The Day-One Hole in Zero Trust Architecture

La faille du « Jour Zéro » dans l’architecture Zero Trust

L’architecture Zero Trust repose sur une vérification rigoureuse des identités, mais elle néglige souvent l’étape critique de la création initiale de l’identité (« onboarding »). Les attaquants exploitent cette vulnérabilité en utilisant de fausses identités pour se faire embaucher ou pour tromper le support technique lors de l’activation des accès, contournant ainsi les contrôles de sécurité ultérieurs.

Points clés :

• Vulnérabilité humaine : Le processus d’onboarding est une cible privilégiée. Une vérification initiale faible rend caducs tous les dispositifs de sécurité (MFA, accès privilégiés) mis en place par la suite.
• Usurpation d’identité : Des groupes, comme des travailleurs IT nord-coréens, utilisent des documents falsifiés et des facilitateurs pour infiltrer des réseaux de l’intérieur dès l’embauche.
• Bootstrap des accès : La phase de configuration initiale (activation de compte, enrôlement MFA) est une période de vulnérabilité où des méthodes d’authentification faibles peuvent être exploitées pour établir un accès persistant.
• Confusion entre authentification et preuve d’identité : L’authentification vérifie la possession d’un facteur, alors que la preuve d’identité vérifie que l’individu est bien celui qu’il prétend être avant toute délivrance d’accès.

Vulnérabilités :

• Absence de CVE spécifique mentionnée : Le problème ne réside pas dans un logiciel vulnérable, mais dans une faille systémique de processus. Il s’agit d’une vulnérabilité liée à la confiance accordée lors de la phase de création d’identité initiale.

Recommandations :

• Vérification de l’identité avant tout accès : Implémenter une couche de vérification d’identité robuste dès le premier jour, avant toute émission de justificatifs.
• Utiliser des solutions de preuve d’identité : Intégrer la validation automatisée de documents officiels (pièces d’identité gouvernementales) couplée à des contrôles de « vivacité » biométrique.
• Standardiser le workflow : Supprimer la subjectivité des agents du support technique en intégrant la vérification d’identité directement dans les processus automatisés de l’entreprise.
• Vérification continue : Appliquer les mêmes exigences de preuve d’identité lors des demandes sensibles adressées ultérieurement au service desk.

Source