fmaury/Broken-by-Design
1
0
Fork 0
Code Pull requests Releases Activity Actions

Update posts/cours-id-authn.md

Browse source 
Ajout d'une ref à Whatsapp pour Opaque
This commit is contained in:
fmaury 2024-03-04 09:43:16 +00:00
parent c00ec5257e
commit 5eb64cf58d
1 changed files with 3 additions and 1 deletions
Show stats Download patch file Download diff file Expand all files Collapse all files

4
posts/cours-id-authn.md
View file

@ -819,7 +819,9 @@ Les OPRF sont des fonctions impliquant deux parties qui contribuent aux entrées
Privacy Pass est un protocole d'authentification permettant de prouver non pas une identité individuelle, mais l'appartenance à un groupe d'individus, sans pouvoir distinguer l'individu. Il s'agit bien d'une authentification : un acteur prouve une identité (de groupe) à un vérificateur, qui, en cas de succès, le reconnait bien comme ayant cette identité (d'appartenance à ce groupe). On pourrait, par exemple, imaginer un service de vidéos à la demande payant, qui authentifierait un acteur sans être capable de tracer ce qu'il visionne ; tout ce qu'il saurait, c'est que l'acteur accèdant à la vidéo est à jour de son abonnement. La cryptographie impliquée est un peu avancée pour ce cours, mais le lecteur intéressé pourra en apprendre plus en consultant les documents du groupe de travail "Privacy Pass" de l'*Internet Engineering Task Force (IETF)*. Privacy Pass est un protocole d'authentification permettant de prouver non pas une identité individuelle, mais l'appartenance à un groupe d'individus, sans pouvoir distinguer l'individu. Il s'agit bien d'une authentification : un acteur prouve une identité (de groupe) à un vérificateur, qui, en cas de succès, le reconnait bien comme ayant cette identité (d'appartenance à ce groupe). On pourrait, par exemple, imaginer un service de vidéos à la demande payant, qui authentifierait un acteur sans être capable de tracer ce qu'il visionne ; tout ce qu'il saurait, c'est que l'acteur accèdant à la vidéo est à jour de son abonnement. La cryptographie impliquée est un peu avancée pour ce cours, mais le lecteur intéressé pourra en apprendre plus en consultant les documents du groupe de travail "Privacy Pass" de l'*Internet Engineering Task Force (IETF)*.
Opaque, quant à lui, est un protocole d'authentification de la catégorie des *Strong Asymmetric Password-based Authenticated Key Exchange (SaPAKE)*, et utilise donc un mot de passe pour effectuer l'authentification. Il utilise cependant une OPRF afin de permettre de prouver une identité spécifique sans divulguer d'information sur le mot de passe auprès du vérificateur ! L'OPRF est, en effet, utilisée pour calculer une valeur dérivée du mot de passe qui permet le déverrouillage d'un coffre-fort numérique contenant une clé privée. Cette clé privée est ensuite utilisée pour générer la signature d'un défi, comme dans le cas classique des protocoles à signature de défis. L'intérêt d'avoir utilisé une OPRF est que le vérificateur est impliqué dans chaque tentative de déverrouillage du coffre-fort, ce qui lui permet d'empêcher les attaques par recherche exhaustive et de "verrouiller" le compte associé à cette identité si le nombre d'échecs est trop important ! Une fonctionnalité bien utile qui devrait être implémentée par tous les fournisseurs de gestionnaires de mots de passe en ligne synchronisés dans le cloud... Opaque, quant à lui, est un protocole d'authentification de la catégorie des *Strong Asymmetric Password-based Authenticated Key Exchange (SaPAKE)*, et utilise donc un mot de passe pour effectuer l'authentification. Il utilise cependant une OPRF afin de permettre de prouver une identité spécifique sans divulguer d'information sur le mot de passe auprès du vérificateur ! L'OPRF est, en effet, utilisée pour calculer une valeur dérivée du mot de passe qui permet le déverrouillage d'un coffre-fort numérique contenant une clé privée. Cette clé privée est ensuite utilisée pour générer la signature d'un défi, comme dans le cas classique des protocoles à signature de défis. L'intérêt d'avoir utilisé une OPRF est que le vérificateur est impliqué dans chaque tentative de déverrouillage du coffre-fort, ce qui lui permet d'empêcher les attaques par recherche exhaustive et de "verrouiller" le compte associé à cette identité si le nombre d'échecs est trop important ! Une fonctionnalité bien utile qui devrait être implémentée par tous les fournisseurs de gestionnaires de mots de passe en ligne synchronisés dans le cloud... De son côté, Whatsapp a mis en œuvre Opaque pour ses sauvegardes chiffrées de bout-en-bout[^whatsapp].
[^whatsapp]: https://www.whatsapp.com/security/WhatsApp_Security_Encrypted_Backups_Whitepaper.pdf
```mermaid ```mermaid
--- ---