Obtenir le premier jeton dans un tenant Entra est un problème de l'extérieur vers l'intérieur : apprendre quels utilisateurs existent et comment le tenant s'authentifie, puis obtenir un identifiant ou un jeton sans déclencher le verrouillage ou l'accès conditionnel. Tout ici produit un jeton d'accès ou de rafraîchissement que le reste des surfaces Entra consomme.
Ce qui est regroupé ici#
- Énumération : découverte non authentifiée des utilisateurs, du tenant et de la fédération.
- Password spraying : deviner des identifiants contre les endpoints de connexion dans les limites de Smart Lockout.
- Phishing par device code : hameçonner le flux OAuth device-code pour obtenir des jetons.
- Primary refresh token : voler et rejouer le PRT depuis un appareil joint.
- Accès conditionnel : passer outre les politiques d'accès conditionnel.
- Contournement de la MFA : déjouer ou enregistrer des méthodes multifacteurs.
- Vol de jetons : récolter et rejouer les jetons d'accès et de rafraîchissement.