Amazon exigera que tous les comptes AWS (Amazon Web Services) privilégiés utilisent l’authentification multifacteur (MFA) pour une protection renforcée contre les détournements de compte conduisant à des violations de données, à partir de la mi-2024.

L’authentification multifacteur fournit une couche de sécurité supplémentaire pour empêcher tout accès non autorisé, même si des attaquants volent les informations d’identification d’un compte.

Amazon propose des clés de sécurité MFA gratuites aux clients AWS éligibles aux États-Unis depuis 2021 et a ajouté des options MFA plus flexibles sur la plateforme en novembre 2022, permettant l’enregistrement de jusqu’à 8 appareils MFA par compte.

Ne pas utiliser MFA pour protéger les actifs cloud peut entraîner un accès non autorisé, une compromission des données sensibles stockées dans les services AWS, une perte de disponibilité du service en raison d’une modification malveillante des paramètres ou de la suppression de ressources essentielles, et bien plus encore.

Amazon a décidé que l’approche la plus simple pour atténuer ces risques et réduire la surface d’attaque sur AWS serait d’appliquer la MFA, en commençant par la catégorie d’utilisateurs la plus critique.

« À partir de mi-2024, les clients se connectant à AWS Management Console avec l’utilisateur root d’un compte de gestion AWS Organizations devront permettre à MFA de continuer », lit-on. L’annonce d’Amazon.

« Les clients qui doivent activer MFA seront informés du changement à venir via plusieurs canaux, y compris une invite lorsqu’ils se connecteront à la console. »

Amazon a également déclaré que cette exigence serait étendue à des comptes supplémentaires et à des scénarios d’utilisation à mesure qu’ils publieront de nouvelles fonctionnalités qui faciliteront l’adoption et la gestion de la MFA à grande échelle.

Enfin, Amazon recommande aux clients de choisir des technologies MFA résistantes au phishing, telles que les clés de sécurité, bien que les applications d’authentification MFA fonctionnent également.

Les clés de sécurité conformes aux normes FIDO U2F ou FIDO2/WebAuthn sont intrinsèquement résistantes aux attaques de proxy inverse et d’homme du milieu qui sont actuellement en augmentation.

Lors de l’authentification, la clé de sécurité répond aux défis envoyés par le serveur en utilisant sa clé privée tout en vérifiant également l’origine du site Web.

S’il y a une incompatibilité d’origine, probablement due à une attaque par proxy inverse, la clé ne signera pas le défi, empêchant ainsi l’interception de secrets précieux.

Pour plus d’informations sur la prise en charge MFA sur AWS et des conseils sur la configuration de la protection de votre compte, consultez Page du guide de l’utilisateur d’Amazon.