Serveur d'impression

Authentification multi-facteurs et actifs cryptographiques – Bien choisir son serveur d impression

Le 22 novembre 2019 - 20 minutes de lecture

Dans l’économie numérique, sécuriser et permettre
l'accès aux informations uniquement par les propriétaires autorisés est essentiel pour
protéger les actifs numériques. Il ne suffit pas de sécuriser les données et le réseau
sur lequel les données passent; il est également impératif de veiller à ce que seul le
personne désignée peut accéder au compte attribué. Dans une configuration typique de
la plupart des entreprises et des particuliers utilisent un nom d’utilisateur et un mot de passe pour se connecter à un réseau.
serveur ou site web. Cette approche est incroyablement vulnérable. Afin de renforcer la sécurité des
accéder à des sites Web ou à des serveurs et réduire le risque de piratage informatique par
entités et individus non autorisés, techniques d'authentification multifactorielles
ont grandi rapidement avec la plupart des entreprises et des particuliers. Cela aide à sécuriser les actifs numériques dans la foulée
des cyberattaques, du piratage informatique et des braquages.

Il existe trois facteurs généralement acceptés qui
sont utilisés pour établir une identité numérique pour l'authentification, y compris un
facteur de connaissance, qui est quelque chose que l'utilisateur sait, comme un mot de passe,
réponses pour contester des questions, des numéros d'identification ou un code PIN. Le deuxième facteur est un
facteur de possession: quelque chose que l’utilisateur a, comme un téléphone portable ou un ordinateur portable.
jeton. Le troisième facteur pourrait être un facteur biométrique, qui est quelque chose qui
l’utilisateur, telles que ses empreintes digitales, son scan oculaire ou son motif vocal. La combinaison de deux ou plusieurs de ces facteurs permet
authentification fiable. La plupart des utilisations 2FA
le facteur de connaissance et le facteur de possession.

Il existe diverses adaptations 2FA. Dans une adaptation, le serveur envoie un message
sur un appareil mobile par SMS quand quelqu'un essaie de se connecter ou un code de messagerie vocale sur
n'importe quel téléphone. Un téléphone cellulaire a un numéro de téléphone unique et une carte SIM physique
carte à l'intérieur qui lie à ce numéro de téléphone avec le téléphone cellulaire
fournisseur. Cependant, le numéro de téléphone est
pas aussi sûr qu'on voudrait le croire. Par exemple, l'attaquant peut appeler
service à la clientèle de la compagnie de téléphone cellulaire et prétendez que la
Le téléphone a été perdu et l'attaquant peut transférer votre numéro de téléphone sur son téléphone.
Ainsi, le numéro de téléphone devient le maillon faible.
De nombreux services permettent de supprimer 2FA en cas de perte du téléphone.

L’autre adaptation de 2FA est une technologie telle que Google.
Authenticator, qui génère un mot de passe unique TOTP (Time-Based One-Time Password) ou
code sur un appareil mobile qui correspond à un généré simultanément sur un site Web
serveur du service. Un TOTP vérifie l'utilisateur
identité basée sur un secret partagé. Cette
secret doit être partagé en ligne entre l'utilisateur et le fournisseur. Bien que TOTP soit simple à utiliser, il présente certaines
lacunes. L'utilisateur et le fournisseur
le serveur partage le même secret. Si un
L’attaquant parvient à pirater le serveur du fournisseur et à obtenir le
mot de passe et la base de données secrète, l'attaquant peut accéder à tous les comptes.
De plus, le secret est affiché en texte brut ou sous forme de code QR. Cela signifie également que le secret est le plus
probablement stockés sous forme de texte brut sur le serveur du fournisseur. Fondamentalement, il faut avoir confiance que le
fournisseur peut protéger le secret. Plus
Les systèmes TOTP sont également sensibles à la lecture en temps réel et à l'ingénierie sociale
attaques et sont également indirectement susceptibles à l'homme au milieu (MITM) et l'homme
dans le navigateur (MITB) attaques.

En plus du TOTP, une autre approche est basée sur un second facteur universel
(U2F). La norme U2F a été créée par
l'Alliance FIDO. U2F utilise une clé publique
cryptographie pour vérifier l'identité de l'utilisateur. Dans
Contrairement à TOTP, les utilisateurs sont les seuls à connaître le secret (c'est-à-dire la clé privée). Le serveur envoie un défi, qui est ensuite
signé par le secret (clé privée). le
Le message résultant est renvoyé au serveur, qui peut vérifier l’identité en
utiliser la clé publique de l'utilisateur dans sa base de données.

Dans une approche, le protocole U2F a été
mis en œuvre à l'aide d'un dispositif de jeton USB doté d'un bouton pour activer le
dispositif. Le serveur envoie un défi
demande au navigateur Web du client, puis le navigateur envoie la demande à
le périphérique USB. Une fois activé, l'appareil signe le défi et renvoie le
données signées au navigateur, qui les retransmet au serveur. Cependant, U2F ne va pas tout résoudre
problèmes de cybersécurité. Par exemple,
les chercheurs ont récemment découvert certaines failles dans les spécifications de conception USB
peut laisser les microprogrammes non protégés et éventuellement permettre aux attaquants d’écraser
firmware et prendre le contrôle des périphériques USB.
Cette vulnérabilité du micrologiciel pourrait permettre la reprogrammation de périphériques USB.
voler le contenu de tout ce qui est écrit sur les lecteurs et propager malicieusement
code à n'importe quel ordinateur auquel ces périphériques sont connectés. Les logiciels malveillants USB peuvent potentiellement infecter les systèmes
et facilement se répliquer et se propager à d'autres appareils. Ces dangers sont soulignés par le fait
qu'ils sont essentiellement indétectables.
Bien entendu, certains périphériques USB n’ont pas de microprogramme reprogrammable, aussi
chaque appareil peut être vulnérable de cette manière.
Cependant, même si le firmware est intact, la clé USB reste très vulnérable
car un périphérique USB autrement «propre» et non infecté peut potentiellement être infecté
en étant connecté à un ordinateur qui a été compromis par un malware. Ainsi, les risques potentiels de la technologie USB
ne se limitent pas aux vulnérabilités du firmware. Le simple usage et la disponibilité
nombre de connexions et de périphériques USB pose des risques similaires, mais perturbants pour la sécurité des données.
C’est pourquoi des experts tels que l’équipe américaine de préparation aux urgences informatiques
(US-CERT) recommandent que les utilisateurs ne connectent jamais de périphériques USB à des serveurs non fiables.
machines telles que les kiosques informatiques publics et ne les connectez jamais à la maison ou à l'entreprise
systèmes à moins qu'ils connaissent et font confiance à chaque connexion que le périphérique a déjà
fabriqué. C’est pourquoi la plupart des agences de défense et des sous-traitants de la défense n’achètent que
ordinateurs sans connexion USB.
Leurs employés ne peuvent donc pas utiliser l'authentification USB.

Au lieu d'utiliser le facteur de connaissance et le
le facteur de possession, on peut également utiliser le troisième facteur tel qu'un biométrique
facteur, qui est quelque chose que l'utilisateur est, tels que ses empreintes digitales,
balayage oculaire ou motif vocal. Tandis que le
Le facteur biométrique est le moyen le plus convaincant de prouver l’identité d’un individu,
il présente plusieurs inconvénients. Biométrique
L’authentification est un facteur «Ce que vous êtes» et est basée sur un individu unique.
caractéristiques. Biométrie physique
comprend les empreintes digitales, la reconnaissance faciale et les examens oculaires (iris, rétine). La biométrie comportementale comprend la voix
reconnaissance et signatures manuscrites.

Cependant, les systèmes d'authentification biométrique ne sont pas précis à 100%. L'environnement et l'utilisation peuvent affecter les mesures biométriques. Ils ne peuvent pas être réinitialisés une fois qu'ils sont compromis et vous ne pouvez pas révoquer à distance l'empreinte digitale, le scan des yeux ou l'impression vocale. Un voleur pourrait voler le smartphone, créer un faux doigt, puis l’utiliser pour déverrouiller le téléphone à volonté. Il a également été constaté que les empreintes digitales des maîtres peuvent tromper de nombreux téléphones et scanners. Dans l’un des plus gros hacks de tous les temps, le US Office of Personnel Management a laissé 5,6 millions d’empreintes digitales d’employés. Pour les personnes impliquées, une partie de leur identité sera toujours compromise. Contrairement aux mots de passe, les empreintes digitales durent toute une vie et sont généralement associées à des identités critiques. Ainsi, les fuites d’empreintes digitales sont irrécupérables.

Tromper un scanner oculaire peut nécessiter de prendre un
photo avec une caméra bon marché en mode nuit, ou accès aux données piratées
à partir d'un site qui stocke les données de balayage oculaire. Après avoir imprimé l'oeil sur le papier, un
Des lentilles de contact mouillées sont placées dessus pour imiter la rondeur de l’œil humain.

Parfois, des services d’authentification tiers
sont utilisés pour authentifier un utilisateur. Pour
Par exemple, OpenID est un moyen d’identifier un utilisateur, nommer le site Web qu’il visite. Sites Web qui prennent
L’avantage d’OpenID n’a pas besoin de demander la même information à plusieurs reprises
encore. Cependant, Open ID seul ne suffit pas
garantir la sécurité, car il reste toujours le seul point d'échec. L’autre approche utilisée par certains sites Web est
OAuth pour l'autorisation et l'authentification partielle.

Cependant, comme OAuth n’a pas été conçu avec
ce cas d’utilisation, cette hypothèse peut conduire à des problèmes de sécurité majeurs
défauts. Le protocole de communication OAuth
n'est pas sécurisé et l'utilisateur peut être induit en erreur de manière à ce qu'un attaquant puisse
obtenir ses lettres de créance.

Par conséquent, des attaquants sophistiqués sont capables
de casser l'authentification multifactorielle actuelle et l'ID de tiers
services du fournisseur. Ainsi, il y a un
clairement besoin de trouver une meilleure approche pour sécuriser les ressources physiques et numériques.
actifs provenant des cyberattaques, du piratage informatique et des braquages ​​tout en fournissant une authentification
et l'autorisation de manière sécurisée.

Zortag a inventé une technologie unique combinant une technologie bidimensionnelle
Code à barres (2D) ou puce RFID avec une répartition tridimensionnelle (3D) répartie de manière aléatoire
particules sous la forme d'une empreinte optique comme unique hautement sécurisé
identifiant. Le nombre de combinaisons possibles de 3D réparties au hasard
particules dans l'empreinte optique 3D dépasse 1060, le mettant
dans la même classe que les combinaisons d'ADN humain. Ces combinaisons uniques sont
quasiment impossible à reproduire par quiconque, y compris Zortag lui-même. Une telle 3D
les éléments ont également des couleurs caractéristiques pour le traitement ultérieur des images et
analyse, qui renforcent encore le caractère aléatoire de cette structure d’empreintes digitales.

Un mode de réalisation de cette technologie permet la création de une identité et une authentification uniques
Clé (UIAK) en incorporant l’empreinte digitale optique 3D de Zortag dans un
une carte ou un porte-clés et un numéro d’identité codé dans un code à barres ou RFID. UIAK sous la forme d'un objet physique tel qu'un
Il est presque impossible de cloner une carte ou un porte-clés, y compris avec Zortag.
UIAK est configuré pour fonctionner uniquement avec un appareil mobile autorisé dans
possession de l'utilisateur. La clé unique et l'appareil mobile autorisé
ensemble constituent la paire nécessaire pour accéder aux actifs numériques dans un environnement
de manière sécurisée, rendant presque impossible toute atteinte à la cybersécurité. Cette
une paire unique peut identifier et authentifier un utilisateur et permettre l'accès à un site Web,
serveur, ou bien numérique de manière sécurisée. L'accès peut également être limité à
une géolocalisation et une période spécifiques. Cette plateforme ouvre des opportunités pour les entreprises
et les individus à construire leurs propres applications où l'identification unique et
L'authentification d'un utilisateur ou d'un élément est essentielle

La plupart des appareils mobiles sont en outre protégés soit par la biométrie telle que
empreintes digitales, ou par balayage oculaire, ou par des codes de passe à plusieurs chiffres. À moins que l’utilisateur n’utilise l’un d’eux pour ouvrir le
appareil mobile, l'appareil ne peut pas être utilisé pour numériser UIAK. L'utilisateur peut également ajouter un autre niveau optionnel
de la sécurité sous la forme de quelque chose que seul l'utilisateur sait, comme un
mot de passe ou mot de passe. Cette UIAK physique
est extrêmement difficile à cloner, sinon impossible, et cette clé n’est sujette à aucune
virus ou autres types d'attaques, comme c'est le cas avec les clés logicielles ou USB
dispositifs. La sécurité peut être encore améliorée en disposant de plusieurs clés UIAK et
plusieurs appareils mobiles afin d'accéder à un actif numérique. Ceci est particulièrement applicable dans les
applications sécurisées. Par exemple, deux
les clés A et B peuvent être fournies, et un appareil mobile X peut être autorisé à lire
clé A et un autre appareil mobile Y peut être autorisé à lire la clé B. Dans cet exemple, uniquement lorsque cette combinaison
est utilisé, l'accès sera autorisé à un serveur.

La clé UIAK et le périphérique mobile constituent ensemble les conditions requises
paire de clés, et ces deux clés sont nécessaires pour le système et le processus
travailler. L'un sans l'autre ne sera pas
permettre au processus d'avancer. La disposition de faire correspondre le périphérique mobile
et l'élément d'identité unique peut être visualisé comme ayant deux clés physiques
sont en possession de l'utilisateur et en tant que paire ne peuvent pas être piratés.

Unique
Clé d'identité et d'authentification (UIAK) ou clé sous la forme d'un article physique,
une carte, un porte-clés ou un seul article d'identification peut également servir de carte de crédit / débit
carte de santé, carte d’identité, carte d’avantage gouvernementale, carte de fidélité, etc., et
peut également être utilisé comme élément qualifiant de manière unique un utilisateur, permettant ainsi à
authentification multifacteur pour accéder à un site Web ou à un serveur sans
mot de passe.

Fondamental Interactions et Velocity Ledger travaillent avec Zortag pour
mettre en œuvre une approche unique en matière de gestion des crypto-monnaies telles que
en bitcoins en utilisant UIAK et la paire d’appareils mobiles.

Pour passer le
bitcoin, deux informations sont nécessaires: l’information publique et la
informations privées ou secrètes. le
l'information du public identifie l'identité de la pièce et sa valeur et va
sur la chaîne de bloc. La clé publique est
également l'adresse du bitcoin ou de l'actif où la pièce
doit être envoyé. Les informations secrètes sont la clé privée du propriétaire. La clé privée doit être gardée secrète et
protégé.

Afin de gérer la clé privée, trois considérations
doit être gardé à l'esprit. Premièrement le
la disponibilité de passer le cryptoasset quand
nécessaire; deuxièmement, la commodité de la gestion de la clé; et troisièmement, la sécurité de
la clé, sont quelques-uns des critères clés à gérer. Une façon de gérer le privé
clé consiste à le stocker dans un fichier sur un support de stockage local, tel qu'un téléphone portable ou un ordinateur portable.
un disque dur d'ordinateur ou tout autre périphérique sous le contrôle du propriétaire. Il est facilement disponible et pratique pour
gérer. Cependant, si le support de stockage est
perdu ou volé, ou devient infecté par des logiciels malveillants, l'actif sera perdu. Le vol de cryptomonnaies n’est pas non plus
rare.

Ainsi, stocker des crypto-monnaies sur un ordinateur ou sur un ordinateur local
les dispositifs connus sous le nom de stockage à chaud sont semés d'embûches. En outre, tout appareil connecté à Internet est
sujet à être piraté et donc pas sécurisé.
Une façon de gérer cela consiste à stocker les crypto-monnaies hors ligne ou quoi
est appelé stockage à froid. Le stockage à froid est
pas connecté à internet. Ceci peut
ne soit pas pratique, mais c'est plus sécurisé.
De cette manière, on peut garder un actif dans un stockage à chaud
pour plus de commodité, mais la plupart d'entre eux dans des entrepôts frigorifiques pour des raisons de sécurité. On peut déplacer un actif entre le stockage à froid et le stockage à chaud et inversement. Dans
Afin de gérer le stockage à chaud et à froid, les clés privées doivent être différentes
chaque stockage. Sinon, le piratage de la clé privée de stockage à chaud sera également
compromettre la clé privée de stockage à froid.
Chaque partie devra également connaître les adresses publiques pour pouvoir se déplacer
les crypto-monnaies. Il y a plusieurs
façons de gérer les adresses pour les stockages à froid et à chaud et le transfert de la ressource dans les deux sens.

Cependant, si les clés privées de la mémoire chaude ou froide
le stockage sont piratés, le cryptoasset sera
perdu à jamais. La plupart des clés sont
stockés dans un seul endroit, que ce soit dans un coffre-fort, dans un logiciel, sur papier, dans
ordinateur ou dans un appareil. Cela crée un
point de défaillance unique. Si le célibataire
le point de défaillance est compromis, alors cela devient un problème. Bien qu'il existe des moyens d'éviter les points uniques
d'échec en partageant les secrets clés et en les stockant à différents endroits,
cela crée des inconvénients et des frais généraux supplémentaires.

le
La technologie de solution Zortag offre une solution pour
s’assurer que la clé privée appartient bien au propriétaire qui possède la clé privée
clé. La clé privée peut être stockée dans un
un support de stockage, tel qu’un périphérique local ou un serveur, dans le cloud, etc. C’est l’accès au support de stockage qui
ne devrait pas être accessible à un pirate informatique. La technologie
empêche l'accès au support de stockage pour toute personne autre que le propriétaire de ce
supports de stockage. L'accès aux médias
est limité uniquement par la clé d’identité et d’authentification unique de Zortag
(UIAK) et le dispositif de lecture mobile autorisé. Le support de stockage demande au propriétaire du
clé privée pour analyser UIAK avec le périphérique mobile autorisé, par ex. téléphone intelligent. le
images numérisées et les informations sur le périphérique, ainsi que les coordonnées de géolocalisation de
le périphérique mobile de numérisation et la durée autorisée au cours de laquelle la numérisation est
autorisés sont tous envoyés à un serveur d’authentification qui vérifie l’authenticité de UIAK et la
l'identifiant de l'appareil, les données de géolocalisation et l'heure de l'analyse. Si tous ces paramètres
sont confirmés, le propriétaire reçoit l’accès au stockage multimédia pour accéder au
Clé privée.

À propos de Satya
Sharma

Dr. Sharma est le PDG et président de
Zortag. Il est également l'exécutif
Directeur du centre d’excellence dans les technologies sans fil et de l’information à
Université Stony Brook. Auparavant, il était Senior Vice President chez Symbol
Technologies – responsable de l'informatique mobile et de l'ingénierie sans fil et
Chef des opérations mondiales de Symbol aux États-Unis, en Inde, au Mexique, au Japon et
Chine. Il était également le responsable de la stratégie de Symbol. Pendant le mandat du Dr. Sharma à Symbol, le
la société a remporté la médaille nationale de la technologie du président Clinton au cours de l'année
2000. Il était également ancien Global
Président de Bilcare Technologies. Dr.
Sharma était directeur chez Bell Labs et a conduit AT & T Power Systems à remporter le prix
prestigieux Deming Prize – Premier pour toute entreprise de technologie de l'Ouest
Hémisphère. Il a établi Symbol
centre de logiciels en Inde et son usine de fabrication au Mexique. Sharma est titulaire de plus de 20 brevets et
auteur de plus de 75 articles. Il est un
Membre du conseil d'administration de trois sociétés de haute technologie privées
entreprises dans les domaines de l’informatique à haut débit et des soins de santé et conseiller plusieurs entreprises en démarrage.
les entreprises.

Sur
Julian Jacobson

Julian Jacobson est le
Cofondateur, président et chef de l'exploitation de Fundamental Interactions.
Il a plus de 20 ans d'expérience dans l'industrie du commerce électronique. Antérieur à
rejoignant Fundamental Interactions, M. Jacobson a dirigé les initiatives de vente chez
Mantara Inc, où il a été le pionnier des canaux de vente institutionnels avec plusieurs des
les plus grands courtiers mondiaux. Auparavant, M. Jacobson était un haut responsable des ventes.
cadre supérieur chez RealTick, un des principaux fournisseurs de solutions globales de gestion de l'exécution
systèmes appartenant à Lehman Brothers et à Barclays Capital au cours de la
Le mandat de Jacobson à cet endroit. M. Jacobson a obtenu un MBA de la Kelley School of
Affaires en marketing et finance.

Sommaire

Authentification multi-facteurs et actifs cryptographiques

Nom d'article

Authentification multi-facteurs et actifs cryptographiques

La description

Trois facteurs généralement acceptés sont utilisés pour établir une identité numérique aux fins d'authentification, notamment un facteur de connaissance, connu de l'utilisateur, tel qu'un mot de passe, les réponses aux questions posées, les numéros d'identification ou un code PIN.

Auteur

Satya Sharma

Nom de l'éditeur

PaiementsJournal

Logo de l'éditeur

Commentaires

Laisser un commentaire

Votre commentaire sera révisé par les administrateurs si besoin.