MARET Consulting | Boulevard Georges Favon 43 | CH 1204 Geneva | Tél +41 22 575 30 35 | [email protected]| www.maret-consulting.ch Conseil en technologies Sylvain Maret / Security Architect @ MARET Consulting 10 novembre 2009 Protection des données avec la biométrie Match-on-Card MARET Consulting 2009
43
Embed
Protection Des Données avec la Biométrie Match On Card
This document is posted to help you gain knowledge. Please leave a comment to let me know what you think about it! Share it to your friends and learn new things together.
Agenda du Webcast « Strong Authentication Summit »
Identité numérique et authentification forte
Authentification forte ?
Technologie d’authentification forte
Biométrie et Match on Card Certificat numérique / PKI
Applications pour la technologie Match on Card
Illustration avec un projet dans le monde bancaire
Tendances
Conseil en technologieswww.maret-consulting.ch
Qui suis-je ?
Architecte Sécurité 15 ans d’expérience en Sécurité des Systèmes d’Information CEO et Founder MARET Consulting Expert école ingénieur Yverdon & Université de Genève Swiss French Area delegate at OpenID Switzerland Auteur Blog: la Citadelle Electronique
Mise en place d’une solution de GED Accès à des informations très sensibles Classification de l’information: Secret Chiffrement des données Contrôle des accès
Projet pour une banque privée Début du projet: 2005
Population concernée 500 personnes (Phase I) A termes: 3000 personnes (Phase II)
Conseil en technologieswww.maret-consulting.ch
(Classification Data: Secret)
Mise en place d’une technologie permettant d’identifier de façon forte
– via un mécanisme de preuve irréfutable –
les utilisateurs accédant au système d’information de la banque
Qui accède à quoi, quand et comment !
Conseil en technologieswww.maret-consulting.ch
Les contraintes techniques du projet d’authentification forte
Obligatoires
Intégration avec les applications existantes
Web Microsoft Smart Card Logon Laptop
Séparation des rôles Quatre yeux
Signature numérique Auditing, Preuve Gestion des preuves
souhaitées
Intégration avec sécurité des bâtiments
Chiffrement des données Postes nomades Applications futures
Réseau et systèmes Authentification forte
Conseil en technologieswww.maret-consulting.ch
User
IssuerIT cert
User
IssuerApp A cert
Gestion des identités Gestion des accès
Database
PHASE 1Authentification
forte
PHASE 2Autorisation
Lien: cn
Concept de base: un lien unique
Conseil en technologieswww.maret-consulting.ch
Composants de l’architecture technique
Mise en place d’une PKI « intra muros » Non Microsoft (Séparation des pouvoirs)
Mise en place de la révocation Online Protocole OCSP
Utilisation d’un Hardware Security Module Sécurisation de l’architecture PKI
OS « Hardening » Firewall interne IDS
Conseil en technologieswww.maret-consulting.ch
Concept pour la sécurisation de l’application GED
Conseil en technologieswww.maret-consulting.ch
La mire d’authentification biométrique
Conseil en technologieswww.maret-consulting.ch
ProcessusHumain
Processus Humain
Conseil en technologieswww.maret-consulting.ch
Le maillon faible ? Plus important que la technique…
Définition des rôles Tâches et responsabilités Objectif: séparation des pouvoirs
Quatre yeux
Mise en place des processus pour la gestion des identités
Mise en place des procédures d’exploitation
Conseil en technologieswww.maret-consulting.ch
Mise en place des processus
Processus pour le team gestion des identités Enrôlement des utilisateurs Révocation Gestion des incidents
Perte, vol, oublie de la carte Renouvellement
Processus pour le Help Desk Processus pour les Auditeurs Processus pour le RSSI
Et les procédures d’exploitation !
Conseil en technologieswww.maret-consulting.ch
Le résultat
Une série de documents pour la banque
Procédures d’exploitation Description des processus Charte d’utilisation Définition des rôles et responsabilités CP /CPS pour la PKI « in house »
Conseil en technologieswww.maret-consulting.ch
Formation
Conseil en technologieswww.maret-consulting.ch
Un élément très important !
Formation du team gestion des identités Formation des utilisateurs Formation Help Desk Formation aux technologies
PKI Biométrie
Conseil en technologieswww.maret-consulting.ch
Retour
d’expérience ?
Conseil en technologieswww.maret-consulting.ch
Conclusion du projet
La technique est un aspect mineur pour la réussite d’un projet de cette ampleur
Ne pas sous estimer la partie organisationnelle
CP / CPS pour la PKI Processus de gestion
Demander un appuis de la direction
La Biométrie est une technologie mature
Technologie PKI Offre un noyau de sécurité pour
le futur Chiffrement, signature Information Rights Management Sécurité de la donnée
Un pas vers la convergence Sécurité physique et logique
Conseil en technologieswww.maret-consulting.ch
Tendance Biométrie Match on Card
Le projet PIV Fips-201 est un moteur !
Convergence Sécurité physique et Sécurité logique
Capteur Biométrique pour les portables UPEK (Solution FIPS-201)
Nouvelles technologies biométrique
Full Disk Encryption (Laptop) Support de la technologie Match on Card McAfee Endpoint Encryption™ (formerly SafeBoot® Encryption) Win Magic SecureDoc Disk Encryption
Conseil en technologieswww.maret-consulting.ch
Une technologie très prometteuse: Vascular Pattern Recognition
By SONY
Conseil en technologieswww.maret-consulting.ch
A quand la convergence ?
Une convergence difficile ! Sécurité physique et sécurité logique
ISACA, Clusis: Accès à l’information : Rôles et responsabilités http://blog.b3b.ch/wp-content/uploads/mise-en-oeuvre-de28099une-solution-biometrique-de2809