Présentées comme l’avenir de l’authentification, les passkeys devaient mettre un terme aux mots de passe compromis, au phishing et aux fuites de données. Google affirme depuis plusieurs années que cette technologie ne peut ni être copiée ni transmise accidentellement à un attaquant. Une nouvelle étude montre pourtant que la réalité est plus nuancée.
Des chercheurs en cybersécurité ont dévoilé une série d’attaques baptisée Pass-ta-key, capable de contourner certaines protections des passkeys synchronisées via Google Password Manager. Si la cryptographie reste intacte, les travaux démontrent qu’un ordinateur déjà infecté par un malware peut compromettre l’écosystème qui entoure ces identifiants.
Les passkeys ne sont pas cassées… mais leur environnement peut l’être
Premier point important : les chercheurs n’ont pas réussi à casser la technologie cryptographique des passkeys. Les attaques visent plutôt la manière dont Google gère la confiance accordée à un appareil, la synchronisation des passkeys, la récupération d’un compte et le processus de validation de l’identité de l’utilisateur.
Autrement dit, le problème ne concerne pas directement la clé cryptographique elle-même, mais l’infrastructure logicielle qui l’utilise. Toutes les attaques décrites nécessitent toutefois une condition essentielle : un logiciel malveillant doit déjà être présent sur l’ordinateur Windows de la victime.
Quand un malware se fait passer pour votre ordinateur
La première méthode, baptisée Pass-ta-key, exploite la relation de confiance entre Chrome, le module de sécurité TPM (Trusted Platform Module) et Google Password Manager. Le malware peut utiliser l’identité matérielle de l’ordinateur pour demander une authentification valide auprès du service cloud de Google.
Le plus préoccupant est que cette opération ne nécessite aucune authentification biométrique, aucun code PIN, aucun déverrouillage de l’appareil et aucune interaction de la victime. Aux yeux de Google, la requête semble provenir d’un ordinateur déjà approuvé.
Les chercheurs ont également constaté que certains sites vérifiaient correctement si l’utilisateur avait réellement validé son identité, tandis que d’autres acceptaient la connexion malgré l’absence de cette vérification. eBay a depuis corrigé cette faille après sa divulgation.
Une attaque encore plus avancée
Les chercheurs décrivent également une variante plus sophistiquée appelée Silver Pass-ta-key. Cette technique permettrait à un attaquant d’enregistrer une clé de validation qu’il contrôle lui-même. Celle-ci est ensuite reconnue comme une preuve légitime que l’utilisateur a confirmé son identité via un code PIN ou une authentification biométrique.
L’attaquant pourrait alors accéder au compte depuis un autre ordinateur, même après que l’appareil d’origine ne soit plus connecté.
Le scénario le plus inquiétant : récupérer la clé maître
La troisième attaque, Golden Pass-ta-key, est de loin la plus préoccupante. Elle cible la clé maître utilisée par Google pour chiffrer toutes les passkeys synchronisées au sein d’un compte. Les chercheurs avaient initialement découvert que cette clé apparaissait en clair dans certains journaux internes de Chrome.
Google a rapidement supprimé cette exposition.
Cependant, selon les chercheurs, cette clé continuerait d’apparaître temporairement dans la mémoire vive de Chrome lors de certaines opérations comme l’enregistrement d’un nouvel appareil ou la récupération d’un compte.
Un malware suffisamment sophistiqué pourrait alors récupérer cette clé maître, déchiffrer les passkeys synchronisées et potentiellement accéder aux futures passkeys associées au même compte. Plus inquiétant encore, les chercheurs indiquent que Google ne propose actuellement aucun mécanisme permettant de révoquer ou de renouveler cette clé maître une fois compromise.
Les passkeys restent malgré tout bien plus sûres que les mots de passe
Ces travaux ne signifient pas que les passkeys sont devenues inutiles. Elles restent largement supérieures aux mots de passe traditionnels face aux attaques les plus courantes : phishing, réutilisation de mots de passe, bases de données compromises et attaques par force brute.
Ce que révèle cette étude, c’est qu’aucune méthode d’authentification n’est totalement invulnérable lorsqu’un appareil est déjà compromis. Dans ce scénario, le malware ne s’attaque pas aux passkeys elles-mêmes, mais exploite les mécanismes qui permettent de les utiliser.
Une nouvelle réalité pour la cybersécurité
L’étude rappelle une règle fondamentale de la sécurité informatique : la robustesse d’une technologie dépend autant de son environnement que de son chiffrement. Les passkeys demeurent aujourd’hui l’une des meilleures alternatives aux mots de passe classiques. En revanche, elles ne peuvent pas protéger un ordinateur déjà infecté par un logiciel malveillant capable d’interagir directement avec le navigateur et le système d’exploitation.
Pour Google, ces recherches constituent un signal important. Après avoir renforcé Chrome en supprimant certaines informations sensibles des journaux internes, le défi consiste désormais à sécuriser davantage les mécanismes de synchronisation et de récupération. À mesure que les passkeys deviennent la norme, ce sont précisément ces composants périphériques qui attireront de plus en plus l’attention des chercheurs… et des cybercriminels.