Depuis quatre ans, Apple, Google et Microsoft répètent la même antienne : le mot de passe est mort, la clé d’accès prend le relais. L’argument technique est solide, puisque la clé privée ne quitte jamais l’appareil et que l’adresse du site est intégrée au défi cryptographique, ce qui rend inopérante une fausse page de connexion. Trois équipes ont pourtant démontré, autour de la conférence Black Hat de Las Vegas, qu’on pouvait obtenir le résultat qui intéresse un attaquant sans jamais s’attaquer aux mathématiques.
Lire aussi : Passkeys – tout comprendre sur la nouvelle arme anti-piratage qui va mettre vos mots de passe à la retraite
Comment contourner une protection sans casser son chiffrement ?
Le premier travail a été présenté le 5 août par le chercheur Michael Grafnetter. Son constat est presque banal : Windows conservait en clair, dans ses journaux d’événements, d’anciennes signatures produites par des clés de sécurité physiques. Ces journaux étaient lisibles par des utilisateurs authentifiés sans privilèges particuliers, y compris à distance. Rejouées face aux vérifications d’Entra ID, la plateforme d’identités professionnelles de Microsoft, ces signatures permettaient d’usurper des comptes à privilèges tout en satisfaisant les politiques exigeant une authentification résistante à l’hameçonnage. La faille Windows porte la référence CVE-2026-34348, affiche un score de 6,5 sur 10 et son correctif est arrivé le 14 juillet, soit le dernier rendez-vous de mises à jour avant la conférence. Le calendrier a le sens du timing.
Le deuxième ensemble d’attaques vise le gestionnaire de mots de passe de Google dans Chrome sous Windows, et suppose un logiciel malveillant déjà installé sur la machine, sans élévation de privilèges. La variante la plus sévère cible un secret de 32 octets qui protège l’ensemble des clés d’accès synchronisées d’un compte. Ce secret a d’abord été trouvé dans les journaux de Chrome (Google l’en a retiré depuis), mais il transiterait encore temporairement par la mémoire du navigateur lors d’une réinscription d’appareil. Celui qui met la main dessus récupère les clés privées synchronisées de sa victime. Et comme ce secret ne peut être ni renouvelé ni révoqué, la compromission ne s’efface pas d’un changement de mot de passe.
Le troisième travail, signé du chercheur indépendant Dirk-jan Mollema, concerne Windows Hello Entreprise. La clé est protégée par la puce de sécurité de la machine et ne peut pas en être extraite. Cela n’empêche pas un programme peu privilégié, tournant dans une session déjà ouverte, de s’en servir sans nouvelle demande de code PIN ni de biométrie. Le défi envoyé par Entra ID resterait valable cinq minutes, sans être rattaché à une session, à un utilisateur ni à une organisation. Un attaquant peut donc le réclamer depuis son poste, le faire signer sur la machine de la victime, puis rentrer par la grande porte.
Faut-il pour autant fuir les clés d’accès ?
Ces trois scénarios ne disent pas que les clés d’accès sont cassées. Ils disent que la promesse s’arrête à la porte de l’appareil : deux des trois chaînes d’attaque supposent une machine déjà infectée, et aucune ne casse le protocole. La FIDO Alliance, qui pilote la norme, conteste d’ailleurs les lectures les plus alarmistes en rappelant qu’un navigateur compromis n’invalide pas la cryptographie. Microsoft assure de son côté avoir « appliqué des mesures d’atténuation » et recommande le principe du moindre privilège. C’est formulé poliment.
Reste que la mécanique employée n’a rien d’inédit, et c’est peut-être le plus troublant. Rejouer un élément d’authentification déjà signé au lieu de voler le secret d’origine, c’est exactement le principe des attaques par relais qui hantent les réseaux Windows depuis une vingtaine d’années. La technologie a changé, la faiblesse est restée au même endroit : dans ce qui entoure la clé, pas dans la clé elle-même. Deux grandes familles de clés d’accès coexistent par ailleurs. Celles qui sont synchronisées dans le nuage suivent l’utilisateur d’un appareil à l’autre, celles qui restent liées au matériel ne bougent pas. Les premières sont plus pratiques, les secondes n’ont pas de secret maître à perdre.
À partir du 1er septembre, les comptes professionnels Entra ID configurés pour recevoir un code par message ou par appel basculeront automatiquement vers les clés d’accès. Leurs titulaires seront invités à en créer une. La livraison des codes par SMS et par appel s’arrêtera le 1er février 2027. Autant dire que la question n’est plus vraiment de savoir si vous allez y passer.
Pour vous, la marche à suivre ne change pas d’un iota : les clés d’accès restent nettement supérieures aux mots de passe, elles éliminent la fausse page de connexion et le recyclage d’identifiants. Simplement, un ordinateur vérolé annule une partie de la promesse. Installez les mises à jour Windows, gardez un œil sur ce qui s’exécute sur votre machine, et réservez si possible une clé physique à vos comptes les plus sensibles.
👉🏻 Suivez l’actualité tech en temps réel : ajoutez 01net à vos sources sur Google, et abonnez-vous à notre canal WhatsApp.
Source : The Hacker News
