| Réf : H5536 v1

Authentification
Usage de l'authentification dans le domaine bancaire

Auteur(s) : Pascal THONIEL

Date de publication : 10 avr. 2010

Pour explorer cet article
Télécharger l'extrait gratuit

Vous êtes déjà abonné ?Connectez-vous !

Sommaire

Présentation

RÉSUMÉ

De nos jours, la banque, les services bancaires et le paiement ne se conçoivent plus sans Internet. L'activité bancaire repose sur la confiance et ses systèmes d'information doivent être sécurisés. Or, l'authentification est une fonction de sécurité qui occupe une place centrale sur Internet et, par voie de conséquence, dans le monde bancaire. Après avoir rappelé la problématique de sécurité de l'informatique bancaire et les principaux concepts de l'authentification, les principales solutions d'authentification employées pour la banque à distance sont présentées. Les deux formes du paiement sécurisé sont ensuite analysées, le paiement de proximité et le paiement à distance, ainsi que la problématique de l'authentification pour les intranets bancaires.

Lire cet article issu d'une ressource documentaire complète, actualisée et validée par des comités scientifiques.

Lire l’article

ABSTRACT

At this time, the bank, banking services and payments cannot be perceived without the Internet. The banking business is based on trust and information systems must be secure. However, authentication is a security function which plays a central part on the Internet and thus in the banking world. After having recalled the issue of IT banking security and the key concepts of authentication, the principal authentication solutions used for remote banking are presented. The two forms of secure payment are then analyzed, proximity payment and remote payment, as well as the authentication issue for bank intranets.

Auteur(s)

  • Pascal THONIEL : Fondateur et directeur R de la société NTX Research SA

INTRODUCTION

Que ce soit pour un accès à des réseaux locaux ou étendus, que ces réseaux soient filaires ou sans-fil, en architecture client-serveur ou répartie, l'authentification des équipements, des services et des hommes est nécessaire. Tout ce qui concerne l'accès privé, c'est-à-dire le contrôle de la délivrance de l'information et de la fourniture des ressources réservées à certaines entités, passe par l'authentification.

Or, les procédures d'authentification classiques par identifiant et mot de passe ne suffisent plus. Sur les réseaux locaux comme sur Internet, l'espionnage des communications est l'attaque numéro un. L'espionnage des communications permet de récupérer facilement et pratiquement sans risque de détection l'identifiant et le mot de passe que l'utilisateur envoie au serveur ou bien ses codes d'accès lors d'une connexion légitime. Rien de plus simple ensuite pour l'attaquant que de se connecter à son tour en rejouant les mêmes valeurs et ainsi, de se faire passer pour un utilisateur autorisé. Il s'agit là d'usurpation d'identité.

La deuxième catégorie d'attaque consiste à espionner, simuler, copier ou voler le moyen d'authentification de l'utilisateur. La troisième concerne la récupération des éléments d'authentification des utilisateurs (crédentiels) stockés du côté du serveur d'authentification. La quatrième est l'ingénierie sociale qui vise à tromper la vigilance de l'utilisateur en l'amenant astucieusement à révéler volontairement ses mots de passe, ses codes ou ses secrets, ou bien encore à les deviner. En effet, les utilisateurs choisissent souvent des mots de passe faibles (courts, simples, classiques) ou qui leur correspondent (prénom des enfants, dates de naissance, nom du chien de la maison, nom de l'artiste ou du sportif préféré...) afin de les retenir plus facilement. Enfin, la cinquième est l'attaque dite « à force brute » qui consiste par exemple à essayer systématiquement et automatiquement tous les mots de passe possibles ou toutes les clés de chiffrement jusqu'à trouver les bons. Comme les mots de passe utilisés sont souvent courts (moins de 8 caractères) et simples (lettres et chiffres), l'attaque à force brute est parfois très efficace.

L'enjeu est d'autant plus considérable que ces menaces qui pèsent sur les particuliers, les entreprises, les organisations, les administrations et leur système d'information sont bien réelles. Elles sont aussi lourdes de conséquences en cas de concrétisation, c'est-à-dire d'attaque réussie par intrusion. Une intrusion frauduleuse dans un système d'information par absence de contrôle des utilisateurs ou par usurpation de l'identité d'un utilisateur autorisé peut avoir des effets désastreux, à la hauteur des droits d'accès et d'action alloués à cet utilisateur.

Ces généralités s'appliquent complètement à l'informatique bancaire actuelle qui constitue le socle des services bancaires accessibles en tous lieux et à chaque instant grâce à la puissance d'Internet. Comme les enjeux financiers ont toujours été parmi les plus importants, l'authentification n'est donc pas une fonction de sécurité à négliger. Elle occupe à l'évidence une place centrale dans la sécurité bancaire d'aujourd'hui.

Cet article est réservé aux abonnés.
Il vous reste 94% à découvrir.

Pour explorer cet article
Téléchargez l'extrait gratuit

Vous êtes déjà abonné ?Connectez-vous !


L'expertise technique et scientifique de référence

La plus importante ressource documentaire technique et scientifique en langue française, avec + de 1 200 auteurs et 100 conseillers scientifiques.
+ de 10 000 articles et 1 000 fiches pratiques opérationnelles, + de 800 articles nouveaux ou mis à jours chaque année.
De la conception au prototypage, jusqu'à l'industrialisation, la référence pour sécuriser le développement de vos projets industriels.

VERSIONS

Il existe d'autres versions de cet article :

DOI (Digital Object Identifier)

https://doi.org/10.51257/a-v1-h5536


Cet article fait partie de l’offre

Sécurité des systèmes d'information

(75 articles en ce moment)

Cette offre vous donne accès à :

Une base complète d’articles

Actualisée et enrichie d’articles validés par nos comités scientifiques

Des services

Un ensemble d'outils exclusifs en complément des ressources

Un Parcours Pratique

Opérationnel et didactique, pour garantir l'acquisition des compétences transverses

Doc & Quiz

Des articles interactifs avec des quiz, pour une lecture constructive

ABONNEZ-VOUS

Lecture en cours
Présentation

2. Authentification

L'authentification est la fonction de sécurité qui consiste à apporter et à contrôler la preuve de l'identité d'une personne, de l'émetteur d'un message, d'un logiciel, d'un serveur logique ou d'un équipement.

En ce qui concerne l'authentification des personnes, la terminologie est la suivante :

  • s'identifier consiste à donner/délivrer son identité ;

  • identifier une personne consiste à demander et obtenir son identité ;

  • s'authentifier consiste à apporter/délivrer la preuve de son identité ;

  • authentifier consiste à vérifier l'identité d'une personne en lui demandant une preuve tangible de son identité puis en validant ou en invalidant cette preuve.

Il existe des notions connexes à l'authentification qui doivent être comprises pour ne pas entraîner de confusion.

L'autorisation correspond à l'allocation des droits d'accès aux ressources du système d'information aux utilisateurs authentifiés au préalable.

Le contrôle d'accès englobe les fonctions :

  • d'identification ;

  • d'authentification ;

  • d'autorisation ;

  • de journalisation ou comptabilité (accounting ).

La signature numérique, quant à elle, est une technique cryptographique qui permet d'assurer l'intégrité d'un message et l'authentification de l'émetteur de ce message.

Le SSO (Single Sign On ) ou « authentification une fois » n'est pas une fonction de sécurité comme on le croit souvent mais un service de propagation de l'authentification valide d'un utilisateur auprès d'applications multiples. Lorsque ces applications font partie d'un même système d'information (ensemble régi par une politique de sécurité commune), on parle de SSO « intra-domaine ». Lorsque ces applications font partie de systèmes d'information différents (ensemble régi par des politiques de sécurité différentes), on parle de SSO « inter-domaines ».

Le SSO diminue les contraintes et facilite la vie de l'utilisateur. Il renforce la sécurité lorsqu'un dispositif d'authentification forte remplace une multitude de couples identifiant-mot de passe. Le SSO affaiblit la sécurité en ce qu'une usurpation d'identité réussie par un pirate lui donne accès à l'ensemble...

Cet article est réservé aux abonnés.
Il vous reste 94% à découvrir.

Pour explorer cet article
Téléchargez l'extrait gratuit

Vous êtes déjà abonné ?Connectez-vous !


L'expertise technique et scientifique de référence

La plus importante ressource documentaire technique et scientifique en langue française, avec + de 1 200 auteurs et 100 conseillers scientifiques.
+ de 10 000 articles et 1 000 fiches pratiques opérationnelles, + de 800 articles nouveaux ou mis à jours chaque année.
De la conception au prototypage, jusqu'à l'industrialisation, la référence pour sécuriser le développement de vos projets industriels.

Cet article fait partie de l’offre

Sécurité des systèmes d'information

(75 articles en ce moment)

Cette offre vous donne accès à :

Une base complète d’articles

Actualisée et enrichie d’articles validés par nos comités scientifiques

Des services

Un ensemble d'outils exclusifs en complément des ressources

Un Parcours Pratique

Opérationnel et didactique, pour garantir l'acquisition des compétences transverses

Doc & Quiz

Des articles interactifs avec des quiz, pour une lecture constructive

ABONNEZ-VOUS

Lecture en cours
Authentification
Sommaire
Sommaire

BIBLIOGRAPHIE

  • (1) - Banque de France -   Supervision et réglementation bancaire.  -  Bâle 2 – CRD (2009).

  • (2) -   *  -  Consortium pour la Fédération de Cercles de Confiance et les usages sécurisés de l'identitié (2009) http://www.fc2-consortium.org.

  • (3) - LEROUGE (P.) -   Blog « Le paiement mobile »  -  (2009) http://www.mobilepayment.typepad.com/paiement_mobile.

Cet article est réservé aux abonnés.
Il vous reste 95% à découvrir.

Pour explorer cet article
Téléchargez l'extrait gratuit

Vous êtes déjà abonné ?Connectez-vous !


L'expertise technique et scientifique de référence

La plus importante ressource documentaire technique et scientifique en langue française, avec + de 1 200 auteurs et 100 conseillers scientifiques.
+ de 10 000 articles et 1 000 fiches pratiques opérationnelles, + de 800 articles nouveaux ou mis à jours chaque année.
De la conception au prototypage, jusqu'à l'industrialisation, la référence pour sécuriser le développement de vos projets industriels.

Cet article fait partie de l’offre

Sécurité des systèmes d'information

(75 articles en ce moment)

Cette offre vous donne accès à :

Une base complète d’articles

Actualisée et enrichie d’articles validés par nos comités scientifiques

Des services

Un ensemble d'outils exclusifs en complément des ressources

Un Parcours Pratique

Opérationnel et didactique, pour garantir l'acquisition des compétences transverses

Doc & Quiz

Des articles interactifs avec des quiz, pour une lecture constructive

ABONNEZ-VOUS