<page>
    <title>Authentification forte</title>
    <id>354105</id>
    <revision>
      <id>31590483</id>
      <timestamp>2008-07-15T09:26:26Z</timestamp>
      <contributor>
        <ip>83.206.120.8</ip>
      </contributor>
      <text xml:space="preserve">[[Image:Auth-Forte-b.png|thumb|200px|Les trois facteurs possibles pour une authentification forte.]]
En [[sécurité des systèmes d'information]], une '''authentification forte''' est une [[procédure]] d'[[identification]] qui requiert [[concaténation]] d'au moins deux&lt;ref&gt;En toute rigueur la multiplication des éléments d'authentification ne fait que la rendre plus complexe. Seuls des éléments ou facteurs inviolables et non subtilisables peuvent assurer une réelle solidité pour une authentification&lt;/ref&gt; éléments ou « facteurs » d'[[authentification]] qui sont :

* Ce que l'[[entité]] connaît (un [[mot de passe]], un [[Numéro d'identification personnel|code NIP]], une phrase secrète, etc.),
* Ce que l'entité détient (une carte magnétique, [[Radio-identification|RFID]], une clé [[Universal Serial Bus|USB]], un [[Assistant personnel|PDA]], une [[carte à puce]], etc. Soit un « Authentifieur » ou « Token »),
* Ce que l'entité est, soit une [[personne physique]] ([[empreinte digitale]], empreinte rétinienne, structure de la main, structure osseuse du visage ou tout autre élément biométrique),
* Ce que l'entité sait faire, soit une personne physique ([[biométrie]] comportementale tel que signature manuscrite, reconnaissance de la voix, un type de calcul connu de lui seul, etc.).

Dans la majorité des cas, l'entité est une personne physique - [[individu]] - [[personne morale]], mais elle peut être une machine comme par exemple un serveur web utilisant le protocole [[Transport Layer Security|SSL]] ou encore un [[applet]].

[[Image:Pyramide-auth.png|right|thumb|200px|Représentation de l'authentification forte sous forme pyramidale.]]

On peut considérer que l'authentification forte est une des fondations essentielles pour garantir :

* l'autorisation ou [[contrôle d'accès]] (qui peut y avoir accès)
* la [[confidentialité]] (qui peut le voir)
* l'[[intégrité]] (qui peut le modifier)
* La [[traçabilité]] (qui l'a fait)

== Pourquoi l'authentification forte et à l'authentification à deux-facteurs? ==

Le [[mot de passe]] est actuellement le système le plus couramment utilisé pour identifier un utilisateur. Il n’offre plus le niveau de sécurité requis pour assurer la protection de biens informatiques sensibles. Sa principale faiblesse réside dans la facilité avec laquelle il peut être trouvé, grâce à différentes techniques d’attaque. Mis à part l’approche, efficace, de l'[[Ingénierie sociale (sécurité de l'information)|ingénierie sociale]] (''social engineering''), on recense plusieurs catégories d’attaques informatiques pour obtenir un mot de passe :

* [[Attaque par force brute]]
* [[Attaque par dictionnaire]]
* Écoute du [[clavier informatique]] (''[[keylogger]]'')
* Écoute du [[clavier informatique]] sans fils - Wireless Keyboard [http://www.remote-exploit.org/advisories/27_Mhz_keyboard_insecurities.pdf We know what you typed last summer]
* Écoute du réseau (''password [[sniffer]]'') : plus facilement avec les [[protocole réseau]] sans [[chiffrement]], comme [[Hypertext Transfer Protocol|HTTP]], [[Telnet]], [[File Transfer Protocol|FTP]], [[Lightweight Directory Access Protocol|LDAP]], etc.
* [[Hameçonnage]] (ou filoutage), appelé en anglais ''[[phishing]]''
* [[Attaque de l'homme du milieu]] ou ''man in the middle attack'' (MITM) : par exemple avec les protocoles [[Transport Layer Security|SSL]] ou [[Secure shell|SSH]]
* Ingéniérie sociale

L'attaque par force brute n'est pas vraiment une méthode de cassage puisque le principe est applicable à toutes les méthodes. Elle est toutefois intéressante car elle permet de définir le temps maximum que doit prendre une attaque sur une méthode cryptographique. Le but de la cryptographie est de rendre impraticable l'usage de la force brute en augmentant les délais de résistance à cette méthode. En théorie il suffit que le délai de résistance soit supérieur à la la durée de vie utile&lt;ref&gt;La durée de vie utile d'une information est la période durant laquelle cette information offre un avantage ou une confidentialité que l'on souhaite préserver de tout usage frauduleux&lt;/ref&gt; de l'information à protéger. Cette durée varie selon l'importance de l'information à protéger.

== Technologies d'authentification forte ==
=== ''One Time Password (OTP)'' ===

[[Mot de passe]] à usage unique. Cette technologie permet de s'authentifier avec un mot de passe à usage unique. Cette technologie est basée sur l'utilisation d'un secret partagé. Il n'est donc pas possible de garantir la [[non-répudiation]] avec cette technologie.

=== Certificat Numérique [[X.509]] (PKI) ===

* [[Infrastructure à clés publiques]] (PKI)
* [[PKINIT]] Smart Card Logon pour un environnement Microsoft

=== Biométrie ===

* [[Biométrie]]
* Technologie ''[[Match on Card]]''

[[Image:Tan-otp.png|right|thumb|200px|Liste TAN.]]
=== Authentification à deux-facteurs ===

Les deux technonologies mentionnées ci-dessous ne font pas partie de l'authentification forte.

* La liste à biffer ou TAN (Transaction Authentication Number). Il s'agit de rentrer un OTP (One-Time Password) provenant d'une liste de code fournie par exemple par la banque.

[[Image:Bingo-Card.png|right|thumb|200px|Fonctionnement d'une carte matricielle.]] 
* ''Matrix card authentication'' ou authentification à carte matricielle. Il s'agit de rentrer un OTP provenant d'une carte matricielle fournie. Ce système utilise les coordonnées en Y et X.

[[Image:Sms-otp.png|right|thumb|200px|Fonctionnement d'un SMS.]]
* Utilisation des [[Short message service|SMS]]. Ce système utilise la technologies des SMS. L'utilisateur reçoit un OTP directement sur son téléphone portable.

== « Authentifieur » ou « Token » de type OTP ==

Ce type de « Token » est basé sur un secret partagé unique. Le « Token » contient le secret. Le serveur d'authentification contient le même secret. Grâce au partage de ce dénominateur commun il est alors possible de générer des mots de passe à usage unique (One Time Password). Du fait que ce type de Token utilise un secret partagé il n'est pas possible d'assurer la [[non-répudiation]]. La technologie du [[certificat numérique]] permet a contrario de garantir la non-répudiation.

Il existe deux modes de fonctionnement :
* le fonctionnement dit [[synchrone]],
* le fonctionnement dit [[asynchrone]].

[[Image:Clock-Based-OTP.png|right|thumb|200px|Fonctionnement d'un token basé sur le temps.]]
=== Token basé sur le temps ===

Ces tokens utilisent, en plus du [[secret]] partagé, un [[dénominateur]] commun qui est le temps. Chaque partie est synchronisée sur le temps universel ([[Temps universel coordonné|UTC]]). On utilise alors un [[Code NIP]] comme deuxième facteur d'authentification. Ces Tokens sont définis comme une technologie dite [[Synchrone]]. Chaque minute, par exemple, ces Tokens affichent un nouveau « Token Code », le One Time Password.

L'exemple le plus connu est [[SecurID]] de la société [[RSA Security]].

[[Image:Otp-counter.based.png|right|thumb|200px|Fonctionnement d'un token basé sur un compteur.]]
=== Token basé sur un compteur ===

Ces tokens utilisent, en plus du [[secret]] partagé, un dénominateur commun qui est un compteur. Chaque partie se synchronise sur le compteur. On utilise alors un [[Code NIP]] comme deuxième facteur d'authentification. Le code NIP peut être entré sur un mini clavier. Comme la technologie basée sur le temps, ces Tokens ne sont pas capables d'offrir la [[non-répudiation]]. Ces Tokens sont définis comme une technologie dite [[Synchrone]].

[[Image:OTP-CR.png|right|thumb|200px|Fonctionnement d'un token basé sur un mécanisme de « Challenge Response ».]]
=== Token basé sur un mécanisme de « Challenge Response » ===

Ces tokens utilisent, en plus du [[secret]] partagé, un nombre aléatoire généré par le serveur d'authentification. Le client reçoit ce challenge ou nonce et répond à celui-ci au serveur. On utilise alors un [[Code NIP]] comme deuxième facteur d'authentification. Le code NIP peut être entré sur un mini clavier. Comme cette technologie utilise un secret partagée, ces Tokens ne sont pas capables d'offrir la [[non-répudiation]].

Ces Tokens sont définis comme une technologie dite [[Asynchrone]].

== Type « d'Authentifieur » ou « Token » de type PKI ==

[[Image:moc.png|right|thumb|200px|Carte à puce.]]
=== Carte à puce ===

Pour sécuriser la clé privée et stocker le certificat numérique, la [[carte à puce]] est une solution très efficace. Cette technologie permet aussi d'implémenter d'autres fonctions telles que sécurité des bâtiments, badgeuse, etc.

Généralement, la carte à puce est liée à l'utilisation d'un [[code NIP]] ou par l'utilisation de la [[biométrie]]. 

Lorsque la biométrie remplace le code NIP, le système offre une preuve &quot;quasi absolue&quot; du porteur de la carte (cf technologie Match On Card).

[[Image:Etoken.jpg|right|thumb|200px|Token USB de la société Aladdin Knowledge Systems]]

=== Token USB ===

Ces Token utilisent la même technologie cryptographique que les cartes à puces. Ce type de Token est capable de stocker, générer du matériel cryptographique de façon très sécurisé. Ces Token sont définis comme une technologie dite connectée. En d'autre termes il est nécessaire de « brancher » ce Token sur l'ordinateur via le port [[Universal Serial Bus|USB]]. L'inconvénient majeur de cette technologie est qu'elle n'est pas vraiment portable. Par exemple il est difficile d'utiliser son Token sur une « borne » [[Internet]] (Kiosk, Hôtel, etc.).

[[Image:Hybride-token.png|right|thumb|200px|Exemple de Token hybride.]]

== Type « d'Authentifieur » ou « Token » de type Hybride ==

Ces tokens offrent le meilleur des deux mondes. Ils sont capables de gérer les certificats numériques et d'offrir une solution très portable pour les nomades avec la technologie OTP.

== Annexes ==

=== Notes et références ===
&lt;references /&gt;

=== Voir aussi ===

* [[Authentification]]
* [[ARP_poisoning|ARP poisoning]]
* [[Cain &amp; Abel]]
* [[dSniff]]
* [[Table arc-en-ciel]]
* [[Identité numérique]]
* [[Infrastructure à clés publiques]] (PKI)
* [[Europay Mastercard Visa]] et le standard CAP
* [[PKCS]]
* [[Liberty Alliance]]
* [[RSA Security]]
* [[Biométrie]]
* [[Gemalto|Cartes à puce Gemalto]]

=== Publications ===

; Articles
* {{en}} [http://www.sans.org/reading_room/whitepapers/authentication/1308.php?portal=9fd3ba9364c57ec44472d2cd4942889d Convergence of Logical and Physical Security - SANS / Yahya Mehdizadeh  janvier 2004]
* {{en}} [http://www.sans.org/reading_room/whitepapers/authentication/1329.php?portal=e79e548b725d791b4801fe5f997ed3c1  Biometrics: An In Depth Examination - SANS / Kyle Cherry novembre 2003]
* {{en}} [http://www.sans.org/reading_room/whitepapers/authentication/118.php?portal=6d3b90098fc3000f5df7fd4e4bf66f85 An Overview of Different Authentication Methods and Protocols - SANS / Richard Duncan octobre 2003]
* {{en}} [http://www.sans.org/reading_room/whitepapers/authentication/1070.php?portal=7eb4715dce748543272504536a078dcf It’s All About Authentication - SANS / Doug Graham mars 2003 ]

; Présentations
* {{fr}} [http://securiteinformatique.unige.ch/e-capsule_Jan06.pdf Les besoins en sécurité pour l'information nomade - Prof. Jean-Paul De Blasis janvier 2006]

=== Liens externes ===

* {{fr}} [http://info.crypto.free.fr/wiki.php/1)%20Pr%C3%A9sentation%20et%20concept Construire son propre chiffreur de claviers PS/2 pour sécuriser ses entrées]
; Sites de référence
* {{fr}} [http://www.dictao.com/ Dictao : Solutions d'authentification forte pour les Hôpitaux et Banques, certifiées DCSII ]
* {{en}} [http://www.openauthentication.org/ Initiative for Open Authentication (OATH)]
* {{en}} [http://www.antiphishing.org/ The Anti-Phishing Working Group (APWG)] Recommandation : Utilisation de l'authentification forte
* {{en}} [http://www.secureidnews.com/ News sur les identités numériques]

; Directive
* {{en}} [http://www.ffiec.gov/press/pr101205.htm Authentification forte obligatoire pour les organismes financiers aux USA - octobre 2005]

{{Portail|sécurité informatique|cryptologie}}
[[Catégorie:Authentification]]
[[Catégorie:Identification personnelle]]

[[en:Two-factor authentication]]
[[it:Autenticazione a due fattori]]</text>
    </revision>
  </page>