Une MFA résistante au phishing qu'une fausse page de connexion ne peut pas contourner
Une MFA résistante au phishing est une authentification multifacteur qui protège encore l'utilisateur quand il arrive sur une fausse page de connexion convaincante. Les codes reçus par SMS et ceux d'une application d'authentification n'atteignent pas ce niveau, car l'utilisateur peut les saisir sur le mauvais site. Les passkeys et les clés de sécurité l'atteignent, et Skycloak Platform est conçu pour les offrir à vos utilisateurs sans nouveau code dans votre application.
Pourquoi les codes ne suffisent pas
Un code à usage unique prouve que l'utilisateur possède un téléphone, pas sur quel site il le saisit. Les attaquants exploitent des pages relais placées entre l'utilisateur et le vrai site : l'utilisateur saisit son mot de passe et son code sur la fausse page, le relais les transmet aussitôt au vrai site et garde la session obtenue. Le second facteur a bien servi, et le compte est perdu quand même.
Les validations par notification ont une faiblesse voisine. Un attaquant qui a déjà le mot de passe envoie des demandes jusqu'à ce qu'un utilisateur fatigué accepte, et c'est pourquoi les équipes sécurité demandent désormais des facteurs qui n'exigent aucun jugement de l'utilisateur.
Ce qui rend un facteur résistant au phishing
Les passkeys et les clés de sécurité FIDO2 reposent sur le standard WebAuthn. Le navigateur indique à l'authentificateur quel site le sollicite, et l'authentificateur ne signe que pour le site pour lequel l'identifiant a été créé. Sur une fausse adresse, il n'y a tout simplement pas d'identifiant à utiliser : l'attaque échoue sans que l'utilisateur ait à remarquer quoi que ce soit.
C'est la propriété que des référentiels comme la stratégie zero trust du gouvernement américain et de nombreux questionnaires de sécurité d'entreprise citent désormais explicitement au sujet de l'authentification multifacteur.
Comment la plateforme l'apporte
Les passkeys et l'authentification multifacteur figurent au plan de la plateforme, les passkeys étant construites sur go-webauthn. La page de connexion de votre tenant gère l'enregistrement, la connexion et la récupération, et votre application reçoit les mêmes jetons OpenID Connect quel que soit le facteur utilisé.
Pour les clients professionnels qui imposent déjà des facteurs résistants au phishing dans leur propre annuaire, le SSO d'entreprise en SAML est aussi au plan : leur politique s'applique quand leurs salariés se connectent à votre produit. Nous ne présentons une fonctionnalité comme disponible qu'une fois livrée : une démo est le moment de voir ce que vous pouvez utiliser aujourd'hui.
Questions fréquentes
Les codes d'une application d'authentification résistent-ils au phishing ?
Non. Ils valent bien mieux qu'un mot de passe seul, mais l'utilisateur peut saisir le code sur une fausse page, et un attaquant peut le relayer au vrai site en quelques secondes.
Une passkey est-elle un second facteur ou un remplaçant du mot de passe ?
Les deux sont possibles. Une passkey combine ce que l'utilisateur possède, l'appareil, avec ce qu'il est ou sait, le déverrouillage : à elle seule, elle compte déjà comme multifacteur.
Découvrez Skycloak Platform par vous-même
Réservez une démo : nous vous présentons la plateforme en partant de vos propres parcours de connexion.