Qu'est-ce que l'authentification forte et pourquoi les appareils connectés au réseau en dépendent-ils ?

Auteur: Héctor Tejero Arrow Electronics

Introduction

L'authentification est essentielle pour les applications d'entreprise. En vérifiant l'identité des utilisateurs, des appareils et des entités système, les applications garantissent que seul le personnel, les appareils ou les systèmes autorisés ont accès aux informations et ressources sensibles, réduisant ainsi le risque de violations de données.

Dans le contexte de l'IoT, diverses méthodes d'authentification méritent d'être explorées, telles que l'authentification basée sur les certificats et l'authentification basée sur les jetons. Le matériel d'authentification utilisé par les appareils IoT est généralement protégé dans une racine de confiance matérielle (RoT) gérée par un environnement d'exécution de confiance. RoT est un composant ou un ensemble de composants qui fournissent une base sécurisée pour les mécanismes de sécurité d'un système. RoT est essentiel pour établir la confiance dans un système et garantir son fonctionnement sécurisé.

RoT fournit un ensemble de services cryptographiques/de confiance et d'opérations cryptographiques mis en œuvre comme éléments constitutifs d'un dispositif de confiance. Il est essentiel de garantir que le code de démarrage non autorisé de l'appareil et les composants logiciels de l'appareil ne peuvent pas être utilisés pour s'authentifier sur le réseau en tant qu'appareils authentiques, voler ou compromettre des données sensibles et attaquer le réseau.

Authentification basée sur un certificat

L'authentification basée sur les certificats est une méthode d'authentification qui utilise des certificats numériques pour vérifier l'identité d'un utilisateur ou d'un appareil. Un certificat numérique est un fichier numérique contenant des informations sur l'utilisateur ou l'appareil et une clé publique pouvant être utilisée pour le cryptage et la vérification des signatures numériques.

Dans l'authentification basée sur un certificat, un utilisateur ou un appareil présente un certificat numérique à un serveur pour authentifier son identité. Le serveur vérifie le certificat en vérifiant sa signature numérique par rapport à une autorité de certification de confiance qui a émis le certificat. Si le certificat est valide, le serveur autorise l'accès à l'utilisateur ou à l'appareil. L'authentification bidirectionnelle est également courante.

L'authentification basée sur un certificat est considérée comme plus sécurisée que l'authentification traditionnelle basée sur un mot de passe, car il est plus difficile de voler ou de deviner une clé privée qu'un mot de passe. De plus, les certificats numériques sont généralement délivrés pour une certaine durée de validité. Ils peuvent être révoqués si le certificat est compromis ou si l'utilisateur ou l'appareil n'est plus autorisé à accéder au système.

L'authentification basée sur les certificats est couramment utilisée dans les applications Web sécurisées, les réseaux privés virtuels et d'autres systèmes nécessitant une authentification forte. Il est également largement utilisé dans l’IoT pour sécuriser les communications entre les appareils et le réseau ou le cloud.

Pour mettre en œuvre une authentification basée sur un certificat, un utilisateur ou un appareil doit obtenir un certificat numérique auprès d'une autorité de certification de confiance. Le certificat est généralement installé sur l'appareil de l'utilisateur ou stocké sur une carte à puce ou un autre périphérique matériel sécurisé tel que RoT. Lorsque l'utilisateur ou l'appareil se connecte au serveur, il présente le certificat comme preuve de son identité. Le serveur vérifie le certificat et accorde l'accès s'il est valide. L'authentification basée sur les certificats est intégrée à de nombreux protocoles IoT, notamment le protocole SSL/TLS, largement utilisé.

Authentification basée sur des jetons

Les jetons d'authentification, quant à eux, sont utilisés dans les applications cloud pour authentifier et autoriser les appareils IoT. Lorsqu'un appareil tente d'établir une connexion à un service cloud, le serveur d'authentification génère un jeton et le renvoie au client pour qu'il l'utilise pour répondre à la demande de connexion au serveur. Le jeton est généralement une chaîne de caractères spécifique à l'appareil IoT et à la session en cours.

L'appareil stocke le jeton, généralement dans un stockage sécurisé localement soutenu par une isolation matérielle, et l'envoie au serveur avec les demandes de communication ultérieures. Le serveur vérifie ensuite le jeton pour déterminer si l'utilisateur est authentifié et autorisé à accéder à la ressource demandée.

Les jetons d'authentification peuvent être implémentés à l'aide de divers protocoles, notamment OAuth 2.0 et JSON Web Tokens (JWT). La mise en œuvre spécifique dépendra des exigences de l’application et des besoins en matière de sécurité du système.

Message Queuing Telemetry Transport (MQTT) est l'un des protocoles réseau machine à machine les plus répandus pour la télémétrie des données. MQTT ne prend pas en charge l'authentification basée sur des jetons, mais fournit un mécanisme pour implémenter des méthodes d'authentification personnalisées.

Pour implémenter l'authentification basée sur les jetons dans MQTT, un JWT est utilisé. Lorsque le client se connecte au serveur d'authentification, le serveur d'authentification vérifie l'identité du client et émet un jeton de session JWT au client. Le client utilise ce jeton JWT temporaire pour se connecter au courtier MQTT, qui vérifie si le jeton JWT est valide avant d'accorder l'accès. Il est important de conserver le jeton JWT dans le stockage protégé de l'appareil, car s'il est volé par un attaquant potentiel, il pourrait être utilisé pour accéder au courtier MQTT.

L'utilisation de jetons d'authentification présente des avantages. Les jetons d'authentification sont sans état, ce qui signifie que le serveur n'a pas besoin de maintenir un état de session côté serveur. Les jetons peuvent être révoqués ou expirés, offrant ainsi une sécurité et un contrôle supplémentaires sur l'accès à l'application.

Conclusion

De nombreuses organisations avant-gardistes se sont transformées vers des modèles commerciaux basés sur les services pour mieux réussir dans l’économie numérique. Et il est clair que des méthodes d’authentification fortes et une sécurité robuste continueront de jouer un rôle crucial pour soutenir la fourniture et la consommation de services sécurisés, aujourd’hui et à l’avenir.

Il s'agit du troisième d'une série d'articles d'Arrow Electronics explorant les caractéristiques souhaitables des systèmes connectés sécurisés.