auth7 sept. 2026 · 8 min de lecture · par Flavien

La clé physique

Une clé privée qui ne sort jamais de sa puce, et un doigt exigé à chaque signature. Ce que ça ferme, ce que ça coûte, et pourquoi deux clés.

La clé est sur ton porte-clés, entre celle de la boîte aux lettres et celle du garage. Tu la glisses dans le port USB, tu tapes un code à quatre chiffres, tu poses le doigt sur le disque métallique. Le site s'ouvre. La clé privée qui vient de signer n'a jamais quitté la puce, et aucune commande du protocole ne permet de l'en faire sortir.

On demande d'habitude laquelle est la plus sûre, de la clé physique ou de la clé d'accès synchronisée. Ce n'est pas là que ça mord. Les deux refusent le mauvais domaine, et ce qui les sépare tient dans une seule propriété : la clé physique ne sort pas de son objet. C'est ce qui fait sa valeur, et c'est exactement ce qui rend sa perte définitive.

D'où ça vient

Yubico est fondée à Stockholm en 2007. La première YubiKey sort en 2008, présentée sur le podcast Security Now : branchée en USB, elle se fait passer pour un clavier et tape un code à usage unique. Rien de cryptographique côté site, juste un secret partagé qu'aucun humain n'a besoin de retenir.

En 2012, Yubico et Google signent un contrat pour concevoir ensemble U2F. La FIDO Alliance publie les spécifications finales le 9 décembre 2014. U2F apporte la couche qui manquait au code à usage unique : une paire de clés par site, une signature au lieu d'un code recopiable, la vérification du domaine par l'objet lui-même.

Début 2017, Google impose la clé physique à tous ses employés, à la place des mots de passe et des codes à usage unique. En juillet 2018, un porte-parole déclare à Krebs on Security : « We have had no reported or confirmed account takeovers since implementing security keys at Google. » Plus de 85 000 personnes, aucun compte pris. Le même mois, Google annonce sa propre clé, Titan, à la conférence Cloud Next.

FIDO2 franchit le dernier pas, en associant WebAuthn côté navigateur à CTAP2 côté objet. La clé ne se contente plus d'arriver derrière un mot de passe, elle porte la connexion entière. C'est ce qui permet de retirer le mot de passe du compte.

Le problème que ça résout

La clé privée ne sort jamais. Elle est générée dans la puce et le protocole n'expose aucune commande pour l'exporter. Aucun réglage ne desserre cette contrainte, elle est dans le silicium. Le NIST SP 800-63B-4 appelle ça une clé non exportable et en fait la condition d'AAL3, son palier le plus élevé : un authentificateur cryptographique résistant à l'hameçonnage, dont la clé privée ne peut pas quitter son environnement matériel isolé.

La présence physique est exigée à chaque opération. Il faut toucher le disque, ou poser le doigt sur le lecteur d'empreinte des modèles qui en ont un. Un programme ne pose pas le doigt à ta place. C'est la différence pratique avec une clé synchronisée : les travaux publiés par Unit 42 le 3 août 2026 montrent qu'un logiciel installé sur un poste Windows peut obtenir une signature de Google Password Manager sans consentement ni biométrie. Sur une clé physique, la signature attend un geste humain.

Elle fonctionne sans réseau ni compte tiers. Pas de trousseau à suspendre, pas de plateforme qui décide un matin que ton compte est en infraction. La clé signe, le site vérifie, personne d'autre n'est dans la boucle.

Et comme toute clé d'accès, elle refuse de répondre sur un domaine autre que celui de l'inscription. La fausse page de connexion reste muette, la page relais n'a rien à relayer, le faux conseiller au téléphone n'a aucun code à se faire dicter.

Les problèmes que ça ajoute

Tout ça, une clé physique le tient, et c'est déjà beaucoup. Le prix se lit dans la colonne d'en face.

Ce qui ne sort pas ne se sauvegarde pas. Il n'existe aucune façon de copier une clé physique. Perdue, cassée, passée à la machine à laver ou bloquée, elle est irrécupérable, et les comptes qui ne connaissaient qu'elle le deviennent aussi. C'est la contrepartie exacte de la propriété qui fait sa valeur.

Huit codes PIN faux consécutifs bloquent l'application FIDO2. Sur une YubiKey, trois erreurs d'affilée obligent déjà à retirer puis réinsérer la clé. Au huitième échec, l'application est bloquée, et la seule sortie est une réinitialisation qui efface toutes les clés d'accès et toutes les empreintes enregistrées sur l'objet. La limite de huit vient de la spécification CTAP2 et ne se règle pas. Une saisie correcte remet le compteur à zéro.

Le coût. Quelques dizaines d'euros par clé selon le modèle et les connecteurs, et la règle en demande deux. Le simulateur chiffre l'effort à 6 unités pour une clé, 10 pour deux, contre 1 pour une clé d'accès synchronisée et 2 pour un code temporaire en application.

La friction sur quarante comptes. Chaque enrôlement est manuel, et il se fait deux fois, une par clé. Beaucoup de services n'acceptent toujours pas de clé physique, ou n'en acceptent qu'une seule, ce qui casse la règle des deux clés avant même de commencer.

Un proche qui a vu le code PIN. La clé exige un code ou une empreinte, ce qui la protège bien d'un voleur anonyme. Elle protège beaucoup moins de quelqu'un qui vit avec toi, qui sait où elle est rangée et qui t'a regardé taper. Le simulateur compte la clé physique volée à 0 pour l'opportuniste, 0,02 pour le ciblé, 0,06 pour le proche.

Elle ne protège que ce qu'elle garde. Un compte qui accepte encore la réinitialisation par email, les questions secrètes ou un appel au support garde ces chemins ouverts, et l'attaquant prend le moins cher. Le simulateur nomme ce défaut de structure : une porte de service plus faible que l'entrée principale annule l'effort mis sur l'entrée principale. Voir les portes de service.

Les niveaux

Pourquoi deux clés, plutôt qu'une seule bien rangée ? Parce qu'une clé ne se copie pas, et qu'un objet unique finit un jour par manquer. Le nombre de clés est la variable qui compte vraiment.

Une clé. Un point de panne unique, que tu as payé. La résistance est excellente et la récupérabilité s'effondre : dans le scénario « je perds ma clé », sans aucun filet, le compte est perdu. Le simulateur donne 0 à ce scénario et le pondère à 1 dans la récupérabilité, à côté du téléphone perdu qui pèse 3.

Deux clés. La règle. A reste sur toi, B dort ailleurs, les deux sont enrôlées sur chaque compte le même jour. Le même scénario passe de « compte perdu » à « tu rentres ». L'effort monte de 6 à 10, et c'est le meilleur rapport de toute la liste : quatre unités achètent la différence entre récupérable et définitif.

Trois clés. Pour le confort : une au bureau, une à la maison, une hors site. Le gain de résistance est nul. Le gain est de ne pas traverser la ville un dimanche pour aller chercher la clé de secours.

Le profil « durci » du simulateur (alias par service, aucun mot de passe, deux clés physiques, aucune récupération ouverte, codes papier hors site, trois appareils chiffrés) obtient 99 de résistance et 95 de récupérabilité, pour 27 unités d'effort. Le profil « prudent », qui s'arrête à la clé d'accès synchronisée et garde ses codes papier chez lui, obtient 83 de résistance mais 40 de récupérabilité : tout dort au même endroit, et rien n'est transmissible.

Les scénarios d'attaque

Ces valeurs sont des règles posées dans le moteur, pas des mesures de terrain. Elles servent à comparer deux configurations entre elles, et elles se discutent.

TechniqueCe que fait la clé physiqueValeurs du simulateur
Rejeu d'identifiants fuitéssans objet, aucun secret partagéne s'applique pas
Fausse page de connexionl'objet ne répond pas sur un autre domainene s'applique pas
Page relais en temps réelne franchit pas cet obstacle0
Code demandé par téléphoneaucun code à dicterne s'applique pas
Détournement de la ligne mobilesans effet une fois le SMS retiré0,02 / 0,25 / 0,30 tant qu'il reste
Clé physique voléefranchit l'obstacle avec le code PIN0 / 0,02 / 0,06
Appareil pris déverrouilléatteint la session, pas la clé0 / 0,02 / 0,35
Ingénierie sociale du supportcontourne la clé0,02 / 0,45 / 0,40
Réinitialisation par email laissée ouvertecontourne la clé0,03 / 0,18 / 0,18 si la boîte est protégée, 0,25 / 0,55 / 0,50 sinon

L'opportuniste automatisé (poids 0,50) est à zéro sur tous les chemins que la clé garde. Aucune de ses techniques ne fonctionne à distance et à l'échelle contre un objet qu'il faut toucher. Son seul reste est la réinitialisation par email, quand on l'a laissée ouverte.

Le ciblé à distance (0,35) ne passe pas par la clé non plus. Il passe à côté : support humain à 0,45, réinitialisation par email à 0,55 si la boîte est faible, questions secrètes à 0,60. Poser une clé physique sur un compte dont les portes de service restent ouvertes ne change presque rien à sa note, et c'est ce que le simulateur montre le plus souvent.

Le proche avec accès physique (0,15) est le seul pour qui la clé elle-même constitue un chemin, à 0,06, et il lui faut l'objet plus le code. Son meilleur chemin reste ailleurs : l'appareil pris déverrouillé à 0,35, les réponses aux questions secrètes à 0,85 puisqu'il les connaît.

Ce qu'il faut faire

L'ordre compte plus que les gestes eux-mêmes. Chaque étape suppose la précédente vérifiée.

1. Enrôle A, puis B, dans la même session. Sur chaque compte, ajoute les deux clés avant de fermer la page des réglages de sécurité. Une clé de secours qu'on enrôlera « plus tard » n'est pas enrôlée.

2. Imprime les codes de secours et range-les dans un troisième lieu. Pas dans le gestionnaire de mots de passe : le simulateur signale le défaut de structure « deux facteurs dans le même coffre ». Pas non plus au même endroit que la clé B.

3. Teste avec B seule, dans une session propre. Fenêtre de navigation privée, déconnecté, clé A rangée hors de portée. C'est le seul moment où tu découvres que B n'était pas enrôlée sur trois comptes, et le seul moment où ça ne coûte rien.

4. Seulement ensuite, retire le SMS et le code temporaire. Dans cet ordre, jamais l'inverse. Retirer les anciens facteurs avant d'avoir prouvé que le nouveau fonctionne sur les deux clés est la façon la plus courante de se retrouver dehors, et personne n'y est poussé par la technique.

5. Range B ailleurs. Autre bâtiment si tu peux. Le simulateur pondère à 2 le scénario « mon domicile brûle ou est cambriolé » : deux clés dans le même tiroir comptent pour une seule.

6. Ne range rien du cercle des comptes racine dans un coffre que ces comptes déverrouillent. Les codes de secours de ta boîte email n'ont rien à faire dans un gestionnaire dont la connexion passe par cette boîte. La dépendance circulaire ne se voit qu'au moment où elle casse.

Ce qui dépend du service : accepter plusieurs clés, permettre de retirer le mot de passe, exiger le second facteur sur la réinitialisation, fermer le support comme voie de récupération. Quand un service n'accepte qu'une seule clé, garde un code temporaire en secours plutôt qu'un SMS, et note ce compte à part : à terme il montera au niveau des autres, le jour où le service aura bougé, pas avant.

Une limite pour finir, et c'est un choix assumé du modèle : il porte sur l'authentification. Une clé physique ne fait rien contre le vol d'une session déjà ouverte, contre un poste tenu par un logiciel espion persistant, ni contre la contrainte physique ou judiciaire. Elle ferme la porte d'entrée, très bien, et son périmètre s'arrête là.

Questions fréquentes

Pourquoi faut-il deux clés physiques et pas une ?
Parce qu'une clé ne se copie pas. Perdue, cassée ou bloquée par huit saisies fausses du code PIN, elle est irremplaçable, et les comptes qui ne connaissaient qu'elle deviennent inaccessibles. La seconde clé est la sauvegarde.
Que se passe-t-il si j'oublie le code PIN de ma clé ?
Après huit saisies fausses consécutives, l'application FIDO2 se bloque. La seule sortie est une réinitialisation, qui efface toutes les clés d'accès et toutes les empreintes enregistrées sur l'objet. La limite vient de la spécification CTAP2 et ne se règle pas.
Une clé physique protège-t-elle mieux qu'une clé d'accès synchronisée ?
Contre l'hameçonnage, les deux se valent : elles refusent le mauvais domaine. La clé physique ajoute la non-exportabilité, donc l'accès à AAL3, et la présence physique à chaque signature. Elle perd sur la sauvegarde et sur le coût.
Faut-il retirer le SMS quand on installe une clé physique ?
Oui, mais seulement après avoir vérifié que la seconde clé ouvre le compte toute seule. Tant que le SMS reste actif, il reste un chemin d'entrée moins cher que la clé, et le détournement de ligne mobile le franchit.

Sources

  1. ÉtudeKrebs on Security, Google : Security Keys Neutralized Employee Phishing (juillet 2018)
  2. OfficielYubico, chronologie de l'entreprise et de FIDO U2F
  3. OfficielYubico Authenticator User Guide : passkeys FIDO2, limite de saisies du code PIN et réinitialisation
  4. StandardNIST SP 800-63B-4, Digital Identity Guidelines : Authentication and Authenticator Management

1 risque, 1 fix

// mon écosystème

Connexion

Tape ton email, on t'envoie un lien magique sécurisé + un code à 6 chiffres. Pas de mot de passe à retenir.