L’authentification multifacteur (MFA) est un moyen efficace de réduire les compromissions de comptes, mais son adoption et sa mise en œuvre restent inégales selon les organisations.
Les attaquants peuvent utiliser des identifiants volés pour accéder aux comptes de l’entreprise sans exploiter de vulnérabilités logicielles. Les recherches sur les attaques fondées sur l’identité confirment la nécessité de la MFA pour protéger les comptes lorsque les mots de passe sont compromis.
Cependant, choisir la bonne méthode de MFA introduit des difficultés supplémentaires. Les équipes de sécurité doivent trouver un équilibre entre la protection contre les attaques réelles et la facilité d’utilisation, tout en veillant à l’application systématique des exigences d’authentification.
- Le problème des mots de passe
- Pourquoi la MFA reste indispensable
- Les fondamentaux de la MFA
- Comparatif des méthodes de MFA : avantages et faiblesses
- Comment les attaquants contournent la MFA
- Vers une MFA résistante à l’hameçonnage
- Comment les organisations peuvent renforcer la protection assurée par la MFA
- En résumé
Le problème des mots de passe
Les mots de passe restent l’une des méthodes d’authentification les plus courantes et une cible fréquente pour les attaquants. Le comportement humain continue de nuire à leur efficacité, notamment lorsque les utilisateurs réutilisent leurs identifiants sur plusieurs comptes. Les attaques par bourrage d’identifiants n’en sont que plus efficaces.
Les attaquants n’ont souvent pas besoin de casser les mots de passe, car ils peuvent les obtenir grâce à des logiciels malveillants voleurs d’informations ou à des campagnes d’hameçonnage. Lesfuites de données chez des tiers constituent une autre source d’identifiants compromis que les attaquants peuvent utiliser contre les applications d’entreprise.
Les comptes dormants et les applications anciennes dépourvues de contrôles d’authentification supplémentaires peuvent encore accroître l’exposition.
Pourquoi la MFA reste indispensable
La MFA ajoute une couche de protection supplémentaire lorsque les mots de passe sont compromis. Les recherches de Microsoft démontrent son efficacité pour réduire les compromissions de comptes, même lorsque les attaquants obtiennent des identifiants valides.
Cependant, l’adoption de la MFA reste inégale. Certaines organisations ne protègent que certaines applications ou certains utilisateurs, laissant des failles d’authentification que les attaquants peuvent exploiter.
Les fondamentaux de la MFA
Le National Institute of Standards and Technology (NIST) identifie trois grands facteurs d’authentification. Les organisations combinent généralement plusieurs facteurs pour renforcer la sécurité des comptes, bien que chacun introduise des difficultés opérationnelles différentes.
Quelque chose que vous connaissez
L’authentification fondée sur la connaissance utilise des informations mémorisées par une personne, comme un mot de passe ou un code PIN. Ces méthodes sont peu coûteuses et largement prises en charge, mais restent vulnérables au vol d’identifiants.
Combiner deux mots de passe ne constitue pas une MFA, car ils reposent tous deux sur le même facteur d’authentification.
Quelque chose que vous possédez
L’authentification fondée sur la possession exige que les utilisateurs contrôlent un appareil ou un justificatif d’identité, comme une clé de sécurité matérielle ou une application d’authentification.
Le niveau de protection varie selon la méthode. Les mots de passe à usage unique restent vulnérables à l’hameçonnage, tandis que les clés de sécurité FIDO2 offrent une meilleure protection contre ces attaques.
Les appareils perdus ou volés peuvent compliquer la récupération des comptes, tandis que la gestion des dispositifs d’authentification physiques dans les grandes organisations peut accroître les coûts administratifs.
Quelque chose que vous êtes
L’authentification biométrique utilise des caractéristiques physiques, comme les empreintes digitales ou la reconnaissance faciale, pour vérifier l’identité. Ces méthodes simplifient l’authentification, mais peuvent entraîner des échecs de reconnaissance en raison de blessures physiques ou des conditions environnementales.
Selon le NIST SP 800-63B-4, la biométrie ne peut pas servir de méthode d’authentification autonome. Elle doit au contraire être combinée à un authentificateur physique. Par exemple, une empreinte digitale peut vérifier localement l’identité d’un utilisateur avant que son appareil n’utilise une clé d’accès pour l’authentifier auprès d’une application.
Un endroit où vous vous trouvez
La localisation ne fait pas partie des trois facteurs d’authentification du NIST, mais les organisations peuvent utiliser des informations géographiques ou réseau pour évaluer le risque associé à une connexion.
Les signaux fondés sur la localisation peuvent compléter les politiques d’accès conditionnel en déclenchant une vérification supplémentaire lorsque les tentatives d’authentification proviennent d’endroits inhabituels.
Cependant, les VPN et les proxys peuvent masquer la localisation d’un attaquant. Les déplacements légitimes peuvent également déclencher de fausses alertes, ce qui rend la localisation plus utile pour repérer les activités de connexion suspectes que pour vérifier l’identité d’un utilisateur.
Comparatif des méthodes de MFA : avantages et faiblesses
Les méthodes de MFA offrent différents niveaux de protection contre la compromission des comptes. Les organisations doivent également tenir compte de la facilité de déploiement et de gestion de chaque méthode.
L’authentification par SMS est largement accessible et ne nécessite aucune application supplémentaire, mais les attaquants peuvent obtenir les codes de vérification par échange frauduleux de carte SIM ou en incitant les utilisateurs à les révéler par hameçonnage.
La vérification par e-mail est pratique, mais offre une protection limitée si les attaquants accèdent au compte de messagerie de l’utilisateur. Ils peuvent alors intercepter les codes de vérification et effectuer des connexions non autorisées. La vérification par e-mail peut également ne pas être considérée comme une véritable MFA si elle ne fournit pas de facteur d’authentification indépendant.
Les applications d’authentification génèrent des mots de passe à usage unique fondés sur le temps (TOTP) sans dépendre des réseaux cellulaires. Cela évite les risques liés à l’échange frauduleux de cartes SIM, même si les attaquants peuvent toujours intercepter les codes au moyen de l’hameçonnage en temps réel.
Les notifications push simplifient l’authentification en permettant aux utilisateurs d’approuver les demandes de connexion sur leurs appareils. Cependant, les attaquants peuvent exploiter la répétition des demandes dans le cadre d’attaques par fatigue MFA. La correspondance de chiffres réduit les approbations accidentelles, mais ne rend pas l’authentification push résistante à l’hameçonnage.
Les clés de sécurité FIDO2 utilisent la cryptographie à clé publique pour fournir une authentification résistante à l’hameçonnage. Elles offrent une solide protection pour les comptes privilégiés, mais l’achat et la distribution d’appareils physiques peuvent accroître les coûts administratifs.
Les clés d’accès offrent une protection similaire contre l’hameçonnage sans nécessiter forcément une clé matérielle distincte. Les clés d’accès liées à un appareil conservent les identifiants sur un authentificateur spécifique, tandis que les clés d’accès synchronisées permettent l’accès depuis les appareils compatibles. Avant leur déploiement, les organisations doivent évaluer les procédures de récupération des identifiants et la compatibilité des plateformes.
Les cartes à puce, notamment les justificatifs Personal Identity Verification (PIV), utilisent une authentification fondée sur des certificats et sont souvent employées dans les environnements d’entreprise administrés. Elles nécessitent toutefois une infrastructure de support et une gestion continue des identifiants.
Comment les attaquants contournent la MFA
Les attaquants contournent souvent la MFA en exploitant les faiblesses des flux d’authentification plutôt qu’en neutralisant la technologie d’authentification sous-jacente.
Fatigue MFA et abus des notifications push
Les attaques par fatigue MFA surviennent lorsque les attaquants utilisent des identifiants volés pour générer des demandes d’authentification répétées. Leur objectif est de pousser ou de troubler les utilisateurs afin qu’ils approuvent une connexion non autorisée.
La correspondance de chiffres réduit les approbations accidentelles en demandant aux utilisateurs de saisir un nombre affiché plutôt que d’accepter simplement une notification. Les organisations peuvent limiter davantage leur exposition en restreignant les tentatives d’authentification répétées et en enquêtant sur les activités push inhabituelles.
Attaquant interposé (AitM)
Les attaques par attaquant interposé (AitM) utilisent une infrastructure contrôlée par l’attaquant pour relayer les demandes d’authentification entre les utilisateurs et les services légitimes.
Les victimes peuvent saisir leurs identifiants et effectuer les étapes de MFA sur de fausses pages de connexion, permettant aux attaquants de capturer les cookies de session authentifiée.
Les protocoles résistants à l’hameçonnage tels que WebAuthn réduisent ce risque en liant l’authentification au domaine du service légitime.
Détournement de session et vol de jetons
L’AitM peut entraîner un détournement de session, mais les attaquants peuvent également voler des cookies de session ou des jetons d’authentification au moyen de logiciels malveillants voleurs d’informations ou de vulnérabilités applicatives. Ils peuvent ensuite utiliser ces éléments de session volés pour usurper l’identité d’utilisateurs authentifiés.
Comme les attaquants exploitent une session déjà établie, ils peuvent obtenir un accès sans effectuer une nouvelle étape de MFA, même lorsqu’une authentification résistante à l’hameçonnage est activée.
Les organisations doivent surveiller les activités de session suspectes et appliquer des contrôles de protection des jetons lorsque ceux-ci sont pris en charge.
Attaques visant le support technique et la récupération de compte
Des acteurs malveillants peuvent usurper l’identité d’employés et contacter le support technique pour demander une réinitialisation de la MFA. Des procédures faibles de vérification d’identité peuvent permettre aux attaquants d’enregistrer leurs propres appareils d’authentification.
Une fois un authentificateur non autorisé enregistré, les attaquants peuvent obtenir un accès en utilisant des flux d’authentification par ailleurs légitimes.
Les organisations doivent vérifier l’identité des utilisateurs avant de réinitialiser la MFA. Toute modification des appareils d’authentification enregistrés doit également déclencher des alertes de sécurité et un examen supplémentaire.
Dégradation de la MFA et abus des solutions de repli
Certaines applications autorisent des méthodes d’authentification plus faibles lorsque les options plus robustes sont indisponibles. Par exemple, une organisation peut exiger des clés de sécurité FIDO2 pour l’accès courant, mais autoriser la vérification par SMS lors de la récupération d’un compte.
Les attaquants qui exploitent ces procédures de repli peuvent potentiellement contourner l’exigence d’authentification plus robuste.
Les équipes de sécurité doivent veiller à ce que les méthodes de récupération offrent une protection adaptée à la sensibilité des comptes concernés.
Vers une MFA résistante à l’hameçonnage
Si des procédures de récupération plus robustes contribuent à combler les failles d’authentification, les organisations ont également besoin de méthodes de MFA résistantes aux attaques par hameçonnage.
Le NIST SP 800-63B-4 reconnaît les méthodes d’authentification cryptographique, telles que WebAuthn, qui lient l’authentification au service légitime grâce à la cryptographie à clé publique. La clé privée reste auprès de l’authentificateur, tandis que le service vérifie la réponse à l’aide de la clé publique correspondante.
Les clés de sécurité FIDO2 et les clés d’accès sont ainsi plus résistantes à l’hameçonnage que les méthodes de MFA traditionnelles. Cependant, les attaquants peuvent toujours compromettre les terminaux ou détourner des sessions authentifiées.
Comment les organisations peuvent renforcer la protection assurée par la MFA
Les équipes de sécurité doivent donner la priorité aux pratiques suivantes afin de réduire les risques liés à l’authentification :
- Privilégier une MFA résistante à l’hameçonnage. Déployer des clés de sécurité FIDO2 ou des clés d’accès pour les comptes privilégiés et les applications sensibles.
- Combler les failles d’authentification. Identifier les comptes et les applications dépourvus de MFA, notamment les systèmes anciens.
- Sécuriser la récupération des comptes. Vérifier l’identité des utilisateurs avant de réinitialiser la MFA ou d’enregistrer de nouveaux authentificateurs.
- Protéger les sessions authentifiées. Surveiller les activités de session suspectes et appliquer des politiques d’expiration des sessions fondées sur le risque.
- Restreindre les méthodes de repli moins robustes. Empêcher les options moins sécurisées de contourner les exigences d’authentification plus robustes.
- Surveiller les modifications de l’authentification. Enquêter sur les schémas de connexion inhabituels et les enregistrements d’authentificateurs non autorisés.
- Former les employés. Apprendre aux utilisateurs à reconnaître les demandes de MFA inattendues et à signaler les demandes de récupération suspectes.
Ces pratiques aident les organisations à renforcer la protection assurée par la MFA tout en s’attaquant aux faiblesses que les attaquants continuent d’exploiter.
En résumé
La MFA reste une défense efficace contre la compromission des comptes, mais son efficacité dépend des méthodes choisies par les organisations et de la manière dont elles les mettent en œuvre. Les responsables de la sécurité doivent considérer la MFA comme un élément important de leur stratégie de sécurité des identités, plutôt que comme une solution complète aux menaces fondées sur l’identité.
Pour plus de conseils, découvrez comment renforcer la gestion des identités et des accès grâce au zero trust.