L’authentification multifacteur suffit-elle à contrer la menace de prise de contrôle de compte ?

Jim Downey

Pour les cybercriminels qui tentent de prendre le contrôle de comptes par bourrage d’identifiants, l’authentification multifacteur (MFA) constitue un obstacle supplémentaire. Toutefois, les attaquants ont trouvé des moyens de la contourner, ce qui signifie qu’elle ne suffit pas à elle seule à éliminer la menace de prise de contrôle de comptes. Les entreprises doivent prendre des mesures supplémentaires pour renforcer la sécurité de la MFA, notamment en luttant contre les bots et en surveillant les risques contextuels.

Malgré ses faiblesses, l’authentification multifacteur (MFA) constitue une avancée majeure, car l’authentification reposant uniquement sur un mot de passe a clairement montré ses limites. Nous sommes tout simplement incapables de mémoriser de longues chaînes de caractères. Nous optons donc pour des solutions de facilité, en choisissant des mots de passe simples et prévisibles et en les réutilisant dans plusieurs applications, autant de pratiques qui ont entraîné de nombreuses failles de sécurité.

Cependant, face aux limites des mots de passe et à l’adoption de l’authentification multifacteur (MFA), nous avons constaté une augmentation des attaques visant la MFA, notamment :

Proxys de phishing en temps réel

Lors d’une attaque par proxy de phishing en temps réel (RTPP), les fraudeurs utilisent des messages de phishing pour inciter les utilisateurs à consulter un site contrôlé par un attaquant qui ressemble à un site de confiance. Ils les amènent ainsi à saisir leurs identifiants et à approuver la demande d’authentification à deux facteurs, qu’il s’agisse d’un SMS ou d’une notification push. Le RTPP transmet les identifiants à l’application ciblée et y accède. Pour voir une démonstration de l’attaque, consultez cette vidéo du hacker et consultant en sécurité Kevin Mitnick. Pour en savoir plus sur l’essor des proxys de phishing en temps réel, consultez le rapport de F5 Labs sur le phishing et la fraude.

Bombardement MFA

Lors d’attaques par bombardement MFA, l’attaquant incite la cible à lui communiquer son code d’authentification en lui envoyant de nombreuses demandes frauduleuses de saisie du code. Cette technique est particulièrement efficace contre les applications d’authentification qui reposent sur des notifications push : il suffit en effet à l’utilisateur d’appuyer sur un bouton pour mettre fin à l’afflux de demandes. Les attaquants associent parfois le bombardement MFA à l’ingénierie sociale afin d’inciter les utilisateurs à accepter la notification push et à leur accorder l’accès.

Usurpation biométrique

Les attaquants sont même parvenus à contourner l’authentification biométrique. Après tout, nous laissons nos empreintes digitales un peu partout, sur presque toutes les surfaces lisses que nous touchons, où elles peuvent être recueillies et reproduites à l’aide de toutes sortes de moyens, d’une imprimante 3D à des ingrédients pour fabriquer des oursons en gélatine. Des chercheurs en sécurité ont également démontré qu’il était possible de tromper les systèmes de reconnaissance faciale et vocale, ainsi que les systèmes de reconnaissance de l’iris. Bien que les fournisseurs aient mis au point des techniques anti-usurpation, telles que les contrôles de détection du vivant, afin de détecter les tentatives de contournement, tout dispositif biométrique peut devenir vulnérable à mesure que les attaquants perfectionnent leurs techniques.

Échange de carte SIM

Échange de carte SIM consiste, pour les fraudeurs, à exploiter la possibilité offerte par les opérateurs de transférer un numéro de téléphone vers un autre appareil. Le fraudeur recueille des informations personnelles sur la victime, puis manipule un membre du service d’assistance afin qu’il transfère le numéro de téléphone de la victime vers la carte SIM du fraudeur. En prenant le contrôle du service téléphonique de la victime, le fraudeur reçoit les SMS qui lui sont destinés, ce qui lui permet d’intercepter les mots de passe à usage unique (OTP) et de contourner l’authentification multifacteur (MFA).

Renforcer la sécurité de l’authentification multifacteur

L’authentification multifacteur (MFA) constituant une amélioration majeure par rapport à l’authentification par mot de passe seul, elle est appelée à perdurer. Les professionnels de la cybersécurité doivent donc remédier à ses vulnérabilités.

Une bonne façon de commencer consiste à limiter l’activité des bots. Tirant parti de la réutilisation des mots de passe, les attaquants déploient des bots pour tester des identifiants volés sur des pages de connexion, une technique définie par l’OWASP comme du credential stuffing, ce qui leur permet de franchir le premier facteur de l’authentification multifacteur. Les attaquants utilisent également des bots dans le cadre d’attaques RTPP afin de transmettre les mots de passe à usage unique au site ciblé avant leur expiration. Le bombardement MFA est lui aussi une attaque automatisée qui repose sur des bots. Grâce à une solution efficace de gestion des bots, une équipe de sécurité peut priver les attaquants d’un outil essentiel sur lequel ils s’appuient pour déployer à grande échelle des techniques de contournement de l’authentification multifacteur.

Une autre façon d’atténuer les vulnérabilités de l’authentification multifacteur consiste à prendre en compte le risque contextuel. Celui-ci peut être déterminé à partir de l’adresse IP de l’utilisateur, de son fournisseur d’accès à Internet, de sa localisation, de l’heure, de son appareil, des fonctionnalités auxquelles il accède et de son comportement. Tous ces éléments permettent de calculer un score de risque à mesure que l’utilisateur navigue dans une application. Plus ce score est élevé, plus les exigences d’authentification sont strictes, pouvant aller jusqu’à la désactivation du compte.

Prochaines étapes

Nous verrons certainement encore de nombreuses annonces proclamant la mort des mots de passe, ainsi que de nouvelles promesses exagérées selon lesquelles les nouvelles techniques d’authentification multifacteur (MFA) rendront enfin l’authentification totalement sécurisée. Pourtant, des attaquants déterminés trouveront toujours des moyens de contourner les nouvelles implémentations, ce qui vous obligera à continuer d’analyser et d’atténuer les vulnérabilités de la MFA. Pour une analyse plus approfondie des raisons pour lesquelles la MFA ne constitue qu’une première étape dans la prévention de la prise de contrôle de comptes, consultez le nouveau livre blanc de F5. En vous associant à F5, vous pouvez sécuriser la MFA tout en optimisant l’expérience client. Découvrez-en plus sur les services F5 Distributed Cloud et inscrivez-vous pour échanger avec notre équipe.

À propos de l’auteur

Jim Downey

Autres articles de Jim Downey