Les développeurs à la conquête de la sécurité : Série Partage & Apprentissage - Authentification

Dans cet article, nous aborderons l'un des problèmes les plus courants rencontrés par les organisations qui gèrent des sites web ou qui permettent à leurs employés d'accéder à des ressources informatiques à distance, ce qui concerne pratiquement tout le monde. Et oui, vous l'avez probablement deviné, nous allons parler d'authentification.

Si un pirate peut simplement se connecter à un système en tant qu'administrateur avec un nom d'utilisateur et un mot de passe valides, il n'a nul besoin de déployer des techniques avancées pour contourner les défenses réseau. Le système lui ouvre tout simplement la porte. Pire encore, si l'attaquant ne fait rien de trop inhabituel, sa présence est presque impossible à détecter, car la plupart des systèmes de défense le considéreront simplement comme un utilisateur ou un administrateur légitime effectuant son travail.

La catégorie des vulnérabilités d'authentification est vaste, mais nous allons passer en revue les problèmes les plus fréquents qui ont tendance à s'immiscer accidentellement dans les processus de connexion des utilisateurs. En colmatant ces brèches, vous pouvez éliminer la grande majorité des problèmes d'authentification au sein de votre organisation.

Dans cet épisode, nous aborderons :

• Comment certaines vulnérabilités d'authentification courantes sont exploitées
• Pourquoi elles sont si dangereuses
• Quelles politiques et techniques peuvent être utilisées pour éliminer les vulnérabilités d'authentification.

Comment les attaquants exploitent-ils les vulnérabilités d'authentification ?

Il existe un certain nombre de vulnérabilités qui peuvent se glisser dans un système d'authentification, et les pirates exploitent chacune d'elles de manière différente. Commençons par passer en revue les vulnérabilités les plus courantes, puis donnons des exemples illustrant comment certaines d'entre elles peuvent être exploitées.

Les vulnérabilités d'authentification les plus courantes incluent :

• Des politiques de mots de passe faibles ou inadéquates,
• L'autorisation d'un nombre illimité de tentatives de connexion,
• La divulgation d'informations à un attaquant lors d'échecs de connexion,
• L'envoi d'identifiants via des canaux non sécurisés,
• Un hachage faible des mots de passe,
• Et un processus de récupération de mot de passe non sécurisé.

Avoir une politique de mots de passe faible est probablement la vulnérabilité la plus courante. Si les utilisateurs sont autorisés à créer des mots de passe sans aucune restriction, beaucoup trop d'entre eux en utiliseront de faciles à deviner. Chaque année, divers organismes spécialisés dans l'informatique publient une liste des mots de passe les plus utilisés, et "123456" ou "password" figurent toujours dans le top cinq. Il y en a d'autres. Les administrateurs aiment beaucoup utiliser "God". Certes, ce sont des choix amusants ou faciles à retenir, mais ils sont aussi très faciles à deviner. Les pirates connaissent les mots de passe les plus courants et les essaient en priorité lorsqu'ils tentent de pénétrer un système. Si ce type de mot de passe est autorisé dans votre organisation, vous finirez par être piraté.

Une vulnérabilité moins évidente mais tout aussi dangereuse consiste à fournir des informations à un utilisateur concernant un échec de connexion. C'est problématique car si vous renvoyez un message différent selon que le nom d'utilisateur existe ou non, cela permet aux attaquants de cartographier les utilisateurs valides d'un système et de se concentrer sur la recherche de mots de passe pour ces comptes spécifiques. Si cela est combiné à une vulnérabilité permettant un nombre illimité de tentatives, les attaquants peuvent lancer des attaques par dictionnaire contre les utilisateurs valides identifiés, ce qui pourrait leur permettre d'accéder au système assez rapidement si le mot de passe est facile à deviner.

Pourquoi les vulnérabilités d'authentification sont-elles si dangereuses ?

Il existe une histoire classique du Far West américain à propos d'un fermier paranoïaque qui avait installé trois serrures à sa porte d'entrée, barricadé ses fenêtres et dormait avec des armes à portée de main. Au matin, on l'a retrouvé mort. Ses agresseurs l'ont atteint parce qu'il avait oublié de verrouiller la porte arrière. Les vulnérabilités d'authentification ressemblent beaucoup à cela. Peu importe les outils de surveillance ou les contrôles proactifs que vous avez mis en place, ou le nombre d'experts que vous employez, si un attaquant peut utiliser un nom d'utilisateur et un mot de passe valides pour pénétrer votre réseau.

Une fois à l'intérieur, il existe très peu de restrictions sur ce que l'attaquant peut faire. Tant qu'il agit dans le cadre de ses permissions utilisateur, qui peuvent être très étendues s'il a compromis un compte administrateur, il y a très peu de chances qu'il soit intercepté à temps pour éviter des problèmes graves. Cela fait de la catégorie des vulnérabilités d'authentification l'une des plus dangereuses pour tout système.

Éliminer les vulnérabilités d'authentification

L'un des meilleurs moyens d'éliminer les vulnérabilités d'authentification d'un réseau est d'avoir des politiques de mots de passe solides et appliquées globalement. Non seulement les utilisateurs, y compris les administrateurs, devraient être empêchés d'utiliser des mots de passe comme "password", mais ils devraient être contraints d'ajouter un niveau de complexité rendant impossible pour un attaquant d'appliquer une attaque par dictionnaire ou par expressions courantes. Vous pouvez définir vos propres règles de création de mots de passe en fonction de l'importance du système à protéger. Cela rendra beaucoup plus difficile pour les attaquants de deviner ou de forcer les mots de passe.

Vous devriez également limiter le nombre de tentatives de connexion infructueuses afin que, si un mot de passe incorrect est saisi plus de trois fois, par exemple, l'utilisateur soit bloqué. Le verrouillage peut être temporaire, car même un délai de quelques minutes empêchera la poursuite des attaques automatisées par dictionnaire. Ou bien il peut être permanent, à moins que le compte ne soit débloqué par un administrateur. Dans les deux cas, le personnel de sécurité doit être alerté dès qu'un tel verrouillage se produit afin de pouvoir surveiller la situation.

Un autre bon moyen d'empêcher les attaquants de recueillir des informations est de créer un message générique chaque fois qu'un nom d'utilisateur ou un mot de passe erroné est saisi. Il doit être identique dans les deux cas afin que les pirates ne sachent pas s'ils ont été rejetés parce que l'utilisateur n'existe pas ou parce que le mot de passe est incorrect.

Les vulnérabilités d'authentification figurent parmi les plus courantes et les plus dangereuses sur la plupart des systèmes. Elles sont pourtant assez faciles à identifier et à éliminer.

En savoir plus sur les vulnérabilités d'authentification

Pour aller plus loin, vous pouvez consulter la fiche mémo sur l'authentification de l'OWASP. Vous pouvez également mettre vos nouvelles compétences défensives à l'épreuve avec la démo gratuite de la plateforme Secure Code Warrior, qui forme les équipes de cybersécurité à devenir des experts en la matière. Pour en savoir plus sur la lutte contre cette vulnérabilité et bien d'autres menaces, visitez le blog de Secure Code Warrior.

Relevez le défi et affrontez une vulnérabilité d'authentification directement sur la plateforme Secure Code Warrior : [Commencer ici]