Clés push et matérielles

Les codes OTP saisis fonctionnent, mais ils sont peu pratiques et vulnérables à l’hameçonnage. Deux facteurs de possession plus robustes améliorent l’expérience et la sécurité : les approbations push et les clés de sécurité matérielles.

La MFA par notification push envoie une demande sur votre téléphone. Vous touchez Approuver ou Refuser au lieu de saisir un code.

C’est pratique, et le serveur confirme la réponse de manière cryptographique.

Les demandes push sont vulnérables à la fatigue liée à la MFA (bombardement de notifications push) : les attaquants envoient des demandes d’approbation en masse en espérant que l’utilisateur touche Approuver par agacement.

Défense : la correspondance de nombres, qui oblige l’utilisateur à saisir un nombre affiché sur l’écran de connexion.

Une clé de sécurité matérielle est un petit appareil physique (USB, NFC ou Bluetooth) qui effectue une authentification cryptographique.

La clé privée ne quitte jamais l’appareil, ce qui la rend extrêmement résistante au vol.

FIDO2 est la norme ouverte qui sous-tend les clés de sécurité modernes. Son volet web est l’API de navigateur WebAuthn.

Ensemble, ils permettent à un site d’authentifier les utilisateurs grâce à la cryptographie à clé publique plutôt qu’à des secrets partagés.

Lors de l’enregistrement, la clé génère une paire de clés unique pour chaque site et transmet la clé publique au site.

Lors de la connexion, le serveur envoie un défi ; la clé le signe avec la clé privée. La signature prouve que la clé est bien détenue sans révéler le moindre secret.

FIDO2 lie chaque identifiant à l’origine exacte du site (domaine).

Un site d’hameçonnage utilisant un domaine imitateur n’obtient aucune signature valide, car la clé refuse de s’authentifier auprès de la mauvaise origine. C’est ce qui la rend résistante à l’hameçonnage.

Les clés d’accès sont des identifiants FIDO2 qui peuvent se synchroniser entre vos appareils grâce à la plateforme (téléphone, ordinateur portable).

Elles visent à remplacer entièrement les mots de passe tout en conservant la résistance de FIDO2 à l’hameçonnage.

Les clés de sécurité peuvent ajouter une vérification locale, appelée vérification de l’utilisateur : un PIN ou une donnée biométrique sur l’appareil lui-même.

Cela associe quelque chose que vous possédez à quelque chose que vous connaissez ou que vous êtes en une seule pression.

En gros, de la plus faible à la plus forte :

• Codes SMS (à éviter lorsque c’est possible)
• Applications TOTP
• Notifications push avec correspondance de nombres
• FIDO2 / clés d’accès (résistantes à l’hameçonnage)

Lors du déploiement de clés matérielles :

• Enregistrez au moins deux clés par utilisateur (une comme clé de secours).
• Prévoyez une procédure de récupération qui reste résistante à l’hameçonnage.
• Privilégiez FIDO2 pour les comptes à forte valeur.

Pourquoi les clés de sécurité FIDO2 sont-elles considérées comme résistantes à l’hameçonnage ?

Vous avez découvert des facteurs de possession plus robustes.

• Les notifications push sont pratiques, mais nécessitent une correspondance de nombres pour résister aux attaques par fatigue.
• FIDO2 / les clés d’accès utilisent des paires de clés propres à chaque site et une liaison à l’origine pour résister à l’hameçonnage.
• Enregistrez des clés de secours.

Ensuite, nous verrons comment la MFA peut malgré tout être contournée et comment la renforcer.