Soutenance mémoire
PAR : CHABBI Samir
Au cours des dernières années, les technologies de communication sans contact sont en évolution progressive et sont devenues de plus en de plus importantes en raison de leurs larges applications dans tous les aspects de notre société. Elles représentent une nécessité pour effectuer des services et des usages qui sont de grande utilité dans la vie moderne, tels que le contrôle d’accès à des zones très sensibles et dangereuses comme les sites nucléaires, le transport public, la gestion des clés comme le cas des voitures et des hôtels, la billetterie, et le paiement.
De telles technologies ont un but d’identification des personnes, des objets, des animaux et des produits en transit et cela d’une façon simple. Ces technologies qui sont devenues très populaires, sont connues à un certain moment par les code-barres qui ont révolutionné le domaine des systèmes d’identification. Cependant, le coût très bas d’un code-barres est compensé par de gros défauts comme la très faible capacité de stockage d’informations et l’impossibilité de sa reprogrammation. Une solution alternative consiste à stocker les données dans une puce programmable. Aujourd’hui, cette solution est largement déployée dans les cartes de crédit ou dans les puces téléphoniques. Cependant, cette solution repose sur le contact mécanique, contact qui est trop souvent gênant lors de son utilisation. Ainsi, pour éviter tout contact mécanique, une nouvelle technologie de transfert de données sans contact entre un outil contenant des informations et un lecteur est en constante évolution depuis quelques années. Ces systèmes d’identification sans contact sont appelés systèmes RFID. La technologie RFID comprend plusieurs technologies dont celle de NFC. La NFC est donc une technologie permettant l’échange de données entre plusieurs outils mais qui a la particularité de se concentrer sur des communications de petites distances (de l’ordre de quelques centimètres). Cette courte distance de communication a permis au NFC de sécuriser les données échangées.
Technologies de communication sans fil
Tous les jours, la communication sans fil joue un rôle important dans notre vie. Outre la communication, la technologie sans fil fait désormais partie intégrante de nos activités quotidiennes. La transmission de données ou d’informations d’un endroit à un autre sans fil est appelée communication sans fil. Cela permet un échange de données sans aucun conducteur via des signaux radio. Les informations sont transmises à travers les appareils sur quelques mètres à des centaines de kilomètres via des canaux bien définis. La technologie de communication sans fil est classée en différents types en fonction de la distance de communication, de la gamme de données et du type d’appareils utilisés. Parmi ces types, on peut citer la communication radar, la communication par satellite, le système de positionnement global, Wifi, Bluetooth, Identification radiofréquence etc. [TypesnUses.com 2019]. Récemment, la demande de services de données multimédia a augmenté rapidement avec l’évolution des technologies de communication sans fil [Mehallel 2019].
Bluetooth
La technologie sans fil Bluetooth est une norme de transmission RF (Radio Frequency) à courte portée. Elle est basée sur des liaisons radio à faible coût et à courte portée entre les appareils portables et de bureau (Figure 1.1). Cette technologie ne remplace pas les réseaux locaux sans fil mais les complète. La technologie sans fil Bluetooth présente de nombreux avantages par rapport aux autres technologies LAN (Local Area Network) sans fil, ce qui la rend attrayante pour de nombreuses applications. L’une de ces applications concerne les capteurs et les jauges à bord des navires et des sous-marins. Comme les objets dans cette technologie sont connectés sans fil, une énorme quantité de câbles est éliminée et la mobilité des utilisateurs est accrue [Aljuaied 2001].
Bluetooth est une technologie de communication conçue pour l’interconnexion de dispositifs qui ne partagent préalablement aucune information. Les nœuds peuvent effectuer une découverte de voisinage qui leur permet ensuite de communiquer. Les versions de Bluetooth 2.0 et 2.1 permettent des débits de l’ordre de 3 Mbit/s (Mégabits par seconde). La version 3.0 dont la norme a été adoptée le 21 avril 2009, permet des débits de l’ordre de 24 Mbit/s. Les premiers équipements utilisant cette norme étaient par exemple le téléphone Samsung Galaxy S [Albert 2010].
Wi-Fi
Wi-Fi est la technologie de réseau sans fil la plus populaire. Elle est fortement utilisée et dans plusieurs endroits (Figure 1.2). Elle est une famille de normes pour les réseaux sans fil définies dans l’IEEE (Institute of Electrical and Electronics Engineers) 802.11. L’interopérabilité de ces normes a été testée et approuvée par le Wi-Fi Alliance. Le Wi-Fi fournit un réseau à un dispositif via une connexion sans fil en utilisant la radiofréquence. Cette technologie n’est pas confondue avec d’autres technologies sans fil comme 3G, Bluetooth, etc., malgré qu’elle utilise un ensemble différent de spécifications IEEE. Cette technologie est caractérisée par un ensemble d’avantages à savoir :
▪ Elle permet le déploiement de réseaux locaux (LAN) sans fil pour des périphériques clients, ce qui réduit généralement les coûts de déploiement et d’extension du réseau,
▪ Un réseau wifi peut être hébergé dans des espaces où les réseaux filaires ne peuvent pas être installés.
▪ Les produits Wi-Fi sont largement disponibles sur le marché et le prix reste décroissant,
▪ La technologie Wi-Fi a un ensemble de normes mondiales [Li 2011].
Techniques d’authentification
Identification et authentification
L’identification correspond à la recherche de l’identité fournie par une personne qui se présente, dans une base de données. Elle est très importante pour assurer la sécurité des systèmes et des organisations. Elle peut servir à autoriser ou non l’utilisation des services. Elle est utilisée par exemple dans le but du contrôle d’accès à une zone très sensible pour laquelle seul un effectif limité de personnes (sauvegardés dans une base de données) y a l’autorisation d’accès. Elle peut être aussi utilisée par la police judiciaire [Benchennane 2015].
L’authentification est une opération de vérification de l’identité (Figure 1.3). Elle représente une comparaison « un à un », où le système essaye de valider l’identité d’une personne en utilisant un système de comparaison entre les informations saisies (données biométriques par exemple) et les informations caractérisant réellement la personne (par exemple le modèle biométrique de la personne). Les informations réelles qui caractérisent la personne sont stockées dans une base de données du système. En utilisant le principe d’authentification, le système peut répondre à la question : « Suis-je réellement la personne que je suis en train de proclamer ?» [Guerfi 2008]. Actuellement l’authentification est réalisée par un numéro d’identification personnel (mot de passe, code PIN), un nom d’utilisateur, une carte à puce, une modalité biométrique ou un protocole d’authentification.
Le mot de passe
L’authentification basée sur les mots de passe a été mise en place comme méthode d’authentification la plus couramment utilisée (Figure 1.4). On peut s’attendre à ce que les mots de passe représentent la plus grande partie de l’authentification, même dans un avenir proche. Pour cette raison, il vaut la peine d’explorer les forces et les faiblesses de l’authentification par mot de passe et de rechercher de nouvelles améliorations. Il existe différentes formes de mots de passe mémorisés qui sont décrits avec leurs points forts et leurs points faibles. Les mots de passe sont des cibles à différentes attaques contre leurs hachages, ce qui oblige à créer des mots de passe sûrs et solides.
Une perte de mot de passe doit être évitée au regard des deux points suivants. Le premier est d’empêcher l’utilisateur d’écrire le mot de passe sur une petite feuille de papier intitulée « mon mot de passe » et de le laisser quelque part à l’adversaire. Ceci n’est pas une mesure technique raisonnable. Il faut forcer l’utilisateur à ne pas agir comme ça. Le deuxième a cependant de meilleures perspectives. Il consiste à utiliser des bases de données pour stocker les mots de passe des utilisateurs. Les mots de passe de cette façon peuvent être protégés par des couches de mesures de sécurité contre les attaquants. Ces mesures vont des éléments de défense actifs comme les pares-feux et les IPS (Intrusion Prevention System) aux mesures passives qui servent de dernier recours au cas où l’attaquant aurait pénétré par effraction [Martin 2009].
La reconnaissance optique
La reconnaissance optique consiste à utiliser une source d’optique à l’exposé d’une image contenant des objets ou des caractères ou à l’exposé d’une source de geste afin d’extraire l’ensemble des objets (reconnaissance des objets), l’ensemble des caractères (reconnaissance des caractères) ou l’ensemble des gestes (reconnaissance de gestes). La reconnaissance du geste a pour but l’identification et l’interprétation automatique des gestes d’une personne acquis par un dispositif comme un capteur, une caméra ou autres [Hiyadi 2016]. La reconnaissance de caractères ou OCR (en anglais : Optical Character Recognition) est une technologie qui convertit un document de type papier scanné, PDF (Portable Document Format) ou photo numérique vers un format modifiable qui peut être exploité. La technologie d’OCR a été largement appliquée dans le domaine d’industries ces dernières années [El Gajoui and Fadoua 2014]. La reconnaissance d’objets sert à détecter les objets contenus dans une image (Figure 1.5). Une fois la détection est établie, le processus fait correspondre des objets à ceux détectés dans l’image [Elbahri 2015].
|
Table des matières
Introduction générale
1. Contexte général et problématique
2. Contributions de la thèse
3. Organisation du manuscrit
I. Positionnement : Etat de l’art sur la sécurité dans la communication en champ proche
Chapitre 1 : Technologies de communication sans contact
1.1 Introduction
1.2 Technologies de communication sans fil
1.2.1 Bluetooth
1.2.2 Wi-Fi
1.3 Techniques d’authentification
1.3.1 Identification et authentification
1.3.2 Le mot de passe
1.3.3 La reconnaissance optique
1.3.4 La reconnaissance de la parole
1.3.5 La reconnaissance de modalité biométrique
1.4 Technologies d’identification
1.4.1 Le code-barres
1.4.2 Le QR code
1.4.3 La RFID
1.4.4 La NF30C
1.5 Services sans contact
1.5.1 Domination des services sans contact
1.5.2 Service de paiement mobile
1.6 Dispositifs et applications NFC
1.6.1 Panorama du NFC
1.6.2 Dispositifs NFC
1.6.3 Applications NFC
1.7 Conclusion
Chapitre 2 : Sécurisation des dispositifs et applications NFC
2.1 Introduction
2.2 Défis de sécurisation des dispositifs et applications NFC
2.3 Méthodologie d’une attaque
2.4 Concepts de base de la sécurité
2.4.1 Menaces et attaques
2.4.2 Propriétés de sécurité
2.4.3 Cryptographie
2.5 Attaques NFC
2.5.1 Attaques physiques
2.5.2 Attaques logiques
2.6 Solutions proposées
2.6.1 Brouillage actif (Active jamming)
2.6.2 Délimitation de la distance (Distance Bounding)
2.6.3 Application ‘’ Google Wallet’’
2.6.4 Cartes de paiement françaises
2.6.5 Cartes à puces EMV
2.6.6 Elément sécurisé (Secure element)
2.6.7 Le trusted computing
2.6.8 Solutions d’authentification
2.6.9 Autres solutions
2.7 Limites des solutions proposées
2.8 Conclusion
II Contributions : Vers une communication NFC plus sécuritaire et économique en temps d’authentification dans un paiement électronique entre Smartphone et ATM
Chapitre 3 : Un mot de passe en cloud et un protocole d’authentification pour un paiement NFC sécurisé entre ATM et Smartphone
3.1 Introduction
3.2 Système de paiement sécurisé
3.2.1 Système hardware
3.2.2 Objectifs
3.2.3 Protocole d’authentification
3.3 Analyse de la sécurité
3.3.1 Contrôle de la sécurité par analyse
3.3.2 Contrôle automatique de la sécurité
3.4 Comparaison de performance
3.4.1 Evaluation de la sécurité
3.4.2 Temps d’authentification
3.4.3 Analyse de performance
3.5 Conclusion
Chapitre 4 : Dynamic Array PIN : une nouvelle approche pour sécuriser le paiement électronique NFC entre l’ATM et le smartphone
4.1 Introduction
4.2 Code PIN à tableau dynamique
4.2.1 Système hardware
4.2.2 Objectifs
4.2.3 Présentation du protocole DAP
4.2.4 Etapes du protocole DAP
4.3 Analyse de la sécurité
4.3.1 Attaque force brute
4.3.2 Attaque par canal auxiliaire
4.3.3 Attaque par clonage
4.3.4 Attaque par enregistrement d’écran
4.3.5 Attaque par rejeu
4.3.6 Attaque par enregistrement caméra
4.3.7 Attaque d’observation par l’épaule (Shoulder surfing)
4.3.8 Attaque de tâche (Smudge attack)
4.3.9 Attaque de Spyware
4.3.10 Attaque par enregistrements multiples
4.3.11 Attaque vol du smartphone
4.3.12 Attaque shoulder surfing suivie du vol du smartphone
4.3.13 Attaque enregistrement par caméra suivie du vol du smartphone
4.4 Expérimentation et évaluation
4.4.1 Outillage
4.4.2 Test d’utilisabilité
4.4.3 Evaluation
4.5 Comparaison de sécurité et de performance
4.5.1 Comparaison de sécurité
4.5.2 Comparaison de performance
4.6 Conclusion
Conclusions et perspectives
1. Conclusions
2. Perspectives
Liste des publications
Références
