Flexible Identity authentification multi-facteurs Tokens OTP physiques Version 1.0 1 of 21
historique des mises à jour date no. version auteur description avril 2014 1.0 Version initiale. Copyright Orange Business Services avril 2014 2 of 21
bienvenue Votre entreprise a choisi Flexible Identity - Authentification Multi-Facteurs pour vous aider à protéger votre identité en ligne ainsi que vos réseaux, applications et données contre les accès non autorisés. Ce guide décrit les moyens d authentification (tokens) physiques suivants : etoken PASS KT Ce guide est destiné : à vos utilisateurs : toute personne utilisant votre service Flexible Identity. à vos exploitants : toute personne qui gère les utilisateurs de votre service Flexible Identity. à vos administrateurs : toute personne qui gère votre service Flexible Identity. Si vous êtes déjà familiers avec les termes propres au service Flexible Identity et au système d authentification multi-facteurs, vous pouvez cliquer sur l une des icônes suivantes pour accéder directement à la section dédiée à votre token logiciel : etoken PASS KT 3 of 21
table des matières 1 aperçu... 5 1.1 qu est-ce que l OTP?... 5 1.2 qu est-ce qu un token OTP?... 5 1.3 qu est-ce qu un token OTP physique?... 5 1.3.1 quelles sécurités supplémentaires sont offertes?... 5 1.3.2 comment utiliser cette méthode d authentification?... 5 1.3.3 que faire si je n ai pas reçu la notification d auto-inscription?... 6 1.3.4 quelle est la durée de vie d un token OTP physique?... 6 1.4 comment fonctionne cette méthode d authentification?... 6 1.4.1 mode synchrone... 6 1.4.2 mode asynchrone... 8 1.5 pourquoi je n arrive pas à m authentifier avec mon token OTP?... 9 1.6 qu est-ce que le portail Self-service?... 9 1.7 quelles sont mes responsabilités?... 10 1.7.1 comment protéger mon token OTP?... 10 1.7.2 que faire si j oublie mon token OTP?... 10 1.7.3 que faire si je perds mon token OTP?... 10 1.7.4 comment dois-je protéger mon code PIN?... 10 1.7.5 comment renouveler mon code PIN?... 11 1.7.6 que faire si je perds mon code PIN?... 11 2 etoken PASS... 12 2.1 introduction... 12 2.2 spécifications... 12 2.3 auto-inscription... 12 2.4 authentification... 14 2.5 le portail Self-service (etoken PASS)... 15 2.5.1 accès... 15 2.5.2 renouvellement du code PIN... 15 2.5.3 envoi d un mot de passe temporaire par courriel/sms... 15 3 KT... 17 3.1 introduction... 17 3.2 spécifications... 17 3.3 auto-inscription... 17 3.4 authentification... 19 4 le portail Self-service (KT)... 20 4.1 accès... 20 4.2 resynchronisation du token... 20 4.3 renouvellement du code PIN... 21 4.4 envoi d un mot de passe temporaire par courriel/sms... 21 4 of 21
1 aperçu 1.1 qu est-ce que l OTP? L OTP («One-Time Password») est un système d authentification basé sur l utilisation de mots de passe à usage unique, ce qui permet de résoudre les inconvénients liés à l usage de mots de passe classiques. 1.2 qu est-ce qu un token OTP? Un token OTP est un moyen d authentification permettant à un utilisateur de générer des mots de passe à usage unique. 1.3 qu est-ce qu un token OTP physique? Un token OTP physique se présente sous la forme d un composant électronique dédié à la génération de mots de passe à usage unique. Il est généralement assez petit pour être transporté dans une poche ou un sac et est souvent munis d'un anneau permettant de l'accrocher à un trousseau de clés. 1.3.1 quelles sécurités supplémentaires sont offertes? L utilisation seule d un mot de passe à usage unique ne constitue pas un système d authentification forte, car basé uniquement sur un facteur. Pour remédier à ce problème, un second facteur appelé code PIN («Personal Identification Number», préféré au terme français «NIP» rarement utilisé) peut être utilisé (suivant la politique de votre entreprise). Ce code PIN est stocké sur le serveur d authentification («server-side») : lors de chaque authentification, vous devez joindre votre code PIN à votre mot de passe à usage unique. Suivant la politique de votre entreprise, votre code PIN doit être saisi avant (le cas le plus courant et proposé par défaut par Flexible Identity) ou après votre mot de passe à usage unique. 1.3.2 comment utiliser cette méthode d authentification? Suivant la politique de votre entreprise, soit votre administrateur SI vous fait parvenir automatiquement un token OTP physique, soit vous devez lui en faire la demande. En parallèle, une tâche d approvisionnement («provisioning task») est créée sur le serveur d authentification. Elle peut être manuelle (créée par votre administrateur SI) ou automatique (déclenchée suivant certains critères). Une 5 of 21
autorisation d utilisation vous est alors allouée et une notification contenant les instructions d activation de votre token OTP physique vous est envoyée par mail. La phase d activation de votre token OTP physique est appelée auto-inscription («self-enrollment») et s effectue via un serveur Web dédié. Durant cette phase, vous allez : o identifier le token OTP physique en votre possession (grâce à son numéro de série) o suivant la politique de votre entreprise, définir le code PIN associé à votre token OTP physique. o activer votre autorisation d utilisation A la fin cette phase, votre token OTP physique est en mesure de générer des mots de passe à usage unique reconnus par le serveur d authentification. 1.3.3 que faire si je n ai pas reçu la notification d auto-inscription? Contactez votre administrateur SI pour organiser l envoi d une nouvelle notification. 1.3.4 quelle est la durée de vie d un token OTP physique? La durée de vie d un token OTP physique est liée : à votre autorisation d utilisation, valable tant qu elle n est pas révoquée par votre administrateur SI. à la durée de vie de sa pile (sur certains modèles, il est possible de la remplacer, rendant la durée de vie du token OTP physique théoriquement illimitée). 1.4 comment fonctionne cette méthode d authentification? Il existe deux modes de fonctionnement. 1.4.1 mode synchrone Vous devez fournir un identifiant et un mot de passe à usage unique au serveur d authentification. 6 of 21
Deux types de synchronisation sont supportés : évènementielle («event-based») : chaque partie se synchronise sur un compteur. Ce compteur est incrémenté chaque fois qu un mot de passe à usage unique est généré, ce qui permet d obtenir un mot de passe à usage unique à chaque fois. temporelle («time-based») : chaque partie se synchronise sur une horloge, le plus souvent calée sur le temps universel («UTC»). L unité de temps doit être suffisamment longue pour minimiser les problèmes de synchronisation entre les deux parties (il faut laisser le temps à l utilisateur de saisir son mot de passe à usage unique). Chaque mot de passe à usage unique ainsi généré n est valide que durant une certaine période de temps (de l ordre de la minute). S il est utilisé en dehors de cette période de temps, il est considéré comme non valide. En cas de désynchronisation Il y désynchronisation entre un token OTP et le serveur d authentification lorsque le mot de passe à usage unique généré par le token OTP ne correspond pas à celui attendu par le serveur. Cette situation se produit notamment lorsque vous générez des mots de passe à usage unique sans pour autant les utiliser. Flexible Identity offre un mécanisme sécurisé permettant à votre token OTP et au serveur d authentification de se resynchroniser automatiquement. Une fenêtre OTP interne («inner OTP window») et externe («outer OTP window») sont utilisées, la taille de ces fenêtres dépendant de la politique de votre entreprise et du type de synchronisation : évènementielle : la taille des fenêtres correspond au nombre de mots de passe à usage unique que le serveur d authentification va générer par anticipation afin de tenter de retrouver votre mot de passe à usage unique. temporelle : la taille des fenêtres correspond au nombre de minutes pendant lequel votre token OTP physique peut être désynchronisé avec le serveur d authentification. Le mécanisme de resynchronisation automatique est alors le suivant : si le serveur si le serveur d authentification trouve votre mot de passe à usage unique dans la fenêtre OTP interne : o Il valide votre authentification. o Il prend en compte le décalage occasionné. 7 of 21
si le serveur d authentification ne trouve pas votre mot dans la fenêtre OTP interne mais le trouve dans la fenêtre OTP externe : o il vous demande de générer et de lui fournir le mot de passe à usage unique suivant. o Il valide votre authentification en cas de valeur correcte. o Il prend en compte le décalage occasionné. Si le serveur d authentification ne trouve votre mot de passe à usage unique dans aucune des deux fenêtres : o il considère votre mot de passe à usage unique comme non valide. o vous devez resynchroniser manuellement votre token OTP physique. 1.4.2 mode asynchrone Le serveur d authentification vous envoie un challenge que vous devez entrer dans votre token OTP physique. A partir de ce challenge, votre token OTP physique va calculer une réponse faisant office de mot de passe à usage unique. Ce mode est également appelé Challenge-réponse. Le fait d utiliser une synchronisation asynchrone entraine les contraintes suivantes : l application qui demande votre authentification doit être capable d afficher le challenge et de vous fournir un champ permettant de saisir votre réponse/mot de passe à usage unique. le protocole d authentification doit lui aussi être capable de gérer le challenge et la réponse (c est le cas du protocole RADIUS utilisé par Flexible Identity) le même challenge engendre toujours la même réponse. Une partie de la sécurité des synchronisations asynchrone est donc basée sur l unicité du challenge. Ainsi un challenge trop court fera que le même mot de passe à usage unique sera souvent utilisé, ce qui donne plus de chances aux attaques d aboutir. 8 of 21
1.5 pourquoi je n arrive pas à m authentifier avec mon token OTP? Plusieurs raisons sont possibles. j ai entré un mot de passe à usage unique incorrect C est la cause la plus fréquente. Pour éviter ce genre de problème, assurez-vous que : votre clavier n est pas verrouillé en majuscules. vous entrez les bons caractères et utilisez les bonnes combinaisons de touches. votre mot de passe à usage unique est correctement formé (en adéquation avec la politique de protection par code PIN appliquée à votre token OTP). mon compte utilisateur est verrouillé Vous avez dépassé le nombre maximum de tentatives d authentification. Vous devez attendre que le laps de temps défini par votre entreprise soit écoulé avant que votre compte utilisateur soit déverrouillé. mon token OTP est désynchronisé Vous n avez pas de moyen simple de savoir si votre token OTP est encore synchronisé ou pas. En cas de doute, vous pouvez préventivement le resynchroniser via votre portail en self-service (suivant la politique de votre entreprise) avant de contacter votre administrateur SI. mon autorisation d utilisation a été suspendue ou révoquée Contactez votre administrateur SI. 1.6 qu est-ce que le portail Self-service? Flexible Identity met à votre disposition un portail Self-service («self-service portal») permettant de gérer par vous-même certaines fonctions liées à votre token OTP (parmi lesquelles le renouvèlement de votre code PIN et la resynchronisation de votre token OTP), soulageant par la même occasion votre centre de support. Les fonctions disponibles sur ce portail dépendent de la politique de votre entreprise. Ce portail se présente sous la forme d un site Web dont le lien d accès est fourni dans la notification d auto-inscription. 9 of 21
1.7 quelles sont mes responsabilités? L utilisation d un token OTP vous offre une sécurité renforcée et simplifie votre travail en réduisant ou éliminant le besoin de se rappeler ou renouveler régulièrement votre mot de passe. En complément, Orange vous invite à d observer les recommandations suivantes pour garantir un niveau de sécurité le plus élevé possible. 1.7.1 comment protéger mon token OTP? Vous devez le conserver à l écart de votre ordinateur, ne jamais le laisser sur votre bureau, ni dans le sac de votre portable, considérez le comme votre carte de crédit, et gardez-le avec vous en permanence. 1.7.2 que faire si j oublie mon token OTP? Votre token OTP est un équipement primordial protégeant votre identité et les ressources auxquelles vous accédez. Prenez-en soin comme un objet précieux afin de minimiser le risque de l oublier. Si cependant, le cas se présentait, merci de contacter votre administrateur SI. 1.7.3 que faire si je perds mon token OTP? Si vous perdez votre token OTP, prévenez immédiatement votre administrateur SI: il prendra les mesures nécessaires pour s assurer que le token OTP perdu ne présente pas de risques de sécurité. suivant la politique de votre entreprise, il vous fournira une solution temporaire pour vous connecter à votre réseau en attendant que vous puissiez réutiliser un nouveau token OTP. 1.7.4 comment dois-je protéger mon code PIN? Si vous avez un code PIN, protégez-le comme s il s agissait du code PIN de votre carte bancaire. Ne le communiquez à personne, même aux personnes à qui vous faites confiance. Cela inclut vos collègues, les administrateurs de votre entreprise, et toute personne se revendiquant d Orange ou d un de ses partenaires. Vous devez rester extrêmement vigilants face à toute personne réclamant votre code PIN, et prévenir immédiatement votre administrateur IT de ce type d incident. Enfin, ne jamais écrire votre code PIN sur quelque support que ce soit. 10 of 21
1.7.5 comment renouveler mon code PIN? Si vous souhaitez renouveler votre code PIN, ou si vous pensez qu il a été compromis, utilisez la fonction «Reset PIN» de votre portail Self-service ou contactez votre administrateur SI. 1.7.6 que faire si je perds mon code PIN? Si vous perdez votre code PIN, utilisez la fonction Send sign-in password by e- mail/sms de votre portail Self-service ou contactez votre administrateur. 11 of 21
2 etoken PASS Pour des raisons de lisibilité, le terme mot de passe à usage unique est remplacé par OTP et le terme token OTP physique par token dans l ensemble de ce chapitre. 2.1 introduction etoken PASS est un token qui génère un nouvel OTP chaque fois que vous appuyez fermement puis relâchez rapidement le bouton situé sur sa face avant (à droite et sous l écran à cristaux liquides). Ces OTP peuvent ensuite être utilisés pour s authentifier auprès d applications et ressources protégées par Flexible Identity. 2.2 spécifications Durée de vie du token : liée à la durée de vie de la pile (7 ans en considérant 10 générations d OTP par jour). Algorithme de génération d OTP : SHA-1 Format d un OTP : chaine de 6 chiffres 2.3 auto-inscription Etape 1: vous avez ou allez recevoir une notification intitulée «Self-enrollment» par courriel. Ouvrez-la, cliquez sur le lien d accès au site Web d auto-inscription commençant par https://se.safenet-inc.com/...), puis rendez-vous sur votre navigateur Web avant de poursuivre. Etape 2: entrez le numéro de série situé sur la face arrière de votre token dans le champ Serial Number, puis cliquez sur le bouton Next. 12 of 21
Etape 3: générer un nouvel OTP sur votre token, puis entrez le dans le champ OTP. Selon la politique de votre entreprise, un code PIN peut être affiché sur la page. Dans ce cas, il s agit du code PIN initial qui protège votre token, vous devez également le saisir dans le champ OTP (avant ou après votre OTP suivant la politique de votre entreprise) et le mémoriser avant de cliquer sur le bouton Next. Suivant la politique de votre entreprise, vous pouvez être amenés à le renouveler votre code PIN dès à présent (sinon vous continuerez à utiliser le code PIN initial): entrez votre nouveau code PIN (vous devez le saisir une seconde fois à des fins de vérification), puis cliquez sur le bouton Next. En cas de succès, la page suivante est affichée: Etape 4: mémorisez votre identifiant utilisateur (User ID) qui est affiché avant de fermer votre navigateur Web. Votre token est maintenant actif et capable de générer des OTP. 13 of 21
2.4 authentification Vous avez la possibilité de vous authentifier avec votre token auprès de tout système qui requiert un mot de passe de connexion (comme votre portail Self-service décrit ciaprès). Etape 1: ouvrez la notification Self-enrollment (que vous avez déjà reçue par courriel), cliquez sur le lien d accès à votre portail Self-service (qui commence par https://ss.safenet-inc.com/...), puis rendez-vous sur votre navigateur Web avant de poursuivre. Cliquez sur le bouton Sign In, puis sur le bouton Sign in using your token. Etape 2: entrez votre identifiant utilisateur dans le champ User ID, générez un nouvel OTP avec votre token, entrez le dans le champ OTP (précédant ou suivant votre code PIN si vous en avez un stocké sur le serveur), puis cliquez sur le bouton OK. Etape 3: en cas de succès, la page d accueil de votre portail Self-service s affiche à nouveau, mais le bouton Sign In a été remplacé par le bouton Sign Out. 14 of 21
2.5 le portail Self-service (etoken PASS) 2.5.1 accès Ouvrez la notification Self-enrollment (que vous avez déjà reçue par courriel), cliquez sur le lien d accès à votre portail Self-service (qui commence par https://ss.safenetinc.com/...), puis rendez-vous sur votre navigateur Web avant de poursuivre. 2.5.2 renouvellement du code PIN Cette fonction ne s applique qu aux codes PIN stockés sur le serveur d authentification. Etape 1: cliquez sur l icône Reset PIN, sur le bouton Sign in using your token, puis authentifiez-vous. En cas de succès, la page «Create New PIN» est affichée. Etape 2: entrez votre nouveau code PIN dans le champ Create New PIN (vous devez le saisir une seconde fois à des fins de validation), puis cliquez sur le bouton OK. Etape 3: en cas de succès, le message Your Security PIN has been successfully reset. est affiché. Cliquez sur le bouton Sign Out avant de fermer votre navigateur Web. 2.5.3 envoi d un mot de passe temporaire par courriel/sms Ce mot de passe temporaire permet uniquement de vous authentifier auprès de votre portail Self-service (utile pour renouveler un code PIN oublié) et n est valide que 10 minutes. Etape 1: cliquez sur le bouton Sign In, le bouton Send Sign in password by e-mail (or Send Sign in password by SMS), entrez votre identifiant utilisateur dans le champ User ID, puis cliquez sur le bouton Send. 15 of 21
Etape 2: vous avez ou allez recevoir une notification intitulée «Self-service Temporary Sign In Password» par courriel (ou SMS) contenant votre mot de passe temporaire. Etape 3: cliquez sur le bouton Sign In, sur le bouton Sign in using your token, puis authentifiez-vous en utilisant votre mot de passe temporaire comme valeur de l OTP. 16 of 21
3 KT Pour des raisons de lisibilité, le terme mot de passe à usage unique est remplacé par OTP et le terme token OTP physique par token dans l ensemble de ce chapitre. 3.1 introduction KT est un token physique qui génère un nouvel OTP chaque fois que vous appuyez fermement puis relâchez rapidement le bouton situé sur sa face avant (à droite et sous l écran à cristaux liquides). 3.2 spécifications Durée de vie du token : illimitée (piles remplaçables). Algorithme de génération d OTP : AES 256 Format d un OTP : chaine de 8 chiffres 3.3 auto-inscription Etape 1: vous avez ou allez recevoir une notification intitulée «Self-enrollment» par courriel. Ouvrez-la, cliquez sur le lien d accès au site Web d auto-inscription commençant par https://se.safenet-inc.com/...), puis rendez-vous sur votre navigateur Web avant de poursuivre. Etape 2: entrez le numéro de série situé sur la face arrière de votre token dans le champ Serial Number, puis cliquez sur le bouton Next. 17 of 21
Etape 3: générer un nouvel OTP sur votre token, puis entrez le dans le champ OTP. Selon la politique de votre entreprise, un code PIN peut être affiché sur la page. Dans ce cas, il s agit du code PIN initial qui protège votre token, vous devez également le saisir dans le champ OTP (avant ou après votre OTP suivant la politique de votre entreprise) et le mémoriser avant de cliquer sur le bouton Next. Suivant la politique de votre entreprise, vous pouvez être amenés à le renouveler votre code PIN dès à présent (sinon vous continuerez à utiliser le code PIN initial): entrez votre nouveau code PIN (vous devez le saisir une seconde fois à des fins de vérification), puis cliquez sur le bouton Next. En cas de succès, la page suivante est affichée: Etape 4: mémorisez votre identifiant utilisateur (User ID) qui est affiché avant de fermer votre navigateur Web. 18 of 21
Votre token est maintenant actif et capable de générer des OTP. 3.4 authentification Vous avez la possibilité de vous authentifier avec votre token auprès de tout système qui requiert un mot de passe de connexion (comme votre portail Self-service décrit ciaprès). Etape 1: ouvrez la notification Self-enrollment (que vous avez déjà reçue par courriel), cliquez sur le lien d accès à votre portail Self-service (qui commence par https://ss.safenet-inc.com/...), puis rendez-vous sur votre navigateur Web avant de poursuivre. Cliquez sur le bouton Sign In, puis sur le bouton Sign in using your token. Etape 2: entrez votre identifiant utilisateur dans le champ User ID, générez un nouvel OTP avec votre token, entrez le dans le champ OTP (précédant ou suivant votre code PIN si vous en avez un stocké sur le serveur), puis cliquez sur le bouton OK. Etape 3: en cas de succès, la page d accueil de votre portail Self-service s affiche à nouveau, mais le bouton Sign In a été remplacé par le bouton Sign Out. 19 of 21
4 le portail Self-service (KT) 4.1 accès Ouvrez la notification Self-enrollment (que vous avez déjà reçue par courriel), cliquez sur le lien d accès à votre portail Self-service (qui commence par https://ss.safenetinc.com/...), puis rendez-vous sur votre navigateur Web avant de poursuivre. 4.2 resynchronisation du token Etape 1: cliquez sur l icône Resync Token, entrez votre identifiant utilisateur dans le champ User ID, cliquez sur le bouton Next, entrez le numéro de série du token dans le champ Serial, puis cliquez sur le bouton Next. Une réponse au code challenge affiché est demandée. Etape 2: appuyez fermement puis relâchez rapidement le bouton de votre token, appuyez à nouveau sur le bouton et maintenez le enfoncé pendant 3 à 4 secondes jusqu à ce que l invite de commande Init apparaisse, puis relâcher le bouton. Votre token va afficher en boucle une série d options. Appuyez sur le bouton jusqu à ce que l option resync s affiche. Les chiffres vont s afficher de façon séquentielle. Pour chaque chiffre du challenge de resynchronisation, appuyez sur le bouton pour valider le chiffre affiché. Une fois que le dernier chiffre est affiché, appuyez deux fois sur le bouton pour afficher le code réponse. Etape 3: à partir du portail, entrez le code réponse dans le champ Response, puis cliquez sur le bouton OK. Etape 4: en cas de succès, le message Token successfully synchronized. est affiché. Vous pouvez fermer votre navigateur Web. 20 of 21
4.3 renouvellement du code PIN Cette fonction ne s applique qu aux codes PIN stockés sur le serveur d authentification. Etape 1: cliquez sur l icône Reset PIN, sur le bouton Sign in using your token, puis authentifiez-vous. En cas de succès, la page «Create New PIN» est affichée. Etape 2: entrez votre nouveau code PIN (vous devez le saisir une seconde fois à des fins de validation), puis cliquez sur le bouton OK. Etape 3: en cas de succès, le message Your Security PIN has been successfully reset. est affiché. Cliquez sur le bouton Sign Out avant de fermer votre navigateur Web. 4.4 envoi d un mot de passe temporaire par courriel/sms Ce mot de passe temporaire permet uniquement de vous authentifier auprès de votre portail Self-service (utile pour renouveler un code PIN oublié) et n est valide que 10 minutes. Etape 1: cliquez sur le bouton Sign In, sur le bouton Send Sign in password by e-mail (or Send Sign in password by SMS), entrez votre identifiant utilisateur dans le champ User ID, puis cliquez sur le bouton Send. Etape 2: vous avez ou allez recevoir une notification intitulée «Self-service Temporary Sign In Password» par courriel (ou SMS) contenant votre mot de passe temporaire. Etape 3: cliquez sur le bouton Sign In, sur le bouton Sign in using your token, puis authentifiez-vous en utilisant votre mot de passe temporaire comme valeur de l OTP. 21 of 21