Temporisation exponentielle pour les SMS

Vous devez disposer d’un plan Entreprise pour utiliser la protection contre la fraude par SMS avec la temporisation exponentielle. Consultez la page Tarification d’Auth0 pour en savoir plus.

La fonctionnalité de protection contre la fraude par SMS d’Auth0 comprend la temporisation exponentielle pour les facteurs de téléphone par SMS. La protection contre la fraude par SMS aide à protéger vos applications contre la fraude tarifaire par SMS (aussi appelée pompage de SMS) et contre l’utilisation abusive et automatisée de la MFA. Une fois cette fonctionnalité activée, votre locataire n’applique plus les limites anti-attaques statiques standards aux requêtes de vérification par SMS, mais plutôt la temporisation exponentielle. Celle-ci augmente progressivement le délai d’attente entre les requêtes de chaque utilisateur. Les utilisateurs légitimes peuvent ainsi terminer leur inscription à la MFA, alors que les renvois automatisés par script deviennent lents et coûteux pour les attaquants.

Fonctionnement

Lorsque la protection contre la fraude par SMS est activée, Auth0 applique un délai aux requêtes SMS répétées pour chaque identifiant d’utilisateur.

Comportement	Description
Réserve de requêtes immédiates	Chaque utilisateur dispose d’un nombre initial de nouvelles tentatives immédiates pour pallier les fautes de frappe ou les retards de livraison.
Temps d’attente progressifs	Une fois les nouvelles tentatives immédiates épuisées, le temps d’attente requis augmente à chaque requête supplémentaire, passant de 1 minute à un maximum de 32 minutes.
Délai maximal	Les temps d’attente ne dépassent jamais 32 minutes. On évite ainsi les verrouillages permanents de compte, tout en maintenant la protection contre les abus.
Variation du délai	Auth0 ajoute une légère variation aléatoire (gigue) à chaque temps d’attente afin que les scripts ne puissent pas prédire à quel moment une requête aboutira.
Rétablissement automatique du système	Les états de délai sont dynamiques et dépendent de la fréquence récente des requêtes. Les temps d’attente diminuent lorsqu’un utilisateur cesse de demander des codes. Une période d’inactivité prolongée réinitialise la limite anti-attaques de l’utilisateur.

Activer ou désactiver la protection contre la fraude par SMS

Les administrateurs de locataire peuvent activer ou désactiver la protection contre la fraude par SMS en tout temps. Si vous la désactivez, votre locataire revient aux limites anti-attaques standards.

Auth0 Dashboard
Management API

Accédez à Auth0 Dashboard > Security > Multi-Factor Auth.
Sélectionnez Phone.
Choisissez une politique d’envoi de SMS :
- protection contre la fraude par SMS : utilise la temporisation exponentielle (temporisation exponentielle).
- Default send : utilise les limites anti-attaques standards.
Sélectionnez Sauvegarder.

Effectuez un appel PATCH au terminal /api/v2/attack-protection/phone-provider-protection. Votre jeton d’accès Management API doit inclure la permission update:attack_protection.

curl --request PATCH \
  --url 'https://YOUR_AUTH0_DOMAIN/api/v2/attack-protection/phone-provider-protection' \
  --header 'authorization: Bearer MANAGEMENT_API_ACCESS_TOKEN' \
  --header 'content-type: application/json' \
  --data '{ "type": "exponential" }'

Valeur	Description
`type`	Politique d’envoi de SMS. Réglez-la sur `exponential` pour activer la protection contre la fraude par SMS avec temporisation exponentielle, ou sur `default` pour revenir aux limites anti-attaques standards.

Pour vérifier le paramètre actuel, effectuez un appel GET au même terminal. Votre jeton d’accès doit inclure la permission read:attack_protection.

curl --request GET \
  --url 'https://YOUR_AUTH0_DOMAIN/api/v2/attack-protection/phone-provider-protection' \
  --header 'authorization: Bearer MANAGEMENT_API_ACCESS_TOKEN'

Surveiller et auditer les événements de temporisation exponentielle

Lorsque la requête SMS d’un utilisateur est retardée en raison de la temporisation exponentielle :

L’invite MFA informe l’utilisateur qu’il doit patienter un certain temps avant de demander un nouveau code.
Auth0 enregistre un événement limit_phone dans les journaux de votre locataire, qui indique la tentative limitée et le temps d’attente restant, à des fins d’audit. Pour en savoir plus sur limit_phone, consultez le Catalogue des journaux du locataire.

Pour consulter ces événements :

Accédez à Auth0 Dashboard > Monitoring > Logs.
Filtrez par type: "limit_phone".

Protéger votre application

Appeler des API pour le compte de l’utilisateur

Protégez votre locataire

Temporisation exponentielle pour les SMS

Fonctionnement

Activer ou désactiver la protection contre la fraude par SMS

Surveiller et auditer les événements de temporisation exponentielle

En savoir plus

​Fonctionnement

​Activer ou désactiver la protection contre la fraude par SMS

​Surveiller et auditer les événements de temporisation exponentielle

​En savoir plus

Fonctionnement

Activer ou désactiver la protection contre la fraude par SMS

Surveiller et auditer les événements de temporisation exponentielle

En savoir plus