Selon un nouveau rapport de Doyensec, en collaboration avec Teleport, les entreprises pourraient s'exposer en s'appuyant de plus en plus sur l'authentification unique (SSO).L'authentification unique (SSO) est un système d'authentification qui permet à un utilisateur de se connecter à l'aide d'un seul identifiant à n'importe lequel de plusieurs systèmes logiciels liés, mais indépendants. Une véritable authentification unique permet à l'utilisateur de se connecter une seule fois et d'accéder aux services sans avoir à saisir à nouveau les facteurs d'authentification.
Bien que vendues par les fournisseurs d'identité (IdP) pour leur commodité et leur sécurité, les solutions SSO peuvent amplifier l'impact des violations. L'étude montre que ces impacts peuvent être considérablement atténués lorsque des couches de sécurité supplémentaires sont placées entre l'IdP et les applications et services liés.
« Aucun fournisseur de SSO ne devrait être considéré comme sûr », déclare Ev Kontsevoy, PDG de Teleport. « Avec le SSO, si l'identité d'une personne est compromise, vous pourriez remettre la clé principale du château. Le SSO offre un confort considérable, mais l'accès non autorisé aux informations d'identification d'une personne expose toutes les plateformes et tous les services pour lesquels cette personne a des privilèges. Sans défense supplémentaire, le SSO en lui-même ne permet pas de contrecarrer les attaques basées sur l'identité ».
Teleport a travaillé avec Doyensec pour simuler des vecteurs d'attaque IdP allant de la compromission totale de l'IdP (affectant tous les clients de l'IdP) à la compromission d'une instance IdP (affectant une entreprise spécifique) par le biais d'utilisateurs privilégiés ou non privilégiés. Ce dernier type d'attaque est plus courant, avec des schémas d'entrée utilisés par les attaquants, notamment l'ingénierie sociale, les campagnes de phishing à grande échelle ou de spear phishing, la corruption des employés pour obtenir des codes 2FA, le prompt-bombing, le credential stuffing, le détournement de session, la pulvérisation de mots de passe et la fuite de jetons d'accès.
L'impact potentiel de la compromission de l'IdP peut inclure le vol d'applications et de données utilisateur, l'usurpation d'identité d'utilisateurs privilégiés et non privilégiés, l'espionnage des utilisateurs et de leurs activités, la dégradation de la sécurité du fournisseur de services et la création de nouveaux utilisateurs et identifiants.
« Ce qui est clair, c'est que les vulnérabilités des plateformes SSO et IdP peuvent avoir des impacts catastrophiques », déclare Luca Carettoni, PDG de Doyensec. « L'application d'une couche de sécurité de défense en profondeur au-dessus des fournisseurs de services peut considérablement limiter les résultats d'une compromission réussie du fournisseur SSO et réduire l'impact sur l'infrastructure protégée. La configuration de la couche de défense en profondeur est extrêmement importante pour la posture de défense globale d'une entreprise. »
À propos de Teleport
Teleport est un fournisseur mondial de plateformes d'accès modernes pour l'infrastructure, améliorant l'efficacité des équipes d'ingénierie, renforçant l'infrastructure contre les acteurs malveillants ou les erreurs, et simplifiant la conformité et les rapports d'audit. La plateforme d'accès Teleport offre un accès à l'infrastructure à la demande, avec le moins de privilèges possible, sur la base d'une identité cryptographique et d'une confiance zéro, avec une sécurité des identités et une gouvernance des politiques intégrées.
Source : "Defending against Identitiy Provider (IdP) Compromise" (livre blanc de Teleport)
Et vous ?
Quel est votre avis sur le sujet ? Trouvez-vous les résultats de cette étude de Teleport et de Doyensec crédibles ou pertinents ?Voir aussi :
60 % des organisations ont subi des failles d'authentification au cours de l'année écoulée, d'après HYPR, une plateforme d'authentification multi-facteurs sans mot de passe L'approche d'authentification Zero Trust vise une sécurité plus renforcée, et répond à l'échec des méthodes d'authentification traditionnelles, selon Beyond Identity