Authentification multi-facteurs et actifs cryptographiques – Bien choisir son serveur d impression

Dans l’économie numérique, sécuriser et permettre l'accès aux informations uniquement par les propriétaires autorisés est essentiel pour protéger les actifs numériques. Il ne suffit pas de sécuriser les données et le réseau sur lequel les données passent; il est également impératif de veiller à ce que seul le personne désignée peut accéder au compte attribué. Dans une configuration typique de la plupart des entreprises et des particuliers utilisent un nom d’utilisateur et un mot de passe pour se connecter à un réseau. serveur ou site web. Cette approche est incroyablement vulnérable. Afin de renforcer la sécurité des accéder à des sites Web ou à des serveurs et réduire le risque de piratage informatique par entités et individus non autorisés, techniques d'authentification multifactorielles ont grandi rapidement avec la plupart des entreprises et des particuliers. Cela aide à sécuriser les actifs numériques dans la foulée des cyberattaques, du piratage informatique et des braquages. Il existe trois facteurs généralement acceptés qui sont utilisés pour établir une identité numérique pour l'authentification, y compris un facteur de connaissance, qui est quelque chose que l'utilisateur sait, comme un mot de passe, réponses pour contester des questions, des numéros d'identification ou un code PIN. Le deuxième facteur est un facteur de possession: quelque chose que l’utilisateur a, comme un téléphone portable ou un ordinateur portable. jeton. Le troisième facteur pourrait être un facteur biométrique, qui est quelque chose qui l’utilisateur, telles que ses empreintes digitales, son scan oculaire ou son motif vocal. La combinaison de deux ou plusieurs de ces facteurs permet authentification fiable. La plupart des utilisations 2FA le facteur de connaissance et le facteur de possession. Il existe diverses adaptations 2FA. Dans une adaptation, le serveur envoie un message sur un appareil mobile par SMS quand quelqu'un essaie de se connecter ou un code de messagerie vocale sur n'importe quel téléphone. Un téléphone cellulaire a un numéro de téléphone unique et une carte SIM physique carte à l'intérieur qui lie à ce numéro de téléphone avec le téléphone cellulaire fournisseur. Cependant, le numéro de téléphone est pas aussi sûr qu'on voudrait le croire. Par exemple, l'attaquant peut appeler service à la clientèle de la compagnie de téléphone cellulaire et prétendez que la Le téléphone a été perdu et l'attaquant peut transférer votre numéro de téléphone sur son téléphone. Ainsi, le numéro de téléphone devient le maillon faible. De nombreux services permettent de supprimer 2FA en cas de perte du téléphone. L’autre adaptation de 2FA est une technologie telle que Google. Authenticator, qui génère un mot de passe unique TOTP (Time-Based One-Time Password) ou code sur un appareil mobile qui correspond à un généré simultanément sur un site Web serveur du service. Un TOTP vérifie l'utilisateur identité basée sur un secret partagé. Cette secret doit être partagé en ligne entre l'utilisateur et le fournisseur. Bien que TOTP soit simple à utiliser, il présente certaines lacunes. L'utilisateur et le fournisseur le serveur partage le même secret. Si un L’attaquant parvient à pirater le serveur du fournisseur et à obtenir le mot de passe et la base de données secrète, l'attaquant peut accéder à tous les comptes. De plus, le secret est affiché en texte brut ou sous forme de code QR. Cela signifie également que le secret est le plus probablement stockés sous forme de texte brut sur le serveur du fournisseur. Fondamentalement, il faut avoir confiance que le fournisseur peut protéger le secret. Plus Les systèmes TOTP sont également sensibles à la lecture en temps réel et à l'ingénierie sociale attaques et sont également indirectement susceptibles à l'homme au milieu (MITM) et l'homme dans le navigateur (MITB) attaques. En plus du TOTP, une autre approche est basée sur un second facteur universel (U2F). La norme U2F a été créée par l'Alliance FIDO. U2F utilise une clé publique cryptographie pour vérifier l'identité de l'utilisateur. Dans Contrairement à TOTP, les utilisateurs sont les seuls à connaître le secret (c'est-à-dire la clé privée). Le serveur envoie un défi, qui est ensuite signé par le secret (clé privée). le Le message résultant est renvoyé au serveur, qui peut vérifier l’identité en utiliser la clé publique de l'utilisateur dans sa base de données. Dans une approche, le protocole U2F a été mis en œuvre à l'aide d'un dispositif de jeton USB doté d'un bouton pour activer le dispositif. Le serveur envoie un défi demande au navigateur Web du client, puis le navigateur envoie la demande à le périphérique USB. Une fois activé, l'appareil signe le défi et renvoie le données signées au navigateur, qui les retransmet au serveur. Cependant, U2F ne va pas tout résoudre problèmes de cybersécurité. Par exemple, les chercheurs ont récemment découvert certaines failles dans les spécifications de conception USB peut laisser les microprogrammes non protégés et éventuellement permettre aux attaquants d’écraser firmware et prendre le contrôle des périphériques USB. Cette vulnérabilité du micrologiciel pourrait permettre la reprogrammation de périphériques USB. voler le contenu de tout ce qui est écrit sur les lecteurs et propager malicieusement code à n'importe quel ordinateur auquel ces périphériques sont connectés. Les logiciels malveillants USB peuvent potentiellement infecter les systèmes et facilement se répliquer et se propager à d'autres appareils. Ces dangers sont soulignés par le fait qu'ils sont essentiellement indétectables. Bien entendu, certains périphériques USB n’ont pas de microprogramme reprogrammable, aussi chaque appareil peut être vulnérable de cette manière. Cependant, même si le firmware est intact, la clé USB reste très vulnérable car un périphérique USB autrement «propre» et non infecté peut potentiellement être infecté en étant connecté à un ordinateur qui a été compromis par un malware. Ainsi, les risques potentiels de la technologie USB ne se limitent pas aux vulnérabilités du firmware. Le simple usage et la disponibilité nombre de connexions et de périphériques USB pose des risques similaires, mais perturbants pour la sécurité des données. C’est pourquoi des experts tels que l’équipe américaine de préparation aux urgences informatiques (US-CERT) recommandent que les utilisateurs ne connectent jamais de périphériques USB à des serveurs non fiables. machines telles que les kiosques informatiques publics et ne les connectez jamais à la maison ou à l'entreprise systèmes à moins qu'ils connaissent et font confiance à chaque connexion que le périphérique a déjà fabriqué. C’est pourquoi la plupart des agences de défense et des sous-traitants de la défense n’achètent que ordinateurs sans connexion USB. Leurs employés ne peuvent donc pas utiliser l'authentification USB. Au lieu d'utiliser le facteur de connaissance et le le facteur de possession, on peut également utiliser le troisième facteur tel qu'un biométrique facteur, qui est quelque chose que l'utilisateur est, tels que ses empreintes digitales, balayage oculaire ou motif vocal. Tandis que le Le facteur biométrique est le moyen le plus convaincant de prouver l’identité d’un individu, il présente plusieurs inconvénients. Biométrique L’authentification est un facteur «Ce que vous êtes» et est basée sur un individu unique. caractéristiques. Biométrie physique comprend les empreintes digitales, la reconnaissance faciale et les examens oculaires (iris, rétine). La biométrie comportementale comprend la voix reconnaissance et signatures manuscrites. Cependant, les systèmes d'authentification biométrique ne sont pas précis à 100%. L'environnement et l'utilisation peuvent affecter les mesures biométriques. Ils ne peuvent pas être réinitialisés une fois qu'ils sont compromis et vous ne pouvez pas révoquer à distance l'empreinte digitale, le scan des yeux ou l'impression vocale. Un voleur pourrait voler le smartphone, créer un faux doigt, puis l’utiliser pour déverrouiller le téléphone à volonté. Il a également été constaté que les empreintes digitales des maîtres peuvent tromper de nombreux téléphones et scanners. Dans l’un des plus gros hacks de tous les temps, le US Office of Personnel Management a laissé 5,6 millions d’empreintes digitales d’employés. Pour les personnes impliquées, une partie de leur identité sera toujours compromise. Contrairement aux mots de passe, les empreintes digitales durent toute une vie et sont généralement associées à des identités critiques. Ainsi, les fuites d’empreintes digitales sont irrécupérables. Tromper un scanner oculaire peut nécessiter de prendre un photo avec une caméra bon marché en mode nuit, ou accès aux données piratées à partir d'un site qui stocke les données de balayage oculaire. Après avoir imprimé l'oeil sur le papier, un Des lentilles de contact mouillées sont placées dessus pour imiter la rondeur de l’œil humain. Parfois, des services d’authentification tiers sont utilisés pour authentifier un utilisateur. Pour Par exemple, OpenID est un moyen d’identifier un utilisateur, nommer le site Web qu’il visite. Sites Web qui prennent L’avantage d’OpenID n’a pas besoin de demander la même information à plusieurs reprises encore. Cependant, Open ID seul ne suffit pas garantir la sécurité, car il reste toujours le seul point d'échec. L’autre approche utilisée par certains sites Web est OAuth pour l'autorisation et l'authentification partielle. Cependant, comme OAuth n’a pas été conçu avec ce cas d’utilisation, cette hypothèse peut conduire à des problèmes de sécurité majeurs défauts. Le protocole de communication OAuth n'est pas sécurisé et l'utilisateur peut être induit en erreur de manière à ce qu'un attaquant puisse obtenir ses lettres de créance. Par conséquent, des attaquants sophistiqués sont capables de casser l'authentification multifactorielle actuelle et l'ID de tiers services du fournisseur. Ainsi, il y a un clairement besoin de trouver une meilleure approche pour sécuriser les ressources physiques et numériques. actifs provenant des cyberattaques, du piratage informatique et des braquages ​​tout en fournissant une authentification et l'autorisation de manière sécurisée. Zortag a inventé une technologie unique combinant une technologie bidimensionnelle Code à barres (2D) ou puce RFID avec une répartition tridimensionnelle (3D) répartie de manière aléatoire particules sous la forme d'une empreinte optique comme unique hautement sécurisé identifiant. Le nombre de combinaisons possibles de 3D réparties au hasard particules dans l'empreinte optique 3D dépasse 1060, le mettant dans la même classe que les combinaisons d'ADN humain. Ces combinaisons uniques sont quasiment impossible à reproduire par quiconque, y compris Zortag lui-même. Une telle 3D les éléments ont également des couleurs caractéristiques pour le traitement ultérieur des images et analyse, qui renforcent encore le caractère aléatoire de cette structure d’empreintes digitales.

Un mode de réalisation de cette technologie permet la création de une identité et une authentification uniques Clé (UIAK) en incorporant l’empreinte digitale optique 3D de Zortag dans un une carte ou un porte-clés et un numéro d’identité codé dans un code à barres ou RFID. UIAK sous la forme d'un objet physique tel qu'un Il est presque impossible de cloner une carte ou un porte-clés, y compris avec Zortag. UIAK est configuré pour fonctionner uniquement avec un appareil mobile autorisé dans possession de l'utilisateur. La clé unique et l'appareil mobile autorisé ensemble constituent la paire nécessaire pour accéder aux actifs numériques dans un environnement de manière sécurisée, rendant presque impossible toute atteinte à la cybersécurité. Cette une paire unique peut identifier et authentifier un utilisateur et permettre l'accès à un site Web, serveur, ou bien numérique de manière sécurisée. L'accès peut également être limité à une géolocalisation et une période spécifiques. Cette plateforme ouvre des opportunités pour les entreprises et les individus à construire leurs propres applications où l'identification unique et L'authentification d'un utilisateur ou d'un élément est essentielle

La plupart des appareils mobiles sont en outre protégés soit par la biométrie telle que empreintes digitales, ou par balayage oculaire, ou par des codes de passe à plusieurs chiffres. À moins que l’utilisateur n’utilise l’un d’eux pour ouvrir le appareil mobile, l'appareil ne peut pas être utilisé pour numériser UIAK. L'utilisateur peut également ajouter un autre niveau optionnel de la sécurité sous la forme de quelque chose que seul l'utilisateur sait, comme un mot de passe ou mot de passe. Cette UIAK physique est extrêmement difficile à cloner, sinon impossible, et cette clé n’est sujette à aucune virus ou autres types d'attaques, comme c'est le cas avec les clés logicielles ou USB dispositifs. La sécurité peut être encore améliorée en disposant de plusieurs clés UIAK et plusieurs appareils mobiles afin d'accéder à un actif numérique. Ceci est particulièrement applicable dans les applications sécurisées. Par exemple, deux les clés A et B peuvent être fournies, et un appareil mobile X peut être autorisé à lire clé A et un autre appareil mobile Y peut être autorisé à lire la clé B. Dans cet exemple, uniquement lorsque cette combinaison est utilisé, l'accès sera autorisé à un serveur.

La clé UIAK et le périphérique mobile constituent ensemble les conditions requises paire de clés, et ces deux clés sont nécessaires pour le système et le processus travailler. L'un sans l'autre ne sera pas permettre au processus d'avancer. La disposition de faire correspondre le périphérique mobile et l'élément d'identité unique peut être visualisé comme ayant deux clés physiques sont en possession de l'utilisateur et en tant que paire ne peuvent pas être piratés. Unique Clé d'identité et d'authentification (UIAK) ou clé sous la forme d'un article physique, une carte, un porte-clés ou un seul article d'identification peut également servir de carte de crédit / débit carte de santé, carte d’identité, carte d’avantage gouvernementale, carte de fidélité, etc., et peut également être utilisé comme élément qualifiant de manière unique un utilisateur, permettant ainsi à authentification multifacteur pour accéder à un site Web ou à un serveur sans mot de passe. Fondamental Interactions et Velocity Ledger travaillent avec Zortag pour mettre en œuvre une approche unique en matière de gestion des crypto-monnaies telles que en bitcoins en utilisant UIAK et la paire d’appareils mobiles. Pour passer le bitcoin, deux informations sont nécessaires: l’information publique et la informations privées ou secrètes. le l'information du public identifie l'identité de la pièce et sa valeur et va sur la chaîne de bloc. La clé publique est également l'adresse du bitcoin ou de l'actif où la pièce doit être envoyé. Les informations secrètes sont la clé privée du propriétaire. La clé privée doit être gardée secrète et protégé. Afin de gérer la clé privée, trois considérations doit être gardé à l'esprit. Premièrement le la disponibilité de passer le cryptoasset quand nécessaire; deuxièmement, la commodité de la gestion de la clé; et troisièmement, la sécurité de la clé, sont quelques-uns des critères clés à gérer. Une façon de gérer le privé clé consiste à le stocker dans un fichier sur un support de stockage local, tel qu'un téléphone portable ou un ordinateur portable. un disque dur d'ordinateur ou tout autre périphérique sous le contrôle du propriétaire. Il est facilement disponible et pratique pour gérer. Cependant, si le support de stockage est perdu ou volé, ou devient infecté par des logiciels malveillants, l'actif sera perdu. Le vol de cryptomonnaies n’est pas non plus rare. Ainsi, stocker des crypto-monnaies sur un ordinateur ou sur un ordinateur local les dispositifs connus sous le nom de stockage à chaud sont semés d'embûches. En outre, tout appareil connecté à Internet est sujet à être piraté et donc pas sécurisé. Une façon de gérer cela consiste à stocker les crypto-monnaies hors ligne ou quoi est appelé stockage à froid. Le stockage à froid est pas connecté à internet. Ceci peut ne soit pas pratique, mais c'est plus sécurisé. De cette manière, on peut garder un actif dans un stockage à chaud pour plus de commodité, mais la plupart d'entre eux dans des entrepôts frigorifiques pour des raisons de sécurité. On peut déplacer un actif entre le stockage à froid et le stockage à chaud et inversement. Dans Afin de gérer le stockage à chaud et à froid, les clés privées doivent être différentes chaque stockage. Sinon, le piratage de la clé privée de stockage à chaud sera également compromettre la clé privée de stockage à froid. Chaque partie devra également connaître les adresses publiques pour pouvoir se déplacer les crypto-monnaies. Il y a plusieurs façons de gérer les adresses pour les stockages à froid et à chaud et le transfert de la ressource dans les deux sens. Cependant, si les clés privées de la mémoire chaude ou froide le stockage sont piratés, le cryptoasset sera perdu à jamais. La plupart des clés sont stockés dans un seul endroit, que ce soit dans un coffre-fort, dans un logiciel, sur papier, dans ordinateur ou dans un appareil. Cela crée un point de défaillance unique. Si le célibataire le point de défaillance est compromis, alors cela devient un problème. Bien qu'il existe des moyens d'éviter les points uniques d'échec en partageant les secrets clés et en les stockant à différents endroits, cela crée des inconvénients et des frais généraux supplémentaires. le La technologie de solution Zortag offre une solution pour s’assurer que la clé privée appartient bien au propriétaire qui possède la clé privée clé. La clé privée peut être stockée dans un un support de stockage, tel qu’un périphérique local ou un serveur, dans le cloud, etc. C’est l’accès au support de stockage qui ne devrait pas être accessible à un pirate informatique. La technologie empêche l'accès au support de stockage pour toute personne autre que le propriétaire de ce supports de stockage. L'accès aux médias est limité uniquement par la clé d’identité et d’authentification unique de Zortag (UIAK) et le dispositif de lecture mobile autorisé. Le support de stockage demande au propriétaire du clé privée pour analyser UIAK avec le périphérique mobile autorisé, par ex. téléphone intelligent. le images numérisées et les informations sur le périphérique, ainsi que les coordonnées de géolocalisation de le périphérique mobile de numérisation et la durée autorisée au cours de laquelle la numérisation est autorisés sont tous envoyés à un serveur d’authentification qui vérifie l’authenticité de UIAK et la l'identifiant de l'appareil, les données de géolocalisation et l'heure de l'analyse. Si tous ces paramètres sont confirmés, le propriétaire reçoit l’accès au stockage multimédia pour accéder au Clé privée. À propos de Satya Sharma Dr. Sharma est le PDG et président de Zortag. Il est également l'exécutif Directeur du centre d’excellence dans les technologies sans fil et de l’information à Université Stony Brook. Auparavant, il était Senior Vice President chez Symbol Technologies – responsable de l'informatique mobile et de l'ingénierie sans fil et Chef des opérations mondiales de Symbol aux États-Unis, en Inde, au Mexique, au Japon et Chine. Il était également le responsable de la stratégie de Symbol. Pendant le mandat du Dr. Sharma à Symbol, le la société a remporté la médaille nationale de la technologie du président Clinton au cours de l'année 2000. Il était également ancien Global Président de Bilcare Technologies. Dr. Sharma était directeur chez Bell Labs et a conduit AT & T Power Systems à remporter le prix prestigieux Deming Prize – Premier pour toute entreprise de technologie de l'Ouest Hémisphère. Il a établi Symbol centre de logiciels en Inde et son usine de fabrication au Mexique. Sharma est titulaire de plus de 20 brevets et auteur de plus de 75 articles. Il est un Membre du conseil d'administration de trois sociétés de haute technologie privées entreprises dans les domaines de l’informatique à haut débit et des soins de santé et conseiller plusieurs entreprises en démarrage. les entreprises. Sur Julian Jacobson Julian Jacobson est le Cofondateur, président et chef de l'exploitation de Fundamental Interactions. Il a plus de 20 ans d'expérience dans l'industrie du commerce électronique. Antérieur à rejoignant Fundamental Interactions, M. Jacobson a dirigé les initiatives de vente chez Mantara Inc, où il a été le pionnier des canaux de vente institutionnels avec plusieurs des les plus grands courtiers mondiaux. Auparavant, M. Jacobson était un haut responsable des ventes. cadre supérieur chez RealTick, un des principaux fournisseurs de solutions globales de gestion de l'exécution systèmes appartenant à Lehman Brothers et à Barclays Capital au cours de la Le mandat de Jacobson à cet endroit. M. Jacobson a obtenu un MBA de la Kelley School of Affaires en marketing et finance.

Sommaire

Nom d'article Authentification multi-facteurs et actifs cryptographiques La description Trois facteurs généralement acceptés sont utilisés pour établir une identité numérique aux fins d'authentification, notamment un facteur de connaissance, connu de l'utilisateur, tel qu'un mot de passe, les réponses aux questions posées, les numéros d'identification ou un code PIN. Auteur

Satya Sharma

Nom de l'éditeur

PaiementsJournal Logo de l'éditeur

Click to rate this post! [Total: 0 Average: 0]