// CLUBIC — MOBILE & WEB
1Password rend ses clés d'accès parées pour les attaques post-quantiques
À partir de sa version 8.12.44, 1Password prend en charge les passkeys fondées sur ML-DSA, un algorithme de signature conçu pour résister aux ordinateurs quantiques. L’éditeur veut ainsi inciter les sites web à adopter ce format.
Les passkeys, ou clés d’accès, évitent qu’un site stocke un secret partagé, comme un mot de passe, afin qu’ils ne tombent pas entre les mains de pirates lors d’une fuite de données. La cryptographie qui les protège pourrait toutefois être cassée un jour par un ordinateur quantique.
Nous rapportions en mai 2023 que 1Password allait permettre de sauvegarder, gérer et synchroniser les passkeys entre plusieurs écosystèmes. Trois ans plus tard, l'éditeur s'intéresse à leur durée de vie. Un passkey reste souvent utilisé pendant des années, et l'entreprise préfère donc proposer tôt une version résistante au quantique. Celui-ci repose sur ML-DSA, un algorithme de signature numérique standardisé par le NIST en 2024. C’est cette signature qui permet à votre appareil de prouver son identité au site.
Mais les choses vont plus vite que prévu. Et depuis 2023, l’estimation de la puissance nécessaire pour casser ces signatures a changé. À l’époque, il fallait environ 13 millions de qubits physiques (les composants matériels d’un ordinateur quantique) pour venir à bout d’une signature à courbe elliptique, et les gouvernements exigeaient une migration vers des algorithmes post-quantiques d’ici 2035. Avec les progrès de la correction d’erreur et de nouveaux travaux, l’estimation tombe à 26 000. Les ordinateurs quantiques actuels atteignent jusqu’à 6 100 qubits physiques. On est donc encore loin du compte, mais l’écart s’est assez réduit pour que 1Password commence sa migration.
En mai dernier, l’IETF a publié la RFC 9964. Ce document fixe un standard pour coder ML-DSA dans COSE, le format utilisé pour transmettre un passkey au site. Autrement dit, il définit comment écrire les données de l’algorithme dans un format commun, que tous les logiciels lisent de la même façon. Le gestionnaire de mots de passe et le site parlent ainsi le même langage. Le terrain est donc prêt pour l’adoption des passkeys ML-DSA. Encore faut-il que le site comprenne le même algorithme et 1Password ne crée donc des passkeys ML-DSA que pour les sites compatibles. Et l’éditeur entend bien encourager les autres sites à prendre en charge ces passkeys.
1Password précise que les clés d’accès existantes ne sont pas menacées puisqu’à ce jour aucun ordinateur quantique n’est déjà capable de casser la cryptographie actuelle. Reste que l'éditeur travaille avec le W3C et la FIDO Alliance sur une mise à jour des passkeys déjà créés, sans intervention de l’utilisateur. On peut tester ML-DSA sur webauthn.io, en choisissant une variante de l’algorithme dans les réglages avancés avant de créer un passkey et de s'authentifier. Soulignons que la création n'est pas encore possible sur iOS ni via l’extension d’autofill native de macOS, mais l’authentification fonctionne sur toutes les plateformes compatibles.
1Password propose des applications faciles à utiliser et perfectionnées qui fonctionnent sur PC, Mac, Chromebook et smartphones (iOS et Android). Sa fonction Watchtower vous aide à identifier et à modifier les mots de passe faibles, réutilisés ou compromis. Son « mode itinérant » reste original et pratique si vous allez dans des pays un peu trop curieux avec vos données personnelles. En cas de difficultés, vous pouvez contacter le support technique (par email, Twitter ou chat) qui est assez réactif et précis. Pour finir, 1Password est un bon gestionnaire pour une famille ou un groupe d’utilisateurs professionnel. Pour un usage personnel et grand public, d'autres gestionnaires sont gratuits et plus adaptés.