La Confiance avec l’authentification forte

La Confiance avec l'authentification forte

L’authentification forte à 2 facteurs pour créer un environnement de confiance numérique.


Le Règlement « eIDAS » n°910/2014 du 23 juillet 2014 a pour ambition d’accroître la confiance dans les transactions électroniques au sein du marché intérieur. KYC « Know Your Customer » désigne les procédures d’identification et de connaissance client misent en place pour prévenir la fraude et le blanchiment.  

L’EBA (European banking Authority) souhaite recourir à l’utilisation de certificats conformes à l’eIDAS pour authentifier les Fintech et leurs imposent d’utiliser des systèmes d’authentification forte à deux facteurs. L’e-KYC, l’identification à distance, compare via un mobile votre « selfie » et des photos de passeport, de carte d’identité.

Authentification forte à 2 facteurs : Kesako ?

502bf353-bb00-4751-ac6c-750652d08cd5 Une authentification forte à deux facteurs permet de garantir que l’utilisateur est bien la personne qu’elle prétend être. Elle se fait en deux étapes généralement :

 

 

 

 

Une première étape permettant d’identifier l’utilisateur. A cette étape, l’utilisateur déclare son identité, généralement cette opération est réalisée grâce à un couple identifiant/mot de passe. A ce stade, le couple identifiant/mot de passe est considéré comme un facteur faible ne permettant pas de garantir l’identité et de protéger l’information associée à cette identité, car plusieurs types d’attaque permettent de trouver facilement le couple identifiant/mot de passe

Une deuxième étape vient donc s’ajouter afin de renforcer la sécurité et de prouver l’identité de l’utilisateur, c’est-à-dire que c’est bien la personne qu’elle prétend être. En effet, cette étape permet de valider via un facteur de nature distincte. Ce facteur est unique et propre à cet utilisateur :

  • Un certificat numérique sur une carte à puce ou un token cryptographique.
  • Un OTP (Mot de passe à usage unique) qui est envoyé sur un numéro mobile et son usage est limité dans le temps.
  • Un OTP qui est généré par un appareil qui en possession de l’utilisateur (Token RSA)
  • La biométrie (reconnaissance faciale, empreinte digitale, etc…)

L’authentification forte est généralement implémentée au niveau d’un service centralisé appelée l’IdP (Identity Provider). Elle est ensuite consommée par le SP (Service Provider) qui donnera accès à l’information.
La communication entre les deux entités (IdP et SP) repose généralement sur des protocoles sécurisés permettant le transport de l’identité et des habilitations associées sur le réseau (i.e Internet). Plusieurs protocoles existent tels que SAML et OAuth. Afin de garantir l’intégrité des échanges, les données échangées avec ces protocoles sont signées numériquement, ce qui crée un contexte de confiance numérique ajoutant une valeur probante.

Digitalberry accompagne ses clients dans leur projet de confiance numérique :

Matthieu Iguenane – Directeur
matthieu.iguenane@digitalberry.fr
+33 (0)6 72 89 69 09
www.digitalberry.fr