PHS, PTA ou fédération : choisir la méthode d'authentification hybride
Dans un environnement hybride, les utilisateurs se connectent à Microsoft 365 avec leur mot de passe Active Directory. Mais qui vérifie ce mot de passe, et où ? La réponse dépend de la méthode choisie, et ce choix, souvent hérité d'un projet ancien, a des conséquences directes sur la surface d'attaque et la continuité de service.
Trois façons de valider un mot de passe
Microsoft Entra ID propose trois méthodes pour les comptes synchronisés depuis Active Directory :
- Synchronisation du hachage de mot de passe (PHS) : Entra ID vérifie lui-même le mot de passe à partir d'un dérivé du hachage synchronisé ;
- Authentification directe (PTA) : Entra ID transmet la demande à des agents installés sur site, qui la valident auprès des contrôleurs de domaine ;
- Fédération, le plus souvent avec AD FS : l'authentification est entièrement déléguée à un fournisseur d'identité sur site, qui émet un jeton accepté par Entra ID.
La synchronisation du hachage de mot de passe
Contrairement à une idée répandue, PHS n'envoie pas le hachage NT tel quel : Entra Connect en calcule un dérivé salé et itéré, qui seul est transmis. Cette méthode ne dépend d'aucune infrastructure sur site au moment de la connexion : si le datacenter est indisponible ou chiffré par un rançongiciel, les utilisateurs continuent d'accéder aux services cloud.
PHS est aussi le prérequis de la détection des identifiants divulgués de Microsoft Entra ID Protection, qui compare les identifiants trouvés dans des fuites publiques à ceux du locataire. Ses limites sont connues : la désactivation d'un compte ou l'expiration d'un mot de passe dans Active Directory ne se répercutent pas instantanément, et la politique d'expiration n'est pas appliquée côté cloud sans configuration spécifique.
L'authentification directe
Avec PTA, le mot de passe n'est jamais stocké dans le cloud sous quelque forme que ce soit, et les stratégies Active Directory (verrouillage, horaires de connexion, compte désactivé) s'appliquent immédiatement. Les agents n'ouvrent que des connexions sortantes.
En contrepartie, la connexion dépend de la disponibilité des agents et des contrôleurs de domaine : Microsoft recommande plusieurs agents pour la haute disponibilité. Surtout, un serveur qui héberge un agent PTA voit passer les mots de passe en clair et peut être détourné pour accepter n'importe quel mot de passe. Il relève donc du Tier 0, au même titre qu'un contrôleur de domaine.
La fédération
La fédération offre le plus de souplesse : authentification par carte à puce, MFA tierce, règles de revendications complexes. C'est aussi la plus coûteuse à maintenir et la plus exposée : les serveurs sont publiés sur Internet via des proxys, et le vol du certificat de signature de jetons permet de forger des jetons pour n'importe quel utilisateur, contournant la MFA. Cette attaque, dite Golden SAML, a été utilisée dans des compromissions majeures.
Comparaison
| Critère | PHS | PTA | Fédération |
|---|---|---|---|
| Dépendance sur site à la connexion | Aucune | Agents et contrôleurs de domaine | Infrastructure de fédération complète |
| Détection des identifiants divulgués | Oui | Seulement si PHS est aussi activé | Seulement si PHS est aussi activé |
| Application immédiate des stratégies AD | Non | Oui | Oui |
| Composants Tier 0 supplémentaires | Serveur de synchronisation | Serveurs d'agents | Serveurs de fédération et proxys |
Activer PHS dans tous les cas. Même si vous conservez PTA ou la fédération, activer la synchronisation du hachage en parallèle apporte la détection des identifiants divulgués et une solution de repli en cas de panne ou d'incident sur site.
Notre recommandation
Pour la grande majorité des organisations, PHS offre le meilleur compromis entre sécurité, résilience et simplicité, et c'est la méthode que Microsoft recommande. PTA se justifie lorsqu'une exigence réglementaire interdit tout dérivé de mot de passe dans le cloud. La fédération ne devrait subsister que pour des besoins précis, et son maintien doit s'accompagner d'une protection renforcée des serveurs et des certificats.
Ce qu'un audit vérifie
- La méthode d'authentification effective de chaque domaine du locataire.
- L'activation de PHS, y compris comme solution de repli.
- Le nombre, l'emplacement et le niveau de protection des agents PTA.
- Pour la fédération, la gestion du certificat de signature de jetons et l'exposition des serveurs.
- La prise en compte des comptes désactivés et des mots de passe expirés côté cloud.