L’enfer est-il pavé de bonnes intentions ? Ce serait l’avis de Trend Micro à propos de l’initiative iDeNum présentée lundi par Nathalie Kosciusko-Morizet, secrétaire d’État chargée de la Prospective et du Développement de l’économie numérique. Il s’agit d’un chantier orienté authentification forte et certificats.

L’objectif d’IdeNum étant de favoriser l’essor des services sécurisés Internet à valeur ajoutée (souscription de contrats en ligne, demande d’allocations familiales ou sociales…) en s’associant avec des organisations comme la Fédération bancaire française (FBF), la Fédération française des sociétés d’assurance (FFSA), la Poste ou la Caisse des dépôts et consignations (CDC).

Dans une nouvelle contribution blog émanant de Trend Micro, Rik Ferguson, Senior Security Advisor chez l’éditeur de solutions de sécurité, prend ce chantier avec des pincettes. « La sécurité est plus que le simple fait d’affirmer son identité, c’est aussi certifier l’intégrité des informations transmises », commente Rik Ferguson.

L’expert craint qu’en développant une méthode unique pour vérifier l’identité de dizaines de millions de Français (avec les implications financières en prolongement), cela risque de de devenir un « aimant puissant pour les cyber-criminels » (« a powerful attractor for criminals » dans la version originale).

Les ravages de Bebloh dans le secteur bancaire à prendre en compte

IDeNum sera-t-il suffisant pour résoudre tous les problèmes de sécurité liés au simple duo « identifiant + mot de passe » ? Pas évident estime Rik Ferguson.

« L’authentification multi-facteur n’est pas une nouvelle technologie et les problèmes sont déjà apparents », commente-t-il. « Les banques ont déjà déployé ce type de technologies depuis un certain temps et les agents malveillants se sont déjà adaptés. »

Rik Ferguson met en avant les attaques de type Man in the Browser attack, avec le cas concret du cheval de Troie Bebloh qui a déjà touché le monde des banques. Il fonctionne sous ce principe : un malware peut détourner la session d’authentification et émettre des commandes et requêtes voilées. Plus fort : il peut intercepter et modifier les réponses en provenance du fournisseur de services afin de camoufler son activité malfaisante réelle.

Par conséquent, il faut aller encore plus loin dans la vérification des transactions : ne pas se contenter des technologies d’identité pour simplement authentifier les utilisateurs mais aussi vérifier les transactions individuelles.

Un paradigme de sécurité qui devrait être placé au premier niveau pour un chantier comme IdeNum, suggère Trend Micro.

Libre à NKM de répondre par blog interposé…