Dossier déclassifié · 2024 · impuni
La faille que Microsoft a refusé de corriger
Un expert en sécurité de Microsoft signale pendant des années une faille dans le système de connexion utilisé par les administrations. Microsoft refuse de la corriger, notamment pour ne pas gêner ses ventes de cloud, et des pirates russes l'exploitent lors de l'attaque SolarWinds révélée en décembre 2020.
Une faille signalée en 2016, exploitée en 2020
Ce que ça montre : Quand un seul fournisseur équipe tout un État, ses choix commerciaux deviennent des failles de sécurité nationale.
Faille signalée dès 2016 en interne
« Une décision commerciale, pas technique », selon le lanceur d'alerte
Des mails du Trésor américain lus par les pirates
Ce qui s’est passé
La faille permettait de fabriquer de faux jetons de connexion pour se faire passer pour n’importe quel employé, même avec la double authentification. Microsoft a estimé qu’elle ne franchissait pas sa « frontière de sécurité ». La correction aurait compliqué la vie des clients fédéraux et pu gêner un gros contrat de cloud du Pentagone. Microsoft ne conteste pas le récit, mais dit avoir pesé plusieurs facteurs.
Ce que ça change pour toi
Ta sécurité dépend des arbitrages commerciaux de ton fournisseur, que tu ne vois jamais.
Ce que tu peux faire
Pour une organisation, diversifie les fournisseurs et préfère des outils open source audités, dont les failles sont discutées publiquement.
Chronologie
- 2016 Andrew Harris découvre la faille dans le service de connexion unique de Microsoft.
- 2017 Des chercheurs décrivent publiquement la technique, baptisée « Golden SAML ».
- Août 2020 Andrew Harris quitte Microsoft.
- Décembre 2020 L'attaque SolarWinds est révélée : des agences fédérales sont piratées.
- Juin 2024 ProPublica publie le témoignage d'Andrew Harris.
Les Sentinelles
- Andrew Harris Expert en sécurité des identités
Acteurs
MicrosoftSolarWindsGouvernement des États-Unis
Passe à l'action
La mission qui te donne la solution
Tout de suite : Pour ton organisation, ne mise pas tout sur un seul fournisseur.
Sources
- Microsoft Chose Profit Over Security and Left U.S. Government Vulnerable to Russian Hack, Whistleblower Says, ProPublica (repris par Nextgov) (2024) · en anglais