Hédo MoC

 

Match on Card

La technologie Match On Card ou MOC permet de gérer toutes les opérations biométriques sur une carte à puce ou sur une cle USB biométrique. Cette technologie est très intéressante en termes de niveau de sécurité mais surtout pour la protection de la sphère privée. En effet aucune information biométrique ne peut sortir de la carte. Seul le possesseur de carte est maître de ces informations.

Authentification forte

En sécurité des systèmes d'information, une authentification forte est une procédure d'identification qui requiert concaténation d'au moins deux éléments ou « facteurs » d'authentification.

Seuls des éléments ou facteurs inviolables et non subtilisables peuvent assurer une réelle solidité pour une authentification. On considère que ces éléments peuvent être :

Ce que l'entité connaît (un mot de passe, un code NIP, une phrase secrète, etc.),

Ce que l'entité détient (une carte magnétique, RFID, une clé USB, un PDA, une carte à puce, etc. Soit un « Authentifieur » ou « Token »),

Ce que l'entité est, soit une personne physique (empreinte digitale, empreinte rétinienne, structure de la main, structure osseuse du visage ou tout autre élément biométrique),

Ce que l'entité sait faire, soit une personne physique (biométrie comportementale tel que signature manuscrite, reconnaissance de la voix, un type de calcul connu de lui seul, etc.),

Où l'entité est, soit un endroit d'où, suite à une identification et authentification réussie, elle est autorisée (accéder à un système logique d'un endroit prescrit).

On peut considérer que l'authentification forte est une des fondations essentielles pour garantir :

L'autorisation ou contrôle d'accès (qui peut y avoir accès)

La confidentialité (qui peut le voir)

L'intégrité (qui peut le modifier)

La traçabilité (qui l'a fait)

Cette approche est toutefois remise en cause par la DCSSI dans son référentiel sur l'authentification distante^[

Dans la majorité des cas, l'entité est une personne physique - individu - personne morale, mais elle peut être une machine comme par exemple un serveur web utilisant le protocole SSL ou encore un applet.

Pourquoi l'authentification forte et l'authentification à deux-facteurs?

Le mot de passe est actuellement le système le plus couramment utilisé pour identifier un utilisateur. Il n’offre plus le niveau de sécurité requis pour assurer la protection de biens informatiques sensibles. Sa principale faiblesse réside dans la facilité avec laquelle il peut être trouvé, grâce à différentes techniques d’attaque. Mis à part l’approche, efficace, de l'ingénierie sociale (social engineering), on recense plusieurs catégories d’attaques informatiques pour obtenir un mot de passe :

Attaque par force brute

Attaque par dictionnaire

Écoute du clavier informatique (keylogger)

Écoute du clavier informatique sans fils - Wireless Keyboard We know what you typed last summer

Écoute du réseau (password sniffer) : plus facilement avec les protocole réseau sans chiffrement, comme HTTP, Telnet, FTP, LDAP, etc.

Hameçonnage (ou filoutage), appelé en anglais phishing

Attaque de l'homme du milieu ou man in the middle attack (MITM) : par exemple avec les protocoles SSL ou SSH

Ingénierie sociale

L'attaque par force brute n'est pas vraiment une méthode de cassage puisque le principe est applicable à toutes les méthodes. Elle est toutefois intéressante car elle permet de définir le temps maximum que doit prendre une attaque sur une méthode cryptographique. Le but de la cryptographie est de rendre impraticable l'usage de la force brute en augmentant les délais de résistance à cette méthode. En théorie il suffit que le délai de résistance soit supérieur à la la durée de vie utile^[2] de l'information à protéger. Cette durée varie selon l'importance de l'information à protéger.