Authentification : la longue maturation des clés de sécurité physiques

Les mots de passe, bientôt facultatifs sur Twitter ? L’entreprise entend proposer « prochainement » une telle option d’authentification. Elle reposerait sur des clés de sécurité physiques. Cette solution devient d’autant plus envisageable que le réseau social permet désormais d’en enregistrer plusieurs sur un même compte.

La prise en charge de ce type de clés sur Twitter avait démarré à la mi-2018. L’authentification reposait alors sur la norme FIDO U2F. Un an plus tard, on basculait vers FIDO2 et son implémentation WebAuthn, fondée sur la cryptographie à clés publiques.

Twitter n’a pas encore cassé les codes

Il avait fallu attendre fin 2020 pour voir WebAuthn arriver sur les applications mobiles du réseau social. Restait alors la limite d’une clé par compte… pas forcément appropriée au regard des bonnes pratiques, qui invitent à disposer d’une clé de réserve.

Dans ce contexte, Twitter imposait, jusqu’alors, d’enregistrer un autre moyen d’authentification secondaire. Soit un numéro de téléphone, soit une application, pour recevoir, dans les deux cas, des codes à usage unique et à durée limitée. Ce qui, au final, abaissait d’autant le niveau de sécurité du compte, ces codes étant considérés comme plus fragiles, car exposés notamment au phishing.

On aurait pu penser que cette exigence disparaîtrait avec la possibilité d’enregistrer plusieurs clés physiques. Ce n’est pour le moment pas le cas.
Pourquoi, alors, ne pas faire un double de sa clé ? De manière générale, elle sont conçues pour empêcher cette pratique : les secrets ne s’écrivent qu’une seule fois, à quelques exceptions près selon les modèles de clés.

Illustration principale © Rawpixel.com – Adobe Stock