Quelle est la raison correcte pour laquelle l'authentification par clés d'accès (passkeys) FIDO2 (WebAuthn) est considérée comme plus résistante à l'hameçonnage que les mots de passe à usage unique (OTP) ?

Réponse : A. La signature par la clé privée est liée au domaine auquel on se connecte ; un faux site ne peut donc pas obtenir de signature pour le vrai site, et la relayer ne sert à rien

Un OTP est une valeur que l'utilisateur lit et tape ; il ne peut donc pas empêcher les attaques qui le font saisir sur un faux site et le relaient immédiatement au vrai site (hameçonnage de type adversary-in-the-middle). Avec FIDO2, une paire de clés publique et privée est créée pour chaque site et seule la clé publique est enregistrée auprès du site ; lors de la connexion, l'authentificateur signe avec la clé privée une valeur envoyée par le site (le défi). La clé utilisée, c'est-à-dire celle de quel site, est déterminée par le domaine réellement contacté, tel que vérifié par le navigateur, et les informations signées contiennent aussi cette origine ; un faux site ne peut donc pas obtenir de signature pour le vrai site. Et comme le serveur ne stocke que la clé publique, une fuite depuis le serveur ne peut pas servir à usurper l'identité de l'utilisateur.