Authetification Forte - AFUP 2009

Ceci n’est pas la tour

Eiffelou l’authentification

forte

vendredi 13 novembre 2009

Qui parle?• Philippe Gamache

• Parler Haut, Interagir Librement : Développement Web, audit de sécurité, formations

• Coauteur du livre Sécurité PHP 5 et MySQL avec Damien Séguy

• Édité chez Eyrolles

• Dédicaces sur demande


Je réponds aux questions


Agenda

• L’authentification vs l’autorisation

• Les problèmes de l’authentification

• Le système de mots de passe est brisé

• Les solutions

• L’authentification forte

• Des solutions pour toutes les bourses


Définitions


Définitions• Authentification

• Procédure qui permet de vérifier l'identité d'une entité (personne, ordinateur...) pour autoriser l'accès à des ressources (systèmes, réseaux, applications...).


Définitions• Authentification

• Procédure qui permet de vérifier l'identité d'une entité (personne, ordinateur...) pour autoriser l'accès à des ressources (systèmes, réseaux, applications...).

• Autorisation

• Procédure qui permet l'accès à des ressources uniquement aux personnes autorisées à les utiliser.


Les problèmes

• Identifier fidèlement l'entité

• Attaque par force brute

• Attaque par dictionnaire

• Écoute du clavier informatique (keylogger)

• Écoute du clavier informatique sans fil


Les problèmes

• Identifier fidèlement l'entité

• Écoute du réseau (password sniffer)

• Hameçonnage

• Attaque « homme au milieu»

• Ingénierie sociale


Les problèmes

• Identifier le type d'entité

• Humains

• Robots

• Sites, services web ou applications

• Accessibilité


Le mot de cpasse• Le facteur humain

• Donnent ses mots de passe à des étrangers sans raison

• 45 % des femmes1

• 10 % des hommes1

• Contre une barre de chocolat

• 64 % des gens

1 Infosec Europe conference 2008


Le mot de cpasse

• Chris Nickerson - Exotic Liability #37


http://www.google.com/url?q=http://www.exoticliability.com/profile/ChrisNickerson&ei=OKr6SoOiPMTK_gbhxdi0DA&sa=X&oi=smap&resnum=1&ct=result&cd=1&ved=0CAgQqwMoAA&usg=AFQjCNGiLynYXqrAEbSFYuSeoU0-Sep6IA


Le mot de cpasse

• Chris Nickerson - Exotic Liability #37




Solutions• Signer le formulaire

• Utiliser un témoin

• Unique par utilisateur et utilisation

sha1($salt . $sessionId . $timestamp)


Solutions• CAPTCHA

• Prendre en considération les handicaps

• reCaptcha

http://www.captcha.net/

http://www.recaptcha.net/


http://www.captcha.net

http://www.captcha.net

http://www.recaptcha.net

http://www.recaptcha.net

Identifier fidèlement l'entité

• Utiliser des systèmes d'identifications externes éprouvés

• Humain

• Sites ou applications


Identifier fidèlementles humains

• OpenID

• Facebook Connect

http://openid.net/

http://developers.facebook.com/connect.php


http://openid.net

http://openid.net



Identifier les sites, services web ou les applications

• OAuth

• Browser-Based Authentication (BBAuth)

http://oauth.net/

http://developer.yahoo.com/auth/


http://oauth.net

http://oauth.net



Identifier les sites, services web ou les applications

• AOL Open Authentication API (OpenAuth)

• AuthSub Authentication

http://dev.aol.com/api/openauth

http://code.google.com/apis/accounts/docs/AuthSub.html






Identifier fidèlement l'entité

• Utiliser plusieurs facteurs

• Facteur mémoriel : ce qu'il sait

• Facteur physique ou corporel : ce qu'il est

• Facteur réactionnel : ce qu'il sait faire

• Facteur matériel : ce qu'il possède


Facteur mémoriel

• Mot de passe

• Numéro d'identification personnel

• Phrase secrète


Facteur mémoriel

• Informations personnelles

• Nom de votre mère• Nom de votre premier animal• Votre couleur préférée• Date de naissance• Ville de naissance• Adresse• Numéro de téléphone


Facteur physiqueou corporel

• Photo• Caractéristique physique ou biométrie

• Empreinte digitale• Caractéristiques de sa pupille• Rétine• Voix


Facteur réactionnel

• Geste

• Signature


Facteur matériel• Papiers

d'identification

• Acte de naissance

• Carte grise

• Carte d'identité

• Droit de propriété

• Diplôme

• Passeport


Facteur matériel

• Carte à puce, bande magnétique ou RFID

• Certificat électronique

• Témoin de navigateur


Facteur matériel

• Mot de passe à usage unique

• Jeton

• Carte

• Papier


Facteur matériel

• Clé USB

• Téléphone portable

• PDA


Exemples


Exemples

• Carte bancaire + NIP

• Certificat électronique et mot de passe

• Nom usager/Mot de passe et mot de passe à usage unique

• Numéro de carte bancaire et calculette


Exemples

• PayPal

• Nom d’usager / Mot de passe

• Mot de passe à usage technique


Des solutions pour toutes les bourses


Perfect Paper Passwords

• Format carte d'affaires

• À imprimer

• Gratuit

• Fonctionne

• Web

• Module PAM

• Login machine

• Login SSH

https://www.grc.com/ppp.htm




Perfect Paper Passwords

• Algorithmique

• Aucun serveur ou service

• 16,777,216 mots de passe uniques pour un mot de passe de 4 caractères sur une base de 64 caractères

• Nombre de caractères modifiable

• Longueurs

• Bases


Yubikey• Clé USB = Clavier universel

• Identifiant complet et un mot de passe unique

• Entre 4 € et 20 € par usager

• Fonctionne

• Web

• Module PAM

• Login machine

• Login SSHhttp://www.yubico.com/products/yubikey/


http://www.yubico.com/products/yubikey/

http://www.yubico.com/products/yubikey/

Yubikey• Utilise un service web

• Validation de la clé et mot de passe à usage unique

• Serveur Yubico

• Serveur personnel (Open Source)

• Peut aussi contenir un mot de passe de 32 caractères (version 2)

tgbvgflvvndijcfhftgnnldhgviktivhdvnekehejcehtgbvgflvvndiknblilkrtbdvflbdhvdvutlblkfuueelcccccccclildcuhrrhneenjbrrbbnikcvhvbgbcbnvhncccccccclildibndgdgihuvdcggthnjrbcujdkujnblv


Questions?

• [email protected]

• http://www.ph-il.ca

• @SecureSyfony

• http://www.ph-il.ca/en/conferences

• http://www.ph-il.ca/fr/conferences


mailto:[email protected]

mailto:[email protected]

http://www.ph-il.ca

http://www.ph-il.ca

http://www.ph-il.ca/en/conferences

http://www.ph-il.ca/en/conferences

http://www.ph-il.ca/fr/conferences

http://www.ph-il.ca/fr/conferences


Technology

Authetification Forte - AFUP 2009