Android rend vos mots de passe et passkeys beaucoup plus faciles à transférer

Changer de gestionnaire de mots de passe sur Android devient nettement plus simple. Google vient de déployer une nouvelle méthode permettant de transférer directement ses mots de passe et ses passkeys d’une application à une autre, sans passer par un fichier d’exportation non chiffré. Une évolution qui devrait rendre beaucoup moins contraignant le changement de fournisseur, tout en renforçant la sécurité des données transférées.

Les gestionnaires de mots de passe occupent désormais une place centrale dans la sécurité numérique. Ils permettent de stocker des identifiants complexes, de générer automatiquement de nouveaux mots de passe et, de plus en plus, de conserver des passkeys, ces clés d’accès qui permettent de se connecter à certains services sans saisir de mot de passe.

Pourtant, lorsqu’un utilisateur souhaitait abandonner son gestionnaire habituel pour une autre solution, la procédure pouvait rapidement devenir laborieuse. Il fallait généralement exporter les données depuis l’ancien service, souvent dans un fichier CSV ou texte, puis importer ce fichier dans le nouveau gestionnaire. Cette méthode posait évidemment un problème de sécurité, puisque les identifiants pouvaient se retrouver temporairement stockés en clair sur l’appareil.

Les passkeys compliquaient encore davantage la situation. Contrairement aux mots de passe classiques, elles ne pouvaient généralement pas être transférées d’un gestionnaire à un autre. L’utilisateur devait alors recréer ses clés d’accès service par service.

Android prend désormais en charge le transfert des données

Google veut mettre fin à cette situation avec une nouvelle expérience de transfert directement intégrée à Android. L’objectif est de permettre à l’utilisateur de changer de gestionnaire sans avoir à manipuler lui-même un fichier contenant ses données sensibles.

La procédure commence dans le nouveau gestionnaire de mots de passe. L’utilisateur sélectionne l’option permettant d’importer ou de copier ses données depuis un autre fournisseur. L’application transmet alors la demande au système Android.

Le système détecte automatiquement les gestionnaires de mots de passe présents sur le smartphone et affiche ceux qui peuvent participer au transfert. L’utilisateur est ensuite redirigé vers son ancien gestionnaire afin de sélectionner les données concernées, de les vérifier et d’autoriser leur déplacement.

Une fois l’opération validée, Android coordonne directement le transfert entre les deux applications. Selon Google, l’ensemble du processus ne prend que quelques secondes.

Cette approche change surtout la manière dont les données circulent. Au lieu de créer un fichier intermédiaire que l’utilisateur doit ensuite manipuler, les informations passent directement d’un gestionnaire à l’autre dans le cadre prévu par Android.

Fini le fichier CSV en clair pour changer de gestionnaire

C’est probablement l’un des principaux avantages de cette nouveauté. Jusqu’à présent, l’exportation des mots de passe constituait une étape incontournable dans de nombreux cas.

Un fichier CSV peut être pratique pour déplacer rapidement une base d’identifiants, mais il présente un défaut majeur : les informations qu’il contient peuvent être lisibles en clair. Si le fichier reste présent sur le téléphone, est copié dans un emplacement mal protégé ou est récupéré par une personne ou une application malveillante, les comptes concernés peuvent être exposés.

Le nouveau système cherche précisément à supprimer cette étape intermédiaire. L’utilisateur n’a donc plus besoin de télécharger un fichier, de le conserver temporairement sur son smartphone puis de penser à le supprimer après l’importation. Le transfert est coordonné directement par Android entre les applications compatibles.

Google affirme également que les données restent sur l’appareil pendant le processus et ne deviennent pas accessibles aux applications qui ne sont pas autorisées à participer au transfert. L’objectif est de limiter autant que possible les manipulations susceptibles d’exposer des informations particulièrement sensibles.

Les passkeys peuvent enfin être transférées

L’autre évolution importante concerne les passkeys. Ces clés d’accès gagnent progressivement du terrain face aux mots de passe traditionnels. Elles permettent de se connecter à un service à l’aide d’une empreinte digitale, d’un code ou d’un autre mécanisme de déverrouillage de l’appareil, sans avoir à saisir un mot de passe.

Elles présentent notamment un avantage important contre certaines attaques par hameçonnage, puisqu’une passkey n’est pas simplement une chaîne de caractères que l’utilisateur pourrait être amené à communiquer à un faux site.

Mais leur gestion pouvait devenir problématique lors d’un changement de gestionnaire. Une personne souhaitant quitter son application habituelle pouvait se retrouver dans l’obligation de recréer ses clés d’accès sur les différents sites et services qu’elle utilisait.

Android prend désormais en charge leur transfert dans le cadre de cette nouvelle procédure. Il devient donc possible de déplacer les mots de passe et les passkeys au cours d’une même opération, avec la possibilité de sélectionner et de vérifier les éléments concernés avant de confirmer.

Cette évolution repose notamment sur les travaux menés autour de l’API Credential Transfer et du Credential Exchange Format, ou CXF, développé dans l’écosystème de la FIDO Alliance afin de faciliter l’échange sécurisé des identifiants et des clés d’accès entre différents gestionnaires.

Google Password Manager, 1Password, Bitwarden et Dashlane compatibles

La fonctionnalité n’est pas limitée au gestionnaire de mots de passe de Google. Au lancement, quatre solutions sont compatibles avec ce nouveau mécanisme : Google Password Manager, 1Password, Bitwarden Password Manager et Dashlane.

Cette compatibilité devrait toutefois s’élargir. Google indique que d’autres partenaires doivent rejoindre le dispositif à l’avenir, ce qui pourrait progressivement rendre la fonctionnalité beaucoup plus intéressante pour les utilisateurs qui souhaitent changer de solution.

L’enjeu est aussi de ne pas enfermer les utilisateurs dans un écosystème particulier. Un gestionnaire de mots de passe peut être choisi pour ses fonctionnalités, son prix, sa compatibilité avec certains appareils ou encore son approche de la confidentialité. Jusqu’à présent, la difficulté de transférer les données pouvait constituer un frein important au changement.

En simplifiant cette opération, Android réduit donc l’un des principaux obstacles à la mobilité entre les différents services.

Une disponibilité qui remonte jusqu’à Android 8

Autre élément intéressant, la fonctionnalité ne se limite pas aux smartphones Android les plus récents. Google annonce une compatibilité avec les appareils fonctionnant sous Android 8.0 ou une version ultérieure, grâce à une intégration reposant notamment sur les Google Play Services.

Cela donne à cette nouveauté une portée potentiellement importante. Une grande partie des smartphones Android encore utilisés peut ainsi bénéficier de cette nouvelle méthode de transfert, à condition évidemment que les gestionnaires concernés prennent en charge le mécanisme.

La disponibilité peut également dépendre du déploiement de la fonctionnalité par les différentes applications. La compatibilité du smartphone avec Android 8 ou une version plus récente ne signifie donc pas automatiquement que tous les gestionnaires existants pourront communiquer entre eux.

Google veut faciliter le changement de fournisseur

Derrière cette évolution technique se trouve un enjeu plus large. Google cherche à rendre les données d’identification plus facilement portables d’un service à l’autre.

Le principe est particulièrement important dans le domaine de la sécurité. Un utilisateur devrait pouvoir choisir le gestionnaire qui correspond le mieux à ses besoins sans avoir à craindre une migration complexe ou risquée. La possibilité de changer facilement de fournisseur peut également encourager les différents acteurs à améliorer leurs produits afin de conserver leurs utilisateurs.

L’arrivée des passkeys rend cette question encore plus importante. Ces clés d’accès sont appelées à prendre une place croissante dans les méthodes d’authentification, mais leur adoption ne pourra être réellement fluide que si elles peuvent être gérées avec la même souplesse que les mots de passe.

Avec ce nouveau système, Android commence donc à s’attaquer à un problème qui était devenu de plus en plus visible. Le changement de gestionnaire ne nécessite plus forcément de passer par un fichier texte potentiellement dangereux et les passkeys peuvent désormais suivre le mouvement.

Pour les utilisateurs de Google Password Manager, 1Password, Bitwarden ou Dashlane, le transfert devient ainsi une opération beaucoup plus directe. Et avec l’arrivée annoncée de nouveaux partenaires, cette fonctionnalité pourrait rapidement devenir une composante importante d’Android pour tous ceux qui souhaitent garder le contrôle de leurs identifiants et changer de gestionnaire sans transformer la migration en parcours du combattant.