Implémentation de l’authentification à double facteur dans la solution de SSO AAA LemonLDAP::NG 2.0
Résumé
Nowadays, more and more corporations and organisations provide on-line applications or services to their customers and staff. Memorising complex passwords for each of those systems is a challenge many users face every day. Single Sign On, also known as SSO, may be the solution to this issue. It allows users to have access to multiple applications by signing in using only one account to different systems and resources. It also has other important features in regards to simple management, security, ease of use and seamlessness.
In case of complex SSO architecture, multiple usernames and passwords not only cause frustration but are also a serious security weakness. Basic username and password combinations are becoming more and more vulnerable to theft. To manage this risk, you can use security-enhancing methods like second factor authentication (2FA). 2FA works by confirming a user’s claimed identity during login by running an extra verification check on the user attempting to log in with their username and password. With 2FA, a user will enter their username and password as normal. But, to prove it’s really the account owner trying to log in, the user will then have to provide the “second factor”, which can be based on the following : something you know, something you have or something you are. Enabling just one of these additional factors on top of the usual login credentials will significantly improve the security of your account.
In this paper, I first introduce Authentication – Authorization and Accounting (AAA) concepts, SSO in general terms by comparing LemonLDAP::NG and Open AM solutions, HTTP protocol and eIDAS authentication levels. Afterwards, I describe LemonLDAP::NG WebSSO solution and explain how it works. Finally, I present my LL::NG 2FA implementation. I developed a 2FA engine able to, depending on context, to provide 2FA services or manage different devices. To conclude I propose some features to improve or include in LL::NG 3.0.
De nos jours, nombre d’entreprises et d’organisations fournissent à leurs employés ou clients des services ou des applications web. Ceci oblige les utilisateurs à mémoriser de plus en plus de mots de passe parfois complexes. Une solution est l’utilisation de l’authentification unique (SSO) qui permet à un utilisateur d’avoir accès à l’ensemble des ressources réseaux auxquelles il a droit en n’ayant à s’authentifier qu’une seule fois. L’utilisateur disposera d’une session SSO valide pour l’ensemble des applications ou ressources protégées. De plus, un SSO améliore la sécurité, facilite la gestion des comptes utilisateurs et l’ergonomie du système d’information.
Or, l’authentification par couple identifiant – mot de passe est devenue obsolète et trop vulnérable aux attaques. Pour en améliorer la sécurité, elle peut être associée à l’utilisation d’un second facteur d’authentification (2FA). L’authentification à double facteur consiste à demander à l’utilisateur, après s’être authentifié, de fournir un élément qu’il possède, qu’il connaît ou qui le caractérise. L’utilisation d’un 2FA permet d’accroître significativement la robustesse de l’authentification.
Dans un premier temps, j’introduis les notions d’Authentification – Autorisation et d’Accès (AAA), le modèle SSO en comparant les solutions LemonLDAP::NG et OpenAM, les niveaux d’authentification eIDAS et quelques rappels sur le protocole HTTP. Puis, je présente le WebSSO LemonLDAP::NG (LLNG) et en détaille l’architecture ainsi que le fonctionnement. Je termine par la description de l’implémentation de l’authentification à double facteur dans LLNG, notamment le moteur permettant de gérer et proposer différents types et propose quelques fonctionnalités à implémenter ou à améliorer dans la version 3.0 de LemonLDAP::NG
| Origine | Fichiers produits par l'(les) auteur(s) |
|---|
Loading...