Comment améliorer le confortdes utilisateurs sans com-promettre la sécurité? Biensouvent les mécanismes desécurité informatique sont

mis en place au détriment du confort del’utilisateur. Celui-ci se retrouve alors avecun outil de travail qui présente de fortescontraintes. Le système est compliqué etlent. Il nécessite plusieurs mots de passe,l’utilisation d’un «Token» de type SecurID.Bref, la solution n’est pas vraiment utili-sable. Mais elle est «secure»…

Objectif du projetDans le cadre du projet présenté ici, l’objec-tif était de repenser la mobilité, de sorte àoffrir un outil de travail simple. Pour cela,nous avons remis les compteurs à zéro,nous sommes partis d’une feuille blanche.Avec l’idée de proposer aux collaborateursde la banque un nouveau laptop qu’ils puis-sent utiliser lors de leurs voyages via Inter -net. Comment faire? Comment concilier sim-plicité d’utilisation et fortes contraintes desécurité? Est-ce la quadrature du cercle?Avant de répondre à cette question, énumé-rons de façon plus précise les contraintesauxquelles il fallait faire face. Elles sont dedeux natures: les contraintes pour l’accès

aux applications informatiques et lescontraintes de sécurité. Dans le cadre de cetarticle, nous allons nous focaliser sur cer-taines d’entre elles:• les données sur le laptop doivent resterconfidentielles;

• l’accès à la banque doit se faire par lebiais d’Internet;

• la procédure d’authentification doit êtresimple;

• une seule authentification doit êtredemandée.

Si l’authentification forte s’est rapidementimposée comme la solution à retenir, restaitencore à définir le système le plus appro-prié. A déterminer le dispositif à même d’ap-porter sécurité et confort, tout en intégrantles technologies utilisées pour ce projet. Asavoir, une technologie de chiffrement du

laptop, un VPN pour accéder à la banquepar Internet, une authentification uniquepour accéder au compte Microsoft et auxapplications bancaires (application web).Nous voilà au cœur du challenge technolo-gique. Trouver un mécanisme d’authentifi-cation forte, simple à utiliser et capabled’être associé aux technologies de sécurité.Avant de définir plus avant ce mécanisme,expliquons ce qu’est l’authentification forteet pourquoi l’utiliser.

Qu’est-ce que l’authentificationforte?Les méthodes classiques pour identifier unepersonne physique sont au nombre de trois:1. quelque chose que l’on connaît: un PINCode, etc.

2. quelque chose que l’on possède: unecarte à puce, etc.

3. quelque chose que l’on est: une empreintedigitale, etc.

On parle d’authentification forte dès quedeux de ces méthodes sont utiliséesensemble. Par exemple, une carte à puce etun PIN code.

Pourquoi cette méthode plutôtqu’une autre?Le mot de passe. Il s’agit là du système leplus couramment retenu pour reconnaîtreun utilisateur. Il s’avère, toutefois, qu’il nepermet pas d’assurer une protection effi-cace de biens informatiques sensibles. Saprincipale faiblesse réside dans la facilitéavec laquelle il peut être identifié.

SOLUTIONS BANCAIRES

MAI - JUIN 200962 B&F

BIOMÉTRIE ET MOBILITÉ

Comment concilier facilitéd’utilisation et sécurité?Mobilité et sécurité. Pour les banques, il ne s’agit pas là de vains mots, mais bien des fondements de leur mode de fonctionnement dans un monde de plus en plus compétitif.Reste que la sécurité et la mobilité ne doivent pas se construire au détriment de l’utilisateur,de son confort. Une solution informatique qui garantirait les premières sans se soucier du second aurait, en effet, de fortes chances d’être rejetée par ce dernier. Le projet Mobilité,mené par un établissement sur la place financière genevoise, apporte la preuve que mobilité,sécurité et confort d’utilisation ne sont pas incompatibles.

Sylvain MARETCEO MARET Consulting

La solution d’identification forte adoptée com-prend une lecture biométrique des emprein -tes digitales, couplée à une carte à puce.

BF_97:BF_97.qxd 27.04.09 15:06 Page62

BIOMÉTRIE ET MOBILITÉ

Quelle technologie choisir?Un grand nombre de technologies d’authen-tification forte sont disponibles sur lemarché. Celles de type «One Time Pass -word» (Style SecurID), les cartes à puces ouencore la biométrie. C’est cette dernière quia été retenue dans le cas qui nous intéresse.Avant tout pour répondre à une exigencefondamentale posée par le client. A savoir,garantir la facilité d’utilisation.

Quel système de biométrie pourla mobilité?Lecture de l’iris, reconnaissance faciale,empreinte digitale. Quand on parle de bio-métrie, différentes options sont envisa-geables. Le choix final a été guidé par lesouci de trouver un compromis entre leniveau de sécurité de la solution, son prix etsa facilité d’utilisation. De plus, la plupartdes nouveaux laptops possèdent mainte-nant un lecteur biométrique. C’est surtoutlà que résidait une des principales clés dusuccès. L’adhésion des utilisateurs était, eneffet, indispensable. Et celle-ci passait par lasimplicité de fonctionnement, par la convi-vialité du dispositif.

Qu’en est-il de la sécurité?La biométrie peut-elle être considéréecomme un moyen d’authentification forte?La réponse est clairement non. Le recours àcette technique comme seul facteur d’au-thentification constitue certes une solution«confortable» pour les utilisateurs. Il n’endemeure pas moins qu’elle n’offre pas desgaranties de sécurité suffisamment solides.Diverses études ont, en effet, montré qu’ilest possible de falsifier assez aisément lessystèmes biométriques actuels. Dès lors, ilest judicieux de la coupler à un second dispositif d’authentification forte. Dans lecadre de ce projet, un support de type carteà puce a été retenu. Concrètement, l’utilisa-teur est identifié aussi bien par sa carte quepar ses empreintes digitales. La première nefonctionne que si elle est combinée auxsecon des. L’ensemble offre ainsi une preuveirréfutable de l’identité de la personne.

Pourquoi une carte à puce?La carte à puce présente l’avantage d’êtreune solution dynamique, évolutive. Ellepermet, en effet, de stocker des identitésnumériques (certificat digital). Ce qui ouvrela porte à un grand nombre d’applicationscomme la signature électronique, le chiffre-

ment et, bien évidemment, l’authentifica-tion forte des utilisateurs.

Biométrie: où stocker les données?La biométrie pose la question du stockagedes informations relatives aux utilisateurs.Il s’agit là d’une question extrêmement sen-sible. Nombreux sont, en effet, ceux qui, àjuste titre, s’interrogent sur l’usage qui estfait des données les concernant. Où celles-civont-elles être conservées? Les réticencesface à ce procédé sont réelles. Pour sur-monter cet obstacle non négligeable à l’acceptation d’une telle solution par les utilisateurs, la formule choisie consiste àstocker les informations directement sur lacarte à puce. A recourir à une technologiequi rend le détenteur de la carte seul pro-priétaire de ses données biométriques.

Technologie Match On CardCette technologie répond parfaitement à laproblématique posée. Non seulement, ellepermet le stockage d’informations biomé-triques sur la carte à puce, mais elle assureaussi la vérification de l’empreinte digitale,directement sur cette dernière.

La réponse au challenge technologiqueLes technologies biométriques, à commen-cer par Match On Card, ont clairement unaspect avant-gardiste, notamment sur leslaptops. Le développement mené dans cettebanque a, cependant, démontré qu’il esttechnologiquement possible de mettre enœuvre un système d’authentification forte,basé sur la biométrie et l’utilisation des cer-

tificats numérique pour assurer aussi bienune protection optimale qu’un grandconfort pour les utilisateurs. Cette solutiona répondu aux contraintes technologiquesimposées par le projet. L’authentificationunique est réalisée par le biais de la biomé-trie, la sécurisation du VPN est réaliséegrâce à un certificat numérique de typemachine, stocké dans une puce cryptogra-phique (TPM) embarquée sur le laptop.Dans le cadre de ce projet, une contrainten’a toutefois pas pu être respectée. A savoir,utiliser la biométrie de type Match on Cardpour le chiffrement du laptop. En raison deson côté avant-gardiste, cette technologien’est, en effet, pas compatible avec les prin-cipales solutions de chiffrement des dis -ques. C’est le prochain challenge à releverpour la phase 2 de ce projet. D’ici fin 2009, ildevrait ainsi être possible d’intégrer cettetechnologie à une solution de chiffrement.

Retour d’expérienceLa technologie mise en place – biométrieMatch On Card et utilisation des certificatsnumériques – a répondu aux objectifs et auxcontraintes de ce projet mobilité. Reste quela technologie ne fait pas tout. La structureorganisationnelle à mettre en place poursoutenir la technologie, pour assurer lagestion des identités, s’est, ainsi, révélé êtreun des défis majeurs posés par le projet.Le résultat, c’est une entité, dont la missionest de gérer l’ensemble des processus quigravitent autour du système biométrique:enregistrement des utilisateurs, gestion del’oubli ou de la perte de la carte à puce, etc.Cette entité constitue un des piliers de laréussite du projet. n S.M.

MAI - JUIN 2009 B&F 63

Une solution de mobilité alliant sécurité et confort d’utilisation.

© S

ERGIYSERDYUK- F

OTOLIA.COM

BF_97:BF_97.qxd 27.04.09 15:06 Page63