2010 - Les technologies d'authentification forte dans les applications web: comment les intégrer ?

MARET Consulting | 109, chemin du Pont-du-Centenaire | CH 1228 Plan-les-Ouates | Tél +41 22 727 05 57 | Fax +41 22 727 05 50 | www.maret-consulting.ch

Conseil en technologies

Sylvain Maret / Digital Identity Security Expert

Geneva Application Security Forum 4 mars 2010

Les technologies d'authentification forte dans les applications web: comment les intégrer ?

http://www.citadelle-electronique.net/



Geneva Application Security Forum 2010

« Vers une authentification plus forte dans les applications web »

Conseil en technologieswww.maret-consulting.ch

Application Security Verification Standard OWASP et Authentication

?


Usurpation de votre identité ! Réalité ou fiction ?


Authentification Forte: Des technologies en pleine mouvance

Entreprises

eBanking VPN Web Applications Mobilité GED

Projet PIV FIPS-201 SAML Adoption de OpenID

Strong Authentication as a Service

AaaS

Grand public

Réseaux sociaux Facebook

Virtual World

Cloud Computing Google docs Sales Forces

http://en.wikipedia.org/wiki/FIPS_201


Technologie accessible à tout un chacun

Des standards

Open Authentication (OATH)

OATH authentication algorithms

HOTP (HMAC Event Based)

OCRA (Challenge/Response)

TOTP (Time Based) OATH Token Identifier

Specification

Solution Open Source

Mobile One Time Passwords strong, two-factor authentication

with mobile phones



Technologiesauthentification forte


Quelle technologie d’authentification forte ?


OTP PKI (HW) Biométrie

AuthentificationForte

Chiffrement

Signature numérique

Non répudiation

Lien fort avec l’utilisateur

*

* Biométrie type Fingerprinting


Processus

HumainLes authentifieurs

en 2010


OTP Software SmartPhone

OTP pour Iphone: un retour d'expérienceSoftware OTP pour l'IphoneMobile One Time Passwords

http://www.citadelle-electronique.net/2009/12/otp-pour-iphone-une-retour-dexperience.html



http://www.citadelle-electronique.net/2009/09/software-otp-pour-liphone.html

http://www.citadelle-electronique.net/2009/09/software-otp-pour-liphone.html

http://motp.sourceforge.net/

http://motp.sourceforge.net/


Biométrie Match on Card

Retour d'expérience sur le déploiement de biométrie à grande échelle

http://www.citadelle-electronique.net/2009/10/retour-dexperience-sur-le-deploiement.html


La mire d’authentification biométrique


USB Token


Passeport Internet


Cryptographie matricielle


PKI: Certificat numérique X509

Software Certificate Hardware Certificate


OTP via SMS

OTP via SMS

Enter OTP


Etat de l’art en 2010 des authentifieurs: Synthèse

Technologies Explications

OTP SoftwareSmartPhone

One Time Password softwareEvent, Time ou mode défi réponseMode non connecté

Biométrie Match on Card

Biométrie et Carte à puceCertificat numériqueStockage de la pattern Biométrique

USB Token One Time Password en mode connectéEvent, Time ou mode défi réponse

Passeport Internet Biométrie One Time PasswordMode non connectéMode défi réponse

Cryptographie matricielle

One Time PasswordMode défi réponse

PKI Certificat softwareCertificat Hardware

OTP SMS One Time Password par SMS


Processus

HumainMode de fonctionement

nouveauté


Risk Based Authentication


Out of Band Authentication


Etat de l’art en 2010: Mode de fonctionnement

Technologies Explications

Risk Based Authentication

Analyse comportementale des utilisateurs

Technologie Out of Band

Transmission des données par un canal tiersComme par exemple le GSM (Data)


Processus

HumainIntégration avec

les applications Web


Application Web avec une authentification basique


Application Web vers une authentification forte ?


Approche “Shielding” - (Perimetric Auth)


Approche par Module ou Agents


Approche API / SDK


SSL PKI: comment ca fonctionne ?

Web ServerAlice

ValidationAuthority

ValidePas valideInconu

OCSP request

SSL / TLS Mutual Authentication


Approche Fédération d’identitéchangement de paradigme


Approche Fédération d’identitéchangement de paradigme


Approche Fédération d’identité


Approches pour une intégration de l’authentification forte

Approches Examples

Shielding (Perimetric Auth)

Utilisation d’un composants tiers de protectionComme un Reverse Proxy (Web Application Firewall)

Module (Agents)

Utilisation d’un module software Comme par exemple un module Apache, un agent SecurID, etc.Utilisation d’un protocole comme Radius

API (SDK)

Développement via une APIPar exemple en utilisant les Web Services (SOAP)

SSL PKI Utilisation d’un certificat X509Utilisation des fonctionnalités de SSL/TLSPKI Ready

Identity Federation Utilisation d’un protocole de fédération comme SAML, OpenID,

Autres PKI applicatif, etc.


Tendances ?


Quelques tendances !

Personal Portable Security Device (PPSD)

EMC CAP

Vascular Pattern Recognition


A quand la convergence ?

Une convergence difficile ! Sécurité physique et sécurité logique

http://www.citadelle-electronique.net/2009/05/une-convergence-difficile-securite.html


Get an OpenID

2 Factors Authentication


Qui suis-je ?

Expert en Sécurité 15 ans d’expérience en Sécurité des Systèmes d’Information CEO et Founder MARET Consulting Expert école ingénieur Yverdon & Université de Genève Swiss French Area delegate at OpenID Switzerland Co Founder Geneva Application Security Forum Auteur Blog: la Citadelle Electronique

Domaine de prédilection Digital Identity Security



Quelques liens pour aller approfondir le sujet

MARET Consulting http://maret-consulting.ch/

La Citadelle Electronique (le blog sur les identités numériques) http://www.citadelle-electronique.net/

Article banque et finance: Usurper une identité? Impossible avec la biométrie!

http://www.banque-finance.ch/numeros/88/59.pdf Biométrie et Mobilité

http://www.banque-finance.ch/numeros/97/62.pdf

Présentation public OSSIR Paris 2009: Retour d'expérience sur le déploiement de biométrie à grande

échelle http://www.ossir.org/paris/supports/2009/2009-10-13/Sylvain_Maret_Biometrie.pdf

ISACA, Clusis: Accès à l’information : Rôles et responsabilités http://blog.b3b.ch/wp-content/uploads/mise-en-oeuvre-de28099une-solution-biometrique-de2809

9authentification-forte.pdf

http://maret-consulting.ch/




http://www.ossir.org/paris/supports/2009/2009-10-13/Sylvain_Maret_Biometrie.pdf

http://blog.b3b.ch/wp-content/uploads/mise-en-oeuvre-de28099une-solution-biometrique-de28099authentification-forte.pdf

http://blog.b3b.ch/wp-content/uploads/mise-en-oeuvre-de28099une-solution-biometrique-de28099authentification-forte.pdf


"Le conseil et l'expertise pour le choix et la mise

en oeuvre des technologies innovantes dans la sécurité

des systèmes d'information et de l'identité numérique"

Technology

2010 - Les technologies d'authentification forte dans les applications web: comment les intégrer ?