FR3015821A1 - SECURE MEANS OF AUTHENTICATION - Google Patents
SECURE MEANS OF AUTHENTICATION Download PDFInfo
- Publication number
- FR3015821A1 FR3015821A1 FR1363512A FR1363512A FR3015821A1 FR 3015821 A1 FR3015821 A1 FR 3015821A1 FR 1363512 A FR1363512 A FR 1363512A FR 1363512 A FR1363512 A FR 1363512A FR 3015821 A1 FR3015821 A1 FR 3015821A1
- Authority
- FR
- France
- Prior art keywords
- user
- authentication
- application system
- identification
- information
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Withdrawn
Links
- 238000004891 communication Methods 0.000 claims abstract description 67
- 238000012790 confirmation Methods 0.000 claims abstract description 20
- 238000000034 method Methods 0.000 claims description 27
- 238000012545 processing Methods 0.000 claims description 13
- 230000005540 biological transmission Effects 0.000 claims description 11
- 238000004590 computer program Methods 0.000 claims description 4
- 238000012546 transfer Methods 0.000 description 9
- 238000007726 management method Methods 0.000 description 5
- 238000010586 diagram Methods 0.000 description 4
- 230000004044 response Effects 0.000 description 4
- 238000012795 verification Methods 0.000 description 4
- 238000010295 mobile communication Methods 0.000 description 3
- 238000013475 authorization Methods 0.000 description 2
- 230000000295 complement effect Effects 0.000 description 2
- 230000004048 modification Effects 0.000 description 2
- 230000003287 optical effect Effects 0.000 description 2
- 230000001419 dependent effect Effects 0.000 description 1
- 230000006870 function Effects 0.000 description 1
- 230000007246 mechanism Effects 0.000 description 1
- 238000004377 microelectronic Methods 0.000 description 1
Classifications
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
- H04L63/0853—Network architectures or network communication protocols for network security for authentication of entities using an additional device, e.g. smartcard, SIM or a different communication terminal
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
- G06F21/31—User authentication
- G06F21/42—User authentication using separate channels for security data
- G06F21/43—User authentication using separate channels for security data wireless channels
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
- H04L63/083—Network architectures or network communication protocols for network security for authentication of entities using passwords
- H04L63/0838—Network architectures or network communication protocols for network security for authentication of entities using passwords using one-time-passwords
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/18—Network architectures or network communication protocols for network security using different networks or channels, e.g. using out of band channels
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04W—WIRELESS COMMUNICATION NETWORKS
- H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
- H04W12/06—Authentication
- H04W12/068—Authentication using credential vaults, e.g. password manager applications or one time password [OTP] applications
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04W—WIRELESS COMMUNICATION NETWORKS
- H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
- H04W12/06—Authentication
- H04W12/069—Authentication using certificates or pre-shared keys
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L2463/00—Additional details relating to network architectures or network communication protocols for network security covered by H04L63/00
- H04L2463/082—Additional details relating to network architectures or network communication protocols for network security covered by H04L63/00 applying multi-factor authentication
Landscapes
- Engineering & Computer Science (AREA)
- Computer Security & Cryptography (AREA)
- Computer Networks & Wireless Communication (AREA)
- Signal Processing (AREA)
- Computer Hardware Design (AREA)
- General Engineering & Computer Science (AREA)
- Computing Systems (AREA)
- Theoretical Computer Science (AREA)
- Software Systems (AREA)
- Physics & Mathematics (AREA)
- General Physics & Mathematics (AREA)
- Mobile Radio Communication Systems (AREA)
Abstract
L'invention se rapporte à des moyens pour authentifier un utilisateur souhaitant accéder à un service fourni par un système applicatif, en : • recevant, par un premier canal, un premier moyen d'identification et en vérifiant sa validité; • transmettant à l'utilisateur un deuxième moyen d'identification, par un deuxième canal de communication; • recevant un message de confirmation, émis par l'utilisateur, comportant le deuxième moyen d'identification. Elle concerne plus particulièrement une infrastructure dans laquelle les moyens d'authentification sont distincts des moyens pour fournir ledit service.The invention relates to means for authenticating a user wishing to access a service provided by an application system, by: • receiving, by a first channel, a first means of identification and verifying its validity; Transmitting to the user a second means of identification, by a second communication channel; Receiving a confirmation message, issued by the user, comprising the second means of identification. It relates more particularly to an infrastructure in which the authentication means are distinct from the means for providing said service.
Description
0 15 82 1 1 La présente invention se rapporte à des moyens sécurisés pour permettre l'authentification d'un utilisateur souhaitant accéder à un service. Elle concerne plus particulièrement une infrastructure sécurisée dans laquelle la gestion de l'authentification des utilisateurs est réalisée par des moyens distincts de ceux mis en oeuvre pour fournir ledit service. L'accès à certains services peut nécessiter l'authentification de l'utilisateur. Par exemple, il peut être souhaitable de procéder à une telle vérification pour s'assurer de la légitimité de l'utilisateur à accéder à un service, ou encore pour limiter l'accès à un service aux seules personnes ayant souscrit à un abonnement. La solution d'authentification doit non seulement présenter un niveau de sécurité suffisant pour limiter le risque de fraude, mais encore être simple et efficace de manière à ce que les utilisateurs ne soient pas dissuadés d'utiliser le service. Il est courant que le fournisseur du service souhaite dédier des moyens à la gestion de l'authentification, distincts de ceux mis en oeuvre pour fournir le service, et localisés à distance voire sur plusieurs sites. Ces moyens spécialisés peuvent en outre être gérés par une société tierce, et/ou partagés entre plusieurs fournisseurs de service. Il est connu, par exemple du document de brevet US 2007/0174904, d'utiliser un serveur d'authentification utilisant un seul facteur d'identification pour garantir l'accès à un service fourni par des moyens applicatifs distincts. Cependant, le niveau de sécurité offert par de tels systèmes est limité par l'utilisation d'un seul facteur d'identification, qui doit alors garantir à lui seul l'identité de l'utilisateur.The present invention relates to secure means for enabling the authentication of a user wishing to access a service. It relates more particularly to a secure infrastructure in which the management of user authentication is performed by means other than those used to provide said service. Access to some services may require user authentication. For example, it may be desirable to conduct such a check to ensure the legitimacy of the user to access a service, or to limit access to a service to only those who have subscribed to a subscription. The authentication solution must not only have a sufficient level of security to limit the risk of fraud, but also be simple and effective so that users are not dissuaded from using the service. It is common that the service provider wants to dedicate resources to the management of authentication, separate from those used to provide the service, and located remotely or even on several sites. These specialized means can also be managed by a third party company and / or shared between several service providers. It is known, for example from US patent document 2007/0174904, to use an authentication server using a single identification factor to guarantee access to a service provided by different application means. However, the level of security offered by such systems is limited by the use of a single identification factor, which must in turn guarantee the identity of the user.
On connaît encore des moyens d'authentification utilisant plusieurs facteurs d'identification pour authentifier l'utilisateur, par exemple du document de brevet WO 2009/112 693. Dans de tels systèmes, le premier facteur d'identification est typiquement la transmission d'un code secret connu de l'utilisateur, le deuxième facteur d'identification étant la transmission d'un code d'authentification généré par une application cryptographique installée sur un terminal de communication mobile de l'utilisateur, la validité dudit code d'authentification pouvant être vérifiée par le serveur d'authentification. De manière générale, ce type de moyen d'authentification nécessite l'emploi d'une infrastructure complexe nécessitant un paramétrage spécifique du terminal de communication mobile de l'utilisateur. De plus, il est généralement nécessaire d'installer des applications spécifiques sur le terminal de communication mobile de l'utilisateur, ce qui augmente sensiblement la complexité et la difficulté de déploiement de tels moyens. C'est pourquoi il existe encore un besoin pour des moyens efficaces permettant de déléguer de manière sécurisée l'authentification d'utilisateurs souhaitant accéder à un service fourni par des moyens applicatifs distincts, et ne nécessitant pas de modifications matérielles ou logicielles substantielles des terminaux employés par l'utilisateur pour s'authentifier. Un des objets de l'invention est de fournir des moyens sécurisés d'authentification permettant à des utilisateurs d'accéder à un service d'un fournisseur. Un autre objet de l'invention est de proposer une infrastructure efficace permettant au fournisseur du service de déléguer de manière sécurisée l'authentification d'utilisateurs souhaitant accéder à ce service. Un autre objet de l'invention est de proposer des moyens et des méthodes offrant un haut degré de confiance quant à la fiabilité et la sécurité de l'authentification des utilisateurs. Un autre objet de l'invention est de proposer une solution d'authentification simple à déployer et mettre en oeuvre auprès des utilisateurs et du fournisseur du service, en particulier une solution pouvant être utilisée sur des terminaux standards, à disposition d'un grand nombre d'utilisateurs, et ne nécessitant pas de modifications matérielles ou logicielles substantielles de ces terminaux. Un ou plusieurs de ces objets sont remplis par la méthode, le dispositif et le système selon les revendications indépendantes. Les revendications dépendantes fournissent en outre des solutions à ces objets et/ou d'autres avantages. Plus particulièrement, selon un premier aspect, l'invention se rapporte à un procédé d'authentification, mis en oeuvre par un dispositif d'authentification, d'un utilisateur ayant requis l'accès à un service fourni par un système applicatif. Le dispositif d'authentification comporte par exemple des moyens de gestion de l'authentification, typiquement distincts de ceux mis en oeuvre pour fournir le service, et localisés à distance voire sur plusieurs sites. Ces moyens spécialisés peuvent en outre être gérés par une société tierce, et/ou partagés entre plusieurs fournisseurs de service. Les moyens de gestion de l'authentification comportent par exemple des serveurs pour recevoir et traiter des requêtes d'authentification, des bases de données pour stocker des informations et moyens d'identification relatifs à des utilisateurs, des moyens d'interconnexion réseau, ainsi que des interfaces de communication pour permettre la communication avec des utilisateurs et le système applicatif du fournisseur. À titre d'exemple, la requête d'accès au service peut être émise par un premier terminal à disposition de l'utilisateur, par exemple un ordinateur muni d'un navigateur Web ou d'une application permettant l'accès au service. Le service est fourni par le système applicatif du fournisseur, par exemple un serveur Web délivrant des informations, des flux de données ou proposant un service particulier. Il s'agit habituellement d'équipement standard, largement répandu, et sans configuration ni paramétrage spécifique. Typiquement, l'accès au service requiert que l'utilisateur ait le droit de l'utiliser, par exemple, que ce dernier soit un utilisateur enregistré et disposant des droits d'accès nécessaires, et/ou que cet utilisateur se soit acquitté du paiement nécessaire pour cet accès. Le procédé est adapté à l'authentification de l'utilisateur demandant un accès auprès du système applicatif, par exemple un site Web, une application en ligne, ou un serveur d'accès distant. L'utilisateur dispose d'un dispositif de communication apte à recevoir et transmettre des informations par l'intermédiaire d'un deuxième canal de communication. Par exemple, le dispositif de communication peut-être un terminal de communication, comme une tablette ou un téléphone mobile ayant accès à un réseau de communication de données de type GSM/GPRS/UMTS, et apte à transmettre et recevoir des messages de données de type SMS ou SMS+. Dans cet exemple, le dispositif de communication est donc un dispositif standard, et ne comprend pas nécessairement de logiciels spécifiques ou dédiés.Authentication means using several identification factors are still known to authenticate the user, for example from patent document WO 2009/112 693. In such systems, the first identification factor is typically the transmission of a user. secret code known to the user, the second identification factor being the transmission of an authentication code generated by a cryptographic application installed on a mobile communication terminal of the user, the validity of said authentication code can be verified by the authentication server. In general, this type of authentication means requires the use of a complex infrastructure requiring a specific setting of the mobile communication terminal of the user. In addition, it is generally necessary to install specific applications on the mobile communication terminal of the user, which significantly increases the complexity and difficulty of deployment of such means. This is why there is still a need for efficient means for securely delegating the authentication of users wishing to access a service provided by different application means, and not requiring substantial hardware or software modifications of the terminals used. by the user to authenticate. One of the objects of the invention is to provide secure means of authentication allowing users to access a service of a provider. Another object of the invention is to provide an efficient infrastructure enabling the service provider to securely delegate the authentication of users wishing to access this service. Another object of the invention is to propose means and methods offering a high degree of confidence as to the reliability and security of user authentication. Another object of the invention is to propose an authentication solution that is simple to deploy and implement with the users and the service provider, in particular a solution that can be used on standard terminals, available to a large number of users. users, and does not require substantial hardware or software changes to these terminals. One or more of these objects are filled by the method, device and system according to the independent claims. The dependent claims further provide solutions to these objects and / or other advantages. More particularly, according to a first aspect, the invention relates to an authentication method, implemented by an authentication device, of a user having requested access to a service provided by an application system. The authentication device comprises, for example authentication management means, typically separate from those used to provide the service, and located remotely or on multiple sites. These specialized means can also be managed by a third party company and / or shared between several service providers. The authentication management means comprise, for example, servers for receiving and processing authentication requests, databases for storing information and means of identification relating to users, network interconnection means, as well as communication interfaces to allow communication with users and the application system of the provider. For example, the service access request may be issued by a first terminal available to the user, for example a computer with a web browser or an application allowing access to the service. The service is provided by the provider's application system, for example a web server delivering information, data streams or offering a particular service. It is usually standard equipment, widespread, and without configuration or specific setting. Typically, access to the service requires that the user has the right to use it, for example, that the latter is a registered user and having the necessary access rights, and / or that the user has paid the payment necessary for this access. The method is adapted to the authentication of the user requesting access to the application system, for example a website, an online application, or a remote access server. The user has a communication device capable of receiving and transmitting information via a second communication channel. For example, the communication device may be a communication terminal, such as a tablet or mobile phone having access to a GSM / GPRS / UMTS type data communication network, and capable of transmitting and receiving data messages of type SMS or SMS +. In this example, the communication device is therefore a standard device, and does not necessarily include specific or dedicated software.
Le procédé selon le premier aspect comporte les étapes suivantes: - réception, par un premier canal de communication, d'un premier moyen d'identification relatif à l'utilisateur ; - vérification de la validité du premier moyen d'identification ; - transmission d'un deuxième moyen d'identification, par le deuxième canal de communication, au dispositif de communication ; - réception d'un message de confirmation émis par le dispositif de communication; - envoi au système applicatif, de l'information du succès de l'authentification de l'utilisateur, si le message de confirmation comporte le deuxième moyen d'identification. Ainsi il est possible d'authentifier l'utilisateur en utilisant un dispositif de communication standard, par exemple un téléphone mobile, sans configuration spécifique. Aucun élément cryptographique n'est généré par le dispositif de communication, aucune configuration spécifique du dispositif de communication n'est requise. En particulier, le procédé ne nécessite pas la mise en oeuvre sur le dispositif de communication d'un algorithme de signature ni de cryptographie, ni symétrique ni asymétrique, pour transmettre par le deuxième canal le deuxième moyen d'identification. Le dispositif de communication peut disposer de peu de ressources, et il n'est pas nécessaire qu'il soit pourvu d'une interface graphique sophistiquée, d'un navigateur Web ou de moyens de calcul importants. De plus, le niveau de sécurité obtenu s'avère particulièrement élevé puisque deux moyens d'identification distincts sont employés et que leur transmission a lieu sur deux canaux de communication distincts. Le premier moyen d'identification est par exemple un élément secret comme un mot de passe, associé à l'utilisateur. Dans cet exemple, après avoir reçu le mot de passe de l'utilisateur, le dispositif d'authentification vérifie si l'élément secret reçu par le premier canal correspond à l'élément secret de l'utilisateur connu du dispositif d'authentification. Dans le cas contraire, l'authentification de l'utilisateur échoue. La connaissance de cet élément secret peut être acquise, par le dispositif d'authentification, lors d'une étape préalable d'enregistrement dudit utilisateur auprès du dispositif d'authentification. Au cours de cette étape optionnelle d'enregistrement, l'utilisateur fournit par exemple, outre l'élément secret, une ou plusieurs informations parmi les informations suivantes : un nom d'utilisateur, un identifiant unique parmi la liste des identifiants utilisés par les autres utilisateurs du dispositif d'authentification, un premier numéro de téléphone ou une première adresse pour permettre l'identification et la transmission de données par l'intermédiaire du deuxième canal de communication au dispositif de communication de l'utilisateur, un deuxième numéro de téléphone ou une deuxième adresse pour permettre l'identification et la transmission de données à un deuxième dispositif de communication. Le premier moyen d'identification peut notamment aussi comporter un ou plusieurs éléments, associé à l'utilisateur, parmi la liste suivante : un certificat, en particulier un certificat conforme à la norme de cryptographie X.509 de l'Union internationale des télécommunications, un mot de passe à usage unique complémentaire généré par des moyens matériels et/ou logiciel, un mot de passe, des moyens d'identifications biométriques, etc. Alternativement, la connaissance de l'élément secret de l'utilisateur par le dispositif d'authentification peut être obtenue d'un autre système, par exemple du système applicatif ou d'un annuaire, de préférence en authentifiant d'une part le système fournissant l'information et d'autre part en sécurisant le transfert de l'élément secret. Le premier canal de communication est par exemple un canal de communication établi dans un réseau de données, typiquement Internet et plus généralement un réseau de type Ethernet, permettant le transfert de données entre terminaux compatibles, plus particulièrement entre d'une part le dispositif d'authentification et d'autre part l'ordinateur de l'utilisateur et/ou le serveur applicatif. La validité du premier moyen d'identification peut être vérifiée dès sa réception, avant la transmission du deuxième moyen d'identification. Par exemple, lorsque le premier moyen d'identification est un élément secret associé à l'identifiant de l'utilisateur, la vérification peut être réalisée en s'assurant que l'élément secret reçu correspond à l'élément secret stocké ou accessible par le dispositif d'authentification, correspondant à l'utilisateur. Dans le cas contraire, l'authentification de l'utilisateur échoue. Le deuxième canal de communication est par exemple un canal de communication établi dans un réseau de téléphonie mobile, typiquement un réseau GSM, permettant le transfert de données entre d'une part le dispositif d'authentification et d'autre part le dispositif de communication de l'utilisateur. Dans un mode de réalisation, le deuxième canal de communication est un canal de communication adapté pour acheminer des messages, par exemple des messages textuels de type SMS ou SMS+ à tarification spéciale.The method according to the first aspect comprises the following steps: reception, by a first communication channel, of a first identification means relating to the user; - verification of the validity of the first means of identification; transmitting a second means of identification, via the second communication channel, to the communication device; receiving a confirmation message sent by the communication device; sending to the application system information on the success of the authentication of the user, if the confirmation message includes the second means of identification. Thus it is possible to authenticate the user using a standard communication device, for example a mobile phone, without specific configuration. No cryptographic element is generated by the communication device, no specific configuration of the communication device is required. In particular, the method does not require the implementation on the communication device of a signature algorithm or cryptography, neither symmetrical nor asymmetrical, to transmit the second channel of the second identification means. The communication device may have few resources, and it does not need to be provided with a sophisticated graphical interface, a web browser or significant computing means. In addition, the level of security obtained is particularly high since two distinct means of identification are used and their transmission takes place on two separate communication channels. The first means of identification is for example a secret element as a password associated with the user. In this example, after receiving the password of the user, the authentication device verifies whether the secret element received by the first channel corresponds to the secret element of the known user of the authentication device. Otherwise, the user authentication fails. Knowledge of this secret element can be acquired by the authentication device during a preliminary step of registering said user with the authentication device. During this optional registration step, the user provides, for example, in addition to the secret element, one or more information among the following information: a user name, a unique identifier from the list of identifiers used by the others users of the authentication device, a first telephone number or a first address for enabling the identification and transmission of data via the second communication channel to the user's communication device, a second telephone number or a second address for enabling the identification and transmission of data to a second communication device. The first means of identification may also include one or more elements, associated with the user, from the following list: a certificate, in particular a certificate conforming to the X.509 cryptography standard of the International Telecommunication Union, a complementary one-time password generated by hardware and / or software means, a password, biometric identification means, etc. Alternatively, the knowledge of the secret element of the user by the authentication device can be obtained from another system, for example the application system or a directory, preferably by authenticating on the one hand the system providing information and on the other hand by securing the transfer of the secret element. The first communication channel is for example a communication channel established in a data network, typically the Internet and, more generally, an Ethernet-type network, enabling the transfer of data between compatible terminals, more particularly between on the one hand the device authentication and on the other hand the user's computer and / or the application server. The validity of the first identification means can be verified as soon as it is received, before the transmission of the second identification means. For example, when the first means of identification is a secret element associated with the user's identifier, the verification can be performed by ensuring that the secret element received corresponds to the secret element stored or accessible by the user. authentication device, corresponding to the user. Otherwise, the user authentication fails. The second communication channel is for example a communication channel established in a mobile telephone network, typically a GSM network, allowing the transfer of data between, on the one hand, the authentication device and, on the other hand, the communication device of the user. In one embodiment, the second communication channel is a communication channel adapted to carry messages, for example text messages of SMS or SMS + type with special pricing.
Le deuxième moyen d'identification est par exemple une clé générée par le dispositif d'authentification permettant d'identifier de manière unique la demande de l'utilisateur d'accès au service. La clé peut être générée grâce à un procédé cryptographique, par exemple à l'aide d'un générateur de séquence alphanumérique pseudo-aléatoire, à partir d'informations relatives à l'utilisateur et à la demande d'accès au service. Ainsi, la clé ainsi générée est transmise au dispositif de communication de l'utilisateur, par l'intermédiaire du deuxième canal de communication, typiquement dans un message SMS ou SMS+ comprenant la clé ainsi générée. De manière optionnelle, le dispositif d'authentification peut s'assurer que le deuxième moyen d'identification a bien été délivré au dispositif de l'utilisateur, par exemple en utilisant des mécanismes d'accusés de réception disponibles pour le deuxième canal de communication. Le deuxième moyen d'identification peut notamment aussi comporter un ou plusieurs éléments, associé à l'utilisateur, parmi la liste suivante: un certificat, en particulier un certificat conforme à la norme de cryptographie X.509 de l'Union internationale des télécommunications, un mot de passe à usage unique complémentaire généré par des moyens matériels et/ou logiciel, un mot de passe, etc. La connaissance du numéro ou de l'adresse pour permettre la transmission du deuxième moyen d'identification au dispositif de communication peut être obtenue lors de l'étape optionnelle d'enregistrement auprès du dispositif d'authentification. Alternativement, ces informations sont obtenues d'un autre système, par exemple du système applicatif ou d'un annuaire, de préférence en authentifiant d'une part le système fournissant l'information et d'autre part en sécurisant le transfert des informations. Une fois le deuxième moyen d'identification transmis au dispositif de communication, le dispositif d'authentification attend de recevoir un message émis par le dispositif de communication. Ainsi, il est possible de s'assurer que l'utilisateur a reçu sur son dispositif de communication le deuxième moyen d'identification, par exemple la clé permettant d'identifier de manière unique la demande de l'utilisateur d'accès au service. Il est alors attendu que ce dernier envoie au dispositif d'authentification un message de confirmation comprenant le deuxième moyen d'authentification, afin d'une part de confirmer qu'il est bien à l'origine de cette demande, et d'autre part de valider son identité en prouvant que l'émetteur de la demande est bien en possession du dispositif de communication. Il est en outre possible de surtaxer l'émission d'un tel message, afin de proposer un moyen simple de paiement à l'utilisateur pour accéder au service. Le message de confirmation comprenant le deuxième moyen d'authentification peut être transmis par le dispositif de communication par l'envoi d'un SMS/SMS+ utilisant la fonction utilisateur de transfert de SMS. Le message de confirmation comprenant le deuxième moyen d'authentification peut aussi être transmis par une application déployée sur le dispositif de communication configurée pour transmettre le deuxième moyen d'authentification par SMS au dispositif d'authentification. Si le message de confirmation comporte le deuxième moyen d'identification, le dispositif d'authentification envoie au système applicatif, l'information du succès de l'authentification de l'utilisateur.The second means of identification is for example a key generated by the authentication device for uniquely identifying the request of the service access user. The key can be generated by a cryptographic method, for example using a pseudo-random alphanumeric sequence generator, from information relating to the user and the request for access to the service. Thus, the key thus generated is transmitted to the user's communication device via the second communication channel, typically in an SMS or SMS + message comprising the key thus generated. Optionally, the authentication device can ensure that the second identification means has been delivered to the user's device, for example by using acknowledgment mechanisms available for the second communication channel. The second means of identification may also include one or more elements, associated with the user, from the following list: a certificate, in particular a certificate conforming to the X.509 cryptography standard of the International Telecommunication Union, a complementary one-time password generated by hardware and / or software, a password, etc. The knowledge of the number or the address to allow the transmission of the second identification means to the communication device can be obtained during the optional registration step with the authentication device. Alternatively, this information is obtained from another system, for example the application system or a directory, preferably by authenticating on the one hand the system providing the information and on the other hand by securing the transfer of information. Once the second identification means has been transmitted to the communication device, the authentication device waits to receive a message sent by the communication device. Thus, it is possible to ensure that the user has received on his communication device the second means of identification, for example the key to uniquely identify the request of the user of access to the service. It is then expected that the latter sends to the authentication device a confirmation message comprising the second authentication means, in the first place to confirm that it is the origin of this request, and secondly to validate his identity by proving that the issuer of the application is in possession of the communication device. It is also possible to overtax the transmission of such a message, in order to provide a simple means of payment to the user to access the service. The confirmation message comprising the second authentication means may be transmitted by the communication device by sending an SMS / SMS + using the SMS transfer user function. The confirmation message comprising the second authentication means may also be transmitted by an application deployed on the communication device configured to transmit the second SMS authentication means to the authentication device. If the confirmation message includes the second means of identification, the authentication device sends the application system information on the success of the authentication of the user.
Afin de renforcer le niveau de sécurité du service, en particulier en ce qui concerne les échanges d'information entre le service applicatif et le dispositif d'authentification, le procédé peut comporter une étape d'authentification du système applicatif, préalablement à l'envoi de l'information du succès de l'authentification de l'utilisateur. Un identifiant unique, un secret partagé et/ou un certificat peuvent par exemple être fournis par le système applicatif au dispositif d'authentification. Dans un mode de réalisation, le premier canal de communication est configuré de sorte à permettre au dispositif d'authentification de recevoir des informations du système applicatif, le premier moyen d'identification étant reçu du système applicatif. Ainsi l'utilisateur souhaitant accéder au service transmet le premier moyen d'identification au système applicatif, qui le transmet à son tour au dispositif d'authentification par le premier canal. L'utilisateur délègue donc au système applicatif la fourniture du premier moyen d'identification au dispositif d'authentification. Cette solution offre une grande flexibilité, puisqu'il existe des configurations dans lesquelles l'utilisateur ne peut transmettre directement le premier moyen d'identification au dispositif d'authentification, sans nécessiter des modifications matérielles ou logicielles lourdes.In order to reinforce the level of security of the service, in particular as regards the exchange of information between the application service and the authentication device, the method may comprise a step of authenticating the application system, prior to sending information about the success of user authentication. A unique identifier, a shared secret and / or a certificate may for example be provided by the application system to the authentication device. In one embodiment, the first communication channel is configured to allow the authentication device to receive information from the application system, the first identification means being received from the application system. Thus the user wishing to access the service transmits the first identification means to the application system, which in turn transmits it to the authentication device by the first channel. The user therefore delegates to the application system the provision of the first identification means to the authentication device. This solution offers great flexibility, since there are configurations in which the user can not directly transmit the first identification means to the authentication device without requiring heavy hardware or software modifications.
Dans un mode de réalisation, le premier canal de communication est configuré de sorte à permettre au dispositif d'authentification de recevoir des informations d'un terminal utilisé par l'utilisateur pour requérir l'accès au service, le premier moyen d'identification relatif à l'utilisateur étant reçu du terminal. Cette solution permet d'augmenter le niveau de sécurité du point de vue de l'utilisateur, car le premier moyen d'identification n'est pas transmis au système applicatif, mais seulement au dispositif d'authentification. Pour informer le système applicatif du succès de l'authentification, le procédé peut comporter en outre les étapes suivantes: - réception d'une demande d'authentification de l'utilisateur; - transmission au système applicatif d'un identifiant de session; L'identifiant de session est alors transmis au système applicatif lors de l'envoi de l'information du succès de l'authentification de l'utilisateur. Optionnellement, il peut être proposé à l'utilisateur de révoquer le premier moyen d'identification auprès du dispositif d'authentification, pour augmenter le niveau de sécurité du système, par exemple en cas de divulgation ou compromission du premier moyen d'identification. Au cours de l'étape de vérification de la validité du premier moyen d'identification, il peut être alors vérifié si le premier moyen d'identification n'a pas été préalablement révoqué. Optionnellement, il peut être proposé à l'utilisateur de révoquer l'utilisation du dispositif de communication, pour augmenter le niveau de sécurité du système, par exemple en cas de compromission du dispositif d'authentification. Au cours de l'étape de transmission du deuxième moyen d'identification, il peut être vérifié si le dispositif de communication n'a pas été préalablement révoqué.In one embodiment, the first communication channel is configured to allow the authentication device to receive information from a terminal used by the user to request access to the service, the first relative identification means to the user being received from the terminal. This solution makes it possible to increase the level of security from the point of view of the user, since the first means of identification is not transmitted to the application system, but only to the authentication device. In order to inform the application system of the success of the authentication, the method may further comprise the following steps: receiving a request for authentication of the user; - transmission to the application system of a session identifier; The session identifier is then transmitted to the application system when sending the information of the success of the authentication of the user. Optionally, it may be proposed to the user to revoke the first means of identification with the authentication device, to increase the level of security of the system, for example in the event of disclosure or compromise of the first means of identification. During the step of verifying the validity of the first identification means, it can then be checked whether the first identification means has not been previously revoked. Optionally, it may be proposed to the user to revoke the use of the communication device, to increase the level of security of the system, for example in case of compromise of the authentication device. During the transmission step of the second identification means, it can be verified whether the communication device has not been previously revoked.
Selon un deuxième aspect, l'invention se rapporte à un dispositif d'authentification d'un utilisateur ayant requis l'accès à un service fourni par un système applicatif. Le dispositif selon le deuxième aspect est en particulier adapté pour mettre en oeuvre le procédé selon le premier aspect. Le dispositif d'authentification comporte : - une première interface adaptée pour recevoir des informations par un premier canal de communication ; - une deuxième interface adaptée pour recevoir et transmettre des informations par le deuxième canal de communication ; - un module de traitement configuré de manière à : o recevoir, par la première interface, un premier moyen d'identification relatif à l'utilisateur ; o vérifier la validité du premier moyen d'identification ; o transmettre, par la deuxième interface, un deuxième moyen d'identification; o recevoir, par la deuxième interface, un message de confirmation; o envoyer au système applicatif, l'information du succès de l'authentification de l'utilisateur, si le message de confirmation comporte le deuxième moyen d'identification. Le module de traitement peut être en outre configuré de manière à authentifier le système applicatif, préalablement à l'envoi de l'information du succès de l'authentification de l'utilisateur. Le premier canal de communication peut être configuré de sorte à permettre au dispositif d'authentification de recevoir des informations du système applicatif, le module de traitement étant configuré pour recevoir le premier moyen d'identification du système applicatif.According to a second aspect, the invention relates to a device for authenticating a user who has requested access to a service provided by an application system. The device according to the second aspect is in particular adapted to implement the method according to the first aspect. The authentication device comprises: a first interface adapted to receive information by a first communication channel; a second interface adapted to receive and transmit information by the second communication channel; a processing module configured to: receive, by the first interface, a first identification means relating to the user; o check the validity of the first means of identification; o transmit, by the second interface, a second means of identification; o receive, via the second interface, a confirmation message; o send to the application system, the information of the success of the authentication of the user, if the confirmation message comprises the second means of identification. The processing module can be further configured to authenticate the application system, prior to sending the information of the success of the authentication of the user. The first communication channel may be configured to allow the authentication device to receive information from the application system, the processing module being configured to receive the first identification means of the application system.
Alternativement, le premier canal de communication peut être configuré de sorte à permettre au dispositif d'authentification de recevoir des informations d'un terminal utilisé par l'utilisateur pour requérir l'accès au service, le module de traitement étant configuré pour recevoir le premier moyen d'identification du terminal. En particulier, le module de traitement peut être configuré pour : - recevoir une demande d'authentification de l'utilisateur; - transmettre au système applicatif un identifiant de session; - envoyer au système applicatif l'identifiant de session avec l'information du succès de l'authentification de l'utilisateur. Selon un troisième aspect, l'invention se rapporte à un système comportant : - un système applicatif configuré pour fournir un service sur requête d'un utilisateur; - un dispositif d'authentification selon le deuxième aspect. Le système applicatif comporte un module de gestion d'accès configuré de manière à: - émettre une demande d'authentification de l'utilisateur au dispositif d'authentification; - fournir le service requis par l'utilisateur, si l'information du succès de l'authentification de l'utilisateur est reçue du dispositif d'authentification. Selon un quatrième aspect, l'invention se rapporte à un programme d'ordinateur comportant des instructions pour l'exécution des étapes du procédé selon le premier aspect, lorsque ledit programme est exécuté par un processeur. Chacun de ces programmes peut utiliser n'importe quel langage de programmation, et être sous la forme de code source, code objet, ou de code intermédiaire entre code source et code objet, tel que dans une forme partiellement compilée, ou dans n'importe quelle autre forme souhaitable. Selon un cinquième aspect, l'invention se rapporte à un support d'enregistrement lisible par un ordinateur sur lequel est enregistré un programme d'ordinateur comprenant des instructions pour l'exécution des étapes du procédé selon le premier aspect. Le support d'informations peut être n'importe quelle entité ou n'importe quel dispositif capable de stocker le programme. Par exemple, le support peut comporter un moyen de stockage, tel qu'une ROM, par exemple un CD-ROM ou une ROM de circuit microélectronique, ou encore un moyen d'enregistrement magnétique, par exemple une disquette ou un disque dur. D'autre part, le support d'informations peut être un support transmissible tel qu'un signal électrique ou optique, qui peut être acheminé par un câble électrique ou optique, par radio ou par d'autres moyens. Le programme selon l'invention peut être en particulier téléchargé sur un réseau Internet. Alternativement, le support d'informations peut être un circuit intégré dans lequel le programme est incorporé, le circuit étant adapté pour exécuter ou pour être utilisé dans l'exécution du procédé en question.Alternatively, the first communication channel may be configured to allow the authentication device to receive information from a terminal used by the user to request access to the service, the processing module being configured to receive the first means of identification of the terminal. In particular, the processing module can be configured to: - receive a request for authentication of the user; - send the application system a session identifier; sending the session identifier with the information of the success of the authentication of the user to the application system. According to a third aspect, the invention relates to a system comprising: an application system configured to provide a service on request of a user; an authentication device according to the second aspect. The application system comprises an access management module configured to: - issue a request for authentication of the user to the authentication device; - provide the service required by the user, if the information of the success of the authentication of the user is received from the authentication device. According to a fourth aspect, the invention relates to a computer program comprising instructions for performing the steps of the method according to the first aspect, when said program is executed by a processor. Each of these programs can use any programming language, and be in the form of source code, object code, or intermediate code between source code and object code, such as in a partially compiled form, or in any form what other form is desirable. According to a fifth aspect, the invention relates to a computer-readable recording medium on which is recorded a computer program comprising instructions for executing the steps of the method according to the first aspect. The information carrier may be any entity or any device capable of storing the program. For example, the medium may comprise storage means, such as a ROM, for example a CD-ROM or a microelectronic circuit ROM, or a magnetic recording means, for example a diskette or a hard disk. On the other hand, the information medium may be a transmissible medium such as an electrical or optical signal, which may be conveyed by an electrical or optical cable, by radio or by other means. The program according to the invention can in particular be downloaded to an Internet network. Alternatively, the information carrier may be an integrated circuit in which the program is incorporated, the circuit being adapted to execute or to be used in the execution of the method in question.
D'autres particularités et avantages de la présente invention apparaîtront, dans la description ci-après de modes de réalisation, en référence aux dessins annexés, dans lesquels: - la figure 1 est une représentation schématique d'une infrastructure pour restreindre l'accès à un service aux seuls utilisateurs authentifiés; - la figure 2 est un schéma bloc d'un dispositif d'authentification; - la figure 3 est un diagramme de séquence d'un procédé d'authentification selon un mode de réalisation; - la figure 4 est un diagramme de séquence d'un procédé d'authentification selon un autre mode de réalisation; La figure 1 illustre schématiquement une infrastructure pour restreindre l'accès à un service aux seuls utilisateurs authentifiés. Le système comprend un dispositif d'authentification 10 et un système applicatif 12, interconnectés par des moyens de communication, par exemple par un réseau de type Internet. Le système applicatif est configuré pour recevoir, d'un terminal 14, une requête d'accès à un service. Le dispositif d'authentification et le système applicatif sont typiquement des dispositifs distincts l'un de l'autre et localisés sur des sites différents. Le terminal 14 et le système applicatif sont interconnectés par des moyens de communication, par exemple par un réseau de type Internet. Le dispositif d'authentification dispose encore de moyens pour échanger des informations avec un terminal mobile 16, par exemple par l'intermédiaire d'un réseau mobile de type GSM. Le terminal mobile 16 est, par exemple, une tablette ou un téléphone mobile ayant accès à un réseau de communication de données de type GSM/GPRS/UMTS, et apte à transmettre et recevoir des messages de données de type SMS ou SMS+. Le terminal 14 et le terminal mobile 16 sont des terminaux dont dispose l'utilisateur ayant émis la requête d'accès au service.Other features and advantages of the present invention will appear, in the following description of embodiments, with reference to the accompanying drawings, in which: - Figure 1 is a schematic representation of an infrastructure to restrict access to a service for authenticated users only; FIG. 2 is a block diagram of an authentication device; FIG. 3 is a sequence diagram of an authentication method according to one embodiment; FIG. 4 is a sequence diagram of an authentication method according to another embodiment; Figure 1 schematically illustrates an infrastructure for restricting access to a service to authenticated users only. The system comprises an authentication device 10 and an application system 12, interconnected by communication means, for example by an Internet type network. The application system is configured to receive, from a terminal 14, a request for access to a service. The authentication device and the application system are typically devices that are distinct from one another and located at different sites. The terminal 14 and the application system are interconnected by communication means, for example by an Internet type network. The authentication device still has means for exchanging information with a mobile terminal 16, for example via a mobile network of GSM type. The mobile terminal 16 is, for example, a tablet or a mobile phone having access to a GSM / GPRS / UMTS type data communication network, and able to transmit and receive SMS or SMS + type data messages. The terminal 14 and the mobile terminal 16 are terminals available to the user who issued the request for access to the service.
On se réfère maintenant à la figure 2. Le dispositif d'authentification comporte une première interface 110 adaptée pour recevoir des informations par l'intermédiaire d'un premier canal de communication. La première interface est adaptée par exemple à être couplée au réseau Internet. Le dispositif d'authentification comporte une deuxième interface 120 adaptée pour recevoir des informations par l'intermédiaire d'un deuxième canal de communication. La deuxième interface est adaptée par exemple à être couplée au réseau de télécommunication mobile. Le dispositif d'authentification comporte encore un module de traitement, pour recevoir et traiter des requêtes d'authentification. Le dispositif d'authentification comporte encore une base de données 140 pour stocker des informations et moyens d'identification relatifs à des utilisateurs. Le dispositif d'authentification permet de fournir un service centralisé de tierce authentification au système applicatif. Le dispositif d'authentification propose une authentification à deux facteurs des utilisateurs, par exemple, en s'assurant que l'utilisateur connaît un mot de passe et est en possession d'un terminal mobile enregistré. La figure 3 montre un diagramme de séquence d'un procédé d'authentification selon un mode de réalisation. Le terminal 14 transmet, au cours d'une étape 210, une requête d'accès REQ aux services applicatifs 12 pour accéder au service. La requête REQ comporte un élément secret S1, par exemple un mot de passe, ainsi qu'un identifiant AuthUserlD connu ou accessible du dispositif d'authentification. L'utilisateur est réputé être le propriétaire de l'identifiant AuthUserlD. Le service applicatif 12 transmet à son tour une requête d'authentification au dispositif d'authentification 10 comportant l'identifiant AuthUserlD et l'élément secret S1. La demande d'authentification émise par le service applicatif 12 peut être mise en oeuvre par un service Web, en utilisant le protocole sécurisé HTTPS et une méthode GET. Si le dispositif d'authentification est accessible par le nom de domaine «auth.com», et le service applicatif identifiable par l'identifiant de service ServID, la requête d'authentification peut alors être la suivante: https://www.auth.com/authenticate?appid=ServID&userid=AuthUserlD& password=S1&timeout=120 Au cours d'une étape 225, le dispositif d'authentification contrôle la validité de l'élément secret S1 reçu. La vérification de la validité peut être faite par comparaison entre un hachage cryptographique stocké par le dispositif d'authentification et le hachage de l'élément secret S1 fourni par le système applicatif. Si l'élément secret S1 reçu est valide, le dispositif d'authentification génère, au cours d'une étape 230, un deuxième élément secret S2, par exemple une clé obtenue à l'aide d'un générateur pseudo-aléatoire. Le deuxième élément secret S2 est alors transmis au terminal mobile 16 correspondant à l'identifiant AuthUserlD de l'utilisateur. Pour cela, le dispositif d'authentification envoie un message textuel SMS au numéro de téléphone correspondant au terminal mobile 16. À titre d'exemple, le message textuel SMS peut comporter: - un mot-clé désignant et identifiant le dispositif d'authentification; ce mot- clé peut en particulier être utilisé pour permettre à l'opérateur acheminant le message vers le terminal mobile de renvoyer au dispositif d'authentification un message émis par l'utilisateur en réponse au message transmis par le dispositif d'authentification; - une question invitant l'utilisateur à confirmer la demande d'authentification, et comprenant le nom de l'utilisateur, utilisé auprès du service applicatif identifié par son nom de domaine; - une phrase invitant l'utilisateur à réexpédier ce message à un numéro court SMS+; - le deuxième élément secret S2, par exemple la clé générée par le dispositif d'authentification, identifiant de façon unique la requête REQ d'authentification. Le message prend par exemple la forme suivante, avec le mot-clé SMS+ «bonjour» associé au numéro court mutualisé 89999: «Bonjour Laurent Martin Confirmez-vous votre demande d'accès auprès de auth.com? Si oui, transférez ce message au 89999. Sinon ne le transférez pas: votre identifiant et votre mot depasse ont peut-être été volés. Clé: SJD8SDLKN1103jdsKN1YFGCNA0181ND7202» Dans cet exemple, le deuxième élément secret S2 est la clé « SJD8SDLKN1103jdsKN1YFGCNA0181ND7202 ». Le terminal mobile 16 renvoie alors le message comprenant le deuxième élément secret S2 au dispositif d'authentification, au cours d'une étape 250.Referring now to Figure 2. The authentication device comprises a first interface 110 adapted to receive information through a first communication channel. The first interface is adapted for example to be coupled to the Internet network. The authentication device comprises a second interface 120 adapted to receive information via a second communication channel. The second interface is adapted for example to be coupled to the mobile telecommunications network. The authentication device also includes a processing module for receiving and processing authentication requests. The authentication device also comprises a database 140 for storing information and identification means relating to users. The authentication device makes it possible to provide a centralized third-party authentication service to the application system. The authentication device provides two-factor authentication of the users, for example, by ensuring that the user knows a password and is in possession of a registered mobile terminal. Figure 3 shows a sequence diagram of an authentication method according to one embodiment. The terminal 14 transmits, during a step 210, a REQ access request to the application services 12 to access the service. The request REQ comprises a secret element S1, for example a password, as well as a AuthUserlD identifier known or accessible from the authentication device. The user is deemed to be the owner of the AuthUserlD ID. The application service 12 in turn transmits an authentication request to the authentication device 10 comprising the AuthUserlD identifier and the secret element S1. The authentication request sent by the application service 12 can be implemented by a Web service, using the secure HTTPS protocol and a GET method. If the authentication device is accessible by the domain name "auth.com", and the application service identifiable by the ServID service identifier, the authentication request can then be the following: https: //www.auth .com / authenticate? appid = ServID & userid = AuthUserlD & password = S1 & timeout = 120 During a step 225, the authentication device checks the validity of the received secret element S1. Verification of the validity can be made by comparison between a cryptographic hash stored by the authentication device and the hash of the secret element S1 provided by the application system. If the secret element S1 received is valid, the authentication device generates, during a step 230, a second secret element S2, for example a key obtained using a pseudo-random generator. The second secret element S2 is then transmitted to the mobile terminal 16 corresponding to the AuthUserlD identifier of the user. For this purpose, the authentication device sends an SMS text message to the telephone number corresponding to the mobile terminal 16. For example, the SMS text message may comprise: a keyword designating and identifying the authentication device; this keyword can in particular be used to allow the operator conveying the message to the mobile terminal to send back to the authentication device a message sent by the user in response to the message transmitted by the authentication device; a question inviting the user to confirm the authentication request, and including the name of the user, used by the application service identified by his domain name; - a sentence inviting the user to forward this message to a SMS + short number; the second secret element S2, for example the key generated by the authentication device, uniquely identifying the authentication REQ request. The message takes for example the following form, with the keyword SMS + "hello" associated with the shared short number 89999: "Hello Laurent Martin Do you confirm your request for access to auth.com? If yes, transfer this message to 89999. Otherwise do not transfer it: your username and password may have been stolen. Key: SJD8SDLKN1103jdsKN1YFGCNA0181ND7202 "In this example, the second secret element S2 is the key" SJD8SDLKN1103jdsKN1YFGCNA0181ND7202 ". The mobile terminal 16 then sends the message comprising the second secret element S2 to the authentication device during a step 250.
Au cours d'une étape 260, le dispositif d'authentification contrôle alors la validité du message reçu, en s'assurant que le destinataire du SMS envoyé au cours de l'étape 240 - le terminal mobile 16 - a effectivement répondu au message et que la réponse comporte au moins le deuxième élément secret S2 généré au cours de l'étape 230.During a step 260, the authentication device then checks the validity of the received message, ensuring that the recipient of the SMS sent during the step 240 - the mobile terminal 16 - has indeed responded to the message and that the response comprises at least the second secret element S2 generated during step 230.
Si la validité du message reçu est bien confirmée, alors le dispositif d'authentification transmet au service applicatif 12 la confirmation que l'utilisateur correspondant à l'identifiant AuthUserlD est authentifié. D'autres vérifications peuvent être menées par le dispositif d'authentification, avant de transmettre cette confirmation, en particulier: - l'identifiant de service ServID est connu du dispositif d'authentification; - le service applicatif est autorisé à effectuer une demande d'autorisation de l'utilisateur, par exemple si le crédit d'un compte du service applicatif auprès du dispositif d'authentification est suffisant; - - l'identifiant AuthUserld est connu du dispositif d'authentification; - - l'opérateur en charge de l'expédition du SMS a confirmé sa remise auprès du terminal mobile de l'Utilisateur; - - le terminal mobile a réexpédié ce message au numéro prescrit dans un délai compatible avec un paramètre prédéfini. Après avoir reçu la confirmation que l'utilisateur correspondant à l'identifiant AuthUserlD est authentifié, le service applicatif accorde l'accès au service au terminal 14 de l'utilisateur, au cours d'une étape 280. La figure 4 montre un diagramme de séquence d'un procédé d'authentification selon un autre mode de réalisation. Le terminal 14 transmet, au cours d'une étape 310, une requête d'accès REQ au service applicatif 12 pour accéder au service comportant un identifiant AuthUserlD connu ou accessible du dispositif d'authentification. La requête REQ ne comporte aucun élément secret. Au cours d'une étape 320, le service applicatif 12 transmet à son tour une requête d'authentification au dispositif d'authentification 10 comportant l'identifiant AuthUserlD. Dans une étape 330, le dispositif d'authentification génère un identifiant de session K1 pour la requête d'authentification relative à l'identifiant AuthUserlD. Cet identifiant de session est transmis dans une étape 340 au système applicatif, qui à son tour la transmet au terminal 14 au cours d'une étape 350, accompagnée d'une demande de redirection vers le dispositif d'authentification. Le terminal 14 transmet, au cours d'une étape 360, au dispositif d'authentification, un élément secret S1, par exemple un mot de passe, ainsi que son identifiant AuthUserlD connu ou accessible du dispositif d'authentification. L'utilisateur est réputé être le propriétaire de l'identifiant identifiant AuthUserlD. Au cours d'une étape 370, le dispositif d'authentification contrôle la validité de l'élément secret S1 reçu. La vérification de la validité peut être faite par comparaison entre un hachage cryptographique stocké par le dispositif d'authentification et le hachage de l'élément secret S1 fourni par le système applicatif. Si l'élément secret S1 reçu est valide, le dispositif d'authentification génère, au cours d'une étape 380, un deuxième élément secret S2, par exemple une clé obtenue à l'aide d'un générateur pseudo-aléatoire. Le deuxième élément secret S2 est alors transmis au terminal mobile 16 correspondant à l'identifiant AuthUserlD de l'utilisateur. Pour cela, le dispositif d'authentification envoie un message textuel SMS au numéro de téléphone correspondant au terminal mobile 16. À titre d'exemple, le message textuel SMS peut comporter: - un mot-clé désignant et identifiant le dispositif d'authentification; ce mot-clé peut en particulier être utilisé pour permettre à l'opérateur acheminant le message vers le terminal mobile de renvoyer au dispositif d'authentification un message émis par l'utilisateur en réponse au message transmis par le dispositif d'authentification; - une question invitant l'utilisateur à confirmer la demande d'authentification, et comprenant le nom de l'utilisateur, utilisé auprès du service applicatif identifié par son nom de domaine; - une phrase invitant l'utilisateur à réexpédier ce message à un numéro court SMS+; - le deuxième élément secret S2, par exemple la clé générée par le dispositif d'authentification, identifiant de façon unique la requête REQ d'authentification. Le message prend par exemple la forme suivante, avec le mot-clé SMS+ «bonjour» associé au numéro court mutualisé 89999: «Bonjour Laurent Martin Confirmez-vous votre demande d'accès auprès de auth.com? Si oui, transférez ce message au 89999. Sinon ne le transférez pas: votre identifiant et votre mot depasse ont peut-être été volés. Clé: SJD8SDLKN1103jdsKN1YFGCNA0181ND7202» Dans cet exemple, le deuxième élément secret S2 est la clé « SJD8SDLKN1103jdsKN1YFGCNA0181ND7202 ».If the validity of the received message is confirmed, then the authentication device transmits to the application service 12 confirmation that the user corresponding to the AuthUserlD identifier is authenticated. Other checks may be carried out by the authentication device, before transmitting this confirmation, in particular: the service identifier ServID is known to the authentication device; the application service is authorized to make a request for authorization from the user, for example if the credit of an application service account with the authentication device is sufficient; - - the AuthUserld identifier is known to the authentication device; - - the operator in charge of sending the SMS has confirmed his delivery to the mobile terminal of the User; - - the mobile terminal has forwarded this message to the prescribed number within a time compatible with a predefined parameter. After receiving confirmation that the user corresponding to the AuthUserlD identifier is authenticated, the application service grants access to the service to the terminal 14 of the user, during a step 280. FIG. sequence of an authentication method according to another embodiment. The terminal 14 transmits, during a step 310, a REQ access request to the application service 12 to access the service comprising a AuthUserlD identifier known or accessible from the authentication device. The REQ request has no secret element. During a step 320, the application service 12 in turn transmits an authentication request to the authentication device 10 having the AuthUserlD identifier. In a step 330, the authentication device generates a session identifier K1 for the authentication request relating to the AuthUserlD identifier. This session identifier is transmitted in a step 340 to the application system, which in turn transmits it to the terminal 14 during a step 350, accompanied by a redirection request to the authentication device. The terminal 14 transmits, during a step 360, to the authentication device, a secret element S1, for example a password, and its AuthUserlD identifier known or accessible from the authentication device. The user is deemed to be the owner of the AuthUserlD identifier. During a step 370, the authentication device checks the validity of the secret element S1 received. Verification of the validity can be made by comparison between a cryptographic hash stored by the authentication device and the hash of the secret element S1 provided by the application system. If the secret element S1 received is valid, the authentication device generates, during a step 380, a second secret element S2, for example a key obtained using a pseudo-random generator. The second secret element S2 is then transmitted to the mobile terminal 16 corresponding to the AuthUserlD identifier of the user. For this purpose, the authentication device sends an SMS text message to the telephone number corresponding to the mobile terminal 16. For example, the SMS text message may comprise: a keyword designating and identifying the authentication device; this keyword can in particular be used to allow the operator conveying the message to the mobile terminal to send back to the authentication device a message sent by the user in response to the message transmitted by the authentication device; a question inviting the user to confirm the authentication request, and including the name of the user, used by the application service identified by his domain name; - a sentence inviting the user to forward this message to a SMS + short number; the second secret element S2, for example the key generated by the authentication device, uniquely identifying the authentication REQ request. The message takes for example the following form, with the keyword SMS + "hello" associated with the shared short number 89999: "Hello Laurent Martin Do you confirm your request for access to auth.com? If yes, transfer this message to 89999. Otherwise do not transfer it: your username and password may have been stolen. Key: SJD8SDLKN1103jdsKN1YFGCNA0181ND7202 "In this example, the second secret element S2 is the key" SJD8SDLKN1103jdsKN1YFGCNA0181ND7202 ".
Le terminal mobile 16 renvoie alors le message comprenant le deuxième élément secret S2 au dispositif d'authentification, au cours d'une étape 400. Au cours d'une étape 410, le dispositif d'authentification contrôle alors la validité du message reçu, en s'assurant que le destinataire du SMS envoyé au cours de l'étape 390 - le terminal mobile 16 - a effectivement répondu au message et que la réponse comporte au moins le deuxième élément secret S2 généré au cours de l'étape 380. Si la validité du message reçu est bien confirmée, alors le dispositif d'authentification transmet au service applicatif 12, au cours d'une étape 420, et au terminal 14, au cours d'une étape 430, la confirmation que l'utilisateur correspondant à l'identifiant AuthUserlD est authentifié pour la requête correspondante à l'identifiant de session K1. D'autres vérifications peuvent être menées par le dispositif d'authentification, avant de transmettre cette confirmation, en particulier: - - l'identifiant de service Servld est connu du dispositif d'authentification; - le service applicatif est autorisé à effectuer une demande d'autorisation de l'utilisateur, par exemple si le crédit d'un compte du service applicatif auprès du dispositif d'authentification est suffisant; - - l'identifiant AuthUserld est connu du dispositif d'authentification; - - l'opérateur en charge de l'expédition du SMS a confirmé sa remise auprès du terminal mobile de l'Utilisateur; - - le terminal mobile a réexpédié ce message au numéro prescrit dans un délai compatible avec un paramètre prédéfini.The mobile terminal 16 then sends the message comprising the second secret element S2 to the authentication device, during a step 400. During a step 410, the authentication device then checks the validity of the received message, in ensuring that the recipient of the SMS sent during step 390 - the mobile terminal 16 - has indeed responded to the message and that the response comprises at least the second secret element S2 generated during step 380. If the validity of the received message is confirmed, then the authentication device transmits to the application service 12, during a step 420, and the terminal 14, during a step 430, the confirmation that the user corresponding to the AuthUserlD identifier is authenticated for the request corresponding to the session identifier K1. Other checks may be carried out by the authentication device, before transmitting this confirmation, in particular: - the service identifier Servld is known to the authentication device; the application service is authorized to make a request for authorization from the user, for example if the credit of an application service account with the authentication device is sufficient; - - the AuthUserld identifier is known to the authentication device; - - the operator in charge of sending the SMS has confirmed his delivery to the mobile terminal of the User; - - the mobile terminal has forwarded this message to the prescribed number within a time compatible with a predefined parameter.
Après avoir reçu la confirmation, le terminal 14 envoie une demande d'accès au service avec l'identifiant de session K1, au cours d'une étape 440. Si le système applicatif a reçu la confirmation que l'utilisateur correspondant à l'identifiant AuthUserlD est authentifié pour la requête correspondant à l'identifiant de session K1, le service applicatif accorde l'accès au service au terminal 14 de l'utilisateur, au cours d'une étape 450.After receiving the confirmation, the terminal 14 sends a request for access to the service with the session identifier K1, during a step 440. If the application system has received confirmation that the user corresponding to the identifier AuthUserlD is authenticated for the request corresponding to the session identifier K1, the application service grants access to the service to the terminal 14 of the user, during a step 450.
Claims (8)
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| FR1363512A FR3015821A1 (en) | 2013-12-24 | 2013-12-24 | SECURE MEANS OF AUTHENTICATION |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| FR1363512A FR3015821A1 (en) | 2013-12-24 | 2013-12-24 | SECURE MEANS OF AUTHENTICATION |
Publications (1)
| Publication Number | Publication Date |
|---|---|
| FR3015821A1 true FR3015821A1 (en) | 2015-06-26 |
Family
ID=51014333
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| FR1363512A Withdrawn FR3015821A1 (en) | 2013-12-24 | 2013-12-24 | SECURE MEANS OF AUTHENTICATION |
Country Status (1)
| Country | Link |
|---|---|
| FR (1) | FR3015821A1 (en) |
Citations (5)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| WO2001080525A1 (en) * | 2000-04-14 | 2001-10-25 | Sun Microsystems, Inc. | Network access security |
| US20020169988A1 (en) * | 2000-12-22 | 2002-11-14 | Vandergeest Ron J. | Method and apparatus for providing user authentication using a back channel |
| US20030191721A1 (en) * | 2000-02-29 | 2003-10-09 | International Business Machines Corporation | System and method of associating communication devices to secure a commercial transaction over a network |
| EP1975837A1 (en) * | 2007-03-30 | 2008-10-01 | Accenture Global Services GmbH | Non-repudiation for digital content delivery |
| WO2010003202A2 (en) * | 2008-07-07 | 2010-01-14 | Nobre Tacito Pereira | System, method and device to authenticate relationships by electronic means |
-
2013
- 2013-12-24 FR FR1363512A patent/FR3015821A1/en not_active Withdrawn
Patent Citations (5)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US20030191721A1 (en) * | 2000-02-29 | 2003-10-09 | International Business Machines Corporation | System and method of associating communication devices to secure a commercial transaction over a network |
| WO2001080525A1 (en) * | 2000-04-14 | 2001-10-25 | Sun Microsystems, Inc. | Network access security |
| US20020169988A1 (en) * | 2000-12-22 | 2002-11-14 | Vandergeest Ron J. | Method and apparatus for providing user authentication using a back channel |
| EP1975837A1 (en) * | 2007-03-30 | 2008-10-01 | Accenture Global Services GmbH | Non-repudiation for digital content delivery |
| WO2010003202A2 (en) * | 2008-07-07 | 2010-01-14 | Nobre Tacito Pereira | System, method and device to authenticate relationships by electronic means |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| EP2820795B1 (en) | Method for verifying the identity of a user of a communication terminal and associated system | |
| CN108833507B (en) | An authorization authentication system and method for sharing products | |
| EP1683388A2 (en) | Method for managing the security of applications with a security module | |
| JP2018517367A (en) | Service provider certificate management | |
| FR3028979A1 (en) | METHOD FOR CONTROLLING ACCESS TO A SYSTEM FOR PRODUCING A COMPUTER SYSTEM NOT CONNECTED WITH AN INFORMATION SYSTEM OF THE COMPUTER SYSTEM | |
| WO2006021661A2 (en) | Secured authentication method for providing services on a data transmission network | |
| CN114390524B (en) | Method and device for realizing one-key login service | |
| WO2017081208A1 (en) | Method for securing and authenticating a telecommunication | |
| EP3568966B1 (en) | Methods and devices for delegation of distribution of encrypted content | |
| EP3568989A1 (en) | Methods and devices for checking the validity of a delegation of distribution of encrypted content | |
| CN114158046A (en) | Method and device for realizing one-key login service | |
| WO2019053376A1 (en) | Access to a service with authentication based on a mobile terminal | |
| FR3015821A1 (en) | SECURE MEANS OF AUTHENTICATION | |
| FR2872363A1 (en) | METHOD AND SYSTEM FOR CERTIFYING THE IDENTITY OF A USER | |
| EP1400090B1 (en) | Method and device for securing communications in a computer network | |
| EP3679499B1 (en) | Perfectioned enrollment of a device in a secure network | |
| WO2022147354A1 (en) | Secure cross-platform smart hosting, credential sharing, and identity management | |
| EP3662692B1 (en) | Obtaining a profile for access to a communication network by a secondary terminal via a main terminal | |
| CN113194069A (en) | Communication tracing method, communication tracing device and medium based on block chain | |
| EP2146534B1 (en) | Authentication of a terminal | |
| EP4187409A1 (en) | Method and system for authenticating a user on an identity as a service server | |
| WO2024047128A1 (en) | Method, device and system for checking the validity of a message | |
| CN114629672A (en) | Method, system and storage medium for improving security of voice call based on token authentication | |
| EP1677486A1 (en) | Terminal authentication method | |
| FR3074394A1 (en) | ACCESS TO SERVICE WITH MOBILE TERMINAL BASED AUTHENTICATION |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| ST | Notification of lapse |
Effective date: 20150831 |