Travailler dans l'informatique est une bataille constante pour trouver l'équilibre parfait entre sécurité et productivité. Ce n'est pas mieux personnifié que dans le besoin pour les utilisateurs Active Directory (AD) d'accéder à plusieurs systèmes grâce à l'utilisation de plates-formes d’authentification unique (SSO).
Les solutions SSO éliminent le besoin pour les utilisateurs de se souvenir d'un mot de passe unique et complexe pour chaque application et plate-forme auxquelles ils accèdent, en le remplaçant par une seule connexion facilitant l'accès à plusieurs systèmes et applications.
Sécurité de l’authentification unique (SSO)
Offrant des temps d'accès plus rapides aux applications, avec des exigences de mot de passe réduites (généralement une), cette technologie simplifie les frais généraux et de support, tout en étant une technologie non perturbatrice avec un taux d'adoption élevé.
Elle présente également certains avantages en termes de sécurité: comme l'authentification unique n'utilise qu'un seul identifiant, cela revient souvent à exiger un mot de passe unique très complexe. De plus, le fait de désactiver l'accès à l'échelle de l'entreprise devient aussi simple que de désactiver le compte initial.
Mais, comme avec toute technologie conçue pour améliorer la productivité, il y a souvent des pertes sur le plan de la sécurité. Et dans le cas du SSO, il existe des risques de sécurité implicites.
Quels sont les risques de sécurité de l’authentification unique?
En général, SSO est plus soucieux de fournir un accès que de le restreindre. Et, à une époque où les attaques basées sur des logiciels malveillants sont répandues, ce n'est pas le moment idéal pour tout donner. Malgré les avantages mentionnés précédemment, il existe un certain nombre de risques liés à l'utilisation de l’authentification unique:
-
1. Accès instantané à bien plus que simplement le point de terminaison
les identifiants de connexions constituent un objectif majeur pour les attaquants externes (81% des violations de données impliquent un abus d'informations d'identification ). Lorsque l'authentification unique est en place, une fois qu'un utilisateur malveillant a un accès initial à un compte SSO authentifié, il a automatiquement accès à toutes les applications, systèmes, ensembles de données et environnements liés à ce compte. La plupart des environnements SSO exploitent un portail quelconque qui facilite l'accès sans nécessiter de mots de passe supplémentaires. Bien que ce soit génial pour les utilisateurs, c'est terrible pour la sécurité!
Les attaques externes utilisant un logiciel malveillant pour prendre le contrôle d'un point de terminaison auraient un accès post-connexion à tout ce qui est connecté via SSO immédiatement après l'infection, augmentant ainsi l'empreinte d'un attaquant au sein de l'organisation.
-
2. Contrôle moins parfait sur l'accès une fois accordé
Supposons qu'un utilisateur se soit connecté avec succès via SSO et ait accès à des applications externes supplémentaires dans le cloud. Ensuite, l'utilisateur tombe en proie à une attaque de phishing, donnant à un attaquant un accès au point de terminaison.
S'il est détecté, le compte peut certainement être désactivé, mais étant donné le fonctionnement de Windows, l'utilisateur reste connecté et, selon la solution SSO et le modèle de sécurité de l'application liée, l'attaquant peut rester connecté avec un accès à une application donnée.
-
3. Peu ou pas d'adhésion au principe du privilège minimum
Le principe du privilège minimum impose aux utilisateurs d'avoir accès aux données, applications et systèmes minimums nécessaires pour faire leur travail, et nécessite généralement des informations d'identification distinctes pour un accès élevé.
Parce que SSO consiste à vous donner accès avec une authentification unique, cela va à l'encontre de l'idée d'exiger que l'utilisateur s'authentifie chaque fois qu'il doit accéder à quelque chose de nouveau.
Même avec des risques, les organisations aiment le bénéfice de l'amélioration de la productivité et la réduction des coûts de support. Alors, comment pouvez-vous faciliter l'accès simplifié de SSO tout en maintenant une posture de sécurité solide?
Réduire le risque de l’authentification unique active directory
Étonnamment, la réponse ne réside pas dans la suppression de SSO. Au contraire, il s'agit de combler les lacunes en matière de sécurité en prenant quelques mesures supplémentaires d'une manière aussi peu perturbatrice que possible.
Étape 1: Corrigez les vulnérabilités des mots de passe avec l’authentification à deux facteurs (2FA)
L'authentification à deux facteurs introduit une couche de sécurité supplémentaire pour protéger les comptes AD dont le mot de passe a été compromis. Après la vérification habituelle de l'identifiant et du mot de passe, le système vous demandera un code de sécurité.
L'utilisation de la 2FA pour les comptes Active Directory met en place quelques contrôles de sécurité:
- Cela peut arrêter une violation de données avant tout dommage
- Cela protège tous les utilisateurs, y compris les plus privilégiés
- Cela rend les informations d'identification compromises inutiles pour l'attaquant
- Cela peut être personnalisé pour tout utilisateur, groupe d'utilisateurs ou unité organisationnelle
- Cela peut être utilisé en conjonction avec la gestion des connexions pour devenir encore plus puissant (voir l'étape suivante)
Les solutions 2FA ne sont pas largement adoptées et probablement parce qu'elles sont considérées comme gênante pour les utilisateurs finaux avec des étapes de sécurité supplémentaires qui s'avèrent coûteuses, complexes et longues à mettre en place et à gérer par le service informatique. Eh bien, ce n'est pas vrai, ce sont des mythes de la 2FA.
La combinaison de l'authentification unique avec 2FA permet aux organisations de vérifier l'identité des utilisateurs tout en leur donnant un accès facile aux applications professionnelles.
Étape 2: Sécuriser la connexion à Active Directory avec la gestion des connexions
Une solution de gestion des connexions place quelques contrôles de sécurité autour de la connexion Windows initiale:
- Il limite quand et à partir de quel(s) point(s) de terminaison ou adresses IP un compte d'utilisateur particulier peut se connecter
- Il limite la fréquence d'ouverture de session et les connexions simultanées
- Il restreint en fonction du type de session (local, RDP, etc.)
- Il surveille les connexions à la recherche d'activités inhabituelles, telles que la tentative d'ouverture de session après les heures de travail ou à partir d'un point de terminaison inhabituel
- Il peut nécessiter des approbations d'un autre utilisateur - normalement un gestionnaire ou un informaticien
- Il peut forcer une fermeture de session complète à partir d'une session Windows en fonction des heures autorisées ou en réponse à la directive informatique
C'est cette dernière partie (soutenue par toutes les autres capacités de la gestion des connexions) qui remplit l'un des trous de la SSO - arrêter l'accès via SSO n'est efficace que si vous arrêtez également l'accès à toutes les applications externes. Avec une capacité à fermer toute la session Windows, vous savez que chaque ensemble de données, système et application accessible est également sécurisé.
Habituellement exécuté en tant que partie intégrante du processus de connexion, la gestion des connexions est une technologie non perturbatrice qui s'harmonise avec l'état d'esprit axé sur la productivité de ceux qui implémentent l'authentification unique.
Étape 3: Améliorer une posture de privilège minimum avec la Gestion des Sessions Privilégiées
SSO souhaite donner aux utilisateurs l'accès à des applications supplémentaires sans nécessiter de connexion. Mais une bonne pratique du privilège minimum dicte qu'un accès élevé nécessite une authentification supplémentaire. Un bon moyen pourrait être l'utilisation de Gestion des Sessions privilégiées (GSP).
GSP est une sorte de proxy entre l'utilisateur et le système ou l'application avec un accès élevé. Les utilisateurs de bas niveau peuvent demander un accès (au moyen d'un portail) avec un accès accordé sans fournir le mot de passe à l'utilisateur. Maintenant, on dirait que ce n'est pas différent de SSO, et à certains égards, c'est vrai.
Ce que la GSP ajouterait à la combinaison, ce sont ses contrôles axés sur les politiques qui mettent en place quelques contrôles supplémentaires:
- Il peut définir quels utilisateurs peuvent accéder à quels systèmes, quand, d'où, etc.
- Il peut nécessiter des approbations d'un pair ou d'un responsable avant d'autoriser l'accès
- Il peut informer le département informatique de l'accès accordé
- Il peut enregistrer la session pour créer une piste d'audit d'activité
L'ajout de GSP crée un résultat final similaire à SSO, avec un niveau comparable de «non-perturbation» mais avec l'ajout de plusieurs couches de contrôles de sécurité en place.
Étape 4: Utiliser l'authentification unique pilotée par la stratégie de sécurité
SSO a sa place dans n'importe quelle organisation et, dans le cas d'organisations avec de nombreuses applications basées sur le cloud, vous pouvez utiliser AD comme système d'enregistrement pour tous les accès externes. En disposant de contrôles AD solides (tels que la gestion des connexions et GSP), vous créez une base sécurisée pour SSO. Mais vous ne pouvez pas vous arrêter là.
Voici quelques suggestions de contrôles de sécurité SSO à mettre en place:
Garantir le privilège minimum SSO – pensez à l'accès que SSO devrait fournir en utilisant l'objectif de privilège minimum. Définissez des rôles pour chaque type d'utilisateur dans l'organisation, en identifiant les applications spécifiques dont ils ont besoin pour effectuer leur travail, en limitant l'accès aux seules tâches informatiques jugées absolument nécessaires.
Exiger l'authentification multifacteur – demander plus d'un facteur supplémentaire améliore considérablement la sécurité.
Utiliser les protocoles d'authentification modernes – Assurez-vous que votre solution SSO exploite OpenId Connect ou OAuth 2.0.
Limiter l'accès au périphérique – Définissez des restrictions sur les périphériques avec lesquels un utilisateur peut tirer parti de l'authentification unique.
Appliquer les changements fréquents de mot de passe – pour les comptes avec un accès élevé, envisagez d'exiger de nouveaux mots de passe plus souvent.
Obtenir une sécurité et une productivité élevées avec les connexions Active Directory et l’authentification unique
Le risque dans l'authentification unique n'existe que si vous voyez l'authentification unique comme un moyen de gagner de l’accès. Mais en reconnaissant les failles de sécurité inhérentes qui existent et en compensant en mettant en œuvre des contrôles supplémentaires sous la forme d'authentification à deux facteurs, de gestion des connexions et de gestion des sessions privilégiées, vous réduisez efficacement le risque de l’authentification unique, ce qui en fait une source de productivité et de sécurité élevée.
1 Verizon, Data Breach Investigations Report (2017)