Broken Authentication
L'authentification défaillante désigne des défauts dans les implémentations d'authentification (mots de passe faibles, fixation de session, credential stuffing) qui permettent à des attaquants d'usurper l'identité des utilisateurs.
Objectif
Comprendre l'usurpation d'identité causée par des défauts d'authentification et leurs défenses ; c'est une vulnérabilité de l'OWASP Top 10.
Mécanisme
Les défauts incluent l'acceptation de mots de passe faibles, l'absence de rotation de l'ID de session en cas de fixation, l'absence de protection contre le credential stuffing, des jetons de session prévisibles et des sessions sans expiration. Défenses : politiques de mots de passe forts, gestion sécurisée des sessions, MFA, limitation de débit.
Cas d’usage
- Audit de sécurité de l'authentification
- Gestion des sessions
- Protection des identifiants