strong authetification - confoo 2011

Strong Authentication

Authentification forte

Wednesday, 2011-03-09

OWASPThe Open Web Application Project

This ain't the Eiffel TowerCeci n’est pas la

tour Eiffel

Agenda

Authentication vs Authorization

L’authentification vs l’autorisation

Authentication's Problems

Les problèmes de l’authentification

The solutions

Les solutions

Solutions for all budgets

Des solutions pour toutes les bourses

I answer question Je réponds aux questions

Authentication vs Authorization

L’authentification versus l’autorisation

AuthenticationAuthentification

Procedure that verifies the identity of an entity (person, computer ...) to allow access to resources (systems, networks, applications ...)

Procédure qui permet de vérifier l'identité d'une entité (personne, ordinateur...) pour autoriser l'accès à des ressources (systèmes, réseaux, applications...).

AuthorizationAutorisation

Procedure that allows access to resources only to those authorized to use.

Procédure qui permet l'accès à des ressources uniquement aux personnes autorisées à les utiliser.

Authentication's Problems

Les problèmes de l’authentification

Accurately identify the entity

Identifier fidèlement l'entité

Accurately identify the entity type

Identifier le type d'entité

Accessibility

Accessibilité

Broken Password

Le mot de passe est brisé

The human factorLe facteur humain

• without reason• 45 % of woman1

• 10 % of man1

• For a chocolat bar• 64 % of people

• sans raison• 45 % des femmes1

• 10 % des hommes1

• Contre une barre de chocolat• 64 % des gens

Easily give their passwords to strangersDonnent ses mots de passe à des étrangers

1 Infosec Europe conference 2008

Broken PasswordLe mot de passe est brisé

Chris Nickerson - Exotic Liability #37

Broken PasswordLe mot de passe est brisé

Chris Nickerson - Exotic Liability #37

Use security question?Utiliser une question de sécurité?

The solutions

Les solutions

Sign the formSigner le formulaire

sha1($salt . $sessionId . $timestamp)

http://www.captcha.net/

recaptchahttp://www.recaptcha.net/

Faithfully identify the entity

Identifier fidellement l'entité

http://www.openid.netWednesday, 2011-03-09

http://www.oauth.netWednesday, 2011-03-09

http://developers.facebook.com/docs/authentication/

Memorial factor

Facteur mémoriel

Memorial factor

Facteur mémoriel

Memorial factor

Facteur mémoriel

Memorial factor

Facteur mémoriel

Memorial factor

Facteur mémoriel

Memorial factor

Facteur mémoriel

Memorial factor

Facteur mémoriel

Physical factor

Facteur physique

Memorial factor

Facteur mémoriel

Physical factor

Facteur physique

Memorial factor

Facteur mémoriel

Physical factor

Facteur physique

Memorial factor

Facteur mémoriel

Physical factor

Facteur physique

Memorial factor

Facteur mémoriel

Physical factor

Facteur physique

Memorial factor

Facteur mémoriel

Physical factor

Facteur physique

Memorial factor

Facteur mémoriel

Physical factor

Facteur physique

Memorial factor

Facteur mémoriel

Physical factor

Facteur physique

Memorial factor

Facteur mémoriel

Physical factor

Facteur physique

Reactional factor

Facteur réactionnelWednesday, 2011-03-09

Memorial factor

Facteur mémoriel

Physical factor

Facteur physique

Reactional factor

Memorial factor

Facteur mémoriel

Physical factor

Facteur physique

Reactional factor

Memorial factor

Facteur mémoriel

Material factor

Facteur matériel

Physical factor

Facteur physique

Reactional factor

Memorial factor

Facteur mémoriel

Material factor

Facteur matériel

Physical factor

Facteur physique

Reactional factor

Facteur réactionnel

Physical factor

Facteur physique

Memorial factor

Facteur mémoriel

Material factor

Facteur matériel

Reactional factor

Physical factor

Facteur physique

Memorial factor

Facteur mémoriel

Material factor

Facteur matériel

Physical factor

Facteur physique

Memorial factor

Facteur mémoriel

Reactional factor

Material factor

Facteur matériel

Reactional factor

Physical factor

Facteur physique

Memorial factor

Facteur mémoriel

Material factor

Facteur matériel

Reactional factor

Physical factor

Facteur physique

Memorial factor

Facteur mémoriel

Material factor

Facteur matériel

Reactional factor

Physical factor

Facteur physique

Memorial factor

Facteur mémoriel

Material factor

Facteur matériel

Reactional factor

Physical factor

Facteur physique

Memorial factor

Facteur mémoriel

Material factor

Facteur matériel

Reactional factor

Physical factor

Facteur physique

Memorial factor

Facteur mémoriel

Material factor

Facteur matériel

Reactional factor

Physical factor

Facteur physique

Memorial factor

Facteur mémoriel

Material factor

Facteur matériel

Reactional factor

Memorial factor

Facteur mémoriel

Physical factor

Facteur physique

Material factor

Facteur matériel

Memorial factor

Facteur mémoriel

Physical factor

Facteur physique

Reactional factor

Material factor

Facteur matériel

Memorial factor

Facteur mémoriel

Physical factor

Facteur physique

Reactional factor

Material factor

Facteur matériel

Solutions for all budgets

Des solutions pour toutes les bourses

Perfect Paper Passwords

https://www.grc.com/ppp.htm

256-bit sequence Key

Rijndael / AES Cipher

128-bits/block with 256-bit Key

128-bit Counter

128-bit Long Division

Character Set Size

Plaintext

CiphertextDividend

Divisor

Quotient

Remainder

YubikeyWednesday, 2011-03-09

http://www.yubico.com/products/yubikey/

tgbvgf

lvvndi

jcfhft

gnnldh

gvikti

vhdvne

kehejc

tgbvgf

lvvndi

knblil

krtbdv

flbdhv

dvutlb

lkfuue

cccccc

cclild

cuhrrh

neenjb

rrbbni

kcvhvb

gbcbnv

cccccc

cclild

ibndgd

gihuvd

cggthn

jrbcuj

dkujnb

Doesn't protect you...

Ne vous protège pas de ...

Questions ?

• philippe@ph-il.ca

• http://www.ph-il.ca

• @SecureSymfony

• http://www.ph-il.ca/en/conferences

• http://www.ph-il.ca/fr/conferences

strong authetification - confoo 2011

security question

broken passwordle mot

utiliser une

passe est briswednesday

allbudgetsdes solutions

permet laccs

autoriser laccs

type dentitwednesday

Technology

adapter un design au web mobile grâce aux css - confoo 2011

- php payments with - omnipay · - confoo montreal 2017 - -...

stress free deployment - confoo 2011

premiers pas dans les extensions php, pierrick charron,...

restful web services with python - confoo

apc memcached confoo 2011

symfony components confoo 2010 100310231007 phpapp02

sean coates fifty things and tricks, confoo 2011

doctrine 2 - confoo

connecting web application and desktop, confoo 2011, qafoo

zend framework 2, what's new, confoo 2011

99 problems but the search aint one, confoo 2011, andrei...

confoo presentation 2014 on freelancing 101

cakephp mistakes made confoo 2015

confoo - migrating to mongo db

confoo 2014 enterprise integration patterns

confoo 2012 kata

confoo - devops & agile infrastructure

making php see - michael maclean · making php see confoo...

magento checklist confoo 2014