ESSEC MANAGEMENT EDUCATION NOM & Prénom: DA VEIGA António Date:20 avril 2005 Directeur de Mémoire: KRIEF Serge SPÉCIALITÉ: Management des Systèmes d'information MÉMOIRE POUR L'OBTENTION DU DIPLOME HOMOLOGUE NIVEAU II Titre: RESPONSABLE EN GESTION (SECURISATION DES DONNEES SENSIBLES, CONTENUES DANS LE DISQUE DUR DES POSTES NOMADES, D'UNE FLOTTE D'ENTREPRISE) ACCORD DU COMITÉ PÉDAGOGIQUE Nom: Date: Signature: ACCORD DU DIRECTEUR DE MÉMOIRE Nom: KRIEF Serge Date: Signature:
Soutenance a l'enst le 20 avril 2005. Page 2/162
REMERCIEMENTS Un travail de cette envergure ne peut pas aboutir sans la collaboration directe ou indirecte de personnes externes au projet. En ce qui me concerne j'ai eu la chance de trouver le réconfort, le soutien et la motivation auprès de tout ceux que de près ou de loin ont participé a cette aventure. C'est pour cela et avec la plus grande sincérité que je veux dire merci à tous ceux qui ont contribué au bon déroulement de cet ouvrage. Je ne peux m'empêcher de remercier particulièrement tout le corps enseignant de l'essec et de l'enst. Je veux aussi remercier Catherine Pelhate pour les conseils, toujours si avisés, qu'elle m'a donné. Je voudrai également remercier mon ami Didier Gimel, P.D.G. de la société Strat Value, pour son soutien et sa disponibilité. Merci aussi à Eric Filatre pour ses conseils. Un remerciement sincère aussi à Dominique Briolat, Responsable Pédagogique et enseignant à L'ESSEC pour ses encouragements ainsi que pour la confiance qu'il m'a accordé. Merci à Serge Krief, mon Directeur de Mémoire, pour sa disponibilité, sa sympathie et la confiance qu'il m'a témoigné. Enfin, simplement merci à mes enfants et mon épouse, de m'encourager et de me soutenir inconditionnellement dans ma démarche. Merci Angelo, merci Sonia et merci Candida, sans vous, je ne serais pas en train d'écrire ces lignes aujourd'hui, sans aucun doute! Page 3/162
TABLE DES MATIERES REMERCIEMENTS...3 PLAN DU DOCUMENT...8 MOTS-CLE...8 INTRODUCTION...9 PROBLEMATIQUE...11 CHAPITRE 1-ÉTAT DE L ART...12 1.1 PRATIQUES ACTUELLES...12 1.2 RETOUR D EXPERIENCE...12 1.3 NOUVELLES TECHNOLOGIES...14 CHAPITRE 2-AUTHENTIFICATION...17 2.1 AUTHENTIFICATION...17 2.2 AUTHENTIFICATION DES UTILISATEURS...17 2.2.1 Authentification locale...18 2.2.2 Authentification réseau...19 2.3 AUTHENTIFICATION FORTE...20 2.4 METHODES D'AUTHENTIFICATION...21 2.4.1 Mots de passe...21 2.4.2 Certificats à clé publique...22 2.4.3 Biométrie...24 2.5 PRINCIPAUX PROTOCOLES D'AUTHENTIFICATION...27 2.5.1 Protocole PAP...28 2.5.2 Protocole CHAP...28 2.5.3 Protocole SPAP...28 2.5.4 Protocole MS-CHAP...29 2.5.5 Protocole MS-CHAP v2...29 2.5.6 VPN...29 2.5.7 PPP...30 2.5.8 Protocole EAP...30 2.6 CONTROLE D'ACCES AUX RESSOURCES...30 CHAPITRE 3-CRYPTOGRAPHIE...33 3.1 CRYPTOGRAPHIE...33 3.2 INTRODUCTION A LA CRYPTOGRAPHIE...34 Page 4/162
3.3 CHIFFREMENT...36 3.3.1 Chiffrement à clé secrète...36 3.3.2 Chiffrement a clé publique P.K.C. (Public Key Cryptosystem) 38 3.3.3 L authentification de documents...41 3.4 CRYPTOGRAPHIE HYBRIDE...43 3.4.1 P.G.P. Pretty Good Privacy...43 3.5 LE SCELLEMENT...45 3.6 LA CRYPTOGRAPHIE QUANTIQUE...46 CHAPITRE 4-ORGANISATION ET PROCEDURES...48 4.1 INTRODUCTION...48 4.2 OUTILS DE CRYPTAGE...48 4.2.1 E. F. S....49 4.2.2 P.G.P...50 4.2.3 Cryptage des données avec P.G.P....52 4.2.4 Décryptage des données avec P.G.P....53 4.2.5 Intégration de P.G.P. à la messagerie...54 4.3 SECURYTY BOX...55 4.3.1 Utilisation de Security BOX...57 4.4 CRYPTAGE DES DONNES SUR DISQUE DUR...58 4.4.1 Crypter un dossier avec E.F.S....60 4.4.2 Décrypter les dossier avec EFS...62 4.4.3 Avantages...63 4.4.4 Inconvénients...63 4.5 LES VIRUS "VIRUS, VERS ET CHEVAUX DE TROIE"...64 4.5.1 Les différentes familles de virus...65 4.5.2 L'Antivirus...67 4.5.3 Le Pare-feu...67 4.5.4 Viguard...69 CHAPITRE 5-SAUVEGARDES DES DONNEES...72 5.1 SAUVEGARDES DES DONNEES...72 5.1.1 Idem...72 5.1.2 Second Copy...73 5.2 OUTILS PERTINENTS...78 5.3 AVANTAGES...78 CONCLUSION...80 RECOMMANDATIONS...81 Page 5/162
L'ERREUR HUMAINE...81 PROTECTION PHYSIQUE DE VOTRE ORDINATEUR...81 PROTECTION LOGIQUE...83 LES MOTS DE PASSE...83 LES SAUVEGARDES...83 L'ANTIVIRUS...84 GESTION DES DONNEES...84 BIBLIOGRAPHIE...85 WEBOGRAPHIE...86 GLOSSAIRE...87 Page 6/162
Table des Figures Figure 1-Exemple d'infrastructures...11 Figure 2-Schéma simplifié d'un réseau V.P.N....13 Figure 3-Illustration I.B.G...15 Figure 4-A) Ouverture session...18 Figure 5-B) Ouverture de session...19 Figure 6-Authentification réseau...19 Figure 7-Mécanisme d'authentification forte...22 Figure 8-Lecteur de cartes à puce...23 Figure 9-Carte à puce...23 Figure 10-Exemple d'un certificat...24 Figure 11-Acquisition caractéristiques biométriques...25 Figure 12-Authentification biométrique...25 Figure 13-Gestion d'utilisateurs et groupes locaux...31 Figure 14-Schéma simplifié de l'architecture d'un serveur de fichiers...32 Figure 15-Cryptogramme...35 Figure 16-Chiffrement à clé privée...36 Figure 17-Schéma représentant l'algorithme D.E.S....38 Figure 18-Schéma fonctionnel simplifié, d'une P.K...39 Figure 19-Chiffrement à clé publique...41 Figure 20-Mode de fonctionnement de P.G.P...44 Figure 21-Scellement...45 Figure 22-Filtre rectiligne "cryptographie quantique"...47 Figure 23-Choix du client messagerie sous P.G.P....51 Figure 24-Saisie de phrase secrète sous P.G.P...52 Figure 25-Exemple Clé publique copiée dans un document.txt...52 Figure 26-Barre d'outils P.G.P.Tools...53 Figure 27-Utilisation des composants de PGP à partir du menu contextuel...53 Figure 28-Barre d'outils P.G.P.Tools...54 Figure 29-Intégration P.G.P aux clients messagerie...54 Figure 30-Intégration de PGP au client de messagerie...54 Figure 32-Structure d'un Disque Dur partitionné...59 Figure 33-Création d'un nouveau dossier...59 Figure 34-Renommer le dossier "données"...60 Figure 35-Tableau récapitulatif des principales causes de perte des données..65 Figure 36-Évolution des revenus des produits et services...68 Figure 37-Positionnement des principaux acteurs de la sécurité...69 Figure 38-Tableau des fonctionnalités du Pack Sécurité ViGUARD...71 Figure 39-Paramétrage Idem...73 Figure 40-Tableau récapitulatif des prix des licences Idem...73 Figure 41-Tableau récapitulatif des prix des licences Second Copy...78 Figure 42-Câble antivol portable...82 Page 7/162
PLAN DU DOCUMENT Ce document débute par une Introduction suive de l exposition de la Problématique. Le premier chapitre est consacré à l'état de l'art de la sécurité informatique en ce qui concerne les moyens et techniques mis en œuvre de nos jours pour la protection des données des postes nomades. Dans le deuxième chapitre j'aborderai l'authentification et le contrôle d'accès aux données. Je présenterai quelques notions de cryptographie et scellement dans le troisième chapitre. Le quatrième chapitre sera consacré à l'organisation et aux procédures de chiffrement. Puis, nous examinerons la problématique des attaques de type virus, vers ou chevaux de Troie. Le cinquième et dernier chapitre sera dédié aux sauvegardes. Je terminerai avec une rubrique dédiée à la conclusion suivie des recommandations. MOTS-CLE: Authentification, contrôle d'accès, cryptographie, chiffrement, virus et sauvegardes. Page 8/162
INTRODUCTION Les Systèmes d'information (S. I.), reposent essentiellement sur un ensemble de machines reliées entre elles par des équipements intermédiaires (réseau). Elles produisent, stockent, modifient, et transmettent de l'information entre elles. Ces machines peuvent être de plusieurs types: des serveurs extrêmement sophistiqués, des ordinateurs personnels "PC" 1, fixes ou portables ainsi que d'autres périphériques comme les Assistants Personnels, "PDA" 2 par exemple. L'objectif est de donner à ces équipements la possibilité de communiquer entre eux et ainsi échanger toute sorte d informations. Autrement dit, les dossiers qu'hier étaient empilés dans des armoires, ou bien, consciencieusement rangés dans des coffres-forts, peuvent se trouver en circulation dans la maille des réseaux de l'entreprise ou même au-delà, grâce à la capacité phénoménale des nouvelles technologies comme l'internet. Se basant sur le proverbe "Le savoir, c'est le pouvoir!", il n est pas difficile de deviner qu'une partie des utilisateurs du S.I. est particulièrement gourmande en termes d'obtention et possession de cette matière première. Cette information peut se révéler primordiale, voire stratégique, pour le présent et l'avenir de la Société qui la possède. Une bonne gestion et surtout, une bonne politique de protection d un si précieux sésame, s'imposent. Dans un S.I., il y a deux éléments à prendre en compte, en ce qui concerne la sécurité: - Les utilisateurs (humains), ou les processus qui agissent à leur place. - Les objets utilisés dans le système. L'objectif de la sécurisation d'un S.I. consiste en la mise en œuvre de mécanismes et de processus qui permettent d'assurer trois points élémentaires: - La confidentialité des données. - L'intégrité des données. - La disponibilité des services. 1 -Personnal Computer 2 -Portable Digital Assistant Page 9/162
On appelle "base informatique de confiance", l'ensemble de mécanismes de sécurité mis en œuvre pour assurer les trois propriétés décrites précédemment, qui peuvent être partagés en trois sous-ensembles: - La sécurité logicielle. - La sécurité matérielle. - La sécurité organisationnelle. De la même façon la sécurité logicielle et la sécurité matérielle seront regroupées dans un ensemble appelé Sécurité Interne ou Sécurité Logique, la sécurité organisationnelle peut être aussi appelée Sécurité externe. La sécurité externe a pour objectif la sécurisation des accès physiques au S.I... Ces accès seront décomposés en trois parties: - La sécurité physique des installations. - La sécurité concernant le personnel. - La sécurité procédurale. Ces deux aspects de la sécurité des systèmes d'information ne peuvent être dissociés, car une mesure prise au niveau interne peut compromettre très sérieusement l'équilibre des mesures prises au niveau externe et vice-versa. Ce document a pour objectif de traiter essentiellement l'information dite "sensible", classée confidentielle contenue dans les Disques Durs des postes nomades. Je considère que les postes fixes stockent et traitent l'information au niveau des Serveurs dédiés à cet effet, (sécurité interne). Page 10/162
PROBLEMATIQUE De manière à mettre en évidence la problématique de la sécurité des informations contenues dans les Disques Durs des postes nomades, prenons comme exemple, un organisme ou une entreprise qui souhaitent sécuriser son S.I. Dans un premier temps il est indispensable de sécuriser le coté physique (vigile, portes et contrôle d'accès ). L'étape suivante doit privilégier la sécurité des matériaux qui produisent, traitent et stockent les données. Les serveurs (des fichiers, des sauvegardes ) pièces maîtresses d'un S.I., seront à leur tour placés au centre de la politique de sécurisation (Figure 1). Station de travail Stations de travail Serveur de messagerie Stations de travail Figure 1-Exemple d'infrastructures Cette démarche de sécurisation d'un S.I. permet de garantir la sécurité des données qui circulent à l'intérieur de l'enceinte de notre société. A contrario les périphériques "portables" plus particulièrement, les ordinateurs portables, deviennent extrêmement vulnérables, une fois le périmètre de sécurité décrit précédemment, franchi. Nous venons de mettre en évidence une grave défaillance de sécurité appelée "base informatique de confiance" dans le cas, où des mesures particulières de sécurité ne sont pas mises en œuvre. Page 11/162
1 CHAPITRE 1-ÉTAT DE L ART 1.1 PRATIQUES ACTUELLES Le recours à des périphériques mobiles pour se connecter à partir de l'extérieur de l'entreprise à son système d'information, est devenu une pratique quotidienne. Les ordinateurs portables en particulier, ainsi que les assistants numériques de poche (P.A.D.), les téléphones dits "intelligents" ouvrent toutes les portes d'accès aux S.I. des entreprises avec une facilité extraordinaire. Selon le Gartner Group le nombre des périphériques mobiles (téléphones portables exclus) équipés de fonctionnalités sans fil, dépassera 1,5 milliard dès 2005. Le chiffre d'affaires concernant les périphériques mobiles, est estimé à 52 milliards de dollars sur l'année 2004. Dans un passé pas très lointain, le S.I. était enfermé et cloisonné dans l'enceinte de l'entreprise, la politique de sécurité mise en place était précisément basée sur l'aspect de la maîtrise de cet environnement. Malheureusement pour le responsable de la sécurité, et heureusement pour les entreprises et l'utilisateur nomades, le S.I. s'est ouvert vers l'extérieur et il est sorti de ce cloisonnement à une vitesse extraordinaire. Si nous tenons compte de cette étude réalisée par la société Gartner la course à la mobilité ne fait que commencer. 1.2 RETOUR D EXPERIENCE Compte tenu, que la croissance de la mobilité ne peut pas être arrêtée sous couvert de sécurité, le développement et la mise en place d'outils et de processus de protection des données se sont accentués ces dernières années. La mise en place de Réseaux Privés Virtuelles (V.P.N.) associés à des méthodes d'authentification forte va permettre à la D.S.I. de mettre à disposition des dirigeants, des cadres supérieurs, des équipes nomades, et des ingénieurs en mission, entre autres, un accès au S.I., très souvent vital pour le bon déroulement de leurs missions. L association du V.P.N. et de l authentification forte va permettre à la DSI et aux responsables de la sécurité en particulier de s'assurer de l'identité de la personne qui se connecte au S.I. et que la transmission des données entre le poste nomade et le S.I. ne sera pas interceptée et ainsi garantir l'intégrité et la confidentialité des données. Une question importante reste dans l'air tout de même. Et les données embarquées, sont-elles protégées? Page 12/162
L'authentification et le chiffrement des communications constituent la base d'un périmètre de sécurité indispensable au bon déroulement de la "synchronisation" des données avec le S.I., mais il n'est pas suffisant d'avoir la garantie qu'il s'agit bien de "M. Dupont" qui se connecte au S.I., et que le canal qu'il utilise est sécurisé. Il est également indispensable d'assurer l'intégrité des données échangées avec le S.I.. Et pour cela il est nécessaire de sécuriser les périphériques nomades, en amont, à travers le chiffrement des données embarquées. Il convient de ne pas négliger l'aspect "domestique" du périphérique nomade car en réalité le cadre supérieur ou le commercial, entre autres, s'approprient facilement de l'ordinateur portable qui est mis à leur disposition dans le cadre de leurs différentes missions. L'installation d'applications "douteuses" non validées par le responsable de la sécurité doit être simplement proscrite. La politique de sécurité, d'intégrité et de confidentialité pourrait être dramatiquement compromise. Figure 2-Schéma simplifié d'un réseau V.P.N. La gestion locale des informations doit être réduite au maximum. Internet peut être utilisé comme un outil de travail extrêmement intéressant, cependant, son utilisation a fin de se connecter à l'entreprise comporte des risques extrêmement élevés. Les entreprises conscientes de ce risque utilisent des connexions de type V.P.N.. Le problème réside dans le fait que l'entité connectée via un "tunnel" de type V.P.N. reste aussi connectée sur Internet, et de ce fait les risques d'intrusion sont bien réels. Il me semble essentiel, d'équiper les périphériques nomades de systèmes de détection d'intrusion, de pare-feu personnel ainsi que d'un antivirus. Page 13/162
Une fois le périphérique nomade sécurisé dans sa globalité, l'entreprise peut, alors, envisager l'ouverture de son S.I.. Les informations alors échangées doivent être extrêmement réduites, les risques de perte d'information restent toujours très élevés, le disque dur d'un ordinateur est essentiellement constitué de pièces mécaniques très fragiles, susceptibles de tomber en panne au moment où l'ont s'y attend le moins. L'utilisation de techniques de type Client Léger 3 peuvent désormais répondre à ce souci de diminution de données embarquées, car la simple visualisation des données suffit aux besoins d'une grande partie des utilisateurs nomades. Cette pratique permet de diminuer la quantité de données sensibles stockées dans le disque dur du poste nomade, celui-ci ne pourra pas être utilisé afin de corrompre les bases de données de l'entreprise. Voir schéma fonctionnel de clients léger en annexe 4. 1.3 NOUVELLES TECHNOLOGIES La maturité des solutions de cryptage, ainsi que les produits destinés à établir les connexions des postes nomades vers les S.I. des entreprises, me laissent penser que la protection des données sensibles des postes nomades ne constitue plus un problème en soi. La conjugaison des différents produits du marché actuel (antivirus, pare-feu personnel, outils de cryptographie ) nous permet de créer un environnement de confiance acceptable. Néanmoins, I. B. G. (International Biometric Group) nous démontre en s'appuyant sur une étude de marché pour la période des années 2000-2005, que la biométrie peut apporter une nouvelle dimension en ce qui concerne le contrôle d'accès aux systèmes d'information (ordinateur / réseau), sans exclure toute la composante du commerce électronique. Prévision de la croissance du chiffre d'affaires de la Biométrie pour la période 1999/2005: 3 -Une session de type client léger/serveur est un modèle à partir du quel le déploiement, la gestion, le support et l exécution des applications s effectuent à 100% sur le serveur. Ce dernier utilise un système d exploitation multi-utilisateurs ainsi qu une méthode de distribution de la présentation de l interface d une application vers un poste client. Page 14/162
Figure 3-Illustration I.B.G. L utilisateur est de plus en plus réceptif à l utilisation de la biométrie, il n y a plus de méfiance à son égard et la demande est en forte augmentation. D'autre part la D. S. I., ou le responsable de la sécurité ne s'y opposent pas non plus à la mise en place d'un système qui leur permet de réduire drastiquement la complexité des contrôles d'accès aux S.I.. 2005 sera donc "l'année Biométrie" Page 15/162
Voici une liste non exhaustive des différentes applications pouvant utiliser la biométrie pour contrôler un accès (physique ou logique), aux applications, matériels, locaux etc. - Contrôle d'accès aux locaux. - Site sensible (service de recherche, site nucléaire). - Systèmes d'informations. - Lancement du système d'exploitation. - Accès au réseau. - Commerce électronique. - Transaction (financière "banques", données entre les entreprises). - Signature de document (lot de fabrication de médicaments). - Tous les logiciels utilisant un mot de passe. - Équipements de communication -Terminaux d'accès à Internet. - Téléphones portables. - Machines et équipements divers. - Coffre fort avec serrure électronique. - Distributeur automatique de billets. - Casier sensible (club de tir, police). - Cantine d'entreprise (pour éviter l'utilisation d'un badge par une personne extérieure). - Casier de piscine (plus d'objet à porter sur soi). -Contrôle des adhérents dans un club, carte de fidélité. - Contrôle des temps de présence. - Voiture (anti-démarrage). - État / Administration. - Fichier judiciaire. - Titres d'identité (carte nationale d'identité, passeport, permis de conduire, titre de séjour). - Services sociaux (sécurisation des règlements). - Services municipaux (sécurisation des accès aux écoles, contrôle de l'utilisation des services périscolaires). - Système de vote électronique. Page 16/162
2 CHAPITRE 2-AUTHENTIFICATION 2.1 AUTHENTIFICATION Organe fondamental pour le fonctionnement et le développement des entreprises, le Système d Information (S.I.) à l image d un coffre-fort, requière une gestion ainsi qu'un contrôle d accès très particuliers et quotidiens. Le développement commercial des entreprises, les besoins spécifiques du marketing, le e-commerce, la messagerie et autres techniques de communication réclament une ouverture des SI à un grand nombre d utilisateurs, internes et externes aux entreprises, y accédant depuis des postes fixes ou nomades, avec des outils multiples et variés et à partir d environnements de plus en plus hétérogènes. Cette ouverture accentuée, impose une vigilance accrue, des accès liés aux utilisateurs et/ou aux processus informatiques. Avec le déploiement des techniques de communication, comme l'internet et la Messagerie, ainsi que l'expansion plus qu'évidente du e-commerce, l identification, l authentification et les droits associés ne peuvent plus rester figés dans le temps ni dans l espace. D après le Garther Dataquest, le développement des systèmes de management du contrôle d identité et d'accès aux Systèmes d Information, a enregistré une croissance de près de 12% en 2003. Il est nécessaire de centraliser les données relatives aux authentifications et les droits associés, dans le but de réduire les coûts liés à la gestion et à la facilité de mise à jour de ceux-ci. Ce qui explique le surcroît et l engouement des entreprises dans la mise en place d outils dédiés. Intimement liés, l Identification et l Authentification constituent deux aspects complètement indépendants, malgré leur complémentarité. Il convient de rappeler que l identité d un individu est constituée par l ensemble des données, de fait et de droit, permettant d individualiser quelqu un, parmi d'autres. De ce fait: - L identification consiste en la vérification de l identité. - L authentification consiste à prouver son identité. 2.2 AUTHENTIFICATION DES UTILISATEURS Page 17/162
L'authentification de l'utilisateur vis-à-vis d'un ordinateur, d'un réseau ou d'un accès distant 4 complète le processus d'identification, car l'authentification permet de démontrer une identité déclarée, et de la stocker, dans une base de données destinée à cet effet. 2.2.1 Authentification locale En prenant Windows 2000 comme exemple de Système d'exploitation (OS 5 Operating System), l'utilisateur ouvre une session locale dans une station de travail au moyen des informations d'identification stockées dans le gestionnaire de compte S.A.M., (Security Accounts Manager) il s'agit de la base de données des comptes de sécurité locaux. N'importe quelle station de travail ou n'importe quel serveur membre, peut stocker les comptes d'utilisateurs locaux, ceux-ci ne peuvent l'utiliser que pour l'accès local à l'ordinateur. Figure 4-A) Ouverture session 4 -Le Service d'accès distant (RAS, Remote Access Service) Windows NT/2000 permet de relier les utilisateurs distants ou mobiles aux réseaux d'entreprise à l'aide d'un modem. 5 -Programme assurant la gestion de l'ordinateur et de ses composants. Exemples: Linux, Windows, Unix, MacOS ou encore BeOS. Page 18/162
Figure 5-B) Ouverture de session 2.2.2 Authentification réseau Dans un serveur, un processus de contrôle valide l'identité et après authentification, donne l'accès aux données, aux applications, aux bases de données, aux fichiers ou à Internet, parmi un ensemble très large d'applications et processus que comporte un SI. Dans le cas contraire, si l'individu ou le processus n'est pas en mesure de prouver l'identité déclarée, l'accès au SI, lui est refusé. Exemple de fenêtre de connexion à un serveur de fichiers: Figure 6-Authentification réseau Page 19/162
L'authentification peut se faire de différentes manières, et notamment par la vérification des points suivants: - "Ce que je sais", un mot de passe par exemple. - "Ce que je sais faire", une signature manuscrite sur écran tactile/digital. - "Ce que je suis", une caractéristique physique comme une empreinte digitale. - "Ce que je possède", une carte à puce par exemple. Le choix d'une technique au détriment d'une autre s'effectue selon quatre critères: - Le niveau de sécurité. - Le coût de la solution retenue. - La complexité de déploiement et d administration. - L'acceptabilité de la solution retenue par les utilisateurs. Exemple de besoins d'authentifications spécifiques: - L'expéditeur d'un email. - L authentification d'un utilisateur qui se connecte à distance. - L authentification d'un administrateur au système. - L authentification d'un client (e-commerce). - Payement en ligne 2.3 AUTHENTIFICATION FORTE La combinaison de plusieurs de ces méthodes (aussi appelées, facteurs d'authentification) permet de renforcer le processus d'authentification, nous parlerons alors d'authentification forte. Page 20/162
2.4 METHODES D'AUTHENTIFICATION 2.4.1 Mots de passe Parmi toutes, le mot de passe est la technique la plus utilisée de nos jours, néanmoins, d'autres techniques peuvent être mises en place et utilisées pour une authentification plus "robuste" dite Authentification Forte. En ce qui concerne les mots de passe nous pouvons distinguer deux catégories: - Les mots de passe statiques. - Les mots de passe dynamiques. Les mots de passe statiques, comme leur nom l'indique, restent identiques pour plusieurs connexions sur un même compte. On rencontre ce type de mot de passe, sous des environnements Windows NT/2000 ou Unix. Cette technique d'authentification est la plus couramment utilisée dans les entreprises, par contre elle reste la plus vulnérable de toutes, car il n'est pas difficile de jeter un petit regard sur l'épaule de celui qui s'authentifie et facilement deviner son mot de passe à la saisie, sur le clavier. La restriction de ce type d'authentification, du point de vue des entreprises, serait une solution pour palier ce genre de vulnérabilités. Des solutions sont apparues pour palier cette faiblesse "relative" à l'usage du mot de passe statique. Par exemple, la combinaison de deux facteurs ("ce que je possède" et "ce que je sais") afin d'obtenir une authentification Forte. Les mots de passe sont obtenus par des générateurs de mots de passe dynamiques, (token 6 code) activés à l'aide d'un code d'identification personnel ou PIN 7 (Personal Identification Number). Ce mécanisme d'authentification forte, rend la capture du mot de passe en cours, inutile, compte tenue, que le Code PIN est personnel et confidentiel et que le Token Code est généré d'une façon aléatoire et d'une durée de vie de 60 secondes en général. 6 -Petit appareil destiné à générer des codes. Jeton en Français. 7 -Personal Identification Number. Identifiant d'un utilisateur sur un système multi utilisateur, et plus généralement, identifiant de quelqu'un dans un système quelconque. NIP en Français. Page 21/162
Figure 7-Mécanisme d'authentification forte 2.4.2 Certificats à clé publique Les certificats à clés publiques PKI 8 (Public Key Infrastructure) constituent, derrière le mot de passe, l'une des techniques d'authentification les plus utilisées à ce jour, certes, loin derrière les mots de passe, mais il est certain que ce moyen d'authentification trouve de plus en plus d'adeptes. Basé sur une technologie de cryptographie asymétrique, il fait intervenir deux éléments qui sont mathématiquement liés entre eux : - La clé privée. - La clé publique. Nous aurons l'occasion de regarder plus en détail la technologie PKI dans le deuxième chapitre. Une fois les stations de travail équipées d'un lecteur de carte à puces, la personne qui souhaite se connecter, décline son identité et la prouve, via un certificat stocké dans la carte à puces. Le certificat est délivré par un tiers de confiance, et il est constitué par l'ensemble des informations relatives à la personne qui les possède. 8 -Ensemble de techniques, organisations, procédures et pratiques qui définissent l'implémentation et l'exploitation de certificat numériques basés sur la cryptographie à clés publiques Page 22/162
Principaux constructeurs de lecteurs de cartes à puce: Constructeur Modèle Interface American Express GCR435 USB Bull SmarTLP3 Serial Compaq Serial reader Serial Gemplus GCR410P Serial Gemplus GPR400 PCMCIA Gemplus GemPC430 USB Hewlett Packard ProtectTools Serial Litronic 220P Serial Schlumberger Reflex 20 PCMCIA Schlumberger Reflex 72 Serial Schlumberger Reflex Lite Serial SCM SCR111 Serial Microsystems SCM SCR200 Serial Microsystems SCM SCR120 PCMCIA Microsystems SCM SCR300 USB Figure 8-Lecteur de cartes à puce Microsystems Systemneeds External Serial Omnikey AG 2010 Serial Omnikey AG 2020 USB Omnikey AG 4000 PCMCIA Le prix moyen d'un lecteur est de 50 l'unité. Principaux constructeurs de cartes à puce: Gemplus GemSAFE 4k Gemplus GemSAFE 8k Infineon SICRYPT v2 Schlumberger Cryptoflex 4k Schlumberger Cryptoflex 8k Schlumberger Cyberflex Access 16k Figure 9-Carte à puce Le prix moyen d'une carte à puce est de 10 l'unité. Page 23/162
Exemple d'un certificat, en l'occurrence, délivré par la société VeriSing. Figure 10-Exemple d'un certificat 2.4.3 Biométrie La biométrie est définie comme étant la science permettant l'identification d'individus à partir de leurs caractéristiques physiologiques ou comportementales. Les techniques biométriques sont classées en trois catégories: 1 - Les techniques fondées sur l'analyse de traces biologiques (ADN, sang, salive, ). 2 - Les techniques fondées sur l'analyse comportementale (dynamique du tracé de signature, frappe sur un clavier d'ordinateur,.). 3 - Les techniques fondées sur l'analyse morphologique (empreintes digitales, forme de la main, traits du visage, iris,...). Les caractéristiques doivent être universelles, autrement dit, exister chez tous les individus, elles doivent être uniques de façon à permettre l'identification d'un individu par rapport à un autre, elles doivent être Page 24/162
permanentes et facilement collectables, en vue d un enregistrement sur une base de données, pour une comparaison future. Enregistrement d'un utilisateur: Acquisition Extrait de la caracteristique Création fiche utilisateur Stockage Figure 11-Acquisition caractéristiques biométriques Authentification de l'utilisateur: Acquisition Extrait de la caracteristique Recherche dans la base de données comparaison fiche utilisateur Figure 12-Authentification biométrique Déroulement des différents processus d'authentification biométrique en annexe1. Page 25/162