2.2 Les techniques d'authentification
Toute démarche d'authentification suppose au moins deux
parties : un demandeur, qui présente une identité, et un
vérificateur, qui s'assure de sa validité. Cette démarche
per-met la validation de l'identité du demandeur en présence
d'attaques possibles, à l'instar de l'usurpation d'identité. Afin
de parer d'éventuelles attaques, le processus d'authentification a
à fournir des garanties de sécurité permettant une
vérification de l'identité affichée par le demandeur.
La classification des techniques d'authentification permet de
dégager quatre grandes catégories basées sur la nature de
la sécurité qu'elles mettent en oeuvre :
- technique d'authentification faible exploitant des informations
de taille limitée et/ou non aléatoires;
- technique d'authentification forte basée sur des
méthodes cryptographiques; - technique d'authentification forte
basée sur des dispositifs matériels;
- technique d'authentification biométrique, directement
liées aux caractéristiques physiologiques ou aux traits
comportementaux d'un individu.
Pour le cas d'espèce, nous nous limitons qu'à
l'étude des techniques d'authentification faible et forte basée
sur des méthodes cryptographiques. Dans la suite de notre étude,
en utilisant le terme authentification forte, l'on fait référence
à l'authentification forte basée sur des méthodes
cryptographiques.
2.2.1 Les techniques d'authentification faible
Une authentification faible est une authentification «
rejouable » c'est-à-dire récupérable par un tiers.
Elle est basée sur un élément statique à l'instar
d'une date de naissance, d'un code non aléatoire ou d'une question
secrète utilisable pour les paiements sur Internet.
Les mots de passe constituent une technique d'authentification
unidirectionnelle très répandue. Un utilisateur fournit son
identité et un mot de passe pour accéder à une ressource.
Le mot de passe constitue donc le secret partagé entre l'utilisateur et
le système auprès duquel il s'authentifie : prouver qu'il
connaît ce secret donne l'assurance que son identité est
correcte. La principale faiblesse de cette technique provient justement de
ce que les mots de passe peuvent facilement être dévoilés
ou découverts. Les systèmes d'authentification par mot de passe
sont sujets à plusieurs types d'attaques, en particulier :
- la recherche exhaustive de mots de passe à partir de
leur texte chiffré; - et le rejeu de mots de passe.
2.2.2 Les techniques d'authentification forte
Une authentification forte, qu'elle soit basée sur des
méthodes cryptographiques ou sur un dispositif matériel, est une
authentification à usage unique, dynamique et aléatoire. Elle se
différencie de l'authentification faible, par l'association de plusieurs
éléments en vue d'assurer son inviolabilité. L'agencement
de ces éléments associé à des techniques telles que
les fonctions de hachage, de cryptographie symétrique ou
asymétrique, dans le but de l'établissement de la connaissance
d'un secret associé à une identité, porte le nom de
protocole cryptographique question/réponse1 .
Le but principal des protocoles cryptographiques
question-réponse est d'empêcher une famille d'attaques connue sous
le nom de rejeu de se dérouler. Afin d'assurer la protection contre ce
type d'attaque, la réponse calculée par le demandeur A doit
être différente à chaque session du protocole
d'authentification. Plusieurs variantes de calcul existent en fonction de la
méthode cryptographique utilisée. Nous présentons les
protocoles correspondants aux cas les plus significatifs.
2.2.2.1 Les protocoles avec secret partagé
Dans ce type de protocoles le secret partagé
2, entre deux entités, demandeur et vérificateur, est
au coeur des opérations cryptographiques intervenant dans le processus
d'authentification. Ainsi une entité B, pour attester de
l'authenticité de l'identité d'une entité A, va-t-elle
appliquer une opération cryptographique basée sur un secret
qu'elle partage avec A. L'authenticité, de A, est prouvée par
comparaison du résultat obtenu par B avec une donnée donc la
connaissance est antérieure au calcul effectué.
1. Voir l'annexe C à la page 71 pour le principe de
fonctionnement des protocoles question/réponse
2. Voir l'annexe D à la page 72 pour un exemple
détaillé d'un protocole avec secret partagé
| 
