Les passkeys de Google viennent de perdre leur réputation d’invulnérables, voici pourquoi

Les passkeys sont présentées depuis des années comme la fin définitive du mot de passe. Des chercheurs viennent pourtant de démontrer trois façons de les détourner sur Windows. La plus grave donne accès à toutes les clés d’un compte Google d’un seul coup.

Les passkeys remplacent peu à peu les mots de passe sur les grands services en ligne. Cette méthode repose sur une paire de clés cryptographiques stockées sur l’appareil, validée par une empreinte ou un code PIN. Les géants du secteur poussent tous dans la même direction, et le Gestionnaire de mots de passe Google prépare un transfert simplifié des passkeys d’un smartphone à l’autre. La synchronisation entre plusieurs appareils reste le principal argument de confort de cette technologie.

Des chercheurs en cybersécurité viennent pourtant de fragiliser cette promesse. Ils ont mis au point trois attaques capables de détourner les passkeys synchronisées par le Gestionnaire de mots de passe Google sur les PC Windows. Aucune ne casse la cryptographie sous-jacente. Toutes exigent en revanche un ordinateur déjà infecté par un logiciel malveillant. En avril, les données personnelles de milliers d’internautes ont été siphonnées par 108 extensions Google Chrome.

Le Gestionnaire de mots de passe Google laisse échapper la clé maîtresse de toutes les passkeys

Les trois techniques visant le Gestionnaire de mots de passe Google portent le nom de Pass-ta-key. Selon Unit 42, l’équipe de recherche de Palo Alto Networks, la première permet à un malware d’usurper l’identité d’un PC Windows de confiance et d’obtenir une connexion valide, sans empreinte ni code PIN. La deuxième enregistre une clé de vérification contrôlée par l’attaquant. La troisième extrait de la mémoire de Chrome la clé maîtresse de 32 octets qui protège l’ensemble des passkeys. Elle déchiffre alors toutes les clés du compte, y compris celles créées plus tard.

Google a retiré ce secret des journaux internes de Chrome après le signalement des chercheurs. La clé transite toutefois encore par la mémoire du navigateur pendant quelques instants. Aucun mécanisme ne permet aujourd’hui de la renouveler ou de la révoquer, si bien qu’un vol reste valable pour les clés créées ensuite. Les passkeys conservent malgré tout leur avantage décisif contre le phishing. Leur solidité dépend surtout de l’état de la machine sur laquelle elles sont utilisées. Installer les mises à jour et éviter les téléchargements douteux reste la meilleure protection.