Un nouveau rapport publié sur la newsletter nonfunctional.substack.com a relancé le débat sur les passkeys, les qualifiant de piège susceptible d'affaiblir le contrôle des utilisateurs sur leur identité numérique. L'article, intitulé « Passkeys are a trap. Do not use them. », soutient que même si les passkeys sont plus sûrs que les mots de passe, ils ne sont pas conçus en tenant compte de l'intérêt des utilisateurs.
Ce rapport paraît alors que de plus en plus de sites et de services imposent les passkeys comme méthode de connexion par défaut, promettant simplicité et sécurité renforcée. L'auteur avertit toutefois que cette technologie, développée par la FIDO Alliance, repose sur un mécanisme caché qui permet aux sites de restreindre progressivement la façon dont les utilisateurs gèrent leurs identifiants.
La FIDO Alliance et ses membres
La FIDO Alliance, qui a inventé les passkeys, est un consortium réunissant de grandes entreprises technologiques, des gouvernements, des agences de renseignement, des banques et même des organisations à but non lucratif comme Mozilla. Selon le rapport, chaque membre poursuit ses propres intérêts : les Big Tech cherchent davantage de revenus publicitaires, les agences de renseignement veulent une traçabilité mondiale, les banques visent à réduire leur responsabilité et les entreprises technologiques plus petites recherchent des solutions peu coûteuses.
Fait notable, aucune association de défense des consommateurs ne siège au sein de la FIDO Alliance, contrairement au World Wide Web Consortium (W3C), qui inclut des groupes d'intérêt public et des universités. Le rapport estime que sans ces voix, les intérêts des utilisateurs ne sont pas fortement représentés dans le développement des passkeys.
Pourquoi certains préfèrent encore les mots de passe
Le rapport reconnaît que les mots de passe sont peu sûrs, citant des exemples comme SolarWinds et son « solarwinds123 », ou un post-it exposant un mot de passe à l'agence de gestion des urgences d'Hawaï. Il souligne cependant que les mots de passe offrent un contrôle intuitif : l'utilisateur choisit où les stocker et avec qui les partager.
