EPA : Extended Protection for Authentication
Sécurité
EPA : Extended Protection for Authentication. « Protection étendue de l'authentification », par analogie avec un chèque barré à l'ordre d'un seul guichet : présenté ailleurs, il ne vaut plus rien.
Liaison au canal : Le client glisse dans son authentification une empreinte du certificat TLS du serveur qu'il croit joindre. Un relais qui ouvre sa propre session vers le vrai serveur présente un autre certificat, et l'authentification ne colle plus.
Liaison au service : Le nom de service visé (SPN) est lui aussi inclus et vérifié par le serveur. Une authentification destinée à un service ne se recycle pas vers un autre, ce qui contrarie les attaquants autant que les amateurs de réemploi.
Où l'activer : EPA concerne NTLM et Kerberos sur les services Windows exposés en TLS : IIS, liaisons LDAPS, services web d'annuaire ou de messagerie. Chaque service a son propre réglage.
Compatibilité : Les vieux clients ignorent le mécanisme ; on passe souvent par un mode « si pris en charge » avant d'exiger la protection. Le mode intermédiaire est une étape, pas une destination.
Ce qui arrive si on s'en passe
Sans EPA, une authentification NTLM interceptée peut être relayée telle quelle vers un service protégé par TLS. L'attaquant établit sa propre session chiffrée avec le serveur, y transmet les échanges de la victime et obtient une session authentifiée à son nom : le chiffrement protège alors la conversation de l'attaquant, pas l'identité de la victime. Sur un annuaire, cela peut suffire à modifier des objets, des droits ou des appartenances à des groupes ; sur un service web, à agir avec les privilèges du compte relayé. L'absence de liaison au service permet aussi de réorienter une authentification vers une cible que la victime n'avait jamais voulu joindre.
Explication de la marmotte
Quand on se connecte à un service de l'entreprise, l'ordinateur prouve qui on est en envoyant une sorte de laissez-passer. Un pirate glissé au milieu peut attraper ce laissez-passer et le tendre à un autre service pour se faire passer pour nous. Cette protection inscrit sur le laissez-passer le nom exact du service visé et une trace de la connexion secrète en cours. Si le pirate le présente ailleurs, le service voit que ce n'est pas écrit pour lui et refuse. C'est comme un billet de concert nominatif, valable pour une seule salle et une seule soirée.
Où ce terme est utilisé
- NTLM : protocole authentification LAN Manager New Technology Microsoft (5 occurrences)
- Attaque par relais NTLM et signature SMB obligatoire (2 occurrences)
- Authentification défi-réponse, rejeu, relais et attaque hors ligne (2 occurrences)