Authentification deux facteurs - Historique des versions

Violette le 25 novembre 2018 à 23:48

2018-11-25T23:48:53Z

← Version précédente		Version du 25 novembre 2018 à 23:48
Ligne 51 :		Ligne 51 :
	Lorsque l'utilisateur va créer un compte sur un service, il va relier un token ou une application mobile avec le serveur du service.		Lorsque l'utilisateur va créer un compte sur un service, il va relier un token ou une application mobile avec le serveur du service.
	Cette liaison a pour but qu'un code synchronisé soit généré, ce qui va permettre l'authentification de l’utilisateur lors d'une connexion future.		Cette liaison a pour but qu'un code synchronisé soit généré, ce qui va permettre l'authentification de l’utilisateur lors d'une connexion future.
	Ce code est un code valide pendant une durée limitée (~20 secondes), qui va régulièrement être ~~régénéré~~.		Ce code est un code valide pendant une durée limitée (~20 secondes), qui va régulièrement être re-généré.

	Ainsi, quand l'utilisateur souhaite accéder au service, il devra récupérer le code sur le dispositif synchronisé.		Ainsi, quand l'utilisateur souhaite accéder au service, il devra récupérer le code sur le dispositif synchronisé.

Violette le 25 novembre 2018 à 23:47

2018-11-25T23:47:07Z

Violette : /* Première version */

2018-11-25T23:41:27Z

Première version

← Version précédente		Version du 25 novembre 2018 à 23:41
Ligne 39 :		Ligne 39 :

	L'utilisateur souhaite accéder à un service, auquel il se connecte avec son username / password.		L'utilisateur souhaite accéder à un service, auquel il se connecte avec son username / password.
	Le serveur va alors créer un code, une suite de chiffres et de lettres généré aléatoirement, qui va être valide pendant une durée ~~limité~~ (moins d'une heure).		Le serveur va alors créer un code, une suite de chiffres et de lettres généré aléatoirement, qui va être valide pendant une durée limitée (moins d'une heure).
	Il va ensuite l'envoyer à l'utilisateur via un moyen choisis au préalable : par mail, par SMS, ou avec une notification provenant d'une application mobile.		Il va ensuite l'envoyer à l'utilisateur via un moyen choisis au préalable : par mail, par SMS, ou avec une notification provenant d'une application mobile.
	Ainsi, l'utilisateur va rentrer le code ou accepter la notification pour se connecter au service.		Ainsi, l'utilisateur va rentrer le code ou accepter la notification pour se connecter au service.

Violette : /* Premier Facteur */

2018-11-25T23:40:54Z

Premier Facteur

← Version précédente		Version du 25 novembre 2018 à 23:40
Ligne 28 :		Ligne 28 :

	L'utilisateur va s'authentifier en rentrant son username / password auprès du service auquel il souhaite accéder.		L'utilisateur va s'authentifier en rentrant son username / password auprès du service auquel il souhaite accéder.
	Le service va faire passer le password dans une fonction de hachage et l'envoyer au serveur dudit service, qui va le comparer avec celui qui a été enregistré lors de la création du compte, et, si ils correspondent, l'utilisateur ~~accède~~ au service.		Le service va faire passer le password dans une fonction de hachage et l'envoyer au serveur dudit service, qui va le comparer avec celui qui a été enregistré lors de la création du compte, et, s'ils correspondent, l'utilisateur accèdera au service.

	==Deuxième Facteur==		==Deuxième Facteur==

Violette : /* Simplicité & Accessibilité */

2018-11-25T23:39:11Z

Simplicité & Accessibilité

← Version précédente		Version du 25 novembre 2018 à 23:39
Ligne 167 :		Ligne 167 :


	Cependant, l'utilisation d'un tel dispositif engendre des problèmes (notamment ~~tout ce qui peut concerner~~ la perte ou ~~des~~ ~~dommages,~~ ~~provoquant~~ l'incapacité à produire le facteur.		Cependant, l'utilisation d'un tel dispositif engendre des problèmes (notamment la perte, l'endommagement, ou son oubli) qui peuvent provoquer l'incapacité à produire le facteur, et donc une erreur dans la procédure d’authentification à plusieurs facteurs.

	= Sources =		= Sources =

Violette : /* Fonctionnement */

2018-11-25T23:35:25Z

Fonctionnement

← Version précédente		Version du 25 novembre 2018 à 23:35
Ligne 23 :		Ligne 23 :
	==Premier Facteur==		==Premier Facteur==

	On ~~est~~ dans le schéma classique qui est aussi le moyen le plus répandu pour s'authentifier. C'~~est~~ un facteur de type mémoriel.		Nous sommes dans le schéma classique qui est aussi le moyen le plus répandu pour s'authentifier. Il s'agit d'un facteur de type mémoriel.

	[[Fichier:PremierFacteur.jpg]]		[[Fichier:PremierFacteur.jpg]]

	L'utilisateur va s'authentifier en rentrant son username ~~et le~~ password ~~associé~~ auprès du service auquel il souhaite accéder.		L'utilisateur va s'authentifier en rentrant son username / password auprès du service auquel il souhaite accéder.
	Le service va ~~alors~~ faire passer le password dans une fonction de hachage et l'~~envoyé~~ au serveur dudit service.		Le service va faire passer le password dans une fonction de hachage et l'envoyer au serveur dudit service, qui va le comparer avec celui qui a été enregistré lors de la création du compte, et, si ils correspondent, l'utilisateur accède au service.
	Le serveur va alors comparer le password qui a enregistré lors de la création de compte avec celui qu'il vient de recevoir.
	Si le password correspond, l'utilisateur accède au service.

	==Deuxième Facteur==		==Deuxième Facteur==
Ligne 36 :		Ligne 34 :
	===Première version===		===Première version===

	On ~~est~~ dans un schéma d'authentification qui est souvent associé au premier. C'~~est~~ un facteur de type matériel.		Nous sommes dans un schéma d'authentification qui est souvent associé au premier. Il s'agit d'un facteur de type matériel.

	[[Fichier:DeuxièmeFacteurV1.jpg]]		[[Fichier:DeuxièmeFacteurV1.jpg]]

	L'utilisateur souhaite accéder à un service. ~~Pour ce faire~~ il se connecte au ~~service~~ ~~avec~~ un ~~username~~.		L'utilisateur souhaite accéder à un service, auquel il se connecte avec son username / password.
	Le serveur va alors créer un code, suite de chiffres et~~/ou~~ lettres, ~~générer~~ aléatoirement et qui va être valide ~~durant~~ un ~~certain~~ ~~temps~~.		Le serveur va alors créer un code, une suite de chiffres et de lettres généré aléatoirement, qui va être valide pendant une durée limité (moins d'une heure).
	Il va ensuite l'envoyer à l'utilisateur via un moyen choisis par ce ~~même~~ ~~utilisateur~~ ~~lors~~ de la ~~création~~ de ~~compte~~.		Il va ensuite l'envoyer à l'utilisateur via un moyen choisis au préalable : par mail, par SMS, ou avec une notification provenant d'une application mobile.
	L'utilisateur va ~~alors~~ ~~recevoir ce~~ code ~~via mail/SMS~~ ou ~~encore~~ ~~avec une~~ notification ~~sur~~ ~~une~~ ~~application~~ ~~mobile avec le choix de valider la connexion ou~~ ~~non~~.		Ainsi, l'utilisateur va rentrer le code ou accepter la notification pour se connecter au service.
	L'utilisateur va alors rentrer le code ou accepter la notification pour se connecter à son service.

	===Deuxième version===		===Deuxième version===

	~~C'est un facteur de type matériel.~~ Mais c'est un autre fonctionnement qui tend à se répandre de plus en plus.		Mais c'est un autre fonctionnement qui tend à se répandre de plus en plus, car il est plus sécurisé que celui vu dans la première version. Il s'agit toujours d'un facteur de type matériel.

	[[Fichier:DeuxièmeFacteurV2.jpg]]		[[Fichier:DeuxièmeFacteurV2.jpg]]

	Lorsque l'utilisateur va créer un compte il va se ~~servir d'~~un token ou d'une application mobile~~, qu'il va synchroniser~~ avec le serveur du service ~~pour générer toujours le même code au même moment~~.		Lorsque l'utilisateur va créer un compte sur un service, il va relier un token ou une application mobile avec le serveur du service.
			Cette liaison a pour but qu'un code synchronisé soit généré, ce qui va permettre l'authentification de l’utilisateur lors d'une connexion future.
	L'utilisateur souhaite alors accéder au service. Le service va alors demander à l'utilisateur le code, suite de chiffres et/ou lettres, qui est valable sur une courte durée.
			Ce code est un code valide pendant une durée limité (~20 secondes), qui va régulièrement être regénéré.
	L'utilisateur va alors se servir de son token/application mobile, récupérer le code et ensuite le rentrer sur le service.
⚫	Le service va ~~alors~~ demander au serveur si le code est ~~bien~~ le ~~même~~ qu'il a ~~généré~~.
	Si c'est le cas l'utilisateur peut alors utiliser le service.

			Ainsi, quand l'utilisateur souhaite accéder au service, il devra récupérer le code sur le dispositif synchronisé.
		⚫	Le service va donc demander a son serveur si le code est valide, et si c'est le cas l'utilisateur peut alors utiliser le service.


Ligne 64 :		Ligne 61 :
	[[Fichier:Time-limited one time password.gif]]		[[Fichier:Time-limited one time password.gif]]

	C'est une extension de l'algorithme One-Time-Password OTP ( qui a pour but de générer un code à usage unique. Cet algorithme est plus sécurisé, car il prend en compte l'heure dans son calcul pour générer le code. Cet algorithme est utilisé par beaucoup d'~~entreprise~~ proposant un ~~authentificateur~~/token. On a donc <math>TOTP valeur(K) = OTP valeur(K,temps)</math> , avec temps une valeur déterminée à partir de l'heure ou le code est généré.		C'est une extension de l'algorithme One-Time-Password OTP ( qui a pour but de générer un code à usage unique. Cet algorithme est plus sécurisé, car il prend en compte l'heure dans son calcul pour générer le code. Cet algorithme est utilisé par beaucoup d'entreprises proposant un authentifieur/token. On a donc <math>TOTP valeur(K) = OTP valeur(K,temps)</math> , avec <math>temps</math> une valeur déterminée à partir de l'heure ou le code est généré.


Ligne 83 :		Ligne 80 :


	~~'''~~Combinatoire~~'''~~		==Combinatoire==

			Lors de l'accès à un service, un utilisateur va d'abord entrer le premier facteur d'authentification, le facteur mémoriel, qui sert à indiquer au service à quel compte il souhaite se connecter.
	On se sert donc dans un premier temps du premier facteur d'authentification mémorielle qui sert à indiquer au service à quel compte on souhaite se connecte et ensuite le mot de passe qui permet de réaliser une première vérification. Si l'entité entre le bon mot de passe associé au compte, le service va alors passer à la seconde authentification pour confirmer l'identité de l'entité. On va soit recopier le code reçu par mail/texto ou encore accepter la notification ou recopier la valeur du token. Le service va alors confirmer notre identité et on peut ainsi accéder au service.
			Si il entre le mot de passe associé au compte, le service va enchaîner sur la seconde authentification afin de confirmer l'authenticité de l'utilisateur.
			En respectant la procédure vue ci-dessus (première ou deuxième version), avec l'utilisation du second facteur d'authentification, le facteur matériel, l'identité sera confirmée et l'utilisateur pourra accéder au service.

	= Exemples d'utilisations =		= Exemples d'utilisations =

Violette : /* Introduction */

2018-11-25T23:02:40Z

Introduction

← Version précédente		Version du 25 novembre 2018 à 23:02
Ligne 7 :		Ligne 7 :

	On peut différencier trois types de facteurs différent:		On peut différencier trois types de facteurs différent:
	Les facteurs mémoriels : ils correspondent à ce dont on doit se souvenir, par exemple un couple username \| password, ou la réponse à une question secrète.		Les facteurs mémoriels : ils correspondent à ce dont on doit se souvenir, par exemple un couple 'username / password', ou la réponse à une question secrète.

	Les facteurs matériels : ils caractérisent ce que l'on possède, comme par exemple un téléphone (qui va contenir une application ou recevoir un SMS) ou un token.		Les facteurs matériels : ils caractérisent ce que l'on possède, comme par exemple un téléphone (qui va contenir une application ou recevoir un SMS) ou un token.
Ligne 13 :		Ligne 13 :
	Les facteurs physiques : ils s'appliquent à ce que l'on est, ce qui peut correspondre à notre voix ou nos empreintes biométriques.		Les facteurs physiques : ils s'appliquent à ce que l'on est, ce qui peut correspondre à notre voix ou nos empreintes biométriques.

	Lorsqu'on utilise un seul élément pour s'identifier, le plus répandu étant le couple username \| password, on parle d'authentification simple. C'est une authentification rapide, mais insuffisamment sécurisé.		Lorsqu'on utilise un seul élément pour s'identifier (le plus répandu étant le couple 'username / password'), on parle d'authentification simple. C'est une authentification rapide, mais insuffisamment sécurisé.

	Pour apporter plus de sécurité, il a été pensé le fait d'ajouter un autre facteur (de préférence appartenant à un autre type).		Pour apporter plus de sécurité, il a été pensé le fait d'ajouter un autre facteur (de préférence appartenant à un autre type).

Violette : /* Introduction */

2018-11-25T23:01:40Z

Introduction

← Version précédente		Version du 25 novembre 2018 à 23:01
Ligne 6 :		Ligne 6 :
	'''Définition''': un facteur d'authentification est un moyen de permettre à un service/logiciel de vérifier l'identité de l'utilisateur.		'''Définition''': un facteur d'authentification est un moyen de permettre à un service/logiciel de vérifier l'identité de l'utilisateur.

	On peut différencier 3 types de facteurs différent:		On peut différencier trois types de facteurs différent:
	Les facteurs mémoriels : ils correspondent à ce dont on doit se souvenir, par exemple un couple username \| password, ou la réponse à une question secrète.		Les facteurs mémoriels : ils correspondent à ce dont on doit se souvenir, par exemple un couple username \| password, ou la réponse à une question secrète.

Violette : /* Simplicité & Accessibilité */

2018-11-25T22:59:50Z

Simplicité & Accessibilité

← Version précédente		Version du 25 novembre 2018 à 22:59
Ligne 166 :		Ligne 166 :

	Cette accessibilité est favorisé par l'utilisation du dispositif matériel (téléphone ou token), qui est facilement transportable et permet donc de générer le code à partir de n'importe quel emplacement.		Cette accessibilité est favorisé par l'utilisation du dispositif matériel (téléphone ou token), qui est facilement transportable et permet donc de générer le code à partir de n'importe quel emplacement.


			Cependant, l'utilisation d'un tel dispositif engendre des problèmes (notamment tout ce qui peut concerner la perte ou des dommages, provoquant l'incapacité à produire le facteur.

	= Sources =		= Sources =

Violette : /* Utilité */

2018-11-25T22:58:10Z

Utilité

← Version précédente		Version du 25 novembre 2018 à 22:58
Ligne 147 :		Ligne 147 :
	[[Fichier:Authenticator Battlenet.png\|300px]]		[[Fichier:Authenticator Battlenet.png\|300px]]

			= Intérêts, problèmes potentiels=
	= Utilité =

			==Sécurité==

			L'intérêt principal de la mise en place d'un système d'authentification à multiples facteurs (MFA en anglais) est le gain important de sécurité, car pour chaque ajout de facteur sur un système, on va renforcer ses défenses.

			La contrepartie à l'ajout de sécurité est le temps qui va être utilisé pour valider les étapes de sécurités.


			Malgré l'augmentation de la sécurité, les systèmes MFA ne sont évidemment pas infaillible, il existe plusieurs façons de les craquer ou de les contourner.

			Par exemple, l'interception des SMS envoyés, la lecture des cookies, ou l'option de récupération de mot de passe sont diverses méthodes permettant d'infiltrer un système MFA.


			==Simplicité & Accessibilité==

			Pour valider l'authentification avec les facteurs, il n'y a pas besoin de valider beaucoup d'étapes, les facteurs étant généralement accessibles.

			Cette accessibilité est favorisé par l'utilisation du dispositif matériel (téléphone ou token), qui est facilement transportable et permet donc de générer le code à partir de n'importe quel emplacement.

	= Sources =		= Sources =

← Version précédente		Version du 25 novembre 2018 à 23:47
Ligne 45 :		Ligne 45 :
	===Deuxième version===		===Deuxième version===

	~~Mais c~~'est un autre fonctionnement qui tend à se répandre de plus en plus, car il est plus sécurisé que celui vu dans la première version. Il s'agit toujours d'un facteur de type matériel.		C'est un autre fonctionnement qui tend à se répandre de plus en plus, car il est plus sécurisé que celui vu dans la première version. Il s'agit toujours d'un facteur de type matériel.

	[[Fichier:DeuxièmeFacteurV2.jpg]]		[[Fichier:DeuxièmeFacteurV2.jpg]]
Ligne 51 :		Ligne 51 :
	Lorsque l'utilisateur va créer un compte sur un service, il va relier un token ou une application mobile avec le serveur du service.		Lorsque l'utilisateur va créer un compte sur un service, il va relier un token ou une application mobile avec le serveur du service.
	Cette liaison a pour but qu'un code synchronisé soit généré, ce qui va permettre l'authentification de l’utilisateur lors d'une connexion future.		Cette liaison a pour but qu'un code synchronisé soit généré, ce qui va permettre l'authentification de l’utilisateur lors d'une connexion future.
	Ce code est un code valide pendant une durée ~~limité~~ (~20 secondes), qui va régulièrement être ~~regénéré~~.		Ce code est un code valide pendant une durée limitée (~20 secondes), qui va régulièrement être régénéré.

	Ainsi, quand l'utilisateur souhaite accéder au service, il devra récupérer le code sur le dispositif synchronisé.		Ainsi, quand l'utilisateur souhaite accéder au service, il devra récupérer le code sur le dispositif synchronisé.
	Le service va donc demander a son serveur si le code est valide, et si c'est le cas l'utilisateur peut ~~alors~~ utiliser le service.		Le service va donc demander à son serveur si le code est valide, et si c'est le cas, l'utilisateur peut utiliser le service.


Ligne 64 :		Ligne 64 :


	Cet algorithme est composé de trois paramètres:		Cet algorithme est composé de trois paramètres :
	- une fonction d'hachage (par défaut SHA1)		- une fonction d'hachage (par défaut SHA1)
	- une clé secrète K		- une clé secrète K
Ligne 100 :		Ligne 100 :
	[[Fichier:CB.png]]		[[Fichier:CB.png]]

	La carte bleue est la version ~~matériel~~ des facteurs, et le code en est la version mémorielle.		La carte bleue est la version matérielle des facteurs, et le code en est la version mémorielle.

	Si on ne possède pas ces deux facteurs, il est impossible de retirer de l'argent.		Si on ne possède pas ces deux facteurs, il est impossible de retirer de l'argent.


	Un autre exemple dans le domaine bancaire est la gestion des coffres forts, qui fait intervenir de multiples facteurs :		Un autre exemple dans le domaine bancaire est la gestion des coffres-forts, qui fait intervenir de multiples facteurs :

	Avant l'ouverture, il faut des papiers d'identités, ce qui correspond à un facteur matériel, et potentiellement physique avec la photo.		Avant l'ouverture, il faut des papiers d'identités, ce qui correspond à un facteur matériel, et potentiellement physique avec la photo.
Ligne 120 :		Ligne 120 :
	Le fait de rencontrer ses collègues peut être considéré comme un facteur physique, car une personne n'étant pas employée ne sera pas reconnue.		Le fait de rencontrer ses collègues peut être considéré comme un facteur physique, car une personne n'étant pas employée ne sera pas reconnue.

	Enfin, l'accès a son poste de travail peut contenir plusieurs autres facteurs (clé de casier, mot de passe d’ordinateur, etc.).		Enfin, l'accès à son poste de travail peut contenir plusieurs autres facteurs (clé de casier, mot de passe d’ordinateur, etc.).


Ligne 137 :		Ligne 137 :
	'''Plateformes de jeux vidéos'''		'''Plateformes de jeux vidéos'''

	Du fait du grand nombre d'utilisateurs des plateformes en lignes, elles se sécurisent au mieux possibles, et notamment via des ~~authentification~~ multiples :		Du fait du grand nombre d'utilisateurs des plateformes en lignes, elles se sécurisent au mieux possibles, et notamment via des authentifications multiples :
	Par exemple, Steam possède un mécanisme de sécurité qui va demander un code d'accès unique généré sur une application tiers.		Par exemple, Steam possède un mécanisme de sécurité qui va demander un code d'accès unique généré sur une application tiers.

Ligne 164 :		Ligne 164 :
	Pour valider l'authentification avec les facteurs, il n'y a pas besoin de valider beaucoup d'étapes, les facteurs étant généralement accessibles.		Pour valider l'authentification avec les facteurs, il n'y a pas besoin de valider beaucoup d'étapes, les facteurs étant généralement accessibles.

	Cette accessibilité est ~~favorisé~~ par l'utilisation du dispositif matériel (téléphone ou token), qui est facilement transportable et permet donc de générer le code à partir de n'importe quel emplacement.		Cette accessibilité est favorisée par l'utilisation du dispositif matériel (téléphone ou token), qui est facilement transportable et permet donc de générer le code à partir de n'importe quel emplacement.

Authentification deux facteurs - Historique des versions

Violette le 25 novembre 2018 à 23:48

Violette le 25 novembre 2018 à 23:47

Violette : /* Première version */

Violette : /* Premier Facteur */

Violette : /* Simplicité & Accessibilité */

Violette : /* Fonctionnement */

Violette : /* Introduction */

Violette : /* Introduction */

Violette : /* Simplicité & Accessibilité */

Violette : /* Utilité */

Violette : /* Première version */

Violette : /* Premier Facteur */

Violette : /* Simplicité & Accessibilité */

Violette : /* Fonctionnement */

Violette : /* Introduction */

Violette : /* Introduction */

Violette : /* Simplicité & Accessibilité */

Violette : /* Utilité */