[PDF] Contrôle daccès qui cherche à accéder au

View - Download Contrôle daccès

Previous PDF

Next PDF

P. Paradinas - 2012

Contrôle d'accès

P. Paradinas - 2012

Introduction

La sécurité dans le monde des technologies de l'information passe par la prise en compte des facteurs humains

Voir le cours introductif

Le facteur humain est partie prenante dans la sécurité des systèmes Le cours de contrôle d'accès a pour objectif d'examiner la phase qui permet à une personne

d'accéder à un système et les moyens mis en oeuvre par le système pour contrôler la personne

qui cherche à accéder au système 2

P. Paradinas - 2012

Plan : contrôle d'accès

Définitions

Mot de passe

Biométrie

Facteur d'authentification double

3

P. Paradinas - 2012

Authentification (définition)

L'authentification est la procédure qui vérifie dans un système informatique l'identité de l'entité qui demande un accès à un service ou une fonction Dans le cas d'un utilisateur humain (une personne) il s'agira d'authentifier la personne.

On parle d'authentification.

Comment authentifier un humain par rappport à une machine un système ?

Cette opération est basée sur :

ce que vous connaissez ; ce que vous possédez/transportez ; ce que vous êtes. 4

P. Paradinas - 2012

Ce que vous connaissez/Mot de passe

C'est une réponse au qui va là ?

Mot de passe ou information que seul celui qui cherche à s'authentifier connais dans le contexte Cette méthode d'authentification a de nombreuses faiblesses, néanmoins elle a aussi des avantages : les mots de passe sont gratuits :) la mise en oeuvre est relativement simple comparée aux autres méthodes (carte, jeton, biométrie,...) 5

P. Paradinas - 2012

À propos de la qualité des mots de passe

Mot de passe "simple"

love, pierre, cnam,...

Mots de passe moins simple :

o2)!8ze%&u/\:), scjh8é"7sh6,...

En théorie une clé cryptographique :

Sur 64 bits : il y a 2

64
possibles et une attaque doit tenter 2 63
clés ? Un mot de passe sur 8 caractères à autant de possibilité (8 bits par caractère *

8) soit 2

64
, mais dans les faits c'est différent... les mots ont un sens et sont dans le dictionnaire ! 6

P. Paradinas - 2012

Exemple sur des mots de passe

Sur 34 000 mots de passe de Myspace capturés en 2006 •28% des mots de passe sont composés de minuscules suivies d'un chiffre (qui est, dans 2/3 des cas, le chiffre '1') •3,8% sont un simple mot du dictionnaire; 12% sont un mot du dictionnaire suivi d'un chiffre ('1' dans 2/3 des cas) •Mots de passe les plus fréquents : - password1, abc123, myspace1, password, qwerty1, fuckyou, 123abc, baseball1, football1, 123456, soccer, monkey1, liverpool1, princess1, jordan23, superman1, iloveyou1, monkey

Source :

7

19 mai 2009Authentification

Nicolas Pioch2

Sur le "stockage sécuris é»

Plus de la moitié des utilisateurs sont prêt à révéler leur mot de passe ou des informations personnelles comme leur date de naissance en

échange d'un cadeau :

•Barre chocolatée : -10% hommes, 45% femmes •Ticket de participation à un tirage au sort pour gagner un séjour de vacances : -60% hommes, 62% femmes

Source : étude avril 2008

Utilisation de mots de passe

L'utilisation de mots de passe plutôt que

d'autres méthodes d'authentification est due : •Àleurcoût:À leur coût : -les mots de passe sont gratuits •À leur caractère pratique : -un administrateur système peut réinitialiser un mot de passe plus facilement que d'attribuer un nouveau doigt à un utilisateur

Comparaison clés / mots de passe

•Clés cryptographiques, par exemple 64 bits -Il y a 2 64
clés différentes possibles -La clé peut être choisie aléatoirement : un attaquant doit alors tenter 2 63
clés en moyenne •Mots de passe, par exemple de 8 caractères -Chaque caractère a en théorie 8 bits soit 256 valeurs possibles différentes : il y a donc en théorie 256 8 = 2 64
mots de passe possibles -Mais les utilisateurs ne choisissent pas leur mot de passe aléatoirement : un attaquant a nettement moins de 2 63
mots de passe à tester (attaques par dictionnaire)

Choix de mots de passe (1/2)

Étude sur les mots de passes choisis par 218

étudiants en 1

e année de psychologie : •45% utilisent leur propre nom pour au moins l'un de leurs mots de passep •2/3 des mots de passe sont conçus à partir d'une caractéristique personnelle, la plupart du reste l'étant à partir de celles de proches •Noms propres et dates d'anniversaire sont les principales informations utilisées pour construire 50% des mots de passe

Choix de mots de passe (2/2)

•Quasiment tous les sondés réutilisent des mots de passe, et 2/3 des utilisations de mots de passe sont des doublons •1/3 des sondés ont déjà oublié un mot de j passe, et plus de la moitié les conservent par

écrit

Alan S. Brown, Elisabeth Bracken, Sandy

Zoccoli, King Douglas (2004). Generating and

remembering passwords. Applied Cognitive

Psychology, 18, 641-651.

Étude sur 34000 mots de passe

MySpacecapturés en 20 06 (1/2)

•65% des mots de passe ont 8 caractères ou moins, et 17% ont 6 caractères ou moins.

Source:

P. Paradinas - 2012

Attaque de Twitter

Piratage Twitter, 5 janvier 2009

Par force brute car twitter autorisait un nombre illimité d'échecs d'authentification consécutifs Il a fini par trouver le mot de passe du compte 'Crystal' ('happiness')... compte administrateur du site ! Il a ensuite réinitialisé les mots de passe des comptes 'officiels' de Barack Obama, Britney Spears et Fox News... et commencé à diffuser de faux messages... 8

P. Paradinas - 2012

Politique de sécurité

Une politique sur les mots de passe

Les mots de passe sont attribués par le système Difficile à maintenir si les utilisateurs peuvent changer leur mot de passe et en terme d'acceptabilité 9

P. Paradinas - 2012

Mécanismes de sécurité

Assignation des mots de passe par le système

Changement périodique des mots de passe

Freiner les attaques par dictionnaire

Mettre une temporisation en cas d'échec de l'authentification

Quel temporisation

•Skype après un certain nombre de refus attente 24h !

Déblocage administrateur (personne)

10

P. Paradinas - 2012

Sur la gestion des mots de passe

L'utilisateur présente son mdp

User > lambda

Pwd > mdp

Le système doit comparer le mdp présenté avec celui de référence Comment stocker sur le système les mdp de référence ?

Solution cryptographique

11

P. Paradinas - 2012

Gestion des mdp

Le système mémorise pour chaque utilisateur user le mdp (user, h (mdp user

Exercice :

Proposer une fonction h

Discuter les +/- de celle-ci

Quels sont les risques et les attaques possibles

Proposer des contre mesures

Estimer pour chaque cas/hypothèse les chances (probabilités) de succès d'un attaquant. 12

P. Paradinas - 2012

Un ou des mdp ?

Un utilisateur à de nombreux de mots de passe à retenir Utiliser le même mot de passe pour des applications avec des niveaux de sécurité différents Le niveau de sécurité final atteint est abaissé au niveau le plus faible de toutes les applications L'application qui protège le moins bien les mots de passe des utilisateurs conditionne le niveau de sécurité de toutes les autres En entreprise (voir le cas Twitter) un problème sur un compte peut entrainer de nombreux problèmes... 13

P. Paradinas - 2012

Autres points et problèmes

Les journaux d'événements (fichiers 'logs') peuvent contenir des mots de passe ou des informations qui leur sont proches " Audit log : failure : login failure for user 'footbamm' on ttyp4 » Logiciels espions ('spywares'), enregistreurs de frappe ('keyloggers')... Bugs de logiciels, par exemple crash avec vidange mémoire sur disque contenant des mots de passe ou clés privées...

Systèmes de détection de mdp faibles

L'administrateur système peut (doit) utiliser ces outils de détection de mots de passe faibles... •'John the Ripper' http://www.openwall.com/john/ •L0phtCrack (Windows) •http://www.pwcrack.com/ •http://www.passwordportal.net/ 14

P. Paradinas - 2012

Biométrie

mdp : ce que vous connaissez

Biométrie : "ce que vous êtes"

Les caractéristiques utilisées

15

Chapter1.Introduct iontoBi ometrics

Figure1.1:TwoBi ometricFamil ies

techniques,fingerprint-basedidentifica tionistheoldestmethodwhichhasb eensuccessfully usedin numerousapplicati onsforoveracentury,morerecentl ybecomingautomat edduetoadvancementsin computingcapabilities.Fingerpr intidentificationispopularbecause oftheinherenteaseina cquis ition, thenume roussources(tenfingers)ava ilableforcollection,andtheirestablisheduseandcollectionsby lawenforc ementandimmigration.Thisisthesecon dandoptionalbiomet ricstobeusedinePassport, howevermandatoryinEuropei nmid'09. Therea derwillfindmoredetai ledinformati onabo utfingerprintstructu reinchapter5.

Figure1.2:Fingerp rintRecogni tion

1.2.3FaceRec ognition

Wema yreferth ereaderto[69]foracompleteoverviewofFaceRecognition. Facerecogn itionisbasedontheimagingofthefa ce.Str uctureof thefac eisrecord edasanimageor dig- italtemp late(thereisaplenty,how evernon-ma ture ,of simplifieddataformats )forfurtherc omparison. Earlyfacereco gnitionalgor ithmsusedsimplegeometricmodels,seefigure1.3,buttherecognitionpro- cessh asnowmo vedintoascien ceofsophiticatedm athematicalr epresentationsandmatchingprocesses. Majoradvance mentsandinitiativesinthepasttenyear shavepropelledthistechnologyintothespotlight. Thisisthe mostin tuitivebi ometricssin ceeveryoneisusingittorecognizetheirhumanfriends,andused foralong timein identitydocum ents.T hisis thefirstandmandatorybiometrics tobeusedinePassports.

PhDthes is,201012claude.barral@epfl.ch

P. Paradinas - 2012

Exemples

16

Chapter1.Introducti ontoBio metrics

Figure1.1:TwoBi ometricFamil ies

techniques,fingerprint-basedidentifica tionistheoldestmethodwhichhasb eensuccessfully usedin numerousapplicati onsforoveracentury,morerecentl ybecomingautomat edduetoadvancementsin computingcapabilities.Fingerpr intidentificationispopularbecause oftheinherenteaseina cquis ition, thenume roussources(tenfingers)ava ilableforcollection,andtheirestablisheduseandcollectionsby lawenforc ementandimmigration.Thisisthesecon dandoptionalbiomet ricstobeusedinePassport, howevermandatoryinEuropei nmid'09. Therea derwillfindmoredetai ledinformati onabo utfingerprintstruc tureinchapter5.

Figure1.2:Fingerp rintRecogni tion

1.2.3FaceRec ognition

Wem ayreferth ereaderto[69]foracompleteoverviewofFaceRecognition. Facerecogn itionisbasedontheimagingofthefa ce.Str uctureo fthefac eisrecord edasanimageor dig- italtemp late(thereisaplenty,how evernon-ma ture ,of simplifieddataformats )forfurtherc omparison. Earlyfacereco gnitionalgor ithmsusedsimplegeometricmodels,seefigure1.3,buttherecognitionpro- cessh asnowmo vedintoascien ceofsophiticatedm athematicalr epresentationsandmatchingprocesses. Majoradvance mentsandinitiativesinthepasttenyear shavepropelledthistechnologyintothespotlight. Thisisthe mostin tuitivebi ometricssin ceeveryoneisusingittorecognizetheirhumanfriends,andused foralong timein identitydocum ents.T hisis thefirstandmandatorybiometrics tobeusedinePassports.

PhDthes is,201012claude.barral@epfl.ch

Chapter1.Introduct iontoBi ometrics

Figure1.3:FaceR ecognition

1.2.4HandGeom etry

Handgeomet ryrecognitionisthelonge stimplementedbiometricty pe,debutinginthe marketinthelate Eighties.Oneoftheshortco mingsofth ehand geometryc haracteristicisthatitisno thighl yunique, limitingtheapp licationsto verificationtasksonly.Thedevicesuseasimpl econceptof mea suringand recordingthelength,width, thicknes s,andsurfacearea ofani ndividual'shandwhileguidedonaplate. Handgeomet rysystemsuseacameratoca ptureasilhouetteimageoft hehand. Theimagecapt uresboth topsurf aceofthehandandaside imagetha tiscap turedusinganan gledmirror,seefi gure1.4.The templateisstoredinnine byte sofdata,anextre mely lownumbercompa redtothestorageneedsofothe r biometricsystems.

Figure1.4:HandRe cognition

1.2.5Iris/ RetinaRecognition

Userauthen ticationbasedontheeyesplitsintwofamilies: 1-Ir isrecognitionis basedontheextraction ofre presentativedatafromtheexternallyvisiblecolore dringarou ndthepupil,whereas2 -Retinare cog- nitionisbasedon theanalys isofthebloodvesse lpa tternl ocatedint heposter iorportio noftheeye,see figure1.5.Theautomatedmethodofirisrecognitionisrelativelyyoung,exi stinginpatentonlysince

1994.The irisi samusclewithin theeyetha tre gulatesthesizeo fthepu pil,contro llingtheamountof

lightthatente rstheeye.Th ecolorisbased ontheam ountofmelatoninpigmentwithi nthemuscle.Iris imagingrequiresuseo fahighqualitydigitalca mera.Toda y'sc ommercialiriscameratypicallyu senear- infraredlighttoillumina tetheiriswithout ca usingharmordiscomforttothesubject.Irisrecognitionis thethirdan doptiona lbiometricstob eusedinePassports.

1.2.6VeinP atternRecogniti on

quotesdbs_dbs7.pdfusesText_13

[PDF] référentiel apsad d83 pdf

[PDF] controle d'acces porte automatique

[PDF] système de contrôle d'accès par badge

[PDF] schema de cablage lecteur de badge

[PDF] devoir commun 4eme math

[PDF] brevet blanc 4eme histoire geo

[PDF] plan vigipirate manifestation

[PDF] organisation manifestation sécurité 2017

[PDF] controle visuel des sacs

[PDF] manifestation publique reglementation

[PDF] organisation manifestation sécurité

[PDF] organisation d une manifestation par une association

[PDF] plan vigipirate 2017

[PDF] questionnaire sur christophe colomb

[PDF] question sur le voyage de christophe colomb