La convergence des contrles daccs physique et logique

Un identifiant unique pour scuriser laccs aux locaux et aux rseaux

Synthse

La tendance actuelle est de faire cohabiter de multiples applications et identits sur une mme carte. Il en va de mme pour les smartphone et autres tablettes. Lutilisation dune seule carte vite aux utilisateurs davoir retenir plusieurs mots de passe ou se munir de plusieurs supports de donnes pour accder des btiments, se connecter des ordinateurs ou encore utiliser des applications sur le cloud. Elle permet galement dintgrer dautres applications forte valeur ajoute, telles que la distribution automatique, la gestion horaire et la gestion dimpression scurise. Nous assistons dune demande croissante pour regrouper les identifiants des systmes de contrle daccs physique (PACS) et logique sur une mme carte ou smartphone. Au-del de la commodit, la prsence des identifiants sur un mme support permet surtout daccrotre la scurit dutilisation. En centralisant la gestion des identits, elle permet aux entreprises de mettre en place rapidement une solution efficace. Ce nouveau modle marque une volution dans quatre types de directions; des cartes vers les smartphones, des lecteurs vers une communication directe, de la technologie infrastructure cls publiques (PKI) vers des solutions simplifies, ajout une relle convergence du contrle daccs de lauthentification forte. Le prsent livre blanc considre lensemble des motivations, enjeux, possibilits de dploiement associs une solution convergente des contrles daccs physique et logique. Il met galement en lumire lintrt dun processus unifi de cration et denrlement de cartes.

Comprendre les motivations de la convergence

Par le pass, les entreprises se concentraient sur la cration dun primtre de scurit pour protger laccs leurs ressources physiques et logiques. Dans cette approche traditionnelle du contrle daccs, un utilisateur devait prsenter un badge didentification pour pouvoir accder un btiment, puis aprs y avoir pntr, saisir des mots de passe statiques pour sauthentifier afin de se connecter aux ressources informatiques. En raison de la nature des Menaces Avances (APTs) et de lensemble des risques internes rsultant de la pratique Bring Your Own Device (BYOD), ces mthodes de scurisation de laccs savrent toutefois insuffisantes. Dans leur stratgie de scurit multi-couches, les entreprises exigent un contrle daccs plus efficace et une mthode dauthentification forte au sein de leur infrastructure. Hlas, ce choix sest souvent avr difficile quant aux performances, aux cots, la complexit de mise en uvre et surtout pour la commodit dutilisation, les employs, quant eux, prfrant utiliser une seule carte.

2

Avantages de la convergence des contrles daccs physique et logique

Certaines entreprises appliquent dj une gestion utilisateur totalement convergente, dans laquelle une politique dentreprise unique dfinit laccs et lutilisation des ressources, un rpertoire utilisateur principal unique ainsi quun seul outil de connexion qui simplifie la gestion des comptes-rendus et journaux daudit. Les avantages qui en rsultent pour lentreprise sont les suivants : Commodit dutilisation remplace les tokens

et autres porte-cls OTP (One Time Password), ce qui limite le nombre de supports et de saisies de mots de passe chaque accs.

Scurit accrue permet lauthentification forte pour accder aux principaux systmes et applications, de mme quaux btiments ou locaux.

Rduction des cots grce la centralisation de la gestion et au regroupement des tches au sein dun seul processus de gestion assurant lmission, le remplacement et la rvocation.

Possibilits de dploiement multiple

En fonction des exigences de lentreprise et de linfrastructure existante, diverses configurations sont possibles :

Technologie de carte sans contact existante : permet lextension dun systme de contrle daccs physique existant afin quil permette galement lauthentification de rseaux et dapplications dentreprise. Le logiciel est dploy sur la station de travail de lutilisateur final, un lecteur sans contact y tant connect ou intgr. La carte peut tre lue sans quil soit ncessaire de linsrer physiquement dans le lecteur. Il suffit alors

lutilisateur de prsenter la mme carte quil a utilise avec un lecteur daccs physique pour se connecter un ordinateur personnel ou portable afin daccder ses applications, celles de lentreprise ou encore celles stockes sur le cloud.

Cette configuration ne ncessite pas dinfrastructure cls publiques (PKI) permettant dassocier les cls publiques aux identits des utilisateurs via une autorit de certification (CA). Lauthentification forte PKI constitue souvent un lment essentiel de laccs logique et de la signature de documents

numriques. Aux Etats-Unis, un certificat numrique, incluant la cl publique de lutilisateur, est copi sur une carte de Vrification dIdentit Personnelle (PIV) associant les technologies de carte puce et de biomtrie (modle dempreinte sign numriquement) et

3

prenant en charge des mthodes dauthentification multi-facteurs. Au lieu de se baser sur une cl dauthentification secrte partage, ce principe utilise une paire de cls, publique et prive, associes de sorte que linformation traite avec lune des cls peut exclusivement tre dcode ou valide avec lautre cl. Lautorit de certification valide les PKI certification croise provenant des oprateurs de certification (p. ex. infrastructures distinctes et indpendantes, chacune dpendant de sa propre autorit de certification), ce qui rend possible lchange scuris dinformations concernant les signatures et les certificats numriques mis par et entre diverses autres administrations.

Bien que lutilisation dune technologie de carte sans contact existante vite de nombreuses interrogations quant la gestion des cls PKI, elle ne prend en charge quun nombre limit dapplications et ne dlivre en aucun cas la scurit forte propose par les solutions PKI. Le modle sans contact, sans PKI, est principalement dploy dans les environnements o de nombreux utilisateurs doivent accder au mme poste de travail intervalles courts. Il sert galement de solution provisoire, lorsquil sagit de protger des stations de travail et applications au moyen dune authentification forte pour certains projets globaux.

Carte double technologie : intgre sur une mme carte, une puce sans contact pour laccs physique et une puce contact pour le contrle daccs logique. Les identifiants, tels que certificats PKI et cls OTP sont grs sur la puce contact au moyen dun CMS (Card Management System). Grce sa scurit forte, le modle de carte double technologie convient tout particulirement aux entreprises ayant traiter des donnes sensibles sur leurs rseaux. Il simplifie galement la gestion de linfrastructure de scurit informatique et prennise leurs investissements daccs physique. Dans de nombreux cas, le CMS (Card Management System) peut tre intgr directement dans le systme de contrle daccs physique).

Carte double interface : cette carte intgre une puce unique disposant dune double interface, avec et sans contact. Elle peut tre utilise avec un lecteur contact pour les applications daccs logique, telles que la connexion un ordinateur ou la signature de messages, ou permettre laccs physique en y incluant mme le PKI lentre (aux Etats-Unis.

4

Le modle de carte double interface est essentiellement utilis par les agences du gouvernement fdral des Etats-Unis, le mandat OMB-11-11 imposant lutilisation didentifiants de Vrification dIdentit Personnelle (PIV) conformes la norme FIPS 201 pour laccs physique. Lutilisation didentifiants PKI avec une interface sans contact risque cependant de savrer trop lente pour laccs physique. Pour y remdier, FIPS 201-2 devrait permettre lutilisation des protocoles dauthentification et dagrmentation Open Protocol for Access Control Identification and Ticketing with privacY (OPACITY), qui devraient multiplier par quatre la performance des tches critiques. Grce aux communications sans fil scurises, il sera galement possible dutiliser des codes PIN et des donnes biomtriques sur linterface sans contact. Lauthentification pour laccs la fois physique et logique en sera renforce.

Lauthentification forte ds laccs aux btiments Lun des principaux avantages de la convergence est doffrir une solution de scurit multi-couches, parfaitement interoprable pour lensemble des rseaux, systmes et btiments, ce qui permet aux entreprises de rentabiliser les investissements quelles ont dj ralis dans les identifiants. Lauthentification forte ne servira pas uniquement pour laccs distant, mais sera de plus en plus mise en uvre pour la scurit des ordinateurs, applications sensibles, serveurs, systmes sur le cloud et sites dentreprise. Elle doit donc entrer en jeu ds laccs aux btiments. Cette solution sera en premier lieu mise en uvre par le gouvernement fdral amricain, avec des cartes utilisateur PIV existantes. Pour pouvoir accder un btiment au moyen dune carte PIV, les certificats numriques enregistrs sur cette carte sont vrifis dans une liste de rvocation de certificats (CRL) fournie par les autorits de certification. Lauthentification PKI est une mthode interoprable, extrmement efficace, non seulement pour le contrle daccs logique servant la protection des donnes, mais galement pour le contrle daccs physique qui lui, permet de protger les sites. Nous parlerons par la suite de PKI lentre .

5

Les agences fdrales implmentent la mthode PKI lentre dune manire graduelle, en fonction du budget disponible. Elles configurent donc leur infrastructure de sorte ce quune mise niveau vers lauthentification forte PKI pour le contrle daccs physique puisse tre ralise rapidement et facilement, une fois quelles seront prtes. Ainsi, dans un premier temps, elles enrlent tous leurs dtenteurs de cartes PIV dans leur systme de tte, puis dploient simplement des lecteurs de transition dfinis par la General Services Administration (GSA). Les lecteurs procdent la lecture de lidentifiant unique enregistr sur la carte et le comparent avec le dtenteur de la carte enrl, sans utiliser une quelconque technique dauthentification FIPS-201. Ces lecteurs de transition pourront ultrieurement tre reconfigurs sur site pour prendre en charge lauthentification multi-facteurs. On espre une extension de la mthode PKI lentre , mesure que la norme FIPS 201 volue et que le nombre de produits qui la prennent en charge augmente. Des dbouchs importants pour le dploiement moindre cot des PKI lentre seront fournis par les cartes CIV (Commercial Identity Verification). Dun point de vue technique, celles-ci sont similaires aux cartes PIV, sans toutefois devoir rpondre aux exigences supplmentaires de validation du gouvernement fdral. Contrairement aux agences fdrales, les utilisateurs de cartes CIV nauront pas acheter de certificats approuvs ou de payer une redevance annuelle, mais pourront gnrer leurs propres certificats. Le faible surcot des cartes, d la ncessit de loger la mmoire supplmentaire pour le stockage des certificats, sera compens par les avantages prcieux dune authentification plus forte lentre des btiments. Considrons, titre dexemple, un aroport o des cartes CIV seront utilises paralllement aux cartes PIV apparentes, dj en possession des employs de la Transportation Security Administration (TSA). Ladministration de laroport pourra alors crer un systme de contrle daccs unique prenant en charge la fois les employs de laroport et les agences fdrales qui y oprent elles aussi, tout en assurant une scurit plus leve grce lauthentification forte. De mme, lextension de lauthentification forte travers linfrastructure de contrle daccs physique et logique va jouer un rle majeur au sein des entreprises. Il est essentiel que celles-ci disposent dune gamme de mthodes dauthentification et dune flexibilit leur permettant de grer de manire adquate diffrents types dutilisateurs et de protger divers types de ressources. Grce des solutions simples demploi, elles seront en mesure de scuriser laccs leurs ressources, que celui-ci ait lieu depuis des quipements grs ou non grs. Sans avoir crer ou maintenir de multiples infrastructures dauthentification, elles pourront mettre en place une solution unique pour scuriser laccs lensemble de leurs ressources, quil sagisse de lentre dun site, dun photocopieur, dun rseau priv virtuel (VPN), dun terminal de service ou encore dune application hberge dans le cloud.

Quen est-il des appareils mobiles ?

De plus en plus mobiles, les utilisateurs adoptent lattitude BYOD (bring your own device) dans lenceinte de lentreprise et utilisent des smartphones, ordinateurs portables ou tablettes pour accder aux ressources dont ils ont besoin. Daprs linstitut ABI, prs de 7 milliards de nouveaux quipements sans fil seront mis en rseau dici 2015, ce qui correspond quasiment un appareil mobile par individu sur la plante.

Les entreprises sefforcent daccompagner cette tendance, tout en semployant trouver des solutions qui permettraient dutiliser les appareils mobiles des utilisateurs comme plateformes de contrle daccs physique et logique. Des projets pilotes, tels que celui men lUniversit dEtat dArizona, ont dj expriment les possibilits dutilisation des identifiants de contrle daccs sur des tlphones mobiles. Le gouvernement fdral amricain sintresse, lui aussi, au contrle daccs mobile. Une extension de la norme FIPS-201-2 devrait intgrer le concept didentifiants

6

drivs, que lon pourrait transposer dans llment de scurit (SE) de la carte en utilisant les mmes services cryptographiques que la carte.

Lessor du contrle daccs mobile amne repenser la manire de grer les identifiants daccs physique et de les rendre portables vers les smartphones, afin que les entreprises aient le choix dutiliser des cartes puce, des appareils mobiles ou les deux au sein de leur PACS. Cest ce qui a conduit HID Global crer le nouveau modle de donnes Secure Identity Object (SIO) pour sa plateforme iCLASS SE. Cet objet de donnes est capable de reprsenter des informations didentit sous diverses formes sur nimporte quel support habilit fonctionner dans lcosystme central et scuris de la plateforme Trusted Identity Platform (TIP) de HID Global. La plateforme TIP utilise un canal de communication scuris pour raliser le transfert des informations didentit entre les tlphones valids, leurs lments de scurit (SE) et tout autre mdia et support. La combinaison de la plateforme TIP et des objets de donnes SIO non seulement amliore la scurit, mais fournit galement la flexibilit dadaptation aux exigences venir, comme par exemple lajout de nouvelles applications sur une carte didentification. Ces avantages sont particulirement priss dans un environnement BYOD (bring your own device).

Grce au modle de contrle daccs mobile, un smartphone peut accueillir nimporte quel type de donne, quil sagisse du paiement lectronique, de la biomtrie, de la connexion aux PC ou de nombreuses autres applications. Lidentifiant dauthentification sera stock dans llment de scurit (SE) de lappareil mobile et le modle daffectation didentit bas dans le cloud supprimera le risque de copie de lidentifiant, tout en facilitant lmission didentifiants temporaires, la rvocation didentifiants perdus ou vols ainsi que la surveillance et la modification des paramtres de scurit, si ncessaire. Les utilisateurs pourront avoir sur leur smartphone divers identifiants de contrle daccs ainsi quun jeton OTP de connexion informatique, quil leur suffira de prsenter devant une tablette pour sauthentifier sur un rseau. En combinant les jetons mobiles sur le tlphone aux possibilits de lapplication didentification unique sur le cloud, lauthentification double facteur classique et laccs simplifi aux nombreuses applications sur le cloud pourront tre associs sur un dispositif unique que les utilisateurs perdent ou oublient rarement. On pourra ainsi utiliser un mme tlphone pour accder des locaux et pour de nombreuses autres applications.

De nombreux dfis restent relever, car les tlphones et autres appareils mobiles utiliss pour les applications de contrle daccs physique et logique nappartiennent gnralement pas lentreprise. Lorsquun tudiant quitte une universit aprs avoir obtenu son diplme, par exemple, il ne rend pas son tlphone comme un employ rendrait son badge en quittant dfinitivement une entreprise. Il sera crucial de garantir la protection de la vie prive des utilisateurs BYOD (bring your own device) tout en protgeant lintgrit des donnes et ressources de lentreprise. Les dpartements informatique ne disposeront plus du mme niveau de contrle sur ces quipements rapports ou sur les applications personnelles potentiellement douteuses que ceux-ci pourraient contenir. Il est galement peu probable quils puissent charger une image standard avec un anti-virus ou autre logiciel de protection sur ces quipements. Il nous faudra trouver de nouvelles solutions innovantes pour rpondre tous ces dfis. Malgr ces risques, lutilisation de tlphones mobiles quips dlments de scurit SE ou dautres objets protgs quivalents ouvre des perspectives vers de nouveaux modles dauthentification performants. Ils feront du tlphone un support scuris pour identifiants portables, ouvrant ainsi la voie une multitude dapplications allant de lauthentification forte instantane pour laccs distant aux donnes jusqu laccs physique des btiments ou appartements.

La mobilit est le moteur de cette convergence, car elle persuade les spcialistes de la scurit physique et de la scurit informatique travailler ensemble pour trouver des solutions. Il en rsultera une gestion simplifie et moins onreuse des identifiants daccs physique ainsi que des identifiants d'accs logique sur les smartphones, qui fournira le mme niveau de scurit que les cartes.

7

Avantages de la convergence relle

La convergence des contrles daccs physique et logique sur un mme support amliore la commodit dutilisation de nombreuses applications, tout en augmentant la scurit et en rduisant les cots de dploiement et de fonctionnement. Au lieu davoir recours des processus spars pour le dploiement et lenrlement didentifiants logiques et physiques, il sera possible dappliquer une srie unifie de processus oprationnels un lot unique didentits pour atteindre une convergence organisationnelle. Les entreprises seront dsormais en mesure de scuriser de faon transparente laccs physique un btiment de mme que laccs logique aux ressources informatiques, telles quordinateurs, rseaux, donnes ou applications sur le cloud. Le cas chant, cette solution volutive permettra galement de scuriser laccs dautres ressources, dans le cadre dune stratgie de scurit multi-couches, totalement interoprable, pour protger, ds prsent et dans le futur, lensemble des btiments, rseaux, systmes et applications dune entreprise.

201 HID Global Corporation/ASSA ABLOY AB. All rights reserved. HID, HID Global, the HID Blue Brick logo, the Chain Design and naviGO are trademarks or registered trademarks of HID Global

or its licensor(s)/supplier(s) in the US and other countries and may not be used without permission. All other trademarks, service marks, and product or service names are trademarks or

registered trademarks of their respective owners.

2014-04-23-hid-Identity-assurance-converged-access-wp-fr PLT-01981