L'authentification hors bande : tour d'horizon des canaux de vérification parallèles

Qu'est-ce que l'authentification hors bande ?

L'authentification hors bande (OOBA) exige des signaux provenant de deux canaux de communication différents. Imaginez par exemple qu'un employé du service des finances reçoive un courriel prétendument envoyé par le PDG lui demandant de virer des fonds vers un compte bancaire précis afin de conclure une entente. Dans ce cas, une façon pour l'employé de procéder à une authentification hors bande consiste à composer le numéro inscrit au nom du PDG dans le répertoire de l'entreprise et à obtenir une confirmation verbale du contenu du courriel.

L'objectif de l'OOBA est de renforcer la sécurité et de compliquer la tâche des attaquants qui souhaitent mener des attaques d'ingénierie sociale. Si un attaquant a accès au compte de courriel du PDG ou de l'employé, tenter de confirmer la demande par courriel lui permettrait aisément de répondre et d'inviter l'employé à aller de l'avant. En revanche, confirmer la demande par téléphone signifie que l'attaquant devrait contrôler à la fois le téléphone du PDG et son compte de courriel pour mener l'attaque à bien.

L'OOBA est souvent considérée comme une forme d'authentification à deux facteurs (2FA) ou d'authentification multifacteur (MFA). Avec la 2FA ou la MFA, l'utilisateur doit disposer de deux types différents de facteurs d'authentification pour se connecter, par exemple un mot de passe et un téléphone intelligent qui reçoit ou génère des mots de passe à usage unique (OTP). Pour accéder malicieusement au compte d'un utilisateur, l'attaquant doit lui aussi avoir accès à ces deux éléments.

Avec l'OOBA, deux formes de communication différentes servent à confirmer une demande. Comme pour la 2FA ou la MFA, cela oblige l'attaquant à contrôler les deux formes de communication pour mener son attaque. Si l'attaquant envoie le courriel, mais que le PDG n'a aucune idée de ce dont vous parlez au téléphone, la partie est finie.

L'appareil hors bande

Un appareil hors bande est un dispositif d'authentification qui établit un autre canal de communication au sein d'un système de 2FA ou de MFA. Dans l'exemple du PDG, le compte de courriel de l'utilisateur constitue la forme d'authentification principale de la demande. Si l'attaquant contrôle le compte de courriel du PDG, toute information transmise par ce canal n'est pas digne de confiance. Répondre au courriel pour confirmer la demande — ou utiliser tout canal de communication accessible à un attaquant disposant de ce compte de courriel — n'apporte aucune authentification ni sécurité supplémentaire.

Dans cet exemple, l'appareil hors bande est le téléphone du PDG, qui recevra une demande d'authentification ou un secret supplémentaire par un canal hors bande. Un attaquant qui contrôle le compte de courriel du PDG ne contrôle pas nécessairement son téléphone. Le PDG pourrait se servir de ce téléphone pour confirmer verbalement la demande ou pour fournir un secret (comme un NIP ou un mot de passe) dont l'utilisateur a besoin afin de finaliser la transaction. Pour réussir l'attaque, l'attaquant devrait pouvoir accéder à la fois au courriel du PDG et à son téléphone, ce qui est une attaque bien plus difficile à mener.

Le fonctionnement de l'authentification hors bande (OOBA)

L'OOBA fait appel à plusieurs canaux distincts pour authentifier une demande. Par exemple, une demande formulée par courriel peut être authentifiée au moyen d'un appel téléphonique ou d'un mot de passe à usage unique généré sur le téléphone intelligent de l'utilisateur ou envoyé par message texte à son appareil.

Au moment de mettre en place un système d'OOBA, il est important que les deux canaux de communication utilisés soient distincts. Cela dit, avec l'essor des appareils mobiles, les entreprises disposent d'un vaste éventail d'options possibles pour déployer l'OOBA.

Utiliser l'OOBA en toute sécurité

Un élément crucial de l'OOBA est que les deux canaux d'authentification doivent réellement être distincts. Par exemple, dans le scénario du courriel évoqué plus haut, imaginez que le courriel demandant le virement bancaire comporte le numéro de téléphone du PDG dans le bloc-signature. Si c'est un attaquant qui a envoyé le courriel, il aurait aisément pu remplacer ce numéro par un numéro qu'il contrôle plutôt que par le véritable numéro du PDG. Si l'utilisateur compose ce numéro, il risque de parler à l'attaquant, qui approuverait sans hésiter le virement.

Il est également important que les canaux de communication utilisés pour réaliser l'OOBA soient distincts. Par exemple, un système d'OOBA peut combiner la saisie d'un mot de passe par l'utilisateur sur un site et la réception d'un courriel de confirmation. Si le site Web offre la réinitialisation du mot de passe par courriel, un attaquant ayant accès au courriel de l'utilisateur pourrait réinitialiser le mot de passe et cliquer sur les liens de la confirmation OOBA.

Acheminer l'OOBA vers les appareils mobiles

L'OOBA peut servir à l'authentification des utilisateurs, qu'il s'agisse de 2FA ou de MFA. Dans un schéma de 2FA, l'utilisateur a besoin de deux formes d'authentification distinctes, comme un mot de passe et un OTP généré par une application d'authentification. Avec la MFA, trois formes d'authentification distinctes ou plus sont utilisées, ce qui peut comprendre l'ajout d'une authentification biométrique au mot de passe et à l'OTP.

Les appareils mobiles offrent un large éventail d'options possibles pour mettre en œuvre l'OOBA. Voici quelques-unes des plus courantes :

• Les notifications poussées : les appareils mobiles peuvent recevoir des notifications poussées pour l'OOBA. Celles-ci peuvent contenir un OTP ou afficher un écran de consentement où l'utilisateur peut approuver ou refuser la demande.
• Les applications d'authentification : les applications d'authentification comme Google Authenticator peuvent générer des OTP en synchronisation avec le site Web associé. Cela permet de réaliser une authentification fondée sur des OTP sans risque que le code soit intercepté.
• Les jetons de sécurité : les jetons de sécurité sont des dispositifs physiques capables de générer des OTP ou de stocker des certificats numériques qui attestent l'identité de l'utilisateur. Celui-ci saisit le code affiché par le jeton de sécurité ou le branche à l'appareil pour s'authentifier.
• La biométrie : les lecteurs biométriques des appareils mobiles peuvent analyser les empreintes digitales ou effectuer une reconnaissance faciale. Cela procure une authentification robuste sans les risques potentiels liés aux attaques d'hameçonnage.

D'autres formes d'OOBA existent, comme la transmission d'OTP par message SMS ou l'exigence que l'utilisateur saisisse aussi un mot de passe. Ces facteurs sont toutefois moins sécuritaires et plus vulnérables à l'hameçonnage, aux attaques de l'intercepteur (MitM) et à d'autres attaques.

Prévenir la fraude et les cyberattaques grâce à l'authentification hors bande

L'objectif premier de l'OOBA est de déjouer les attaques de l'intercepteur, où l'attaquant parvient à intercepter et à manipuler les communications. Par exemple, un attaquant capable d'intercepter la demande de virement bancaire du PDG pourrait y substituer ses propres coordonnées bancaires aux coordonnées légitimes, de sorte que l'argent lui soit envoyé.

L'OOBA aide à prévenir la fraude et les cyberattaques en compliquant la réalisation d'une attaque de l'intercepteur. En faisant appel à plusieurs canaux de communication entre un utilisateur et une institution financière ou une autre organisation, l'OOBA force l'attaquant à intercepter et à contrôler l'ensemble de ces canaux. Comme le contrôle du compte de courriel d'un utilisateur n'équivaut pas au contrôle de son téléphone, la barre est placée plus haut pour réussir une attaque.

Exemples d'authentification hors bande

L'OOBA est une méthode qui accroît la confiance dans les communications en protégeant contre les attaques de l'intercepteur. Elle trouve des applications dans une variété de scénarios, notamment :

• Les opérations d'entreprise : une organisation peut recourir à l'OOBA pour vérifier des demandes potentiellement risquées ou coûteuses. Par exemple, la politique de l'entreprise peut exiger une OOBA avant de modifier les coordonnées financières d'un fournisseur ou d'un employé, ou avant d'amorcer un paiement important dans le cadre d'une entente ou d'une fusion-acquisition.
• Le commerce électronique : un attaquant peut mener une attaque de l'intercepteur pour accéder au compte d'un utilisateur ou rediriger une livraison vers sa propre adresse. En recourant à l'OOBA, une organisation peut compliquer ces attaques en obtenant une vérification supplémentaire par un canal que l'attaquant a peu de chances de contrôler.
• La finance : les institutions financières utilisent couramment l'OOBA pour aider à vérifier l'identité d'un utilisateur et se protéger contre la fraude. Cela peut prendre la forme d'un OTP transmis par SMS, par courriel ou par appel vocal, que l'utilisateur devra saisir pour authentifier une demande de connexion ou une transaction.
• Les TI : les attaques de l'intercepteur et l'hameçonnage sont des méthodes courantes pour livrer des maliciels aux utilisateurs et dérober des renseignements sensibles. L'OOBA peut aider à se protéger contre ces menaces en fournissant une authentification supplémentaire attestant qu'un courriel ou un autre message est légitime.
• La conformité réglementaire : les organismes de réglementation exigent de plus en plus des entreprises qu'elles démontrent que seules des parties autorisées accèdent aux données ou accomplissent certaines actions. L'OOBA ajoute un niveau de sécurité supplémentaire à ces processus sensibles et critiques.

Ce ne sont là que quelques exemples de la façon dont une organisation peut utiliser l'OOBA. Cela dit, toute situation où un attaquant se faisant passer pour un utilisateur légitime pourrait causer un préjudice à l'entreprise ou à sa clientèle constitue un cas d'usage potentiel de l'OOBA.

Conclusion

Les attaquants savent qu'il est souvent plus facile et plus rentable de duper les utilisateurs que de déjouer les cyberdéfenses. C'est pourquoi l'ingénierie sociale et les attaques de l'intercepteur se sont imposées comme une menace majeure pour la cybersécurité des entreprises et des particuliers.

L'OOBA offre une protection supplémentaire contre ce type d'attaques en compliquant l'interception des messages et le contrôle des canaux de communication par les attaquants. En confirmant une demande au moyen d'un canal qui échappe vraisemblablement au contrôle de l'attaquant, il est possible de réduire considérablement le risque qu'une attaque d'ingénierie sociale ou de l'intercepteur réussisse.

L'OOBA s'applique aussi très largement, à la plupart des secrets et à la plupart des entreprises. Avec des cas d'usage allant de l'authentification de la clientèle à la protection contre les attaques de compromission de courriel d'affaires (BEC), la capacité d'authentifier l'identité de façon simple et évolutive est inestimable pour renforcer la sécurité et atténuer les cyberrisques.

Mettre en place l'OOBA avec KZero Passwordless

Protéger vos organisations contre les attaques de l'intercepteur et d'ingénierie sociale est primordial. C'est pourquoi KZero Passwordless conçoit des solutions de confiance de nouvelle génération, comme Multi-Pass, qui intègrent l'OOBA d'emblée. Avec Multi-Pass, vous pouvez facilement déployer des autorisations à forte valeur grâce à une carte d'authentification mondiale qui allie biométrie hors ligne, cryptographie exclusive et MFA native pour valider vos utilisateurs en quelques secondes, d'une simple approche NFC.

Communiquez avec nous dès aujourd'hui et planifiez une démonstration pour en savoir plus sur Multi-Pass et sur la façon dont KZero Passwordless peut vous aider à intégrer la confiance à l'ensemble de vos opérations.

Howard Poston



Howard Poston est rédacteur publicitaire, auteur et concepteur de cours, avec une expérience en cybersécurité et en sécurité des chaînes de blocs, en cryptographie et en analyse de maliciels. Il détient une maîtrise en cyberopérations, cumule une décennie d'expérience en cybersécurité et plus de cinq ans d'expérience comme consultant indépendant.