Zdnet et ses 196 partenaires souhaitent utiliser des cookies ou autres traceurs et traiter vos données personnelles (données de navigation, données renseignées dans votre compte et/ou lors de l'utilisation des services, etc.) pour : - Fonctionnalités liées aux réseaux sociaux, - Fonctionnalités liées à l'amélioration de votre expérience, - Contenu personnalisé et mesure de performance du contenu, - Publicités personnalisées, mesure de performance des publicités et données d'audience, - Données de géolocalisation précises et identification par analyse du terminal, L’ouverture de session Windows ne peut plus se contenter d’un mot de passe Vous avez généralisé l’authentification à facteurs multiples sur Microsoft 365 et vos applications SaaS ? Excellent réflexe. Mais les ouvertures de session Windows, les connexions RDP et les accès VPN reposent peut-être encore sur le seul mot de passe Active Directory. Dans ce cas, vos stratégies d’accès sont imparfaites. Explications. Selon le Verizon DBIR 2025, 88 % des violations de données relevant de la catégorie “Basic Web Application Attacks” impliquent des identifiants volés, et le rapport 2025 de CrowdStrike ajoute que 79 % des détections observées en 2024 étaient réalisées sans logiciel malveillant. Le constat s’impose de lui-même : celui qui s’en prend à votre système d’information ne crochète plus la serrure, il entre avec la clé, et il va vite. Le même rapport mesure à 48 minutes le délai moyen observé en 2024 avant qu'un cybercriminel ne passe d'une machine initialement compromise à une autre. Le vrai sujet n’est donc pas seulement d’empêcher l’entrée, mais de comprendre ce qu’un identifiant Active Directory volé permet de faire une fois à l’intérieur. Le poste de travail : un angle mort hérité d’un réseau de confiance Pour saisir le risque, il faut regarder comment Windows authentifie. L’ouverture de session valide l’identifiant auprès de l’annuaire Active Directory, et ce même identifiant peut servir ailleurs sur le domaine, le poste en conservant une empreinte en cache pour autoriser le travail hors réseau. Deux conséquences en découlent. D’abord, un identifiant compromis ouvre un périmètre qui dépend des droits du compte : limité pour un utilisateur standard, bien plus large pour un compte à privilèges.Indépendamment des identifiants mis en cache pour l’ouverture de session hors connexion, des techniques comme le pass-the-hash peuvent faciliter les déplacements latéraux en exploitant des empreintes NTLM, sans nécessiter le mot de passe en clair. Rien d’automatique pour autant : l’ampleur de la compromission dépend de la segmentation, des droits attribués et des défenses en place. L’authentification Active Directory a été pensée pour un réseau local fermé, où l’on tenait l’intérieur pour fiable. Le télétravail a dissous ce présupposé, sans que la couche d’authentification du poste suive le mouvement engagé sur le cloud. Au cœur du domaine : ouverture de session et RDP Prenez l’ouverture de session du matin. Un mot de passe récupéré par un logiciel voleur d’informations ouvre une session de bureau sans accroc, car aucun signal ne distingue l’employé légitime de l’usurpateur. Poser un second facteur à ce moment, au niveau du fournisseur d’informations d’identification de Windows, rétablit la distinction. La bonne pratique consiste à commencer par les comptes à privilèges et les administrateurs, dont la compromission peut ouvrir le domaine entier, avant d’étendre au reste du parc. Le RDP mérite une attention à part. Beaucoup d’équipes le croient sécurisé par l’authentification au niveau du réseau, le NLA, qui vérifie l’identité avant d’ouvrir la session. Utile contre certaines attaques, le NLA impose une authentification avant l’ouverture de la session RDP, mais ne constitue pas, à lui seul, une authentification multifacteur. Un service RDP exposé reste la proie des attaques par force brute et par rejeu d’identifiants, et, en interne, les administrateurs s’en servent pour rebondir vers les serveurs les plus sensibles. Trois réflexes réduisent le risque : ajouter une MFA au RDP, limiter l’exposition par une passerelle et des accès juste-à-temps, et évaluer l'utilisation du mode Restricted Admin, qui limite l'exposition des identifiants sur la machine distante, tout en tenant compte de ses implications de sécurité, notamment vis-à-vis des attaques pass-the-hash. Aux frontières : VPN et postes hors connexion Le VPN déplace le problème à l’échelle du réseau : un seul identifiant valide ouvre un accès, pas une simple application. D’où son attrait pour les attaquants. Selon le rapport Beazley Security du troisième trimestre 2025, les identifiants VPN compromis ont servi de point d’entrée à 48 % des attaques par rançongiciel analysées par Beazley Security, contre 38 % au trimestre précédent. Lui ajouter une MFA, via le protocole RADIUS, relève nettement la barre, sans la rendre infranchissable. Une MFA fondée sur une simple notification ou un code à usage unique peut être contournée, par hameçonnage par interposition, par lassitude de l’utilisateur sollicité trop souvent, ou par vol du jeton de session. La CISA recommande pour cette raison des méthodes d'authentification résistantes au phishing, comme FIDO2, lorsque l'architecture d'accès le permet, notamment pour les accès sensibles, complétés par une vérification de l’état du terminal et une segmentation réseau en moindre privilège. Reste le poste hors connexion, le cas le plus discret. Les identifiants mis en cache, qui permettent d’ouvrir une session sans réseau, peuvent, si un attaquant parvient à accéder aux données protégées du système, être extraits d’un portable volé puis soumis à des tentatives de cassage hors ligne, à l’abri de toute détection : le référentiel MITRE ATT&CK en fait une technique à part entière. La parade combine une authentification forte capable de fonctionner hors connexion, grâce à un défi pré-provisionné sur l’appareil, le chiffrement intégral du disque et une limite basse du nombre d’identifiants conservés en cache. Ces mesures ne rendent pas ces secrets inviolables, mais elles en réduisent fortement l’exploitabilité : un cache chiffré et plafonné, protégé par une authentification forte hors ligne, devient bien plus coûteux à attaquer. Renforcer l’authentification sans refondre l’annuaire Deux écueils guettent la mise en œuvre. Le premier est réglementaire : La directive NIS2 prévoit, lorsque cela est approprié, le recours à l’authentification multifacteur ou continue dans le cadre des mesures de gestion des risques de cybersécurité. Sa mise en œuvre dépend du cadre réglementaire applicable à chaque organisation, et aucun outil ne garantit à lui seul la conformité.. Le second est humain : multiplier les demandes de second facteur engendre la fatigue qui finit par les faire valider machinalement. La réponse ne tient pas dans le « tout, tout le temps ». À l’échelle d’une stratégie d’accès, elle passe par une logique adaptative, qui renforce la vérification quand le contexte sort de l’ordinaire (terminal inconnu, pays inhabituel, horaire atypique) et l’allège quand le risque est faible. Ces arbitrages relèvent de la politique d’accès de l’organisation, et toutes les briques techniques ne les couvrent pas au même degré. Pour la couche d’authentification forte elle-même, Specops Secure Access se présente comme une extension de l’Active Directory existant, et non comme son remplacement. Selon l’éditeur, la solution ajoute un second facteur à l’ouverture de session Windows, aux sessions RDP et aux accès VPN par RADIUS, propose plusieurs méthodes de vérification, maintient l’authentification hors connexion, cible les contrôles par stratégie de groupe (GPO) et remonte les événements de sécurité vers le SIEM, tout en étendant la couverture aux applications SaaS via un mécanisme d’authentification unique (SSO). Autant de briques à inscrire dans une politique d’accès pensée par le risque, et non par la contrainte. Mot de passe et authentification forte ne s’opposent pas : le premier filtre, le second vérifie. Pour le décideur IT, la vraie question n’est plus de savoir s’il faut renforcer ces accès, mais de cartographier lesquels, de l’ouverture de session au VPN, tiennent encore sur une seule ligne de défense, et d’y porter l’effort en premier. ZD Tech : Vous bougez sans cesse ? Ce PC Dell XPS 13 s'adapte à votre quotidien