Une assistante de direction reçoit un message qui ressemble à une notification de sa messagerie d'entreprise: un document partagé, un bouton, une page de connexion Microsoft parfaitement imitée. Elle saisit son adresse et son mot de passe. La page renvoie ensuite vers un site quelconque et l'affaire semble sans suite. Trois jours plus tard, ses collègues reçoivent depuis sa boîte des demandes de changement de coordonnées bancaires, rédigées en bon français, dans un fil d'échanges existant avec un client. Le mot de passe volé était aussi celui du compte administrateur du site et celui du NAS.
Ce scénario ne suppose aucun logiciel malveillant sur le poste. Il suppose seulement qu'un mot de passe suffisait pour ouvrir une session. La double authentification ferme ce chemin: elle exige, en plus du mot de passe, un second élément que la personne possède physiquement. Nous la mettons en place chez nos clients du Bassin Genevois sur Microsoft 365, sur les administrateurs de sites, sur l'accès distant et sur les consoles d'administration, dans le cadre de notre travail de cybersécurité.
Ce que la double authentification empêche, et ce qu'elle laisse passer
Le principe repose sur la combinaison de deux catégories différentes: quelque chose que vous savez, le mot de passe, et quelque chose que vous détenez, un téléphone ou une clé matérielle. Un mot de passe se copie sans que son propriétaire s'en aperçoive, alors qu'un objet physique ne se copie pas à distance.
Son périmètre mérite d'être posé sans exagération. La double authentification protège le moment de l'ouverture de session. Elle ne protège pas une session déjà ouverte sur un poste compromis, puisque le programme malveillant travaille alors derrière l'authentification. Elle ne remplace donc pas la protection des postes, sujet que nous traitons dans notre article sur ce que nous faisons de Bitdefender EDR sur un parc de PME, ni le filtrage des messages entrants, décrit dans notre article sur le spam et le phishing. Les trois se complètent: le filtrage limite l'exposition, la double authentification bloque le vol d'identifiants, la protection des postes traite ce qui s'exécute malgré tout.
Tous les seconds facteurs ne se valent pas
C'est le point que les dirigeants découvrent le plus souvent en cours de projet, et il détermine le niveau de protection réellement obtenu. Trois familles existent, et elles ne sont pas équivalentes.
- Le code reçu par message texte constitue le niveau le plus faible. Il vaut mieux que rien et nous l'acceptons comme étape transitoire, mais il présente deux fragilités structurelles. La première tient au canal: la réception dépend d'un numéro de téléphone attaché à un abonnement, et un abonnement se transfère par des procédures commerciales qui n'ont jamais été conçues comme un mécanisme de sécurité. La seconde tient au code lui-même, une suite de chiffres que l'utilisateur peut recopier ailleurs, y compris sur une page de connexion imitée, sans que rien ne l'avertisse.
- L'application d'authentification installée sur le téléphone représente le bon compromis pour la majorité des PME. Elle génère les codes localement, sans passer par le réseau de l'opérateur, et les versions récentes affichent une demande de validation indiquant l'application concernée et la localisation approximative de la tentative, ce qui donne à l'utilisateur une chance de refuser une demande qu'il n'a pas déclenchée. Nous activons systématiquement la validation par saisie d'un chiffre affiché à l'écran plutôt que le simple bouton d'acceptation, car un utilisateur pressé accepte tout ce qui vibre.
- La clé de sécurité physique, au format USB ou sans contact, offre le niveau le plus élevé, car elle vérifie l'adresse du site auquel elle répond: si la page de connexion n'est pas celle du service authentique, la clé ne produit rien. La protection ne dépend donc plus de la vigilance de la personne. Nous la réservons en général aux comptes à privilèges et aux dirigeants, car son coût unitaire et la nécessité d'en prévoir une seconde en secours la rendent moins adaptée à un déploiement complet.
La règle que nous appliquons se retient facilement: plus le compte ouvre de portes, plus le facteur doit être solide. Un administrateur de la messagerie ou de l'annuaire d'identités mérite une clé physique, ou au minimum une application d'authentification correctement configurée. Le fonctionnement de cet annuaire, sur lequel repose l'ensemble des accès Microsoft 365, est expliqué dans notre article sur Entra ID.
Les comptes sur lesquels nous l'exigeons, dans cet ordre
Nous ne déployons pas la double authentification partout le même jour. Nous suivons une progression par niveau de dégât potentiel.
- Les comptes d'administration de la messagerie et de l'annuaire viennent en premier, qu'il s'agisse de Microsoft 365, de Google Workspace ou d'une messagerie hébergée. Un administrateur compromis permet de créer des comptes, de lire toutes les boîtes et d'installer des règles de transfert discrètes.
- Les comptes administrateurs des sites internet suivent immédiatement, car un site vitrine ou une boutique détournée coûte du chiffre d'affaires et de la réputation.
- Les accès distants et les consoles d'administration réseau constituent le troisième niveau, prolongement direct de ce que nous expliquons dans notre article sur le bureau à distance ouvert sur Internet.
- L'ensemble des boîtes utilisateurs vient ensuite, avec une communication préparée et une période d'accompagnement.
- Les services que nous n'administrons pas, banque en ligne ou portail fiscal, restent de votre ressort. Nous les listons pendant l'audit et nous indiquons lesquels proposent un second facteur.
Les objections que nous entendons, et nos réponses
La résistance la plus fréquente porte sur le temps perdu, et elle repose sur une image ancienne du mécanisme, celle d'un code à saisir à chaque ouverture de messagerie. Les plateformes actuelles mémorisent un appareil de confiance pour une durée définie, ce qui ramène la demande de validation à quelques occurrences par mois sur un poste habituel, tout en la déclenchant systématiquement depuis un appareil inconnu.
La deuxième objection concerne les dirigeants qui voyagent et craignent de rester bloqués sans réseau. Elle se traite en enrôlant deux facteurs distincts par personne, par exemple une application sur le téléphone et une clé physique conservée séparément. Un administrateur qui voyage est précisément celui qui a le plus besoin d'un second facteur, puisqu'il se connecte depuis des réseaux dont il ne maîtrise rien.
La troisième objection est plus légitime: que se passe-t-il si un collaborateur perd son téléphone. La réponse tient dans la préparation. Nous définissons à l'avance qui peut réinitialiser un facteur, selon quelle vérification d'identité, et nous conservons les codes de secours dans un coffre partagé plutôt que dans une boîte mail. Ce coffre est le sujet de notre article sur le gestionnaire de mots de passe d'équipe, et l'ordre logique consiste à poser le coffre puis la double authentification, car le second facteur ne compense pas un mot de passe identique sur tous les services.
Notre déroulé de mise en place sur un parc de PME
Nous établissons d'abord la liste réelle des comptes à privilèges, qui contient presque toujours des comptes oubliés: un ancien prestataire, un compte technique créé pour un connecteur, un administrateur de secours dont personne ne se souvient. Nous nettoyons cette liste avant d'ajouter quoi que ce soit, car supprimer un compte inutile vaut mieux que le protéger. Cette hygiène rejoint ce que nous décrivons dans notre article sur la révocation des accès au départ d'un salarié.
Nous activons ensuite la contrainte sur les administrateurs, en conservant un accès de secours vérifié pour ne pas nous enfermer dehors. Nous étendons enfin aux utilisateurs par groupes, avec une note explicative envoyée avant et une permanence téléphonique le jour de l'activation. Sur un parc d'une vingtaine de postes, l'opération représente en pratique une demi-journée de configuration et quelques jours d'accompagnement.
Ce travail est inclus dans un contrat d'infogérance à partir de 120 HT / mois, avec le même montant hors taxes en euros et en francs, et il est suivi ensuite: chaque arrivée reçoit son facteur, chaque départ le perd, et nous vérifions périodiquement qu'aucun compte n'est resté en dehors du périmètre. Les assureurs demandent d'ailleurs couramment une authentification renforcée sur les comptes à privilèges, sujet que nous abordons dans notre article sur le questionnaire de cyberassurance.
Si vos administrateurs Microsoft 365 se connectent encore avec un simple mot de passe, écrivez-nous. Nous vous dirons quels comptes traiter en premier, quel facteur choisir pour chacun, et comment prévoir les pertes de téléphone avant qu'elles ne se produisent.