Authentification par certificat Entra ID : liaisons, affinité et pièges de déploiement
L'authentification par certificat d'Entra ID permet d'utiliser des cartes à puce ou des certificats logiciels directement auprès du service cloud, sans fédération. C'est une méthode résistante au hameçonnage, à condition que la correspondance entre certificat et utilisateur soit solide et que la PKI soit elle-même digne de confiance.
Le fonctionnement
Lors de la connexion, l'utilisateur présente un certificat client. Entra ID vérifie que la chaîne remonte à une autorité de certification déclarée dans le magasin de confiance du locataire, contrôle la révocation, puis cherche l'utilisateur correspondant à l'aide des liaisons de nom d'utilisateur. La méthode s'active dans la stratégie des méthodes d'authentification, idéalement pour un groupe pilote avant généralisation.
La confiance PKI
Les autorités racines et intermédiaires sont déclarées dans le magasin de confiance PKI d'Entra ID, avec l'URL de leur liste de révocation. Deux points à surveiller :
- La révocation : si aucune liste de révocation n'est publiée ou accessible, un certificat révoqué peut rester utilisable. Une option permet d'exiger la validation de la liste de révocation ; activez-la dès que votre PKI le permet ;
- Le périmètre de confiance : toute autorité déclarée peut authentifier des utilisateurs. Déclarer une autorité d'entreprise qui émet aussi des certificats de serveurs ou d'appareils, avec des modèles laxistes, élargit la surface d'attaque.
Liaisons de nom d'utilisateur et affinité
Une liaison associe un champ du certificat à un attribut de l'utilisateur : userPrincipalName, onPremisesUserPrincipalName ou certificateUserIds. Microsoft classe ces liaisons selon leur affinité :
| Affinité | Champs du certificat | Risque |
|---|---|---|
| Faible | Nom principal (SAN), RFC822Name, Subject, IssuerAndSubject | Toute personne capable d'obtenir un certificat portant le bon nom peut se faire passer pour l'utilisateur. |
| Forte | Identificateur de clé du sujet (SKI), SHA1PublicKey, IssuerAndSerialNumber | Le certificat précis est associé à l'utilisateur ; un autre certificat au même nom ne suffit pas. |
La classification exacte peut évoluer ; vérifiez la documentation Microsoft actuelle. Il est possible d'exiger une liaison à forte affinité à l'échelle du locataire ou par règle.
Le lien avec AD CS. Avec une liaison à faible affinité sur le nom principal, une autorité de certification Active Directory vulnérable à un scénario où le demandeur choisit le nom alternatif du sujet permet d'obtenir un certificat au nom d'un administrateur, puis de se connecter au cloud. La sécurité de votre PKI devient celle de vos administrateurs Entra ID.
Niveau de protection et résistance au hameçonnage
Les règles de liaison d'authentification déterminent si un certificat vaut une authentification à un facteur ou multifacteur, selon l'émetteur ou l'identifiant de stratégie du certificat. Seule une authentification par certificat multifacteur satisfait les forces d'authentification exigeant une MFA résistante au hameçonnage. Réservez le niveau multifacteur aux certificats dont la clé est protégée, par exemple sur carte à puce ou dans un module matériel avec code PIN.
Pièges de déploiement fréquents
- Activer la méthode pour tous les utilisateurs avant d'avoir peuplé
certificateUserIdspour les liaisons fortes ; - Oublier la rotation des autorités intermédiaires et la mise à jour du magasin de confiance ;
- Traiter tous les certificats comme multifacteur, y compris les certificats logiciels exportables ;
- Ne pas tester l'expérience sur mobile et navigateurs, où la présentation du certificat varie.
Dans les locataires que nous auditons, la liaison par nom principal seule reste la configuration la plus répandue.
Ce qu'un audit vérifie
- Les autorités déclarées dans le magasin de confiance et la publication de leurs listes de révocation.
- L'exigence de validation de la révocation.
- Les liaisons de nom d'utilisateur utilisées et l'exigence d'affinité forte.
- Les règles de niveau de protection et les certificats considérés comme multifacteur.
- La sécurité des modèles de certificats de la PKI émettrice.