Le National Institute of Standards and Technology a finalisé une publication destinée à aider les organisations à éviter d'exposer les jetons d'identité et d'accès en ligne aux attaquants. Selon l'annonce de l'organisme, le document finalisé est conçu pour aider les organisations à prendre des mesures efficaces afin que ces jetons ne tombent pas entre de mauvaises mains.

C'est tout ce que dit le résumé de l'annonce du NIST. Il ne nomme pas, dans les documents disponibles au moment de la rédaction, des formats de jetons précis, ne dresse pas de liste de contrôles obligatoires, ne fixe pas d'échéances et n'impose pas d'obligations de conformité. Les lecteurs qui cherchent une liste de vérification devront ouvrir la publication elle-même. L'annonce est affichée à l'adresse nist.gov.

Pourquoi cela importe, ce n'est un mystère pour personne ayant déjà passé du temps dans un canal de gestion d'incidents. Les jetons sont ce qui prouve qu'une authentification a déjà eu lieu. Les témoins de session, les jetons d'accès OAuth, les jetons d'actualisation, les assertions SAML et les jetons OIDC ID permettent tous à leur porteur de contourner la porte d'entrée. Voler l'un d'eux suffit à l'attaquant : il n'a pas besoin du mot de passe, pas besoin du second facteur, et ne déclenche pas l'invite MFA soignée que tout le monde a passé l'année dernière à déployer. Le verrou sur la porte est excellent. La clé, elle, est posée dans le stockage local d'un navigateur, dans un fichier journal ou dans la capture d'écran d'un ingénieur de soutien.

C'est là le paradoxe inconfortable de l'identité moderne. Les organisations se sont nettement améliorées au moment de l'authentification et sont devenues comparativement négligentes pour tout ce qui se passe ensuite. Le jeton est la preuve du travail accompli, et cette preuve est portable.

Le fait que le NIST publie des lignes directrices finalisées sur le sujet indique que la protection des jetons est désormais une préoccupation de premier plan pour un organisme de normalisation américain, et non une note en bas de page dans un document d'authentification plus général. Pour les agences fédérales américaines et les sous-traitants qui suivent les publications du NIST par politique ou par contrat, cela a tendance à compter. Pour tous les autres, les lignes directrices du NIST ont l'habitude de devenir le point de référence que les auditeurs, les assureurs et les clients invoquent, généralement un an ou deux après les faits, et généralement juste avant un renouvellement.

Ce que l'annonce ne dit pas mérite d'être énoncé clairement, car la tentation de combler les lacunes par des suppositions est forte :

• Elle ne précise pas si la publication est une Special Publication, un Interagency Report ou une autre série de documents, ni son numéro.
• Elle ne précise pas quels types de jetons ou protocoles sont visés.
• Elle ne précise aucun calendrier de mise en œuvre, aucun mécanisme d'application ni aucun renvoi aux lignes directrices existantes du NIST sur l'identité numérique.
• Elle ne comprend pas de citations du personnel du NIST sur le contenu ou le processus de rédaction.

Aucun de ces points n'est une critique. Les résumés d'annonces sont courts par conception. Ce sont simplement des éléments qui doivent être confirmés en consultant le texte du document plutôt qu'en les rapportant comme des faits établis.

Ce qui est encourageant, c'est qu'il s'agit de l'un des rares domaines où le scénario défensif est réellement solide. Le vol de jetons est un problème bien compris, avec des mesures d'atténuation bien comprises, et la plupart des fournisseurs d'identité offrent déjà les fonctionnalités pertinentes. Jetons d'accès à courte durée de vie, rotation des jetons d'actualisation, jetons contraints par l'expéditeur, attributs de témoins empêchant les scripts de lire le contenu de session, et évaluation continue révoquant une session lorsque l'appareil ou le réseau ne correspond plus au profil attendu. La partie difficile n'a jamais été la technologie. La partie difficile a toujours été d'amener quiconque à activer ces fonctions alors que la page de connexion fonctionnait déjà et que personne ne se plaignait.

Une publication finalisée du NIST donne aux équipes d'identité quelque chose qui leur manque souvent : un document portant le sceau d'un gouvernement qu'elles peuvent brandir devant les propriétaires de produits qui considèrent un délai d'expiration de session de 24 heures comme un acte de cruauté. Ce n'est pas rien. La moitié du travail d'ingénierie en identité consiste à avoir le bon document au bon moment, lors de la bonne réunion.

Concrètement, les équipes devraient consulter la publication complète et la comparer à leurs pratiques actuelles de gestion des jetons, plutôt que de se fier à ce résumé ou à tout autre. Vérifiez la durée de vie des jetons d'accès et des sessions dans chaque fournisseur d'identité et chaque application, si les jetons d'actualisation sont soumis à rotation et révoqués en cas de réutilisation, et si les témoins de session portent les attributs HttpOnly, Secure et SameSite. Ensuite, examinez les endroits moins évidents où les jetons fuient : journaux d'application, paramètres de requête dans les URL, rapports de plantage et outils de soutien. Trouver un jeton porteur actif dans un fichier journal est embarrassant, mais le trouver avant un attaquant, c'est une bonne semaine. Alors, passez une bonne semaine.