Dans une administration, le vol de session produit un effet d'amplification que l'on retrouve rarement ailleurs : l'authentification unique. Un agent ouvre une session le matin, puis accède toute la journée à ses applications métier sans nouvelle vérification. Un jeton capturé donne donc accès non pas à une application, mais à l'ensemble du bouquet applicatif rattaché à ce compte.
L'effet de levier du SSO
L'authentification unique est un progrès réel : elle réduit le nombre de mots de passe, centralise la politique de sécurité et facilite les départs. Elle concentre aussi le risque.
Trois configurations fréquentes aggravent cet effet.
L'absence de réauthentification par application. Toutes les applications font confiance à la session du fournisseur d'identité, y compris celles qui manipulent des données d'administrés ou des flux financiers.
Des durées de session calées sur le confort. Une journée de travail complète, parfois davantage, pour éviter les reconnexions lors des déplacements entre sites.
Une fédération étendue aux services tiers. Applications d'éditeurs, plateformes mutualisées, services de l'État : la session locale ouvre des accès dont la révocation n'est pas nécessairement maîtrisée par la collectivité.
Ce qu'un attaquant peut faire avec une session d'agent
| Domaine applicatif | Action possible | Conséquence |
|---|---|---|
| Finances et mandatement | Modification de coordonnées bancaires fournisseur | Détournement de paiement public |
| Ressources humaines | Accès aux dossiers d'agents, modification de coordonnées | Violation de données, fraude à la paie |
| État civil et population | Consultation et délivrance d'actes | Usurpation d'identité en cascade |
| Marchés publics | Accès aux offres et aux échanges | Atteinte à l'égalité de traitement |
| Parapheur électronique | Validation d'un acte administratif | Décision engageant la collectivité |
| Messagerie | Usurpation de l'agent auprès de tiers | Fraude vers d'autres administrations |
La ligne du parapheur mérite un développement. Lorsque la validation d'un acte repose uniquement sur la session en cours, un détournement permet de faire signer une décision, un bon de commande ou un mandat. Le règlement eIDAS, dont la révision eIDAS 2 ((UE) 2024/1183) instaure le portefeuille d'identité européen, repose sur la notion de contrôle exclusif du signataire : une session partagée avec un attaquant ne satisfait plus cette condition.
Un cadre réglementaire désormais contraignant
La directive NIS2 ((UE) 2022/2555) étend son périmètre à des entités de l'administration publique et cite l'authentification multifacteur ou continue parmi les mesures de gestion des risques attendues, avec une responsabilité explicite des organes de direction.
Le RGPD encadre les données des administrés, avec obligation de notification en cas de violation — obligation d'autant plus délicate que les personnes concernées ne peuvent pas se détourner du service public. La qualification SecNumCloud de l'ANSSI constitue enfin un repère pour l'hébergement des données les plus sensibles.
Parades applicables sans refonte du socle
- Rompre la confiance implicite du SSO sur les applications sensibles. Exiger une réauthentification pour les modules financiers, RH et population. C'est un paramétrage d'application, pas un projet d'infrastructure.
- Protéger l'acte, pas seulement l'accès. Signature au parapheur, validation d'un mandat, modification d'un RIB fournisseur : ces gestes doivent exiger une preuve d'intention produite au moment de l'action. C'est ce que permet l'authentification cognitive, en complément d'un dispositif existant.
- Ajuster la durée des sessions par profil. Un agent d'accueil, un responsable financier et un administrateur n'ont pas le même besoin de continuité ni le même impact en cas de détournement.
- Tester la révocation sur les applications fédérées. Beaucoup d'organisations savent fermer la session du fournisseur d'identité sans invalider les sessions applicatives déjà ouvertes. Cet écart doit être mesuré avant l'incident.
- Surveiller l'usage plutôt que la connexion : accès à une application hors du périmètre fonctionnel de l'agent, activité pendant une absence enregistrée, changement d'adresse au sein d'une même session, volumétrie de consultation anormale sur les fichiers d'administrés.
- Mutualiser ce qui ne peut pas être fait seul. Détection, journalisation centralisée et astreinte se traitent à l'échelle intercommunale ou départementale. Une petite collectivité n'a pas à construire seule une capacité de supervision.
Traiter la mobilité et le télétravail
Le travail à distance a multiplié les sessions ouvertes sur des équipements variés, parfois personnels. Deux mesures suffisent à couvrir l'essentiel du risque résiduel : interdire l'installation libre d'extensions de navigateur sur les postes accédant aux applications métier — c'est une voie courante de vol de jeton — et exiger une réauthentification lors du changement de contexte réseau au sein d'une session ouverte.
FAQ
Faut-il renoncer à l'authentification unique ?
Non. Le SSO reste bénéfique pour la maîtrise des accès et des départs. Il doit simplement être assorti d'exceptions : les applications sensibles ne doivent pas accepter la session sans vérification complémentaire.
Comment détecter un détournement sans SOC ?
En exploitant quelques règles simples sur les journaux du fournisseur d'identité : sessions utilisées depuis deux origines incompatibles, accès applicatifs sortant du profil de l'agent, activité en dehors des plages habituelles du service.
Le changement de mot de passe suffit-il après un incident ?
Non. Un jeton de session déjà émis reste valide jusqu'à expiration ou révocation explicite. La procédure doit prévoir la révocation des sessions, y compris sur les applications fédérées et les équipements mobiles.
Comment protéger les élus et la direction générale ?
Ce sont des cibles prioritaires en raison de leur pouvoir de signature. Un facteur non rejouable et une validation liée à l'acte y sont justifiés, sur un volume de comptes réduit et donc peu coûteux à équiper.
Aller plus loin : authentification cognitive : le principe · vol de session : mécanismes et détection · NIS2 dans le secteur public · limites du SSO