.png)
Qu’est-ce qu’un jeton en cybersécurité ?
Un jeton en cybersécurité est une accréditation numérique ou physique utilisée pour vérifier l’identité, authentifier un utilisateur ou un appareil, ou autoriser l’accès à un système ou une ressource. Les jetons permettent aux utilisateurs, applications et services de prouver qu’ils ont la permission d’effectuer une action sans fournir à plusieurs reprises des identifiants tels qu’un nom d’utilisateur et un mot de passe.
Les jetons numériques sont largement utilisés dans les applications modernes, les environnements cloud, les API et les systèmes d’identité. Après qu’un utilisateur s’est authentifié avec succès, par exemple, un fournisseur d’identité peut émettre un jeton représentant la session authentifiée ou les permissions de l’utilisateur. Les applications peuvent alors valider le jeton avant d’autoriser l’accès aux ressources protégées.
Les jetons peuvent améliorer la sécurité en réduisant l’exposition répétée des mots de passe et en permettant aux organisations d’offrir un accès contrôlé, temporaire et limité. Mais les jetons volés ou mal gérés peuvent aussi donner aux attaquants un accès non autorisé, faisant de la sécurité des jetons une partie importante de la gestion de l’identité et des accès.
Points clés
- Un jeton en cybersécurité est une accréditation utilisée pour vérifier l’identité ou autoriser l’accès. Les jetons permettent aux utilisateurs, applications et appareils d’accéder en toute sécurité aux systèmes et ressources sans fournir de mots de passe à répétition.
- Les types courants de jetons de sécurité incluent les jetons d’accès, les jetons d’authentification, les jetons de session, les jetons API et les jetons JSON Web (JWT). Chacun a un rôle différent dans la gestion de l’authentification, des sessions et des permissions à travers les applications et les environnements cloud.
- Le vol de jetons peut exposer les organisations à de graves risques de sécurité. Les attaquants qui volent des jetons valides peuvent se faire passer pour des utilisateurs légitimes, accéder à des ressources sensibles et se déplacer latéralement à travers les réseaux sans avoir besoin du mot de passe d’origine.
- Protecting tokens requires a Zero Trust approach. Organizations should combine secure token management, least-privilege access, network visibility, and segmentation to limit unauthorized access and contain breaches if credentials are compromised.
Comment fonctionnent les jetons de sécurité ?
Les jetons de sécurité fonctionnent en fournissant la preuve qu’un utilisateur, un appareil ou une application a été authentifié ou autorisé à accéder à une ressource.
Un processus d’authentification typique basé sur un jeton fonctionne comme suit :
- Un utilisateur ou une application demande l’accès à un service.
- L’utilisateur ou l’application s’authentifie via un système d’identité.
- Après authentification réussie, le système émet un jeton.
- Le jeton contient ou représente des informations sur l’identité, la session ou les permissions.
- Le jeton est présenté lors de la demande d’accès à une ressource protégée.
- Le système récepteur valide le jeton.
- Si le jeton est valide et dispose des autorisations nécessaires, l’accès est accordé.
Les jetons sont souvent temporaires et expirent après une période définie. Limiter la durée de validité d’un jeton peut réduire le temps dont un attaquant dispose pour l’utiliser de manière abusive en cas de compromission.
Lectures connexes : Le problème de la clé maîtresse : à l’intérieur de la violation de Salesloft et de la menace persistante
Quels sont les différents types de jetons de sécurité ?
Il existe plusieurs types de jetons utilisés en cybersécurité. Le type approprié dépend du système, de la méthode d’authentification et du type d’accès fourni.
Les types courants incluent :
- Jetons d’accès
- Jetons d’authentification
- Session tokens
- Jetons de rafraîchissement
- API tokens
- JSON Web Tokens (JWTs)
- Jetons matériels
- Jetons logiciels
Bien que ces termes soient parfois utilisés de manière interchangeable, ils peuvent remplir des objectifs différents au sein d’un processus d’authentification et d’autorisation.
Qu’est-ce qu’un jeton d’accès ?
Un jeton d’accès est une accréditation utilisée pour autoriser l’accès à une ressource protégée.
Après qu’un utilisateur ou une application a été authentifié, un système d’autorisation peut émettre un jeton d’accès contenant ou représentant les permissions accordées à cette identité.
Par exemple, une application peut utiliser un jeton d’accès pour appeler une API au nom d’un utilisateur. L’API valide le jeton et détermine si l’action demandée relève des autorisations qui lui sont associées.
Les jetons d’accès devraient généralement être limités en portée et en durée de vie. Ne fournir que les autorisations nécessaires pour une tâche spécifique soutient le principe du moindre privilège.
Qu’est-ce qu’un jeton d’authentification ?
Un jeton d’authentification est utilisé dans le cadre du processus de vérification d’une identité.
Les jetons d’authentification peuvent être des identifiants numériques ou des appareils physiques. Par exemple, une clé de sécurité matérielle ou un code à usage unique généré par logiciel peuvent servir de facteur d’authentification.
Les jetons d’authentification sont souvent utilisés dans l’authentification multifacteur (MFA). Au lieu de se fier uniquement à ce que l’utilisateur connaît, comme un mot de passe, la MFA peut exiger quelque chose que l’utilisateur possède, comme un jeton de sécurité physique ou un appareil autorisé.
Qu’est-ce qu’un jeton de session ?
Un jeton de session est une valeur unique utilisée pour représenter la session active d’un utilisateur authentifié avec une application ou un service.
Après la connexion, l’application peut émettre un jeton de session afin que l’utilisateur n’ait pas à saisir ses identifiants pour chaque requête.
L’application utilise le jeton pour reconnaître les requêtes associées à la session authentifiée jusqu’à ce que l’utilisateur se déconnecte, que la session expire ou que le jeton soit invalidé.
Parce qu’un jeton de session valide peut représenter un utilisateur authentifié, les attaquants qui en volent un peuvent être capables de détourner la session de l’utilisateur sans connaître le mot de passe original.
Qu’est-ce qu’un jeton API ?
Un jeton API est une attestation utilisée pour authentifier ou autoriser des requêtes à une interface de programmation d’applications (API).
Les applications, scripts, charges de travail et services automatisés peuvent utiliser des jetons API pour accéder aux ressources ou effectuer des actions spécifiques sans qu’une personne ait à authentifier manuellement chaque requête.
Les jetons API sont particulièrement importants dans les environnements cloud et applicatifs où la communication machine à machine est constante.
Les organisations doivent limiter les permissions des tokens API, stocker les tokens de manière sécurisée, les faire pivoter lorsque cela est approprié, et révoquer les tokens qui ne sont plus nécessaires.
Qu’est-ce qu’un JSON Web Token (JWT) ?
Un jeton web JSON, communément appelé JWT, est un format compact utilisé pour transmettre de manière sécurisée les revendications entre les parties.
Un JWT peut contenir des informations sur une identité et ses permissions, telles qu’un identifiant utilisateur, un émetteur de jeton, une date d’expiration ou des rôles autorisés. Le jeton est signé numériquement afin que le système récepteur puisse vérifier que son contenu n’a pas été modifié.
Les JWT sont couramment utilisés dans les applications web, les API et les systèmes d’identité.
Un JWT n’est pas automatiquement chiffré. Les JWT signés peuvent protéger l’intégrité des informations qu’ils contiennent, mais leur contenu peut rester lisible à moins qu’un chiffrement ne soit appliqué séparément.
Qu’est-ce qu’un jeton de rafraîchissement ?
Un jeton de rafraîchissement est une accréditation utilisée pour obtenir un nouveau jeton d’accès sans que l’utilisateur ait à s’authentifier à nouveau.
Les jetons d’accès sont souvent volontairement de courte durée. Une fois qu’un jeton d’accès expire, une application peut présenter un jeton de rafraîchissement valide au système d’autorisation pour demander un remplacement.
Les jetons de rafraîchissement durent généralement plus longtemps que les jetons d’accès, ce qui rend leur protection particulièrement importante. Si un attaquant vole un jeton de rafraîchissement valide, il peut continuer à générer de nouveaux jetons d’accès jusqu’à ce que le jeton de rafraîchissement expire ou soit révoqué.
Quelle est la différence entre un jeton et un mot de passe ?
Les mots de passe et les jetons peuvent tous deux être impliqués dans l’authentification, mais ils ont des objectifs différents.
Un mot de passe est généralement un secret connu de l’utilisateur et présenté pour prouver son identité. Un jeton est souvent généré ou émis par un système après authentification et peut représenter une session authentifiée, une identité ou un ensemble spécifique de permissions.
Les jetons peuvent également expirer automatiquement ou être limités à des ressources et actions spécifiques.
Les systèmes basés sur des jetons réduisent le besoin de transmettre des mots de passe à répétition, mais n’éliminent pas les risques de sécurité. Un jeton volé peut permettre à un attaquant d’accéder aux ressources sans obtenir le mot de passe de l’utilisateur.
Quelle est la différence entre un jeton et une clé API ?
Les clés API et les jetons sont tous deux couramment utilisés pour contrôler l’accès aux API, mais ils ne sont pas nécessairement identiques.
Une clé API est généralement une identifiante relativement statique utilisée pour identifier ou authentifier une application ou un client. Un jeton d’accès est généralement émis après un processus d’authentification ou d’autorisation et peut contenir ou représenter des permissions spécifiques.
Les jetons sont souvent conçus pour expirer et peuvent être affectés à des ressources ou actions particulières. Les clés API peuvent rester valides jusqu’à ce qu’elles soient rotées ou révoquées manuellement.
Le comportement exact dépend de la manière dont une application implémente son système d’authentification et d’autorisation.
Quelle est la différence entre un token de sécurité et la tokenisation ?
Un jeton de sécurité et la tokenisation sont des concepts de cybersécurité différents.
Un jeton de sécurité est une accréditation utilisée pour authentifier une identité, maintenir une session ou autoriser l’accès à une ressource.
La tokenisation est une technique de protection des données qui remplace des informations sensibles par un substitut non sensible appelé jeton. Par exemple, un système de paiement peut remplacer un numéro de carte bancaire par un jeton afin que le numéro original n’ait pas besoin d’être exposé dans tout l’environnement.
En tokenisation, le jeton représente des données sensibles. Dans l’authentification basée sur un jeton, le jeton représente ou prouve l’identité, l’autorisation ou l’accès.
Qu’est-ce que le vol de jetons ?
Le vol de token se produit lorsqu’un attaquant obtient une authentification, un accès ou un jeton de session légitime et l’utilise sans autorisation.
Parce que les jetons peuvent représenter une identité déjà authentifiée, en voler un peut permettre à un attaquant de contourner le processus de connexion normal. Dans certains cas, cela signifie qu’un attaquant n’a pas besoin du mot de passe de la victime.
Les attaquants peuvent obtenir des jetons par des méthodes telles que :
- Hameçonnage
- Détournement de sessions
- Vulnérabilités de scripting inter-site
- Applications ou les endpoints compromis
- Journaux ou dépôts exposés
- Logiciels malveillants
- Stockage de jetons non sécurisé
- Attaques de type "Man-in-the-middle
- Stolen browser sessions
Une fois dans un environnement, un attaquant peut utiliser des jetons volés pour accéder à des applications, API, ressources cloud ou autres systèmes disponibles pour l’identité compromise.
Comment les organisations peuvent-elles sécuriser les jetons d’authentification et d’accès ?
Les organisations devraient considérer les jetons comme des identifiants sensibles.
Les pratiques de sécurité des jetons incluent :
- Utilisez des délais d’expiration courts lorsque cela est approprié
- Limiter les permissions des jetons en utilisant le moindre privilège
- Stockez les jetons de manière sécurisée
- Chiffrer les communications sensibles
- Évitez d’exposer les jetons dans les URLs, journaux ou code source
- Faire tourner et révoquer les identifiants si nécessaire
- Surveillez toute activité inhabituelle de jetons
- Utiliser l’authentification multifacteur
- Validez les signatures de jetons, les émetteurs, les audiences et l’expiration
- Restreindre l’accès entre applications et charges de travail
Les organisations devraient également supposer que les qualifications peuvent éventuellement être compromises. Limiter ce qu’un jeton valide peut atteindre aide à réduire l’impact potentiel des identifiants volés.
Comment les jetons se rapportent-ils à la sécurité du Zero Trust ?
Les jetons peuvent aider à mettre en œuvre le Zero Trust en fournissant des informations d’identité et d’autorisation que les systèmes utilisent lors des décisions d’accès.
However, Zero Trust does not assume that possession of a valid token makes every request trustworthy.
Un attaquant peut voler le jeton d’un utilisateur légitime ou compromettre une application avec des identifiants valides. Les contrôles de sécurité doivent donc évaluer continuellement l’accès et restreindre les utilisateurs, applications et charges de travail aux seules ressources dont ils ont besoin.
Combiner les contrôles d’identité avec un accès et segmentation au moins de privilèges permet de limiter les dommages pouvant survenir si une identifiante ou un jeton de confiance est compromis.
Jetons et mouvement latéral
Les jetons compromis peuvent aider les attaquants à dépasser le système qu’ils ont initialement violé.
Si un attaquant vole un jeton d’accès ou de session, il peut hériter de certaines des permissions associées à l’identité légitime. Ils peuvent alors tenter d’accéder à des applications, API, charges de travail ou ressources cloud supplémentaires.
Cela rend le vol de tokens particulièrement dangereux lorsqu’une identité dispose d’autorisations excessives ou lorsque les réseaux permettent une communication sans restriction entre les ressources.
Les organisations peuvent réduire ce risque en combinant une sécurité d’identité solide avec la segmentation et un accès à privilèges minimes. Même lorsqu’un attaquant obtient des identifiants valides, restreindre les voies de communication peut rendre plus difficile le déplacement latéral dans l’environnement.
Comment Illumio aide à réduire l’impact des jetons compromis
L’authentification basée sur jeton aide les organisations à contrôler l’accès, mais les identifiants légitimes peuvent toujours être volés ou abusés.
Illumio ajoute une couche supplémentaire de protection en aidant les organisations à contrôler les charges de travail, applications et ressources autorisées à communiquer.
Illumio offre une visibilité sur la communication à travers des environnements hybrides et multi-cloud, aidant les équipes de sécurité à comprendre les dépendances applicatives et à identifier les connexions inutiles.
Illumio Segmentation peut alors imposer une communication de moins de privilèges entre les ressources. Si un attaquant utilise un jeton volé ou une identité compromise pour accéder à une charge de travail, la segmentation aide à restreindre les voies accessibles pour d’autres systèmes.
Cette approche aide les organisations à contenir les violations et à limiter les mouvements latéraux même lorsque les contrôles de sécurité basés sur l’identité ont été contournés.
Les jetons volés ne devraient pas entraîner de violations plus importantes
Même une authentification forte ne peut pas éliminer le risque de jetons volés et de numéros d’identité compromis. Une fois que les attaquants y accédent, il devient crucial de les empêcher de se déplacer entre les systèmes.
Illumio Segmentation aide les organisations à faire respecter la communication à moins de privilèges, à restreindre les connexions inutiles et à contenir les violations avant que les attaquants n’atteignent des applications et données critiques.
Explorez Illumio Segmentation →
Questions fréquemment posées
Qu’est-ce qu’un jeton en cybersécurité ?
Un jeton est une accrétentie numérique ou physique utilisée pour vérifier l’identité, maintenir une session authentifiée ou autoriser l’accès à un système ou une ressource.
Qu’est-ce qu’un jeton d’authentification ?
Un jeton d’authentification aide à vérifier qu’un utilisateur, un appareil ou une application est bien celui qu’il prétend être. Les jetons d’authentification peuvent inclure des codes générés par logiciel, des identifiants numériques et des dispositifs de sécurité physiques.
Qu’est-ce qu’un jeton d’accès ?
Un jeton d’accès est une accréditation qui représente l’autorisation d’accéder à une ressource protégée. Les applications et API peuvent valider les jetons d’accès avant d’autoriser les actions demandées.
Les jetons sont-ils plus sécurisés que les mots de passe ?
Les jetons peuvent réduire certains des risques liés à l’utilisation répétée des mots de passe car ils peuvent être temporaires, limités dans leur portée et révoqués. Cependant, les jetons restent des identifiants sensibles et peuvent fournir un accès non autorisé en cas de vol.
Les hackers peuvent-ils voler des jetons d’authentification ?
Oui. Les attaquants peuvent voler des jetons par des techniques telles que le phishing, les malwares, le détournement de session, les vulnérabilités d’applications ou un stockage d’identifiants non sécurisé. Un jeton valide volé peut permettre à un attaquant de se faire passer pour un utilisateur ou une application authentifié.
Les jetons de sécurité expirent-ils ?
De nombreux jetons de sécurité numériques ont un délai d’expiration. Les jetons de courte durée peuvent réduire la période pendant laquelle un jeton volé peut être mal utilisé. Cependant, le comportement d’expiration varie selon le jeton et le système d’authentification.
Qu’est-ce qu’un jeton porteur ?
Un jeton porteur est un type de jeton d’accès qui accorde généralement l’accès à toute personne qui le possède et le présente. Parce que la possession peut être suffisante pour l’accès, les jetons porteurs doivent être protégés contre toute divulgation non autorisée.
Qu’est-ce que l’authentification basée sur des jetons ?
L’authentification basée sur un jeton est une méthode d’authentification dans laquelle un système émet un jeton après avoir vérifié une identité. Le jeton peut alors être présenté lors de requêtes ultérieures au lieu d’envoyer à plusieurs reprises les identifiants principaux de l’utilisateur.
Quelle est la différence entre un jeton et la tokenisation ?
Un jeton de sécurité représente l’authentification, l’autorisation ou l’accès. La tokenisation est une technique de protection des données qui remplace les informations sensibles par un jeton non sensible afin de réduire l’exposition des données originales.