Etude de cas Biométrie

  • 1,081 views
Uploaded on

Etude de cas d'un projet Biométrie sur les laptops

Etude de cas d'un projet Biométrie sur les laptops

More in: Technology , Business
  • Full Name Full Name Comment goes here.
    Are you sure you want to
    Your message goes here
    Be the first to comment
No Downloads

Views

Total Views
1,081
On Slideshare
0
From Embeds
0
Number of Embeds
0

Actions

Shares
Downloads
38
Comments
0
Likes
1

Embeds 0

No embeds

Report content

Flagged as inappropriate Flag as inappropriate
Flag as inappropriate

Select your reason for flagging this presentation as inappropriate.

Cancel
    No notes for slide

Transcript

  • 1. 2009 Biométrie: étude de cas Sylvain Maret MARET Consulting 8/31/2009
  • 2. Etude de cas, utilisation de la biométrie dans pour accéder aux applications de la banque le cadre d’un projet Mobilité pour une via Internet. banque privée genevoise Comment concilier la simplicité d’utilisation Mobilité et sécurité, pour les banques privées, espérée et les fortes contraintes liées à la il ne s’agit pas là de vains mots, mais des sécurité nécessaire ? fondements même de leur mode de fonctionnement dans un monde toujours plus Est-ce là la quadrature du cercle ? Avant de compétitif. Il reste néanmoins que la sécurité répondre à cette question, une énumération et la mobilité ne doivent pas se faire au plus précise doit être initialement faite de ces détriment de l’utilisateur. Une solution qui contraintes auxquelles il faut faire face. Elles garantit les premières sans se soucier du sont de deux natures : les contraintes pour confort des seconds aurait en effet de fortes l’accès aux applications informatiques à chances d’être rejetée par les principaux disposition des utilisateurs et les contraintes intéressés. de sécurité. Trop souvent pourtant les mécanismes de Certaines de ces contraintes feront ici plus sécurité informatique sont mis en place au particulièrement l'objet de l'analyse détriment de ce confort des utilisateurs. Ils se préliminaire. A savoir que les données sur retrouvent alors avec un outil de travail l'ordinateur portable en question doivent présentant de fortes contraintes. Le système rester confidentielles, mais aussi que l’accès à est alors trop compliqué, en plus du fait qu'il la banque doit se faire par le biais d’Internet, soit lent et improductif. Il nécessite plusieurs que la procédure d’authentification doit être mots de passe, voir l’utilisation d’un « Token » simple et qu'une seule authentification doit de type SecurID (ou autres). être idéalement demandée Bref, la solution n’est pas simple à utiliser, Si l’authentification forte s’est rapidement mais elle remplit son rôle premier, à savoir imposée comme solution à retenir, il restait garantir un niveau de sécurité acceptable. encore à définir le système le plus approprié C'est pourtant un écueil qu'il est possible et à déterminer le dispositif qui serait à même d'éviter, le projet Mobilité mené par un d’apporter sécurité et confort, tout en établissement bien connu sur la place intégrant les technologies utilisées pour financière genevoise apporte la preuve que mener à bien projet. mobilité, sécurité et confort d’utilisation ne sont pas incompatibles. A savoir une technologie de chiffrement du disque dur, de l'ordinateur portable, dans son Dans le cadre du projet présenté, l’objectif entièreté, mais aussi une technologie de type était de repenser la mobilité de sorte à offrir réseau privé virtuel ( VPN ) pour accéder de un outil de travail réellement simple. Pour façon distante à la banque. De plus une cela, les compteurs ont été remis à zéro et le authentification unique type SSO ( Single Sign projet a débuté par une feuille blanche. L’idée On -) pour accéder au compte Microsoft et directrice était de proposer aux collaborateurs une technologie de type Web SSO pour de la banque un ordinateur portable qu’ils accéder aux applications internes sont puissent utiliser lors de leurs voyages, depuis également requises. leur domicile, un hôtel ou n'importe ailleurs, Sylvain Maret, 31.8.9
  • 3. On se retrouve donc directement ici au cœur sera placée entre le clavier et l'unité centrale, du challenge technologique, à savoir trouver ou pas ( un mécanisme d’authentification forte, simple http://www.secuobs.com/news/03062009- à utiliser et capable d’être associé aux keykeriki_sniffer_wireless_keyboard.shtml ). technologies de sécurité précédemment citées. Mais avant de définir plus avant ce Quelle technologie doit alors être choisie ? mécanisme, il est impératif d'expliquer ce qu’est l’authentification forte et les raisons Un grand nombre de technologies pour lesquelles elle doit être utilisée. d’authentification forte sont disponibles sur le marché, les «One Time Password» ( OTP - Tout d'abord, il faut savoir que quatre http://en.wikipedia.org/wiki/One- méthodes classiques d'identification d'une time_password ) comme SecurID, les cartes à personne physique sont habituellement puces et «token» USB cryptographiques ou rencontrées : quelque chose que l’on connaît bien encore la biométrie. C’est cette dernière qui a finalement été retenue, avant tout afin (un mot de passe ou un code PIN), quelque chose que l’on possède (un «token», une carte de répondre à une exigence fondamentale à puce, etc), quelque chose que l’on est (un posée par le client, garantir la facilité d’utilisation. attribut biométrique, tel qu’une empreinte digitale), quelque chose que l’on fait (une action comme la parole ou une signature Quel système de biométrie choisir pour manuscrite). satisfaire la mobilité ? Lecture de l’iris ou de la rétine, On parle d’authentification forte dès lors que reconnaissance faciale ou vocale, empreinte deux de ces méthodes sont utilisées digitale, quand on parle de biométrie, différentes options ( conjointement, une carte à puce et un code PIN par exemple. Pourquoi privilégier cette http://www.secuobs.com/videos/aaabiometri méthode plutôt qu’une autre ? Le mot de c0.shtml ) sont envisageables. Le choix final a été guidé par le souci de trouver un passe est par exemple le système le plus couramment retenu pour reconnaître un compromis entre le niveau de sécurité utilisateur. Il s’avère toutefois que celui-ci (fiabilité) de la solution, son prix et sa facilité n’offre pas un niveau de sécurité optimal. Il ne d’utilisation. permet ainsi pas d’assurer une protection vraiment efficace des biens informatiques sensibles. Sa principale faiblesse réside dans la facilité ( http://www.secuobs.com/news/31122005- captive.shtml ) avec laquelle il peut être identifié. Au nombre des techniques d’attaques destinées à contourner une authentification par mot de passe, on peut citer l’écoute du clavier par le biais de codes malicieux comme des enregistreurs de frappe, type keylogger, ou plus « simplement » encore, une solution matérielle analogue qui Sylvain Maret, 31.8.9
  • 4. (empreinte digitale, en l’occurrence). L'une et C’est surtout là que résidait une des l'autre n'étant pas fonctionnelles si elles ne principales clés du succès, l’adhésion des sont pas combinées lors de la phase utilisateurs était en effet indispensable et d'authentification. L’ensemble offre ainsi une celle-ci passait par la simplicité de preuve « irréfutable » de l’identité de la fonctionnement et la convivialité du dispositif. personne. Le lecteur d’empreinte digitale s’est dès lors imposé assez naturellement, et entre autres Pourquoi ce choix d'une carte à puce ? parce que la plupart des ordinateurs portables récents sont désormais équipés de tels Elle présente l’avantage d’une solution lecteurs. dynamique et évolutive. Elle permet en effet de stocker des identités numériques (via un certificat). Cela ouvre la porte à un grand nombre d’applications comme la signature Qu’en est-il alors de la sécurité avec cette électronique de documents, l'intégrité des solution ? transactions, le chiffrement des données et bien évidemment l’authentification forte des La biométrie peut-elle être considérée comme utilisateurs. Les certificats numériques un moyen d’authentification forte ? La constituent une base très solide pour réponse est clairement non. Le recours à cette construire la sécurité d’une solution de technique comme seul facteur mobilité. d’authentification constitue certes une solution «confortable» pour les utilisateurs, Où stocker les données nécessaires aux mais il n’en demeure pas moins qu’elle n’offre facteurs biométriques ? pas des garanties de sécurité suffisamment solides. L'utilisation de la biométrie pose en effet la question du stockage des informations Diverses études ( relatives aux utilisateurs, il s’agit là d’une http://www.blackhat.com/presentations/bh- question extrêmement sensible. Nombreux dc-09/Nguyen/BlackHat-DC-09-Nguyen-Face- sont ceux qui, à juste titre, s’interrogent sur not-your-password.pdf ) ont en effet l’usage qui est, ou sera, réellement fait des démontré qu’il est possible de falsifier assez données biométriques les concernant. aisément les systèmes biométriques actuels. Leur utilisation croissante par les entreprises Où celles-ci vont-elles être conservées ? et les gouvernements, notamment aux Etats- Unis, ne fait en outre que renforcer la Dans quelles conditions et pendant combien détermination des attaquants à identifier les de temps ? Qui y aura accès ? L’information failles de ces systèmes afin de les exploiter. numérique permet-elle de reconstituer une C’est un des paradoxes de la biométrie. empreinte digitale ? Les réticences face à ces procédés sont réelles. Pour surmonter les Il est donc plus judicieux de la coupler à un obstacles liés à l’acceptation, la formule second dispositif d’authentification forte. C'est choisie consiste à stocker les informations en ce sens qu'un support additionnel de type directement sur la carte à puce. Le détenteur carte à puce a été retenu. Concrètement, est ainsi le seul propriétaire de ses données l’utilisateur s'identifie aussi bien par sa carte biométriques. que par ses caractéristiques physiques Sylvain Maret, 31.8.9
  • 5. Baptisée match-on-card (validation à même la l'année 2009. Il devrait alors être possible carte - d’intégrer la technologie match-on-card à une http://fr.wikipedia.org/wiki/Match_on_Card ), solution de chiffrement complète du disque. cette approche répond parfaitement à la problématique posée. Non seulement, elle permet le stockage d’informations biométriques sur la carte à puce, mais elle Retour d’expérience La technologie mise en assure aussi la vérification de l’empreinte place – biométrie de type match-on-card et digitale, directement sur cette dernière. Elle utilisation des certificats numériques – à donne ainsi aux utilisateurs un contrôle total répondu aux objectifs et aux contraintes du sur les données les concernant. Cette projet Mobilité. Néanmoins la technologie ne approche a le mérite de susciter la confiance fait pas tout, la structure organisationnelle à des utilisateurs. mettre en place pour soutenir la technique, et notamment assurer la gestion des identités, Les technologies biométriques, à commencer s’est ainsi révélée être un des défis majeurs par le match-on-card, ont clairement un posés. aspect avant-gardiste. Le développement ici mené a cependant démontré qu’il est Cela a abouti à la création d'une entité dont la technologiquement possible de mettre en mission est de gérer l’ensemble des processus œuvre un système d’authentification forte qui gravitent autour du système biométrique : basé sur la biométrie et sur l’utilisation enregistrement des utilisateurs, gestion de conjointe de certificats numériques afin l’oubli ou de la perte de la carte à puce, d'assurer aussi bien une protection optimale formation des utilisateurs, etc. Cette entité qu’un grand confort pour les utilisateurs. constitue un des piliers de la réussite du projet. Cette solution a, de fait, parfaitement répondu aux contraintes technologiques imposées par le projet. L’authentification unique est ainsi réalisée par le biais de la biométrie, la sécurisation de l’ouverture du VPN à travers Internet est prise en charge par un certificat numérique de type machine, stocké dans une puce cryptographique (TPM, Trusted Platform Module) embarquée sur le laptop. Une contrainte n’a toutefois pas pu être respectée. A savoir, utiliser la biométrie de type match- on-card pour le chiffrement complet du laptop. En raison de son côté avant-gardiste, cette technologie n’est en effet pas compatible avec les principales solutions de chiffrement des disques (FDE, Full Disk Encryption). Ce sera le défi à relever pour la phase 2 qui devrait intervenir à la fin de Sylvain Maret, 31.8.9