OAuth 2.0 et les jetons d'accès

Trois acteurs interviennent. Le client est l'application qui demande l'accès. Le serveur d'autorisation émet les jetons après avoir authentifié le propriétaire des données et obtenu son consentement. Le serveur de ressources héberge les données et accepte les requêtes accompagnées d'un jeton⁶.

Le jeton d'accès remplace les différents justificatifs (nom d'utilisateur et mot de passe, par exemple) par un élément unique que comprend le serveur de ressources. Il peut ainsi avoir une durée courte⁶. Le jeton de rafraîchissement permet d'en obtenir un nouveau, avec des droits identiques ou plus étroits : un jeton d'accès peut avoir une durée plus courte et moins de permissions que celles accordées par le propriétaire⁶.

Le jeton le plus courant est le jeton porteur : quiconque le possède peut l'utiliser. L'OWASP recommande donc de le limiter à un seul serveur de ressources, de préférence, pour réduire les dégâts en cas de fuite⁶. L'application, elle, doit traiter le jeton comme une chaîne opaque : seule l'API visée doit en lire le contenu³.

Face à un écran de consentement, quelques vérifications suffisent.

• Lisez la demande avant de l'accepter. Les utilisateurs cliquent souvent sur « Accepter » sans examiner les détails, y compris les permissions accordées¹.
• Comparez les permissions à l'objet de l'application. Une application ne devrait demander que des permissions liées à son but, Microsoft donne l'exemple d'une application d'horloge avec un accès complet à toutes les boîtes aux lettres, ce qui ne correspond pas à son objet¹.
• Méfiez-vous des permissions les plus lourdes. MITRE ATT&CK signale que l'accès hors connexion et l'accès à la lecture des courriels doivent éveiller davantage de soupçons, car des attaquants peuvent utiliser les API des services en ligne pour y chercher des identifiants et des communications sensibles².
• Regardez l'adresse de redirection. Si elle est mal orthographiée ou forme une suite de mots compliquée autour d'un service attendu, le site tente probablement d'imiter un vrai service².
• Préférez les applications courantes. Plus une application est répandue, dans l'organisation comme en ligne, plus elle a de chances d'être sûre¹.
• Refusez une application que vous ne reconnaissez pas. MITRE ATT&CK recommande de former les utilisateurs à ne pas autoriser les applications tierces inconnues².
• Un administrateur peut enquêter sur les applications suspectes et les retirer².

Le faux écran de consentement

L'attaquant enregistre une application auprès du serveur d'autorisation, puis envoie un lien d'hameçonnage ciblé pour inciter la victime à lui accorder l'accès². Un exemple donné par Microsoft : une page de consentement peut sembler légitime à un utilisateur moyen, alors que « Google APIs Explorer » n'a aucune raison de demander des permissions à Google lui-même. L'application peut donc être une tentative d'hameçonnage sans lien avec Google¹.

Les noms rassurants sont courants. MITRE ATT&CK note que le groupe APT28 a utilisé des applications malveillantes se faisant passer pour « Google Defender », « Google Email Protection » et « Google Scanner » auprès d'utilisateurs de Gmail, et « Delivery Service » et « McAfee Email Protection » auprès d'utilisateurs de Yahoo².

Le jeton qui dure

Une fois le jeton accordé, l'application peut obtenir un accès potentiellement durable aux fonctions du compte². Avec un jeton de rafraîchissement qui permet l'accès en arrière-plan, un attaquant peut par exemple chercher dans les courriels et énumérer les contacts⁵. Changer son mot de passe ne règle pas toujours le problème : selon le tableau de Microsoft, certains jetons restent actifs après un changement de mot de passe par l'utilisateur⁴.

Le jeton volé sans vous demander quoi que ce soit

Le vol de jeton ne passe pas toujours par un consentement. MITRE ATT&CK cite aussi des jetons volés dans des environnements de conteneurs ou des chaînes de développement, où ils servent à s'authentifier auprès d'autres services². Le programme Kali365 est décrit comme ayant obtenu des jetons d'accès et de rafraîchissement OAuth en trompant des victimes pour qu'elles valident des demandes d'autorisation d'appareil initiées par l'attaquant².

L'application oubliée

Une application autorisée un jour reste connectée tant que personne ne la retire. Microsoft recommande de repérer les applications dont la date de dernière autorisation n'est pas récente : elles peuvent ne plus être nécessaires¹. MITRE ATT&CK demande aux administrateurs un audit de toutes les applications OAuth et des permissions accordées, suivi d'audits périodiques, avec enquête et retrait des applications suspectes². Côté salarié, cela se traduit par un geste simple : repasser de temps en temps sur la liste des applications connectées à son compte et signaler celles qu'on ne reconnaît pas.