Les chercheurs de Proofpoint ont publié aujourd’hui un nouveau rapport sur une attaque par rétrogradation sophistiquée qui pourrait contourner l’authentification basée sur FIDO, exposant ainsi les cibles à des menaces de type « adversary-in-the-middle » (AiTM). Tribune.
Les principales conclusions de ce rapport sont les suivantes :
- En utilisant un « phishlet » dédié, les attaquants seraient en mesure rétrograder l’authentification basée sur FIDO vers des méthodes moins sécurisées, exposant les cibles à des menaces de type « adversary-in-the-middle » (AiTM).
- Cette attaque exploite une faille de fonctionnalité, en apparence insignifiante, liée aux navigateurs web ne prennent pas en charge la méthode d’authentification par clé d’accès (passkey FIDO2) avec Microsoft Entra ID. Elle permet aux attaquants d’usurper un agent utilisateur non pris en charge et de forcer une méthode d’authentification moins sécurisée.
- Bien que techniquement réalisable, les chercheurs de Proofpoint n’ont pas encore observé d’attaques par rétrogradation de l’authentification FIDO en place, les attaquants se concentrant toujours sur les comptes utilisant d’autres méthodes d’authentification multifacteur (MFA) ou n’ayant pas de sécurité autre.
- Les acteurs malveillants pourraient à l’avenir utiliser ces attaques comme une méthode clé pour contester les méthodes d’authentification « résistantes au phishing ».
Les chercheurs de Proofpoint précisent :
« Les clés d’accès basées sur FIDO restent une méthode d’authentification fortement recommandée pour se protéger contre les menaces courantes de phishing d’identifiants et de prise de contrôle de compte (ATO). Leur adoption a considérablement amélioré la sécurité en ligne en fournissant une méthode robuste pour vérifier l’identité des utilisateurs. Cependant, ce nouveau vecteur de menace pourrait permettre aux attaquants de rétrograder les mécanismes d’authentification basés sur FIDO, ce qui présente un risque potentiel tant pour les organisations que pour les utilisateurs individuels. »
