Connect with us
crowd people person crowd people person

Sécurité de l'info

Qu’est-ce que la fédération d’identité?

Aujourd’hui, que ce soit dans le monde professionnel ou simplement privé, sur le web par exemple, nous ne cessons de devoir nous authentifier et saisir des mots de passe différents pour chaque application ou services. Face à  ces “tracasseries de sécurité”, la fédération d’identité apporte une solution efficace en propageant l’authentification de manière transparente entre applications.

Published

on

Aujourd’hui, que ce soit dans le monde professionnel ou simplement privé, sur le web par exemple, nous ne cessons de devoir nous authentifier et saisir des mots de passe différents pour chaque application ou  services. Face à  ces “tracasseries de sécurité”, la fédération d’identité apporte  une solution efficace  en propageant l’authentification de manière transparente entre  applications.


️ Pour m'offrir un café en échange du travail de veille réalisé gratuitement

Le principe de la fédération d’identité

Pour rappel, une personne (un être humain) possède en théorie pour chaque écosystème (entreprise, maison, …) une identité informatique unique. Il s’agit habituellement d’un code, une clé, qui lui permet d’être identifié de manière unique : Bob, MaxL456, User-145, …

Au niveau de chaque application, nous disposons habituellement d’un code personnel, l’identifiant, qui peut être le même que celui de l’identité mais pas obligatoirement. Combiné à  un mot de passe, ou un autre challenge comme de la biométrie par exemple, cet identifiant permet d’authentifier cette identité.

Comme mentionné en introduction, le problème que nous rencontrons est la multiplication des authentifications nécessaires pour les  applications auxquelles nous souhaitons  accéder. Au final, nous devons accumuler les informations relatives à  notre identité et encore, pour chaque application, l’identifiant et le mot de passe associés:

Avec le web et même dans le monde de entreprises, cette explosion du nombre d’authentification est un réel problème qui pousse souvent à  des comportements déviants comme celui d’utiliser un même mot de passe pour toutes nos applications ou de créer des fichiers de mots de passe  … et c’est ici que la fédération d’identité tire  son épingle du jeu  en proposant qu’une authentification suffise et que cette information soit ensuite propagée vers d’autres applications pour éviter de devoir à  chaque fois resaisir les login et mot de passe.

Le principe de fédération d’identités

Ainsi, après une première authentification réussie, un mécanisme (protocole) de confiance se met en place pour informer l’autre application de qui vous êtes et que l’authentification est valable car il l’a déjà  été vérifiée. Le Single-Sign-On (SSO) en est un exemple typique de mise en pratique qui permet,par exemple dans votre entreprise, d’accéder directement à  votre messagerie en ayant uniquement saisi au départ votre identifiant-mot de passe de Windows.

Les protocoles  de propagation et de fédération d’identité

Ce principe de SSO, en utilisant des cookies sur le web par exemple, est aujourd’hui  très utilisé et se base souvent  sur l’authentification fournie initialement sur un réseau social avec Facebook ou Twitter par exemple.

Le principal mécanisme de fédération est aujourd’hui le  Security assertion markup language (SAML)  qui est un standard informatique définissant un protocole pour échanger des informations d’authentification, sans pour autant que ces sites web ou applications aient accès à  des informations trop sensibles.

Dans ce cas, l’application initiale, appelée fournisseur de service (ou SP pour Service Provider), délègue l’authentification de l’utilisateur à  Facebook ou Twitter qui sont les  fournisseurs d’identité (ou IdP pour Identity Provider). Un fournisseur de services peut donc faire appel à  plusieurs fournisseurs d’identité comme le montre cet exemple et le contraire est également valable.

Lors de la phase suivante (voir copie d’écran ci-dessous), on retrouve alors effectivement ces informations soit:

  1. Le fournisseur d’identité, ici Twitter pour cet exemple
  2. Le fournisseur de service, Storify auquel nous souhaitons accéder en utilisant
  3. Les informations d’authentification (login et mot de passe) de Twitter pour accèder au service de Storify (qui sera stocké dans des cookies pour une authentification directe les prochaines fois) et
  4. Les informations relatives aux autorisations qui être octroyée à  l’utilisateur après l’authentification.

D’un point de vue technique, SAML définit le format des échanges de messages au format XML, appelé les assertions. Il décrit également les cas d’utilisation en y précisant les  échange des messages ainsi que les paramètres  envoyés et reçus. De manière complémentaire, les relations de confiance techniques entre les fournisseurs s’appuient sur des certificats  qui permettent ainsi de garantir des communications sécurisées entre eux.

Les assertions SAML sont basées sur les couches SOAP, XML Encryption et XML Signature.

  • SOAP est le protocole d’encapsulation standard des messages XML, utilisé principalement par les Web services.
  • XML Encryption est le protocole standard de chiffrement des messages XML. Il a la particularité de pouvoir chiffrer la globalité du message ou simplement un sous-ensemble précis. Cela permet d’avoir par exemple un document XML en clair avec des valeurs d’attributs chiffrées.
  • XML Signature est le protocole standard de signature des messages XML. Tout comme XML Encryption il permet de cibler l’élément à  signer. Cela permet à  plusieurs intervenants de signer chacun une partie différente du document XML.

Le SP et L’IdP sont deux entités qui ont connaissance chacune l’une de l’autre en termes d’identifiant et de certificat. Les messages XML qui transitent sur le réseau sont donc chiffrés par la clé publique du destinataire, seul capable de déchiffrer le message avec sa clé privée. L’émetteur signe ses assertions avec sa clé privée permettant au destinataire de vérifier sa provenance.

via  La fédération d’identité au travers de SAML – JDN Web & Tech.

Dans le cas du web, voici une illustration des différents échanges de messages permettant de propager l’identité  :

Source : La fédération d’identité : nouvel enjeu pour le SSO | BeeWebsec.

 

4 Comments

4 Comments

  1. Pingback: Qu'est-ce que la fédération d'ide...

  2. Pingback: BankinGeek

  3. Pingback: Fédération d’identité : Des concepts Théoriques aux études de cas d’implémentations | Sécurité et FinTech

  4. Pingback: Qu'est-ce que la fédération d'ide...

Leave a Reply

Votre adresse de messagerie ne sera pas publiée. Les champs obligatoires sont indiqués avec *

Ce site utilise Akismet pour réduire les indésirables. En savoir plus sur comment les données de vos commentaires sont utilisées.

Carnet de veille

#veille #cyberSécurité (18 mars 18) – les données de 50 millions de comptes Facebook détournées pour les élections américaines et 5 millions d’Android avec des malwares préinstallés

Découvrez les actus qu’il ne fallait pas manquer cette semaine à propos de la sécurité (rapport de veille hebdo)

Published

on

La principale nouvelle de la semaine concerne la société Cambridge Analytica. Pour information, ce cabinet d’analyse de données qui a collaboré avec l’équipe électorale de Donald Trump et la campagne gagnante du Brexit a récolté des millions de profils Facebook des électeurs américains. Ainsi selon une enquête du Guardian, Facebook savait depuis deux ans que cette entreprise récoltait des données sur plus de 50 millions de profils d’électeurs américains sans leur permission et de n’aurait rien fait pour protéger leurs données. Facebook a reconnu avoir été manipulé et a maintenant bloqué cette société. A suivre.


️ Pour m'offrir un café en échange du travail de veille réalisé gratuitement

La Russie a à nouveau droit à une ligne dans cette rubrique hebdomadaire. Cette fois-ci, les USA lui reproche d’avoir piraté plusieurs entités gouvernementales et sociétés nationales dans les secteurs de l’énergie, du nucléaire, des installations commerciales, de l’eau, de l’aviation entre autres.

Au Royaume Uni, c’est le groupe de piratage APT15, habituellement associé aux services de renseignement chinois, qui aurait volé des informations militaires via un de leur fournisseur. Toujours sur cette même île, une police locale se serait fait pirater et voler des rapports confidentiels déposés par 450 personnes ces deux dernières années.

En attendant les prochaines nouvelles #cybersec et #infosec, voici les actualités intéressantes sélectionnées pour ce rapport de veille :

Posted from Diigo. The rest of my favorite links are here.

Continue Reading

Sécurité de l'info

Plus d’un milliard de smartphones avec de la reconnaissance faciale en 2020

L’arrivée du dernier iPhone X anticipe la tendance. La facilité d’utilisation de la reconnaissance faciale pousse à une large adoption sur tous les smartphones

Published

on

L’arrivée du dernier iPhone X anticipe la tendance. La facilité d’utilisation de la reconnaissance faciale pousse à une large adoption sur tous les smartphones.


️ Pour m'offrir un café en échange du travail de veille réalisé gratuitement

Reconnaissance faciale de Smartphone – Prévisions d’expéditions de Smartphone (source Counterpoint)

Selon les estimations de Counterpoint, près de 60% de tous les smartphones à reconnaissance faciale utiliseront la technologie 3D en 2020. Les données collectées à partir de plusieurs capteurs 3D aideront les technologies émergentes telles que la réalité augmentée, la réalité virtuelle et l’intelligence artificielle.

Pour en savoir plus:

More than one billion smartphones to feature facial recognition in 2020 – Counterpoint Research

Seoul, Hong Kong, New Delhi, Beijing, London, Buenos Aires, San Diego February 7 th, 2018 Facial recognition solutions are expected to come to a wide range of handsets in 2018 following Apple’s FaceID and Samsung Galaxy Note 8’s Face & IRIS unlock technology.

Is Facial Recognition the New Smartphone Security Standard?

With the rise of facial recognition technology, our fingerprints may be supplanted as the convenient biometric of choice to save us from typing in passwords. There’s nothing new about the idea of using your face to unlock your phone or other devices, but when Apple made Face ID the star of its iPhone X reveal, facial recognition took a big step towards the mainstream consciousness.

Phone Trends to Expect in 2018: Facial Unlock, AR, AI

The last 12 months saw the release of some of the most desirable smartphones ever conceived. From Samsung’s curved Galaxy S8 to Apple’s face-tracking iPhone X, to Google’s astonishing Pixel 2 camera smarts – 2017 has been a very good year for smartphones. But there’s always more ahead.

Continue Reading

Carnet de veille

#veille #cyberSécurité (4 mars 2018) – L’Allemagne et la Corée du Sud victimes de cyberattaques venues de Russie

Découvrez les actus qu’il ne fallait pas manquer cette semaine à propos de la sécurité (rapport de veille hebdo)

Published

on

La Russie est au coeur de plusieurs actualités cette semaine. La première concerne l’Allemagne qui a vu plusieurs de ces ministères attaqués par des pirates qui viendraient de la Russie. Le groupe de hacker APT28, aussi nommé les Fancy Bears, pourrait se cacher là-derrière. La 2ème attaques russes concernerait cette fois-ci les jeux olympiques de Corée du Sud. La cyber-attaque serait passée cette fois-ci par les lignes de la Corée du Nord.


️ Pour m'offrir un café en échange du travail de veille réalisé gratuitement

Le magazine l’Express, quant à lui, ne semble pas encore prêt à la RGPD. Les données personnelles de 700’000 de ces lecteurs auraient été “en libre service” pendant plusieurs semaines.

L’autre principale nouvelle de la semaine est la super puissante attaque de déni de service qui a fait fléchir Github. Un nouveau vecteur d’amplification a été trouvé grâce à un protocole (Memcached) et surtout des systèmes non protégés accessibles sur Internet.

En attendant les prochaines nouvelles #cybersec et #infosec, voici les actualités intéressantes sélectionnées pour ce rapport de veille :

Posted from Diigo. The rest of my favorite links are here.

Continue Reading

Newsletter

Sur le canal de Twitter

La newsletter