Une dernière pour la route : gestionnaire de mots de passe.
Qui n'est qu'un pis-aller car l'authentification par mdp c'est pourri : soit c'est par fiable, soit c'est une machine qui le retient, donc fait l'authentification. Et dans ce cas autant utiliser des solutions plus fortes (type OTP / token crypto), AMHA.
Après, je ne suis pas sûr que la biométrie soit la bonne solution non plus. Pour avoir pas mal travaillé autour, je relève notamment les problèmes suivants :
1. stockage des informations biométrique : autant que je sache, on ne sait pas1 stocker ces infos sous une forme qui serait équivalente à un haché-salé d'un mdp ; on stocke "en plain text", ce qui est pour moi très embêtant, notamment dans un système centralisé (comme en Inde, par exemple ou en France)2 ;
2. non révocabilité / reproductibilité : comment on fait une fois qu'on a déjà utilisé ses 10 doigts ? Surtout si la DB qui les contenait a leaké (et que 1)
3. non fiabilité : c'est une plaie de trouver des niveaux corrects de fausse acceptation, faux rejet qui permettent à des utilisateurs d'avoir des problèmes de santé (doigts qui pèlent, conjonctivite, etc.) sans rester à la porte.
Ceci dit la biométrie continue offre une perspective intéressante d'un device qui collecte des indications d'identification et transmet une conviction sous forme de jeton d'authentification (un peu à la FIDO).
1 Enfin, presque pas : voir https://hal.inria.fr/hal-01076676/document ou https://tel.archives-ouvertes.fr/GREYC-MONEBIOM/hal-01269208v1 , par exemple. 2 Il existe des solutions plus respectueuses de la vie privé, comme par exemple le stockage sur carte à puce (supposée raisonnablement résistante) des infos bio et un algo de MOC (match-on-card), solution qui était recommandée par la CNIL pour les CNI biométriques.
[^] # Re: Et sur le fond?
Posté par aiolos . En réponse au journal Microsoft voudrait de la biométrie. Évalué à 6. Dernière modification le 08 janvier 2018 à 16:56.
Qui n'est qu'un pis-aller car l'authentification par mdp c'est pourri : soit c'est par fiable, soit c'est une machine qui le retient, donc fait l'authentification. Et dans ce cas autant utiliser des solutions plus fortes (type OTP / token crypto), AMHA.
Après, je ne suis pas sûr que la biométrie soit la bonne solution non plus. Pour avoir pas mal travaillé autour, je relève notamment les problèmes suivants :
1. stockage des informations biométrique : autant que je sache, on ne sait pas1 stocker ces infos sous une forme qui serait équivalente à un haché-salé d'un mdp ; on stocke "en plain text", ce qui est pour moi très embêtant, notamment dans un système centralisé (comme en Inde, par exemple ou en France)2 ;
2. non révocabilité / reproductibilité : comment on fait une fois qu'on a déjà utilisé ses 10 doigts ? Surtout si la DB qui les contenait a leaké (et que 1)
3. non fiabilité : c'est une plaie de trouver des niveaux corrects de fausse acceptation, faux rejet qui permettent à des utilisateurs d'avoir des problèmes de santé (doigts qui pèlent, conjonctivite, etc.) sans rester à la porte.
Ceci dit la biométrie continue offre une perspective intéressante d'un device qui collecte des indications d'identification et transmet une conviction sous forme de jeton d'authentification (un peu à la FIDO).
1 Enfin, presque pas : voir https://hal.inria.fr/hal-01076676/document ou https://tel.archives-ouvertes.fr/GREYC-MONEBIOM/hal-01269208v1 , par exemple.
2 Il existe des solutions plus respectueuses de la vie privé, comme par exemple le stockage sur carte à puce (supposée raisonnablement résistante) des infos bio et un algo de MOC (match-on-card), solution qui était recommandée par la CNIL pour les CNI biométriques.