WO2004082354A2 - Dispositif d’authentification a mot de passe a usage unique : otp et dispositif generateur de mot de passe associe - Google Patents

Dispositif d’authentification a mot de passe a usage unique : otp et dispositif generateur de mot de passe associe Download PDF

Info

Publication number
WO2004082354A2
WO2004082354A2 PCT/FR2004/000554 FR2004000554W WO2004082354A2 WO 2004082354 A2 WO2004082354 A2 WO 2004082354A2 FR 2004000554 W FR2004000554 W FR 2004000554W WO 2004082354 A2 WO2004082354 A2 WO 2004082354A2
Authority
WO
WIPO (PCT)
Prior art keywords
variable
user
password
security server
access
Prior art date
Application number
PCT/FR2004/000554
Other languages
English (en)
Other versions
WO2004082354A3 (fr
Inventor
Luigi Lancieri
Original Assignee
France Telecom
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by France Telecom filed Critical France Telecom
Publication of WO2004082354A2 publication Critical patent/WO2004082354A2/fr
Publication of WO2004082354A3 publication Critical patent/WO2004082354A3/fr

Links

Classifications

    • G—PHYSICS
    • G09—EDUCATION; CRYPTOGRAPHY; DISPLAY; ADVERTISING; SEALS
    • G09C—CIPHERING OR DECIPHERING APPARATUS FOR CRYPTOGRAPHIC OR OTHER PURPOSES INVOLVING THE NEED FOR SECRECY
    • G09C5/00—Ciphering apparatus or methods not provided for in the preceding groups, e.g. involving the concealment or deformation of graphic data such as designs, written or printed messages
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/31—User authentication
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/31—User authentication
    • G06F21/34—User authentication involving the use of external additional devices, e.g. dongles or smart cards
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/31—User authentication
    • G06F21/36—User authentication by graphic or iconic representation
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q20/00—Payment architectures, schemes or protocols
    • G06Q20/38—Payment protocols; Details thereof
    • G06Q20/385—Payment protocols; Details thereof using an alias or single-use codes
    • G—PHYSICS
    • G07—CHECKING-DEVICES
    • G07F—COIN-FREED OR LIKE APPARATUS
    • G07F7/00—Mechanisms actuated by objects other than coins to free or to actuate vending, hiring, coin or paper currency dispensing or refunding apparatus
    • G07F7/08—Mechanisms actuated by objects other than coins to free or to actuate vending, hiring, coin or paper currency dispensing or refunding apparatus by coded identity card or credit card or other personal identification means
    • G07F7/10—Mechanisms actuated by objects other than coins to free or to actuate vending, hiring, coin or paper currency dispensing or refunding apparatus by coded identity card or credit card or other personal identification means together with a coded signal, e.g. in the form of personal identification information, like personal identification number [PIN] or biometric data
    • G07F7/1008—Active credit-cards provided with means to personalise their use, e.g. with PIN-introduction/comparison system
    • G—PHYSICS
    • G07—CHECKING-DEVICES
    • G07F—COIN-FREED OR LIKE APPARATUS
    • G07F7/00—Mechanisms actuated by objects other than coins to free or to actuate vending, hiring, coin or paper currency dispensing or refunding apparatus
    • G07F7/08—Mechanisms actuated by objects other than coins to free or to actuate vending, hiring, coin or paper currency dispensing or refunding apparatus by coded identity card or credit card or other personal identification means
    • G07F7/10—Mechanisms actuated by objects other than coins to free or to actuate vending, hiring, coin or paper currency dispensing or refunding apparatus by coded identity card or credit card or other personal identification means together with a coded signal, e.g. in the form of personal identification information, like personal identification number [PIN] or biometric data
    • G07F7/1025—Identification of user by a PIN code
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3226—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using a predetermined code, e.g. password, passphrase or PIN
    • H04L9/3228—One-time or temporary data, i.e. information which is sent for every authentication or authorization, e.g. one-time-password, one-time-token or one-time-key
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2209/00—Additional information or applications relating to cryptographic mechanisms or cryptographic arrangements for secret or secure communication H04L9/00
    • H04L2209/80—Wireless
    • H04L2209/805—Lightweight hardware, e.g. radio-frequency identification [RFID] or sensor

Definitions

  • the invention relates to authentication devices and methods allowing secure access to information systems or any other application requiring authentication.
  • Conventional authentication methods consist in verifying the identity of a user by asking him to enter his identifier (his name) and a personal password, when he connects to an information system.
  • the identifier and the password are transmitted to the information system which authorizes or not the access to the user.
  • a drawback of these authentication methods is that the identification information supplied by the user can be captured during its exchanges with the information system, and reused.
  • a special feature of these software authentication means is that they include password generating means for the user.
  • These generating means are, for example, in the form of an application directly installed on the user's terminal (this is the case, for example, of systems known under the brand "SofToken TM").
  • the generating means can also be in the form of an electronic key which can be connected to a USB port of the user terminal (this is the case, for example, for systems known under the brand “iKey TM”).
  • the generating means can also be in the form of a portable device (this is the case for example of the systems known under the brands "ActivCard One TM", “Silver 2000 TM”, “MobilePass TM”).
  • the main advantage of these devices is that the user can connect from any terminal, this terminal does not integrate a specific application.
  • the OTP protocol is for example described in the document "A One-Time Password System" made available to the public under the reference RCF 2289 by the IETF (Internet Engineering Task Force).
  • the authentication procedure according to the OTP protocol comprises several steps.
  • a security server communicates to an user wishing to connect to an information system an access variable in the form of an alphanumeric code. This access variable depends on the user identifier and the chronology of the connection.
  • the user enters the code provided by the security server into the generating means and these generate a one-time password from this code.
  • the user enters the password thus generated by the generating means on the user terminal and transmits it to the security server.
  • the security server compares the password provided by the user with a password that he calculated himself. Depending on this comparison, it authorizes or not the user's access to the information system.
  • the OTP protocol is thus based on the fact that the security server and the generating means hold common information (shared secrets), in particular: a parameter linked to the connection chronology and a function making it possible to generate a password for use. unique.
  • This common information cannot be captured because it never travels between the security server and the user.
  • the setting corresponding to the connection chronology varies with each connection so that the password generated is never the same. It will be noted that in order to obtain a concordance between the parameters linked to the connection chronology held by the security server and by the generating means, these must be synchronized with one another.
  • An object of the invention is to provide an authentication device having a simplified interface for the user.
  • FIG. 2 represents an example of a generating device in accordance with the present invention intended to be used in the context of the authentication device of FIG. 1.
  • the authentication device comprises a security server 10 linked to an information system 20 which is for example the internal network of a company.
  • This information system is accessible by a user terminal 30 such as a standard computer, via a data transmission network 40 such as the Internet for example.
  • a user terminal 30 such as a standard computer
  • a data transmission network 40 such as the Internet for example.
  • the security server 10 is able to implement an authentication process at the end of which it authorizes or not the user to access the information system.
  • the security server 10 recognizes the identifier LOGIN of the user and determines as a function of this identifier an access variable VINTERM. This variable is calculated as follows:
  • NSERV is a variable corresponding to the number of connections made by the user
  • ASCII is the value ASCII (American Standard Code for Information Interchange) of the user's identifier.
  • the hashing function f makes it possible to obtain a VINTERM variable coded on 32 bits.
  • the security server 10 transmits to the user terminal 30 an image or a sequence of images representative of this variable VINTERM.
  • the security server 10 translates the variable VINTERM into a bar code and transmits this bar code to the user terminal 30 in the form of an image representing the lines of the bar code.
  • the security server 10 also calculates an HSTOC variable as follows:
  • This HSTOC variable is not transmitted to the user terminal.
  • the user terminal 30 displays the image representing the bar code.
  • the user scans the barcode thus displayed using his CMA 50. To this end, he passes the photosensitive sensor 53 of the
  • the photosensitive sensor 53 detects the bar code and the CMA deduces therefrom the access variable VINTERM.
  • the authentication protocol implemented is based on the fact that the security server 10 and the CMA 50 hold common information (shared secrets), namely:
  • PWDPS makes it possible to avoid any fraudulent use of the CMA 50 and prevents a foreign person from having access to the authentication information contained in the CMA.
  • any other incrementation law based on the number of connections made by the user can of course be used.
  • the authentication method described above has the advantage of being particularly simple compared to the authentication methods of the prior art.
  • the information which passes between the user terminal and the security server is reduced to a minimum so as to further improve the confidentiality and the comfort of authentication.

Abstract

L'invention concerne un dispositif d'authentification du type utilisant un mot de passe à usage unique, comprenant un serveur de sécurité (10) apte à générer une variable d'accès lorsqu'il reçoit une demande de connexion de la part d'un terminal utilisateurs (30), caractérisé en ce que le serveur de sécurité (10) est apte à transmettre la variable d'accès au terminal utilisateurs (30) sous la forme d'une image ou d'une séquence d'images, de sorte qu'un dispositif générateur comportant des moyens otiques de détection soit apte à détecter ladite image ou séquence d'images affichée par le terminal utilisateurs (30) pour en déduire la variable d'accès. L'invention concerne également un dispositif générateur de mot de passe comportant des moyens optiques de détection apte à détecter ladite image ou séquence d'images affichée et à en déduire la variable d'accès.

Description

DISPOSITIF D'AUTHENTIFICATION DU TYPE UTILISANT UN MOT DE
PASSE A USAGE UNIQUE ET DISPOSITIF GENERATEUR DE MOT DE
PASSE ASSOCIE
L'invention concerne les dispositifs et procédés d'authentification permettant un accès sécurisé à des systèmes d'information ou tout autre application nécessitant une authentification.
Les procédés d'authentification classiques consistent à vérifier l'identité d'un utilisateur en lui demandant de saisir son identifiant (son nom) et un mot de passe personnel, au moment où il se connecte à un système d'information. L'identifiant et le mot de passe sont transmis au système d'information qui autorise ou non l'accès à l'utilisateur.
Un inconvénient de ces procédés d'authentification est que les informations d'identification fournies par l'utilisateur peuvent être capturées lors de ses échanges avec le système d'information, et réutilisées.
C'est pourquoi, il existe des procédés d'authentification dits « forts » qui utilisent des moyens d'authentification logiciels et/ou matériels (cartes à puce, token, biométrie, etc.). Certains moyens d'authentification de type logiciels mettent en œuvre un protocole d'échange de type OTP (« One-time Password » selon la terminologie anglo-saxonne généralement employée) entre un serveur de sécurité et l'utilisateur. Selon ce protocole, un mot de passe nouveau est généré à chaque fois qu'un utilisateur est authentifié, de sorte qu'il soit impossible de réutiliser un mot de passe lors d'une connexion ultérieure.
Une particularité de ces moyens d'authentification logiciels est qu'ils comprennent des moyens générateurs de mot de passe chez l'utilisateur.
Ces moyens générateurs se présentent par exemple sous la forme d'une application directement installée sur le terminal de l'utilisateur (c'est le cas par exemple des systèmes connus sous la marque « SofToken™ »).
Les moyens générateurs peuvent également se présenter sous forme d'une clé électronique pouvant être connectée à un port USB du terminal de l'utilisateur (c'est la cas par exemple des systèmes connu sous la marque « iKey™ »).
Enfin, les moyens générateurs peuvent également se présenter sous forme d'un appareil portable (c'est le cas par exemple des systèmes connus sous les marques « ActivCard One™ », « Silver 2000™ », « MobilePass™ »). Le principal avantage de ces appareils est que l'utilisateur peut se connecter à partir de n'importe quel terminal, ce terminal n'intégrant pas d'application spécifique.
Le protocole OTP est par exemple décrit dans le document « A One-Time Password System » mis à disposition du public sous la référence RCF 2289 par l'IETF (Internet Engineering Task Force).
La procédure d'authentification selon le protocole OTP comprend plusieurs étapes.
Selon l'une de ces étapes, un serveur de sécurité communique à un utilisateur souhaitant se connecter à un système d'information une variable d'accès sous la forme d'un code alphanumérique. Cette variable d'accès dépend de l'identifiant de l'utilisateur et de la chronologie de la connexion. L'utilisateur saisit le code fourni par le serveur de sécurité dans les moyens générateurs et ceux-ci génèrent un mot de passe à usage unique à partir de ce code. L'utilisateur saisi le mot de passe ainsi généré par les moyens générateurs sur le terminal utilisateur et le transmet au serveur de sécurité.
Le serveur de sécurité compare le mot de passe fourni par l'utilisateur avec un mot de passe qu'il a lui-même calculé. En fonction de cette comparaison, il autorise ou non l'accès de l'utilisateur au système d'information.
Le protocole OTP est ainsi basé sur le fait que le serveur de sécurité et les moyens générateurs détiennent des informations communes (secrets partagés), en particulier : un paramètre lié à la chronologie de connexion et une fonction permettant de générer un mot de passe à usage unique. Ces informations communes ne peuvent être capturées car elles ne transitent jamais entre le serveur de sécurité et l'utilisateur. En outre, le paramètre correspondant à la chronologie de connexion varie à chaque connexion de sorte que le mot de passe généré n'est jamais le même. On notera que pour obtenir une concordance entre les paramètres liés à la chronologie de connexion détenus par le serveur de sécurité et par les moyens générateurs, ceux-ci doivent être synchronisés entre eux.
En outre, dans le cas de moyens générateurs portables, le processus d'authentification requière que l'utilisateur saisisse un certain nombre de codes durant la procédure d'authentification, ces codes étant à destination soit du serveur de sécurité, soit des moyens générateurs. Il s'ensuit que les opérations d'authentification sont relativement fastidieuses pour l'utilisateur. Un but de l'invention est de fournir un dispositif d'authentification présentant une interface simplifiée pour l'utilisateur.
A cet effet, l'invention propose un dispositif d'authentification du type utilisant un mot de passe à usage unique, comprenant un serveur de sécurité apte à générer une variable d'accès lorsqu'il reçoit une demande de connexion de la part d'un terminal utilisateur, caractérisé en ce que le serveur de sécurité est apte à transmettre la variable d'accès au terminal utilisateurs sous la forme d'une image ou d'une séquence d'images, de sorte qu'un dispositif générateur comportant des moyens optiques de détection soit apte à détecter ladite image ou séquence d'images affichée par le terminal utilisateurs pour en déduire la variable d'accès.
Grâce au dispositif d'authentification de l'invention, la variable d'accès fournie par le serveur de sécurité au terminal utilisateurs est présentée sous forme d'une image ou d'une séquence d'images. Cette image ou séquence d'images peut être lue directement par le dispositif générateur de sorte que l'utilisateur n'a pas à saisir manuellement la variable d'accès dans le dispositif générateur.
L'invention propose également un dispositif générateur sous la forme d'un terminal portable, apte à générer un mot de passe à usage unique en fonction d'une variable d'accès fournie par un serveur de sécurité d'un dispositif d'authentification, caractérisé en ce qu'il comprend des moyens optiques de détection aptes à détecter une image ou une séquence d'images fournie par le serveur de sécurité et en ce qu'il est apte à en déduire la variable d'accès. Le dispositif générateur de l'invention comprend des moyens optiques de détection de sorte qu'il peut être utilisé en combinaison avec le dispositif d'authentification qui précède.
Le dispositif d'authentification et le dispositif générateur proposés ne nécessitent aucun ajout logiciel ou matériel sur le terminal utilisateurs. Il en résulte que l'utilisateur peut être authentifié à partir de n'importe quel terminal utilisateurs.
Dans une mise en œuvre avantageuse de l'invention, l'image affichée par le terminal utilisateurs et lue par le dispositif générateur est la représentation d'un code alphanumérique. Cette image est par exemple un code-barre.
D'autres caractéristiques et avantages ressortiront encore de la description qui suit, laquelle est purement illustrative et non limitative et doit être lue en regard des figures annexées parmi lesquelles : - la figure 1 représente un exemple de dispositif d'authentification conforme à la présente invention,
- la figure 2 représente un exemple de dispositif générateur conforme à la présente invention destiné à être utilisé dans le cadre du dispositif d'authentification de la figure 1. Sur la figure 1 , le dispositif d'authentification comprend un serveur de sécurité 10 lié à un système d'information 20 qui est par exemple le réseau interne d'une entreprise. Ce système d'information est accessible par un terminal utilisateurs 30 tel qu'un ordinateur standard, via un réseau de transmission de données 40 tel qu'Internet par exemple. Lorsqu'un utilisateur souhaite se connecter au système d'information 20 à partir du terminal 30, le serveur de sécurité 10 est apte à mettre en œuvre un procédé d'authentification à l'issue duquel il autorise ou non l'utilisateur à accéder au système d'information.
Un utilisateur, autorisé à accéder au système d'information 20 possède un CMA (Composant Mobile Autonome). Un exemple de CMA est représenté sur la figure 2. Le CMA 50 comprend un écran 51 et éventuellement un clavier 52. Il comprend également un capteur photosensible 53. Ce CMA peut par exemple consister en un assistant électronique PDA (Personal Digital Assistant) intégrant une application de génération de mot de passe.
Le serveur de sécurité 10 comprend des moyens mémoire dans lesquels est stockée une base de données comprenant un ensemble d'identifiant (ou login) correspondant à un ensemble d'utilisateurs autorisés à accéder au système d'information 20. Chaque identifiant est associé à une variable NSERV qui dont la valeur est fixée initialement à 2 par exemple.
De même, le CMA 50 contient une variable NPIC dont la valeur est initialement fixée à 2.
Ces variables NSERV et NPIC seront incrémentées à chaque connexion de l'utilisateur au système d'information 20.
On va maintenant décrire les différentes étapes d'authentification mises en œuvre par le serveur de sécurité. Selon une première étape, le serveur de sécurité 10 transmet de manière classique un formulaire HTML de demande d'autorisation de connexion au terminal utilisateurs 30 dans lequel il demande à l'utilisateur de s'identifier. L'utilisateur doit alors saisir sur le terminal 30 un identifiant LOGIN qui peut être par exemple son nom. Cet identifiant est transmis au serveur de sécurité 10 via le réseau 40.
Selon une deuxième étape, le serveur de sécurité 10 reconnaît l'identifiant LOGIN de l'utilisateur et détermine en fonction de cet identifiant une variable d'accès VINTERM. Cette variable est calculée de la manière suivante :
"NSERV VINTERM = f •x ASCII(LOGIN)
2 où f est une fonction de hachage, NSERV est une variable correspondant au nombre de connexions réalisées par l'utilisateur et ASCII est la valeur ASCII (American Standard Code for Information Interchange) de l'identifiant de l'utilisateur. La fonction f de hachage permet d'obtenir une variable VINTERM codée sur 32 bits. Le serveur de sécurité 10 transmet au terminal utilisateur 30 une image ou une séquence d'images représentative de cette variable VINTERM.
Par exemple, le serveur de sécurité 10 traduit la variable VINTERM en un code-barre et transmet ce code-barre au terminal utilisateur 30 sous la forme d'une image représentant les traits du code-barre.
Il transmet également un formulaire HTML dans lequel il demande à l'utilisateur son mot de passe.
Le serveur de sécurité 10 calcule également une variable HSTOC de la manière suivante :
'NSERV
HSTOC = f • x VINTERM
2
Cette variable HSTOC n'est pas transmise au terminal utilisateur.
Selon une troisième étape, le terminal utilisateur 30 affiche l'image représentant le code-barre. L'utilisateur scanne le code-barre ainsi affiché à l'aide de son CMA 50. A cet effet, il passe le capteur photosensible 53 du
CMA 50 devant l'image. Le capteur photosensible 53 détecte le code-barre et le CMA en déduit la variable d'accès VINTERM.
Le CMA 50 calcule ensuite un mot de passe PWDPIC codé sur 32 bits à partir de la variable d'accès VINTERM de la manière suivante :
NPTC PWDPIC = / x VINTERM
2
Le CMA affiche sur son écran le mot de passe PWDPIC. En parallèle, le CMA 50 incrémente la variable NPIC de la manière suivante : NPIC = NPIC + 2 Selon une quatrième étape, l'utilisateur remplit le formulaire HTML en saisissant sur le terminal utilisateur 30 le mot de passe PWDPIC fourni par le CMA 50. Le mot de passe est transmis au serveur de sécurité 10.
Selon une variante de cette quatrième étape, l'utilisateur saisit le mot de passe PWDPIC fourni par le CMA 50 ainsi qu'un mot de passe personnel PWDPS classique. Ces mots de passe peuvent par exemple être concaténés pour former un mot de passe composé PWDPICPWDPS. Cette variante permet avantageusement de combiner l'authentification classique par mot de passe et l'authentification logicielle à mot de passe à usage unique.
Le mot de passe saisi par l'utilisateur est transmis au serveur de sécurité 10.
Selon une cinquième étape, le serveur de sécurité 10 compare le mot de passe fourni par l'utilisateur avec la variable HSTOC qu'il a calculée. Il vérifie la condition suivante : PWDPIC = HSTOC ? Dans le cas où l'utilisateur a transmis un mot de passe composé
PWDPICPWDPS, le serveur de sécurité scinde le mot de passe en deux parties et vérifie si l'une des conditions suivantes est remplie : PWDPIC = HSTOC ? ou PWDPS = HSTOC ? Si l'une des conditions est vérifiée, le serveur de sécurité contrôle de manière classique le mot de passe personnel PWDPS de l'utilisateur.
Si toutes les conditions sont vérifiées, le serveur de sécurité 10 en déduit que l'utilisateur est autorisé à accéder au système d'information 20. Dans ce cas, il incrémente la variable NSERV de la manière suivante : NSERV = NSERV + 2
Si l'une des conditions n'est pas vérifiée (c'est à dire PWDPIC ≠ HSTOC ou PWDPS invalide), le serveur de sécurité en déduit que l'utilisateur n'est pas autorisé à accéder au système d'information 20.
Dans le dispositif qui précède, le protocole d'authentification mis en œuvre est basé sur la fait que le serveur de sécurité 10 et le CMA 50 détiennent des informations communes (secrets partagés), à savoir :
- une fonction de hachage f,
- des variables NSERV et NPIC,
- une loi d'incrémentation des variables NSERV et NPIC, ces variables étant incrémentées à chaque connexion de l'utilisateur au système d'information 20.
Ces informations ne peuvent pas être capturées dans la mesure où elles ne sont jamais échangées entre le CMA 50 et le serveur de sécurité. Par ailleurs, dans le cadre de la variante du procédé d'authentification décrite précédemment, le mot de passe personnel
PWDPS permet d'éviter toute utilisation frauduleuse du CMA 50 et évite qu'une personne étrangère ait accès aux informations d'authentification contenues dans le CMA.
La loi d' incrémentation des variables NSERV et NPIC établit une synchronisation implicite entre le serveur de sécurité 10 et le CMA 50. Du fait que cette lo est basée sur le nombre de connexions effectuées par l'utilisateur et non pas sur l'instant de connexion, le serveur de sécurité et le CMA n'ont pas à être synchronisés par une horloge. Il en découle que le dispositif d'authentification de l'invention ne nécessite pas de moyens de synchronisation spécifiques.
Dans notre exemple, la loi d'incrémentation peut être la suivante : si NSERV >~ NSUP alors NSERV = 2 sinon NSER V = NSEi- V + 2.
La même loi d'incrémentation est appliquée à la variable ΝPIC.
Le fait d'imposer une borne ΝSUP aux variables ΝSΕRV et ΝPIC et de réinitialiser de manière cyclique ces variables permet d'utiliser le dispositif d'authentification à l'infini. En effet, le nombre de connexions possibles par l'utilisateur avec un CMA n'est pas limité par la valeur maximale pouvant être codée pour ΝSERV et ΝPIC.
Toutefois, dans le cadre de l'invention, toute autre loi d'incrémentation basée sur le nombre de connexions effectuées par l'utilisateur pourra bien entendu être utilisée. Le procédé d'authentification décrit précédemment présente l'avantage d'être particulièrement simple par rapport aux procédés d'authentification de l'art antérieur. En particulier, les informations qui transitent entre le terminal utilisateurs et le serveur de sécurité sont réduites au minimum de manière à améliorer encore la confidentialité et le confort de l'authentification.

Claims

REVENDICATIONS
1. Dispositif d'authentification du type utilisant un mot de passe à usage unique, comprenant un serveur de sécurité (10) apte à générer une variable d'accès lorsqu'il reçoit une demande de connexion de la part d'un terminal utilisateurs (30), caractérisé en ce que le serveur de sécurité (10) est apte à transmettre la variable d'accès au terminal utilisateurs (30) sous la forme d'une image ou d'une séquence d'images, de sorte qu'un dispositif générateur (50) comportant des moyens optiques de détection (53) soit apte à détecter ladite image ou séquence d'image affichée par le terminal utilisateurs (30) pour en déduire la variable d'accès.
2. Dispositif selon la revendication 1 , caractérisé en ce que la variable d'accès est transmise sous la forme d'une image ou séquence d'images, cette image ou séquence d'images étant la représentation d'un code alphanumérique.
3. Dispositif d'authentification selon la revendication 2, caractérisé en ce que la variable d'accès est transmise sous la forme d'une image, cette image étant un code-barre.
4. Dispositif selon l'une des revendications 1 à 3, caractérisé en ce que le serveur de sécurité (10) est apte à générer une variable d'accès en fonction d'un code d'identification d'un utilisateur pour lequel une connexion est demandée.
5. Dispositif selon l'une des revendications 1 à 4, caractérisé en ce que le serveur de sécurité (10) est apte à incrémenter une variable de synchronisation associée à un utilisateur à chaque connexion dudit utilisateur, en fonction d'une loi d'incrémentation.
6. Dispositif selon la revendication 5, caractérisé en ce que la loi d'incrémentation appliqué par le serveur à la variable de synchronisation consiste à incrémenter la variable de synchronisation d'une valeur fixe à chaque connexion de l'utilisateur associé à cette variable, et à réinitialiser cette variable lorsque la valeur de la variable de synchronisation a dépassé un seuil donné.
7. Dispositif selon l'une des revendications 5 ou 6, caractérisé en ce que le serveur de sécurité (10) est apte à comparer un mot de passe fourni par un utilisateur à une variable déterminée en fonction de la variable d'accès et de la variable de synchronisation, et en fonction du résultat de cette comparaison, à autoriser ou non une connexion de l'utilisateur.
8. Dispositif selon l'une des revendications 1 à 7, caractérisé en ce que le serveur de sécurité (10) est apte à comparer un deuxième mot de passe fourni par l'utilisateur à un mot de passe stocké en mémoire, et en fonction du résultat de cette comparaison, à autoriser ou non une connexion de l'utilisateur.
9. Dispositif générateur (50) sous la forme d'un terminal portable, apte à générer un mot de passe à usage unique en fonction d'une variable d'accès fournie par un serveur de sécurité (10) d'un dispositif d'authentification, caractérisé en ce qu'il comprend des moyens optiques de détection (53) aptes à détecter une image ou une séquence d'images fournie par le serveur de sécurité (10) et en ce qu'il est apte à en déduire la variable d'accès.
10. Dispositif selon la revendication 9, caractérisé en ce que les moyens optiques de détection (53) sont aptes à détecter un code alphanumérique représenté par l'image fournie par le serveur de sécurité (10).
11. Dispositif selon la revendication 10, caractérisé en ce que les moyens optiques de détection (53) sont aptes à scanner un code-barre fourni par le serveur de sécurité (10).
12. Dispositif selon l'une des revendications 9 à 11 , caractérisé en ce qu'il est apte à incrémenter une variable de synchronisation associée à un utilisateur à chaque fois qu'il génère un mot de passe, en fonction d'une loi d'incrémentation.
13. Dispositif selon la revendication 12, caractérisé en ce que la loi d'incrémentation appliqué par le dispositif générateur (50) à la variable de synchronisation consiste à incrémenter la variable de synchronisation d'une valeur fixe à chaque génération de mot de passe, et à réinitialiser cette variable lorsque la valeur de la variable de synchronisation a dépassé un seuil donné.
14. Dispositif selon l'une des revendications 12 ou 13, caractérisé en ce qu'il est apte à déterminer un mot de passe en fonction de la variable d'accès fournie par le serveur de sécurité (10) et de la variable de synchronisation.
15. Dispositif selon l'une des revendications 10 à 14, caractérisé en ce qu'il comprend des moyens d'affichage (51 ) et en ce qu'il est apte à afficher un mot de passe généré.
16. Procédé d'authentification du type utilisant un mot de passe à usage unique, comprenant les étapes selon lesquelles :
- un serveur de sécurité (10) génère une variable d'accès lorsqu'il reçoit une demande de connexion de la part d'un terminal utilisateurs (30) et transmet ladite variable d'accès audit terminal utilisateurs (30), - un dispositif générateur (50) génère un mot de passe à usage unique en fonction de la variable d'accès fournie par un serveur de sécurité (10),
- le serveur d'accès (10) compare le mot de passe ainsi généré à une variable déterminée en fonction de la variable d'accès et d'une variable de synchronisation, et en fonction du résultat de cette comparaison, autorise ou non une connexion, caractérisé en ce que le serveur de sécurité (10) transmet la variable d'accès au terminal utilisateurs (30) sous la forme d'une image ou d'une séquence d'image, de sorte que le dispositif générateur (50) comportant des moyens otiques de détection (53), détecte ladite image ou séquence d'image affichée par le terminal utilisateurs (30) pour en déduire la variable d'accès.
17. Procédé selon la revendication 16, caractérisé en ce que le dispositif générateur (50) génère un mot de passe à usage unique en fonction de la variable d'accès fournie par un serveur de sécurité (10) et d'une variable de synchronisation.
18. Procédé selon les revendications 16 et 17, caractérisé en ce que le serveur de sécurité (10) incrémente la variable de synchronisation associée à un utilisateur à chaque connexion dudit utilisateur et le dispositif générateur (50) incrémente la variable de synchronisation associée à un utilisateur à chaque fois qu'il génère un mot de passe, les incrémentations étant réalisées selon des lois d'incrémentation identiques.
PCT/FR2004/000554 2003-03-13 2004-03-09 Dispositif d’authentification a mot de passe a usage unique : otp et dispositif generateur de mot de passe associe WO2004082354A2 (fr)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
FR0303095A FR2852471A1 (fr) 2003-03-13 2003-03-13 Dispositif d'authentification du type utilisant un mot de passe a usage unique et dispositif generateur de mot de passe associe
FR03/03095 2003-03-13

Publications (2)

Publication Number Publication Date
WO2004082354A2 true WO2004082354A2 (fr) 2004-09-30
WO2004082354A3 WO2004082354A3 (fr) 2005-09-22

Family

ID=32893265

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/FR2004/000554 WO2004082354A2 (fr) 2003-03-13 2004-03-09 Dispositif d’authentification a mot de passe a usage unique : otp et dispositif generateur de mot de passe associe

Country Status (2)

Country Link
FR (1) FR2852471A1 (fr)
WO (1) WO2004082354A2 (fr)

Cited By (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
EP2040228A1 (fr) * 2007-09-20 2009-03-25 Tds Todos Data System Ab Système, procédé et dispositif pour autoriser une interaction sécurisée et conviviale
US20100280957A1 (en) * 2007-09-20 2010-11-04 Peter Gullberg System, method and device for enabling interaction with dynamic security
US7836121B2 (en) 2004-04-14 2010-11-16 Ipass Inc. Dynamic executable
CN101710372B (zh) * 2009-04-27 2012-03-28 深圳市江波龙电子有限公司 一种验证身份的方法
CN103020574A (zh) * 2012-11-22 2013-04-03 北京握奇数据系统有限公司 一种结合拍照和条形码识别技术的otp设备和方法
GB2495474A (en) * 2011-10-03 2013-04-17 Barclays Bank Plc Mobile device user authentication within a telephone call, messaging session or at a physical location

Families Citing this family (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
FR2944400B1 (fr) * 2009-04-10 2013-01-18 Lynkware Procede d'authentification aupres d'un serveur par un utilisateur d'un appareil mobile
FR2959896B1 (fr) * 2010-05-06 2014-03-21 4G Secure Procede d'authentification d'un utilisateur requerant une transaction avec un fournisseur de service
NO334144B1 (no) 2011-09-12 2013-12-16 Aker Subsea As Roterende undervannsinnretning
CN108810896B (zh) * 2018-07-17 2020-11-06 上海连尚网络科技有限公司 无线接入点的连接认证方法和装置

Citations (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2001057811A1 (fr) * 2000-02-02 2001-08-09 Image Reaction Limited Manipulation de donnees

Patent Citations (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2001057811A1 (fr) * 2000-02-02 2001-08-09 Image Reaction Limited Manipulation de donnees

Non-Patent Citations (2)

* Cited by examiner, † Cited by third party
Title
A. MENEZES, P. VAN OORSCHOT AND S VANSTONE: "Handbook of Applied Cryptography" 1996, CRC PRESS , XP002262234 ISBN: 0-8493-8523-7 page 395, alinéa 10.2.5 - page 397, alinéa 10.3 *
MOLVA R ET AL: "Strong authentication in intelligent networks" UNIVERSAL PERSONAL COMMUNICATIONS, 1994. RECORD., 1994 THIRD ANNUAL INTERNATIONAL CONFERENCE ON SAN DIEGO, CA, USA 27 SEPT.-1 OCT. 1994, NEW YORK, NY, USA,IEEE, 27 septembre 1994 (1994-09-27), pages 629-634, XP010131591 ISBN: 0-7803-1823-4 *

Cited By (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7836121B2 (en) 2004-04-14 2010-11-16 Ipass Inc. Dynamic executable
EP2040228A1 (fr) * 2007-09-20 2009-03-25 Tds Todos Data System Ab Système, procédé et dispositif pour autoriser une interaction sécurisée et conviviale
US20100280957A1 (en) * 2007-09-20 2010-11-04 Peter Gullberg System, method and device for enabling interaction with dynamic security
CN101710372B (zh) * 2009-04-27 2012-03-28 深圳市江波龙电子有限公司 一种验证身份的方法
GB2495474A (en) * 2011-10-03 2013-04-17 Barclays Bank Plc Mobile device user authentication within a telephone call, messaging session or at a physical location
GB2495474B (en) * 2011-10-03 2015-07-08 Barclays Bank Plc User authentication
CN103020574A (zh) * 2012-11-22 2013-04-03 北京握奇数据系统有限公司 一种结合拍照和条形码识别技术的otp设备和方法

Also Published As

Publication number Publication date
WO2004082354A3 (fr) 2005-09-22
FR2852471A1 (fr) 2004-09-17

Similar Documents

Publication Publication Date Title
EP3690686B1 (fr) Procédé d'authentification, serveur et dispositif électronique d'identité
EP1549011A1 (fr) Procédé et système de communication entre un terminal et au moins un équipment communicant
FR3041195A1 (fr) Procede d'acces a un service en ligne au moyen d'un microcircuit securise et de jetons de securite restreignant l'utilisation de ces jetons a leur detenteur legitime
FR2738934A1 (fr) Systeme de comptabilisation anonyme d'informations a des fins statistiques, notamment pour des operations de vote electronique ou de releves periodiques de consommation
EP2225697A1 (fr) Generation et utilisation d'une cle biometrique.
EP2619941A1 (fr) Procede, serveur et systeme d'authentification d'une personne
WO2010127945A1 (fr) Procede d'authentification
EP3686788A1 (fr) Procédé de vérification d'une authentification biométrique
EP2742645B1 (fr) Procédé de gestion et de contrôle de données de différents domaines d'identité organisés en ensemble structure
EP0606792A1 (fr) Procédé d'authentification d'un ensemble informatique par un autre ensemble informatique
WO2004082354A2 (fr) Dispositif d’authentification a mot de passe a usage unique : otp et dispositif generateur de mot de passe associe
EP3731116B1 (fr) Procédé d'authentification d'un document d'identité d'un individu et d'authentification dudit individu
FR2980011A1 (fr) Procede de mise en oeuvre, a partir d'un terminal, de donnees cryptographiques d'un utilisateur stockee dans une base de donnees distante
EP3594880A1 (fr) Procédé de transmission sécurisée de données cryptographiques
WO2016135419A1 (fr) Procede de transaction sans support physique d'un identifiant de securite et sans jeton, securise par le decouplage structurel des identifiants personnels et de services
EP2795830B1 (fr) Procede d'echange de donnee chiffree entre un terminal et une machine
US11128620B2 (en) Online verification method and system for verifying the identity of a subject
FR2913551A1 (fr) Methode d'authentification mutuelle et recurrente sur internet.
EP1868316B1 (fr) Procédé et dispositif d'authentification d'un utilisateur
WO2020128215A1 (fr) Réinitialisation d'un secret applicatif au moyen du terminal
FR3111721A1 (fr) Procédé d’authentification d’un utilisateur sur un équipement client
WO2012022856A1 (fr) Procédé d'authentification d' un utilisateur du réseau internet
EP3394780A1 (fr) Procede et dispositif de connexion a un serveur distant
WO2016062749A1 (fr) Evaluation d'un niveau de confiance dans la recolte d'informations par un terminal de communication par rapport des empreintes
WO2012107369A1 (fr) Procede et dispositif de connexion a un service distant depuis un dispositif hote

Legal Events

Date Code Title Description
AK Designated states

Kind code of ref document: A2

Designated state(s): AE AG AL AM AT AU AZ BA BB BG BR BW BY BZ CA CH CN CO CR CU CZ DE DK DM DZ EC EE EG ES FI GB GD GE GH GM HR HU ID IL IN IS JP KE KG KP KR KZ LC LK LR LS LT LU LV MA MD MG MK MN MW MX MZ NA NI NO NZ OM PG PH PL PT RO RU SC SD SE SG SK SL SY TJ TM TN TR TT TZ UA UG US UZ VC VN YU ZA ZM ZW

AL Designated countries for regional patents

Kind code of ref document: A2

Designated state(s): BW GH GM KE LS MW MZ SD SL SZ TZ UG ZM ZW AM AZ BY KG KZ MD RU TJ TM AT BE BG CH CY CZ DE DK EE ES FI FR GB GR HU IE IT LU MC NL PL PT RO SE SI SK TR BF BJ CF CG CI CM GA GN GQ GW ML MR NE SN TD TG

121 Ep: the epo has been informed by wipo that ep was designated in this application
122 Ep: pct application non-entry in european phase