MFA résistante au phishing avec PKI et certificats
Comment l’authentification par certificat et les clés protégées par matériel peuvent réduire le phishing et le vol d’identifiants dans les environnements Zero Trust.
MFA résistante au phishing par certificats : présentation
Les méthodes MFA traditionnelles, comme les codes SMS, les OTP par e-mail et les notifications push, peuvent être vulnérables aux campagnes de phishing sophistiquées, aux attaques de l’intercepteur et à la fatigue liée aux sollicitations (par exemple, le MFA bombing). Les risques sont accrus dans les organisations distribuées, orientées cloud et utilisant des appareils variés.
Principes clés d’une authentification résistante au phishing
- Niveau d’assurance élevé et possibilité de répondre aux exigences de conformité, selon la mise en œuvre.
- Réduction de la dépendance aux mots de passe, codes à usage unique et secrets partagés.
- L’authentification peut être liée à l’origine du site et à des clés associées à l’appareil.
- Utilisation de la PKI, de la cryptographie asymétrique, de la protection des clés privées et d’un défi-réponse cryptographique.
- Prise en charge de contrôles Zero Trust, RBAC et ABAC fondés sur une identité vérifiée par certificat et ses attributs.
PKI pour Entra ID et Okta
Microsoft Entra ID (anciennement Azure AD) et Okta prennent en charge l’authentification par certificat (CBA) ainsi que des clés FIDO2 telles que YubiKey et Thales/IDPrime. Ces méthodes reposent sur la cryptographie asymétrique et des identifiants liés à l’appareil pour limiter les secrets réutilisables. La compatibilité dépend de la configuration du fournisseur d’identité, des appareils et des stratégies.
Les clés FIDO2 peuvent entraîner un coût supplémentaire par utilisateur. L’authentification par certificat peut s’appuyer sur une PKI existante et des certificats protégés par TPM, cartes à puce, PIV ou CAC, selon l’infrastructure. Securetron PKI prend en charge des méthodes telles que TPM, PIV, Smartcard, CAC, YubiKey et Thales IDPrime, ainsi que l’intégration de fournisseurs d’identité tiers.
MFA PKI et MFA TOTP
| Aspect | MFA TOTP | MFA PKI |
|---|---|---|
| Méthode d’authentification | Secret partagé générant des codes temporaires | Cryptographie asymétrique avec paire de clés publique/privée |
| Emplacement des identifiants | Secret partagé dans une application d’authentification ou sur un serveur | Clé privée dans un TPM, une carte à puce ou un HSM, selon la configuration |
| Action de l’utilisateur | Saisie d’un code à 6 chiffres | L’appareil signe un défi ; aucun code réutilisable n’est saisi |
| Résistance au phishing et au rejeu | Les codes peuvent être capturés ou rejoués dans certaines attaques | La signature du défi et sa liaison au service peuvent atténuer ces risques si la solution est correctement configurée |
| Cas d’usage | MFA générale | Accès à haut niveau d’assurance, Zero Trust et environnements réglementés |
Disponibilité et architecture
L’article présente une PKI sur site ou hautement disponible comme un modèle différent d’une dépendance exclusive à un IdP SaaS. La disponibilité lors d’une panne d’Entra ID ou d’Okta dépend toutefois de l’architecture, des dépendances d’authentification et des procédures de continuité de l’organisation ; elle ne peut être garantie sans test dédié.
Protection des clés privées et preuve de possession
La clé privée peut être stockée dans du matériel sécurisé, comme un TPM, Secure Enclave, une carte à puce ou un magasin adossé à un HSM. Une clé protégée par matériel est conçue pour empêcher son extraction, mais le niveau de protection dépend de l’appareil et de sa configuration.
Avec CBA, le serveur envoie un défi cryptographique, le client le signe avec sa clé privée et le serveur valide la signature à l’aide de la clé publique. Ce mécanisme aide à prouver la possession de la clé. Contrairement aux mots de passe, OTP ou approbations push, le flux ne dépend pas de la saisie, de la lecture ou de l’approbation d’un secret partagé par l’utilisateur.
Le défi peut être lié à la session TLS, à la chaîne de certificats du serveur et à l’identité du service. L’efficacité contre les attaques MITM dépend de la validation TLS et de la mise en œuvre correcte de CBA.
En savoir plus
Pour évaluer la MFA résistante au phishing et protéger les identités privilégiées avec la PKI, contactez Securetron afin d’étudier les besoins de votre environnement.