Transformation de la sécurité
Épisode 2 : contourner la MFA
Extraits essentiels :
Qu'est-ce que la MFA ?
Michael Keane : [00:00:39]
...Concrètement, l'authentification consiste habituellement à vérifier qu'une personne est bien celle qu'elle prétend être. Vous avez probablement entendu parler de l'authentification à deux facteurs, qui consiste à utiliser deux formes d'assurance différentes ; l'authentification multifacteur étend ce concept en ajoutant d'autres facteurs d'authentification… L'idéal est d'utiliser, par exemple, un mot de passe associé à une clé de sécurité, ou un mot de passe associé à des empreintes digitales. Il n'est pas judicieux d'utiliser un mot de passe associé à une question de sécurité, car il s'agit là de deux éléments que des pirates informatiques peuvent facilement rechercher...
Michael Keane : [00:02:48]
...Compte tenu de la prévalence du phishing à l'heure actuelle, il est plus facile que jamais de voler des mots de passe... À mesure que la sécurité s'intensifie, les acteurs malveillants deviennent également de plus en plus créatifs...
Michael Keane : [00:04:21]
...Le recours à des formes de MFA résistant au phishing, telles que les clés de sécurité conformes à la norme FIDO2, empêche les attaques de l'intercepteur...
Types de MFA
Michael Keane : [00:07:12]
L'échange de SIM en est un exemple regrettablement courant, en raison de la prévalence des codes envoyés par SMS. Là, nous parlons de techniques plus modernes, telles que les empreintes digitales, l'identification faciale et d'autres contrôles biométriques. Ces éléments sont plus difficiles à falsifier ; il s'agit donc d'une méthode résolument plus forte. Il est assez généralement admis que toutes les méthodes conformes à la norme FIDO2, à l'instar de nos clés de sécurité, correspondent aux formes d'authentification les plus solides et les plus résistantes au phishing...
Ashley Valera : [00:08:34]
...Quand bien même vous avez mis en place une MFA résistant au phishing, telle que des clés physiques, cela ne suffit pas à empêcher complètement ces attaques. Les acteurs malveillants ont recours à une multitude de stratégies pour contourner la MFA ; il est donc logique que les organisations doivent, elles aussi, adopter une stratégie de sécurité à plusieurs facettes pour se défendre.
Premiers pas dans l'univers Zero Trust
Michael Keane : [00:09:10]
Le Zero Trust correspond à cet ensemble de principes directeurs, cette infrastructure de niveau supérieur au sein de laquelle il convient de ne jamais faire confiance, de toujours vérifier et de n'accorder aucune confiance implicite... La MFA concerne plutôt l'accès, qui concerne lui-même l'accès réseau Zero Trust. Ce modèle permet de déployer un accès individuel à tous les types de ressources de l'entreprise, qu'il s'agisse de ressources SaaS, sur site ou hors du web, telles que les terminaux SSH pour vos développeurs. La MFA concerne avant tout cette composante d'accès, que nous pouvons intégrer dans le cadre de notre stratégie ZTNA. C'est par là qu'un grand nombre d'organisations devraient commencer leur parcours d'adoption global de l'architecture Zero Trust : commencer par verrouiller les accès.
Michael Keane : [00:10:46]
Si votre entreprise possède, dans un datacenter, une application âgée de 20 ans, celle-ci risque de ne pas offrir une prise en charge naturelle des normes les plus récentes en matière d'architecture ZTNA. L'architecture ZTNA se trouve au centre, formant une couche d'agrégation qui contribue à la mise en œuvre de n'importe quel type de MFA. Cette démarche unifiée d'une stratégie de sécurité plus vaste encourage une collaboration plus harmonieuse des différents éléments, et assure une protection suivant plusieurs angles.
Cet article fait partie de notre série consacrée aux nouvelles tendances et évolutions susceptibles d'affecter les décideurs en matière de technologies d'aujourd'hui.
Points clés
Comment la mise en œuvre d'une stratégie de sécurité Zero Trust contribue à empêcher l'exploitation de la MFA
Qu'est-ce que la MFA ? [00:00:39]
Types de MFA [00:07:12]
Premiers pas dans l'univers Zero Trust [00:09:10]