EP1649665A2 - PROCEDE ET SYSTEME DE DOUBLE AUTHENTIFICATION SECURISEE D UN UTILISATEUR LORS DE L ACCES A UN SERVICE PAR L’INTERM EDIAIRE D UN RESEAU DE TRANSMISSION DE DONNEES. - Google Patents

PROCEDE ET SYSTEME DE DOUBLE AUTHENTIFICATION SECURISEE D UN UTILISATEUR LORS DE L ACCES A UN SERVICE PAR L’INTERM EDIAIRE D UN RESEAU DE TRANSMISSION DE DONNEES.

Info

Publication number
EP1649665A2
EP1649665A2 EP04767677A EP04767677A EP1649665A2 EP 1649665 A2 EP1649665 A2 EP 1649665A2 EP 04767677 A EP04767677 A EP 04767677A EP 04767677 A EP04767677 A EP 04767677A EP 1649665 A2 EP1649665 A2 EP 1649665A2
Authority
EP
European Patent Office
Prior art keywords
authentication
user
network
access
actors
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Withdrawn
Application number
EP04767677A
Other languages
German (de)
English (en)
Inventor
Estelle Transy
Fréderic DELMOND
Sébastien NGUYEN NGOC
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Orange SA
Original Assignee
France Telecom SA
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by France Telecom SA filed Critical France Telecom SA
Publication of EP1649665A2 publication Critical patent/EP1649665A2/fr
Withdrawn legal-status Critical Current

Links

Classifications

    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/31—User authentication
    • G06F21/40—User authentication by quorum, i.e. whereby two or more security principals are required
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/31—User authentication
    • G06F21/34—User authentication involving the use of external additional devices, e.g. dongles or smart cards
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0853—Network architectures or network communication protocols for network security for authentication of entities using an additional device, e.g. smartcard, SIM or a different communication terminal
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0884—Network architectures or network communication protocols for network security for authentication of entities by delegation of authentication, e.g. a proxy authenticates an entity to be authenticated on behalf of this entity vis-à-vis an authentication entity
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/14—Session management
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L69/00—Network arrangements, protocols or services independent of the application payload and not provided for in the other groups of this subclass
    • H04L69/30—Definitions, standards or architectural aspects of layered protocol stacks
    • H04L69/32—Architecture of open systems interconnection [OSI] 7-layer type protocol stacks, e.g. the interfaces between the data link level and the physical level
    • H04L69/322—Intralayer communication protocols among peer entities or protocol data unit [PDU] definitions
    • H04L69/329—Intralayer communication protocols among peer entities or protocol data unit [PDU] definitions in the application layer [OSI layer 7]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0861—Generation of secret information including derivation or calculation of cryptographic keys or passwords
    • H04L9/0869—Generation of secret information including derivation or calculation of cryptographic keys or passwords involving random numbers or seeds
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/321—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving a third party or a trusted authority
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3226—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using a predetermined code, e.g. password, passphrase or PIN
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3271—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using challenge-response
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload

Definitions

  • the present invention relates to the provision of services accessible via a data transmission network, such as services based on an IP (Internet Protocol) transport accessible in particular by the Internet, or conversational services over IP.
  • a data transmission network such as services based on an IP (Internet Protocol) transport accessible in particular by the Internet, or conversational services over IP.
  • IP Internet Protocol
  • a user when a user wishes to access such a service, he must connect to the IP network via an access network and a service provider (FS) such as a provider. Internet access. For this purpose, it must first be authenticated by an authentication server of the service provider. For this, he must send him an identifier of the form identifianfFS @ domaineFS and a password. Such authentication allows the service provider to personalize its services, for example by transmitting to the user a home page in which the name of the user appears.
  • FS service provider
  • an online banking service on the Internet requires an access network operator, an Internet service provider and the bank concerned.
  • Access to a corporate intranet requires at least one access network operator and the company concerned.
  • IP / PPP Point-to-Point Protocol
  • PSTN Switchched Telephone Network
  • ISDN Digital Integrated Services Network
  • ADSL Asymmetric Digital Subscriber Line
  • the present invention aims to eliminate these drawbacks by proposing a method for performing authentication for several actors independent of the network. This objective is achieved by providing a method for authenticating a user when attempting to access an actor in a data transmission network, this method comprising steps during which:
  • a user terminal sends an actor of the network an access request containing identification and authentication data of the user to the actor, the access request being transmitted via the network to an actor authentication server,
  • the authentication server performs a user authentication procedure on the basis of the identification and authentication data contained in the access request, and
  • the authentication server transmits to the user terminal a response message containing the result of the authentication of the user by the authentication server.
  • this method also comprises stages during which:
  • user authentication data with at least two actors in the network are calculated using at least one predefined cryptographic algorithm and at least one secret key specific to the user,
  • the terminal inserts the user identification data from said network actors and the calculated authentication data into the access request, and
  • the terminal transmits the access request to an access controller which transmits to each of the two actors a respective authentication request containing respectively the identification and authentication data of the user with said network actors, contained in the access request,
  • authentication servers of each of the actors execute a user authentication procedure, based on the identification and authentication data of the user, contained in the authentication requests, and
  • At least one of the authentication data is calculated by a module connected to the terminal.
  • this method comprises a prior step during which the terminal establishes a connection with a specialized server via the network, the random number being generated and transmitted to the terminal by the specialized server at following the establishment of the connection.
  • the access request sent by the terminal is transmitted to the specialized server which inserts therein the random number used to calculate the authentication data, the access request being then transmitted to the access controller which inserts the random number into the authentication requests transmitted to the two actors.
  • the authentication procedures executed by the actors' authentication servers include a step of searching for the user's secret key on the basis of the identification data contained in the authentication request, a step of calculating authentication data by executing the cryptographic algorithm with the user's secret key and the random number contained in the authentication request, and a step of comparing the authentication data contained in the authentication request, with the calculated authentication data, the user being correctly authenticated if the authentication data contained in the authentication request corresponds to the calculated authentication data.
  • the actors of the network include several actors among access providers offering the user access to the Internet network, IP service providers, and an access network operator. and IP transport.
  • the identification data inserted in the access request are in the form:
  • IdA represents the user identifier with the network operator
  • DomainA represents the identifier of the network actor in the network
  • the access controller determining the actors to which to transmit the authentication requests on the basis of the identifiers "DomainA" of the network actor contained in the access request.
  • the steps of authenticating the user by the authentication servers of the actors are carried out one after the other.
  • the user authentication steps by the actors' authentication servers are triggered substantially simultaneously.
  • the random number from which the data The authentication credentials are calculated is a random number modified with each connection attempt.
  • the user authentication procedures are carried out in accordance with the CHAP protocol.
  • the invention also relates to a system for authenticating a user when trying to access an actor of a data transmission network to which actors of the network are connected, and to which user terminals can access. via access networks, this system comprising:
  • each user terminal for transmitting requests for access to a network actor, these requests containing identification and authentication data of the user with the network actor, and
  • At least one authentication server for each of the actors in the network, designed to identify and authenticate users according to the identification and authentication data contained in the access requests received.
  • each user terminal comprises means for receiving a random number when establishing a connection with the network, cryptographic calculation means for applying at least one predefined cryptographic algorithm to the random number received in order to '' obtain user authentication data from at least two network players, and means for inserting user identification data from the two network players into each access request sent and calculated authentication data
  • the system further comprising an access controller comprising means for receiving the access requests from user terminals and transmitted by the network, means for extracting from each of the access requests the user identification and authentication data from at least two actors in the network, means for transmitting to each of the two actors a respective authentication request containing respectively the identification and authentication data of the user with the two actors, contained in the access request.
  • this system comprises an external module designed to connect to each of the user terminals and comprising means for receiving the random number from the terminal to which it is connected, means of cryptographic calculation to execute the cryptographic algorithm predefined on the basis of the random number, and for transmitting to the terminal at least one user authentication data item to a network actor obtained by cryptographic calculations.
  • the predefined algorithm is a cryptographic algorithm using a secret key specific to the user and stored by the module.
  • the module is a microprocessor card, each terminal comprising means for connecting to a microprocessor card.
  • the access controller further comprises means for receiving authentication reports from the user, issued by the actors in response to authentication requests, and means for transmit to the user terminal an authentication report on the basis of the reports received from the actors.
  • this system further comprises a specialized server connected to the network so as to be connected to the user terminals following the establishment of a connection of the terminal to the network, the specialized server comprising means for generating and transmitting a random number to each of the terminals with which a connection is established, and means for inserting the random number in each of the access requests sent by the terminals.
  • the specialized server is an HTTP server comprising an interface with the RADIUS protocol.
  • the access controller is a RADIUS Proxy.
  • each actor of the network comprises means for storing secret keys of users, means for determining the authentication data of the user from the actor by applying the predefined algorithm to the random number received in an authentication request and to the secret key of a user, and for comparing the result obtained with the user authentication data received in the authentication request, the user being correctly authenticated by the actor only if the result of the cryptographic calculation obtained is equal to the authentication data contained in the authentication request .
  • FIG. 1 schematically represents the architecture of a service supply system, according to the invention
  • FIG. 2 represents a sequencing diagram of steps which are executed in the system represented in FIG. 1, according to the method according to the invention.
  • the system shown in FIG. 1 comprises access networks 1, 2 to which teixnals 11 of users are connected. These access networks 1, 2 provide the terminals 11 with access to an IP transport network 5 via respective IP gateways 3, 4 adapted to the access network. All access networks, gateways and the IP transport network are implemented by an ORA / OTI operator of IP access and transport networks.
  • the IP transport network 5 allows users to access an Internet service provider 6, 7 or an IP service provider 8.
  • this system comprises, according to the invention, a specialized server 12 which delivers to users wishing to connect to the IP network, random numbers intended to be used during identification procedures, and an access controller 10 connected to the IP transport network 5 and to which the specialized server 12 transmits the access requests sent by the terminals 11.
  • the access controller 10 is designed to receive all requests for access to a provider 6, 7, 8 of access or of service, sent by the users on the networks 1, 2, via the gateway 3 , 4 corresponding to the network access 1, 2 employee, and the specialized server 12, and to direct these requests through the IP transport network to the provider 6, 7, 8 of access or service indicated in the request by the terminal of the 'user.
  • gateways 3, 4 can alternately provide the functions executed by the specialized server 12.
  • the user's terminal To access the IP network 5 via an access provider 6, 7 and to a particular service offered by a service provider 8 connected to the network, the user's terminal first performs a procedure d establishment of connection with the specialized server 12 to obtain a random RAND number. Next, the user's terminal sends an access request to the desired service provider via the access provider, which is transmitted successively by the IP gateway 3, 4 and by the specialized server 12 to the access controller 10. Upon receipt of such a request, the access controller 10 requests the access provider 6, 7 and the service provider 8 requested to authenticate the user. When the access provider and the service provider have sent their response concerning user authentication, the access controller sends an access authorization response to the user's terminal 11, depending authentication responses received.
  • the user's terminal 11 To access an IP service, the user's terminal 11 first of all executes a procedure 21 for establishing a connection with the specialized server 12 via an IP gateway 3, 4 accessible to the terminal, the address of the server specialist being for example known from the connection software installed in the terminal.
  • This procedure consists first of all in establishing a connection with the IP gateway 3, 4, for example in accordance with the LCP protocol (Link Control Protocol).
  • LCP protocol Link Control Protocol
  • a random RAND number is sent by the specialized server 12 to the terminal 11 (step 22), for example in the form of a challenge message 41 conforming to the CHAP protocol.
  • This random number is intended to serve as a basis for password calculations that can only be used for the current connection and access attempt.
  • password calculations are advantageously based on algorithms cryptography involving one or more secret keys and the random RAND number provided by the specialized server for the current connection.
  • the cryptographic algorithms can be implemented by the user's terminal, and / or preferably by a module 15 physically independent of the latter, for example of the microprocessor card type.
  • connection software installed in the terminal is also designed to interrogate the module 15.
  • the cryptography algorithm chosen is, for example, that which is implemented in the SIM (Subscriber Identification Module) cards of mobile terminals of the GSM (Global System for Mobile communications) type.
  • SIM Subscriber Identification Module
  • GSM Global System for Mobile communications
  • the terminal On receipt of the challenge message 41, the terminal extracts the random number RAND 42 therefrom and transmits it to the module 15 connected to the terminal (step 23).
  • the module 15 applies a cryptography algorithm to the random number received using a secret key from the user, which makes it possible to obtain a number 43 to be used as the authentication password for the user.
  • a cryptography algorithm to be used as the authentication password for the user.
  • the passwords AUTH1, AUTH2 possibly calculated by the module 15 are then transmitted in response to the terminal 11.
  • step 24 is at least partially executed by the terminal.
  • This request message 44 includes the identifiers ID1 and ID2 of the user respectively from the access provider and the chosen service, and the passwords AUTH1 and AUTH2 obtained by the cryptographic calculations.
  • the specialized server 12 On receipt of the request message 44, the specialized server 12 encapsulates this message in an access authorization request 45 (step 26).
  • This request is for example of the "Access-Request” type conforming to the RADIUS protocol (Remote Authentication Dial In User Service) comprising a username attribute "User-Name” equal to the two concatenated identifiers ID1
  • the request 45 is transmitted by the specialized server 12 to the access controller 10.
  • the access controller receives the request 45 and extracts the identification and authentication parameters therefrom. These parameters are transmitted in steps 28, 29 in authentication messages 46, 47 respectively to the authentication servers 16 of the access provider and of the chosen service provider.
  • the identification information ID1 and ID2 are for example of the form "IdA @ domainA", "IdA” allowing the user to be identified in a unique way with the access or service provider, and "domainA” allowing determine the domain name in the IP network of the server to which the corresponding authentication message must be sent.
  • These authentication messages 46, 47 each contain the identifier and the password corresponding to the recipient of the message, as well as the random number RAND.
  • the authentication server 16 Upon receipt of such an authentication message 46, 47, the authentication server 16 executes an authentication procedure 28, respectively 29.
  • This authentication procedure consists in identifying the user by means of the information of identification ID1, respectively ID 2, then determining the user's secret key by accessing a secret key database of authorized users, then calculating the user's password using this key secret and of the RAND number received, and finally to compare the password thus calculated with that which was received.
  • the authentication server has the same cryptographic algorithm as that used by the terminal 11 or the module 15.
  • the user is correctly authenticated only if the password calculated by the authentication server is identical to that which was received.
  • the result of this authentication in the form of success / failure, is transmitted to the access controller 10 in the form of an authentication report message 48, respectively 49.
  • the access controller 10 On receipt of the two authentication report messages 48, 49, coming respectively from the access provider 6, 7 and from the chosen IP service provider 8, the access controller 10 has the information necessary to manage the access rights of the user according to the policy of the operator ORA / OTI and executes a step 30 of generation of a message 50 of response to the access request sent by the user and transmits this message response to the specialized server 12.
  • This response message 50 contains the authentication reports sent by the access provider 6, 7, and by the chosen service provider 8.
  • authentication procedures 28 and 29 executed by the access provider 6, 7 and the service provider 8 can be executed simultaneously or else sequentially in any order.
  • the specialized server 12 executes a procedure 31 consisting in extracting from this response message the information to be returned to the user, then transmitting to the user terminal in a message 51, for example from type "CHAP-success” or "Chap-failure" for the CHAP protocol, the extracted information intended for it.
  • a user can be authenticated simultaneously by different actors of the network, for example benefit from an Internet access in which he has been authenticated by a secure online payment service, for example offered by a banking organization. It can also be authenticated by the operator ORA / OTI.
  • the invention which has just been described can be achieved by implementing a specialized server 12 of the HTTP server type, and an access controller 10 of the RADIUS proxy type, the specialized server comprising a RADIUS interface in order to be able to communicate with the controller access, the authentication servers are also RADIUS servers.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Signal Processing (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Theoretical Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Software Systems (AREA)
  • General Physics & Mathematics (AREA)
  • Physics & Mathematics (AREA)
  • Computing Systems (AREA)
  • Computer And Data Communications (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Lock And Its Accessories (AREA)

Abstract

Procédé d'authentification d'un utilisateur lors d'un accès à des services offerts par un réseau de transmission de données (5), dans lequel : un nombre aléatoire est transmis à un terminal (11) d'utilisateur ; des données d'authentification de l'utilisateur auprès de deux acteurs (6, 7, 8) du réseau (5) sont calculées par cryptographie à l'aide de clés secrètes propres à l'utilisateur, le terminal (11) insère dans une requête d'accès des données d'identification et les données d'authentification calculées, et transmet la requête à un contrôleur d'accès (10) qui transmet à chacun des deux acteurs une requête d'authentification respective contenant les données d'identification et d'authentification de l'utilisateur ; chacun des acteurs exécute une procédure d'authentification (28, 29), sur la base des données d'identification et d'authentification de l'utilisateur, contenues dans les requêtes d'authentification, et émettent des comptes rendus d'authentification contenant les résultats des procédures d'authentification, à destination du terminal (11).

Description

PROCEDE ET SYSTEME DE DOUBLE AUTHENTIFICATION SECURISEE D'UN UTILISATEUR LORS DE L'ACCES A UN SERVICE PAR L'INTERMEDIAIRE D'UN RESEAU DE TRANSMISSION DE DONNEES.
La présente invention concerne la fourniture de services accessibles par l'intermédiaire d'un réseau de transmission de données, tels que les services basés sur un transport IP (Internet Protocol) accessibles notamment par le réseau Internet, ou les services conversationnels sur IP.
A l'heure actuelle, lorsqu'un utilisateur souhaite accéder à un tel service, il doit se connecter au réseau IP par l'intermédiaire d'un réseau d'accès et d'un fournisseur de service (FS) tel qu'un fournisseur d'accès Internet. A cet effet, il doit préalablement être authentifié par un serveur d'authentification du fournisseur de service. Pour cela, il doit lui transmettre un identifiant de la forme identifianfFS@domaineFS et un mot de passe. Une telle authentification permet au fournisseur de service de personnaliser ses services, par exemple en transmettant à l'utilisateur une page d'accueil dans laquelle figure le nom de l'utilisateur.
Une fois que l'utilisateur est connecté au réseau Internet, il peut accéder à d'autres services qui peuvent également proposer une identification et authentification de l'utilisateur afin de pouvoir lui offrir des services à forte valeur ajoutée. Par exemple, un service de banque en ligne sur Internet nécessite un opérateur de réseau d'accès, un fournisseur d'accès à Internet et la banque concernée. Un accès à un réseau Intranet d'entreprise nécessite au moins un opérateur de réseau d'accès et l'entreprise concernée.
Plusieurs authentifications peuvent donc être effectuées durant une même connexion. Comme ces authentifications sont réalisées par des acteurs différents du réseau, elles sont effectuées d'une manière indépendante, ce qui oblige l'utilisateur à exécuter plusieurs procédures d'authentification. L'ergonomie ainsi offerte à l'utilisateur apparaît donc médiocre, et fastidieuse.
Par ailleurs, il s'avère que les procédures d'authentification utilisées actuellement par les fournisseurs de services et qui sont basées sur la fourniture d'un identifiant et d'un mot de passe, offrent une sécurité médiocre, et en tout cas, insuffisante pour permettre à un acteur de jouer le rôle de tiers de confiance vis-à-vis d'autres fournisseurs de services.
Dans le cas de réseaux d'accès, les procédures d'authentification actuelles qui sont exécutées durant les connexions IP/PPP (Point-to-Point Protocol) via un réseau RTC (Réseau Téléphonique Commuté), RNIS (Réseau Numérique à Intégration de Services) ou l'ADSL (Asymmetric Digital Subscriber Line), ne permettent pas d'effectuer une authentification au niveau du réseau d'accès pour les connexion PPP. Généralement, l'opérateur de réseau ORA/OTI (Opérateur de Réseaux d'Accès / de Transport IP) ne peut pas utiliser les informations transmises par l'utilisateur pour être authentifié auprès du fournisseur de service, dans le but d'identifier l'utilisateur, car il ne maîtrise pas ces informations qui sont gérées par un autre domaine administratif.
II existe par ailleurs une procédure d'authentification sécurisée basée sur un mécanisme de défi / réponse (Challenge / Response) qui a été normalisée par exemple par le protocole CHAP (Challenge Handshake Authentication Protocol). Toutefois, cette procédure est conçue pour effectuer une authentification sécurisée vis-à-vis d'un seul acteur indépendant, et doit donc être exécutée à nouveau pour chaque acteur auprès duquel une authentification est souhaitée.
La présente invention a pour but de supprimer ces inconvénients en proposant un procédé permettant d'effectuer une authentification pour plusieurs acteurs indépendants du réseau. Cet objectif est atteint par la prévision d'un procédé d'authentification d'un utilisateur lors d'une tentative d'accès à un acteur d'un réseau de transmission de données, ce procédé comprenant des étapes au cours desquelles :
- un terminal d'utilisateur émet à un acteur du réseau une requête d'accès contenant des données d'identification et d'authentification de l'utilisateur auprès de l'acteur, la requête d'accès étant transmise par l'intermédiaire du réseau à un serveur d'authentification de l'acteur,
- le serveur d'authentification exécute une procédure d'authentification de l'utilisateur sur la base des données d'identification et d'authentification contenues dans la requête d'accès, et
- le serveur d'authentification transmet au terminal d'utilisateur un message de réponse contenant le résultat de l' authentification de l'utilisateur par le serveur d'authentification.
Selon l'invention, ce procédé comprend en outre des étapes au cours desquelles :
- un nombre aléatoire est transmis au terminal préalablement à l'émission de la requête d'accès,
- des données d'authentification de l'utilisateur auprès d'au moins deux acteurs du réseau sont calculées à l'aide d'au moins un algorithme cryptographique prédéfini et d'au moins une clé secrète propre à l'utilisateur,
- le terminal insère dans la requête d'accès des données d'identification de l'utilisateur auprès desdits acteurs du réseau et les données d'authentification calculées, et
- le terminal transmet la requête d'accès à un contrôleur d'accès qui transmet à chacun des deux acteurs une requête d'authentification respective contenant respectivement les données d'identification et d'authentification de l'utilisateur auprès desdits acteurs du réseau, contenues dans la requête d'accès,
- des serveurs d'authentification de chacun des acteurs exécutent une procédure d'authentification de l'utilisateur, sur la base des données d'identification et d'authentification de l'utilisateur, contenues dans les requêtes d'authentification, et
- des comptes rendus d'authentification contenant des résultats des procédures d'authentification exécutées par les serveurs d'authentification de chacun desdits acteurs du réseau sont transmises au terminal.
Avantageusement, au moins l'une des données d'authentification est calculée par un module connecté au terminal.
Selon un mode de réalisation de l'invention, ce procédé comprend une étape préalable au cours de laquelle le terminal établit une connexion avec un serveur spécialisé par l'intermédiaire du réseau, le nombre aléatoire étant généré et transmis au terminal par le serveur spécialisé à la suite de l'établissement de la connexion.
Selon un autre mode de réalisation de l'invention, la requête d'accès émise par le terminal est transmise au serveur spécialisé qui y insère le nombre aléatoire utilisé pour calculer les données d'authentification, la requête d'accès étant ensuite transmise au contrôleur d'accès qui insère le nombre aléatoire dans les requêtes d'authentification transmises aux deux acteurs.
Selon encore un autre mode de réalisation de l'invention, les procédures d'authentification exécutées par les serveurs d'authentification des acteurs comprennent une étape de recherche de la clé secrète de l'utilisateur sur la base de la donnée d'identification contenue dans la requête d'authentification, une étape de calcul d'une donnée d'authentification en exécutant l'algorithme cryptographique avec la clé secrète de l'utilisateur et le nombre aléatoire contenu dans la requête d'authentification, et une étape de comparaison de la donnée d'authentification contenue dans la requête d'authentification, avec la donnée d'authentification calculée, l'utilisateur étant correctement authentifié si la donnée d'authentification contenue dans la requête d'authentification correspond à la donnée d'authentification calculée.
Selon encore un autre mode de réalisation de l'invention, les acteurs du réseau comprennent plusieurs acteurs parmi des fournisseurs d'accès offrant à l'utilisateur un accès au réseau Internet, des fournisseurs de service IP, et un opérateur de réseau d'accès et de transport IP.
Avantageusement, les données d'identification insérées dans la requête d'accès sont de la fonne :
"IdA@DomaineA" dans laquelle :
- "IdA" représente l'identifiant de l'utilisateur auprès de l'acteur du réseau,
- "DomaineA" représente l'identifiant de l'acteur du réseau dans le réseau, le contrôleur d'accès déterminant les acteurs vers lesquels transmettre les requêtes d'authentification sur la base des identifiants "DomaineA" de l'acteur du réseau contenus dans la requête d'accès.
Avantageusement, les étapes d'authentification de l'utilisateur par les serveurs d'authentification des acteurs sont effectuées l'une à la suite de l'autre.
Alternativement, les étapes d'authentification de l'utilisateur par les serveurs d'authentification des acteurs sont déclenchées sensiblement simultanément.
De préférence, le nombre aléatoire à partir duquel les données d' authentification sont calculées est un nombre aléatoire modifié à chaque tentative de connexion.
Selon encore un autre mode de réalisation de l'invention, les procédures d'authentification de l'utilisateur sont effectuées conformément au protocole CHAP.
L'invention concerne également un système d'authentification d'un utilisateur lors d'une tentative d'accès à un acteur d'un réseau de transmission de données auquel sont connectés des acteurs du réseau, et auquel des terminaux d'utilisateurs peuvent accéder par l'intermédiaire de réseaux d'accès, ce système comprenant :
- des moyens prévus dans chaque terminal d'utilisateur pour émettre des requêtes d'accès à un acteur du réseau, ces requêtes contenant des données d'identification et d'authentification de l'utilisateur auprès de l'acteur du réseau, et
- au moins un serveur d'authentification pour chacun des acteurs du réseau, conçu pour identifier et authentifier les utilisateurs en fonction des données d'identification et d'authentification contenues dans les requêtes d'accès reçues.
Selon l'invention, chaque terminal d'utilisateur comprend des moyens pour recevoir un nombre aléatoire lors de l'établissement d'une connexion avec le réseau, des moyens de calculs cryptographiques pour appliquer au moins un algorithme cryptographique prédéfini au nombre aléatoire reçu afin d'obtenir des données d'authentification de l'utilisateur auprès d'au moins deux acteurs du réseau, et des moyens pour insérer dans chaque requête d'accès émise des données d'identification de l'utilisateur auprès des deux acteurs du réseau et les données d'authentification calculées, le système comportant en outre un contrôleur d'accès comprenant des moyens pour recevoir les requêtes d'accès provenant des terminaux d'utilisateurs et transmises par le réseau, des moyens pour extraire de chacune des requêtes d'accès les données d'identification et d'authentification de l'utilisateur auprès d'au moins deux acteurs du réseau, des moyens pour transmettre à chacun des deux acteurs une requête d'authentification respective contenant respectivement les données d'identification et d'authentification de l'utilisateur auprès des deux acteurs, contenues dans la requête d'accès. Selon un mode de réalisation de l'invention, ce système comprend un module externe conçu pour se connecter à chacun des terminaux d'utilisateurs et comprenant des moyens pour recevoir le nombre aléatoire du terminal auquel il est connecté, des moyens de calcul cryptographique pour exécuter l' algorithme cryptographique prédéfini sur la base du nombre aléatoire, et pour transmettre au terminal au moins une donnée d'authentification de l'utilisateur auprès d'un acteur du réseau obtenue par les calculs cryptographiques.
Avantageusement, l'algorithme prédéfini est un algorithme cryptographique utilisant une clé secrète propre à l'utilisateur et mémorisée par le module.
Selon un autre mode de réalisation de l'invention, le module est une carte à microprocesseur, chaque terminal comportant des moyens pour se connecter à une carte à microprocesseur.
Selon un autre mode de réalisation de l'invention, le contrôleur d'accès comprend en outre des moyens pour recevoir des comptes rendus d'authentification de l'utilisateur, émis par les acteurs en réponse aux requêtes d'authentification, et des moyens pour transmettre au terminal d'utilisateur un compte rendu d'authentification sur la base des comptes rendus reçus des acteurs.
Selon encore un autre mode de réalisation de l'invention, ce système comprend en outre un serveur spécialisé connecté au réseau de manière à être connecté aux terminaux d'utilisateurs à la suite de l'établissement d'une connexion du terminal au réseau, le serveur spécialisé comprenant des moyens pour générer et transmettre un nombre aléatoire à chacun des terminaux avec lesquels une connexion est établie, et des moyens pour insérer le nombre aléatoire dans chacune des requêtes d'accès émises par les terminaux.
De préférence, le serveur spécialisé est un serveur HTTP comportant une interface avec le protocole RADIUS.
Egalement de préférence, le contrôleur d'accès est un Proxy RADIUS.
Selon encore un autre mode de réalisation de l'invention, chaque acteur du réseau comprend des moyens de stockage de clés secrètes d'utilisateurs, des moyens pour déterminer la donnée d'authentification de l'utilisateur auprès de l'acteur en appliquant au nombre aléatoire reçu dans une requête d'authentification et à la clé secrète d'un utilisateur l'algorithme prédéfini, et pour comparer le résultat obtenu à la donnée d'authentification de l'utilisateur reçue dans la requête d'authentification, l'utilisateur étant correctement authentifié par l'acteur uniquement si le résultat du calcul cryptographique obtenu est égal à la donnée d'authentification contenue dans la requête d' authentification.
Un mode de réalisation préféré de l'invention sera décrit ci-après, à titre d'exemple non limitatif, avec référence aux dessins annexés dans lesquels :
La figure 1 représente schématiquement l'architecture d'un système de fourniture de services, selon l'invention ; La figure 2 représente un diagramme de séquencement d'étapes qui sont exécutées dans le système représenté sur la figure 1, conformément au procédé selon l'invention.
Le système représenté sur la figure 1 comprend des réseaux d'accès 1, 2 auxquels sont connectés des teixninaux 11 d'utilisateurs. Ces réseaux d'accès 1, 2 fournissent aux terminaux 11 un accès à un réseau de transport IP 5 par l'intermédiaire de passerelles IP 3, 4 respectives adaptées au réseau d'accès. L'ensemble des réseaux d'accès, des passerelles et du réseau de transport IP est mis en œuvre par un opérateur ORA/OTI de réseaux d'accès et de transport IP.
Le réseau de transport IP 5 permet aux utilisateurs d'accéder à un fournisseur d'accès Internet 6, 7 ou à un fournisseur de services IP 8.
A cet effet, ce système comprend, selon l'invention, un serveur spécialisé 12 qui délivre aux utilisateurs souhaitant se connecter au réseau IP, des nombres aléatoires destinés à être utilisés au cours de procédures d'identification, et un contrôleur d'accès 10 connecté au réseau de transport IP 5 et auquel le serveur spécialisé 12 transmet les requêtes d'accès émises par les terminaux 11.
Le contrôleur d'accès 10 est conçu pour recevoir toutes les requêtes d'accès à un fournisseur 6, 7, 8 d'accès ou de service, émises par les utilisateurs sur les réseaux 1, 2, par l'intermédiaire de la passerelle 3, 4 correspondant au réseau d' accès 1, 2 employé, et du serveur spécialisé 12, et d'aiguiller ces requêtes au travers du réseau de transport IP vers le fournisseur 6, 7, 8 d'accès ou de service indiqué dans la requête par le terminal de l'utilisateur.
II est à noter que les passerelles 3, 4 peuvent alternativement assurer les fonctions exécutées par le serveur spécialisé 12.
Pour accéder au réseau IP 5 par l'intermédiaire d'un fournisseur d'accès 6, 7 et à un service particulier offert par un fournisseur de service 8 connecté au réseau, le terminal de l'utilisateur exécute tout d'abord une procédure d'établissement de connexion avec le serveur spécialisé 12 pour obtenir un nombre aléatoire RAND. Ensuite, le terminal de l'utilisateur émet une requête d'accès au fournisseur de service souhaité via le fournisseur d'accès, qui est transmise successivement par la passerelle IP 3, 4 et par le serveur spécialisé 12 au contrôleur d'accès 10. A la réception d'une telle requête, le contrôleur d'accès 10 demande au fournisseur d'accès 6, 7 et au fournisseur de service 8 demandés d'authentifier l'utilisateur. Lorsque le fournisseur d'accès et le fournisseur de service ont envoyé leur réponse concernant l' authentification de l'utilisateur, le contrôleur d'accès émet une réponse d'autorisation d'accès à destination du terminal 11 de l'utilisateur, en fonction des réponses d'authentification reçues.
Le séquencement des étapes du procédé d'authentification selon l'invention est illustré par le diagramme représenté sur la figure 2.
Pour accéder à un service IP, le terminal 11 de l'utilisateur exécute tout d'abord une procédure 21 d'établissement d'une connexion avec le serveur spécialisé 12 via une passerelle IP 3, 4 accessible au terminal, l'adresse du serveur spécialisé étant par exemple connue du logiciel de connexion installé dans le terminal. Cette procédure consiste tout d'abord à établir une connexion avec la passerelle IP 3, 4, par exemple conformément au protocole LCP (Link Control Protocol). Juste après l'ouverture de la connexion, un nombre aléatoire RAND est envoyé par le serveur spécialisé 12 au terminal 11 (étape 22), par exemple sous la forme d'un message de défi 41 conforme au protocole CHAP.
Ce nombre aléatoire est destiné à servir de base à des calculs de mots de passe utilisables uniquement pour la tentative de connexion et d'accès en cours. Ces calculs de mots de passe sont avantageusement basés sur des algorithmes de cryptographie faisant intervenir une ou plusieurs clés secrètes et le nombre aléatoire RAND fourni par le serveur spécialisé pour la connexion en cours. Les algorithmes cryptographiques peuvent être mis en œuvre par le terminal de l'utilisateur, et/ou de préférence par un module 15 physiquement indépendant de ce dernier, par exemple de type carte à microprocesseur.
Dans ce dernier cas, le logiciel de connexion installé dans le terminal est en outre conçu pour interroger le module 15.
L'algorithme de cryptographie choisi est par exemple celui qui est implémenté dans les cartes SIM (Subscriber Identification Module) des terminaux mobiles de type GSM (Global System for Mobile communications).
A la réception du message de défi 41, le terminal en extrait le nombre aléatoire RAND 42 et le transmet au module 15 connecté au terminal (étape 23).
A l'étape suivante 24, le module 15 applique un algorithme de cryptographie au nombre aléatoire reçu en utilisant une clé secrète de l'utilisateur, ce qui permet d'obtenir un nombre 43 à utiliser comme mot de passe d'authentification de l'utilisateur. Pour accéder à plusieurs acteurs du réseau choisis par l'utilisateur, à savoir par exemple un fournisseur d'accès et un fournisseur de service, autant de mots de passe que d'acteurs à accéder sont de préférence générés par le terminal et/ou par le module 15, avec le même algorithme cryptographique ou avec des algorithmes différents, et avec la même clé secrète ou avec des clés secrètes différentes. Les mots de passe AUTHl, AUTH2 éventuellement calculés par le module 15 sont ensuite transmis en réponse au terminal 11.
Bien entendu, si l'un ou les deux algorithmes cryptographiques sont installés dans le terminal, l'étape 24 est au moins partiellement exécutée par le terminal.
Une fois la connexion avec le serveur spécialisé 12 établie, le terminal envoie un message 44 de requête d'accès à celui-ci (étape 25). Ce message de requête 44 comprend les identifiants ID1 et ID2 de l'utilisateur respectivement auprès du fournisseur d'accès et du service choisi, et les mots de passe AUTHl et AUTH2 obtenus par les calculs cryptographiques.
A la réception du message de requête 44, le serveur spécialisé 12 encapsule ce message dans une requête d'autorisation d'accès 45 (étape 26). Cette requête est par exemple du type "Access-Request" conforme au protocole RADIUS (Remote Authentication Dial In User Service) comportant un attribut nom d'utilisateur "User-Name" égal aux deux identifiants concaténés ID1|ID2, un attribut mot de passe "CHAP-Password" égal aux deux mots de passe concaténés AUTHl |AUTH2, ainsi qu'un attribut "CHAP-Challenge" destiné à recevoir le nombre aléatoire RAND utilisé pour générer les mots de passe, le nombre RAND étant déterminé par le serveur spécialisé en fonction d'un identifiant de la session de connexion en cours avec le terminal. La requête 45 est transmise par le serveur spécialisé 12 au contrôleur d'accès 10.
A l'étape 27 suivante, le contrôleur d'accès reçoit la requête 45 et en extrait les paramètres d'identification et d'authentification. Ces paramètres sont transmis aux étapes 28, 29 dans des messages d'authentification 46, 47 respectivement aux serveurs d'authentification 16 du fournisseur d'accès et du fournisseur de service choisi. Les informations d'identification ID1 et ID2 sont par exemple de la forme "IdA@domaineA", "IdA" permettant d'identifier d'une manière unique l'utilisateur auprès du fournisseur d'accès ou de service, et "domaineA" permettant de déterminer le nom de domaine dans le réseau IP, du serveur vers lequel doit être envoyé le message d'authentification correspondant. Ces messages d'authentification 46, 47 contiennent chacun l'identifiant et le mot de passe correspondant au destinataire du message, ainsi que le nombre aléatoire RAND.
A la réception d'un tel message d'authentification 46, 47, le serveur d'authentification 16 exécute une procédure d'authentification 28, respectivement 29. Cette procédure d'authentification consiste à identifier l'utilisateur grâce à l'information d'identification ID1, respectivement ID 2, puis à déterminer la clé secrète de l'utilisateur en accédant à une base de données de clés secrètes d'utilisateurs autorisés, à calculer ensuite le mot de passe de l'utilisateur à l'aide de cette clé secrète et du nombre RAND reçu, et enfin à comparer le mot de passe ainsi calculée avec celui qui a été reçu. Pour calculer le mot de passe AUTH, le serveur d'authentification dispose du même algorithme cryptographique que celui utilisé par le terminal 11 ou le module 15.
L'utilisateur est correctement authentifié uniquement si le mot de passe calculé par le serveur d'authentification est identique à celui qui a été reçu.
Le résultat de cette authentification, de la forme succès/échec, est transmis au contrôleur d'accès 10 sous la forme d'un message 48, respectivement 49 de compte-rendu d'authentification.
A la réception des deux messages 48, 49 de compte-rendu d'authentification, en provenance respectivement du fournisseur d'accès 6, 7 et du fournisseur de service IP 8 choisi, le contrôleur d'accès 10 dispose des informations nécessaires pour gérer les droits d'accès de l'utilisateur en fonction de la politique de l'opérateur ORA/OTI et exécute une étape 30 de génération d'un message 50 de réponse à la requête d'accès émise par l'utilisateur et transmet ce message de réponse au serveur spécialisé 12.
Ce message de réponse 50 contient les comptes-rendus d'authentification émis par le fournisseur d'accès 6, 7, et par le fournisseur de service 8 choisi.
II est à noter que les procédures d'authentification 28 et 29 exécutées par le fournisseur d'accès 6, 7 et le fournisseur de service 8 peuvent être exécutées simultanément ou bien séquentiellement dans un ordre quelconque.
A la réception du message de réponse 50, le serveur spécialisé 12 exécute une procédure 31 consistant à extraire de ce message de réponse les informations à renvoyer à l'utilisateur, puis à transmettre au terminal d'utilisateur dans un message 51, par exemple de type "CHAP-success" ou "Chap-failure" pour le protocole CHAP, les informations extraites qui lui sont destinées.
Grâce à ces dispositions, un utilisateur peut être authentifié simultanément par différents acteurs du réseau, par exemple bénéficier d'un accès à Internet dans lequel il a été authentifié par un service de paiement en ligne sécurisé, par exemple offert par un organisme bancaire. Il peut en outre être authentifié par l'opérateur ORA/OTI.
L'invention qui vient d'être décrite peut être réalisée en mettant en œuvre un serveur spécialisé 12 du type serveur HTTP, et un contrôleur d'accès 10 du type proxy RADIUS, le serveur spécialisé comportant une interface RADIUS pour pouvoir communiquer avec le contrôleur d'accès, les serveurs d'authentification étant également des serveurs RADIUS.

Claims

REVENDICATIONS
1. Procédé d'authentification d'un utilisateur lors d'une tentative d'accès à un acteur (6, 7, 8) d'un réseau de transmission de données (5), ce procédé comprenant des étapes au cours desquelles :
- un terminal (11) d'utilisateur émet à un acteur du réseau (5) une requête d'accès (44) contenant des données d'identification et d'authentification de l'utilisateur auprès de l'acteur, la requête d'accès étant transmise par l'intermédiaire du réseau (5) à un serveur d'authentification (16) de l'acteur, - le serveur d'authentification exécute une procédure d'authentification (28) de l'utilisateur sur la base des données d'identification et d'authentification contenues dans la requête d'accès, et
- le serveur d'authentification (16) transmet au terminal (11) d'utilisateur un message de réponse (51) contenant le résultat de T authentification de l'utilisateur par le serveur d' authentification (16), caractérisé en ce qu'il comprend en outre des étapes au cours desquelles :
- un nombre aléatoire est transmis au terminal (11) préalablement à l'émission de la requête d'accès (44),
- des données d'authentification de l'utilisateur auprès d'au moins deux acteurs (6, 7, 8) du réseau (5) sont calculées à l'aide d'au moins un algorithme cryptographique prédéfini et d'au moins une clé secrète propre à l'utilisateur,
- le terminal (11) insère dans la requête d'accès (44) des données d'identification de l'utilisateur auprès desdits acteurs du réseau (5) et les données d'authentification calculées, et
- le terminal (11) transmet la requête d'accès à un contrôleur d'accès (10) qui transmet à chacun des deux acteurs une requête d'authentification (46, 47) respective contenant respectivement les données d'identification et d'authentification de l'utilisateur auprès desdits acteurs du réseau (5), contenues dans la requête d'accès,
- des serveurs d'authentification (16) de chacun des acteurs exécutent une procédure d'authentification (28, 29) de l'utilisateur, sur la base des données d'identification et d'authentification de l'utilisateur, contenues dans les requêtes d'authentification (46, 47), et - des comptes rendus d'authentification contenant des résultats des procédures d'authentification exécutées par les serveurs d'authentification (16) de chacun desdits acteurs du réseau sont transmises au teπninal (11). par l'intermédiaire d'un réseau d'accès (1, 2) et d'un réseau de transport IP (5)
2. Procédé selon la revendication 1, caractérisé en ce qu'au moins l'une des données d'authentification est calculée par un module (15) connecté au teπninal (11).
3. Procédé selon la revendication 1 ou 2, caractérisé en ce qu'il comprend une étape préalable au cours de laquelle le terminal établit une connexion avec un serveur spécialisé (12) par l'intermédiaire du réseau (5), le nombre aléatoire étant généré et transmis au terminal (11) par le serveur spécialisé à la suite de l'établissement de la connexion.
4. Procédé selon la revendication 3, caractérisé en ce que la requête d'accès (44) émise par le terminal est transmise au serveur spécialisé (12) qui y insère le nombre aléatoire utilisé pour calculer les données d'authentification, la requête d'accès étant ensuite transmise au contrôleur d'accès (10) qui insère le nombre aléatoire dans les requêtes d'authentification transmises aux deux acteurs (6, 7, 8).
5. Procédé selon la revendication 4, caractérisé en ce que les procédures d'authentification exécutées par les serveurs d'authentification (16) des acteurs (6, 7, 8) comprennent une étape de recherche de la clé secrète de l'utilisateur sur la base de la donnée d'identification contenue dans la requête d'authentification, une étape de calcul d'une donnée d'authentification en exécutant l'algorithme cryptographique avec la clé secrète de l'utilisateur et le nombre aléatoire contenu dans la requête d'authentification, et une étape de comparaison de la donnée d'authentification contenue dans la requête d'authentification, avec la donnée d'authentification calculée, l'utilisateur étant correctement authentifié si la donnée d'authentification contenue dans la requête d'authentification correspond à la donnée d'authentification calculée.
6. Procédé selon l'une des revendications 1 à 5, caractérisé en ce que les acteurs (6, 7, 8) du réseau (5) comprennent plusieurs acteurs parmi des fournisseurs d'accès (6, 7) offrant à l'utilisateur un accès au réseau Internet, des fournisseurs de service (8) IP, et un opérateur de réseau d'accès et de transport IP.
7. Procédé selon l'une des revendications 1 à 6, caractérisé en ce que les données d'identification insérées dans la requête d'accès (44) sont de la forme :
"IdA@DomaineA" dans laquelle :
- "IdA" représente l'identifiant de l'utilisateur auprès de l'acteur du réseau,
- "DomaineA" représente l'identifiant de l'acteur du réseau dans le réseau (5), le contrôleur d'accès (10) déterminant les acteurs vers lesquels transmettre les requêtes d'authentification (46, 47) sur la base des identifiants "DomaineA" de l'acteur du réseau contenus dans la requête d'accès (44).
8. Procédé selon l'une des revendications 1 à 7, caractérisé en ce que les étapes d'authentification (28, 29) de l'utilisateur par les serveurs d'authentification (16) des deux acteurs (6, 7, 8) sont effectuées l'une à la suite de l'autre.
9. Procédé selon l'une des revendications 1 à 7, caractérisé en ce que les étapes d'authentification (28, 29) de l'utilisateur par les serveurs d'authentification (16) des deux acteurs (6, 7, 8) sont déclenchées sensiblement simultanément.
10. Procédé selon l'une des revendications 1 à 9, caractérisé en ce que le nombre aléatoire à partir duquel les données d'authentification sont calculées est un nombre aléatoire modifié à chaque tentative de connexion.
11. Procédé selon l'une des revendications 1 à 10, caractérisé en ce que les procédures d'authentification de l'utilisateur sont effectuées conformément au protocole CHAP.
12. Système d'authentification d'un utilisateur lors d'une tentative d'accès à un acteur (6, 7, 8) d'un réseau de transmission de données (5) auquel sont connectés des acteurs du réseau, et auquel des terminaux d'utilisateurs peuvent accéder par l'intermédiaire de réseaux d'accès (1, 2), ce système comprenant :
- des moyens prévus dans chaque terminal d'utilisateur pour émettre des requêtes d'accès (44) à un acteur du réseau, ces requêtes contenant des données d'identification et d'authentification de l'utilisateur auprès de l'acteur du réseau, et
- au moins un serveur d'authentification (16) pour chacun des acteurs du réseau, conçu pour identifier et authentifier les utilisateurs en fonction des données d'identification et d'authentification contenues dans les requêtes d'accès reçues, caractérisé en ce que chaque terminal (11) d'utilisateur comprend des moyens pour recevoir un nombre aléatoire lors de l'établissement d'une connexion avec le réseau de transport (5), des moyens de calculs cryptographiques pour appliquer au moins un algorithme cryptographique prédéfini au nombre aléatoire reçu afin d'obtenir des données d'authentification de l'utilisateur auprès d'au moins deux acteurs du réseau (5), et des moyens pour insérer dans chaque requête d'accès (44) émise des données d'identification de l'utilisateur auprès des deux acteurs du réseau et les données d'authentification calculées, le système comportant en outre un contrôleur d'accès (10) comprenant des moyens pour recevoir les requêtes d'accès provenant des terminaux d'utilisateurs et transmises par le réseau de transport (5), des moyens pour extraire de chacune des requêtes d'accès les données d'identification et d'authentification de l'utilisateur auprès d'au moins deux acteurs du réseau, des moyens pour transmettre à chacun des deux acteurs une requête d'authentification (46, 47) respective contenant respectivement les données d'identification et d'authentification de l'utilisateur auprès des deux acteurs, contenues dans la requête d'accès (44).
13. Système selon la revendication 12, caractérisé en ce qu'il comprend un module externe (15) conçu pour se connecter à chacun des terminaux (11) d'utilisateurs et comprenant des moyens pour recevoir le nombre aléatoire du terminal auquel il est connecté, des moyens de calcul cryptographique pour exécuter l'algorithme cryptographique prédéfini sur la base du nombre aléatoire, et pour transmettre au terminal au moins une donnée d'authentification de l'utilisateur auprès d'un acteur (6, 7, 8) du réseau (5) obtenue par les calculs cryptographiques.
14. Système selon la revendication 13, caractérisé en ce que l' algorithme prédéfini est un algorithme cryptographique utilisant une clé secrète propre à l'utilisateur et mémorisée par le module (15).
15. Système selon la revendication 13 ou 14, caractérisé en ce que le module (15) est une carte à microprocesseur, chaque terminal (11) comportant des moyens pour se connecter à une carte à microprocesseur.
16. Système selon l'une des revendications 12 à 15, caractérisé en ce que le contrôleur d'accès (10) comprend en outre des moyens pour recevoir des comptes rendus d'authentification (48, 49) de l'utilisateur, émis par les acteurs en réponse aux requêtes d'authentification, et des moyens pour transmettre au terminal d'utilisateur un compte rendu d'authentification (51) sur la base des comptes rendus reçus des acteurs.
17. Système selon l'une des revendications 12 à 16, caractérisé en ce qu'il comprend en outre un serveur spécialisé (12) connecté au réseau (5) de manière à être connecté aux terminaux (11) d'utilisateurs à la suite de l'établissement d'une connexion du terminal au réseau, le serveur spécialisé comprenant des moyens pour générer et transmettre un nombre aléatoire à chacun des terminaux avec lesquels une connexion est établie, et des moyens pour insérer le nombre aléatoire dans chacune des requêtes d'accès émises par les terminaux.
18. Système selon la revendication 17, caractérisé en ce que le serveur spécialisé (12) est un serveur HTTP comportant une interface avec le protocole RADIUS.
19. Système selon l'une des revendications 12 à 18, caractérisé en ce que le contrôleur d'accès (10) est un Proxy RADIUS.
20. Système selon l'une des revendications 12 à 19, caractérisé en ce que chaque acteur (6, 7, 8) du réseau (5) comprend des moyens de stockage de clés secrètes d'utilisateurs, des moyens pour déterminer la donnée d'authentification de l'utilisateur auprès de l'acteur en appliquant au nombre aléatoire reçu dans une requête d'authentification (46, 47) et à la clé secrète d'un utilisateur l'algorithme prédéfini, et pour comparer le résultat obtenu à la donnée d'authentification de l'utilisateur reçue dans la requête d'authentification, l'utilisateur étant correctement authentifié par l'acteur uniquement si le résultat du calcul cryptographique obtenu est égal à la donnée d'authentification contenue dans la requête d'authentification.
EP04767677A 2003-07-24 2004-07-13 PROCEDE ET SYSTEME DE DOUBLE AUTHENTIFICATION SECURISEE D UN UTILISATEUR LORS DE L ACCES A UN SERVICE PAR L’INTERM EDIAIRE D UN RESEAU DE TRANSMISSION DE DONNEES. Withdrawn EP1649665A2 (fr)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
FR0309086A FR2858145A1 (fr) 2003-07-24 2003-07-24 Procede et systeme de double authentification securise d'un utilisateur lors de l'acces a un service par l'intermediaire d'un reseau ip
PCT/FR2004/001849 WO2005020538A2 (fr) 2003-07-24 2004-07-13 Procede et systeme de double authentification d'un utilisateur lors de l'acces a un service

Publications (1)

Publication Number Publication Date
EP1649665A2 true EP1649665A2 (fr) 2006-04-26

Family

ID=33561077

Family Applications (1)

Application Number Title Priority Date Filing Date
EP04767677A Withdrawn EP1649665A2 (fr) 2003-07-24 2004-07-13 PROCEDE ET SYSTEME DE DOUBLE AUTHENTIFICATION SECURISEE D UN UTILISATEUR LORS DE L ACCES A UN SERVICE PAR L’INTERM EDIAIRE D UN RESEAU DE TRANSMISSION DE DONNEES.

Country Status (4)

Country Link
US (1) US20060265586A1 (fr)
EP (1) EP1649665A2 (fr)
FR (1) FR2858145A1 (fr)
WO (1) WO2005020538A2 (fr)

Families Citing this family (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20110107410A1 (en) * 2009-11-02 2011-05-05 At&T Intellectual Property I,L.P. Methods, systems, and computer program products for controlling server access using an authentication server
US8590031B2 (en) * 2009-12-17 2013-11-19 At&T Intellectual Property I, L.P. Methods, systems, and computer program products for access control services using a transparent firewall in conjunction with an authentication server
US20110154469A1 (en) * 2009-12-17 2011-06-23 At&T Intellectual Property Llp Methods, systems, and computer program products for access control services using source port filtering
US10498734B2 (en) * 2012-05-31 2019-12-03 Netsweeper (Barbados) Inc. Policy service authorization and authentication
CN103778535B (zh) * 2012-10-25 2017-08-25 中国银联股份有限公司 处理来自移动终端的数据访问请求的设备和方法
CN107566476B (zh) * 2017-08-25 2020-03-03 中国联合网络通信集团有限公司 一种接入方法、sdn控制器、转发设备及用户接入系统
CN116389032B (zh) * 2022-12-29 2023-12-08 国网甘肃省电力公司庆阳供电公司 一种基于sdn架构的电力信息传输链路身份验证方法

Family Cites Families (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP4268690B2 (ja) * 1997-03-26 2009-05-27 ソニー株式会社 認証システムおよび方法、並びに認証方法
JP3595109B2 (ja) * 1997-05-28 2004-12-02 日本ユニシス株式会社 認証装置、端末装置、および、それら装置における認証方法、並びに、記憶媒体
FI19991733A7 (fi) * 1999-08-16 2001-02-17 Nokia Networks Oy Autentikointi matkaviestinjärjestelmässä
US6850983B2 (en) * 2001-09-18 2005-02-01 Qualcomm Incorporated Method and apparatus for service authorization in a communication system
US7155526B2 (en) * 2002-06-19 2006-12-26 Azaire Networks, Inc. Method and system for transparently and securely interconnecting a WLAN radio access network into a GPRS/GSM core network

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
See references of WO2005020538A3 *

Also Published As

Publication number Publication date
US20060265586A1 (en) 2006-11-23
WO2005020538A2 (fr) 2005-03-03
WO2005020538A3 (fr) 2006-05-18
FR2858145A1 (fr) 2005-01-28

Similar Documents

Publication Publication Date Title
EP1733533B1 (fr) Procede et systeme de gestion d'autorisation d'acces d'un utilisateur au niveau d'un domaine administratif local lors d'une connexion de l'utilisateur a un reseau ip
FR2851104A1 (fr) Procede et systeme d'authentification d'un utilisateur au niveau d'un reseau d'acces lors d'une connexion de l'utilisateur au reseau internet
FR2877521A1 (fr) Dispositif, procede, programme et support de distribution d'informations, d'initialisation, dispositif, procede, programme et support de transfert d'initialisation d'authentification et programme de reception ...
WO2011073560A1 (fr) Acces a un reseau de distribution de contenu numerique
EP1909462A2 (fr) Procédé de mise à disposition cloisonnée d'un service électronique
EP2001196A1 (fr) Gestion d'identité d'usager pour accéder à des services
EP1649665A2 (fr) PROCEDE ET SYSTEME DE DOUBLE AUTHENTIFICATION SECURISEE D UN UTILISATEUR LORS DE L ACCES A UN SERVICE PAR L’INTERM EDIAIRE D UN RESEAU DE TRANSMISSION DE DONNEES.
EP1891771A1 (fr) Procede de traduction d'un protocole d'authentification
WO2005034468A1 (fr) Systeme d'acces a un reseau adapte pour la mise en oeuvre d'un procede a signature simplifiee, et serveur pour sa realisation
EP4241416A1 (fr) Procede de delegation d'acces a une chaine de blocs
EP3219077B1 (fr) Procédé et système de gestion d'identités d'utilisateurs destiné à être mis en oeuvre lors d'une communication entre deux navigateurs web
EP1227640B1 (fr) Procédé et système de communication d'un certificat entre un module de sécurisation et un serveur
EP3808060B1 (fr) Traitement de messages dans un réseau de voix sur ip
EP1762037A2 (fr) Procede et systeme de certification de l'identite d'un utilisateur
EP1964359B1 (fr) Procede et systeme de mise a jour des conditions d'acces d'un dispositif de telecommunication a des services delivres par un reseau de telecommunication
EP1413158B1 (fr) Procede d'acces a un service specifique propose par un operateur virtuel et carte a puce d'un dispositif correspondant
WO2020128239A1 (fr) Procédé de détermination d'une chaîne de délégation associée à une résolution d'un nom de domaine dans un réseau de communication
EP2146534B1 (fr) Authentification d'un terminal
WO2007012786A2 (fr) Procede de mise en oeuvre d'une sequence d'authentifications
WO2007054657A2 (fr) Procede et dispositif de fourniture d'un identifiant de federation reseau a un fournisseur de service
EP4362391A1 (fr) Procédé de gestion d'accès d'un utilisateur à au moins une application, programme d'ordinateur et système associés
EP3360293A1 (fr) Moyens de gestion d'accès à des données
EP1649657A1 (fr) Procede et dispositif d'accreditation d'un utilisateur a un fournisseur de services
WO2002089447A2 (fr) Systeme et procede de communication entre stations traitant des dossiers communs
FR2885464A1 (fr) Procede et dispositif de controle d'acces

Legal Events

Date Code Title Description
PUAI Public reference made under article 153(3) epc to a published international application that has entered the european phase

Free format text: ORIGINAL CODE: 0009012

17P Request for examination filed

Effective date: 20060119

AK Designated contracting states

Kind code of ref document: A2

Designated state(s): AT BE BG CH CY CZ DE DK EE ES FI FR GB GR HU IE IT LI LU MC NL PL PT RO SE SI SK TR

AX Request for extension of the european patent

Extension state: AL HR LT LV MK

PUAK Availability of information related to the publication of the international search report

Free format text: ORIGINAL CODE: 0009015

DAX Request for extension of the european patent (deleted)
RIN1 Information on inventor provided before grant (corrected)

Inventor name: NGUYEN NGOC, SEBASTIEN

Inventor name: TRANSY, ESTELLE

Inventor name: DELMOND, FREDERIC

RIN1 Information on inventor provided before grant (corrected)

Inventor name: TRANSY, ESTELLE

Inventor name: DELMOND, FREDERIC

Inventor name: NGUYEN NGOC, SEBASTIEN

17Q First examination report despatched

Effective date: 20081022

RAP1 Party data changed (applicant data changed or rights of an application transferred)

Owner name: ORANGE

STAA Information on the status of an ep patent application or granted ep patent

Free format text: STATUS: THE APPLICATION IS DEEMED TO BE WITHDRAWN

18D Application deemed to be withdrawn

Effective date: 20180201