Le NCSC estime que les clés d’accès devraient remplacer les mots de passe comme méthode privilégiée de connexion

Le Centre national de cybersécurité britannique (NCSC) estime que les clés d’accès devraient désormais être le premier choix pour les connexions des particuliers, marquant un changement notable par rapport aux mots de passe traditionnels. L’agence, qui fait partie du GCHQ, affirme que cette technologie est désormais suffisamment mature pour être utilisée à grande échelle et qu’elle offre un moyen plus simple et plus sûr d’accéder aux comptes en ligne.

Les clés d’accès fonctionnent différemment des mots de passe. Au lieu de saisir une suite secrète de caractères, les utilisateurs approuvent la connexion sur leur appareil, souvent à l’aide d’une empreinte digitale, d’une reconnaissance faciale ou du déverrouillage de l’appareil. Selon le NCSC, cela réduit les contraintes pour les utilisateurs tout en rendant beaucoup plus difficile la prise de contrôle des comptes par les cybercriminels.

L’annonce a été faite parallèlement à la publication d’un nouveau rapport technique lors de l’événement CYBERUK, à Glasgow. D’après le NCSC, les clés d’accès sont au moins aussi sûres, et généralement plus sûres, qu’un mot de passe robuste associé à une vérification en deux étapes. L’agence estime que cela est particulièrement important, car de nombreuses attaques visant les particuliers commencent par le vol ou la compromission de données de connexion.

Pourquoi le NCSC soutient les clés d’accès

• Moins vulnérables à l’hameçonnage : les clés d’accès sont conçues pour résister aux techniques courantes utilisées pour dérober les identifiants de connexion.

• Connexion plus rapide : le NCSC indique qu’une connexion avec une clé d’accès peut être plusieurs fois plus rapide qu’avec un mot de passe et un code de vérification.

• Moins de contraintes liées aux mots de passe : les utilisateurs n’ont pas besoin de mémoriser plusieurs mots de passe complexes ni de les modifier régulièrement.

• Des économies potentielles : les fournisseurs de services peuvent réduire leur dépendance à la vérification par SMS, dont l’exploitation peut être plus coûteuse.

Le soutien du secteur s’est également étendu. De grands services tels que Google, eBay et PayPal prennent déjà en charge les clés d’accès, et les données de Google citées par le NCSC suggèrent que le Royaume-Uni figure parmi les marchés où leur adoption est la plus forte : plus de la moitié des utilisateurs Google actifs dans le pays ont enregistré une clé d’accès.

Le NCSC a indiqué avoir attendu avant de recommander les clés d’accès l’année dernière en raison de difficultés de mise en œuvre, mais estime que ces obstacles se sont désormais atténués. Pour les services qui ne prennent pas encore en charge les clés d’accès, l’agence recommande toujours d’utiliser un gestionnaire de mots de passe pour créer des mots de passe robustes et d’activer la vérification en deux étapes.

Ces recommandations s’inscrivent dans le cadre d’une volonté plus large du gouvernement de moderniser l’authentification numérique. Le gouvernement britannique a déjà annoncé son intention d’introduire les clés d’accès dans ses propres services comme alternative à la vérification par SMS.