La réponse au bourrage d’identifiants

​

82 % des entreprises disent avoir de la difficulté à répondre au bourrage d’identifiants4. En effet, une attaque réussie implique une connexion avec des identifiants légitimes2. Les Captchas (Completely Automated Public Turing Test to Tell Computers and People Apart) peuvent être utilisés par les organisations afin de remédier aux tentatives de bourrage d’identifiants réussies6,32. Les Captchas sont des tests de sécurité qui demandent aux internautes d’effectuer une tâche additionnelle (comme traduire une série de caractères déformés) avant de pouvoir s’authentifier avec succès36. Ces tests présupposent que les robots ne sauraient les compléter et permettent d’ajouter un niveau de sécurité lors de la connexion. Une organisation peut les imposer pour les tentatives de connexion douteuses, bien qu’ils soient insuffisants pour répondre au bourrage d’identifiants33. En effet, les fraudeurs peuvent engager des personnes dévouées à résoudre des centaines de Captchas par heure. De plus, les Captchas peuvent réduire l’ergonomie du système pour les usagers ayant des handicaps37.

​

Plusieurs sources s’accordent sur l’importance de l’authentification à facteurs multiples contre le bourrage d’identifiants parce que même si le fraudeur arrive à s’authentifier avec les combinaisons de noms d’usagers et de mots de passe, il se retrouve devant un deuxième niveau d’authentification6,9,38,39,40. Microsoft estime que cette solution prévient la quasi-totalité des cas de bourrage d’identifiants40 bien qu’une étude ait montré que l’authentification à facteurs multiples est une solution nécessaire, mais insuffisante41. Après la validation de la combinaison d’un nom d’usager et d’un mot de passe, le fraudeur peut lancer des campagnes d’hameçonnage contre la victime pour soutirer les identifiants nécessaires et déjouer ainsi les mécanismes additionnels d’authentification.

​

La prévention du bourrage d’identifiants

​

Les solutions de prévention contre le bourrage d’identifiants devraient donc cibler la réutilisation du mot de passe. Certains auteurs se sont intéressés aux effets des politiques de mots de passe sur la réutilisation du mot de passe. Une étude a montré que ces politiques sont peu efficaces parce que la majorité d’entre elles omettent de prescrire l’usage d’un mot de passe unique26. D’autres chercheurs estiment quant à eux que les politiques de mots de passe impliquent une meilleure robustesse, mais n’empêchent aucunement leur réutilisation27. Enfin, une étude suggère que les politiques de mots de passe encouragent la réutilisation, car elles imposent des règles rendant difficile la mémorisation des mots de passe28. Les usagers sont donc amenés à créer un mot de passe conforme mais le réutiliseront sur d’autres comptes. Les politiques de mots de passe semblent n’être efficace que lorsque le mot de passe réutilisé ne répond pas aux exigences initiales (par exemple, huit caractères minimum, caractères spéciaux obligatoires, etc.), forçant l’utilisateur à concevoir un nouveau mot de passe19.

​

Dans le but de prévenir la réutilisation du mot de passe, il a été suggéré d’analyser les dynamiques de frappe au clavier car la vitesse serait indicatrice d’une réutilisation du mot de passe ce qui en permettrait ainsi la détection et le blocage26. Des chercheurs ont testé cette suggestion dans une expérience où les participants ont eu à créer un compte sur un site spécialement conçu pour l’étude. Il a été ensuite demandé aux participants s’ils ont réutilisé un mot de passe. Les résultats montrent une différence statistiquement significative entre le temps moyen pour entrer un mot de passe réutilisé (81 ms) et un mot de passe unique (111 ms). Leur modèle est capable de détecter la réutilisation du mot de passe avec un taux de précision de 81 %29. Aussi, selon l’expérience, afficher un message d’avertissement après avoir détecté la réutilisation du mot de passe encourage la création d’un mot de passe unique dans plus de 88 % des cas, prévenant ultimement la victimisation par bourrage d’identifiants.

Étant donné que le bourrage d’identifiants recueille des renseignements à partir de brèches de données, une autre piste de solution implique de parcourir les catalogues d’identifiants volés comme HaveIBeenPwned et PasswordPing ou encore de surveiller les marchés illicites sur le web pour alerter les usagers de la compromission de leur mot de passe et de les inviter à le changer30,3. Une étude expérimentale a montré qu’avertir l’usager de l’expiration d’un mot de passe le lendemain encourage la création de mots de passe plus robustes. Cependant, les résultats d’une étude a montré que seuls 26 % des avertissements ont amenés les utilisateurs à changer leur mot de passe3. Moins du tiers des répondants dans deux études distinctes ont exprimé l’intention de changer leur mot de passe malgré l’inquiétude suscitée par une notification les avisant qu’ils utilisent un mot de passe compromis10,31. La majorité des répondants affirment ne pas comprendre la raison pour laquelle ils ont reçu le message d’avertissement. Il est donc conseillé aux organisations de bien expliquer les raisons des notifications en plus d’imposer la réinitialisation du mot de passe10. Cependant, obliger les usagers de changer sur le champ leur mot de passe rend ce dernier moins robuste parce que la commodité prend toujours le dessus sur la sécurité. En outre, les usagers pourraient apporter des modifications mineures à leurs anciens mots de passe pour réduire la charge cognitive28. Dans l’éventualité où le mot de passe original est compromis, son dérivé devient facilement devinable13.

Enfin, les logiciels gestionnaires de mots de passe sont reconnus pour aider à surmonter les enjeux liés à la mémorisation des mots de passe. Ces outils stockent les mots de passe pour que les usagers n’aient pas à les mémoriser32. Les résultats par rapport à leur effet sur la réutilisation du mot de passe s’avèrent pourtant mixtes. Une étude montre que les gestionnaires de mots de passe réduisent effectivement la réutilisation de ceux-ci32 mais une autre montre quant à elle que la réutilisation du mot de passe reste inchangée malgré l’usage d’un gestionnaire20.

 

Conclusion

​

En conclusion, les attaques de bourrage d’identifiants profitent de la réutilisation du mot de passe pour compromettre les identités des internautes. Il devient alors nécessaire pour les entreprises de prévenir la réutilisation du mot de passe en avertissant l’utilisateur de ne pas réutiliser son mot de passe lors de sa création, sous peine de se faire pirater29. La vigie des mots de passe compromise est justifiée si les notifications de compromission expliquent bien la nature du problème aux usagers et si ces derniers ont un délai de 24 heures pour se créer un nouveau mot de passe sécuritaire10,25. Les algorithmes de détection, incluant l’empreinte numérique et les comportements biométriques de l’usager, peuvent repérer les attaques de bourrage d’identifiants12,33,24,35. Enfin, les Captchas et l’authentification à facteurs multiples peuvent contrecarrer les attaques réussites de bourrage d’identifiants6,33,40.

En même temps, le bourrage d’identifiants n’est qu’un moyen parmi d’autres pour arriver à une fin (la prise de contrôle frauduleuse d’un compte) et le cybercriminel n’hésitera pas exploiter d’autres méthodes d’attaque, dont l’hameçonnage, pour déjouer les procédures d’authentification avancées41. Ainsi, une entreprise ayant mis en place des procédés et des technologies contre le bourrage d’identifiants doit aussi se préparer contre l’hameçonnage, que ce soit par des campagnes de sensibilisation, des tests d’hameçonnage ou encore des algorithmes de détection41.

​