FR3022375A1 - METHOD AND DEVICE FOR SECURING A PASSWORD PROTECTED SYSTEM - Google Patents
METHOD AND DEVICE FOR SECURING A PASSWORD PROTECTED SYSTEM Download PDFInfo
- Publication number
- FR3022375A1 FR3022375A1 FR1455531A FR1455531A FR3022375A1 FR 3022375 A1 FR3022375 A1 FR 3022375A1 FR 1455531 A FR1455531 A FR 1455531A FR 1455531 A FR1455531 A FR 1455531A FR 3022375 A1 FR3022375 A1 FR 3022375A1
- Authority
- FR
- France
- Prior art keywords
- server
- password
- authentication element
- client application
- application
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Granted
Links
- 238000000034 method Methods 0.000 title claims abstract description 29
- 230000004044 response Effects 0.000 claims abstract description 20
- 239000000284 extract Substances 0.000 claims description 4
- 238000012795 verification Methods 0.000 description 7
- 238000004891 communication Methods 0.000 description 6
- 230000007246 mechanism Effects 0.000 description 5
- 238000012546 transfer Methods 0.000 description 4
- VBMOHECZZWVLFJ-GXTUVTBFSA-N (2s)-2-[[(2s)-6-amino-2-[[(2s)-6-amino-2-[[(2s,3r)-2-[[(2s,3r)-2-[[(2s)-6-amino-2-[[(2s)-2-[[(2s)-6-amino-2-[[(2s)-2-[[(2s)-2-[[(2s)-2,6-diaminohexanoyl]amino]-5-(diaminomethylideneamino)pentanoyl]amino]propanoyl]amino]hexanoyl]amino]propanoyl]amino]hexan Chemical compound NC(N)=NCCC[C@@H](C(O)=O)NC(=O)[C@H](CCCCN)NC(=O)[C@H](CCCCN)NC(=O)[C@H]([C@@H](C)O)NC(=O)[C@H]([C@H](O)C)NC(=O)[C@H](CCCCN)NC(=O)[C@H](C)NC(=O)[C@H](CCCCN)NC(=O)[C@H](C)NC(=O)[C@H](CCCN=C(N)N)NC(=O)[C@@H](N)CCCCN VBMOHECZZWVLFJ-GXTUVTBFSA-N 0.000 description 3
- 108010068904 lysyl-arginyl-alanyl-lysyl-alanyl-lysyl-threonyl-threonyl-lysyl-lysyl-arginine Proteins 0.000 description 3
- 230000001010 compromised effect Effects 0.000 description 2
- 230000005540 biological transmission Effects 0.000 description 1
- 230000008859 change Effects 0.000 description 1
- 230000000694 effects Effects 0.000 description 1
- 230000002708 enhancing effect Effects 0.000 description 1
- 230000006870 function Effects 0.000 description 1
- 230000004048 modification Effects 0.000 description 1
- 238000012986 modification Methods 0.000 description 1
- 230000008569 process Effects 0.000 description 1
- 230000001960 triggered effect Effects 0.000 description 1
- 238000010200 validation analysis Methods 0.000 description 1
Classifications
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
- G06F21/31—User authentication
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
- G06F21/31—User authentication
- G06F21/33—User authentication using certificates
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
- H04L63/0823—Network architectures or network communication protocols for network security for authentication of entities using certificates
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
- H04L63/0884—Network architectures or network communication protocols for network security for authentication of entities by delegation of authentication, e.g. a proxy authenticates an entity to be authenticated on behalf of this entity vis-à-vis an authentication entity
Landscapes
- Engineering & Computer Science (AREA)
- Computer Security & Cryptography (AREA)
- Computer Hardware Design (AREA)
- General Engineering & Computer Science (AREA)
- Theoretical Computer Science (AREA)
- Computing Systems (AREA)
- Computer Networks & Wireless Communication (AREA)
- Signal Processing (AREA)
- Software Systems (AREA)
- Physics & Mathematics (AREA)
- General Physics & Mathematics (AREA)
- Information Transfer Between Computers (AREA)
Abstract
L'invention concerne un procédé (90) de sécurisation d'un système client-serveur protégé par un mot de passe utilisateur (MPS), ledit système mettant en œuvre un serveur (7) et une application client (2) installée sur un terminal (1) d'un utilisateur (U), le procédé (90) comportant les étapes suivantes : - Une passerelle mandataire (4) réceptionne (110) une première requête (RQ1) provenant de l'application client (2), ladite première requête (RQ1) comprenant un élément d'authentification intermédiaire (E) préalablement mis à disposition de l'application client (2) - La passerelle mandataire (4) vérifie (111) l'élément d'authentification intermédiaire (E) compris dans la première requête (RQ1) - Si l'élément d'authentification intermédiaire (E) est correct : ▪ la passerelle mandataire (4) obtient (112) le mot de passe utilisateur (MPS) ▪ la passerelle mandataire (4) envoie (113), à destination du serveur (7), une deuxième requête (RQ2), ladite deuxième requête (RQ2) comprenant le mot de passe utilisateur (MPS) obtenu ▪ la passerelle mandataire (4) réceptionne (116) une réponse (RP) provenant du serveur (7) ▪ la passerelle mandataire (4) envoie (117) ladite réponse (RP) à l'application client (2).The invention relates to a method (90) for securing a client-server system protected by a user password (MPS), said system implementing a server (7) and a client application (2) installed on a terminal (1) of a user (U), the method (90) comprising the following steps: - A proxy gateway (4) receives (110) a first request (RQ1) from the client application (2), said first request (RQ1) comprising an intermediate authentication element (E) previously made available to the client application (2) - the proxy gateway (4) checks (111) the intermediate authentication element (E) included in the first request (RQ1) - If the intermediate authentication element (E) is correct: ▪ the proxy gateway (4) obtains (112) the user password (MPS) ▪ the proxy gateway (4) sends (113) , to the server (7), a second request (RQ2), said second th request (RQ2) including the user password (MPS) obtained ▪ the proxy gateway (4) receives (116) a response (RP) from the server (7) ▪ the proxy gateway (4) sends (117) said response (RP) to the client application (2).
Description
PROCEDE ET DISPOSITIF DE SECURISATION D'UN SYSTEME PROTEGE PAR MOT DE PASSE DOMAINE TECHNIQUE DE L'INVENTION La présente invention se rapporte au domaine des systèmes client-serveur mettant en oeuvre un serveur et une application client installée sur un terminal d'un utilisateur, dans lesquels les utilisateurs doivent s'identifier par un mot de passe via l'application client pour obtenir des ressources du serveur. Un tel système est par exemple un système de messagerie électronique distribué sur un serveur de messagerie et une application client de messagerie. ARRIERE PLAN TECHNOLOGIQUE DE L'INVENTION On appelle système client-serveur un système mettant en oeuvre un serveur et un client communiquant selon un protocole de communication (par exemple le protocole http « HyperText Transfer Protocol »). Un client est un logiciel (ou par extension un terminal sur lequel est exécuté le logiciel) apte à demander l'exécution d'une opération par un serveur par envoi d'une requête contenant le descriptif de l'opération à exécuter. Un serveur est un logiciel (ou par extension un ordinateur sur lequel est exécuté le logiciel) apte à accomplir une opération sur requête d'un client, et lui transmettant le résultat par envoi d'une réponse contenant le résultat de l'opération. Certains systèmes client-serveur nécessitent une identification de l'utilisateur par transmission d'un nom et d'un mot de passe utilisateur au sein de la requête. Les clients sous la forme d'applications client paramétrées pour effectuer des connexions régulières vers leurs serveurs, nécessitent alors généralement une sauvegarde dudit mot de passe utilisateur. On note qu'on appelle application un logiciel d'application. De telles applications client sont par exemple des applications client de messagerie paramétrées pour effectuer des connexions régulières vers des serveurs de messagerie. On appelle application client de messagerie une application qui sert à lire et envoyer des courriers électroniques, et serveur de messagerie un logiciel qui sert à transférer des messages électroniques. Dans le cas d'une application client de messagerie, le mot de passe utilisateur est transmis à chaque requête vers le serveur de messagerie, c'est-à-dire à chaque vérification des messages électroniques, en général toutes les minutes voire moins.TECHNICAL FIELD OF THE INVENTION The present invention relates to the field of client-server systems implementing a server and a client application installed on a terminal of a user, in which users must authenticate with a password through the client application to obtain server resources. Such a system is for example an electronic mail system distributed on a mail server and a mail client application. BACKGROUND OF THE INVENTION A client-server system is a system implementing a server and a client communicating according to a communication protocol (for example the HTTP protocol "HyperText Transfer Protocol"). A client is a software (or by extension a terminal on which the software is run) able to request the execution of an operation by a server by sending a request containing the description of the operation to be executed. A server is a software (or by extension a computer on which the software is run) able to perform an operation on request of a client, and transmitting the result by sending a response containing the result of the operation. Some client-server systems require user identification by passing a user name and password within the request. Clients in the form of client applications set up to make regular connections to their servers usually require a backup of the user password. We note that we call application application software. Such client applications are, for example, messaging client applications configured to make regular connections to mail servers. A mail client application is an application that is used to read and send e-mails, and a mail server software that is used to transfer e-mail messages. In the case of an email client application, the user password is transmitted to each request to the mail server, that is to say to each verification of the email messages, usually every minute or less.
Lorsque le mot de passe est stocké par l'application client, il peut être récupéré par un tiers, par exemple si le terminal utilisateur sur lequel l'application client est installée est volé ou perdu. Or ce même mot de passe pourrait être utilisé pour accéder à toute autre application ou la session d'ordinateur de l'utilisateur, si celles-ci sont protégées par le même mot de passe. Pour sécuriser de tels systèmes client-serveur, il est connu de mettre en place des mécanismes d'identification à base de mots de passe non rejouables, aussi appelés mots de passe à usage unique (en anglais OTP « One-Time Password »). Un procédé et un dispositif pour permettre des identifications à base de mots de passe non rejouables sont par exemple décrits dans la demande de brevet CA 2611549 Al. Or, la mise en place de ces mécanismes nécessite de modifier l'application client et le serveur : il n'est donc pas possible d'utiliser les applications natives ou installées sur les terminaux utilisateurs sans les modifier.When the password is stored by the client application, it can be retrieved by a third party, for example if the user terminal on which the client application is installed is stolen or lost. However, this same password could be used to access any other application or the user's computer session, if they are protected by the same password. To secure such client-server systems, it is known to set up identification mechanisms based on non-replayable passwords, also called one-time password (OTP). A method and a device for enabling identifications based on non-replayable passwords are described, for example, in patent application CA 2611549 A1. However, the setting up of these mechanisms requires the modification of the client application and the server: it is therefore not possible to use native or installed applications on user terminals without modifying them.
DESCRIPTION GENERALE DE L'INVENTION L'objet de l'invention offre une solution au problème évoqué précédemment, en proposant un procédé et un dispositif permettant de renforcer la sécurité d'un système serveur-client protégé par un mot de passe utilisateur, ledit système mettant en oeuvre un serveur et une application client installée sur un terminal utilisateur, ledit procédé et dispositif ne nécessitant pas de sauvegarde du mot de passe utilisateur sur le terminal, et cela sans modifier l'application client, le serveur ou leur protocole de communication. Selon un premier aspect, l'invention concerne donc un procédé de sécurisation d'un système client-serveur protégé par un mot de passe utilisateur, ledit système mettant en oeuvre un serveur et une application client installée sur un terminal d'un utilisateur, le procédé comportant les étapes suivantes : - Une passerelle mandataire réceptionne une première requête provenant de l'application client, ladite première requête comprenant un élément d'authentification intermédiaire préalablement mis à disposition de l'application client - La passerelle mandataire vérifie l'élément d'authentification intermédiaire compris dans la première requête - Si l'élément d'authentification intermédiaire est correct : - la passerelle mandataire obtient le mot de passe utilisateur - la passerelle mandataire envoie, à destination du serveur, une deuxième requête, ladite deuxième requête comprenant le mot de passe utilisateur obtenu - la passerelle mandataire réceptionne une réponse provenant du serveur - la passerelle mandataire envoie ladite réponse à l'application client. On appelle passerelle mandataire un dispositif placé entre l'application client et le serveur, et adapté pour intercepter et traiter les requêtes provenant de l'application client à destination du serveur. Grâce au procédé selon l'invention, l'application client n'a pas besoin de stocker le mot de passe utilisateur, puisque la passerelle mandataire se charge de l'obtenir et le transmettre au serveur. Le mot de passe utilisateur n'est donc pas stocké dans le terminal, ce qui évite qu'il soit compromis en cas de vol, perte ou piratage du terminal. De plus, le procédé est transparent pour l'application client et le serveur puisque l'application client dispose d'un élément d'authentification (par exemple un mot de passe dit « mot de passe intermédiaire » ou un certificat électronique dit « certificat électronique intermédiaire ») qu'elle peut envoyer dans chaque requête destinée au serveur (première requête), et puisque les requêtes (deuxièmes requêtes) reçues par le serveur comprennent le mot de passe utilisateur. L'application client et le serveur ne sont donc pas modifiés par l'invention.GENERAL DESCRIPTION OF THE INVENTION The object of the invention offers a solution to the problem mentioned above, by proposing a method and a device for enhancing the security of a server-client system protected by a user password, said system implementing a server and a client application installed on a user terminal, said method and device not requiring backup of the user password on the terminal, without changing the client application, the server or their communication protocol. According to a first aspect, the invention therefore relates to a method of securing a client-server system protected by a user password, said system implementing a server and a client application installed on a user's terminal, the method comprising the following steps: - A proxy gateway receives a first request from the client application, said first request comprising an intermediate authentication element previously made available to the client application - the proxy gateway verifies the element of intermediate authentication included in the first request - If the intermediate authentication element is correct: - the proxy gateway obtains the user password - the proxy gateway sends a second request to the server, said second request including the word user password - the proxy gateway receives a response from the server - the proxy gateway sends the response to the client application. A proxy gateway is a device placed between the client application and the server, and adapted to intercept and process requests from the client application to the server. With the method according to the invention, the client application does not need to store the user password, since the proxy gateway is responsible for obtaining it and transmitting it to the server. The user password is not stored in the terminal, which prevents it from being compromised in case of theft, loss or hacking of the terminal. In addition, the method is transparent for the client application and the server since the client application has an authentication element (for example a password called "intermediate password" or an electronic certificate called "electronic certificate" intermediate ") that it can send in each request to the server (first request), and since the requests (second requests) received by the server include the user password. The client application and the server are therefore not modified by the invention.
On note qu'on appelle certificat électronique (ou certificat numérique, ou certificat de clef publique) un élément d'authentification numérique utilisé pour identifier une personne physique ou morale, délivré par un tiers de confiance. Un certificat électronique est un ensemble de données comprenant au moins une clef publique, des informations d'identification (par exemple un nom, une localisation, une adresse e-mail) et au moins une signature. La génération des certificats électroniques et leurs cycles de vie sont généralement gérés au sein d'infrastructures à clefs publiques (en anglais PKI pour « Public Key Infrastructure »).It is noted that an electronic certificate (or digital certificate, or public key certificate) is a digital authentication element used to identify a natural or legal person, issued by a trusted third party. An electronic certificate is a set of data comprising at least one public key, identification information (for example a name, a location, an e-mail address) and at least one signature. The generation of electronic certificates and their life cycles are generally managed within public key infrastructure (PKI).
Le procédé de sécurisation selon l'invention peut présenter une ou plusieurs caractéristiques complémentaires parmi les suivantes, considérées individuellement ou selon toutes les combinaisons techniquement possibles.The security method according to the invention may have one or more additional characteristics among the following, considered individually or in any technically possible combination.
Dans un mode de réalisation, l'élément d'authentification intermédiaire est mis à disposition de l'application client selon les étapes suivantes : - Un serveur d'authentification reçoit une demande d'élément d'authentification intermédiaire provenant d'une application obtentrice installée sur le terminal - Le serveur d'authentification authentifie l'application obtentrice - Si l'application obtentrice est authentifiée : - Le serveur d'authentification envoie des attributs de l'élément d'authentification intermédiaire à une base de données intermédiaire - Le serveur d'authentification envoie l'élément d'authentification intermédiaire à l'application obtentrice - L'application obtentrice met à disposition de l'application client l'élément d'authentification intermédiaire.In one embodiment, the intermediate authentication element is made available to the client application according to the following steps: - An authentication server receives an intermediate authentication element request from a receiving application installed on the terminal - The authentication server authenticates the obtaining application - If the obtaining application is authenticated: - The authentication server sends attributes of the intermediate authentication element to an intermediate database - The server of authentication authentication sends the intermediate authentication element to the obtaining application - The obtaining application makes available to the client application the intermediate authentication element.
Dans un mode de réalisation où l'élément d'authentification est un mot de passe appelé « mot de passe intermédiaire », le serveur d'authentification génère également ledit mot de passe intermédiaire. Les attributs du mot de passe intermédiaire envoyés à la base de données intermédiaire comportent alors le mot de passe intermédiaire lui-même.In one embodiment where the authentication element is a password called "intermediate password", the authentication server also generates said intermediate password. The intermediate password attributes sent to the intermediate database then include the intermediate password itself.
Dans un mode de réalisation où l'élément d'authentification est un certificat électronique, appelé « certificat électronique intermédiaire », le serveur d'authentification génère le certificat électronique intermédiaire ou bien une infrastructure à clefs publiques le génère puis le communique au serveur d'authentification. Les attributs du certificat électronique intermédiaire comportent alors des informations d'identification et au moins une signature. On note que le certificat électronique intermédiaire est envoyé à l'application obtentrice dans un container standard et sécurisé, par exemple selon la norme PKCS#12. Le container comporte également une clef publique, une clef privée, et un certificat d'une autorité de certification.In one embodiment where the authentication element is an electronic certificate, called an "intermediate electronic certificate", the authentication server generates the intermediate electronic certificate or a public key infrastructure generates it and then communicates it to the server. authentication. The attributes of the intermediate electronic certificate then comprise identification information and at least one signature. It is noted that the intermediate electronic certificate is sent to the obtaining application in a standard and secure container, for example according to the PKCS # 12 standard. The container also includes a public key, a private key, and a certificate of a certification authority.
Dans les deux cas, l'élément d'authentification intermédiaire est généré indépendamment de l'utilisateur, du mot de passe utilisateur, et de l'application client. L'application obtentrice est authentifiée pour s'assurer que la demande d'élément d'authentification intermédiaire provient bien du terminal. De plus, l'élément d'authentification intermédiaire est vérifiable grâce au stockage des attributs sur la base de données intermédiaire. Dans un mode de réalisation, l'élément d'authentification intermédiaire est un mot de passe intermédiaire, et les attributs du mot de passe intermédiaire comportent le mot de passe intermédiaire lui-même. Avantageusement dans ce mode de réalisation, l'application obtentrice met à disposition de l'application client l'élément d'authentification intermédiaire selon les étapes suivantes : - L'application obtentrice affiche le mot de passe intermédiaire sur un écran du terminal - L'utilisateur entre ledit mot de passe intermédiaire dans une interface utilisateur de l'application client - L'application client sauvegarde ledit mot de passe intermédiaire dans une mémoire du terminal.In both cases, the intermediate authentication element is generated independently of the user, the user password, and the client application. The obtaining application is authenticated to ensure that the intermediate authentication element request comes from the terminal. In addition, the intermediate authentication element is verifiable by storing the attributes on the intermediate database. In one embodiment, the intermediate authentication element is an intermediate password, and the attributes of the intermediate password include the intermediate password itself. Advantageously, in this embodiment, the obtaining application makes available to the client application the intermediate authentication element according to the following steps: the obtaining application displays the intermediate password on a screen of the terminal; user between said intermediate password in a user interface of the client application - The client application saves said intermediate password in a memory of the terminal.
Il s'agit d'une manière simple et rapide de fournir le mot de passe intermédiaire à l'application sans avoir à la modifier. Dans un autre mode de réalisation, l'élément d'authentification intermédiaire est un certificat électronique intermédiaire, et les attributs du certificat électronique intermédiaire comportent des informations d'identification et une signature. Avantageusement dans ce mode de réalisation, l'application obtentrice met à disposition de l'application client le certificat électronique intermédiaire selon les étapes suivantes : - L'application obtentrice extrait le certificat électronique intermédiaire d'un conteneur d'envoi - L'application obtentrice installe le certificat intermédiaire dans une base de certificats électroniques du terminal, accessible par l'application client. Comme indiqué précédemment, le container d'envoi est un container standard et sécurisé (par exemple selon la norme PKCS#12) et contient une clef publique, une clef privée, le certificat électronique intermédiaire et un certificat d'une autorité de certification. Dans un mode de réalisation, la passerelle mandataire vérifie l'élément d'authentification intermédiaire au moyen des attributs de l'élément d'authentification stockés dans la base de données intermédiaire, par interrogation de la base de données intermédiaire. Dans un mode de réalisation, l'élément d'authentification intermédiaire est supprimé de la base de données intermédiaire en fonction d'une politique de sécurité, et un nouvel élément d'authentification intermédiaire est mis à disposition de l'application client. Supprimer l'élément d'authentification intermédiaire et fournir un nouvel élément d'authentification intermédiaire revient à modifier l'élément d'authentification intermédiaire. Cela permet d'améliorer la sécurité du système. La politique de sécurité peut par exemple prévoir que l'élément d'authentification intermédiaire soit supprimé après un nombre déterminé d'échanges entre l'application client avec le serveur. On appelle échange la transmission d'une requête et d'une réponse. La politique de sécurité peut alternativement ou en supplément prévoir que l'élément d'authentification intermédiaire soit supprimé au bout d'une durée de temps déterminée. La politique de sécurité peut également prévoir que l'élément d'authentification intermédiaire soit supprimé sur requête en cas de vol ou perte du terminal utilisateur. Dans le cas particulier où les éléments d'authentification intermédiaires sont des certificats électroniques intermédiaires, la politique de sécurité peut prévoir que les certificats électroniques intermédiaires sont remplacés à intervalle déterminé par leur date de validité, ou sont répudiés par le serveur d'authentification, ou par l'infrastructure à clefs publiques, ou par la passerelle mandataire. Dans un mode de réalisation, la passerelle mandataire obtient le mot de passe utilisateur en interrogeant une base de mots de passe utilisateurs, et le serveur vérifie le mot de passe utilisateur compris dans la deuxième requête en interrogeant ladite base de mots de passe utilisateurs. La base de mots de passe utilisateurs est classiquement utilisée par le serveur pour vérifier les mots de passe utilisateur transmis dans les requêtes qu'il reçoit. La nouveauté réside dans le fait que la passerelle mandataire est adaptée pour récupérer le mot de passe utilisateur associé à l'utilisateur de l'application client. Selon un deuxième aspect, l'invention concerne un dispositif de sécurisation pour mettre en oeuvre le procédé selon le premier aspect de l'invention.This is a quick and easy way to provide the intermediate password to the application without having to change it. In another embodiment, the intermediate authentication element is an intermediate electronic certificate, and the attributes of the intermediate electronic certificate include identification information and a signature. Advantageously in this embodiment, the obtaining application makes available to the client application the intermediate electronic certificate according to the following steps: - The obtaining application extracts the intermediate electronic certificate from a sending container - The obtaining application installs the intermediate certificate in an electronic certificate database of the terminal, accessible by the client application. As indicated above, the sending container is a standard and secure container (for example according to the PKCS # 12 standard) and contains a public key, a private key, the intermediate electronic certificate and a certificate of a certification authority. In one embodiment, the proxy gateway verifies the intermediate authentication element by means of the attributes of the authentication element stored in the intermediate database, by interrogating the intermediate database. In one embodiment, the intermediate authentication element is deleted from the intermediate database according to a security policy, and a new intermediate authentication element is made available to the client application. Deleting the intermediate authentication element and providing a new intermediate authentication element is equivalent to modifying the intermediate authentication element. This improves the security of the system. The security policy may, for example, provide for the intermediate authentication element to be deleted after a certain number of exchanges between the client application and the server. We call exchange the transmission of a request and a response. The security policy may alternatively or additionally provide for the intermediate authentication element to be deleted after a determined period of time. The security policy can also provide that the intermediate authentication element is removed on request in case of theft or loss of the user terminal. In the particular case where the intermediate authentication elements are intermediate electronic certificates, the security policy can provide that the intermediate electronic certificates are replaced at an interval determined by their validity date, or are repudiated by the authentication server, or by the public key infrastructure, or by the proxy gateway. In one embodiment, the proxy gateway obtains the user password by querying a user password database, and the server verifies the user password included in the second request by querying said user password database. The database of user passwords is conventionally used by the server to check the user passwords transmitted in the requests it receives. The novelty lies in the fact that the proxy gateway is adapted to retrieve the user password associated with the user of the client application. According to a second aspect, the invention relates to a security device for implementing the method according to the first aspect of the invention.
Le dispositif de sécurisation sert à sécuriser un système client-serveur protégé par un mot de passe utilisateur, ledit système mettant en oeuvre un serveur et une application client installée sur un terminal utilisateur.The security device serves to secure a client-server system protected by a user password, said system implementing a server and a client application installed on a user terminal.
Le dispositif comporte une passerelle mandataire comprenant : - Des moyens de réception d'une première requête provenant de l'application client, ladite première requête comprenant un élément d'authentification intermédiaire stocké par l'application client - Des moyens de vérification de l'élément d'authentification intermédiaire compris dans la première requête - Des moyens d'obtention du mot de passe utilisateur - Des moyens d'envoi, à destination du serveur, d'une deuxième requête, ladite deuxième requête comprenant le mot de passe utilisateur obtenu - Des moyens de réception d'une réponse provenant du serveur - Des moyens d'envoi de la réponse vers l'application client. Dans un mode de réalisation, le dispositif de sécurisation comporte un serveur d'authentification comprenant : - Des moyens d'envoi d'attributs de l'élément d'authentification vers une base de données intermédiaire - Des moyens d'envoi de l'élément d'authentification intermédiaire vers une application d'obtention installée sur le terminal. Dans un mode de réalisation, le dispositif de sécurisation comporte la base de données intermédiaire, qui comprend : - des moyens de réception d'attributs d'un élément d'authentification intermédiaire envoyés par le serveur d'authentification - des moyens de sauvegarde desdits attributs de l'élément d'authentification intermédiaire - des moyens de communication avec la passerelle mandataire.The device comprises a proxy gateway comprising: means for receiving a first request from the client application, said first request comprising an intermediate authentication element stored by the client application; means for verifying the element intermediate authentication included in the first request - Means for obtaining the user password - Means for sending, to the server, a second request, said second request comprising the user password obtained - means for receiving a response from the server - means for sending the response to the client application. In one embodiment, the security device comprises an authentication server comprising: means for sending attributes of the authentication element to an intermediate database; means for sending the item; intermediate authentication to a get application installed on the terminal. In one embodiment, the security device comprises the intermediate database, which comprises: means for receiving attributes of an intermediate authentication element sent by the authentication server means for saving said attributes the intermediate authentication element - means of communication with the proxy gateway.
Dans un mode de réalisation, la passerelle mandataire comporte des moyens d'interrogation de la base de données intermédiaire.In one embodiment, the proxy gateway includes means for interrogating the intermediate database.
L'invention et ses différentes applications seront mieux comprises à la lecture de la description qui suit et à l'examen des figures qui l'accompagnent. BREVE DESCRIPTION DES FIGURES Les figures ne sont présentées qu'a titre indicatif et nullement limitatif de l'invention. Les figures montrent : - A la figure 1, une représentation schématique d'un dispositif de sécurisation d'un système client-serveur, selon un mode de réalisation non limitatif de l'invention, dans un contexte selon lequel le système est un système de messagerie électronique, dans un mode de réalisation dans lequel l'élément d'authentification intermédiaire est un mot de passe intermédiaire ; - A la figure 2, une représentation schématique d'un procédé de sécurisation du système client-serveur de la figure 1, selon un mode de réalisation non limitatif de l'invention dans lequel l'élément d'authentification intermédiaire est un mot de passe intermédiaire.The invention and its various applications will be better understood by reading the following description and examining the figures that accompany it. BRIEF DESCRIPTION OF THE FIGURES The figures are presented only as an indication and in no way limitative of the invention. The figures show: in FIG. 1, a schematic representation of a device for securing a client-server system, according to a non-limiting embodiment of the invention, in a context in which the system is a system of electronic mail, in an embodiment in which the intermediate authentication element is an intermediate password; FIG. 2 is a schematic representation of a method for securing the client-server system of FIG. 1, according to a non-limiting embodiment of the invention in which the intermediate authentication element is a password. intermediate.
DESCRIPTION DETAILLEE D'AU MOINS UN MODE DE REALISATION DE L'INVENTION Sauf précision contraire, un même élément apparaissant sur des figures différentes présente une référence unique.DETAILED DESCRIPTION OF AT LEAST ONE EMBODIMENT OF THE INVENTION Unless otherwise specified, the same element appearing in different figures has a unique reference.
Le mode de réalisation décrit en référence aux figures concerne un système de messagerie électronique mettant en oeuvre un serveur de messagerie électronique, une application client de messagerie électronique installée sur le terminal d'un utilisateur, et un protocole de communication selon lequel le serveur et l'application client communiquent. Cependant, il est entendu que ce mode de réalisation est généralisable à tous les systèmes client-serveur mettant en oeuvre une partie cliente, un serveur, et un protocole de communication, dès lors que le serveur doit identifier l'utilisateur de la partie cliente par un mot de passe utilisateur. Comme le montre la figure 1, le système de messagerie décrit comporte : - Un serveur de messagerie 7 ayant pour vocation : - d'envoyer des messages électroniques à des applications client de messagerie ou à d'autres serveurs de messagerie, et - de recevoir des messages électroniques provenant d'applications client de messagerie ou provenant d'autres serveurs de messagerie. - Une application client de messagerie 2 installée sur un terminal 1 d'un utilisateur U. Le terminal 1 est par exemple un téléphone mobile ou une tablette tactile. Les applications client de messagerie 2 sont généralement conçues et configurées de sorte à effectuer une relève régulière des courriers électroniques reçus, toutes les minutes voire moins. Chaque requête de relève des courriers électroniques reçue par le serveur de messagerie 7 doit comporter un mot de passe utilisateur MPS, ledit mot de passe utilisateur MPS étant vérifié par le serveur 7 afin d'autoriser ou non le transfert des messages électroniques reçus vers l'application client de messagerie 2. - Une base de mots de passe utilisateurs 8 consultable par le serveur de messagerie 7, regroupant les mots de passe utilisateur MPS des utilisateurs utilisant les applications client de messagerie 2 associées au serveur de messagerie 7. A titre d'exemple, lorsque le serveur de messagerie 7 est un serveur OWA pour « Outlook Web Access » de Microsoft, le serveur de messagerie 7 identifie les utilisateurs grâce à leurs mots de passe « Active Directory » stockés dans la base de mots de passe utilisateurs 8, en utilisant les mécanismes standards Microsoft. La base de mots de passe utilisateurs 8 est classiquement une base de données ou un annuaire LDAP (« Lightweight Directory Access Protocol »). Selon un aspect de l'invention, un dispositif de sécurisation est mis en place pour améliorer la sécurité du système de messagerie. Comme le montre la figure 1, ledit dispositif comporte : - Une application d'obtention 3 installée sur le terminal 1 de l'utilisateur U pour obtenir un élément d'authentification intermédiaire E différent du mot de passe utilisateur MPS. L'application d'obtention 3 comporte ainsi des moyens d'envoi 30 d'une demande d'un élément d'authentification intermédiaire E, des moyens de réception 31 de l'élément d'authentification intermédiaire E. En outre, lorsque l'élément d'authentification intermédiaire E est un mot de passe intermédiaire MPI, l'application d'obtention 3 comporte des moyens d'affichage 32 dudit mot de passe intermédiaire MPI sur un écran du terminal 1. Par ailleurs, lorsque l'élément d'authentification intermédiaire E est un certificat électronique intermédiaire CXI, l'application d'obtention 3 comporte des moyens d'installation dudit certificat électronique intermédiaire CXI dans une base de certificats du terminal 1. - Un serveur d'authentification 5 pour générer ou recevoir un élément d'authentification intermédiaire E généré en externe, sur demande de l'application d'obtention 3. Le serveur d'authentification 5 comporte ainsi des moyens de réception 50 d'une demande d'élément d'authentification intermédiaire E provenant de l'application d'obtention 3, des moyens d'authentification 51 de ladite application d'obtention 3, des moyens de génération ou de réception 52 d'un élément d'authentification intermédiaire E et des moyens d'envoi 53 de l'élément d'authentification intermédiaire E à l'application d'obtention 3. De plus, le serveur d'authentification 5 comporte des moyens d'envoi 54 d'attributs ATT de l'élément d'authentification intermédiaire E vers une base de données intermédiaire 6, ceci afin de permettre une vérification de l'élément d'authentification intermédiaire E lors d'opérations de vérification. Lorsque l'élément d'authentification intermédiaire E est un mot de passe intermédiaire MPI, les attributs ATT comportent le mot de passe intermédiaire MPI lui-même. Lorsque l'élément d'authentification intermédiaire E est un certificat électronique intermédiaire CXI, les attributs ATT comportent notamment des informations d'identification et au moins une signature. - Une base de données intermédiaire 6 comportant des moyens de réception 60 pour recevoir les attributs AU envoyés par le serveur d'authentification 5, et des moyens de stockage 61 desdits attributs AU. La base de données intermédiaire 6 est par exemple une base de données ou un annuaire LDAP. - Une passerelle mandataire 4 comportant des moyens d'interception 40 pour intercepter des requêtes RQ1 provenant de l'application client de messagerie électronique 2, et des moyens de réception 41 de réponses auxdites requêtes provenant du serveur de messagerie électronique 7. Un exemple d'une telle passerelle mandataire 4 est décrit pour le protocole de communication HTTP/HTTPS (« HyperText Transfert Protocol ») dans le brevet US 7430600 B2. La passerelle mandataire 4 comporte également d'autres moyens dont les fonctions seront explicitées plus loin, à savoir : des moyens de vérification 42 d'un élément d'authentification intermédiaire E, des moyens d'obtention 43 d'un mot de passe utilisateur MPS, des moyens d'envoi 44 de requêtes au serveur de messagerie électronique 7, et des moyens d'envoi 45 de réponses à l'application client de messagerie électronique 2. Un procédé 90 selon un aspect de l'invention est schématiquement illustré à la figure 2. Le procédé 90 comporte les étapes suivantes : - Etape initiale 100, appelée étape d'enrôlement : l'application obtentrice 3 s'enregistre auprès du serveur d'authentification 5, par exemple par échange de clés de chiffrement ou de secrets partagés. Cet enregistrement initie une relation de confiance entre l'application obtentrice 3 et le serveur d'authentification 5. - Première étape 101: l'application obtentrice 3 envoie une demande DD d'obtention d'un élément d'authentification intermédiaire E au serveur d'authentification 5, via les moyens d'envoi 30. Le serveur d'authentification 5 réceptionne la demande DD via les moyens de réception 50. - Deuxième étape 102 : le serveur d'authentification 5 authentifie l'application obtentrice 3 via les moyens d'authentification 51. L'authentification consiste en une vérification du lien de confiance établi entre l'application obtentrice 3 et le serveur d'authentification 5. - Troisième étape 103 : si l'application obtentrice 3 est correctement authentifiée par le serveur d'authentification 5, une connexion sécurisée 11 entre l'application obtentrice 3 et le serveur d'authentification 5 est mise en place. Le serveur d'authentification 5 génère ou reçoit alors un élément d'authentification intermédiaire E via les moyens de génération ou de réception 52. Lorsque l'élément d'authentification E est un mot de passe intermédiaire MPI, le serveur d'authentification 5 génère lui-même le mot de passe intermédiaire MPI. La génération des mots de passe intermédiaires MPI est aléatoire et respecte une politique de format de mot de passe, définissant par exemple une taille et des listes de caractères à utiliser. Lorsque l'élément d'authentification E est un certificat électronique intermédiaire CXI, le certificat d'authentification 5 génère lui-même le certificat d'authentification CXI, ou bien délègue la génération à une infrastructure à clefs publique PKI interfacée avec le serveur d'authentification 5.The embodiment described with reference to the figures relates to an electronic messaging system implementing an electronic mail server, an email client application installed on the terminal of a user, and a communication protocol according to which the server and the client application communicate. However, it is understood that this embodiment is generalizable to all client-server systems implementing a client part, a server, and a communication protocol, since the server must identify the user of the client part by a user password. As shown in FIG. 1, the messaging system described comprises: a messaging server 7 intended to: send out electronic messages to messaging client applications or to other messaging servers, and receive E-mail messages from mail client applications or from other mail servers. - A messaging client application 2 installed on a terminal 1 of a user U. The terminal 1 is for example a mobile phone or a touch pad. Mail client applications 2 are typically designed and configured to perform regular polling of incoming emails every minute or less. Each request for answering emails received by the mail server 7 must include an MPS user password, said MPS user password being checked by the server 7 to allow or not the transfer of the received electronic messages to the mail client application 2. - A user password database 8 viewable by the mail server 7, grouping the MPS user passwords of the users using the mail client applications 2 associated with the mail server 7. As a for example, when the mail server 7 is an OWA server for "Outlook Web Access" of Microsoft, the mail server 7 identifies the users with their "Active Directory" password stored in the user password database 8, using standard Microsoft mechanisms. The base of user passwords 8 is conventionally a database or a directory LDAP ("Lightweight Directory Access Protocol"). According to one aspect of the invention, a security device is put in place to improve the security of the messaging system. As shown in Figure 1, said device comprises: - A obtaining application 3 installed on the terminal 1 of the user U to obtain an intermediate authentication element E different from the user password MPS. The obtaining application 3 thus comprises means for sending a request for an intermediate authentication element E, receiving means 31 for the intermediate authentication element E. In addition, when the intermediate authentication element E is an intermediate password MPI, the obtaining application 3 comprises means 32 for displaying said intermediate password MPI on a screen of the terminal 1. Moreover, when the element of intermediate authentication E is an intermediate electronic certificate CXI, the obtaining application 3 comprises means for installing said intermediate electronic certificate CXI in a certificate database of the terminal 1. - An authentication server 5 for generating or receiving an element intermediate authentication device E generated externally, on request of the obtaining application 3. The authentication server 5 thus comprises means 50 for receiving a request for an elem intermediate authentication E from the obtaining application 3, the authentication means 51 of said obtaining application 3, means for generating or receiving 52 an intermediate authentication element E and means sending 53 of the intermediate authentication element E to the obtaining application 3. In addition, the authentication server 5 comprises means 54 for sending ATT attributes of the intermediate authentication element E to an intermediate database 6, this to allow verification of the intermediate authentication element E during verification operations. When the intermediate authentication element E is an intermediate password MPI, the attributes ATT comprise the intermediate password MPI itself. When the intermediate authentication element E is a CXI intermediate electronic certificate, the ATT attributes comprise in particular identification information and at least one signature. An intermediate database 6 comprising reception means 60 for receiving the attributes AU sent by the authentication server 5, and means 61 for storing said attributes AU. The intermediate database 6 is for example a database or an LDAP directory. A proxy gateway 4 comprising interception means 40 for intercepting requests RQ1 originating from the client application of electronic mail 2, and means 41 for receiving responses to said requests from the electronic messaging server 7. An example of such a proxy gateway 4 is described for the HTTP / HTTPS ("HyperText Transfer Protocol") communication protocol in US Pat. No. 7,430,600 B2. The proxy gateway 4 also comprises other means whose functions will be explained below, namely: means 42 for checking an intermediate authentication element E, means 43 for obtaining an MPS user password. , means 44 for sending requests to the electronic mail server 7, and means 45 for sending responses to the electronic messaging client application 2. A method 90 according to one aspect of the invention is schematically illustrated in FIG. FIG. 2. The method 90 comprises the following steps: initial step 100, called the enlisting step: the obtaining application 3 registers with the authentication server 5, for example by exchanging encryption keys or shared secrets . This record initiates a trust relationship between the obtaining application 3 and the authentication server 5. - First step 101: the obtaining application 3 sends a request DD for obtaining an intermediate authentication element E to the server d 5 authentication, via the sending means 30. The authentication server 5 receives the DD request via the receiving means 50. - Second step 102: the authentication server 5 authenticates the obtaining application 3 via the means d authentication 51. The authentication consists of a verification of the trust link established between the obtaining application 3 and the authentication server 5. - Third step 103: if the obtaining application 3 is correctly authenticated by the authentication server 5, a secure connection 11 between the obtaining application 3 and the authentication server 5 is set up. The authentication server 5 generates or then receives an intermediate authentication element E via the generating or receiving means 52. When the authentication element E is an intermediate password MPI, the authentication server 5 generates itself the intermediate password MPI. Generation of MPI passwords is random and follows a password format policy, for example defining a size and lists of characters to use. When the authentication element E is a CXI intermediate electronic certificate, the authentication certificate 5 itself generates the authentication certificate CXI, or it delegates the generation to a PKI public key infrastructure interfaced with the server. authentication 5.
Les certificats électroniques intermédiaires CXI ont une durée de validité courte, typiquement de 24 heures. - Quatrième étape 104: l'élément d'authentification intermédiaire E généré est envoyé à l'application obtentrice 3 via la connexion sécurisée 11, via les moyens d'envoi 53 du serveur d'authentification 5. Lorsque l'élément d'authentification intermédiaire E est un certificat électronique intermédiaire CXI, le certificat électronique intermédiaire CXI est transmis à l'application obtentrice 3 dans un containeur standard et sécurisé, par exemple selon la norme PKCS#12, avec une clef publique, une clef privée, et un certificat de l'autorité de certification. - Cinquième étape 105 : des attributs de l'élément d'authentification intermédiaire E généré sont envoyés à la base de données intermédiaire 6, via une connexion 10d, via les moyens d'envoi 54 du serveur d'authentification 5. La connexion 10d est par exemple une connexion LDAP/LDAPS (« Lightweight Directory Access Protocol ») si la base de mots de passe intermédiaires 6 est un annuaire. On note que la quatrième étape 104 et la cinquième étape 105 peuvent avoir lieu simultanément, ou la cinquième étape 105 peut avoir lieu avant la quatrième étape 104. - Sixième étape 106 : lorsque l'élément d'authentification intermédiaire E est un mot de passe intermédiaire MPI, il est affiché sur l'écran du terminal 1 via les moyens d'affichage 32 de l'application d'obtention 3. Lorsque l'élément d'authentification intermédiaire E est un certificat électronique intermédiaire CXI, il est installé par l'application d'obtention 3 dans la base de certificats du terminal 1, accessible par l'application client 2. On note qu'une validation manuelle de l'utilisateur U peut être nécessaire et dépend du système d'exploitation du terminal 1. En effet, le certificat électronique intermédiaire CXI doit être validé dans l'application client 2, ce qui peut être réalisé complètement automatiquement ou bien manuellement, en fonction du système d'exploitation. - Septième étape 107 : Lorsque l'élément d'authentification intermédiaire E est un mot de passe intermédiaire MPI, l'utilisateur U entre ledit mot de passe intermédiaire MPI dans l'interface utilisateur de l'application client de messagerie 2, par exemple en utilisant les mécanismes de copier/coller fourni par le système d'exploitation du terminal 1. Utiliser le mécanisme copier-coller permet un gain de temps et diminue les risques d'entrer un mot de passe intermédiaire erroné. De plus, puisque le mot de passe intermédiaire MPI est entré manuellement par l'utilisateur U dans l'application client de messagerie 2, l'application obtentrice 3 n'a pas besoin de communiquer avec l'application client de messagerie 2, laquelle n'a donc pas besoin d'être modifiée. - Huitième étape 108 : Lorsque l'élément d'authentification intermédiaire E est un mot de passe intermédiaire MPI, le mot de passe intermédiaire MPI est stocké par l'application client de messagerie 2 dans une mémoire du terminal 1. Il est transparent pour l'application client de messagerie 2 de stocker le mot de passe intermédiaire MPI ou le mot de passe utilisateur MPS, l'application client de messagerie 2 ne faisant pas de différence entre les deux mots de passe. - Neuvième étape 109: l'application client de messagerie 2 envoie une première requête RQ1 à destination du serveur de messagerie 7 pour demander les nouveaux messages électroniques reçus. La première requête RQ1 comporte l'élément d'authentification intermédiaire E. - Dixième étape 110: la passerelle mandataire 4 intercepte la première requête RQ1 via les moyens d'interception 40. Une connexion 9a est alors initiée entre l'application client de messagerie 2 et la passerelle mandataire 4. - Onzième étape 111 : la passerelle mandataire 4 analyse la première requête RQ1, en extrait l'élément d'authentification intermédiaire E, et le vérifie via les moyens de vérification 42. La vérification comprend une interrogation de la base de données intermédiaire 6, après établissement d'une connexion 10c avec la base de données intermédiaire 6, pour en extraire les attributs AU stockés. Lorsque l'élément d'authentification intermédiaire E est un mot de passe intermédiaire MPI, le mot de passe de la requête RQ1 est comparé avec le mot de passe stocké dans la base de données intermédiaire 6. Lorsque l'élément d'authentification intermédiaire E est un certificat électronique intermédiaire CXI, le certificat électronique intermédiaire CXI est vérifié en utilisant les attributs (par exemple date de validité, informations d'identification, autorité de certification, chiffrement, signature...) stockés dans la base de données intermédiaire 6. - Douzième étape 112 : si l'élément d'authentification intermédiaire E est correct, alors la passerelle mandataire 4 obtient le mot de passe utilisateur MPS via les moyens d'obtention 43 du mot de passe utilisateur. Pour cela, la passerelle mandataire 4 réalise une connexion 10a vers une interface d'accès à la base de mots de passe utilisateur 8. - Treizième étape 113 : la passerelle mandataire 4 envoie, à destination du serveur de messagerie 7, une deuxième requête R02 comprenant le mot de passe utilisateur MPS, via les moyens d'envoi 44 de requête. - Quatorzième étape 114: le serveur de messagerie 7 réceptionne la deuxième requête RQ2, l'analyse, et en extrait le mot de passe utilisateur MPS. Que l'application client de messagerie 2 ait utilisé l'élément d'authentification intermédiaire E et non le mot de passe utilisateur MPS est donc sans effet sur le serveur de messagerie 7, qui reçoit une requête comprenant le mot de passe attendu (la deuxième requête RQ2). - Quinzième étape 115 : le serveur de messagerie 7 vérifie le mot de passe utilisateur MPS par connexion 10b à la base de mots de passe utilisateurs 8. - Seizième étape 116: le serveur de messagerie 7 délivre une réponse RP comportant les nouveaux messages électroniques reçus, en utilisant la connexion 9b initiée par la passerelle mandataire 4. La passerelle mandataire 7 reçoit la réponse RP via les moyens de réception 41 de réponse. - Dix-septième étape 117: la passerelle mandataire 4 transmet la réponse RP à l'application client de messagerie 2 en utilisant la connexion 9a initiée par l'application client de messagerie 2. On note que pour obtenir à nouveau les nouveaux messages électroniques, les étapes allant de la première 101 à la huitième étape 108 n'ont pas besoin d'être renouvelées, puisque le mot de passe intermédiaire MPI est stocké dans le terminal 1. Seules les étapes allant de la neuvième 109 à la dix-septième étape 117 sont à renouveler. - Dix-huitième étape 118: en fonction d'une politique de sécurité, par exemple au bout d'un certain nombre de répétition des étapes allant de la neuvième 109 à la dix-septième étape 117, et/ou au bout d'un certain temps, le serveur d'authentification 5 ou la passerelle mandataire 4 supprime l'élément d'authentification intermédiaire E de la base de données intermédiaire 6. Ainsi, lorsque l'application client de messagerie 2 cherche à obtenir les nouveaux messages électroniques, la vérification de l'élément d'authentification intermédiaire E ayant lieu lors de la onzième étape 111 montre que l'élément d'authentification intermédiaire E est incorrect, et l'accès aux nouveaux messages électroniques reçus est empêché. Les étapes allant de la première étape 101 à la huitième étape 108 ont alors à être renouvelées. On note que dans le cas où les éléments d'authentification intermédiaires E sont des certificats électroniques, les certificats électroniques intermédiaires CXI expirent à intervalle déterminé par leur date de validité ou sont répudiés par le serveur d'authentification 5, ou par l'infrastructure à clefs publiques PKI, ou par la passerelle mandataire 4. L'utilisateur U doit alors obtenir un nouveau certificat électronique intermédiaire CXI en utilisant l'application 3. Le renouvellement du certificat électronique intermédiaire CXI peut être déclenché automatiquement en se basant sur la date de validité du certificat précédent. Grâce au procédé et au dispositif selon l'invention, les mots de passe utilisateur MPS n'ont pas besoin d'être stockés dans le terminal 1. En cas de perte ou vol du terminal 1, le mot de passe utilisateur MPS n'est donc pas compromis. De plus, le remplacement régulier de l'élément d'authentification intermédiaire E augmente la sécurité du système. On note également que le procédé et le dispositif sont transparents pour l'application client de messagerie 2 et le serveur de messagerie 7.CXI Intermediate Electronic Certificates have a short validity period, typically 24 hours. Fourth step 104: the intermediate authentication element E generated is sent to the obtaining application 3 via the secure connection 11, via the sending means 53 of the authentication server 5. When the intermediate authentication element E is an intermediate electronic certificate CXI, the intermediate electronic certificate CXI is transmitted to the obtaining application 3 in a standard and secure container, for example according to the PKCS # 12 standard, with a public key, a private key, and a certificate of the certification authority. Fifth step 105: attributes of the intermediate authentication element E generated are sent to the intermediate database 6, via a connection 10d, via the sending means 54 of the authentication server 5. The connection 10d is for example an LDAP / LDAPS connection ("Lightweight Directory Access Protocol") if the base of intermediate passwords 6 is a directory. Note that the fourth step 104 and the fifth step 105 can take place simultaneously, or the fifth step 105 can take place before the fourth step 104. - Sixth step 106: when the intermediate authentication element E is a password intermediate MPI, it is displayed on the screen of the terminal 1 via the display means 32 of the obtaining application 3. When the intermediate authentication element E is an intermediate electronic certificate CXI, it is installed by the obtaining application 3 in the certificate database of the terminal 1, accessible by the client application 2. It is noted that a manual validation of the user U may be necessary and depends on the operating system of the terminal 1. Indeed, the intermediate electronic certificate CXI must be validated in the client application 2, which can be done completely automatically or manually, depending on the operating system. - Seventh step 107: When the intermediate authentication element E is an intermediate password MPI, the user U enters said intermediate password MPI in the user interface of the mail client application 2, for example in using the copying / pasting mechanisms provided by the terminal operating system 1. Using the copy-and-paste mechanism saves time and reduces the risk of entering an incorrect intermediate password. In addition, since the intermediate password MPI is entered manually by the user U in the messaging client application 2, the obtaining application 3 does not need to communicate with the messaging client application 2, which n therefore does not need to be modified. Eighth step 108: When the intermediate authentication element E is an intermediate password MPI, the intermediate password MPI is stored by the mail client application 2 in a memory of the terminal 1. It is transparent to the user. messaging client application 2 to store the intermediate password MPI or the user password MPS, the mail client application 2 does not differentiate between the two passwords. Ninth step 109: the messaging client application 2 sends a first request RQ1 to the messaging server 7 to request the new electronic messages received. The first request RQ1 comprises the intermediate authentication element E. - Tenth step 110: the proxy gateway 4 intercepts the first request RQ1 via the interception means 40. A connection 9a is then initiated between the messaging client application 2 and the proxy gateway 4. - Eleventh step 111: the proxy gateway 4 analyzes the first request RQ1, extracts the intermediate authentication element E, and verifies it via the verification means 42. The verification comprises a query of the base intermediate data 6, after establishment of a connection 10c with the intermediate database 6, to extract the stored AU attributes. When the intermediate authentication element E is an intermediate password MPI, the password of the request RQ1 is compared with the password stored in the intermediate database 6. When the intermediate authentication element E is an intermediate electronic certificate CXI, the intermediate electronic certificate CXI is checked by using the attributes (for example validity date, identification information, certification authority, encryption, signature, etc.) stored in the intermediate database 6. - Twelfth step 112: if the intermediate authentication element E is correct, then the proxy gateway 4 obtains the user password MPS via the means 43 for obtaining the user password. For this purpose, the proxy gateway 4 makes a connection 10a to an access interface to the user password database 8. - Thirteenth step 113: the proxy gateway 4 sends, to the messaging server 7, a second request R02 including the MPS user password, via the request sending means 44. Fourteenth step 114: the mail server 7 receives the second request RQ2, analyzes it, and extracts the user password MPS. That the messaging client application 2 has used the intermediate authentication element E and not the user password MPS has no effect on the mail server 7, which receives a request including the expected password (the second one). request RQ2). Fifteenth step 115: the mail server 7 checks the user password MPS by connection 10b to the user password database 8. - Sixteenth step 116: the mail server 7 delivers a response RP containing the new electronic messages received , using the connection 9b initiated by the proxy gateway 4. The proxy gateway 7 receives the response RP via the response receiving means 41. - Seventeenth step 117: the proxy gateway 4 transmits the response RP to the messaging client application 2 by using the connection 9a initiated by the mail client application 2. It is noted that to obtain the new electronic messages, the steps from the first 101 to the eighth step 108 do not need to be renewed, since the intermediate password MPI is stored in the terminal 1. Only the steps from the ninth 109 to the seventeenth step 117 are to be renewed. - Eighteenth step 118: according to a security policy, for example after a certain number of repetition of the steps going from the ninth 109 to the seventeenth step 117, and / or at the end of a For some time, the authentication server 5 or the proxy gateway 4 deletes the intermediate authentication element E from the intermediate database 6. Thus, when the messaging client application 2 tries to obtain the new electronic messages, the verification of the intermediate authentication element E taking place in the eleventh step 111 shows that the intermediate authentication element E is incorrect, and access to the new received electronic messages is prevented. The steps from the first step 101 to the eighth step 108 then have to be renewed. Note that in the case where the intermediate authentication elements E are electronic certificates, the intermediate electronic certificates CXI expire at an interval determined by their validity date or are repudiated by the authentication server 5, or by the infrastructure to public keys PKI, or by the proxy gateway 4. The user U must then obtain a new intermediate electronic certificate CXI by using the application 3. The renewal of the intermediate electronic certificate CXI can be triggered automatically based on the date of validity from the previous certificate. Thanks to the method and the device according to the invention, the MPS user passwords do not need to be stored in the terminal 1. In case of loss or theft of the terminal 1, the MPS user password is not therefore not compromised. In addition, the regular replacement of the intermediate authentication element E increases the security of the system. It is also noted that the method and the device are transparent for the messaging client application 2 and the messaging server 7.
Claims (10)
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| FR1455531A FR3022375B1 (en) | 2014-06-17 | 2014-06-17 | METHOD AND DEVICE FOR SECURING A PASSWORD PROTECTED SYSTEM |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| FR1455531A FR3022375B1 (en) | 2014-06-17 | 2014-06-17 | METHOD AND DEVICE FOR SECURING A PASSWORD PROTECTED SYSTEM |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| FR3022375A1 true FR3022375A1 (en) | 2015-12-18 |
| FR3022375B1 FR3022375B1 (en) | 2017-09-15 |
Family
ID=51225825
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| FR1455531A Active FR3022375B1 (en) | 2014-06-17 | 2014-06-17 | METHOD AND DEVICE FOR SECURING A PASSWORD PROTECTED SYSTEM |
Country Status (1)
| Country | Link |
|---|---|
| FR (1) | FR3022375B1 (en) |
Citations (3)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US5586260A (en) * | 1993-02-12 | 1996-12-17 | Digital Equipment Corporation | Method and apparatus for authenticating a client to a server in computer systems which support different security mechanisms |
| US20010000358A1 (en) * | 1998-06-12 | 2001-04-19 | Kousei Isomichi | Gateway system and recording medium |
| US20110283338A1 (en) * | 2010-05-14 | 2011-11-17 | Microsoft Corporation | Sensor-based authentication to a computer network-based service |
-
2014
- 2014-06-17 FR FR1455531A patent/FR3022375B1/en active Active
Patent Citations (3)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US5586260A (en) * | 1993-02-12 | 1996-12-17 | Digital Equipment Corporation | Method and apparatus for authenticating a client to a server in computer systems which support different security mechanisms |
| US20010000358A1 (en) * | 1998-06-12 | 2001-04-19 | Kousei Isomichi | Gateway system and recording medium |
| US20110283338A1 (en) * | 2010-05-14 | 2011-11-17 | Microsoft Corporation | Sensor-based authentication to a computer network-based service |
Also Published As
| Publication number | Publication date |
|---|---|
| FR3022375B1 (en) | 2017-09-15 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| US7917757B2 (en) | Method and system for authentication of electronic communications | |
| Bambacht et al. | Web3: A decentralized societal infrastructure for identity, trust, money, and data | |
| EP3391614B1 (en) | Method for sending digital information | |
| EP2484084B1 (en) | Method and devices allowing communication secure against denial of services (dos) and against flooding attacks in a telecommunications network | |
| EP2567502A2 (en) | Method for authenticating a user requesting a transaction with a service provider | |
| FR2926938A1 (en) | METHOD OF AUTHENTICATING AND SIGNING A USER TO AN APPLICATION SERVICE USING A MOBILE PHONE AS A SECOND FACTOR IN COMPLEMENT AND INDEPENDENTLY OF A FIRST FACTOR | |
| EP2092703B1 (en) | Checking of message to be transmitted from a sender domain to an addressee domain | |
| WO2012131268A1 (en) | Strong authentication by presentation of the number | |
| FR2944667A1 (en) | METHOD FOR AUTHENTICATING A CLIENT MOBILE TERMINAL FROM A REMOTE SERVER | |
| JP2006180478A (en) | Endpoint identification and security | |
| FR2964812A1 (en) | AUTHENTICATION METHOD FOR ACCESSING A WEB SITE | |
| WO2011151573A1 (en) | Method and devices for secure communications in a telecommunications network | |
| EP2220812A2 (en) | Method of authenticating a user | |
| FR3081654A1 (en) | METHOD, DEVICE AND SERVER FOR SECURED DISTRIBUTION OF CONFIGURATION TO TERMINAL | |
| EP3734901A1 (en) | Method for secure data transmission | |
| EP2056565A1 (en) | Method of authenticating a user accessing a remote server from a computer | |
| EP3673633B1 (en) | Method for authenticating a user with an authentication server | |
| FR3022375A1 (en) | METHOD AND DEVICE FOR SECURING A PASSWORD PROTECTED SYSTEM | |
| EP3808060A1 (en) | Method for processing messages by a device of a voice over ip network | |
| FR2814880A1 (en) | Electronic payment method via the internet or similar network and two user communication devices (terminal and phone) receiving verification requests from vendor | |
| EP3503500B1 (en) | Method for creating a remote electronic signature using the fido protocole | |
| WO2021028639A1 (en) | Method for transmitting digital information | |
| WO2024153437A1 (en) | Methods for signing data and providing signed data, and associated terminal and server | |
| EP1992104B1 (en) | Authenticating a computer device at user level | |
| EP3360293A1 (en) | Means for managing access to data |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| PLFP | Fee payment |
Year of fee payment: 2 |
|
| PLSC | Publication of the preliminary search report |
Effective date: 20151218 |
|
| PLFP | Fee payment |
Year of fee payment: 3 |
|
| PLFP | Fee payment |
Year of fee payment: 4 |
|
| PLFP | Fee payment |
Year of fee payment: 5 |
|
| PLFP | Fee payment |
Year of fee payment: 7 |
|
| PLFP | Fee payment |
Year of fee payment: 8 |
|
| PLFP | Fee payment |
Year of fee payment: 9 |
|
| TP | Transmission of property |
Owner name: BULL SAS, FR Effective date: 20220708 |
|
| PLFP | Fee payment |
Year of fee payment: 10 |
|
| PLFP | Fee payment |
Year of fee payment: 11 |