BELLEVUE, Washington — 18 août 2020 — Auth0, la plate-forme d'identités pour les équipes d'application, annonce aujourd'hui Bot Detection, une nouvelle fonctionnalité de sécurité qui réduit de 85 % l'efficacité des attaques de type « credential stuffing », tout en minimisant l'impact sur l'expérience utilisateur. La détection de bot d'Auth0, une solution performante qui vient s'ajouter au portefeuille de sécurité en expansion de l'entreprise, fonctionne de concert avec la détection des mots de passe, la protection par force brute et l'authentification à facteurs multiples d'Auth0, afin d'atténuer plus efficacement plusieurs menaces sophistiquées, notamment les attaques automatisées, les prises de contrôle de compte, les attaques de phishing et bien plus encore.
Les attaques de type « credential stuffing » reposent souvent sur des informations d'identification de compte (nom d'utilisateur et mot de passe) volées dans le cadre d’une violation de données antérieure, et sont utilisées pour obtenir un accès non autorisé aux comptes d'utilisateurs sur un autre site Web. Ce type d'opération, exécutée par des attaques à grande échelle dirigées par des robots contre le flux de connexion, constitue un problème de plus en plus répandu pour les entreprises. L'analyse client en cours d'Auth0 a révélé ce qui suit :
- Quotidiennement, Auth0 dénombre en moyenne 175 000 adresses IP uniques considérées comme suspectes.
- Les acteurs de menaces peuvent utiliser jusqu'à 65 000 adresses IP au cours d'une seule attaque.
- Lors d'une attaque, le « credential stuffing » peut représenter jusqu'à 65 % du trafic vers le service d'authentification d'Auth0.
- Lors d'une attaque de type « credential stuffing », le trafic d'un site Web peut atteindre jusqu'à 180 fois le volume habituel, le trafic lié à l'attaque elle-même représentant 90 % de l'activité globale.
La détection de bot d’Auth0 met en corrélation de nombreuses sources de données pour identifier et atténuer les attaques conduites par un robot avant la connexion et s'appuie sur un ensemble de signaux de risque et d'évaluateurs destinés à identifier des indicateurs d'activité suspecte. Cette approche multicouches, également appelée défense en profondeur, met en jeu de multiples fonctions de sécurité, dont la détection de bot, qui limitent efficacement le nombre de tentatives de « credential stuffing » ainsi que de nombreuses autres attaques.
À un niveau supérieur, la détection de bot d’Auth0 analyse les adresses IP afin de détecter les événements non suspects, tels que les connexions réussies, les événements suspects (par exemple un grand nombre de tentatives de connexion échouées sur plusieurs comptes), et les données de réputation IP, qui sont utilisées pour identifier les acteurs de menaces connus. Lorsqu'un trafic suspect est détecté, une étape CAPTCHA est requise pour toute demande de connexion. Le système est conçu pour atténuer la majorité des attaques de bot ciblant le flux de connexion ou d'enregistrement. Lors du lancement, Auth0 prendra en charge les clients utilisant ses fonctionnalités de Connexion universelle, et ajoutera la prise en charge d'autres expériences dans les mois à venir.
Les attaques automatisées gagnent tous les jours en sophistication, et ces robots à grande échelle sont conçus pour réagir à tout type de contrôle afin d'échapper à la détection. Auth0 a constaté que les acteurs de menaces sont en mesure de modifier, et modifient effectivement leurs stratégies d'attaque en seulement cinq minutes pour contourner un contrôle de sécurité. Plus de 80 % des entreprises déclarent qu'il est difficile de détecter, de résoudre ou de corriger les attaques de type « credential stuffing », d'où un coût moyen de plus de 6 millions de dollars par an par entreprise, et que l'impact peut être considérable sur les ressources informatiques, les prises de contrôle de comptes et la réputation de la marque.
« Au cours des dernières années, le volume et la sophistication des attaques de robots ont augmenté, et les entreprises investissent davantage pour assurer leur défense », déclare Matias Woloski, directeur technique et cofondateur d'Auth0. « Nous sommes à l’avant-poste des applications avec un service qui se charge de sécuriser plus de 4,5 milliards de transactions de connexion par mois. En conséquence, nous disposons d'une perspective exceptionnelle pour identifier et bloquer rapidement les activités suspectes avant que tout dommage ne se produise. C'est pourquoi la détection de bot d’Auth0 est très efficace pour empêcher la prise de contrôle de comptes et réduire la charge de travail des équipes DevOps et SecOps. »
Ici vous trouverez des informations plus détaillées sur le « credential stuffing » : Credential Stuffing Attacks: What Are They and How to Combat Them (livre blanc), et Reducing the Impact of Credential Stuffing (article de blog).
À propos d’Auth0
Auth0, un pôle de produits au sein d'Okta, adopte une approche moderne de l'identité et permet aux organisations de fournir un accès sécurisé à n'importe quelle application, pour n'importe quel utilisateur. La plateforme d'identité Auth0 est hautement personnalisable, et répond aux besoins des équipes de développement en termes de simplicité d'utilisation et d'adaptabilité. En protégeant des milliards de transactions de connexion chaque mois, Auth0 offre confort, confidentialité, et sécurité, pour permettre aux clients de se concentrer sur l'innovation.
Pour plus d'information, rendez-vous sur https://auth0.com/fr.
Contacts médias :
Nina Bourgeois, Marlieke Caes
LVTPR for Auth0, Belgium
auth0@lvtpr.com
+32 (0)2 474 17 40
Mark Fowler
Racepoint Global for Auth0, EMEA
auth0@racepointglobal.com
+44 (0) 77 1124 4113
About the author
McKenzie Mayer
Customer Identity Product Comms Lead at Okta