vendredi 15 mars 2013

En marge de SEPAmail : SAPPhire, prometteur

Au fil du projet SEPAmail, il y a des idées (portées par des hommes) qui sont simples et réalisables... moins brillantes peut-être que les dogmes de quelques experts mais elles m'ont séduit car je crois en leur potentiel de métamorphose du sujet qu'elle traite.

Je démarre avec une idée conjointe d'Alain Mazieras et Cyril Vignet : SAPPhire pour Standard pour une Authentification des Personnes et des Programmes, Haute interopérabilité et ré-utilisation en Extension (en français) ou Standard Authentication Persons & Programs High Interoperability and ReUse Extension (en anglais).


Le constat vient de le la nature même de l'authentification des êtres humains à distance.
Difficile, elle fait beaucoup parler les experts mais reste obscure pour les utilisateurs. Elle est notamment dangereuse car incomprise.

SAPPhire amène deux idées simples :
  • idée 1 : on ne traite pas tous les cas mais seulement les trois principaux, ceux les plus utilisés et on les classe en trois niveaux
  • idée 2 : on met en avant un fondamental de sécurité : l'authentification par rebond
Détaillons un peu ces deux idées.

Les niveaux SAPPhire orientés usages


Les usages nécessitant une authentification à distance déclarée sont :
  • la consultation
  • l'action
  • la signature
  • les autres cas (pour ne pas oublier !)
SAPPhire propose trois niveaux correspondant aux trois premiers cas:
  • SAPPhire 1 : les conditons de la consultation
  • SAPPhire 2 : les conditions de l'action
  • SAPPhire 3 : les conditions de la signature numérique
auxquels on pourrait rajouter, pour être clair :
  • SAPPhire 0 : les conditions de la non authentification
Pour prendre un exemple concret : quand vous vous connectez à votre webmail favori:
  • pour consulter vos mail, vous êtes en SAPPhire 1
  • pour écrire un mail, vous êtes en SAPPhire 2
  • pour signer un contrat, vous êtes en SAPPhire 3
On voit que ce genre d'approche tient pour les usages courants depuis quelques dizaines d'années et peut durer encore quelques dizaines d'années.

Comment se décline techniquement ces niveaux ?

C'est bien entendu la question de SAPPhire. SAPPhire répond en fonction de l'état de l'art du moment. En ce moment, nos experts parleront de scoring et de cryptographie... jusqu'à ce que ces technologies soient dépassées ou passées de mode.

Les niveaux SAPPhire résisteront aux changements de mode puisqu'ils sont orientés usages et non techno.

L'authentification par rebond



Pour faire simple, l'authentification (en présence ou à distance) repose toujours sur un rapprochement entre des identifiants connus et des identifiants présentés.
Pour authentifier sereinement, il faut sécuriser ces trois points :
  • les identifiants connus
  • le rapprochement
  • la présentation des identifiants à rapprocher
On en vient vite à un problème qui boucle sur lui-même, ce qui n'aide pas la sérénité.

Il est d'usage, pour éviter ces bouclages, de rebondir sur du connu :
  • quelques personnes connues se portent garant de vous
  • vous présentez une identification standard pour vous authentifier (par exemple une pièce d'identité)
SAPPhire propose un mécanisme d'inscription au service reposant :
  • soit sur un rebond après, en validant une inscription a posteriori sur un canal sécurisé (par exemple un distributeur automatique de billet)
  • soit sur un rebond avant, en validant une inscription a priori avec un authentifieur sécurisé (par exemple une clé ebics)
  • soit sur un rebond réseau, en validant une inscription à l'aide de personnes authentifiées d'un réseau validant l'authentification avec leur propres critères et s'engageant sur cette authentification

Que faut-il a SAPPhire pour devenir un standard ?


SEPAmail fait la promotion de SAPPhire pour l'inscription au service sur le canal courriel sécurisé ou application mobile.

Cependant, SEPAmail ne suffira pas à généraliser SAPPhire. Il faudrait que les concepteurs de SAPPhire ou des volontaires, proposent une formalisation de ces deux principes au sein d'une RFC pour l'ietf par exemple ou encore qu'une institution comme l'Europe décide d'inclure ce type d'approche dans son référentiel de sécurité.

Avec l'avènement de sociétés gigantesques auto-proclamées tiers de confiance et de la cacophonie qu'elles proposent autour de l'indexation des populations, gageons que cette normalisation (ou une équivalente) va devenir nécessaire rapidement.

Pour aller plus loin

Aucun commentaire: