Test & Avis Expert
La Security Key Series de Yubico est une clé matérielle d’authentification limitée aux protocoles FIDO2/WebAuthn et FIDO U2F, en USB-A ou USB-C, avec NFC. Sur la boutique française de l’éditeur, les modèles Security Key NFC et Security Key C NFC sont affichés au même prix, 34,80 € TTC. Les clés sont livrées avec le micrologiciel 5.8. Elles fonctionnent avec Windows, macOS, Linux, Android et iOS, sans logiciel à installer ni batterie.
Comment ça marche
La clé génère et conserve une paire de clés cryptographiques par service, la partie privée ne sortant jamais du composant. À l’authentification, le site envoie un défi que la clé signe après une action physique de l’utilisateur — un contact sur le disque métallique. Le point décisif est que la signature est liée au nom de domaine du site : une page d’hameçonnage imitant une banque, même parfaitement copiée, présente un domaine différent et n’obtient donc aucune signature exploitable. C’est ce qui distingue une clé FIDO d’un code à usage unique, que l’utilisateur peut recopier sur un faux site.
FIDO2 couvre deux usages : la connexion sans mot de passe, la clé remplaçant l’identifiant, et le second facteur classique en complément d’un mot de passe.
Ce que ça ne protège pas
Le périmètre est volontairement réduit. Contrairement à la gamme YubiKey 5, la Security Key ne fait ni OTP, ni PIV, ni OpenPGP, et ne stocke pas de clés SSH. Un utilisateur qui voudrait signer ses commits, déverrouiller une session par carte à puce ou stocker une clé GPG doit prendre une autre référence.
Le micrologiciel est propriétaire et, par choix de conception, il n’est pas modifiable : Yubico indique que « pour des raisons de sécurité et pour prévenir toute altération par des acteurs malveillants, le micrologiciel des YubiKey ne peut pas être mis à jour ». La conséquence est concrète et documentée. L’avis de sécurité YSA-2024-03 décrit une vulnérabilité de la bibliothèque cryptographique d’Infineon, exploitable par canal auxiliaire sur les signatures ECDSA, qui affecte « la Security Key Series, toutes versions antérieures à 5.7 ». Ces clés ne peuvent pas être corrigées : la seule remédiation est le remplacement. L’attaque suppose la possession physique de la clé, du matériel spécialisé et la connaissance des identifiants du compte visé, ce qui la rend peu probable en pratique — mais elle illustre le prix du micrologiciel non modifiable.
Enfin, une clé perdue est une clé perdue : il faut en enregistrer une seconde sur chaque service, ou conserver les codes de secours, faute de quoi la perte de l’objet ferme l’accès au compte.
Face aux alternatives
La YubiKey 5 couvre les protocoles absents ici, pour un tarif sensiblement plus élevé. Nitrokey propose des clés dont le micrologiciel est libre et vérifiable, ce qui répond directement à l’objection précédente. Pour un second facteur logiciel sans achat de matériel, Aegis ou Ente Auth stockent des codes à usage unique — moins résistants à l’hameçonnage, puisqu’un code peut être recopié sur un faux site. La Security Key est l’entrée de gamme de l’authentification résistante à l’hameçonnage, à condition d’en accepter le périmètre restreint.
