 |
|
||||
|
 |
 |
|||
|
|
||||||||||||
|
|||||||||||||
|
|||||||||||||
|
|||||||||||||
|
1) Introduction
Le SETI s'est déroulé du 26 au 28 Mars 2002 à Paris Expo, à la Porte de Versailles. Le SETI regroupe un ensemble de 12 salons au même endroit :
La majorité de ces salons proposent en parallèle au salon des cycles de conférences. HSC s'est focalisé sur les parties liée à la sécurité : les expositions, les tutoriels et conférences Netsec, et la session sécurité du congrès Net2002, associé à l'exposition Online.
2) Expositions
Les expositions étaient importantes, occupant la plupart des halls de Paris Expo, cependant celles-ci n'ont pas présenté de nouveautés marquantes en sécurité. Le salon des Radio-fréquences, Hyper-fréquences et wireless (http://www.birp.com/hyper/) ne proposait pas d'antennes ou de logiciels spécifiques pour le 802.11b, ou d'équipements intéressants pour la sécurité. Le salon Netsec comptait moins d'exposants que la liste affichée sur le serveur web (http://www.groupesolutions.com/NETSEC/Netsec_liste.htm) avec certains d'entre eux qui ne sont pas directement lié à la sécurité. Cette exposition à plutôt montré une stagnation économique du marché de la sécurité. Une nouveauté était les publicités pour la norme ISO17799, comme sur le stand de Terra Proxyma, partagé avec Auditware. Cependant, les sociétés offrant des services autour de la norme ISO17799 rapportent toujours la possibilité d'évaluer ou de certifier son niveau de sécurité. Je rappelle qu'il n'existe pas de tels processus normalisés. La norme est un document de recommandations. Seule l'utilisation de la norme anglaise BS7799-2 permet d'engager un tel processus, et cette dernière n'a pas été proposée à l'ISO. Enfin, dans l'espace du salon Netsec, 18 réseaux sans fil étaient détectables, dont 14 sans utilisation du WEP, un des 4 en WEP étant celui d'HSC. Pour en savoir plus :
3) Netsec
HSC (http://www.hsc.fr/) est intervenu pour deux tutoriels d'une journée, sécurité du commerce électronique et une nouveauté avec la sécurité des réseaux sans fil, en détaillant l'existant pour sécuriser un réseau sans fil avec Cisco LEAP et le futur avec IEEE 802.11i qui comble les failles du WEP en introduisant une clé dynamique, une authentification de l'utilisateur et un contrôle d'accès au niveau MAC avec 802.1X. Le cycle de conférences a été orienté présentation de produits et marketing, par des commerciaux connaissant parfois mal leur propre produit, sans toujours suivre le contenu annoncé.
4) Net2002 : PKI
Lors du congrès Net2002, Franck Davy (Hervé Schauer Consultants), a présenté un état de l'art des solutions PKI libres (open-source). Thomas Hutin, ingénieur avant-vente de Baltimore technologies, a débuté la conférence. Il a succinctement présenté les perspectives de plates-formes de services fondées sur des solutions Baltimore, solutions notamment fondées sur l'utilisation de certificats d'attributs. Ahmed Serhrouchni, enseignant-chercheur à l'ENST Paris, a poursuivi par un rappel technique sur les Infrastructures à Clé Publique (notion de cryptographie asymétrique, introduction à la norme X.509 et au profil PKIX etc.). Son discours s'est essentiellement centré sur les certificats d'attributs, en cours de normalisation à l'IETF.
Gérard Weisz, secrétaire général de la FNTC (Fédération Nationale des Tiers de Confiance, http://www.fntc.org/) a dressé un panorama des prestataires de services de certification (Tiers certificateurs, archiveurs, horodateurs etc.), et a évoqué l'effort réalisé actuellement par ces différents acteurs pour la réalisation de labels de qualité nationaux. discutant, HSC a constaté que ceux qui connaissaient IDX-PKI considéraient les solutions comme Unicert de Baltimore comme étant des solutions d'infrastructures pour des utilisateurs ne connaissant réelleement pas le domaine de la PKI et les possibilités offertes, en demeurant réaliste, par cette technologie. Il en résulte l'adoption de solutions packagées qui, outre leur prix excessif, manquent cruellement de flexibilité. On trouve des exemples de sociétés ayant totalement redéveloppé en interne une PKI, afin que celle-ci réponde parfaitement adaptée aux besoins exprimés. Un juste équilibre est à trouver : une solution telle que IDX-PKI apparaît dès lors comme une bonne base de départ, même si elle apparaît naturellement comme difficilement exploitable en l'état, sans développement supplémentaire. Une PKI ne s'achète pas, elle se construit ; elle constitue à ce titre un projet structurant l'entreprise, à laquelle elle doit s'adapter - et non l'inverse. À Eurosec, la DCSSI a présenté un cas similaire de redéveloppement sur mesure pour répondre à ses besoins. Le frein majeur à l'adoption d'IDX-PKI reste l'utilisation de la bibliothèque OpenSSL, qui ne réponds pas aux critères de qualité du reste. Pour clore ce cycle dédié aux PKI, Azeddine Dehbi (FranCert) a effectué une présentation sur les EPC (Énoncé des Pratiques de Certification) et PC (Politique de Certification). Pour en savoir plus :
5) Net2002 : systèmes de paiement
La seconde partie de la conférence était consacrée aux systèmes de paiement, plus particulièrement dans un contexte B2C. Christophe Beauvais, président de la filiale France Télécom Orbiscom, a présenté un nouveau moyen de paiement sur Internet, baptisé O'Card et notamment fondé sur le protocole 3D-Secure.
Banque Usager
|
| ^ numéro original
numéro unique < > numéro original |
|
_________ Plate-forme Orbiscom _______
| | ^ numéro unique
| |
| |
Client ------{ Internet } {Réseau de compensation}
| |
| |
| |
------------ Site Marchand -----------
numéro unique > > numéro unique
Dans la démonstration réalisée, l'authentification s'est faite par nom d'utilisateur/mot de passe, en passant en paramètre le montant maximal autorisé pour la transaction. Pour clore cette conférence, Vincent Rigal (membre fondateur de Smart Design et ancien directeur technique de l'activité Carte à Puce chez Schlumberger) a effectué une présentation remarquable intitulée "La sécurité des paiements par cartes: les raisons profondes d'échecs retentissants", mettant en exergue les difficultés rencontrées par les quelques 160 systèmes de paiement recensés sur Internet. Il aura notamment expliqué les raisons de l'échec du système double fente de France Télécom, pénalisant fortement l'utilisateur :
Vincent Rigal a notamment émis des doutes sur le système Orbiscom, dans la mesure où il nécessite l'installation par le client d'un logiciel spécifique. Ce dernier procédé a cependant l'avantage d'être créateur de confiance et de laisser son caractère répudiable à un achat effectué en ligne. Autre avantage indéniable : il est promu par VISA. Un procédé imaginé par Smart Design et présenté par Vincent Rigal se nomme GeoTel. L'idée est née suite à la constatation que la majorité des fraudes (ou les plus coûteuses du moins) concernent les "borders frauds", typiquement pour des achats effectués depuis l'étranger, par exemple suite au vol de son numéro de carte à l'étranger. Ce type de fraude est d'autant plus inquiétant que sa progression est linéaire (à forte pente) depuis quelques années. Le principe est simple : lorsqu'un achat est effectué à l'étranger, le GSM du client est localisé (on suppose bien entendu que le client possède un mobile GSM, ce qui est naturel s'il est abonné au service). Si le GSM est effectivement dans le pays d'où est effectué l'achat, la transaction se déroule normalement ; dans le cas contraire, le propriétaire du mobile GSM est appelé pour confirmation.
6) Conclusion
Plutôt que celles de Netsec, la session la plus intéressante aura été celle sur la sécurité dans le cadre de Net2002 , qui a duré 4h30, malgré l'absence de plusieurs participants initialement prévus. Le point qui se confirme est que la PKI n'est plus en vogue, particulièrement dans le commerce électronique (systèmes de micro-paiements ou non). Une telle infrastructure nécessite en effet l'installation d'un logiciel côté client ou marchand (voire les deux), avec généralement de lourdes contraintes de sécurité. Dans le cas de SET, le commerçant devait véritablement s'équiper d'un bastion. (*) NetSecure software a déposé son bilan à la mi Mars 2002 et son sort sera sans doute fixé par le tribunal en Mai ou en Juin. |
|||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
|
|
Dernière modification le 7 novembre 2007 à 17:48:18 CET - webmaster@hsc.fr
Informations sur ce serveur - © 1989-2010 Hervé Schauer Consultants |
|
