Authentification défaillante et désérialisation non sécurisée

L’authentification défaillante désigne les faiblesses dans la manière dont une application vérifie l’identité des utilisateurs et gère les sessions. Lorsque l’authentification est défaillante, les attaquants peuvent compromettre des mots de passe, des clés ou des jetons de session afin d’usurper l’identité d’autres utilisateurs. Cette catégorie du Top 10 de l’OWASP couvre un large éventail de failles : identifiants faibles, mauvaise gestion des sessions, MFA manquante et stockage non sécurisé des identifiants.

Le remplissage d’identifiants utilise de longues listes de paires nom d’utilisateur/mot de passe provenant de fuites de données antérieures et les essaie sur d’autres sites, en exploitant la réutilisation des mots de passe. La pulvérisation de mots de passe adopte l’approche inverse : essayer un petit ensemble de mots de passe courants (par exemple, Password1!) sur de nombreux comptes afin d’éviter les seuils de verrouillage des comptes. Ces deux attaques réussissent en raison de politiques de mots de passe faibles et de l’absence de MFA.

Les sessions relient les utilisateurs authentifiés à l’état de leur application. Les failles de gestion faible des sessions comprennent : des valeurs de jetons de session prévisibles (des ID séquentiels que les attaquants peuvent deviner), des jetons qui n’expirent jamais, des jetons transmis via HTTP plutôt que HTTPS et l’absence d’invalidation des jetons lors de la déconnexion. Un attaquant qui obtient un jeton de session valide peut usurper l’utilisateur sans connaître son mot de passe.

La fixation de session force une victime à utiliser un ID de session choisi par l’attaquant. Par exemple, un attaquant envoie un lien contenant un cookie de session prédéfini ; après l’authentification de la victime, il utilise ce même ID de session pour accéder au compte. Le détournement de session consiste à voler un jeton de session existant via XSS, écoute du réseau (sur des connexions non chiffrées) ou vol de cookies. La solution consiste à régénérer les ID de session après la connexion et à utiliser HTTPS partout.

Stocker les mots de passe en clair ou avec un hachage faible (MD5, SHA-1) constitue une défaillance critique de l’authentification. Lorsqu’une base de données est compromise, les mots de passe en clair et les hachages faibles sont immédiatement exploitables. Le stockage sécurisé des mots de passe nécessite un algorithme de hachage adaptatif conçu pour les mots de passe : bcrypt, Argon2 ou PBKDF2, avec un sel aléatoire propre à chaque utilisateur. Ces algorithmes sont volontairement lents, ce qui rend le cassage hors ligne coûteux en ressources informatiques.

La sérialisation convertit l’état d’un objet dans un format (JSON, XML, binaire) afin de le stocker ou de le transmettre. La désérialisation reconstruit l’objet à partir de ce format. La désérialisation non sécurisée se produit lorsqu’une application désérialise des données contrôlées par un attaquant sans les valider, ce qui permet à celui-ci de modifier des objets sérialisés afin de manipuler la logique de l’application, d’élever ses privilèges ou d’exécuter du code arbitraire sur le Server.

Un schéma d’attaque courant consiste à transmettre des objets sérialisés dans des cookies ou des paramètres d’API. Par exemple, une application Java qui utilise ObjectInputStream.readObject() sur des données non fiables peut déclencher une exécution de code à distance (RCE) par l’intermédiaire de chaînes gadget présentes dans des bibliothèques populaires (Apache Commons Collections). L’attaquant élabore une charge utile sérialisée malveillante, l’envoie à l’application et du code s’exécute pendant la désérialisation, souvent avant même l’exécution d’une vérification d’authentification.

Les défenses contre la désérialisation non sécurisée comprennent : ne jamais désérialiser de données non fiables avec des formats dangereux comme la sérialisation native de Java ou pickle de Python. Préférez les formats contenant uniquement des données (JSON, XML) à la sérialisation binaire. Si la désérialisation est nécessaire, mettez en place des contrôles d’intégrité (en signant l’objet sérialisé avec HMAC), utilisez des listes d’autorisation pour limiter les classes pouvant être désérialisées et exécutez le code de désérialisation dans des environnements isolés disposant de faibles privilèges.

L’authentification multifacteur (MFA) est le contrôle individuel le plus efficace contre l’authentification défaillante. Même si des identifiants sont compromis par hameçonnage, remplissage d’identifiants ou fuite d’une base de données, un attaquant dépourvu du second facteur ne peut pas s’authentifier. Microsoft indique que la MFA bloque plus de 99,9 % des attaques automatisées de compromission de comptes. La MFA doit être obligatoire pour les comptes privilégiés et encouragée pour tous les utilisateurs.

Les politiques de verrouillage des Account désactivent temporairement un Account après un nombre défini de tentatives de connexion échouées, ce qui ralentit les attaques par force brute. Toutefois, les verrouillages peuvent permettre un Denial de Service contre les utilisateurs légitimes : les attaquants déclenchent intentionnellement des verrouillages pour empêcher l’accès. La limitation du débit (ralentissement des réponses après des échecs répétés grâce à une temporisation exponentielle) et les défis CAPTCHA réduisent le risque de force brute avec un risque de DoS moindre.

OWASP classe l’authentification défaillante parmi les risques critiques, car les failles d’authentification sont à la fois courantes et très lourdes de conséquences. Les principaux indicateurs d’une authentification défaillante comprennent : l’autorisation d’attaques automatisées telles que le bourrage d’identifiants, l’autorisation des attaques par force brute ou d’autres attaques automatisées, l’acceptation de Password par défaut, faibles ou connus, l’utilisation de processus faibles de récupération des identifiants, l’utilisation de Password en clair ou hachés avec un algorithme faible, ainsi que l’absence d’une authentification multifacteur ou son inefficacité.

Testez votre compréhension des concepts de CompTIA Security+ (SY0-701) présentés dans cette leçon.

Dans cette leçon, vous avez appris que : l’authentification défaillante inclut les sessions faibles, le bourrage d’identifiants et le stockage non sécurisé des Password, la désérialisation non sécurisée peut entraîner une exécution de code à distance via des objets sérialisés malveillants, et la MFA, le hachage des Password avec bcrypt, la régénération de session après la connexion et les données sérialisées signées sont des défenses essentielles. Nous allons ensuite étudier le SDLC sécurisé ainsi que les outils SAST et DAST.