Les codeurs conquièrent la sécurité : Série "Partager et apprendre" - Authentification

Dans ce blog, nous allons aborder l'un des problèmes les plus courants auxquels sont confrontées les organisations qui gèrent des sites web ou qui permettent à leurs employés d'accéder à distance à des ressources informatiques, c'est-à-dire à peu près tout le monde. Et oui, vous avez probablement deviné que nous allons parler d'authentification.

Si un pirate peut simplement se connecter à un système en tant qu'administrateur avec un nom d'utilisateur et un mot de passe valides, il n'est pas nécessaire de déployer des techniques avancées pour lutter contre les défenses du réseau. Le système ouvre simplement la porte et laisse entrer l'attaquant. Pire encore, si l'attaquant ne fait rien de trop extraordinaire, sa présence est presque impossible à détecter puisque la plupart des défenses le verront simplement comme un utilisateur ou un administrateur valide faisant son travail.

La catégorie des vulnérabilités d'authentification est assez vaste, mais nous allons passer en revue les problèmes les plus courants qui ont tendance à être intégrés accidentellement dans les processus de connexion des utilisateurs. En comblant ces lacunes, vous pouvez éliminer la grande majorité des problèmes d'authentification au sein de votre organisation.

Dans cet épisode, vous apprendrez

• Comment sont exploitées certaines vulnérabilités courantes en matière d'authentification ?
• Pourquoi ils sont si dangereux
• Quelles politiques et techniques peuvent être utilisées pour éliminer les vulnérabilités en matière d'authentification.

Comment les attaquants exploitent-ils les vulnérabilités en matière d'authentification ?

Les vulnérabilités d'authentification susceptibles de se glisser dans un système d'authentification sont assez nombreuses, et les pirates exploitent chacune d'entre elles de manière légèrement différente. Passons d'abord en revue les vulnérabilités les plus courantes, puis donnons des exemples montrant comment certaines d'entre elles peuvent être exploitées.

Les vulnérabilités les plus courantes en matière d'authentification sont les suivantes

• Avoir des politiques de mots de passe faibles ou inadéquates,
• Permettre un nombre illimité de tentatives de connexion,
• Fournir des informations à un attaquant en cas d'échec de connexion,
• Envoi d'informations d'identification sur des canaux non sécurisés,
• Les mots de passe sont faiblement hachés,
• Et le processus de récupération du mot de passe n'est pas sécurisé.

La faiblesse de la politique en matière de mots de passe est probablement la vulnérabilité la plus courante. Si les utilisateurs sont autorisés à créer des mots de passe sans aucune restriction, beaucoup trop d'entre eux utiliseront des mots de passe faciles à deviner. Chaque année, divers organismes de presse informatique publient une liste des mots de passe les plus utilisés, et "123456" et "password" figurent toujours parmi les cinq premiers. Il en existe d'autres. Les administrateurs aiment beaucoup utiliser "God". Il est vrai que ces mots de passe sont humoristiques ou faciles à retenir, mais ils sont également très faciles à deviner. Les pirates connaissent les mots de passe les plus courants et les utilisent en premier lorsqu'ils tentent de pénétrer dans un système. Si ce type de mots de passe est autorisé dans votre organisation, vous finirez par être victime d'une intrusion.

Une vulnérabilité moins évidente, mais néanmoins dangereuse, consiste à fournir des informations à l'utilisateur en cas d'échec de la connexion. En effet, si vous renvoyez un message lorsqu'un nom d'utilisateur n'existe pas et un autre lorsqu'un nom d'utilisateur existe mais que le mot de passe est mauvais, cela permet aux attaquants d'identifier les utilisateurs valides d'un système et de se concentrer sur la recherche des mots de passe correspondant à ces noms d'utilisateur. Si cette vulnérabilité est combinée à la vulnérabilité d'authentification qui permet de deviner un nombre illimité de mots de passe, elle permettrait aux attaquants de lancer des attaques par dictionnaire contre tous les utilisateurs valides qu'ils ont trouvés, ce qui pourrait leur permettre d'entrer dans un système assez rapidement si le mot de passe est facile à deviner.

Pourquoi les vulnérabilités en matière d'authentification sont-elles si dangereuses ?

Un conte classique de l'Ouest américain raconte l'histoire d'un fermier paranoïaque qui avait installé une triple serrure sur sa porte d'entrée, barricadé ses fenêtres et dormi avec un grand nombre d'armes à portée de main. Au matin, on l'a retrouvé mort. Ses agresseurs sont parvenus jusqu'à lui parce qu'il avait oublié de verrouiller la porte arrière. Les vulnérabilités en matière d'authentification ressemblent beaucoup à cela. Peu importe le type d'outils de surveillance ou de contrôles proactifs que vous avez mis en place ou le nombre d'analystes experts que vous employez si un pirate peut utiliser un nom d'utilisateur et un mot de passe valides pour pénétrer dans votre réseau.

Une fois à l'intérieur, il y a très peu de restrictions sur ce que l'attaquant peut faire. Tant qu'il agit dans le cadre de ses autorisations d'utilisateur, qui peuvent être très étendues s'il a compromis un compte d'administrateur, il y a très peu de chances qu'il soit pris à temps pour éviter de graves problèmes. C'est pourquoi la catégorie des vulnérabilités d'authentification est l'une des plus dangereuses pour un système.

Éliminer les vulnérabilités en matière d'authentification

L'un des meilleurs moyens d'éliminer les vulnérabilités d'un réseau en matière d'authentification consiste à mettre en place de bonnes politiques de mots de passe, appliquées à l'échelle mondiale. Non seulement les utilisateurs, même les administrateurs, ne doivent pas utiliser des mots de passe tels que "mot de passe", mais ils doivent être contraints d'ajouter un niveau de complexité tel qu'il soit impossible pour un pirate d'appliquer une attaque par dictionnaire ou par phrases courantes. Vous pouvez définir vos propres règles de création de mots de passe en fonction de l'importance du système à protéger. Il sera ainsi beaucoup plus difficile pour les attaquants de deviner les mots de passe ou de les forcer brutalement.

Vous devez également limiter le nombre de tentatives de connexion infructueuses, de sorte que si un mot de passe incorrect est saisi plus de trois fois, par exemple, l'utilisateur est bloqué. Le verrouillage peut être temporaire, car même un délai de quelques minutes empêchera les attaques automatisées par dictionnaire de se poursuivre. Il peut aussi être permanent, à moins que le compte ne soit déverrouillé par un administrateur. Dans les deux cas, le personnel de sécurité doit être alerté chaque fois qu'un tel verrouillage se produit afin qu'il puisse surveiller la situation.

Un autre bon moyen d'empêcher les pirates de recueillir des informations consiste à rédiger un message générique lorsqu'un nom d'utilisateur ou un mot de passe erroné est saisi. Ce message doit être le même dans les deux cas, afin que les pirates ne sachent pas s'ils ont été rejetés parce que l'utilisateur n'existe pas ou parce que le mot de passe est erroné.

Les failles d'authentification sont parmi les plus courantes et les plus dangereuses sur la plupart des systèmes. Mais elles sont également assez faciles à trouver et à éliminer.

Plus d'informations sur les vulnérabilités d'authentification

Pour en savoir plus, vous pouvez consulter l'aide-mémoire de l'OWASP sur l'authentification. Vous pouvez également mettre à l'épreuve vos nouvelles connaissances en matière de défense grâce à la démo gratuite de la plateforme Secure Code Warrior , qui forme les équipes de cybersécurité à devenir les meilleurs cyber-guerriers. Pour en savoir plus sur la manière de vaincre cette vulnérabilité et d'autres menaces, visitez le blogSecure Code Warrior .

Faites face à une vulnérabilité d'authentification dans la plateforme Secure Code Warrior : [Commencez ici]