Microsoft corrige une faille dans Authenticator 8 ans après les premières plaintes

Après avoir ignoré pendant huit ans les plaintes des utilisateurs concernant une faille de sécurité dans son outil Authenticator, Microsoft a confirmé qu’il avait finalement corrigé ce problème. La faille résulte d’un oubli assez unique dans le processus d'introduction de comptes de l’application Authenticator : en limitant le nombre de champs pris en compte par Authenticator lors de l'ajout de comptes par QR codes, certains utilisateurs qui s'identifiaient par une adresse email pouvaient se voir refuser l'accès à un compte parce qu'Authenticator écrasait un autre compte avec le même nom d'utilisateur. Des applications d'authentification, comme Google Authenticator, Okta Verify, LastPass Authenticator, Salesforce Authenticator et à peu près toutes les autres, permettent d’ajouter le nom de l'émetteur dans les champs afin d'éviter ce problème.

Le correctif a été discrètement appliqué par Microsoft la semaine dernière, le 10 ou le 11 septembre, en fonction de la géographie. Le correctif était inclus dans la version 6.8.15 pour iOS et 6.2409.6094 pour Android. Certains utilisateurs d'iOS ont fait remarquer que le correctif ne s'affichait pas automatiquement et qu'ils devaient se rendre sur l'App Store depuis leur téléphone pour déclencher manuellement la mise à jour. Dans son courriel confirmant la correction, Microsoft a déclaré que « les améliorations permettaient de mieux distinguer les comptes TOTP (Time-based One-time Password) de tierces parties dans l'interface utilisateur lors de l’ajout d’un nouveau compte. Les utilisateurs dont le compte existant porte le même nom que le nouveau compte sont invités à renommer le nouveau compte afin d'éviter les écrasements de comptes. » Microsoft n'a pas expliqué pourquoi il lui a fallu tant d'années pour livrer un correctif, ni pourquoi l'application avait été conçue ainsi.

Mieux vaut tard que jamais

Le consultant australien en sécurité, Brett Randall, raconte certains des multiples messages sur la faille de sécurité qu’il a publiés sur Linkedin pendant plusieurs mois ont comptabilisé plus de 100 000 vues. « Microsoft Authenticator est désormais sur un pied d'égalité avec les autres authentificateurs TOTP basés sur les smartphones. Il évite l'écrasement accidentel des clés TOTP en cas, notamment, de réutilisation d'adresses électroniques, ce qui avait pour effet de bloquer les utilisateurs hors de systèmes non apparentés sans qu’ils en soient avertis », a écrit M. Randall sur LinkedIn. « Merci, Microsoft, d'avoir résolu le problème, même s'il a été beaucoup plus difficile que nécessaire d'en obtenir la reconnaissance ».

Le mois dernier, Tim Erlin, responsable de la sécurité des API chez Wallarm, a été l'un des nombreux utilisateurs à témoigner sur le problème de Microsoft Authenticator. « Même s’il semble qu’il n'a pas été facile à résoudre, c’est une bonne chose de voir que Microsoft a corrigé le problème affectant son application Authenticator. Il ne fait aucun doute que cela évitera des maux de tête à ses utilisateurs », s’est réjoui M. Erlin. Un autre observateur de la cybersécurité, Brian Levine, qui supervise les activités de cybersécurité d'Ernst & Young, a souligné que le correctif de Microsoft montre que, parfois, les grands éditeurs sont à l'écoute. Ils peuvent être lents à réagir, mais il leur arrive tout de même de faire les changements nécessaires. « Cela prouve que les développeurs de logiciels sont de plus en plus sensibles aux préoccupations et aux opportunités en matière de sécurité, y compris celles soulevées par les technologues et les médias technologiques », s’est félicité M. Levine.

Un problème très agaçant

Will Townsend, analyste principal chez Moor Insights & Strategy, dit qu’il a été personnellement confronté à ce problème. « Il s'agit d'un défaut de conception, pur et simple. L'utilisation des QR codes a gagné en popularité ces dernières années pour l’authentification multifactorielle (MFA), ce qui a finalement forcé Microsoft à corriger le problème, car sa solution faisait exception », a expliqué M. Townsend. « L’initiative « Secure Future » de l'entreprise, encore relativement récente, a peut-être joué un rôle déterminant pour convaincre l'équipe de développement du produit de s'attaquer au problème. Le défaut de conception était tel qu'il n'affectait pas tous les utilisateurs. Non seulement le nom d'utilisateur choisi avait un impact, mais l'entreprise authentifiée semblait aussi jouer un rôle. Par exemple, certaines banques et certains détaillants demandaient des informations différentes et les traitaient différemment. C'est la raison pour laquelle le problème n'était pas universel et donc plus impactant pour ceux qu'il touchait ».

Il a été aussi aggravé par le fait que les services IT ont rarement mis en cause Microsoft Authenticator, car ils supposaient que le défaut d’authentification provenait de l'entreprise concernée et ils ont perdu beaucoup de temps à en chercher la cause. Autre facteur aggravant : en cas d’écrasement par Microsoft, il est difficile de savoir quel compte a été écrasé, ce qui peut entraîner des problèmes d'authentification à la fois pour le compte nouvellement créé et pour le compte écrasé. De plus, les utilisateurs peuvent ne pas savoir qu'un compte, précédemment créé, a été écrasé, jusqu'à ce qu'ils tentent de l'utiliser à nouveau, plusieurs semaines ou plusieurs mois plus tard.