Comme solution de rechange aux mots de passe, les clés d’accès offrent une approche moderne permettant aux utilisatrices et utilisateurs de se connecter à des comptes. Les clés d’accès sont généralement déverrouillées à l’aide de méthodes biométriques (par exemple, les empreintes digitales ou la reconnaissance faciale) ou d’un numéro d’identification personnel (NIP) comme un moyen plus rapide et plus sécuritaire de vérifier l’identité de l’utilisatrice ou utilisateur et la preuve de possession.
Sur cette page
Fonctionnement des clés d'accès en lien à la cybersécurité
L'utilisation de clés d'accès est comparable à l'usage d'un ensemble de deux clés distinctes pour déverrouiller une porte; la seule différence est qu'ici les clés (et la porte) sont numériques. Lorsque vous vous inscrivez à un service et créez un compte, une paire de clés numériques est créée. Une clé vous appartient (clé privée) et l'autre est conservée par le fournisseur de services (clé publique). Il est possible de stocker votre clé sur un périphérique tels un téléphone intelligent, une tablette ou un ordinateur portable. Elle peut aussi être stockée sur un jeton matériel spécial conçu pour conserver les clés. Selon le cas, il est possible de copier votre clé sur plusieurs appareils, ce qui vous permet d'accéder au service à partir de chacun d'eux.
Votre clé sert à prouver au fournisseur de services votre identité lorsque vous vous connectez. Cette clé est unique et vous devriez être la seule personne à y avoir accès. Le fournisseur de services se sert de sa clé pour confirmer que vous êtes bien la personne que vous prétendez être. Si quelqu'un obtient illicitement votre clé, cette personne peut l'utiliser pour se faire passer pour vous; c'est la raison pour laquelle votre clé est stockée dans un emplacement sécurisé sur votre appareil. Pour utiliser votre appareil, vous devez le déverrouiller. Cela se fait habituellement à l'aide d'un NIP ou de la biométrie, ce qui est en principe plus facile à utiliser qu'un mot de passe.
Les clés d'accès reposent sur la spécification d'authentification Web, la norme technique qui rend possible l'authentification sans mot de passe. L'authentification Web permet un processus d'enregistrement sécurisé ainsi que l'utilisation de justificatifs d'identité à clé publique, et elle définit la façon dont les navigateurs et les sites Web communiquent avec des authentifiants.
Avantages des clés d'accès
Une clé d'accès est une clé numérique qui est entreposée de façon sécuritaire sur vote appareil ou ordinateur. Elle peut être déverrouillée à l'aide d'un NIP ou de la biométrie, ce qui rend son utilisation plus pratique qu'un mot de passe. Bien que les clés d'accès s'inscrivent dans une stratégie de défense par couches, elles peuvent réduire les attaques par hameçonnage, car aucun mot de passe n'est transmis au fournisseur de services. Les clés sont plutôt utilisées pour établir un canal sécurisé.
De plus, la compromission d'un site Web public ou d'une application n'entraîne pas nécessairement une compromission des justificatifs d'identité. Advenant la compromission d'un site Web public ou d'une application, un auteur de menace n'obtiendrait que la clé publique associée au compte. Par leur conception, les clés publiques ne peuvent pas être utilisées pour authentifier ou obtenir un accès sans la clé privée correspondante. Toutefois, il est recommandé de remplacer la paire de clés si une compromission est confirmée afin de se protéger contre les risques secondaires.
Certaines clés d'accès sont synchronisées, comme celles qui se trouvent dans les gestionnaires de mots de passe, alors que d'autres sont liées à un appareil, comme une YubiKey. Dans la plupart des cas, les clés d'accès peuvent être utilisées pour accéder à un seul compte à partir de plusieurs appareils d'utilisatrices et utilisateurs de confiance. Dans un tel cas, des paires de clés publique-privée distinctes sont établies pour chaque appareil.
En général, les clés d'accès offrent une sécurité accrue par rapport aux méthodes d'authentification traditionnelles, comme les mots de passe.
Considérations liées à la sécurité pour les clés d'accès
Bien que les clés d'accès offrent un mécanisme d'authentification résistante à l'hameçonnage, plusieurs considérations de sécurité doivent être prises en compte par votre organisation. Une action en matière de sécurité fondamentale touchant les clés d'accès est d'assurer la sécurité des clés privées.
Votre organisation devrait tenir compte des facteurs de sécurité suivants en mettant en œuvre des clés d'accès :
- des enjeux d'accessibilité à du soutien sur les sites Web et applications publics, en raison du fait que la prise en charge n'est pas encore universelle;
- des enjeux d'utilisabilité en raison de l'authentification entre plusieurs appareils dans différents environnements, comme des systèmes d'exploitation mixtes, qui peuvent mener à une expérience utilisateur contradictoire;
- un manque de capacités pour soutenir les appareils plus anciens ou qui ne sont pas pris en charge, car ces appareils peuvent ne pas être en mesure de stocker adéquatement des clés privées;
- une protection continue des appareils par l'application régulière de correctifs et de mises à jour pour protéger les vulnérabilités;
- des considérations de sécurité post-quantiques dans le cadre de leur mise en œuvre.
Lorsque des organisations transitionnent vers des clés d'accès, il est essentiel d'évaluer le nouveau contexte des risques qu'elles présentent. Cela comprend les vulnérabilités de mise en œuvre, les tactiques des auteurs de menace en constante évolution et les répercussions liées aux autres méthodes d'authentification.
Vulnérabilités de mise en œuvre
Les clés d'accès s'appuient sur plusieurs composants cryptographiques et d'authentification. Comme c'est le cas pour tout contrôle de sécurité, une conception, une configuration et une mise en œuvre incorrectes peuvent introduire des vulnérabilités. Bien qu'elle soit indépendante du contrôle de l'utilisatrice ou utilisateur, la sécurité générale des clés d'accès est tributaire de la mise en œuvre adéquate, de l'intégration sécurisée et de la maintenance continue des algorithmes et technologies sous-jacents.
Chaque demande d'authentification comporte ce qui suit :
- des données signées par une clé privée;
- des indicateurs pour signaler la « présence d'utilisatrices et utilisateurs » et la « vérification de l'utilisatrice ou utilisateur »;
- un compteur de signatures incrémentiel visant à empêcher le clonage des authentifiants.
Il est essentiel que des vérifications soient effectuées par des parties de confiance (notamment les propriétaires des sites Web et des applications) afin de confirmer la présence de ces composants en se servant du logiciel de gestion correspondant.
Les parties de confiance ne peuvent pas facilement faire la distinction entre une clé d'accès stockée sur un module de plateforme fiable (liée à un appareil) et une clé d'accès stockée dans un compte infonuagique personnel. Si un compte infonuagique dispose d'une sécurité inadéquate ou s'appuie sur un mécanisme d'authentification faible, la clé d'accès peut être plus facile à obtenir.
Tactiques des auteurs de menace en constante évolution
Avec la généralisation des clés d'accès, les auteurs de menace adaptent leurs tactiques. Certaines des principales tactiques utilisées par les auteurs de menace, plus particulièrement pour voler les clés d'accès, comprennent :
- l'exploitation de vulnérabilités de mise en œuvre;
- le détournement de sessions, une attaque au cours de laquelle les auteurs de menace prennent le contrôle de la session en ligne de l'utilisatrice ou utilisateur après qu'il a authentifié ses justificatifs d'identité;
- l'utilisation d'un maliciel pour déclencher discrètement l'interface API d'authentification Web si l'utilisatrice ou utilisateur n'effectue pas une vérification active de la demande d'authentification;
- l'élaboration de méthodes pour contourner les systèmes d'authentification sans mot de passe;
- l'exécution d'une falsification de requête intersites, une attaque consistant à profiter du navigateur de la victime pour déclencher, à son insu, une authentification ou un enregistrement au profit de l'attaquant.
Autres options de connexion
Bien que l'option de faire appel à des clés d'accès est désormais largement répandue, beaucoup de systèmes conservent quand même les mots de passe ou autres méthodes traditionnelles. Les clés d'accès vous permettent de vous connecter rapidement et en toute sécurité, mais en cas d'échec de la clé d'accès, une utilisatrice ou un utilisateur (ou auteur de menace) peut avoir recours à des mots de passe ou à d'autres facteurs d'authentification comme autre façon de se connecter. La disponibilité continue des méthodes d'authentification de rechange présente un risque accru de compromission et peut limiter votre posture de sécurité globale.
En l'absence de clés d'accès, il est fortement recommandé à votre organisation et à vous d'avoir recours à l'authentification multifacteur (AMF), dans la mesure du possible, pour protéger vos données et vos services opérationnels à valeur élevée contre les auteurs de menace. L'AMF exige au moins deux facteurs d'authentification différents pour vérifier l'identité de l'utilisatrice ou utilisateur pendant le processus de connexion. Les facteurs d'authentification en question peuvent être une combinaison :
- de ce que les utilisatrices et utilisateurs connaissent (par exemple, un mot de passe ou un NIP),
- de ce qu'ils ont (par exemple, une carte à puce ou une clé de sécurité),
- d'une caractéristique physique (par exemple la biométrie, comme l'empreinte digitale ou la reconnaissance faciale).
Bien qu'elle ne soit pas une mesure de protection infaillible, l'AMF renforce considérablement la sécurité en augmentant l'effort requis de la part des auteurs de menace.
Pour en savoir plus
- Étapes à suivre pour déployer efficacement l'authentification multifacteur (AMF) (ITSAP.00.105)
- Bulletin conjoint sur la gestion des clés cryptographiques et des secrets
- Sécurisez vos comptes et vos appareils avec une authentification multifacteur (ITSAP.30.030)
- Biométrie (ITSAP.00.019)
- Préparez votre organisation à la menace que pose l'informatique quantique pour la cryptographie (ITSAP.00.017)
- Conseils sur la mise en œuvre de l'agilité cryptographique (ITSAP.40.018)