Un moyen de contourner l'authentification FIDO découvert

Après une première alerte en juillet par des spécialistes d’Expel (mais l’exploit n’a pas été confirmé faute de preuves), c’est au tour de chercheurs de Proofpoint de s’attaquer à la sécurité du standard FIDO. Celui-ci est utilisé pour l’authentification sans mot de passe et il est considéré comme un moyen efficace contre les tentatives d'hameçonnage. Or les experts de Proofpoint ont découvert un moyen de contourner ce système via une technique de rétrogradation. Elle a été testée en se servant de Microsoft Entra ID comme exemple.

Le point de départ des chercheurs : le fait que tous les navigateurs web ne prennent pas en charge les clés d'accès FIDO, par exemple Safari sous Windows. Selon Proofpoint, cette lacune fonctionnelle peut être exploitée par des attaquants. « Un cybercriminel peut adapter une attaque de type Adversary-in-the-Middle (AiTM) pour usurper un agent utilisateur non supporté qui n'est pas reconnu par une implémentation FIDO. L'utilisateur serait alors contraint de s'authentifier à l'aide d'une méthode moins sécurisée », précisent-ils.

Une technique relativement simple, mais efficace

Pour démontrer leur exploit, les experts ont développé un phishlet pour le framework AiTM Evilginx. Il s'agit d'un fichier de configuration utilisé dans les kits de phishing pour usurper l'identité de sites web et voler des données de connexion et des jetons de session. Selon Proofpoint, la séquence d'attaque est possible car les comptes utilisateurs avec authentification FIDO utilisent généralement des méthodes de connexion alternatives comme solution de secours, généralement l'authentification multifactorielle (MFA).

La séquence d’attaque se déroule alors comme suit :

• Un lien de phishing est envoyé à la cible, par exemple par courriel, SMS ou demande OAuth ;

• Si l'utilisateur clique sur le lien malveillant, une erreur d'authentification est signalée et une méthode de connexion alternative est suggérée ;

• Si l'utilisateur attaqué utilise cette méthode et se connecte via la fausse interface, ses données de connexion et ses cookies de session sont interceptés ;

Cela permet au pirate de détourner la session et de prendre le contrôle du compte de la cible. Une fois entré, il peut exfiltrer des données ou se déplacer au sein de l’environnement affecté.

Le patron de la FIDO Alliance relativise l’exploit

A ce jour, ce type d’attaque n’a pas été utilisée par des cybercriminels, mais le fournisseur de sécurité classe l’exploit par rétrogradation comme une menace importante. Dans son blog, il met en garde : « étant donné que de plus en plus d'organisations introduisent des méthodes d'authentification 'résistantes au phishing' telles que FIDO, les attaquants pourraient intégrer les downgrades d'authentification FIDO dans leurs chaînes d'attaque à l'avenir ».

Dans un courriel à CSO, Andrew Shikiar, CEO de la FIDO Alliance, a mis en doute la gravité de cette vulnérabilité. « L'attaque décrite ici ne reflète pas une vulnérabilité des clés d'accès ou des protocoles FIDO », a-t-il déclaré. « Elle illustre plutôt l'importance pour les fournisseurs de services de s'éloigner complètement des mots de passe et autres méthodes de connexion susceptibles d'être piratées dès que possible », constate-t-il. Tout en ajoutant que « la FIDO Alliance fournit des conseils aux fournisseurs de services sur la manière d'atténuer les risques d'hameçonnage tout en continuant à proposer plusieurs options de connexion à leurs utilisateurs, ainsi que sur la manière de passer à des flux de connexion utilisant uniquement des clés d'accès et de supprimer les options de secours qui reposent sur des méthodes susceptibles d'être piratées, tant pour la connexion que pour la récupération de compte. Ces conseils sont disponibles sur Passkey Central. »