concerne Chrome sous Windows. Un secret de 32 octets, prot\u00e9geant les cl\u00e9s d\u2019acc\u00e8s synchronis\u00e9es d\u2019un compte, transitait temporairement par la m\u00e9moire du navigateur lors d\u2019une r\u00e9inscription d\u2019appareil. Un logiciel malveillant install\u00e9 sur la machine peut alors acc\u00e9der \u00e0 ce secret, exposant toutes les cl\u00e9s priv\u00e9es associ\u00e9es. Ce risque est d\u2019autant plus grave que ce secret ne peut \u00eatre r\u00e9voqu\u00e9, laissant la compromission persistante.<\/p>\n
La troisi\u00e8me faille, d\u00e9couverte par Dirk-jan Mollema, porte sur Windows Hello Entreprise. Bien que la cl\u00e9 soit prot\u00e9g\u00e9e par une puce de s\u00e9curit\u00e9, un logiciel malveillant peut s\u2019en servir sans r\u00e9clamer de code PIN ou de biom\u00e9trie. Le d\u00e9fi envoy\u00e9 par Entra ID reste valable pendant cinq minutes, permettant \u00e0 un attaquant de le r\u00e9clamer depuis son propre poste, de le signer sur la machine de la victime, et d\u2019acc\u00e9der au compte. Ces attaques, bien que n\u00e9cessitant une infection pr\u00e9alable, soulignent une faille structurelle : la s\u00e9curit\u00e9 d\u00e9pend de l\u2019environnement autour de la cl\u00e9, pas de la cl\u00e9 elle-m\u00eame.<\/p>\n
La FIDO Alliance et Microsoft assurent que la cryptographie reste intacte, mais les chercheurs insistent sur le fait que ces vuln\u00e9rabilit\u00e9s ne sont pas des failles techniques, mais des lacunes de conception. La transition vers les passkeys via Entra ID, qui commence le 1er septembre 2023, impose une vigilance accrue. Les utilisateurs sont encourag\u00e9s \u00e0 installer les mises \u00e0 jour Windows, \u00e0 surveiller les logiciels install\u00e9s, et \u00e0 privil\u00e9gier des cl\u00e9s physiques pour les comptes les plus sensibles. Alors que les passkeys restent nettement sup\u00e9rieurs aux mots de passe, ces d\u00e9couvertes rappellent que la s\u00e9curit\u00e9 num\u00e9rique est un \u00e9quilibre d\u00e9licat entre innovation et pr\u00e9caution.<\/p>\n