Authentification et autorisation École de technologie supérieure (ÉTS) Département de génie électrique

Transcription

1 MGR850 Hiver 2014 Authentification et autorisation École de technologie supérieure (ÉTS) Département de génie électrique 1

2 Plan Définitions et concepts Identification Authentification Autorisation Imputabilité Protocole d authentification : Kerberos Conclusion GR850- H14 2

3 MGR850- H14 Identification Définitions et concepts Identifier de façon unique un sujet grâce à un identifiant. Authentification S assurer que l identité du sujet est bien celle qu il prétend être. Autorisation Déterminer si le sujet authentifié peut poser l action désirée sur l objet spécifié. Imputabilité (Accounting) Attribuer un accès à un objet ou une opération à un sujet donné afin de s assurer de la traçabilité de toute violation ou tentative de violation d une règle de sécurité. 4

4 Identification Chaque identifiant devrait être unique afin de s assurer de l imputabilité des usagers. Une méthode standardisée devrait être utilisée. ASIN (Amazon Standard Identification Number) ou ISBN (International Standard Book Number) MGR850- H14 5

5 Authentification Repose sur un authentifiant (credential) que le sujet détient : Quelque chose que le sujet connaît. Mot de passe, numéro d identification personnel (NAS), Quelque chose que le sujet possède. Carte magnétique, carte à puce, Quelque chose déterminant le sujet. Biométrie: empreinte digitale, rétine, iris, «Something you know, Something you have, Something you are» MGR850- H14 6

6 Authentification forte Authentification Par définition, une authentification forte repose sur au moins deux facteurs: Carte magnétique et NIP Carte magnétique et reconnaissance biométrique (iris, rétine, voix, ) Carte à puce et NIP Carte à puce et empreinte digitale MGR850- H14 7

7 MGR850- H14 Authentification Authentification par mots de passe: Mot de passe statique Le même mot de passe utilisé pour plusieurs accès. Phrase de passe Un mot de passe virtuel (ou une clé) dérivé de cette phrase. Mot de passe dynamique (One-time password (OTP)) Un mot de passe unique utilisé pour chaque accès. 8

8 MGR850- H14 Jetons Authentification Dispositif de Jetons (Token device): (cartes à puce, jeton USB, jeton SecurID ) ayant la capacité de traiter de l information grâce à son microprocesseur intégré. Le jeton peut effectuer des calculs cryptographiques en utilisant des clés internes AES, DES, RSA,... Ces calculs se font généralement après que l usager ait entré son NIP => deux facteurs. Permet d automatiser le protocole de défiréponse. 9

9 MGR850- H14 Authentification Mots de passe dynamique synchrone Synchrone Compteur Le dispositif calcule le jeton à partir d un compteur et d un secret spécifiques à ce dispositif (donc, à l usager). Ce jeton est envoyé au serveur. Ce calcul se fait généralement après que l usager ait entré son NIP => deux facteurs. L algorithme utilisé doit être robuste et ne pas permettre de retrouver le compteur et le secret à partir des jetons produits => Algorithme cryptographique. Le serveur central d authentification doit connaître le compteur et le secret associés au dispositif. 10

10 MGR850- H14 Authentification Mots de passe dynamique synchrone Synchrone Temps (Ex. RSA SecureID) Le dispositif calcule le jeton à partir d un temps courant et d un secret spécifique à ce dispositif (donc, à l usager). Ce jeton est envoyé au serveur. Ce calcul se fait généralement après que l usager ait entré son NIP => deux facteurs. L algorithme utilisé doit être robuste et ne pas permettre de retrouver le secret à partir des jetons produits => Algorithme cryptographique. Le serveur central d authentification doit connaître le secret associé au dispositif et doit avoir une horloge synchronisée avec ce dernier. 11

11 Authentification Mots de passe dynamique synchrone A Clé secrète K AS partagée entre le client et le serveur S NIP or synchro or Chiffrement et génération OTP OTP Chiffrement et génération OTP OTP Verification Accepté rejeté MGR850- H14 12

12 MGR850- H14 Authentification Mots de passe dynamique asynchrone Asynchrone Le serveur envoie à l usager un défi (challenge) auquel il doit répondre. L usager entre le défi dans le dispositif qui calcule la réponse appropriée. Ce calcul repose sur un secret spécifique à ce dispositif (donc, à l usager). Cette réponse est envoyée au serveur. Ce calcul se fait généralement après que l usager ait entré son NIP => deux facteurs. L algorithme utilisé doit être robuste et ne pas permettre de retrouver le secret à partir des jetons produits => Algorithme cryptographique. Le serveur central d authentification doit connaître le secret associé au dispositif. 13

13 Authentification Mots de passe dynamique asynchrone NIP A Clé secrète K AS partagée entre le client et le serveur S Generation d un challenge Chiffrement et génération OTP OTP Chiffrement et génération OTP OTP Verification Accepté rejeté MGR850- H14 14

14 Authentification Biométrie: Empreintes Solution 1 Solution 2 Comment s assurer que l empreinte n est pas rejouée? Dans ce cas, l empreinte deviendrait un long mot de passe. Solution idéale: le lecteur d empreinte est intégré au jeton. MGR850- H14 23

15 MGR850- H14 Bonne utilisation typique d un jeton externe Un usager veut envoyer un courriel signé. 1. L application courriel client envoie au jeton le hash du message pour être signé. 2. Le «driver» du jeton demande à l usager de présenter son empreinte digitale. 3. Le jeton peut maintenant signer le hash et retourner le résultat à l application courriel client qui ajoute cette signature au courriel. Le courriel est envoyé. De cette façon, la clé privée de l usager est protégée par le jeton. La clé ne sort jamais du jeton. 24

16 Mauvaise utilisation typique d un jeton externe L usager veut vérifier la signature d un courriel qu il a reçu. 1. L usager envoie au jeton la signature du courriel, le hash du message et le certificat de celui qui a signé le message. 2. La carte possède la clé publique permettant de vérifier les certificats. 3. Le jeton vérifie (a) la signature du certificat et (b) la signature du message. 4. Le jeton obtient le hash du message à partir de la signature du message. 5. Le jeton vérifie si le hash extrait de la vérification signature et celui du message sont égaux. 6. Le jeton retourne le résultat de la vérification. L usager accepte ou refuse le courriel en se basant sur la réponse du jeton Y a-t-il un problème? MGR850- H14 25

17 MGR850- H14 Mauvaise utilisation typique d un jeton externe Premier cas : l ordinateur n est pas compromis. Il peut faire la vérification lui-même. Il possède tout ce qu il faut pour faire cette vérification (p.e. la clé publique permettant de vérifier les certificats) et il est plus performant. Deuxième cas : l ordinateur est compromis. Peu importe ce que le jeton répond, l ordinateur compromis va faire ce qu il veut, peu importe si le jeton répond OK ou KO. Le jeton est inutile dans ce cas! 26

18 Biométrie: Déploiement Les solutions biométriques sont plus coûteuses. L usager doit poser une action pour s inscrire. Cette phase peut être longue. La quantité d information à stocker est importante. 250KB pour une image haute définition d une empreinte. 500 à 1000 octets pour les caractéristiques d une empreinte pour un lecteur. Le nombre de vérifications par minute est important. Un taux acceptable est au minimum de 10 par minutes. L acceptabilité de la part des usagers Propreté des lecteurs Information personnelle Authentification Rétine diabète, tension artérielle MGR850- H14 27

19 Conclusion Afin de protéger la confidentialité et l intégrité des actifs informationnels, il faut s assurer que seulement les personnes dûment authentifiées et autorisées puissent avoir accès à ceux-ci. MGR850- H14 49