Description

Pour comprendre les mots de passe et leurs faiblesses. Mais aussi les rainbow tables et les differents facteurs d'authentification.

Compte instagram @mamiecyber.

Hébergé par Ausha. Visitez ausha.co/politique-de-confidentialite pour plus d'informations.

Transcription

• Speaker #0

  Bonjour mamie, bonjour et bienvenue dans la cybersécurité expliquée à ma grand-mère, le podcast pour expliquer la cybersécurité à des gens qui n'y prennent rien. Aujourd'hui, nous allons parler de cet ennemi invisible qui nous veut du bien. Et oui, nous avons tous, un jour ou l'autre, lutté contre lui. Parfois il était trop court, ou pour certains, pas assez dur, et encore pour d'autres, trop vieux. Je vais bien sûr parler des mots de passe. C'est cet ennemi mot de passe qu'il faut changer sans cesse, et que souvent, on oublie. Pourquoi faut-il en changer si souvent ? Pourquoi sa complexité est si importante ? D'ailleurs, qu'est-ce que ça veut vraiment dire, un mot de passe complexe ? Mais avant toute chose, il faut répondre à une question fondamentale. Pourquoi a-t-on besoin de mot de passe ? La réponse est assez simple, car cela permet de prouver aux autres que vous êtes bien la personne que vous prétendez être. C'est quoi, je le reconnaîtrais ? Un pauvre, avec des petites bacs en grand, on l'air con. On l'airait des grands cons. Oui, mais celui-là, c'est un gabarit exceptionnel. Si la connerie se mesurait, il servirait à nous mettre les talons. Et à la fèvre. Et comme d'habitude, c'est un problème qui existe depuis l'aube de l'humanité. Il faut séparer le problème en deux parties. D'une part, les informations qui permettent l'identification d'une personne, c'est par exemple votre numéro de sécurité sociale, c'est une information qui vous est propre, qui ne change pas avec le temps, et qui de plus peut être établie par un tiers après vérification de votre identité. C'est-à-dire que ce n'est pas vous-même qui l'avez décidé. On peut aussi parler de votre adresse mail ou de votre numéro de téléphone, mais ce sont des informations moins stables dans le temps. Car d'une part, vous pouvez parfaitement changer d'adresse mail ou de numéro de téléphone, et en plus vous pouvez tout à fait créer une adresse qui n'a rien à voir avec votre identité. Rien ne vous empêche par exemple de créer une adresse en utilisant le nom d'une célébrité. L'idéal étant, à l'instar de votre numéro de sécurité sociale, que l'information qui vous identifie soit octroyée par un tiers de confiance. D'autre part, il faut trouver un moyen d'authentifier votre identité. Et c'est là où ça se complique sérieusement. Il y a principalement trois facteurs utilisables pour authentifier votre identité. Quelque chose que vous connaissez, c'est-à-dire une information qui est en votre possession et que vous êtes a priori le seul à connaître. Comment est votre blanquette ? La blanquette est bonne. Quelque chose que vous avez, une clé par exemple. Et enfin quelque chose que vous êtes, c'est-à-dire un élément biométrique. comme votre visage ou vos empreintes digitales. Pour illustrer cette problématique, et avant de plonger dans la cybersécurité en tant que telle, on va déjà prendre un exemple dans la vie réelle. Et le meilleur exemple, c'est le passage à la douane d'un aéroport, puisqu'il est très important de pouvoir authentifier l'identité de chacun avec des moyens efficaces. Le premier moyen dont les douaniers disposent, c'est le passeport. Il est unique à bien des égards. D'une part, il contient des informations personnelles, comme votre nom, votre date de naissance, votre lieu d'habitation. Ces informations sont utilisées pour vous identifier. Même si vous avez un nom extrêmement répandu, comme Martin en France par exemple, le fait de coupler votre nom avec votre prénom, votre date et lieu d'essence, donne une combinaison assez unique. A noter que c'est un peu le même procédé que l'on peut utiliser pour identifier un internaute en utilisant le type de browser, sa version, le système d'exploitation sur lequel il tourne et le langage utilisé. A la fin, cela donne un identifiant quasi unique. Il ne reste ensuite... plus qu'à authentifier votre identité, et c'est là que ça commence à devenir un peu plus subtil. Le premier élément qu'un douanier utilise est de vérifier quelque chose que vous avez. Et la chose la plus évidente dans ce cas, c'est le passeport. Comme vous le savez très certainement, un passeport est un véritable bijou de technologie, car son processus de fabrication est extrêmement complexe. On y trouve par exemple des encres bichromatiques, qui changent de couleur en fonction de l'orientation, L'impression de votre photo se fait dans la messe, ce qui rend son remplacement quasi impossible. Il y a des filigranes de plusieurs natures un peu partout, et encore beaucoup d'autres subtilités plus ou moins connues par le grand public. Mais il y a aussi les demandes immatérielles que vous avez fournies quand vous avez fait votre demande de passeport. Votre photo, et ainsi que vos empreintes digitales par exemple. C'est donc un objet unique en soi, difficilement falsifiable ou duplicable. Le fait qu'il soit en votre possession est déjà une indication quant à l'authenticité de votre identité. La deuxième étape de l'authentification se passe quand vous donnez votre passeport. Le système va lire l'identifiant qui se trouve en bas de la première page et va faire le lien avec le système qui centralise toutes les données que vous avez fournies lors de sa création. Et là, souriez, vous êtes filmé. Une caméra vous filme pour faire la corrélation entre votre visage et le visage qui est sur la photo fournie lors de la création du passeport. L'algorithme permet de faire ce contrôle en une fraction de seconde avec un niveau quasi parfait d'exactitude. A l'instar de votre visage, on peut aussi vous demander votre main. Non pas pour une demande en mariage, mais pour vérifier que vos empreintes correspondent bien à la personne qui a fait la demande de passeport. Il y a deux facteurs d'authentification sur trois, puisque le dernier, obtenir quelque chose que vous êtes le seul à savoir, n'est généralement pas demandé par les douaniers. Sauf en cas de doute sur votre identité. Dans ce cas, vous aurez droit à quelques questions supplémentaires, généralement en relation avec votre vie. Qu'est-ce que vous faites comme métier ? Où travaillez-vous ? Dans quelle école sont inscrits vos enfants ? Autant d'informations qu'un douanier pourra vérifier très facilement en passant quelques coups de téléphone. A noter que... que si vous hésitez à répondre à ces questions somme toute assez simples, vous allez invariablement faire naître le doute auprès de votre interlocuteur. Comme l'identification, l'authentification ne se fait généralement pas à l'aide d'un seul élément, mais de plusieurs, c'est la convergence de preuves qui assure la robustesse du processus. Mais comment faire en cybersécurité pour avoir un système robuste d'identification et d'authentification ? Eh bien les trois facteurs sont repris. Quelque chose que vous savez, quelque chose que vous êtes et quelque chose que vous avez. Commençons par le premier facteur, quelque chose que vous savez. Et c'est là où le mot de passe intervient. Un mot de passe est censé être une information que vous êtes le seul à connaître. Par contre, ce mot de passe doit être connu par au moins un tiers qui va vous identifier en comparant le mot de passe que vous lui avez fourni avec le mot de passe que vous avez communiqué dans le passé. Ainsi, en comparant les deux, on pourra conclure que vous êtes bien la personne que vous prétendez être. Vous voyez tout de suite qu'il y a un petit problème avec cette façon de procéder. Car cette information... normalement seulement connu par vous, est déjà partagé avec au moins un tiers. Le premier problème qu'il va donc falloir résoudre est comment comparer deux mots de passe sans pour autant y avoir accès, c'est à dire sans le connaître. Et bien la réponse a été apportée dans un procédé cryptographique dont nous avons parlé lors du dernier épisode, le processus de HH. Pour ceux qui n'ont pas eu l'occasion d'écouter cet épisode, ou ceux qui ne s'en souviennent plus, je vais vous faire un bref résumé. Les deux là au fond, ça vous intéresse pas ce que je raconte ? Si. Alors je reprends pour les deux du fond. Un algorithme de hachage est un algorithme qui permet de créer un condensat. Le condensat est une sorte d'empreinte quasi unique qui est liée aux informations qu'on a passées dans l'algorithme de hachage. Cette fonction n'est pas réversible, c'est-à-dire que si vous avez le condensat, vous ne pouvez pas revenir au texte d'origine. En revanche, si vous avez le texte, vous pouvez obtenir le condensat. C'est un peu comme une empreinte digitale. Chacun a sa propre empreinte, mais on ne peut pas déterminer qui vous êtes uniquement sur base de votre empreinte digitale. Si deux condensats sont identiques, cela indique que les deux textes d'origine sont identiques. Ce qui est magique, c'est que vous pouvez conclure que c'est identique, mais sans pour autant connaître le texte d'origine. Et c'est précisément cette propriété qui est utilisée avec l'authentification par mot de passe. L'information qui est stockée n'est pas le mot de passe, mais son condensat. Ainsi, l'information d'origine, c'est-à-dire le mot de passe, n'est pas connue par le tiers. puisque la seule chose qu'il stocke, c'est le condensat. Et comme le processus de LHH est irréversible, cela ne permet pas de découvrir votre mot de passe d'origine. Ça paraît pas mal sur le papier, mais c'est sans compter quelques failles dans le système. La première, qui est la plus évidente, c'est le cas du système qui stocke le mot de passe et non le condensat, c'est-à-dire stocker le mot de passe en clair. Ça arrive bien plus souvent qu'on ne le pense, et c'est principalement dû à une méconnaissance ou pire, à de la négligence. Encore très récemment, la CNIL, l'un des régulateurs français, a infligé une très grosse amende à une société qui ne respectait pas certaines règles, car entre autres, elle stockait les mots de passe en clair. Ça dépasse tout ce que j'ai pu imaginer. Deuxième problème, c'est que même si c'est bien le condensat qui est stocké dans le système, rien n'empêche un pirate d'essayer de trouver le mot de passe qui correspond à ce condensat. Et là, il y a deux grandes familles techniques. En informatique, il y a généralement toujours un choix à faire entre deux choses, l'espace et le temps. Soit vous avez beaucoup d'espace, c'est-à-dire de la mémoire, et ou de l'espace disque, et vous gagnerez un temps. Soit vous avez du temps, dans ce cas vous n'avez pas besoin de beaucoup d'espace. Quand on cherche à casser un mot de passe, c'est-à-dire retrouver le mot de passe en clair en fonction d'un condensat qui a été donné, vous avez soit la possibilité de tester des millions et des millions de mots de passe, ce qui va prendre du temps, mais vous avez aussi la possibilité de pré-calculer cette attaque. Ce qui rendra l'attaque bien plus rapide, mais consommera énormément d'espace pour stocker les calculs préalablement faits. Regardons la méthode qui utilise beaucoup de temps. Elle consiste à tester des millions et des millions de mots de passe automatiquement. D'abord les pirates vont tester tous les mots de passe déjà piratés dans le passé. A chaque fois qu'un site web a été piraté, les mots de passe qu'il contenait ont été par la suite précieusement stockés pour créer au fur et à mesure des années une gigantesque base de données des mots de passe déjà compromis. Le pirate peut aussi créer un dictionnaire sur base des informations qu'il a déjà récupérées sur vous. Votre langue, le nom de votre animal de compagnie ou celui de vos enfants. Il peut aussi parcourir le site web de votre entreprise pour générer automatiquement la liste des mots-clés les plus présents. C'est ce qu'on appelle les attaques par dictionnaire. Et là ? Même si votre mot de passe était de très bonne qualité, s'il fait partie de cette base de données, il sera trouvé en quelques secondes. De nombreux systèmes comme les navigateurs web par exemple vous indiquent si votre mot de passe est compromis, c'est-à-dire qu'il fait partie d'une de ces bases de données. Si par chance votre mot de passe n'est pas dans cette base, félicitations. C'est-à-dire qu'il n'a jamais été compromis dans le passé et qu'a priori vous l'avez fourni à des tiers de confiance. Mais vous n'êtes pas tiré d'affaire pour autant. Car les algorithmes utilisés pour casser les mots de passe sont extrêmement sophistiqués. Ils peuvent prendre en compte tout un ensemble de paramètres pour optimiser l'attaque. Comme la fréquence des lettres utilisées ou les caractères spéciaux utilisés au moment où vous avez choisi votre mot de passe. Dans ce contexte, on peut facilement comprendre que si le mot de passe est court, 5 caractères par exemple, et qu'il ne contient que des lettres minuscules et qu'il n'y a pas de caractères spéciaux, ça ne représente que 11 millions de possibilités, ce qui semble beaucoup. Mais en réalité, il faudra moins de 6 secondes pour tout... les parcourir sur un banal ordinateur de bureau. Si maintenant votre mot de passe contient huit caractères de long avec des majuscules et des minuscules ainsi que des chiffres et des caractères spéciaux, il faudra théoriquement 700 ans pour le casser sur ce même ordinateur. C'est théoriquement le temps nécessaire pour tester l'ensemble des possibilités. Là encore ça paraît plutôt sécurisé mais c'est sans compter la ruse des algorithmes de recherche car ils connaissent très bien nos petites habitudes. Par exemple La majorité des utilisateurs ajoutent le caractère spécial à la fin du mot de passe. Ces optimisations rendent les mots de passe trop prédictibles, trop fragiles. En plus, pour couronner le tout, il est possible de louer sur le cloud d'énormes machines avec des puissances gigantesques, et ce, pour quelques dizaines d'euros. Plus la puissance est importante, et plus la quantité de mots de passe testés par seconde sera importante. Néanmoins, le handicap le plus important de cette technique, c'est la durée de l'attaque, qui peut être très très longue. D'autant plus que le mot de passe... passe sera robuste, c'est-à-dire non-prédictible, c'est-à-dire difficile à deviner, et utilisant un large spectre de caractères. Comme expliqué précédemment, si le temps d'exécution est un problème, alors on peut peut-être s'en sortir en utilisant plus d'espace. L'idée sous-jacente est de pouvoir pré-calculer tout un ensemble d'étapes et de stocker les informations essentielles. Et ça, c'est exactement ce que font les Rainbow Tables. Pour comprendre le fonctionnement des Rainbow Tables, il faut avoir lu tintin au pays de l'or noir. Dans cet album, les Dupont et Dupont partent d'un village pour traverser le désert. Ils roulent sans trop savoir là où ils vont car ils ne suivent aucune piste. Au bout d'un certain temps, ils aperçoivent des traces de pneus et déduisent que c'est certainement le harout qu'ils cherchent. En toute logique, ils décident donc de la suivre. Au bout de quelques kilomètres, de nouvelles traces de pneus rejoignent la piste, ce qui les conforte dans l'idée qu'ils ne sont pas seuls sur cette route et qu'elle va forcément les mener quelque part. Plus le temps passe et plus il y a de traces de pneus qui rejoignent cette route. Ce qui renforce encore plus l'idée que cette piste est fréquentée, puisqu'il y a, semble-t-il, de plus en plus de monde qui la fréquente. Soudain, ils trouvent un jerrycan d'essence en plein milieu de la route. Et très vite, ils comprennent que c'est en réalité le leurre qu'ils avaient perdu. En fait, ils tournaient en rond et les traces qui rejoignaient la route étaient leurs propres traces. Revenons à nos mots de passe. Vous vous souvenez que normalement, les mots de passe ne sont pas stockés en clair. Mais c'est leur condensat qui doit l'être. La fonction qui est utilisée est une fonction de hachage dont le but est de créer un condensat quasi unique pour chaque mot de passe. Je dis quasi unique parce qu'il arrive que dans quelques cas, deux mots de passe différents peuvent avoir le même condensat. C'est ce qu'on appelle une collision. Vous vous souvenez aussi que les fonctions de hachage ne sont pas réversibles. C'est à dire que vous ne pouvez pas trouver le mot de passe en utilisant le condensat. On ne peut pas trouver le mot de passe d'origine mais on peut parfaitement générer un nouveau mot de passe. en fonction du condensat précédent. C'est juste un moyen de générer un nouveau mot de passe attesté. Cette action qui consiste à générer un nouveau mot de passe possible, c'est ce qu'on appelle une réduction. Prenons un exemple. J'ai une fonction de hachage très simple qui consiste à faire la somme des lettres de mon mot de passe. Si le mot de passe est abaissé, le condensat sera 1, plus 2, plus 3, c'est-à-dire 6. Je vais utiliser maintenant une fonction pour faire la réduction. Prenons là aussi une fonction très simple qui va simplement tripler la lettre donnée par le condensat. Dans mon exemple, le condensat est 6. Je vais donc prendre la sixième lettre de l'alphabet, c'est-à-dire la lettre F. Le nouveau mot de passe sera donc FFF. Je vais de nouveau le hacher, c'est ce qui va donner le condensat égal à 6 plus 6 plus 6, c'est-à-dire 18. La dix-huitième lettre de l'alphabet est la lettre R, le nouveau mot de passe à explorer sera donc RRR. Et son condensat sera 54. Or, il n'y a pas autant de lettres dans l'alphabet. C'est un peu comme si on avait fait deux fois le tour de l'alphabet. 54 est égal à 26 plus 26 plus 2, c'est-à-dire deux tours de l'alphabet, ce qui revient revenir au départ. et avancé de deux lettres, c'est-à-dire la lettre B. Le nouveau mot de passe sera donc BBB. Mais intuitivement, on comprend que si on continue le processus, on va tomber sur des mots de passe intermédiaires qui vont tôt ou tard être identiques. Dans l'exemple, j'ai d'abord obtenu FFF, ensuite RRR et maintenant BBB. On sent bien que tôt ou tard, ça va tourner en rond, exactement comme les Duponts sur leur piste dans le désert. A partir du moment où les traces ont rejoint la route, c'est que la boucle s'est bouclée. Et bien c'est la même chose avec les fonctions de hachage. Quand il y a collision, c'est que deux mots de passe ont le même résidu. C'est-à-dire que deux routes se rejoignent, mais qu'en réalité c'est la même route qui forme une boucle. Et bien cette caractéristique a été utilisée dans un algorithme qu'on appelle l'algorithme Rho de Pollard, décrit par John Pollard en 1975. On l'appelle Rho de Pollard, non pas parce que John a eu un problème de digestion, mais plutôt en référence à la lettre grecque rho qui semble à un œuf vu dans un miroir. Et c'est très certainement cette forme qu'on aurait aperçue si on regardait le chemin formé par les Duponts, vu du ciel. D'abord un chemin, et ensuite un cercle. La collision n'est pas quelque chose de souhaitable, parce qu'une fois rentré dans le cercle, il sera impossible d'en sortir. En revanche, le chemin parcouru peut avoir énormément d'intérêt. Souvenez-vous dans notre exemple que nous sommes partis d'un mot de passe choisi aléatoirement. et que nous avons appliqué successivement la fonction de hachage et la fonction de réduction, et ceci on l'a fait un certain temps jusqu'à la limite de la collision. L'algorithme de construction des Rainbow Table va refaire exactement la même chose avec plein de mots de passe, dont le point de départ sera le début de différents chemins. Ceci permet d'obtenir une multitude de chemins qui vont tous s'arrêter un peu avant la collision. Ce sont tous des chemins indépendants qui permettent d'explorer plein de mots de passe. C'est comme si des millions de Dupont et Dupont avaient parcouru le désert en partant de multiples points de départ, en parcourant un chemin, en utilisant une alternance de fonctions d'achat et de fonctions de réduction. D'ailleurs, si vous associez une couleur à chacune de ces fonctions, vu du ciel, vous verrez un arc-en-ciel de multiples couleurs en plein milieu du désert. D'où le nom de cette technique, Rainbow Tables. Malheureusement, il n'est pas possible de mémoriser l'intégralité des chemins. En revanche, il est possible de mémoriser le début et la fin de chacun d'entre eux. Et si vous connaissez le début, Vous pouvez parcourir le chemin jusqu'à la fin. Et si vous connaissez la fin, vous pouvez revenir au début du chemin pour le parcourir. Mais comment fonctionnent les Rainbow Table pour casser un mot de passe ? Et bien tout simplement, l'algorithme va prendre le résidu du mot de passe qu'on cherche à trouver. Il va appliquer la fonction de réduction pour obtenir un nouveau mot de passe à tester. On va ensuite regarder si le mot de passe ainsi obtenu correspond à l'une des fins des chemins parcourus. S'il n'y a pas de correspondance, on applique de nouveau la fonction de léchage et la fonction de réduction. On recommence tant qu'il n'y a pas de correspondance. Quand on trouve la correspondance avec la fin d'un chemin, on repart depuis le début de celui-ci. Souvenez-vous, on mémorise que le début est la fin de chaque chemin. A partir de ce moment, on sait que le mot de passe qu'on cherche se trouve sur le chemin. On recommence le même processus depuis le début du chemin jusqu'à trouver le mot de passe qu'on cherche. C'est-à-dire le mot de passe dont le condensat correspond exactement à celui qu'on cherche à casser. La recherche ne prend que quelques secondes. C'est la phase en amont de pré-calcul de tous ces chemins qui prend du temps et surtout beaucoup d'espace. Les Rainbow Tables peuvent occuper plusieurs gigas voire teraoctets de données sur les disques. Et plus l'algorithme de hachage sera robuste, et plus il faudra d'espace disque. Et cette consommation d'espace va être exponentielle. Cette technique fonctionne très bien pour des complexités raisonnables de mot de passe. Mais ça devient nettement plus compliqué quand la complexité augmente, car il faudra énormément d'espace. Ces deux techniques montrent très exactement le compromis espace-temps. Si vous avez du temps et ou une grosse puissance de calcul, vous pouvez attaquer un mot de passe, mais il faudra plusieurs heures, jours ou mois. Si vous avez beaucoup d'espace, l'attaque ne prendra que quelques secondes. Je pense que vous avez compris maintenant pourquoi il est important d'avoir des mots de passe robustes et surtout pourquoi il faut les changer régulièrement. Si votre mot de passe est structurellement faible, il sera craqué par une rebottamelle en quelques secondes. Si votre mot de passe a été compromis, il sera cassé par une attaque à base de dictionnaire. Et si votre mot de passe n'est ni structurellement faible, ni compromis, mais qu'il est simplement prédictible, comme taper 15 fois la lettre A par exemple, il sera cassé par une attaque de type brute force. Vous comprenez, je pense, que sur le long terme, aucun mot de passe ne peut résister. C'est la raison pour laquelle il faut les changer régulièrement. Heureusement, il existe deux autres facteurs utilisables pour vérifier votre identité, comme par exemple quelque chose que vous avez. Mais là encore, on va être soumis à quelques problèmes similaires que celui des mots de passe. Comment faire en sorte de vérifier que vous avez bien un objet, sans pour autant le vérifier physiquement ? Et surtout, comment s'assurer qu'on ne peut pas en faire une copie ? Pour ce faire, il faut que l'objet puisse donner une information que lui seul est capable de fournir. Évidemment cette information doit changer à chaque fois que l'objet est interrogé. Si la réponse est systématiquement la même, ce serait très simple de copier. Vous pouvez par exemple copier n'importe quelle carte qui utilise une bande magnétique, car le code sur la carte restera toujours le même. Il faut donc un objet qui répond différemment avec le temps. Et bien ce bijou de haute technologie vous l'avez très probablement eu dans votre poche pendant des années. C'est votre clé de voiture, ou plus précisément la télécommande qui se situe dans votre clé de voiture. ce qui permet son ouverture et sa fermeture, et uniquement de votre véhicule, pas celle de votre voisin. C'est pas faux ! Mais comment se passe la communication entre votre clé et la voiture ? Comment la voiture arrive-t-elle à authentifier votre clé et uniquement celle-ci ? Sachez qu'à chaque fois que vous appuyez sur le bouton de votre clé, un code sera émis. Ce code changera à chaque fois et suivra un ordre bien précis que votre voiture connaît. Prenons un nombre pair par exemple, 10. Lorsque ce signal sera reçu par la voiture, il va le décoder et voir que la télécommande lui a envoyé 10. Si c'est bien le code attendu, la voiture s'ouvrira. En revanche, si c'est un code différent, la voiture restera fermée. Les voitures et la télécommande sont tous les deux synchronisés. Mais que se passe-t-il si vous appuyez par mégarde sur votre télécommande trop loin de votre véhicule ? Dans ce cas, la clé et la voiture ne seront plus synchronisées puisque la clé aura un coup d'avance sur la voiture. Dans notre exemple, elle verra le prochain nombre au pair, c'est-à-dire 12. alors que la voiture attend toujours de recevoir 10. Pour pallier à ce problème, la voiture va calculer un certain nombre de coups d'avance et détecter une éventuelle désynchronisation, et la voiture pourra s'ouvrir quand même. En revanche, si l'écart est trop important, c'est-à-dire au-delà du nombre anticipé par la voiture, elle risque de ne plus vouloir s'ouvrir. Pour les plus curieux d'entre vous, vous pouvez regarder ce que vous pouvez faire avec un gadget appelé Flipper Zero. Ce mécanisme est largement utilisé en cybersécurité, et se traduit souvent par l'utilisation d'un petit boîtier qui affiche un code valable pendant quelques secondes. Ce code ne sera généré qu'une seule fois avant de passer au suivant. C'est une technique assez efficace certes, mais qui pose quand même quelques problèmes. Le principal est que le contrôle ne se fait que dans un sens unique, c'est-à-dire de la personne qui doit être identifiée, qui donne une information au système. Dans ce contexte, il est difficile de s'assurer qu'il n'y a pas une copie du dispositif quelque part. Pour corriger ce problème, il existe des systèmes d'authentification qui utilisent un challenge envoyé par le système vers le dispositif d'authentification. Par exemple, les clés FIDO. C'est une petite clé USB qui contient une clé publique et une clé privée. Vous pouvez enregistrer votre clé auprès d'un système tiers. Pendant ce processus, une paire de clés publiques et privées vont être générées et stockées sur la clé FIDO. Si vous ne savez pas ce que c'est que les clés publiques et les clés privées, je vous conseille d'écouter l'épisode précédent. La clé publique va être enregistrée par le système TIER responsable de faire l'authentification. Lors de ce processus d'initialisation, on demandera à l'utilisateur de réenregistrer un petit code, généralement un code à 4 chiffres, comme pour votre carte bancaire. Lors du processus d'authentification, l'utilisateur va insérer la clé FIDO dans le port USB de son ordinateur. Il existe aussi des modèles qui disposent de technologies sans contact. Le système va lui demander son code à 4 chiffres. Par la suite, le système TIER va procéder exactement de la même manière. que pour le protocole de signature électronique, à un détail près. La clé compte le nombre de fois où elle a été utilisée pour faire une authentification, et elle va communiquer cette information au système tiers. Si l'information est cohérente, c'est-à-dire qu'il y a le même nombre d'utilisations de clés que de demandes reçues par le système tiers, alors il n'y a pas de problème. En revanche, si les deux informations ne sont pas alignées, c'est qu'il existe une copie de cette clé quelque part. Et ça fait toute la différence, car il est possible de détecter la présence d'un clone de votre clé. Si le cas se produit, vous pouvez répudier votre clé, c'est-à-dire la déclarer auprès du système tiers comme étant compromise, et simplement en utiliser une nouvelle. Toutes les demandes émises depuis la clé répudiée seront systématiquement refusées. C'est un peu comme changer la serrure de votre maison. A noter que, mis à part votre code à 4 chiffres, avec cette méthode, vous n'avez plus besoin de rentrer de mot de passe. Il existe des systèmes similaires qui fonctionnent sans clé physique, comme par exemple PASSEKEY, que Google est en train de déployer. Vous avez aussi des solutions un peu alternatives, comme recevoir un code via un SMS, ce qui en théorie montre que vous êtes en possession de votre téléphone. C'est vrai, mais en théorie seulement, car là aussi il existe des attaques comme le SIM Swap, par exemple, qui peuvent usurper votre téléphone. Parfois, le danger peut venir aussi du canal de communication lui-même, car il existe des systèmes pour usurper le site web sur lequel vous voulez vous connecter. Et quand vous donnez votre code d'authentification, c'est en fait aux pirates que vous allez le fournir. Il reste un dernier facteur utilisable pour authentifier une personne, quelque chose que vous êtes. Mais là aussi, il y a de nombreuses précautions à prendre en compte. Par définition, la plupart des indications biométriques, la forme de votre visage, Vos empreintes digitales ou votre voix sont des données largement diffusées. A moins d'être transparent, de ne jamais rien toucher ou de ne jamais parler, ces éléments peuvent être connus par d'autres personnes. Des chercheurs en cybersécurité comme le Chaos Computing Club ou le laboratoire Kraken ont montré à plusieurs reprises comment copier des empreintes digitales avec des méthodes très bon marché. Moins de 5 dollars. Quant à la voix ou à la forme de votre visage, il suffit juste de comprendre comment le deep facing fonctionne. En ayant suffisamment de données, il est finalement assez facile de faire une fausse vidéo. Quant à la voix, ça suit le même principe. La plupart des systèmes d'authentification biométrique utilisent des réseaux de neurones qui sont très utilisés en intelligence artificielle. Mais quand bien même ces réseaux ont été conçus avec beaucoup de soin, il reste toujours une marge d'erreur. Vous vous demandez très certainement comment faire si finalement chacun des facteurs d'authentification est potentiellement compromis. Si quelqu'un connaît quelque chose que vous savez, s'il arrive à copier quelque chose que vous avez, et si en plus il arrive à vous imiter. Souvenez-vous que tout est vulnérable d'une certaine façon. Alors le meilleur moyen, c'est de mélanger les méthodes en utilisant au moins deux facteurs d'authentification. Mais surtout, prenez garde de vous assurer de la solidité de ces moyens. Réconciliez-vous avec ces ennemis qui vous veulent du bien, car c'est eux qui sont les garants de votre identité numérique. Par définition, votre identité numérique est virtuelle, mais si elle est compromise, cela peut avoir des conséquences bien réelles. Dans le film Inception, le personnage central garde avec lui une toupie, dont il est le seul à connaître tous ses secrets. Son poids, la nature du métal qui la compose, c'est la raison pour laquelle personne d'autre que lui n'a le droit d'y toucher. Comme il connaît chacune de ses caractéristiques, il l'utilise pour faire la différence entre la réalité et l'une de ses nombreuses vies parallèles. Si d'aventure quelqu'un parvenait à découvrir son secret, et si surtout, une copie parfaite de cette toupie existait, il ne serait plus capable de faire le lien entre la réalité et le monde virtuel. Eh bien, il en est de même pour vous avec votre identité numérique. Merci d'avoir écouté la cybersécurité expliquée à ma grand-mère. Merci à Hergé d'avoir peut-être inspiré John Pollard et à tous ceux qui cherchent à améliorer notre cybersécurité. N'hésitez pas à liker cet épisode et à le partager avec vos amis. Et surtout, n'oubliez pas, pour certains, la cybersécurité est un enjeu de vie ou de mort. C'est bien plus sérieux que ça.