Les portes de service : récupération, questions, support

Quelqu'un appelle le support de ton hébergeur. Il donne ton nom, ton adresse, les quatre derniers chiffres d'une carte lus sur une facture. La personne au bout du fil fait son travail : elle aide un client qui a perdu l'accès à son compte. Dix minutes plus tard, l'adresse de récupération a changé.

Ton mot de passe n'a pas été touché. Ta clé d'accès non plus. On passe beaucoup de temps à choisir le facteur de l'entrée principale, et la question se joue rarement là. Elle se joue sur celle-ci : par où entre-t-on quand on n'a pas la clé ? Personne ne franchit l'obstacle le plus haut quand un autre coûte moins cher. Le simulateur en fait un défaut de structure, qu'il nomme « repli » : dès qu'une porte de récupération est plus faible que l'entrée principale, l'effort mis sur celle-ci ne compte plus.

D'où ça vient

Les questions secrètes datent des années 1990, chez les banques puis chez les webmails. L'idée tenait sur le papier : un secret que personne n'a besoin de mémoriser, puisqu'il vient de sa propre vie.

Le 16 septembre 2008, le compte Yahoo de Sarah Palin, alors candidate à la vice-présidence des États-Unis, a été ouvert par cette porte. David Kernell, étudiant de 20 ans, a utilisé le formulaire de mot de passe oublié. Date de naissance, code postal, lycée fréquenté : trois réponses trouvables sur Google et Wikipédia. Il a changé le mot de passe, publié des pages du courrier sur un forum, et il a été condamné en 2010.

En 2015, une équipe de Google a publié à la conférence World Wide Web une étude sur des centaines de millions de réponses réelles, « Secrets, Lies, and Account Recovery ». Trois chiffres en sortent. Une seule proposition suffit à trouver la réponse de 19,7 % des personnes anglophones à « quel est ton plat préféré ? ». Parmi celles qui admettaient avoir donné une fausse réponse pour la rendre plus difficile à deviner, 37 % obtenaient l'effet inverse, parce qu'on durcit une réponse de façon prévisible. Et 40 % des utilisateurs anglophones aux États-Unis n'ont pas su retrouver leur propre réponse au moment de récupérer leur compte, là où un code envoyé par SMS dépassait 80 % de réussite sur la même tâche.

Le support humain n'est déclaré comme facteur nulle part. Il ouvre pourtant des comptes tous les jours.

En août 2012, le journaliste Mat Honan a perdu ses comptes Apple, Google et Twitter en une heure. Le mécanisme tient en une phrase : Amazon affichait les quatre derniers chiffres d'une carte, et Apple acceptait ces mêmes quatre chiffres comme preuve d'identité. Huit ans de courrier ont été effacés, ses appareils réinitialisés à distance. Les deux entreprises ont modifié leurs procédures après la publication de son récit dans Wired.

Le 15 juillet 2020, des attaquants ont appelé plusieurs salariés de Twitter et obtenu des identifiants d'accès aux outils internes de support. D'après le récit publié par l'entreprise, 130 comptes ont été visés, 45 ont servi à publier, les messages privés de 36 ont été lus. Aucun mot de passe utilisateur n'a été deviné.

Le code de secours par SMS s'ajoute d'un clic et reste en place des années. Les codes de secours à usage unique sont générés une fois, affichés une fois, accompagnés d'un « garde-les en lieu sûr » qui laisse la question entière.

Le problème que ça résout

Ces portes ne sont pas une négligence des services, et elles tiennent une vraie fonction. Sans elles, perdre un facteur revient à perdre le compte. Les chiffres de l'étude Google disent pourquoi personne ne les ferme : quand 40 % des personnes ne retrouvent pas la réponse à leur propre question secrète, un service qui refuse toute récupération croule sous les demandes à traiter à la main.

C'est un arbitrage assumé. Le service paie en risque ce qu'il économise en comptes définitivement fermés. Ta part du travail consiste à savoir quelles portes ton compte a ouvertes, et lesquelles tu peux refermer sans te retrouver dehors.

Les problèmes que ça ajoute

Le simulateur additionne les chemins en « ou » : l'attaquant réussit s'il réussit sur un chemin quelconque. La meilleure technique compte pleine, la deuxième pour moitié, la troisième pour un quart. Conséquence directe : ajouter une porte n'améliore jamais la note, en fermer une l'améliore toujours.

Le profil « cas courant » l'illustre. Mot de passe long dans un gestionnaire, code temporaire en application, deux appareils chiffrés, et une note de 49 sur 100. Le mot de passe coûte 0,15 à l'attaquant, la réinitialisation par email 0,40, le support 0,23. Les heures passées sur le mot de passe ont été payées par la personne et ignorées par l'attaquant.

Ces portes ont trois traits communs qui les rendent difficiles à voir.

Elles ne figurent pas dans la page « sécurité » du compte. La politique de récupération d'un service vit dans sa documentation, parfois nulle part.

Elles ne se dégradent pas. Ta ville de naissance ne changera pas, et elle figure sur ton profil public.

Elles favorisent le proche. Le simulateur compte les réponses secrètes retrouvées à 0,85 pour quelqu'un de ton entourage : la valeur la plus haute de tout le modèle pour un obstacle unique. Il ne devine pas, il sait.

Les niveaux

Pour les codes de secours à usage unique, le simulateur ne demande pas si tu en as. Il demande où ils vivent. Pourquoi cette question plutôt que l'autre ? Parce que l'emplacement décide à la fois de la Résistance et de la Récupérabilité, et que le nombre de codes ne décide de rien.

Aucun code généré. Rien à voler. En échange, la Récupérabilité repose entièrement sur les autres portes : si elles sont fermées, un téléphone perdu suffit à fermer le compte pour de bon.

Sur l'appareil, en capture d'écran ou dans une note. Le simulateur compte « appareil pris déverrouillé » à 0 / 0,02 / 0,35. Et le téléphone perdu emporte les codes en même temps que le facteur qu'ils devaient remplacer : deux facteurs sur un seul objet n'en font qu'un.

Dans le coffre. L'ouverture d'un gestionnaire de mots de passe est comptée à 0,03 / 0,15 / 0,30, et 0,025 / 0,06 / 0,28 pour un gestionnaire protégé par deux facteurs. Attention au même piège : si le code temporaire vit déjà dans ce coffre, les codes de secours n'ajoutent aucune indépendance.

Papier chez toi. Hors de portée de toute attaque à distance. L'incendie ou le cambriolage les emporte, et ce scénario pèse 2 dans la Récupérabilité, autant que la perte de l'ordinateur.

Papier hors site. Effort 4 selon le barème, pour une enveloppe chez un proche ou dans un coffre de banque. Seul emplacement qui survive à la fois au vol de l'appareil et à l'incendie, et seul qui rende le compte récupérable si tu deviens incapable de te connecter. Ce scénario pèse 1, et il est le plus souvent oublié.

Dernier point : dis à quelqu'un où l'enveloppe se trouve. Une copie que personne d'autre ne peut situer ne couvre que les cas où tu es vivant et joignable.

Ce que fait le service, lui

Quatre mécanismes dépendent du service et pas de toi. Un seul change la note ; les trois autres décident de ce qui se passe après.

Les essais limités. Le simulateur compte les essais répétés sur le formulaire à 0,08 / 0,25 / 0,45 quand le service plafonne les tentatives, à 0,20 / 0,75 / 0,75 sinon. Le seul des quatre qui entre dans le calcul.

L'avertissement à chaque pose ou retrait de moyen. Sur un canal distinct de celui qu'on vient de modifier, sinon la personne qui tient la boîte email lit l'alerte avant toi et la supprime.

Le délai avant qu'un nouveau moyen devienne actif. Vingt-quatre ou quarante-huit heures pendant lesquelles tu peux t'opposer depuis un appareil déjà connu. C'est lui qui transforme une alerte en prise : sans délai, tu apprends la nouvelle sans pouvoir agir.

Le journal des sessions et le bouton de révocation. Le vol d'une session déjà ouverte sort du modèle : la session est ouverte, il n'y a plus rien à prouver, donc aucun facteur ne l'arrête. Le journal et le bouton « déconnecter partout » sont la seule prise.

Les scénarios d'attaque

Ces valeurs sont des règles écrites dans le moteur, pas des mesures. Elles servent à comparer des configurations, et elles se discutent.

L'opportuniste automatisé n'appelle personne. Sa seule ligne rentable est celle des questions secrètes, à 0,15 : les réponses courantes se devinent à l'échelle, sans rien savoir de la personne.

L'attaquant ciblé vit dans cette colonne. Il appelle le support, lit ton profil public, obtient une carte SIM à ton nom. Trois lignes sur cinq dépassent 0,25 pour lui, sans qu'aucune ne touche à ton mot de passe.

Le proche est celui que le tableau punit le plus, à 0,85 sur les questions secrètes. Il connaît le nom de ton premier animal parce qu'il l'a connu aussi.

Ce qu'il faut faire

Aucune de ces portes ne s'est ouverte toute seule. Elles ont été laissées là, un réglage après l'autre, et elles se referment dans le même ordre.

1. Supprime les questions secrètes partout où le service permet de les retirer. Quand il les impose, réponds par une chaîne aléatoire générée par ton gestionnaire et garde-la comme un mot de passe : une réponse inventée de tête se durcit de façon prévisible.

2. Ferme la récupération assistée quand le service propose ce réglage. C'est la porte à 0,45 pour l'attaquant ciblé, et elle ne coûte rien à fermer tant qu'un autre moyen d'entrer reste vérifié.

3. Retire le numéro de secours. Un numéro laissé « au cas où » reste un chemin d'entrée complet, indépendant de ton entrée principale. Retire-le après avoir posé les codes de secours, jamais avant.

4. Génère les codes de secours et sors-les de chez toi. Papier, enveloppe fermée, chez un proche ou dans un coffre. C'est le cran qui achète le plus de Récupérabilité, pour un effort de 4.

5. Dis à quelqu'un où ils sont. Une phrase, une fois. C'est la partie du travail qu'aucun réglage ne fait à ta place.

Côté service, ce que tu peux exiger avant de confier un compte qui compte : des essais plafonnés, un avertissement sur un canal séparé, un délai d'opposition, un journal des sessions avec révocation. Les niveaux de sécurité situe ces exigences par rapport aux référentiels publics, dont la fiche de la CISA sur l'authentification résistante à l'hameçonnage, publiée le 31 octobre 2022.

Ce que ce modèle ne dit pas

Le simulateur porte sur l'authentification, et son périmètre s'arrête à l'ouverture de session. Il ne couvre ni la compromission complète du poste, où un logiciel espion rend tous les facteurs équivalents, ni la contrainte physique ou judiciaire. Le vol d'une session déjà ouverte n'y figure que par le journal et la révocation. C'est un choix de modèle, et il tient tant qu'on ne lui demande pas de noter autre chose.

Pour la suite : La clé physique explique pourquoi deux clés valent mieux qu'une, et Un compte vaut son chemin le plus faible présente le modèle complet.