Voilà qui est ballot. Google a averti que la version Bluetooth de sa clé de sécurité Titan était touchée par un problème de… sécurité. Une faille qui concerne le protocole d’appairage permet en effet à un malandrin, placé pas trop loin de sa victime, de communiquer avec la clé ou avec l’appareil déverrouillé par la clé.

Les circonstances devront toutefois être bien spécifiques pour que le forban puisse accomplir son forfait. Non seulement il lui faudra être tout près de l’utilisateur (à environ 9 mètres), avoir en sa possession l’identifiant et le mot du passe du compte, mais aussi faire preuve d’un grand sens du timing.

La manipulation doit en effet être effectuée juste avant que l’utilisateur n’appuie sur le bouton de la clé : dans ce laps de temps, le brigand est en mesure de connecter sa machine à la clé. L’autre scénario consiste pour l’assaillant à faire passer sa machine pour la clé de sécurité de sa victime.

La faille touche toutes les versions Bluetooth LE de la clé Titan (T1 et T2). Google, qui conserve toute sa confiance dans ce système d’authentification deux facteurs, se propose de remplacer gratuitement la clé par une version plus robuste. Le moteur de recherche précise que la version USB n’est pas affectée (par ailleurs, la clé Bluetooth à problème n’a été distribuée qu’aux États-Unis).

La clé Bluetooth ne fonctionne plus avec les appareils sous iOS 12.3, comme ça le problème est réglé. En attendant de recevoir le nouveau modèle sécurisé, le moteur de recherche demande de ne pas se désactiver du compte Google, sinon il sera très compliqué de s’identifier avant la nouvelle clé : la fiche technique conseille de créer un nouveau mot de passe temporaire, mais uniquement si l’utilisateur fait partie de l’Advanced Protection Program. Sinon, il faut utiliser un autre appareil que son iPhone, comme un smartphone Android ou un ordinateur classique.

Pour les terminaux sous iOS 12.2 et précédent, Google conseille d’utiliser la clé dans un lieu sécurisé où des individus inconnus ne peuvent se trouver à moins de 9 mètres. Après la connexion au compte, il faut immédiatement annuler le jumelage avec la clé.