MFA résistante au phishing : migrer par phases

Cybersécurité · 4 min

Les codes par SMS et les notifications push restent vulnérables à l'ingénierie sociale. Découvrez comment prioriser les systèmes, gérer les exceptions et protéger la récupération des identifiants.

MFA résistante au phishing : migrer par phases

TL;DR

Toutes les méthodes d'authentification multifacteur n'offrent pas la même protection contre le phishing.
FIDO2/WebAuthn et l'authentification basée sur PKI lient l'identifiant au service légitime et résistent aux pages frauduleuses.
La migration doit commencer par les systèmes et les profils les plus ciblés : messagerie, accès distant et administrateurs.
L'enregistrement et la récupération des identifiants deviennent le point faible s'ils acceptent des méthodes moins robustes.
Des exceptions documentées et des indicateurs d'adoption aident à gérer ce qui ne peut pas encore migrer.

Toutes les authentifications multifacteur ne protègent pas de la même manière

L'authentification multifacteur (MFA) s'est généralisée dans les entreprises, mais les méthodes les plus courantes, comme les codes par SMS, les codes temporaires dans des applications ou les notifications push, continuent de dépendre de la capacité de l'utilisateur à reconnaître une tentative de fraude. La CISA, l'agence américaine de cybersécurité, considère la MFA résistante au phishing comme la forme de MFA la plus sûre et recommande de traiter la migration comme une priorité. Pour un RSSI ou un responsable IT, la question pratique est de savoir comment effectuer cette transition sans interrompre l'activité ni créer de nouveaux points faibles.

Les méthodes traditionnelles présentent des faiblesses connues

Ces faiblesses sont documentées. Un attaquant peut convaincre un opérateur mobile de transférer le numéro de la victime et recevoir les codes par SMS, ou envoyer des demandes push répétées jusqu'à ce que l'une d'elles soit approuvée par erreur ou par lassitude. Des pages d'authentification factices peuvent également capturer le code et le réutiliser en temps réel. Les méthodes basées sur FIDO2/WebAuthn lient l'identifiant au domaine légitime : l'authentification échoue donc lorsque l'utilisateur est redirigé vers un site frauduleux. L'authentification basée sur des certificats numériques, appuyée par une infrastructure à clé publique (PKI), peut elle aussi offrir une résistance au phishing lorsqu'elle est correctement mise en œuvre et liée au service légitime. Elle exige toutefois une plus grande maturité dans la gestion des identités et des certificats, et n'est pas toujours prise en charge par les applications utilisées. La différence tient donc moins à l'existence d'un second facteur qu'à la manière dont ce facteur est lié au service légitime.

L'inventaire définit les priorités

Avant de distribuer des clés de sécurité ou d'activer des passkeys, il convient de savoir quels systèmes prennent en charge ces méthodes, lesquels dépendent d'un fournisseur d'identité central et lesquels utilisent encore d'anciens protocoles d'authentification. Les recommandations de la CISA préconisent de donner la priorité aux comptes administratifs et à privilèges. La sélection des systèmes à migrer doit tenir compte de l'exposition au risque, de la criticité des services et des informations accessibles, y compris, selon le contexte, la messagerie électronique, l'accès distant et les applications contenant des données sensibles. Pour l'accès distant, la migration peut s'articuler avec une architecture Zero Trust / ZTNA, dans laquelle chaque requête est évaluée en fonction de l'identité et du contexte. Les applications anciennes sans prise en charge de l'authentification moderne peuvent être placées derrière un fournisseur d'identité fédéré ou isolées par des mesures compensatoires, selon le cas.

Enregistrement et récupération : le nouveau point d'attaque

L'efficacité d'une méthode d'authentification résistante au phishing peut être compromise si les processus d'enregistrement initial, de remplacement des authentificateurs ou de récupération d'accès permettent de contourner les contrôles en place. Si le remplacement d'une clé perdue dépend d'un appel au helpdesk avec une vérification superficielle, ou d'un retour automatique au SMS, l'attaquant ciblera ce processus. Il est de bonne pratique de vérifier l'identité lors de l'enregistrement, de prévoir des authentificateurs de secours et de limiter les méthodes alternatives susceptibles de contourner les contrôles d'authentification. Les comptes d'urgence nécessitent un traitement spécifique, décrit dans accès d'urgence. Le choix entre des clés physiques associées à un appareil et des passkeys synchronisées entre équipements implique un compromis entre contrôle et commodité, à évaluer au cas par cas.

Indicateurs et exceptions rendent la transition gérable

La migration est rarement achevée en un seul cycle. Suivre la proportion de comptes disposant de méthodes résistantes au phishing, par système et par profil, permet de montrer les progrès et d'identifier les poches de résistance. Chaque exception doit avoir un responsable, une justification et une échéance de révision. Lorsqu'il n'est pas encore possible de déployer des méthodes résistantes au phishing, la CISA recommande la correspondance de numéros dans les notifications push comme mesure intermédiaire pour réduire le risque lié à l'approbation indue de demandes d'authentification. Cette mesure ne rend pas, à elle seule, la méthode résistante au phishing. Surveiller l'utilisation des méthodes alternatives et les connexions anormales complète ce travail, dans une logique proche de la détection des risques d'identité.

Une transition progressive, adaptée au risque

La MFA résistante au phishing peut réduire significativement le risque de compromission de comptes par des attaques de phishing, même si elle ne remplace ni la gestion des privilèges, ni la protection des terminaux, ni la surveillance. Le rythme approprié dépend du parc applicatif, de la maturité de la gestion des identités et de la tolérance de l'organisation aux changements dans les habitudes des utilisateurs. Une approche par phases, qui commence par les systèmes et les personnes les plus exposés et traite avec le même soin l'enregistrement et la récupération, tend à produire des résultats plus solides qu'un remplacement effectué en une seule fois.