Un système de vérification décentralisé pourrait être la clé pour renforcer la sécurité numérique
Bien que les belles mathématiques et les algorithmes vérifiés ne suffisent toujours pas à faire un système utilisable.
Nous utilisons des appareils connectés à l’internet pour accéder à nos comptes bancaires, faire fonctionner nos systèmes de transport, communiquer avec nos collègues, écouter de la musique, entreprendre des tâches commercialement sensibles – et commander des pizzas. La sécurité numérique fait partie intégrante de nos vies, tous les jours.
Plus nos systèmes informatiques deviennent complexes, plus les risques de vulnérabilité augmentent. De plus en plus d’organisations sont victimes de violations, ce qui entraîne des pertes financières, des interruptions de la chaîne d’approvisionnement et des usurpations d’identité.
La meilleure pratique actuelle en matière d’architecture technologique sécurisée utilisée par les grandes entreprises et organisations est une approche de “confiance zéro”. En d’autres termes, aucune personne ou système n’est digne de confiance et chaque interaction est vérifiée par une entité centrale.
Malheureusement, une confiance absolue est alors placée dans le système de vérification utilisé. La violation de ce système donne donc à un attaquant les clés du royaume. Pour résoudre ce problème, la “décentralisation” est un nouveau paradigme qui supprime tout point de vulnérabilité unique.
Notre travail consiste à étudier et à développer les algorithmes nécessaires pour mettre en place un système de vérification décentralisé efficace. Nous espérons que nos efforts contribueront à protéger les identités numériques et à renforcer la sécurité des processus de vérification auxquels nous sommes si nombreux à nous fier.
Ne jamais faire confiance, toujours vérifier
Un système de confiance zéro met en œuvre la vérification à chaque étape possible. Chaque utilisateur est vérifié, et chaque action qu’il entreprend est également vérifiée, avant d’être mise en œuvre.
L’adoption de cette approche est jugée si importante que le président américain Joe Biden a pris l’année dernière un décret exigeant que toutes les organisations du gouvernement fédéral américain adoptent une architecture de confiance zéro. De nombreuses organisations commerciales suivent le mouvement.
Cependant, dans un environnement de confiance zéro, une confiance absolue est (contre-intuitivement) placée dans le système de validation et de vérification, qui dans la plupart des cas est un système de gestion des identités et des accès (IAM). Cela crée une entité de confiance unique qui, en cas de violation, donne un accès illimité à l’ensemble des systèmes de l’organisation.
Un attaquant peut utiliser les informations d’identification volées d’un utilisateur (comme un nom d’utilisateur et un mot de passe) pour se faire passer pour cet utilisateur et faire tout ce qu’il est autorisé à faire, qu’il s’agisse d’ouvrir des portes, d’autoriser certains paiements ou de copier des données sensibles.
Cependant, si un attaquant obtient l’accès à l’ensemble du système IAM, il peut faire tout ce dont le système est capable. Par exemple, il peut s’octroyer l’autorité sur l’ensemble de la paie.
En janvier, la société de gestion d’identité Okta a été piratée. Okta est un service d’authentification unique qui permet aux employés d’une entreprise d’avoir un seul mot de passe pour tous les systèmes de l’entreprise (les grandes entreprises utilisent souvent plusieurs systèmes, chacun nécessitant des identifiants de connexion différents).
À la suite du piratage d’Okta, les comptes des grandes entreprises utilisant ses services ont été compromis, ce qui a permis aux pirates de prendre le contrôle de leurs systèmes. Tant que les systèmes IAM constitueront un point d’autorité central sur les organisations, ils resteront une cible attrayante pour les pirates.
Décentraliser la confiance
Dans nos derniers travaux, nous avons affiné et validé des algorithmes qui peuvent être utilisés pour créer un système de vérification décentralisé, ce qui rendrait le piratage beaucoup plus difficile. Notre collaborateur industriel, TIDE, a développé un système prototype utilisant les algorithmes validés.
Actuellement, lorsqu’un utilisateur crée un compte sur un système IAM, il choisit un mot de passe que le système doit chiffrer et stocker pour une utilisation ultérieure. Mais même sous une forme cryptée, les mots de passe stockés sont des cibles attrayantes. Et bien que l’authentification multifactorielle soit utile pour confirmer l’identité d’un utilisateur, elle peut être contournée.
Si les mots de passe pouvaient être vérifiés sans avoir à être stockés de la sorte, les attaquants n’auraient plus de cible claire. C’est là que la décentralisation entre en jeu.
Au lieu de placer la confiance dans une seule entité centrale, la décentralisation place la confiance dans le réseau dans son ensemble, et ce réseau peut exister en dehors du système IAM qui l’utilise. La structure mathématique des algorithmes qui sous-tendent l’autorité décentralisée garantit qu’aucun nœud ne peut agir seul.
En outre, chaque nœud du réseau peut être exploité par une organisation indépendante, telle qu’une banque, une société de télécommunications ou des services gouvernementaux. Ainsi, le vol d’un seul secret nécessiterait le piratage de plusieurs nœuds indépendants.
Même en cas de violation du système IAM, l’attaquant n’aurait accès qu’à certaines données des utilisateurs, et non à l’ensemble du système. Et pour s’octroyer le pouvoir sur l’ensemble de l’organisation, il lui faudrait pénétrer dans une combinaison de 14 nœuds fonctionnant indépendamment. Ce n’est pas impossible, mais c’est beaucoup plus difficile.
Mais les belles mathématiques et les algorithmes vérifiés ne suffisent toujours pas à créer un système utilisable. Il reste encore du travail à faire avant que l’autorité décentralisée ne passe du stade de concept à celui de réseau fonctionnel qui assurera la sécurité de nos comptes.
Lire aussi : Les connexions sans mot de passe pourraient arriver plus tôt que prévu
Source : The Conversation – Traduit par Anguille sous roche
