Explication de l'identité numérique

Ce que sont réellement les jetons de session, les jetons de rafraîchissement, les cookies, les clés API et les clés de portefeuille, pourquoi les attaquants les ciblent, et comment le moteur comportemental noyau de Cyber Crucible les protège sans jamais les lire.

Collectez-vous des données d'identité ?

La réponse courte est non, nous ne le faisons pas.

La réponse plus longue est, non, nous ne le faisons pas, mais de deux manières différentes :

Premièrement, nous ne transmettons jamais de mots de passe, de cookies, de jetons oauth, ou quoi que ce soit d'autre qui serait considéré comme des données d'identité vers nos serveurs Cyber Crucible. Cela est vrai que le serveur soit hébergé par le client ou par Cyber Crucible.

Deuxièmement, nous avons appris à réaliser une analyse comportementale des informations d'identité, sans réellement traiter les informations d'identité. Cela signifie que nos analyses ne traitent ni n'exposent réellement de données sensibles telles que les mots de passe réels, les jetons de session, etc.

En quoi cela diffère-t-il de la surveillance d’identité classique ?

La fonctionnalité de protection contre le vol d’identité numérique de Cyber Crucible est proactive et préventive. Elle empêche l’accès aux informations nécessaires pour mener des opérations de chantage, d’extorsion et de vol d’identité moderne.

La protection traditionnelle contre le vol d’identité traite des mots de passe et autres données entre les mains de fraudeurs, et surveille des éléments tels que l’utilisation frauduleuse de cartes de crédit, la souscription de prêts frauduleux, ou la découverte éventuelle de mots de passe lors de violations de données. Cette approche est très réactive et difficile à gérer au quotidien pour les clients. Elle ouvre également la voie, comme Cyber Crucible l’a observé, au chantage envers des particuliers, voire à la coercition d’employés et de dirigeants pour qu’ils aident les attaquants à s’en prendre à leurs employeurs.

Les attaquants déploient des efforts concertés pour cibler les cookies, les identifiants de connexion, les plateformes de messagerie et d’autres formes d’authentification et de données privées afin de faciliter leurs attaques.

Les analyses de Cyber Crucible axées sur le vol d’identité empêchent cela, grâce à une prise de décision comportementale faisant autorité, sans intervention de l’utilisateur, face aux tactiques d’extorsion modernes et aux attaques sans fichier menées par des cybercriminels.

Quelles données d'identité sont protégées ?

Système d'exploitation Windows principal

Identifiants de client VPN

Navigateurs Web

Applications de collaboration et de messagerie

Portefeuilles crypto

Jeux :

Partage de fichiers :

Comment les données d'identité sont-elles protégées ?

Réponse courte : Cyber Crucible identifie les emplacements où sont stockées les données d'identité et protège ces emplacements au niveau du noyau (kernel). Lorsqu'un programme tente d'y accéder, son accès est tracé et analysé — sans que les mots de passe, jetons ou clés de chiffrement eux-mêmes ne soient jamais consultés ou collectés. Sur la base de cette analyse, le programme est autorisé, reçoit des données fictives, est refusé, ou est suspendu.

Protéger l'accès, pas le secret

La plupart des solutions de protection de l'identité travaillent sur le secret : le chiffrer, le mettre en coffre-fort, ou surveiller son apparition dans une fuite de données. Cyber Crucible agit sur l'acte de vouloir y accéder.

Les attaques automatisées sont prévisibles d'une manière bien précise — elles doivent se rendre à des emplacements connus pour trouver des identifiants. Les magasins de cookies des navigateurs, les chemins d'identifiants VPN, le magasin d'identifiants Windows, les fichiers de portefeuilles (wallets) et les données Active Directory se trouvent tous à des endroits que les attaquants savent déjà où chercher. Cette prévisibilité constitue l'opportunité défensive.

Cyber Crucible identifie ces magasins de données d'identité, puis les protège. Tout programme touchant l'un d'entre eux est évalué, ainsi que ses processus parents et enfants et les bibliothèques qu'il a chargées.

Les secrets ne sont jamais lus

Il s'agit d'une contrainte de conception délibérée, et non d'un effet secondaire : l'accès est tracé et analysé sans que l'identifiant lui-même soit consulté. Cyber Crucible ne lit, ne traite, ne collecte ni ne transmet les mots de passe, jetons de session, cookies ou clés de chiffrement — vers aucun serveur, qu'il soit hébergé par Cyber Crucible ou par le client.

Il s'avère que l'analyse comportementale de l'accès à l'identité ne nécessite pas les données d'identité elles-mêmes. Ce qui compte, c'est quel programme accède où, dans quel contexte, après avoir fait quoi au préalable — rien de tout cela ne nécessite d'ouvrir le secret.

La conséquence est que la protection ne peut pas elle-même devenir la brèche, et il n'existe aucun magasin central de vos identifiants pouvant être assigné en justice, divulgué ou perdu.

Ce qu'évalue le moteur comportemental

La décision n'est pas « ce programme figure-t-il sur une liste ? » — c'est « que fait réellement ce code en ce moment ? ». Les signaux incluent :

La réponse est graduée, pas binaire

Tout programme cherchant à accéder à des données d'identité n'est pas un attaquant, donc la réponse dépend de la nature du programme et de son comportement :

Situation Réponse
Une application connue, non compromise, accédant à ce dont elle a légitimement besoin Autorisée
Une application connue, non compromise, mais dépassant son accès approprié Reçoit des données fictives, ou l'accès est refusé — régi par les règles comportementales de confidentialité
Une application inconnue Rejetée ou suspendue, selon le moteur comportemental et vos paramètres
Une application compromise — processus ou bibliothèques exploités Rejetée ou suspendue, selon le moteur comportemental et vos paramètres

Le cas intermédiaire importe plus qu'il n'y paraît de prime abord. De nombreux logiciels légitimes accèdent plus profondément aux magasins d'identité que nécessaire. Les suspendre perturberait la journée de l'utilisateur sans aucun gain de sécurité — mais leur transmettre de véritables identifiants représente une exposition inutile. Le renvoi de données fictives satisfait le programme tandis que le véritable secret reste en place.

La distinction que trace le moteur se situe entre un programme de confiance qui dépasse ses prérogatives et un programme inconnu ou pris en otage. Seul ce dernier cas est traité comme une attaque.

Pourquoi cela se produit sur le poste de travail (endpoint)

Un infostealer automatisé peut s'infiltrer, collecter des données et supprimer ses propres outils en mémoire en quelques secondes. Envoyer une télémétrie à un service cloud et attendre un verdict ne peut rivaliser avec cette rapidité. La boucle complète de détection-décision-réponse (detect-decide-respond) s'exécute donc localement dans le noyau, ce qui explique également pourquoi elle fonctionne sans aucune connectivité.

Voir aussi : « Collectez-vous des données d'identité ? », « Quelles données d'identité sont protégées ? », et « Que se passe-t-il lorsqu'un programme tente d'accéder à des données d'identité auxquelles il ne devrait pas avoir accès ? »

Quels portefeuilles de cryptomonnaies sont protégés ?

Que se passe-t-il lorsqu'un programme tente d'accéder à des données d'identité auxquelles il ne devrait pas avoir accès ?

Réponse courte : cela dépend du fait que le programme soit fiable et qu'il ait été compromis ou non. Une application légitime qui outrepasse simplement ses droits reçoit des données fictives ou se voit discrètement refuser l'accès. Une application inconnue ou compromise est rejetée ou suspendue. L'identifiant réel n'est jamais transmis dans aucun de ces cas.

Pourquoi une réponse unique serait erronée

La conception évidente consiste à « bloquer tout ce qui touche à un magasin d'identifiants ». Elle échoue immédiatement en pratique, car les logiciels légitimes touchent constamment ces magasins — navigateurs, gestionnaires de mots de passe, clients VPN, outils de synchronisation et agents de sauvegarde ont tous de bonnes raisons d'y accéder.

Tout bloquer casse la machine. Tout autoriser pour les éléments fiables signifie qu'un navigateur exploité obtiendra tout ce qu'il demande. La question pertinente est plus précise : ce programme se comporte-t-il comme il le devrait ?

Les quatre résultats possibles

1. Autorisé. Une application connue, non exploitée, accédant à ce dont elle a légitimement besoin. Rien ne change.

2. Données fictives renvoyées. Une application connue, non exploitée, dépassant son accès approprié. Les règles comportementales de confidentialité s'appliquent : le programme reçoit des données plausibles mais fausses. Il continue de fonctionner normalement, et l'identifiant réel ne quitte jamais le stockage. Du point de vue du programme, rien n'a échoué — ce qui explique précisément pourquoi cela fonctionne sans perturber les flux de travail.

3. Accès refusé. La même situation, où le renvoi de données fictives n'est pas approprié. La demande est refusée ; l'application continue de fonctionner.

4. Rejeté ou suspendu. Le programme est inconnu, ou un programme connu dont le processus ou les bibliothèques présentent des signes d'exploitation. Ici, la préoccupation n'est pas le dépassement de droits, mais le fait que le programme n'agit plus comme lui-même. Le fait qu'il soit rejeté ou suspendu dépend de l'évaluation du moteur comportemental et de vos paramètres configurés.

Pourquoi la tromperie plutôt que le blocage

Renvoyer des données fictives est un choix délibéré. Une demande bloquée indique à un attaquant qu'il a été détecté et l'incite à essayer une autre voie. Des données fictives d'apparence réelle ne le font pas — les outils poursuivent avec des identifiants qui ne débloquent rien, et l'opérateur peut ne pas se rendre compte du problème avant un certain temps.

C'est le même principe que celui des fichiers canari dans la défense contre les rançongiciels : donner à l'attaquant quelque chose de convaincant à saisir, sans aucun coût pour vous.

Configurabilité

La frontière entre rejet et suspension est ajustable. Les environnements ayant une faible tolérance aux interruptions — systèmes cliniques, chaînes de production — peuvent privilégier le refus et les données fictives plutôt que la suspension, tandis que les environnements à haute sécurité peuvent adopter une approche plus agressive.

Qu'est-ce qu'un jeton de session, et pourquoi le vol de celui-ci est-il pire que le vol d'un mot de passe ?

Réponse courte : Un jeton de session est l'identifiant que votre navigateur ou votre application conserve après votre connexion, prouvant que vous êtes déjà authentifié. Voler un tel jeton est souvent pire que voler un mot de passe, car cela contourne généralement à la fois le mot de passe et l'authentification multifacteur — l'attaquant reprend simplement votre session existante.

Pourquoi cela existe

Ressaisir un mot de passe à chaque requête serait inutilisable ; c'est pourquoi, après une connexion réussie, le service émet un jeton. Chaque requête ultérieure transporte ce jeton au lieu de vos identifiants. Le service lui fait confiance comme preuve que vous vous êtes déjà authentifié.

Pourquoi les attaquants le préfèrent

Pourquoi cela a changé le comportement des attaquants

Les attaquants évitent de plus en plus de s'attarder dans un réseau. Rester présent augmente les risques de détection. Ils préfèrent au contraire s'emparer des éléments d'identité et repartir — puis revenir à volonté en tant qu'utilisateur authentifié. Le jeton est une porte dérobée à l'apparence légitime, émise par le système d'authentification lui-même.

Comment Cyber Crucible y remédie

Le vol de jeton est stoppé au moment même de l'accès. Lorsqu'un programme tente d'accéder au stockage du navigateur ou de l'application où résident les jetons, son accès est évalué en moins de 200 millisecondes. Un programme légitime mais excessif se voit fournir de fausses données ou se voit refuser l'accès ; un programme inconnu ou compromis est rejeté ou suspendu. Dans tous les cas, le jeton réel n'est jamais transmis.

Qu'est-ce qu'un jeton d'actualisation, et pourquoi sa perte est-elle particulièrement dommageable ?

Réponse courte : un jeton d'actualisation (refresh token) est un identifiant de longue durée utilisé pour obtenir silencieusement de nouveaux jetons d'accès sans que l'utilisateur ait à se reconnecter. C'est ce sur quoi repose la fonction « se souvenir de moi ». Comme il peut permettre de générer indéfiniment de nouveaux accès, un jeton d'actualisation dérobé peut offrir à un attaquant un accès durable bien après la fin de votre session.

Jeton d'accès vs. jeton d'actualisation

Un jeton d'accès dérobé finit par expirer. Un jeton d'actualisation dérobé peut être utilisé pour générer de nouveaux jetons d'accès de manière répétée — ce qui transforme un vol ponctuel en un accès persistant.

Pourquoi « se souvenir de moi » implique un compromis

Rester connecté nécessite de stocker un élément durable sur l'appareil. Cette commodité est précisément ce qui rend le jeton stocké précieux pour un attaquant. Les magasins d'identifiants des navigateurs et des applications constituent des emplacements standards et prévisibles, de sorte que les outils automatisés s'y attaquent directement.

Réduire les dommages

Révoquer un jeton d'actualisation invalide l'accès qu'il peut générer — c'est pourquoi la fonction « se déconnecter de tous les appareils » et la révocation des jetons sont importantes après toute compromission suspectée. Mais la révocation est une réponse mise en œuvre après le vol.

L'approche de Cyber Crucible consiste à empêcher la lecture. Le magasin d'identifiants est un emplacement protégé : un programme légitime qui outrepasse ses droits à cet endroit reçoit des données factices ou se voit refuser l'accès, tandis qu'un programme inconnu ou compromis est rejeté ou suspendu. Le jeton d'actualisation lui-même n'est jamais divulgué.

Que sont les cookies de navigateur, et comment les attaquants en abusent-ils ?

Réponse courte : Les cookies sont de petites données qu'un site web stocke dans votre navigateur, et certains d'entre eux sont des cookies d'authentification qui vous maintiennent connecté. Les voler équivaut fonctionnellement à voler une session active — l'attaquant peut les charger dans son propre navigateur et paraître être vous.

Tous les cookies n'ont pas la même importance

Les attaquants s'intéressent presque exclusivement à cette troisième catégorie.

Pourquoi le vol de cookies est efficace

Les navigateurs stockent les cookies dans des emplacements de fichiers connus et prévisibles sur chaque système d'exploitation, ce qui permet aux outils automatisés de les localiser sans avoir besoin de connaître quoi que ce soit de spécifique sur la machine.

Pourquoi le navigateur est un point central

Le navigateur regroupe en un seul endroit les cookies, les mots de passe enregistrés, les jetons OAuth et l'historique, ce qui en fait la cible d'identité la plus riche sur la plupart des postes de travail. Cyber Crucible l'a constaté directement : à partir du quatrième trimestre 2023, les réponses automatisées contre l'activité de Chrome, Edge et Chromium sont passées de zéro à plusieurs milliers, avec des CVE associés publiés ultérieurement par Google et Microsoft.

Protection

Le stockage des identifiants du navigateur est l'un des emplacements d'identité protégés. Un processus tentant d'y accéder en lecture est évalué en contexte — un navigateur exploité est traité très différemment d'un navigateur sain, et dans aucun des deux cas une requête excessive ne reçoit le véritable cookie.

Qu'est-ce qu'une clé API, et que se passe-t-il si elle est volée ?

Réponse courte : Une clé API est une chaîne secrète qui identifie et autorise un programme — plutôt qu'une personne — lorsqu'il fait appel à un service. Une clé volée permet à un attaquant d'effectuer des requêtes en se faisant passer pour votre application, souvent sans aucune interaction humaine, sans MFA, et sans signe évident que quelque chose ne va pas.

Pourquoi elles constituent des cibles attrayantes

Conséquences typiques

Selon ce que la clé autorise : lecture ou exportation de données clients, envoi de messages au nom de votre organisation, dépenses sur un compte cloud, ou rebond vers d'autres systèmes connectés.

Comme les requêtes sont correctement authentifiées, elles apparaissent généralement dans les journaux comme du trafic applicatif normal. La détection intervient généralement bien après les faits, via une facture ou un audit.

Réduire l'exposition

Limitez la portée des clés, renouvelez-les régulièrement, et gardez-les hors du contrôle de version. Ce sont de bonnes pratiques, mais elles limitent le rayon d'impact plutôt que d'empêcher le vol.

Cyber Crucible cible le vol lui-même. Les emplacements des identifiants et des configurations sont protégés, et un programme qui les lit est évalué en contexte : données factices ou refus en cas de dépassement légitime, rejet ou suspension pour un processus inconnu ou compromis. La clé n'est remise dans aucun des deux cas.

Où Windows stocke-t-il les mots de passe et les identifiants ?

Réponse courte : À plusieurs endroits prévisibles — le Gestionnaire d'identification Windows, les magasins de mots de passe des navigateurs, la configuration du client VPN et, sur les contrôleurs de domaine, la base de données Active Directory (NTDS). « Prévisible » est le mot clé : les attaques automatisées reposent sur le fait que ces emplacements sont identiques sur chaque machine.

Les principaux emplacements de stockage

Pourquoi la prévisibilité est l'essentiel du problème

Les attaquants ne connaissent rien de votre environnement spécifique. Leur automatisation est conçue pour des chemins qui existent partout — C:\Users\[Username], les dossiers de données d'application standard, les lettres de lecteur standard. Un script n'a pas besoin de comprendre votre réseau ; il se contente de parcourir des chemins connus.

C'est une faiblesse dans leur méthode. Si ces emplacements précis sont ceux qui sont surveillés, l'exigence de fiabilité propre à l'attaquant devient elle-même le déclencheur qui permet de le repérer.

Ce que Cyber Crucible en fait

Ces magasins constituent les points d'entrée surveillés du vol d'identité. L'intention d'un programme qui les lit est évaluée en moins de 200 millisecondes — et il est suspendu si cette intention est malveillante, avant que le moindre identifiant ne soit dérobé.

Que sont les clés de portefeuille de cryptomonnaie, et pourquoi leur vol est-il irréversible ?

Réponse courte : Une clé de portefeuille est la clé cryptographique privée qui autorise les dépenses depuis une adresse de cryptomonnaie. Quiconque la détient contrôle les fonds. Le vol est effectivement irréversible car les transactions sur la blockchain ne peuvent pas être annulées, et il n'existe aucune institution auprès de laquelle faire appel.

En quoi cela diffère d'une banque

Un débit frauduleux sur une carte peut être contesté et annulé par un émetteur. Une transaction en cryptomonnaie signée avec votre clé privée est valide par définition — le réseau ne peut pas distinguer un vol d'un transfert légitime, et il n'existe aucune autorité centrale pour l'annuler.

Cela rend les clés de portefeuille particulièrement attrayantes : le gain est immédiat, définitif et difficile à tracer.

Ce que recherchent les attaquants

Les logiciels de portefeuille de bureau stockent ces éléments dans des emplacements de données d'application prévisibles — le même schéma qui rend accessible par l'automatisation tout autre magasin d'identifiants.

Protection

Les fichiers de portefeuille font partie des emplacements d'identité surveillés par Cyber Crucible. Comme la réponse consiste en une suspension au moment même de l'accès malveillant, le vol est prévenu plutôt que détecté après coup — ce qui compte ici plus que presque partout ailleurs, puisqu'il n'existe aucun moyen de récupération une fois les fonds transférés.

Voir aussi : « Quels portefeuilles de cryptomonnaie sont protégés ? » pour connaître les applications spécifiques actuellement couvertes.

Qu'est-ce que l'authentification par clé, et pourquoi les clés volées offrent-elles un accès durable ?

Réponse courte : L'authentification par clé prouve l'identité au moyen d'une clé privée cryptographique plutôt que d'un mot de passe — utilisée par SSH, de nombreux VPN et les clients de transfert de fichiers. Une clé privée volée accorde un accès sans qu'aucun mot de passe ni invite MFA ne soit requis, et comme les clés sont rarement renouvelées, cet accès peut persister très longtemps.

Comment cela fonctionne

Vous détenez une clé privée ; le serveur détient la clé publique correspondante. Lors de la connexion, le serveur émet un défi auquel seule la clé privée peut répondre. La clé elle-même ne transite jamais sur le réseau.

C'est réellement plus robuste que les mots de passe — cela résiste aux devinettes, au phishing et à la réutilisation. Sa faiblesse est différente : tout repose sur la confidentialité du fichier de clé privée.

Pourquoi une clé volée est si durable

Une clé volée constitue une porte dérobée discrète et durable, qui ne génère aucune tentative de connexion échouée et paraît entièrement légitime.

Protection

Le matériel d'authentification VPN et par clé fait explicitement partie des catégories d'identité protégées. L'accès est évalué au niveau du noyau, de sorte qu'un programme tentant de récupérer des fichiers de clés est arrêté — refusé ou alimenté en données falsifiées s'il s'agit d'un programme de confiance outrepassant ses droits, rejeté ou suspendu s'il s'agit d'un programme inconnu ou compromis — avant que la clé ne quitte la machine.

Pourquoi la protection des données d'identité nécessite-t-elle un accès au niveau du noyau ?

Réponse courte : Parce que le vol se produit dans l'espace entre le moment où un programme demande des données d'identification et celui où le système d'exploitation les délivre. Seule une défense opérant au niveau du noyau — en dessous des applications et des bibliothèques qu'un attaquant peut manipuler — peut voir cette requête, en juger l'intention et l'arrêter à temps.

Les trois exigences

1. Voir l'accès au moment où il se produit. Le vol d'identité ne se traduit pas par l'apparition d'un fichier sur le disque ; c'est une lecture. Les outils qui recherchent des fichiers malveillants ne voient rien, car dans un infostealer moderne, rien n'est écrit. L'événement à détecter est la tentative d'accès elle-même.

2. Décider assez rapidement. Les outils automatisés peuvent s'infiltrer, collecter des données et s'autodétruire en quelques secondes. Toute architecture qui envoie des télémétries à un service cloud et attend un verdict a déjà perdu la course. La décision doit se prendre localement, en quelques millisecondes.

3. Ne pas dépendre de ce que l'attaquant contrôle. Les outils de sécurité qui s'appuient sur les bibliothèques du système d'exploitation peuvent être aveuglés lorsqu'un attaquant compromet ces bibliothèques en mémoire — l'agent continue de s'exécuter mais ne signale plus rien. Cyber Crucible a été délibérément découplé des bibliothèques Windows afin qu'un système d'exploitation compromis ne puisse pas le réduire au silence.

La conséquence

Le fonctionnement au niveau du noyau permet de réunir ces trois exigences à la fois : la visibilité sur la tentative d'accès, une décision locale en moins de 200 millisecondes, et l'indépendance vis-à-vis d'un système d'exploitation potentiellement compromis.

C'est également ce qui permet à la protection de fonctionner sans aucune connectivité — en environnement isolé (air-gapped), hors ligne, ou en mer — puisqu'aucune donnée n'a besoin de quitter l'appareil pour qu'une décision soit prise.