Les attaques peuvent utiliser à mauvais escient des flux de travail fiables pour prendre le contrôle de comptes protégés par un mot de passe, mais l’attaquant doit d’abord avoir violé les défenses et implanté des logiciels malveillants ; les analystes affirment que le problème réside dans les défauts des processus de support.
Compte tenu de l’adoption généralisée par les entreprises des mots de passe pour remplacer les mots de passe, un rapport de l’Unité 42 de Palo Alto Networks révélant les façons dont les attaquants contournent les protections par mot de passe est préoccupant, disent les analystes, mais ils soulignent que les attaques démontrées ne peuvent se produire qu’après une intrusion réussie.
Ils ont également souligné que les problèmes ne sont pas uniquement causés par des trous dans les mots de passe, mais plutôt par des faiblesses dans les procédures qui les entourent.
« Les chercheurs n’ont pas brisé la cryptographie sous-jacente. Ils ont exploité les failles qui l’entourent : flux d’intégration, mécanismes de récupération et signaux de confiance qui n’étaient pas validés », a déclaré Justin Greis, PDG du cabinet de conseil Acceligence. « Cette distinction est importante car elle nous indique où se situe le risque réel. »
Le rapport de Palo Alto a montré des attaques qui, selon lui, « démontrent comment les logiciels malveillants sur un point final compromis peuvent abuser des workflows d’intégration, de récupération et de confiance des appareils pour prendre le contrôle des comptes protégés par mot de passe », ainsi que « comment un attaquant peut s’authentifier sans interaction de l’utilisateur, contourner les exigences de vérification de l’utilisateur et extraire toutes les clés privées de clé d’accès synchronisées ».
Palo Alto a décrit trois catégories d’attaques, collectivement baptisées Pass-ta-key : Pass-ta-key, où un attaquant prend le contrôle d’un compte protégé par un mot de passe synchronisé par Google à l’aide d’un logiciel malveillant exécuté sur l’appareil de la victime, sans nécessiter d’élévation de privilèges, de déverrouillage de l’appareil ou d’interaction de l’utilisateur ; Silver Pass-ta-key, qui implique un attaquant faisant croire à Google Cloud Authenticator que la victime a déverrouillé l’appareil avec des données biométriques, conduisant à une prise de contrôle complète du compte sans utiliser l’appareil de la victime lors de l’authentification ; et Golden Pass-ta-key, qui permet à un attaquant d’extraire tous les mots de passe synchronisés sous une forme qui permet de les partager ou de les vendre sur le marché noir des informations d’identification.
Compte tenu de la complexité de la plupart des menaces d’entreprise mondiales, certains RSSI ont eu du mal à adapter les processus sans mot de passe aux environnements existants et virtuels. Les codes d’accès ont récemment été adoptés par les RSSI d’entreprise comme première étape dans la mise en œuvre d’une stratégie sans mot de passe.
Les analystes et les consultants s’accordent pour l’essentiel sur le fait que la faille signalée par Palo Alto est importante, même si elle suppose que l’attaquant a déjà pénétré un environnement et installé avec succès un logiciel malveillant. Malheureusement, étant donné qu’une telle pénétration nécessite seulement qu’un utilisateur privilégié, n’importe où, clique accidentellement sur un lien ou une pièce jointe empoisonné, l’hypothèse d’une pénétration préalable est probablement valable.
Les problèmes de mise en œuvre sont le problème
Ce que le rapport révèle concerne moins les failles directement présentes dans les codes d’accès que le manque d’attention accordée à un large éventail de mécanismes qui les entourent.
Greis a déclaré que les RSSI doivent désormais se concentrer sur ce qu’il faut faire et ce qu’il faut tester, en partant du principe que le comportement des utilisateurs n’est pas toujours celui attendu.
Dans plusieurs cas cités dans le rapport, a-t-il souligné, des problèmes sont survenus « non pas parce que la norme est défectueuse, mais parce que les mises en œuvre ne l’ont pas rattrapée. Cela reflète ce que nous avons vu à plusieurs reprises dans le domaine de la sécurité : la spécification est solide, mais l’écosystème qui la met en œuvre est inégal ».
Le consultant Brian Levine, directeur exécutif de FormerGov, est du même avis.
« Sur tout service où votre organisation est la partie utilisatrice, exigez la vérification de l’utilisateur et validez réellement l’indicateur vérifié par l’utilisateur dans la réponse d’authentification », a-t-il déclaré. « Les chercheurs ont découvert que des services du monde réel acceptent les connexions sans cela, ce qui réduit discrètement une connexion multifactorielle en un seul facteur. »
Frank Dickson, vice-président du groupe pour la sécurité chez IDC, a ajouté qu’il soulignerait aux RSSI que cette attaque suppose une pénétration préalable réussie.
« Il ne s’agit pas de mots de passe piratés sur Internet. Il s’agit de ce que fait (un attaquant) une fois qu’il est déjà à l’intérieur de la maison. Le véritable titre est donc que « résistant au phishing » cesse d’être résistant au moment où le point final cesse d’être propre », a-t-il déclaré.
« Arrêtez de considérer la vérification comme facultative », a-t-il conseillé. » Basculez-le sur requis, vérifiez-le côté serveur à chaque fois et enregistrez vos clés matérielles, les YubiKeys du monde, pour les comptes qui comptent le plus. Une clé qui ne quitte jamais un appareil physique est une clé qu’aucun attaquant ne pourra jamais récolter en masse. «
Or Finkelstein, responsable du marketing chez Secret Double Octopus, convient que les RSSI sont devenus complaisants quant à la manière dont les systèmes prennent en charge les mots de passe.
« Les RSSI devraient probablement examiner comment la vérification des utilisateurs est appliquée, comment fonctionnent l’inscription et la récupération, avoir une politique claire et appliquée indiquant si les informations d’identification sont synchronisées ou liées aux appareils, et disposer d’un système ITDR pour atténuer rapidement les points de terminaison et les authentificateurs suspects », a-t-il déclaré. « Dans les environnements d’entreprise les plus sérieux, l’EDR et la gestion des appareils réduisent la probabilité d’attaques initiales, mais ne ferment pas toutes les voies d’attaque post-compromission. »
De mauvais processus d’assistance affaiblissent les mots de passe
Certains ont fait valoir que le manque de processus de support suffisamment robustes affaiblit en fait les capacités des clés d’accès et mine l’intérêt même de ces systèmes.
J. Wolfgang Goerlich, membre du corps professoral de l’IANS et consultant de longue date en cybersécurité, a souligné que la spécification FIDO2 originale éliminait le vol d’informations d’identification en liant la clé privée à un authentificateur physique. Les clés d’accès synchronisées ont réintroduit la portabilité des informations d’identification et ont donc réintroduit la forme de risque de vol d’informations d’identification citée dans le rapport de Palo Alto.
« Un système sans mot de passe est exactement aussi puissant que le flux qui le rétablit », a-t-il déclaré. « Les deux techniques sérieuses ici commencent par forcer la réinscription d’un appareil. De nombreuses équipes de sécurité n’ont jamais modélisé, jamais surveillé et n’ont jamais répété une réponse à cela. »
Le conseil de Goerlich aux RSSI est d’exiger des authentificateurs liés aux appareils, tels que des jetons matériels ou des ordinateurs, pour tout accès privilégié et sensible. Ils pourraient envisager d’autoriser les portefeuilles pour un accès à moindre risque, a-t-il déclaré, « cependant, tout comme les mots de passe dans les navigateurs Web ont longtemps été menacés, nous devons maintenant considérer les mots de passe dans les navigateurs comme un risque inacceptable. »
