Les passkeys sont une excellente solution… quand on ne fait pas de Bring Your Own ID ni de fédération d’identités.

Avis tranché pour Fabien Schwebel, RSSI d’Europcar. Il en a fait part aux Assises de la sécurité, tout en présentant l’option alternative retenue par l’entreprise : des clés FIDO2 (Yubico).

Le projet avait démarré en 2021 sur un « reste de budget ». Europcar avait du MFA, mais « à l’ancienne », pour reprendre les mots de Fabien Schwebel. En l’occurrence, du Google Authenticator, « avec des codes qui se transmettaient ». Un déploiement vulnérable au phishing (risque de récupération des tokens de session), en plus de ne pas avoir éliminé les mots de passe.

Il fut décidé de développer ce projet en synergie avec un autre, visant à mettre en œuvre le SSO (Red Hat). Les clés physiques sécuriseraient l’accès à ce portail, qui débloquerait ensuite l’accès aux applications.

Les passkeys dans Chrome, cadeau empoisonné pour Europcar

Europcar a donc écarté les passkeys. En premier lieu parce qu’il s’agissait, a fortiori à l’époque, d’un « standard très fermé, [avec un] vendor lock-in très important », selon Fabien Schwebel. « La clé est dans votre iCloud, dans votre Entra ID, etc. et l’utilisateur ne peut pas changer d’écosystème. » De surcroît, précise-t-il, on viole un principe fondamental de cryptographie, « qui est que la clé ne doit pas se déplacer ». Effectivement, si un utilisateur se connecte sur un nouveau device, sa clé est téléchargée dans le TPM local.

La promotion des passkeys par les éditeurs de logiciels a posé des problèmes à Europcar. Son RSSI pointe en particulier Google, qui a fini par en faire la méthode d’authentification par défaut dans Chrome. Testant les versions bêta du navigateur, l’entreprise l’a vu venir. « On n’est pas passé loin d’un serpent qui se mord la queue et peut-être de centaines de milliers d’appels au service desk. » Et pour cause : Europcar utilise Google Workspace, dont elle a fait sa messagerie principale. Ses employés se seraient retrouvés dans la situation d’enrôler sur leur compte Google une passkey destinée à déverrouiller ce même compte…

Des clés biométriques pour les admins Active Directory

Europcar a aussi écarté l’idée de faire du FIDO2 avec ses téléphones et ses ordinateurs. Motif : le fallback nécessaire pour couvrir les cas où un utilisateur aurait à changer d’appareil représente une vulnérabilité.

L’entreprise est partie sur du Type-C pour simplifier la gestion des stocks. Pour les appareils encore en Type-A, elle a acheté des adaptateurs. Elle n’a pas généralisé les clés biométriques, sensiblement plus chères, mais en a distribué à des populations spécifiques comme les administrateurs de solutions de sécurité ou de Tier 0 Active Directory.

Faire sans mots de passe… et sans identifiants ?

La première cinématique d’authentification implémentée restait sur du login / mot de passe au niveau du SSO. Elle impliquait d’enregistrer la clé sur toutes les applications en aval.

Dans un deuxième temps, le FIDO2 est remonté au sein de l’IdP. La YubiKey étant considérée comme sécurisée, le mot de passe a été retiré – pas pour tous les cas d’usage, néanmoins. Cela a permis d’autoriser le BYOD pour certaines applications (pas d’exposition de mot de passe sur des devices non sécurisés).

Au moment de déployer le projet, il n’y avait pas, d’après Fabien Schwebel, d’authentification forte dans Windows, au sens où l’utilisateur pouvait choisir de se connecter avec son mot de passe. Europcar en est donc resté à une authentification classique sur le poste. C’est une fois la session ouverte que les clés entrent en jeu.

Après le passwordless, la troisième étape est le usernameless. Tirant parti du fait que la clé peut stocker l’identifiant de l’utilisateur, elle est encore « naissante » chez Europcar, mais fait « énormément gagner en buy-in ».

Se calquer à la logistique existante

Europcar a environ 2700 agences. Il compte un peu plus de 9000 employés, hors staff saisonnier et « hikers » (qui déplacent les véhicules, les nettoient, etc.).

Les populations sans accès au SI peuvent utiliser un authentificateur de plate-forme. C’est-à-dire un module intégré dans un appareil – typiquement, leur smartphone. Les autres ont une YubiKey (les VIP en ont deux, celle de secours restant à leur domicile).

Europcar a exploité au maximum sa logistique existante (distribution du matériel informatique, des uniformes, des badges…). Aux tiers offshore qui ont leur propre approvisionnement en hardware, il a imposé d’utiliser de l’authentification FIDO2 cross-platform.

Brander les clés pour réduire leur valeur sur le marché secondaire

Les clés sont livrées vierges. Il y a un processus d’auto-enrôlement (les collaborateurs reçoivent notamment un one-pager avec un QR Code). Il y a des contournements, reconnaît Fabien Schwebel. Mais il y a aussi des mesures dissuasives. Par exemple, l’expiration du mot de passe tous les 30 jours.

Pour parer aux pertes (un taux de « quelques pourcents »), les agences ont des clés en réserve. Excepté dans les plus grandes, le support informatique est à distance. La présence des collègues favorise cependant l’authentification auprès du help desk. Ce qui n’empêche pas Europcar de faire du red teaming, dans plusieurs langues.

Pour diminuer leur valeur sur le marché secondaire, les clés sont brandées. « En imprimé projeté, [donc] si techniquement, on peut gratter, cela [les] endommage… » Europcar pratique en plus la refacturation des équipes locales. Autrement dit, le manager paye ses clés. « Si un employé en perd deux en trois semaines, ça coûte cher sur le P&L de la station… »

Sessions Citrix et profils multiples

Les stations de travail n’étant généralement pas fixes, Europcar s’appuie sur des sessions Citrix flottantes.

Les utilisateurs peuvent se servir de leur YubiKey pour protéger des comptes personnels. L’entreprise ne l’encourage pas, ne serait que parce que la clé doit être restituée à la fin du contrat. Elle exploite toutefois la capacité à stocker plusieurs profils pour permettre aux utilisateurs de se connecter aussi sur des comptes génériques.

Le déploiement des clés physiques a permis de négocier avec les auditeurs un délai d’expiration allongé pour les mots de passe (1 an au lieu de 60 jours).

Europcar garde l’œil sur l’écosystème applicatif, dont Google, qui met suffisamment en avant les passkeys dans Chrome pour que l’utilisateur d’une clé physique ait à « cliquer sur la petite option un peu grisée »…

The post De Google Authenticator aux YubiKeys, comment Europcar a modernisé son MFA appeared first on Silicon.fr.