Consentement des utilisateurs aux applications : fermer la porte au hameçonnage par consentement
Un utilisateur qui clique sur « Accepter » dans une invite de consentement peut ouvrir à une application tierce un accès durable à sa messagerie ou à ses fichiers, sans qu'aucun mot de passe ne soit volé. Les paramètres de consentement d'Entra ID déterminent qui peut prendre cette décision, et pour quelles autorisations.
Le consentement, un octroi de droits à part entière
Lorsqu'une application demande des autorisations déléguées (lire les courriers, accéder aux fichiers, conserver un accès hors connexion), l'utilisateur ou un administrateur doit y consentir. Ce consentement crée un octroi d'autorisation rattaché au principal de service de l'application dans votre locataire. Tant qu'il n'est pas révoqué, l'application peut obtenir des jetons au nom de l'utilisateur, y compris après un changement de mot de passe si elle dispose d'un jeton d'actualisation valide.
C'est ce mécanisme qu'exploite le hameçonnage par consentement : l'attaquant publie une application au nom rassurant, envoie un lien de connexion légitime vers Microsoft, et obtient l'accès dès que la victime accepte. Il n'y a ni faux site ni mot de passe capturé, et la MFA est satisfaite normalement.
Les options de consentement des utilisateurs
Dans les paramètres de consentement et d'autorisations des applications d'entreprise, plusieurs options sont proposées :
- Ne pas autoriser le consentement de l'utilisateur : toute demande passe par un administrateur ;
- Autoriser le consentement pour les applications d'éditeurs vérifiés, pour les autorisations sélectionnées : l'utilisateur ne peut consentir qu'à des autorisations classées à faible impact, et seulement pour des applications d'éditeurs vérifiés ou enregistrées dans votre locataire ;
- Laisser Microsoft gérer les paramètres de consentement : Microsoft applique et fait évoluer une politique par défaut ;
- Autoriser le consentement pour toutes les applications : l'option historique, à proscrire.
Les libellés et le comportement par défaut évoluent ; vérifiez la documentation Microsoft actuelle et, surtout, ce qui est réellement configuré dans votre locataire. Dans les locataires que nous auditons, l'option la plus permissive est encore régulièrement présente sur les locataires anciens.
Éditeurs vérifiés et autorisations à faible impact
Un éditeur vérifié est un éditeur dont le compte partenaire Microsoft a été validé et associé à l'inscription d'application. Ce n'est pas une garantie de bonne foi, mais cela élimine les applications créées à la volée dans un locataire jetable.
La classification des autorisations permet de désigner les autorisations jugées à faible impact. Restez sobre : openid, profile, email, offline_access et User.Read couvrent l'authentification unique de la plupart des applications. N'y ajoutez jamais des autorisations comme Mail.Read, Files.Read.All ou Mail.Send.
Consentement des propriétaires de groupes. Un paramètre distinct permet aux propriétaires d'équipes ou de groupes de consentir à des autorisations spécifiques à la ressource sur leur groupe. Il mérite la même attention que le consentement des utilisateurs.
Le flux de travail de consentement administrateur
Restreindre le consentement sans offrir d'alternative pousse les utilisateurs vers des contournements. Le flux de travail de consentement administrateur permet à l'utilisateur bloqué de soumettre une demande motivée, examinée par des réviseurs désignés. Points à régler :
- Désigner des réviseurs qui ont les compétences pour évaluer les autorisations demandées, et pas seulement des administrateurs généraux ;
- Activer les notifications et fixer une durée d'expiration des demandes ;
- Documenter des critères d'approbation : éditeur, autorisations, usage métier, propriétaire interne de l'application.
Rappelons que le réviseur ne peut accorder que les autorisations qu'il a lui-même le droit d'accorder : un consentement pour tout le locataire à des autorisations Microsoft Graph sensibles nécessite un rôle privilégié.
Détecter et réagir
Les événements de consentement apparaissent dans les journaux d'audit d'Entra ID. Surveillez en particulier les consentements accordés à des applications multilocataires inconnues, et ceux portant sur la messagerie ou les fichiers. En cas de doute, désactivez le principal de service, révoquez les octrois d'autorisation et les sessions de l'utilisateur concerné, puis examinez l'activité de l'application dans les journaux de connexion des principaux de service.
Ce qu'un audit vérifie
- L'option de consentement des utilisateurs en vigueur et celle des propriétaires de groupes.
- Le contenu de la classification des autorisations à faible impact.
- L'activation du flux de travail de consentement administrateur et la pertinence des réviseurs.
- L'inventaire des octrois délégués existants, notamment ceux portant sur la messagerie et les fichiers.
- Les applications multilocataires sans éditeur vérifié disposant de consentements utilisateurs.