FR3028334A1 - Procede d'authentification forte d'un utilisateur d'un equipement consommateur via un equipement d'authentification equipe d'un module de securite - Google Patents
Procede d'authentification forte d'un utilisateur d'un equipement consommateur via un equipement d'authentification equipe d'un module de securite Download PDFInfo
- Publication number
- FR3028334A1 FR3028334A1 FR1552972A FR1552972A FR3028334A1 FR 3028334 A1 FR3028334 A1 FR 3028334A1 FR 1552972 A FR1552972 A FR 1552972A FR 1552972 A FR1552972 A FR 1552972A FR 3028334 A1 FR3028334 A1 FR 3028334A1
- Authority
- FR
- France
- Prior art keywords
- equipment
- network
- authentication
- user
- security module
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Pending
Links
Classifications
-
- G—PHYSICS
- G06—COMPUTING OR CALCULATING; COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
- G06F21/31—User authentication
- G06F21/42—User authentication using separate channels for security data
- G06F21/43—User authentication using separate channels for security data wireless channels
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
- H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
- H04L9/3215—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using a plurality of channels
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
- H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
- H04L9/3226—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using a predetermined code, e.g. password, passphrase or PIN
-
- G—PHYSICS
- G06—COMPUTING OR CALCULATING; COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
- G06F21/31—User authentication
- G06F21/34—User authentication involving the use of external additional devices, e.g. dongles or smart cards
- G06F21/35—User authentication involving the use of external additional devices, e.g. dongles or smart cards communicating wirelessly
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L2463/00—Additional details relating to network architectures or network communication protocols for network security covered by H04L63/00
- H04L2463/082—Additional details relating to network architectures or network communication protocols for network security covered by H04L63/00 applying multi-factor authentication
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
- H04L63/0853—Network architectures or network communication protocols for network security for authentication of entities using an additional device, e.g. smartcard, SIM or a different communication terminal
Landscapes
- Engineering & Computer Science (AREA)
- Computer Security & Cryptography (AREA)
- Computer Networks & Wireless Communication (AREA)
- Signal Processing (AREA)
- Theoretical Computer Science (AREA)
- Computer Hardware Design (AREA)
- Software Systems (AREA)
- Physics & Mathematics (AREA)
- General Engineering & Computer Science (AREA)
- General Physics & Mathematics (AREA)
- Telephonic Communication Services (AREA)
- Mobile Radio Communication Systems (AREA)
Abstract
La présente invention concerne un procédé d'authentification forte d'un utilisateur d'un équipement consommateur (2) via un équipement d'authentification (1) équipé d'un module de sécurité (12) associé à un code confidentiel, l'équipement d'authentification (1) étant connecté à un premier réseau (10) grâce audit module de sécurité (12) et l'équipement consommateur (2) étant connecté à un deuxième réseau (20) auquel le premier réseau (10) est lui-même connecté, le procédé étant caractérisé en ce qu'il comprend la mise en œuvre d'étapes de : (a) Obtention par un module de traitement de données (21) de l'équipement consommateur (2) d'un numéro d'appel contenant un identifiant d'un serveur (3) du premier réseau (10) ; (b) Composition dudit numéro d'appel sur l'équipement d'authentification (1) de sorte à établir une connexion avec ledit serveur (3) et recevoir en retour une requête de saisie du code confidentiel associé audit module de sécurité (12) ; (c) Vérification par un module de traitement de données (11) de l'équipement d'identification (1) d'un code saisi par l'utilisateur en réponse à ladite requête de saisie du code confidentiel associé audit module de sécurité (12), et envoi le cas échéant à l'équipement consommateur (2) via le premier puis le deuxième réseau (10, 20) d'un message confirmant l'authentification de l'utilisateur en vue de l'utilisation d'un service sur l'équipement consommateur (2).
Description
DOMAINE TECHNIQUE GENERAL La présente invention concerne le domaine de l'authentification forte. Plus précisément, elle concerne un procédé d'authentification forte d'un utilisateur d'un équipement consommateur via un équipement d'authentification. ETAT DE L'ART L'authentification forte, ou authentification à deux facteurs, est une procédure d'authentification qui requiert la combinaison d'au moins deux facteurs d'authentification, généralement un matériel (possession d'un équipement physique) et l'autre mémoriel (connaissance d'un secret). Dans le contexte des réseaux mobiles, on utilise généralement la carte SIM d'un terminal comme facteur matériel, ou plus généralement un module de sécurité celui-ci pouvant être matériel comme une carte SIM ou logiciel ; on utilise un code PIN associé au module comme facteur mémoriel. On connait des « parcours », c'est-à-dire des enchainements d'étapes utilisant un terminal mobile équipé d'une carte SIM comme équipement d'authentification, afin de vérifier l'identité d'un utilisateur souhaitant consommer (directement sur le terminal ou sur un équipement tiers tel qu'un PC) un service donné comme une connexion à une plateforme distante sécurisée. Dans tous les parcours qui seront décrits (connus ou conforme à l'invention), on aura toujours un équipement dit « consommateur » et un équipement dit « d'authentification ». Le premier est l'équipement sur lequel on souhaite accéder à un service, et le second est celui permettant l'authentification forte. On distinguera trois cas : Soit les équipements consommateurs et d'authentification sont distincts ; Soit les équipements consommateurs et d'authentification sont confondus en un seul appareil (typiquement un terminal mobile), mais utilisent chacun un type de connexion différent ; Soit les équipements consommateurs et d'authentification sont complètement confondus. En référence à la figure la est représenté le premier cas. On voit l'équipement d'authentification 1 connecté à un premier réseau 10 (typiquement un réseau de communication mobile d'un opérateur), et l'équipement consommateur 2 connecté à un deuxième réseau 20 (typiquement le réseau internet). Les deux réseaux 10, 20 sont interconnectés.
L'équipement d'identification 1 est par exemple un terminal mobile de type smartphone, ou tout autre équipement adapté pour une connexion au deuxième réseau. Il comprend dans tous les cas un module de traitement de données 11 (par exemple un processeur), un module de sécurité tel qu'une carte d'identification d'abonné 12 (par exemple une carte SIM/USIM), et généralement un module d'interface 13 tels qu'un clavier et/ou un écran. L'équipement 2 est quant à lui généralement un PC (mais pourquoi pas un autre terminal similaire au premier), comprenant également un module de traitement de données 21 de type processeur, un module de stockage de données 22 tel qu'une mémoire, et un module d'interface tel qu'un clavier et/ou un écran.
La carte d'identification d'abonné 12 est nécessaire pour la connexion de l'équipement d'identification 1 au premier réseau 10. En référence à la figure lb est représenté le deuxième cas. Celui-ci est similaire au premier cas, à la différence que le terminal est à la fois équipement consommateur 2 et équipement d'authentification 1, mais via deux connexions différentes. On peut voir cela comme un cas particulier dans lequel un smartphone utilisé comme un ordinateur ordinaire non identifié consommateur d'un service se choisit lui-même comme équipement d'authentification 1. Pour cela, il est à la fois connecté au premier réseau 10 (réseau mobile) par exemple en GSM, et connecté au deuxième réseau 20 (réseau Internet) par exemple via Wi-Fi. On voit une antenne Wi-Fi 3 (par exemple celle d'une borne d'accès à Internet) Ce cas est similaire au premier cas, car le terminal n'utilise pas la carte SIM 12 pour la connexion directe au deuxième réseau 20 (en d'autres termes l'utilisateur n'est pas authentifié pour les connexions au deuxième réseau 20, et pour le serveur distant voit les aspects consommateur et authentification du terminal comme deux équipement 1, 2 distincts). Le service auquel l'utilisateur souhaite accéder est typiquement un service internet, par exemple mis en oeuvre grâce à une application du terminal qui nécessite seulement une connexion Internet, et non un accès au réseau mobile 10. Ce deuxième cas n'est pas à confondre avec le troisième cas (figure 1c), dans lequel l'accès par le terminal au deuxième réseau 20 (internet) est via le premier réseau 10 (réseau mobile), typiquement un réseau UMTS (3G) ou LTE (4G). En d'autres termes, toutes les connexions sont gérées par la carte d'identification d'abonné 12 et l'utilisateur est toujours authentifié. La figure 2a représente (dans chacun des trois cas évoqués ci-avant) un premier parcours connu, utilisé par exemple pour identifier un utilisateur vis-à-vis d'une plateforme de paiement d'impôts. Dans ce premier parcours, pour les premiers et deuxième cas l'utilisateur saisit un identifiant de l'équipement d'authentification 1, typiquement son MSISDN (« Mobile Station ISDN Number » dans lequel ISDN signifie « Integrated Services Digital Network »), communément appelé le numéro de téléphone, c'est-à-dire le numéro « public » qui permet à un réseau mobile GSM, UMTS ou LTE d'identifier un usager. Alternativement, cela peut être son numéro IMSI (« International Mobile Subscriber Identity ») qui est l'identifiant « privé » de l'abonné contenu dans sa carte 12.
Cela entraîne l'émission d'un message (par exemple SMS) à travers le réseau 20 puis le réseau 10 à destination de l'équipement 1 désigné par cet identifiant. Ce message comprend un code (en général à usage unique et généré par l'équipement consommateur 2 ou un serveur associé au service auquel l'utilisateur souhaite accéder), qui sera révélé à l'utilisateur (par exemple via le module d'interface 13) Ledit code est également connu par l'équipement consommateur 2 (qui l'a généré ou reçu depuis le réseau 20). Soit le code est également affiché par l'équipement consommateur 2 (sur son module d'interface 23) et l'utilisateur peut vérifier que les deux codes sont les mêmes. Lorsque le code affiché sur l'équipement 1 est le même que celui affiché sur l'équipement 2, l'utilisateur sait qu'il s'agit de la même transaction et peut sereinement saisir son code PIN. Dans le troisième cas, il n'y a pas besoin de saisir d'identifiant de l'équipement 1 puisque la carte d'identification d'abonné 12 gère déjà la connexion au deuxième réseau 20 (et authentifie matériellement l'utilisateur), il suffit à l'utilisateur de saisir son code PIN pour obtenir le code. On constate que dans les premier et deuxième cas, le parcours comprend 4 étapes, 2 saisies et 1 secret, mais permet l'envoi de « spam » (par erreur si l'utilisateur se trompe dans la saisie de l'identifiant de l'équipement 1, ou sciemment si l'utilisateur souhaite polluer le terminal d'un tiers par la réception de messages non désirés) et l'usurpation d'identité par un pirate (si un terminal tiers recevant un spam saisit son propre code PIN sans vérifier le code affiché, et agit ainsi comme équipement d'authentification 1). Alternativement, il a été proposé un second parcours (représenté par la figure 2b) qui permette d'éviter les failles de sécurité. En plus de l'identifiant de l'équipement 1, il demande d'un mot de passe appelé « code Anti-Spam » sur l'équipement consommateur 2. Ce mot de passe est par exemple associé dans un profil à un identifiant d'équipement 1. Ainsi, si suite à une erreur de frappe par l'utilisateur un mauvais numéro est saisi, alors le couple identifiant/code anti-spam ne coïncidera pas et une erreur sera signalée à l'utilisateur. Aucun message ne sera envoyé au terminal dont l'identifiant a été saisi par erreur, ce qui préviendra le spam. Par ailleurs, un tiers cherchant à usurper l'identité d'un autre ne connaîtra pas son mot de passe d'où l'impossibilité pour lui d'agir.
La suite du parcours est identique au premier : en cas de bonne combinaison identifiant/code anti-spam, un code unique est envoyé par message sur l'équipement d'identification 1, pour comparaison avec un code affiché par l'équipement consommateur 2 (qu'il soit le même que l'équipement d'authentification 1 ou pas).
Ce parcours est ainsi plus sûr mais plus complexe puisqu'il comprend dans les premier et deuxième cas 4 étapes, 3 saisies et 2 secrets. Il serait souhaitable de disposer d'un parcours d'authentification qui présente les avantages des deux parcours connus sans leurs désavantages : il doit être aussi simple que le premier, mais aussi sûr que le deuxième PRESENTATION DE L'INVENTION La présente invention se rapporte ainsi selon un premier aspect à un procédé d'authentification forte d'un utilisateur d'un équipement consommateur via un équipement d'authentification équipé d'un module de sécurité associé à un code confidentiel, l'équipement d'authentification étant connecté à un premier réseau grâce au module de sécurité et l'équipement consommateur étant connecté à un deuxième réseau auquel le premier réseau est lui-même connecté, le procédé étant caractérisé en ce qu'il comprend la mise en oeuvre d'étapes de : (a) Obtention par un module de traitement de données de l'équipement consommateur d'un numéro d'appel contenant un identifiant d'un serveur du premier réseau; (b) Composition dudit numéro d'appel sur l'équipement d'authentification de sorte à établir une connexion entre l'équipement d'authentification et ledit serveur et recevoir en retour une requête de saisie du code confidentiel associé au module de sécurité; (c) Vérification par un module de traitement de données de l'équipement d'identification d'un code saisi par l'utilisateur en réponse à ladite requête de saisie du code confidentiel associé au module de sécurité, et envoi le cas échéant à l'équipement consommateur via le premier puis le deuxième réseau d'un message confirmant l'authentification de l'utilisateur en vue de l'utilisation d'un service sur l'équipement consommateur.
L'utilisation de modules de sécurité typiquement des cartes d'identification d'abonné (les cartes SIM) permet que les terminaux mobiles n'interviennent pas dans le procédé, ce qui élimine tout risque de virus.
L'utilisation astucieuse d'un numéro d'appel et d'un identifiant de transaction à transmettre de l'équipement consommateur à l'équipement d'authentification permet de garantir le facteur matériel de l'authentification forte de façon à la fois plus sûre et plus simple, à savoir la possession de la carte SIM (le module de sécurité).
Selon d'autres caractéristiques avantageuses et non limitatives : - le premier réseau est un réseau de communication mobile et le deuxième réseau est le réseau Internet ; - ledit numéro d'appel est conforme à la norme Unstructured Supplementary Service Data, USSD ; - ledit numéro d'appel comprend également un identifiant de transaction, identifiant de façon unique la tentative d'authentification ; - l'équipement consommateur et l'équipement d'authentification sont confondus en un équipement unique comprenant un module de traitement de données ; - ledit équipement est un terminal mobile connecté au réseau Internet soit directement par une connexion Wi-Fi, soit via le réseau mobile ; - ladite composition dudit numéro d'appel de l'étape (b) est automatiquement mise en oeuvre par le module de traitement de données de l'équipement ; - l'étape (a) comprend l'affichage du numéro d'appel sur un module d'interface de l'équipement consommateur, et l'étape (b) comprend la saisie dudit numéro d'appel par l'utilisateur sur une interface de l'équipement d'authentification. Selon un deuxième aspect, l'invention concerne un système comprenant un équipement consommateur et un équipement d'authentification équipé d'un module de sécurité associé à un code confidentiel, l'équipement d'authentification étant connecté à un premier réseau grâce audit module de sécurité et l'équipement consommateur étant connecté à un deuxième réseau auquel le premier réseau est lui-même connecté, le système étant caractérisé en ce que - L'équipement consommateur comprend un module de traitement de données configuré pour : o lorsqu'un utilisateur de l'équipement consommateur requiert une authentification forte en vue de l'utilisation d'un service, obtenir un numéro d'appel contenant un identifiant d'un serveur du premier réseau ; - L'équipement d'authentification comprend un module de traitement de données configuré pour : o Composer ledit numéro d'appel de sorte à établir une connexion avec ledit serveur et recevoir en retour une requête de saisie du code confidentiel associé audit module de sécurité ;Vérifier un code saisi par l'utilisateur en réponse à ladite requête de saisie du code confidentiel associé audit module de sécurité, et envoyer le cas échéant à l'équipement consommateur via le premier puis le deuxième réseau un message confirmant l'authentification de l'utilisateur.
Selon un troisième aspect, l'invention concerne un terminal mobile comprenant un module de traitement de données et un module de sécurité associé à un code confidentiel, étant connecté à un premier réseau grâce audit module de sécurité et à un deuxième réseau, les premier est deuxième réseau étant interconnectés, le terminal étant caractérisé en ce que le module de traitement de données est configuré pour : lorsqu'un utilisateur du terminal requiert une authentification forte en vue de l'utilisation d'un service, obtenir un numéro d'appel contenant un identifiant d'un serveur du premier réseau ; Composer ledit numéro d'appel de sorte à établir une connexion avec ledit serveur et recevoir en retour une requête de saisie du code confidentiel associé audit module de sécurité; Vérifier un code saisi par l'utilisateur en réponse à ladite requête de saisie du code confidentiel associé audit module de sécurité, et envoyer le cas échéant à au terminal via le premier puis le deuxième réseau un message confirmant l'authentification de l'utilisateur. PRESENTATION DES FIGURES D'autres caractéristiques et avantages de la présente invention apparaîtront à la lecture de la description qui va suivre d'un mode de réalisation préférentiel. Cette description sera donnée en référence aux dessins annexés dans lesquels : les figures 1 a-1c sont des schémas de trois architectures générales de réseau pour la mise en oeuvre de l'invention ; les figures 2a-2b déjà décrites représentent deux parcours connus pour la mise en oeuvre d'une authentification forte dans les trois architectures des figures 1 a-1c ; la figure 3 illustre la mise en oeuvre du procédé selon l'invention dans les trois architectures des figures la-lc.
DESCRIPTION DETAILLEE Architecture En référence à la figure 3, l'invention propose un procédé d'authentification forte d'un utilisateur d'un équipement consommateur 2 via un équipement d'authentification 1 équipé d'un module de sécurité 12 qui dans notre exemple sera une carte d'identification d'abonné (carte SIM/USIM) associée à un code confidentiel (i.e. un code PIN comme expliqué). Cette authentification est en vue de l'utilisation d'un service sur l'équipement consommateur 2 la requérant Comme également expliqué l'équipement d'authentification 1 est connecté à un premier réseau 10 (typiquement un réseau de communication mobile) grâce à ladite carte d'identification d'abonné 12, et l'équipement consommateur 2 est connecté à un deuxième réseau 20 (typiquement internet) auquel le premier réseau 10 est lui-même connecté. Le premier réseau comprend un serveur 3, typiquement un serveur de l'opérateur du premier réseau 10 si celui-ci est un réseau mobile. Le deuxième réseau 20 peut comprendre une ou plusieurs serveurs impliqué dans la mise en oeuvre desdits services dont la consommation est demandée, ces serveurs exigeant une preuve de l'identité de l'utilisateur de l'équipement 2. Soit l'équipement d'authentification 1 et l'équipement consommateur 2 sont distincts (cas de la figure la), soit ils sont confondus en un seul équipement 1, 2 (cas des figures lb et 1c), généralement un terminal mobile de type smartphone ou tablette (et de façon générale un équipement adapté pour recevoir une carte d'identification d'abonné 12 et se connecter à deux réseaux 10, 20 interconnectés). Dans ce second cas, ledit équipement « unique » 1, 2 est un terminal mobile connecté au deuxième réseau 20 soit directement (par une connexion Wi-Fi, via un point d'accès 3 : cette connexion n'utilise pas la carte d'identification d'abonné 12 et n'est pas authentifiée), soit via le premier réseau 10 (cas d'un réseau mobile fournissant un service « data » tel que qu'un réseau GPRS, UMTS ou LTE : cette connexion est techniquement déjà authentifiée puisqu'utilisant la carte d'identification d'abonné 12). Dans la suite de la présente description, on prendra l'exemple de deux équipements 1 et 2 distincts, avec chacun un module de traitement de données 11, 21 et un module d'interface 13, 23, mais l'homme du métier saura transposer aisément : si les équipements d'authentification 1 et consommateur 2 sont confondus, alors le module de traitement 11 et le module de traitement 21 sont confondus, tout comme le module d'interface 13 et le module d'interface 23.
Numéro d'appel Le procédé commence par une étape d'obtention par un module de traitement de données 21 de l'équipement consommateur 2 d'un numéro d'appel contenant un identifiant du serveur 3 du premier réseau 10. On note que le module 21 peut générer ce numéro, mais généralement c'est un serveur tiers, typiquement le serveur 3, et le module 21 se le fait transmettre sur requête lorsque l'utilisateur lance au niveau de l'équipement 2 la procédure d'authentification.
Dans le cas général ou le premier réseau 10 est un réseau mobile, ce numéro d'appel est par exemple un numéro de téléphone, en particulier conforme à la norme USSD « Unstructured Supplementary Service Data » (le serveur 3 est alors un serveur USSD). Le numéro d'appel comprend de façon préférée également un identifiant unique de la tentative d'authentification.
Dans le cas d'un numéro USSD, cela correspond au format #[chiffres1]#[chiffres2], par exemple #126#124588, où [chiffres1] est l'identifiant du serveur 3 et [chiffres2] l'identifiant unique de la tentative d'authentification. Ce dernier est un identifiant pseudoaléatoire permettant au serveur 3 de gérer un grand nombre de demandes d'authentification et d'améliorer encore la sécurité comme on le verra. C'est un identifiant de la transaction en cours. On note que l'équipement 2 peut choisir un serveur 3 parmi une pluralité en fonction du service choisi. On note également que le ou les serveurs 3 peuvent fournir l'identifiant d'un serveur, et le module 21 de l'équipement 2 générer l'identifiant unique de transaction.
Ce numéro d'appel est une information qui est transférée à l'équipement d'authentification 1 de sorte à vérifier le facteur matériel de l'authentification forte, à savoir la possession physique de la carte d'identification d'abonné 12. Dans la mesure où ce numéro n'est pas connu par l'utilisateur, cela fait un secret de moins à conserver.
Composition et authentification Dans une deuxième étape (b), ledit numéro d'appel est composé sur l'équipement d'authentification 1. Dans un premier mode de réalisation le numéro d'appel est affiché sur le module d'interface 23 de l'équipement consommateur 2 de sorte à être lu par l'utilisateur, qui va ensuite le saisir sur le module d'interface de son équipement d'authentification 1 pour que ce dernier puisse le composer. Si les équipements 1 et 2 sont confondus, dans un deuxième mode de réalisation préféré ladite composition dudit numéro d'appel est automatiquement mise en oeuvre par le module de traitement de données 11, 21 (commun), par exemple grâce aux commandes « tel » ou « callto » en HTML. La composition du numéro d'appel entraîne l'établissement d'une connexion entre l'équipement d'authentification et ledit serveur 3, qui va renvoyer en retour (toujours via le premier réseau 10) une requête de saisie du code confidentiel associé à ladite carte d'identification d'abonné 12. On note que si le numéro d'appel contient un identifiant unique, le serveur 3 peut par exemple vérifier qu'il fait partie d'une liste d'identifiant acceptables prédéterminée. Cela permet d'éviter qu'un utilisateur mal intentionné « tente » de deviner un numéro d'appel acceptable pour usurper une identité. La requête de saisie du code prend en particulier la forme d'un SMS. Les serveurs USSD adaptés pour renvoyer un SMS en réponse à un numéro d'appel USSD sont en effet bien connus, par exemple pour demander à un utilisateur de le rappeler avec le numéro #/22*06xxxxxxxx#. Ensuite, dans une dernière étape (c), le module de traitement de données 11 de l'équipement d'identification 1 vérifie un code saisi par l'utilisateur en réponse à ladite requête de saisie du code confidentiel associé à ladite carte d'identification d'abonné 12. En d'autres termes, le module 11 vérifie comme dans l'art antérieur que l'utilisateur a bien saisi son code PIN, de sorte à éviter qu'un vol de téléphone suffise à usurper une identité. Le code PIN est le « facteur mémoriel » de l'authentification forte. Si le cas échéant le code saisi est le bon (i.e. la vérification est accomplie), le module 11 envoie à l'équipement consommateur 2 via le premier puis le deuxième réseau 10, 20 un message confirmant l'authentification de l'utilisateur en vue de l'utilisation d'un service sur l'équipement consommateur 2. Apparait enfin sur le module d'interface 23 de l'équipement 2 le message confirmant à l'utilisateur qu'il est authentifié et qu'il peut utiliser le service. Plus précisément, le message est « signé » dans la mesure où son envoi a impliqué la carte SIM, et l'équipement consommateur 2 reçoit un identifiant de l'équipement d'authentification 1. L'équipement consommateur 2 peut avoir accès à une liste d'équipements d'authentification 1 autorisés, le cas échéant chacun associé à un utilisateur, ce qui permet de garantir l'identité de l'utilisateur en cours de connexion. En définitive, l'idée est que l'utilisateur de l'équipement consommateur 2 n'est plus anonyme en sortie de l'étape (c), et l'on peut vérifier que l'identité qu'il déclare est compatible avec la possession de ladite carte d'identification d'abonné 12. On note que ce message peut transiter via un serveur du réseau 20 impliqué dans le service demandé, qui lui-même peut effectuer des vérifications complémentaires. Le parcours conforme à l'invention et les mécanismes sous-jacents permettent ainsi la mise en oeuvre des deux facteurs d'authentification (l'un matériel et l'autre mémoriel) sans nécessiter l'envoi de SMS indésirables (spam), sans possibilité d'usurpation d'identité par un attaquant ne possédant pas l'équipement d'authentification 1. Il est donc à la fois plus sûr que le parcours conforme à la figure 2a et plus simple que le parcours conforme à la figure 2b.
Il comprend au maximum 4 étapes, 2 saisies et 1 secret, et même seulement 3 étapes et 1 saisie en cas de composition automatique du numéro d'appel. Systèmes Selon un deuxième et un troisième aspect, l'invention concerne les équipements d'authentification 1 et de consommation 2, soit distincts soit confondus. Dans le premier cas, l'invention propose un système comprenant (de façon distincte) un équipement consommateur 2 (typiquement un PC) et un équipement d'authentification 1 (typiquement un terminal mobile) équipé d'un module de sécurité 12 (une carte d'identification d'abonné 12, typiquement une carte SIM/USIM) associé à un code confidentiel (code PIN), l'équipement d'authentification 1 étant connecté à un premier réseau 10 (réseau mobile) grâce audit module de sécurité 12 et l'équipement consommateur 2 étant connecté à un deuxième réseau 20 (réseau internet) auquel le premier réseau 10 est lui-même connecté. L'équipement consommateur 2 comprend un module de traitement de données 21 configuré pour, lorsqu'un utilisateur de l'équipement consommateur 2 requiert une authentification forte en vue de l'utilisation d'un service, générer un numéro d'appel (typiquement USSD) contenant un identifiant d'un serveur 3 du premier réseau 10 (et éventuellement un identifiant unique de la tentative d'authentification). L'équipement d'authentification 1 comprend un module de traitement de données 11 configuré pour : o Composer ledit numéro d'appel de sorte à établir une connexion avec ledit serveur 3 et recevoir en retour une requête de saisie du code confidentiel associé au module de sécurité 12 ; o Vérifier un code saisi par l'utilisateur en réponse à ladite requête de saisie du code confidentiel associé au module de sécurité 12, et envoyer le cas échéant à l'équipement consommateur 2 via le premier puis le deuxième réseau 10, 20 un message confirmant l'authentification de l'utilisateur. Chacun comprend éventuellement un module d'interface 13, 23 propre. Dans le deuxième cas, l'invention propose un terminal mobile 1, 2 comprenant un module de traitement de données 11, 21 et un module de sécurité 12 associé à un code confidentiel (et le cas échéant un module commun d'interface 13, 23), étant connecté à un premier réseau 10 grâce à au module de sécurité 12 et à un deuxième réseau 20, les premier est deuxième réseau 10, 20 étant interconnectés, Le module de traitement de données 11, 21 est configuré pour : lorsqu'un utilisateur du terminal 1, 2 requiert une authentification forte en vue de l'utilisation d'un service, obtenir un numéro d'appel contenant un identifiant d'un serveur 3 du premier réseau 10 ; Composer ledit numéro d'appel de sorte à établir une connexion avec ledit serveur 3 et recevoir en retour une requête de saisie du code confidentiel associé audit module de sécurité 12 ; Vérifier un code saisi par l'utilisateur en réponse à ladite requête de saisie du code confidentiel associé à ladite carte d'identification d'abonné 12, et envoyer le cas échéant à au terminal 1, 2 via le premier puis le deuxième réseau 10, 20 un message confirmant l'authentification de l'utilisateur. Enfin, le terme module peut correspondre aussi bien à un composant logiciel qu'à un composant matériel ou un ensemble de composants matériels et logiciels, un composant logiciel correspondant lui-même à un ou plusieurs programmes ou sous-programmes d'ordinateur ou de manière plus générale à tout élément d'un programme apte à mettre en oeuvre une fonction ou un ensemble de fonctions telles que décrites pour les modules concernés. De la même manière, un composant matériel correspond à tout élément d'un ensemble matériel (ou hardware) apte à mettre en oeuvre une fonction ou un ensemble de fonctions pour le module concerné (circuit intégré, carte à puce, carte à mémoire, etc.).
Claims (8)
- REVENDICATIONS1. Procédé d'authentification forte d'un utilisateur d'un équipement consommateur (2) via un équipement d'authentification (1) équipé d'un module de sécurité (12) associé à un code confidentiel, l'équipement d'authentification (1) étant connecté à un premier réseau (10) grâce audit module de sécurité (12) et l'équipement consommateur (2) étant connecté à un deuxième réseau (20) auquel le premier réseau (10) est lui-même connecté, le procédé étant caractérisé en ce qu'il comprend la mise en oeuvre d'étapes de : (a) Obtention par un module de traitement de données (21) de l'équipement consommateur (2) d'un numéro d'appel contenant un identifiant d'un serveur (3) du premier réseau (10) ; (b) Composition dudit numéro d'appel sur l'équipement d'authentification (1) de sorte à établir une connexion avec ledit serveur (3) et recevoir en retour une requête de saisie du code confidentiel associé audit module de sécurité (12) ; (c) Vérification par un module de traitement de données (11) de l'équipement d'identification (1) d'un code saisi par l'utilisateur en réponse à ladite requête de saisie du code confidentiel associé audit module de sécurité (12), et envoi le cas échéant à l'équipement consommateur (2) via le premier puis le deuxième réseau (10, 20) d'un message confirmant l'authentification de l'utilisateur en vue de l'utilisation d'un service sur l'équipement consommateur (2).
- 2. Procédé selon la revendication 1, dans lequel ledit numéro d'appel comprend également un identifiant unique de la tentative d'authentification.
- 3. Procédé selon l'une des revendications 1 et 2, dans laquelle l'équipement consommateur (2) et l'équipement d'authentification (1) sont confondus en un équipement unique (1, 2) comprenant un module de traitement de données (11, 21).
- 4. Procédé selon la revendication 3, dans lequel le premier réseau (10) est un réseau de communication mobile et le deuxième réseau (20) est le réseau Internet, ledit équipement (1, 2) étant un terminal mobile connecté au réseau Internet (20) soit directement par une connexion Wi-Fi, soit via le réseau mobile (10).
- 5. Procédé selon l'une des revendications 3 et 4 dans lequel ladite composition dudit numéro d'appel de l'étape (b) est automatiquement mise en oeuvre par le module de traitement de données (11, 21) de l'équipement (1, 2).
- 6. Procédé selon l'une des revendications 1 à 4, dans lequel l'étape (a) comprend l'affichage du numéro d'appel sur un module d'interface (23) de l'équipement consommateur (2), et l'étape (b) comprend la saisie dudit numéro d'appel par l'utilisateur sur une interface (13) de l'équipement d'authentification (1).
- 7. Système comprenant un équipement consommateur (2) et un équipement d'authentification (1) équipé d'un module de sécurité (12) associé à un code confidentiel, l'équipement d'authentification (1) étant connecté à un premier réseau (10) grâce audit module de sécurité (12) et l'équipement consommateur (2) étant connecté à un deuxième réseau (20) auquel le premier réseau (10) est lui-même connecté, le système étant caractérisé en ce que L'équipement consommateur (2) comprend un module de traitement de données (21) configuré pour : o lorsqu'un utilisateur de l'équipement consommateur (2) requiert une authentification forte en vue de l'utilisation d'un service, obtenir un numéro d'appel contenant un identifiant d'un serveur (3) du premier réseau (10) ; L'équipement d'authentification (1) comprend un module de traitement de données (11) configuré pour : o Composer ledit numéro d'appel de sorte à établir une connexion avec ledit serveur (3) et recevoir en retour une requête de saisie du code confidentiel associé audit module de sécurité (12) ; o Vérifier un code saisi par l'utilisateur en réponse à ladite requête de saisie du code confidentiel associé audit module de sécurité(12), et envoyer le cas échéant à l'équipement consommateur (2) via le premier puis le deuxième réseau (10, 20) un message confirmant l'authentification de l'utilisateur.
- 8. Terminal mobile (1, 2) comprenant un module de traitement de données (11, 21) et un module de sécurité (12) associé à un code confidentiel, étant connecté à un premier réseau (10) grâce audit module de sécurité (12) et à un deuxième réseau (20), les premier et deuxième réseau (10, 20) étant interconnectés, le terminal (1, 2) étant caractérisé en ce que le module de traitement de données (11, 21) est configuré pour : lorsqu'un utilisateur du terminal (1, 2) requiert une authentification forte en vue de l'utilisation d'un service, obtenir un numéro d'appel contenant un identifiant d'un serveur (3) du premier réseau (10) ;Composer ledit numéro d'appel de sorte à établir une connexion avec ledit serveur (3) et recevoir en retour une requête de saisie du code confidentiel associé audit module de sécurité (12) ; Vérifier un code saisi par l'utilisateur en réponse à ladite requête de saisie du code confidentiel associé audit module de sécurité (12), et envoyer le cas échéant au terminal (1, 2) via le premier puis le deuxième réseau (10, 20) un message confirmant l'authentification de l'utilisateur.10
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| FR1552972A FR3028334A1 (fr) | 2015-04-07 | 2015-04-07 | Procede d'authentification forte d'un utilisateur d'un equipement consommateur via un equipement d'authentification equipe d'un module de securite |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| FR1552972A FR3028334A1 (fr) | 2015-04-07 | 2015-04-07 | Procede d'authentification forte d'un utilisateur d'un equipement consommateur via un equipement d'authentification equipe d'un module de securite |
Publications (1)
| Publication Number | Publication Date |
|---|---|
| FR3028334A1 true FR3028334A1 (fr) | 2016-05-13 |
Family
ID=54140545
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| FR1552972A Pending FR3028334A1 (fr) | 2015-04-07 | 2015-04-07 | Procede d'authentification forte d'un utilisateur d'un equipement consommateur via un equipement d'authentification equipe d'un module de securite |
Country Status (1)
| Country | Link |
|---|---|
| FR (1) | FR3028334A1 (fr) |
Cited By (1)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN109729057A (zh) * | 2017-10-31 | 2019-05-07 | 中国电信股份有限公司 | 验证码发送方法、系统和相关设备 |
Citations (2)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| WO2002019593A2 (fr) * | 2000-08-30 | 2002-03-07 | Telefonaktiebolaget Lm Ericsson (Publ) | Authentification d'un utilisateur final basee sur la boite a outils d'application du module d'identification d'abonne (sat), independante du fournisseur de services |
| FR2940580A1 (fr) * | 2008-12-23 | 2010-06-25 | Solleu Yann Le | Procede et systeme de controle d'acces a un service |
-
2015
- 2015-04-07 FR FR1552972A patent/FR3028334A1/fr active Pending
Patent Citations (2)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| WO2002019593A2 (fr) * | 2000-08-30 | 2002-03-07 | Telefonaktiebolaget Lm Ericsson (Publ) | Authentification d'un utilisateur final basee sur la boite a outils d'application du module d'identification d'abonne (sat), independante du fournisseur de services |
| FR2940580A1 (fr) * | 2008-12-23 | 2010-06-25 | Solleu Yann Le | Procede et systeme de controle d'acces a un service |
Cited By (1)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN109729057A (zh) * | 2017-10-31 | 2019-05-07 | 中国电信股份有限公司 | 验证码发送方法、系统和相关设备 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| EP3008872B1 (fr) | Procédé d'authentification d'un terminal par une passerelle d'un réseau interne protégé par une entité de sécurisation des accès | |
| EP2619941B1 (fr) | Procede, serveur et systeme d'authentification d'une personne | |
| FR2825869A1 (fr) | Procede d'authentification entre un objet de telecommunication portable et une borne d'acces public | |
| EP2871876B1 (fr) | Technique de configuration d'accès sécurisé d'un terminal invité à un réseau hôte | |
| CA2962163A1 (fr) | Recuperation de mot de passe securisee a distance | |
| WO2012131268A1 (fr) | Authentification forte par presentation du numero | |
| EP1059824B1 (fr) | Procédé d'autorisation d'accès à un réseau cellulaire de radiocommunications à partir d'un téléphone mobile, système de radiocommunications et téléphone simplifié associés | |
| EP2725758A1 (fr) | Procédé d'authentification mutuelle entre un terminal et un serveur distant par l'intermédiaire d'un portail d'un tiers | |
| EP3308564B1 (fr) | Procédé de chargement d'une clé virtuelle et terminal utilisateur associé | |
| WO2017207894A1 (fr) | Procédé pour renseigner des informations personnelles d'un utilisateur demandées par un service en ligne donné | |
| WO2005069658A1 (fr) | Procede de securisation de l’identifiant d’un telephone portable, et telephone portable correspondant | |
| EP3427177B1 (fr) | Procede de verification de l'integrite d'un dispositif electronique, et dispositif electronique correspondant | |
| EP1849320A1 (fr) | Procede et dispositif d'acces a une carte sim logee dans un terminal mobile par l'intermediaire d'une passerelle domestique | |
| EP2348763B1 (fr) | Procédé d'authentification d'un terminal mobile pour accéder à un serveur d'applications | |
| EP2056565A1 (fr) | Procédé d'authentification d'un utilisateur accédant à un serveur distant à partir d'un ordinateur | |
| FR3028334A1 (fr) | Procede d'authentification forte d'un utilisateur d'un equipement consommateur via un equipement d'authentification equipe d'un module de securite | |
| EP3526960B1 (fr) | Procédé de vérification de la validité d'une ligne téléphonique d'un utilisateur d'un service ou d'une application logicielle | |
| EP2632194A1 (fr) | Procédé de personnalisation d'un élément de sécurité coopérant avec un équipement | |
| CN114629672B (zh) | 基于令牌验证提高语音通话的安全性的方法、系统、以及存储介质 | |
| EP3685599B1 (fr) | Procede de verification de la validite d'une ligne telephonique d'un utilisateur | |
| EP2079214A1 (fr) | Procédé et système de communication et terminal et serveur de confiance | |
| EP4578143A1 (fr) | Procédé d'enrôlement d'un dispositif auprès d'un serveur | |
| FR3067143A1 (fr) | Securisation d'une base de donnees d'authentification par un reseau | |
| FR2988889A1 (fr) | Procede de realisation d'une transaction | |
| FR2900019A1 (fr) | Procede d'authentification, terminal et operateur associes |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| PLSC | Publication of the preliminary search report |
Effective date: 20160513 |