Déployer les passkeys FIDO2 dans Entra ID : méthode, pièges et plan de reprise
Les passkeys sont aujourd'hui le moyen le plus accessible d'offrir une authentification résistante au hameçonnage dans Microsoft 365. Leur déploiement pose pourtant des questions concrètes : quel type de passkey accepter, comment enrôler les utilisateurs, que faire quand l'un d'eux perd son appareil ? Voici une méthode éprouvée.
Pourquoi les passkeys changent la donne
Une passkey repose sur une paire de clés cryptographiques liée au domaine de connexion. Un site de hameçonnage, même parfaitement imité, ne peut pas obtenir de signature valide : c'est ce qui rend la méthode résistante aux attaques de type adversary-in-the-middle, contrairement aux codes à usage unique ou aux notifications push.
Liées à l'appareil ou synchronisées
| Type | Où réside la clé | Point d'attention |
|---|---|---|
| Clé de sécurité FIDO2 | Dans le matériel, non exportable | Coût, logistique, perte physique |
| Passkey dans Microsoft Authenticator | Sur le téléphone, liée à l'appareil | Dépend du parc mobile |
| Passkey synchronisée | Dans un gestionnaire de mots de passe ou le trousseau du fournisseur | La sécurité dépend du compte de synchronisation |
La prise en charge des passkeys synchronisées dans Entra ID évolue ; vérifiez le périmètre et le statut actuels avant d'arrêter votre politique. Pour les comptes privilégiés, privilégiez des passkeys liées à l'appareil.
Restreindre les authentificateurs acceptés
Dans la stratégie des méthodes d'authentification, la méthode passkey (FIDO2) permet d'appliquer l'attestation et de restreindre les modèles autorisés par leur AAGUID, l'identifiant du modèle d'authentificateur. Une liste d'autorisation garantit que seuls les modèles validés par l'organisation sont enregistrés. Pensez à y inclure les AAGUID de Microsoft Authenticator si vous l'utilisez, faute de quoi l'enrôlement échouera.
Un déploiement en quatre étapes
- Pilote : l'équipe IT et les administrateurs, avec plusieurs systèmes d'exploitation et navigateurs, pour repérer les incompatibilités.
- Enrôlement : un Temporary Access Pass (TAP) permet à un nouvel arrivant d'enregistrer sa passkey sans jamais avoir eu de mot de passe. Limitez sa durée de validité et, si possible, rendez-le à usage unique.
- Exigence : une force d'authentification « MFA résistante au hameçonnage » dans l'accès conditionnel, d'abord pour les rôles d'administration, puis pour les applications sensibles.
- Généralisation : campagnes par service, en surveillant les journaux de connexion.
Plan de reprise. Encouragez chaque utilisateur à enregistrer au moins deux passkeys, et documentez la procédure de délivrance d'un TAP par le support, avec vérification d'identité. Un TAP délivré sans contrôle devient à son tour un vecteur d'usurpation.
Les pièges fréquents
- Exiger une méthode résistante au hameçonnage sans exclure les comptes d'urgence.
- Laisser d'autres méthodes faibles actives : l'attaquant choisira la plus faible.
- Oublier les scénarios particuliers : postes partagés, appareils sans Bluetooth pour l'authentification multi-appareils, applications anciennes.
- Autoriser la création de TAP par un trop grand nombre d'administrateurs.
Ce qu'un audit vérifie
- L'activation de la méthode passkey et les paramètres d'attestation et de restriction.
- La configuration du TAP : durée, usage unique, rôles autorisés à le délivrer.
- Les stratégies d'accès conditionnel exigeant une force résistante au hameçonnage.
- La proportion de comptes privilégiés disposant effectivement d'une passkey.