Infosec 2003 : Avantage aux solutions d'authentification

Pas de miracle pour la dix-septième édition (20-22 mai) d'Infosec au Cnit. Le secteur de la sécurité informatique n'est décidément pas épargné par la morosité ambiante : une quarantaine d'exposants, soit 40% de moins que l'année dernière, et une série de conférences annulées au dernier moment faute d'inscrits. Ce qui n'empêche pas les organisateurs d'attendre 2500 visiteurs durant ces trois jours, comme l'année dernière. Côté technologies, les éditions d'Infosec se suivent...et ne se ressemblent pas. Plus de traces des MSSP (Managed Security Service Provider), alors qu'on en comptait pas moins d'une demi-douzaine l'année dernière. En revanche, l'accent est mis sur les solutions d'authentification des utilisateurs. Notamment chez deux jeunes pousses françaises, Cryptolog et AudioSmartCard, dont les solutions brevetées cherchent à simplifier les infrastructures à clés publiques (PKI), longues et coûteuses à mettre en oeuvre.

Après un an et demi de R&D, Cryptolog lance Unicity, un serveur sécurisé sur lequel sont centralisés les certificats numériques des utilisateurs, pour éviter de recourir aux cartes à puce et à leurs lecteurs associés. L'utilisateur récupère son certificat en entrant un mot de passe, sans que celui-ci ne circule jamais sur le réseau grâce au principe mathématique de la preuve à divulgation nulle (prouver qu'on détient un secret sans le dévoiler). L'avantage : l'opération peut être effectuée à partir de n'importe quel ordinateur, il suffit juste d'un plug-in sur le

poste client. De plus, chaque certificat est stocké sur le serveur sous forme cryptée et ne sera déchiffré que sur le poste client à l'aide du plug-in. Conséquence : le gestionnaire du système lui-même n'a pas accès aux certificats. D'où l'idée de proposer Unicity, non seulement sous

forme de licence logicielle, mais aussi comme un service externalisé (ExaMail). " Le point fort de notre solution, c'est que les gens n'ont pas besoin de nous faire confiance pour l'utiliser " note Alexandre Stern, président de Crytpolog. D'autres applications que la messagerie sécurisées sont également proposées comme le vote électronique (Exavote), le stockage et partage de documents (Exasafe), ou encore la signature de transactions bancaires en ligne.

S'affranchir de tout logiciel

Pas besoin non plus de lecteur de carte à puce chez AudioSmartCard. Sa solution SSPro, lancée depuis le début de l'année et basée sur une carte à puce acoustique et un mot de passe dynamique, fait son chemin. Le serveur est désormais compatible LDAP mais aussi Radius, ce qui permet d'utiliser la solution pour s'authentifier sur un RPV, sans aucune

modification de l'infrastructure réseau. Par ailleurs, un composant ActiveX (WebPass) permet de s'affranchir de tout logiciel client. L'authentification avec la carte est possible à partir de n'importe quel PC équipé d'un microphone. Comme Cryptolog, AudioSmartCard propose lui

aussi une version externalisée de sa solution, en partenariat avec MGN (groupe Prosodie).

De manière plus anecdotique, d'autres acteurs présentaient leurs nouveautés autour de l'authentification par biométrie comme Xelios (PC Login Biometric PRO), Zalix, le Sud-Coréen Istec (claviers et souris biométriques), sans oublier la présence d'IBM pour ses outils

d'administration de la sécurité autour de Tivoli Identity Manager.

La présence des Français deny all, Arkoon et Netasq rappelait par ailleurs que Check Point (absent de ce salon) n'était pas le seul, ni le premier, à prôner la protection applicative sur ses pare-feu. " Chez nous, le moteur a été conçu nativement autour du besoin d'analyse

applicative depuis l'origine, en 1998" fait remarquer Christophe Jolly, directeur technico-commercial France de Netasq, qui lance une version grands comptes de son pare-feu, le F2000.