2025-12-01

Stopper les attaques par consentement OAuth dans Microsoft Entra ID

Le podcast explique comment les attaquants contournent l'authentification multifacteur en abusant du consentement OAuth plutôt qu'en volant des mots de passe. Lorsqu'un utilisateur ou un administrateur approuve une application malveillante de type « productivité », celle-ci obtient des jetons avec des autorisations telles que la lecture des e-mails ou des fichiers, ainsi que offline_access. Cela permet à l'attaquant de lire discrètement e-mails, fichiers et conversations pendant des mois, même après une réinitialisation du mot de passe ou l'ajout d'un nouvel appareil MFA. Les événements d'identité habituels ne révoquent pas ces autorisations ; il faut supprimer l'octroi OAuth ou le principal de service lui-même. L'animateur insiste sur trois contrôles dans Entra : restreindre le consentement des utilisateurs à des autorisations à faible risque, n'autoriser que les éditeurs vérifiés, et acheminer les autorisations sensibles par un workflow de consentement administrateur. Associés à une journalisation rigoureuse, à des revues régulières et à la révocation, ces mesures éliminent la plupart des attaques par consentement dans les environnements d'identité cloud modernes.

Apple Podcasts · Spotify · YouTube · YouTube Music

Stop OAuth Consent Attacks in Microsoft Entra ID (English)