Le vol de token (token theft) consiste à s'emparer d'un jeton d'authentification déjà émis pour l'utiliser à la place de l'utilisateur légitime. La plupart de ces jetons sont des jetons porteurs (bearer) : quiconque les présente est traité comme leur titulaire, sans preuve supplémentaire.
Les jetons visés
- Cookie de session de l'application ou du fournisseur d'identité ;
- Jeton d'accès OAuth 2.0, valable sur les API auxquelles il donne droit ;
- Jeton de rafraîchissement, souvent bien plus durable, qui permet de régénérer des jetons d'accès pendant des semaines ;
- Ticket d'authentification interne à un annuaire d'entreprise.
Les vecteurs sont connus : maliciel de type infostealer extrayant les cookies du navigateur, relais par proxy inverse dans une attaque AiTM, journal ou dépôt de code exposant un jeton, poste d'administration compromis.
Pourquoi la MFA n'intervient pas
Le jeton matérialise une authentification déjà réussie. Le rejouer ne repasse par aucun facteur : ni mot de passe, ni OTP, ni biométrie. C'est la raison pour laquelle une organisation ayant déployé une MFA solide peut être compromise sans qu'aucun facteur ait été cassé.
Les parades consistent à retirer au jeton son caractère de simple porteur : liaison à l'appareil ou à une clé, preuve de possession lors de chaque appel, durées de vie courtes, révocation effective, détection de l'usage d'un même jeton depuis deux contextes. Pour les opérations les plus sensibles, la mesure la plus robuste reste de demander une preuve d'intention au moment de l'action, que la détention d'un jeton ne suffit pas à produire.
Aller plus loin : vol de session : ce qui reste possible après une MFA réussie · définition du session hijacking · définition d'OAuth 2.0 · l'authentification cognitive