strong authetification - confoo 2011

Strong Authentication

Authentification forte

Wednesday, 2011-03-09

OWASPThe Open Web Application Project


This ain't the Eiffel TowerCeci n’est pas la

tour Eiffel


Agenda


Authentication vs Authorization

L’authentification vs l’autorisation


Authentication's Problems

Les problèmes de l’authentification


The solutions

Les solutions


Solutions for all budgets

Des solutions pour toutes les bourses


I answer question Je réponds aux questions


Authentication vs Authorization

L’authentification versus l’autorisation


AuthenticationAuthentification


AuthenticationAuthentification

Procedure that verifies the identity of an entity (person, computer ...) to allow access to resources (systems, networks, applications ...)

Procédure qui permet de vérifier l'identité d'une entité (personne, ordinateur...) pour autoriser l'accès à des ressources (systèmes, réseaux, applications...).


AuthorizationAutorisation


AuthorizationAutorisation

Procedure that allows access to resources only to those authorized to use.

Procédure qui permet l'accès à des ressources uniquement aux personnes autorisées à les utiliser.


Authentication's Problems

Les problèmes de l’authentification


Accurately identify the entity

Identifier fidèlement l'entité


Accurately identify the entity type

Identifier le type d'entité


Accessibility

Accessibilité


Broken Password

Le mot de passe est brisé


The human factorLe facteur humain

• without reason• 45 % of woman1

• 10 % of man1

• For a chocolat bar• 64 % of people

• sans raison• 45 % des femmes1

• 10 % des hommes1

• Contre une barre de chocolat• 64 % des gens

Easily give their passwords to strangersDonnent ses mots de passe à des étrangers

1 Infosec Europe conference 2008


Broken PasswordLe mot de passe est brisé

Chris Nickerson - Exotic Liability #37


http://www.google.com/url?q=http://www.exoticliability.com/profile/ChrisNickerson&ei=OKr6SoOiPMTK_gbhxdi0DA&sa=X&oi=smap&resnum=1&ct=result&cd=1&ved=0CAgQqwMoAA&usg=AFQjCNGiLynYXqrAEbSFYuSeoU0-Sep6IA

http://www.google.com/url?q=http://www.exoticliability.com/profile/ChrisNickerson&ei=OKr6SoOiPMTK_gbhxdi0DA&sa=X&oi=smap&resnum=1&ct=result&cd=1&ved=0CAgQqwMoAA&usg=AFQjCNGiLynYXqrAEbSFYuSeoU0-Sep6IA

Use security question?Utiliser une question de sécurité?


The solutions

Les solutions


Sign the formSigner le formulaire


Sign the formSigner le formulaire

sha1($salt . $sessionId . $timestamp)


http://www.captcha.net/


http://www.captcha.net

http://www.captcha.net

recaptchahttp://www.recaptcha.net/


http://www.recaptcha.net

http://www.recaptcha.net

Faithfully identify the entity

Identifier fidellement l'entité


http://www.openid.netWednesday, 2011-03-09

http://www.openid.net


http://www.oauth.netWednesday, 2011-03-09



http://developers.facebook.com/docs/authentication/


http://developers.facebook.com/connect.php




Memorial factor

Facteur mémoriel


Memorial factor

Facteur mémoriel

Physical factor

Facteur physique


Memorial factor

Facteur mémoriel

Physical factor

Facteur physique

Reactional factor

Facteur réactionnelWednesday, 2011-03-09

Memorial factor

Facteur mémoriel

Material factor

Facteur matériel

Physical factor

Facteur physique

Reactional factor

Facteur réactionnelWednesday, 2011-03-09

Reactional factor

Facteur réactionnel

Physical factor

Facteur physique

Memorial factor

Facteur mémoriel

Material factor

Facteur matériel


Physical factor

Facteur physique

Memorial factor

Facteur mémoriel

Reactional factor


Material factor

Facteur matériel


Reactional factor


Physical factor

Facteur physique

Memorial factor

Facteur mémoriel

Material factor

Facteur matériel


Reactional factor


Memorial factor

Facteur mémoriel

Physical factor

Facteur physique

Material factor

Facteur matériel


Memorial factor

Facteur mémoriel

Physical factor

Facteur physique

Reactional factor


Material factor

Facteur matériel


Solutions for all budgets

Des solutions pour toutes les bourses


Perfect Paper Passwords


https://www.grc.com/ppp.htm




256-bit sequence Key

Rijndael / AES Cipher

128-bits/block with 256-bit Key

128-bit Counter

128-bit Long Division

Character Set Size

Key

Plaintext

CiphertextDividend

Divisor

Quotient

Remainder


YubikeyWednesday, 2011-03-09

http://www.yubico.com/products/yubikey/






tgbvgf

lvvndi

jcfhft

gnnldh

gvikti

vhdvne

kehejc

eh

tgbvgf

lvvndi

knblil

krtbdv

flbdhv

dvutlb

lkfuue

el

cccccc

cclild

cuhrrh

neenjb

rrbbni

kcvhvb

gbcbnv

hn

cccccc

cclild

ibndgd

gihuvd

cggthn

jrbcuj

dkujnb

lv


Doesn't protect you...

Ne vous protège pas de ...


Questions ?

• [email protected]

• http://www.ph-il.ca

• @SecureSymfony

• http://www.ph-il.ca/en/conferences

• http://www.ph-il.ca/fr/conferences


mailto:[email protected]

mailto:[email protected]

http://www.ph-il.ca

http://www.ph-il.ca

http://www.ph-il.ca

http://www.ph-il.ca/en/conferences




http://www.ph-il.ca/fr/conferences




strong authetification - confoo 2011

Technology

security question

broken passwordle mot

utiliser une

passe est briswednesday

allbudgetsdes solutions

permet laccs

autoriser laccs

type dentitwednesday