Le responsable de la sécurité informatique de SlowMist Technology, 23pds, a mis en lumière une nouvelle menace de sécurité concernant les connexions basées sur les clés WebAuthn. Des chercheurs ont identifié une méthode d'attaque permettant à des acteurs malveillants de contourner l'authentification WebAuthn en détournant l'API via des extensions de navigateur malveillantes ou en exploitant des vulnérabilités de type cross-site scripting (XSS). Cette attaque peut forcer une rétrogradation vers une connexion par mot de passe ou manipuler le processus d'enregistrement des clés pour voler des identifiants, sans nécessiter d'accès physique à l'appareil ni d'utilisation de Face ID. Cette vulnérabilité représente un risque important pour les utilisateurs qui comptent sur WebAuthn pour une authentification sécurisée, car elle peut entraîner une usurpation d'identité et la compromission de comptes. WebAuthn, développé par le W3C et la FIDO Alliance, est conçu pour renforcer la sécurité grâce à la cryptographie à clé publique, offrant des alternatives aux mots de passe traditionnels via des clés de sécurité matérielles ou des appareils compatibles.