[authentification forte] certificat client Fermé

Question

Bonjour

Pour mon stage je doit réaliser une authentification forte
login
mot de passe
certificat x.509 (le support du certificat importe peut)

Je comprend le principe des certificats mais une chose m'échappe.
Comment le serveur peut-il identifier quelqu'un par rapport au certificat? On pourrait me répondre que l'identifiant est le login et le certificat juste un moyen de prouver que l'on peut se connecter sur le site. Mais pour la sécurité je préfererai ke l'identifiant soit le login ET le certificat. Est-ce possible?

D'avance merci

gyodz · Accepted Answer

Salut,

Je suis à peu près sur le même genre de projet actuellement! Voila comment doit fonctionner ton architecture d'authentification.

Tu as un annuaire (ldap, Active Directory) qui va contenir tes informations sur l'utilisateur et permettre de récuperer son certificat .

Le Certificat contient (entre autre):
- des information sur l'utilisateur (nom prenom...)
- des information sur l'autorité de certification par laquelle a été émise le certificat (soit une autorité publique, soit une autorité mise en place par tes soins)
- la clé publique de l'utilisateur
- la clé publique de l'organisme de certification
- le hash du certificat (pour verrification de son integrité)

Lorsqu'un utilisateur demande accès:

- une demande est transmise au serveur d'authentification.
- le serveur ce debrouille pour récuperer la clé publique de l'utilisateur (soit il la possede deja soit fait une requette aupres de  l'autorité tierce de confiance)
- il envoie un challenge à l'utilisateur  qu'il chiffre avec sa clé publique
- l'utilisateur peut prouver son identité au serveur en dechiffrant le challenge avec sa clé publique qu'il est le seul a connaitre.

Il peut y avoir d'autre détails (nécessité d'authentifié également le serveur d'authentification par le client dans un schéma symetrique) mais en fait, l'identification ne repose pas sur la transmission par le client de son certificat que n'importe qui de toute facon doit pouvoir récuperer.

En gros, tu transmets ta demande de connexion à un serveur, qui t'authentifie en faisant appel au serveur d'authentification et  l'authentification en elle meme se fait en apportant la preuve que tu possède la clé privé qui est associé a la clé publique que l'autorité de certification (auquel les deux partis accordent leur confiance) transmet au serveur d'autentification.

J'éspère que ca pourra t'aider un peu. Tiens moi au courrant de tes avancées sur le projet.

Tyop · Answer

Bonsoir,

Avez-vous une documentation qui décrit précisément ce mécanisme car j'ai lu quelque part que l'authentification se faisait avec la (simple) vérification d'attributs du certificat (ce qui justement m'étonnait un peu du point de vue de la solidité du système).

rodimel1 · Answer

Slt, mon sujet de stage est semblable au votre authentification par certificat électronique.
 Il existe 3type de certificat: 

          CLIENT(stocké sur le poste d'un user),

          SERVEUR(stocké sur un serveur) et

          VPN (installé dans les équipements réseaux)

bien qu'en question d'authentification on parle d'interaction entre client et serveur par un protocole de sécurité(SSL,TLS)
je voulait savoir la vrai différence existant dans les 2 type d'authentification

   _par certificat client
   _par certificat serveur.

quelqu'un a t-il une idée dessus?
merci d'avance!

[authentification forte] certificat client

3 réponses

Discussions similaires