Présentation
EnglishRÉSUMÉ
Aujourd'hui, la banque, les services bancaires et le paiement ne se conçoivent pas sans Internet. L'activité bancaire repose sur la confiance et ses systèmes d'information doivent être sécurisés. Or l'authentification est une fonction de sécurité qui occupe une place centrale sur Internet et, par voie de conséquence, dans le monde bancaire. Après avoir rappelé la problématique de sécurité de l'informatique bancaire et les principaux concepts de l'authentification, nous présentons les principales solutions d'authentification employées pour la banque à distance. Nous détaillerons ensuite les deux formes du paiement sécurisé : le paiement de proximité et le paiement à distance. Enfin, nous analyserons en détail les modifications de l’usage de l’authentification entraînées par la directive européenne DSP 2 et la généralisation du Mobile Banking.
Lire cet article issu d'une ressource documentaire complète, actualisée et validée par des comités scientifiques.
Lire l’articleAuteur(s)
-
Pascal THONIEL : Fondateur et Directeur R&D de la société NTX Research SA
INTRODUCTION
Que ce soit pour un accès à des réseaux locaux ou étendus, que ces réseaux soient filaires ou sans fil, que ces réseaux soient en architecture client-serveur ou répartie, l’authentification des équipements, des objets connectés, des services, des applications et des personnes est nécessaire. Tout ce qui concerne l’accès privé, c’est-à-dire le contrôle de la délivrance de l’information et de la fourniture des ressources réservées à certaines entités, passe par l’authentification.
Or, les procédures d’authentification classiques par identifiant et mot de passe ne suffisent plus. Sur les réseaux locaux comme sur Internet, l’espionnage des communications est l’attaque numéro un. L’espionnage des communications permet de récupérer facilement et pratiquement sans risque de détection l’identifiant et le mot de passe que l’utilisateur envoie au serveur ou bien ses codes d’accès lors d’une connexion légitime. Rien de plus simple ensuite pour l’attaquant que de se connecter à son tour en rejouant les mêmes valeurs et ainsi, de se faire passer pour un utilisateur autorisé. Il s’agit là d’une usurpation d’identité.
La deuxième catégorie d’attaque consiste à espionner, simuler, copier ou voler le moyen d’authentification de l’utilisateur. La troisième concerne la récupération des éléments d’authentification des utilisateurs (crédentiels) stockés du côté du serveur d’authentification. La quatrième est l’ingénierie sociale qui vise à tromper la vigilance de l’utilisateur en l’amenant astucieusement à révéler volontairement ses mots de passe, ses codes ou ses secrets, ou bien encore à les deviner. En effet, les utilisateurs choisissent souvent des mots de passe faibles (courts, simples, classiques) ou qui leur correspondent (prénom des enfants, dates de naissance, nom du chien de la maison, nom de l’artiste ou du sportif préféré…) afin de les retenir plus facilement. Enfin, la cinquième est l’attaque dite « à force brute » qui consiste par exemple à essayer systématiquement et automatiquement tous les mots de passe possibles ou toutes les clés de chiffrement jusqu’à trouver les bons. Comme les mots de passe utilisés sont souvent courts (moins de 8 caractères) et simples (lettres et chiffres), l’attaque à force brute est parfois très efficace.
L’enjeu est d’autant plus considérable que ces menaces qui pèsent sur les particuliers, les entreprises, les organisations, les administrations et leur système d’information sont bien réelles. Elles sont aussi lourdes de conséquences en cas de concrétisation, c’est-à-dire d’attaque réussie par intrusion. Une intrusion frauduleuse dans un système d’information par absence de contrôle des utilisateurs ou par usurpation de l’identité d’un utilisateur autorisé peut avoir des conséquences graves, à la hauteur des droits d’accès et d’action alloués à cet utilisateur.
Ces généralités s’appliquent complètement à l’informatique bancaire actuelle qui constitue le socle des services bancaires accessibles en tous lieux et à chaque instant grâce à la puissance d’Internet. Comme les enjeux financiers ont toujours été parmi les plus importants, l’authentification n’est donc pas une fonction de sécurité à négliger. Elle occupe à l’évidence une place centrale dans la sécurité bancaire d’aujourd’hui.
La récente directive européenne relative aux services de paiements dans le marché intérieur, dite DSP 2, a notamment pour objectif le renforcement de la sécurité des opérations bancaires. Dans ce cadre, elle impose la mise en place d’une authentification forte.
MOTS-CLÉS
VERSIONS
- Version archivée 1 de avr. 2010 par Pascal THONIEL
DOI (Digital Object Identifier)
Cet article fait partie de l’offre
Sécurité des systèmes d'information
(77 articles en ce moment)
Cette offre vous donne accès à :
Une base complète d’articles
Actualisée et enrichie d’articles validés par nos comités scientifiques
Des services
Un ensemble d'outils exclusifs en complément des ressources
Un Parcours Pratique
Opérationnel et didactique, pour garantir l'acquisition des compétences transverses
Doc & Quiz
Des articles interactifs avec des quiz, pour une lecture constructive
Présentation
9. Glossaire
3-D Secure
Protocole sécurisé de paiement sur Internet qui a pour but de s’assurer, lors de chaque paiement en ligne, que la carte bancaire est utilisée par son véritable titulaire. Le protocole introduit une étape supplémentaire au moment du paiement avec la saisie par l’internaute (en plus du numéro de carte bancaire, de la date d’expiration et des trois chiffres du code de sécurité au dos) d’un code dynamique à usage unique.
authentification ; authentication
L’authentification est la fonction de sécurité qui consiste à apporter et à contrôler la preuve de l’identité d’une personne, de l’émetteur d’un message, d’un logiciel, d’un serveur logique ou d’un équipement.
authentifieur ; authenticator
Support électronique contenant un dispositif de calcul pour authentifier un terminal et son porteur ainsi qu’un espace de stockage des crédentiels associés.
crédentiels ; credentials
Éléments secrets permettant d’authentifier un terminal et/ou son utilisateur (numéro de série, mot de passe, code secret, clé de chiffrement, certificat, table de codage, empreinte numérique...). Les crédentiels sont généralement stockés sur un support physique d’authentification individuel côté utilisateur (authentifieur) et dans une base de données des utilisateurs autorisés côté serveur.
DSP 2 (Directive sur les services de paiement 2)
La Directive sur les services de paiement (DSP 2) est une directive européenne (UE) 2015/2366 adoptée le 25 novembre 2015 concernant les services de paiement dans le marché intérieur. Le règlement délégué (UE) 2018/389 qui complète la directive par des normes techniques de réglementation relatives à l’authentification forte du client et à des normes ouvertes communes et sécurisées de communication, a été adopté le 27 novembre 2017.
Cet article fait partie de l’offre
Sécurité des systèmes d'information
(77 articles en ce moment)
Cette offre vous donne accès à :
Une base complète d’articles
Actualisée et enrichie d’articles validés par nos comités scientifiques
Des services
Un ensemble d'outils exclusifs en complément des ressources
Un Parcours Pratique
Opérationnel et didactique, pour garantir l'acquisition des compétences transverses
Doc & Quiz
Des articles interactifs avec des quiz, pour une lecture constructive
Glossaire
BIBLIOGRAPHIE
-
(1) - BANQUE DE FRANCE - Supervision et réglementation bancaire, Bâle 2 – CRD, - juillet 2009.
-
(2) - - Consortium pour la Fédération de Cercles de Confiance et les usages sécurisés de l’identité, http://www.fc2-consortium.org (2009).
-
(3) - LEROUGE (P.) - Blog « Le paiement mobile », - mobilepayment.typepad.com/paiement_mobile/ (2009).
Cet article fait partie de l’offre
Sécurité des systèmes d'information
(77 articles en ce moment)
Cette offre vous donne accès à :
Une base complète d’articles
Actualisée et enrichie d’articles validés par nos comités scientifiques
Des services
Un ensemble d'outils exclusifs en complément des ressources
Un Parcours Pratique
Opérationnel et didactique, pour garantir l'acquisition des compétences transverses
Doc & Quiz
Des articles interactifs avec des quiz, pour une lecture constructive