Communication Dans Un Congrès Année : 2017

Authentication protocol using a one-time password

A propos d'un schéma d'authentification OTP

Résumé

Authenticating users of an information system rests on the communication of two pieces of information (username and password). It is a very prevalent process. It does, however, have several weaknesses that can be very harmful to users of these systems. The first weakness is the need for a high level of trust in the service to which users send their sensitive information. More precisely, this relationship implies not only trust in the intentions of said service but also in its capacity to protect the user's identification data. The second weakness is its sensitivity to spoofing the service: when attackers are able to impersonate the expected service (phishing campaign, honeypots, etc.), they can very easily obtain the user's identification data. These weaknesses are all the more disturbing as studies have shown that most users of online services use the same password for most of the services to which they connect. Thus, obtaining a password for one particular service often gives access to virtually all the online services that users need a username and password to access. We propose here an identification protocol to solve these problems while maintaining the username/password system that is well-known to users. In addition, we illustrate its use for three different applications: connecting to an online service, starting a session on a workstation, and physical access control to premises.

L’authentification des utilisateurs d’un système d’information reposant sur la communication d’un couple (Identifiant, mot de passe) est un processus très répandu. Il présente cependant plusieurs faiblesses qui peuvent s’avérer très dommageables aux utilisateurs de ces systèmes. La première faiblesse est la nécessité d’une confiance forte de l’utilisateur envers le service auquel il communique ses informations sensibles. Plus précisément, cette relation suppose une confiance dans les intentions dudit service mais aussi dans sa capacité à protéger les données d’identification de l’utilisateur. La seconde faiblesse est sa sensibilité à l’usurpation du service : lorsqu’un attaquant est en mesure de se faire passer pour le service attendu (campagne de phishing, honeypots, …) il obtient très facilement les données d’identification de l’utilisateur. Ces faiblesses sont d’autant plus gênantes que des études ont montré que les utilisateurs de services en ligne sont une majorité à utiliser le même mot de passe pour la plupart des services auxquels ils se connectent. Ainsi, l’obtention d’un mot de passe pour un service particulier donne bien souvent accès à la quasi-totalité des services en ligne pour lesquels les utilisateurs disposent d’une authentification. Nous proposons ici un protocole d'identification permettant de résoudre ces problèmes tout en conservant le système identifiant/mot de passe bien connu des utilisateurs et illustrons son usage pour trois applications différentes : la connexion à un service en ligne, l'ouverture d'une session sur un poste informatique et un contrôle d'accès physique à un local.

Mots clés

Domaines

Fichier principal
Vignette du fichier
author_paper162_article_rev2483_20171106_113145.pdf (3.01 Mo) Télécharger le fichier
jres2017_article_162_1080p.mp4 (4.95 Go) Télécharger le fichier
presentation_paper162_slides_rev2819_20171114_104754.pdf (11.41 Mo) Télécharger le fichier

Dates et versions

hal-04806395 , version 1 (27-11-2024)

Licence

Identifiants

  • HAL Id : hal-04806395 , version 1

Citer

Gilles Dequen, Gaël Le Mahec, Monika Trimoska. A propos d'un schéma d'authentification OTP. JRES (Journées réseaux de l'enseignement et de la recherche ) 2017, Renater, Nov 2017, Nantes, France. ⟨hal-04806395⟩
212 Consultations
80 Téléchargements

Partager

  • More