L'authentification sécurisée utilisant le trusted computing

La sécurité des systèmes informatiques demeure un sujet pertinent malgré les efforts sans cesse apportés pour l'améliorer. À cet effet, un nouveau concept prometteur, qui touche simultanément le matériel et le logiciel, a été déployé. Il s'agit du trusted computing. L'utilisation de ce concept a pour but de s'assurer de l'intégrité du système que nous utilisons à travers différents mécanismes, comme la vérification d'intégrité ou l'isolation logicielle et matérielle. Ce concept pourrait être utilisé dans différentes applications nécessitant une sécurité accrue. L'un des principaux domaines où nous sommes encore concernés par la sécurité est l'authentification en ligne, particulièrement pour les services critiques comme les services financiers ou le courriel. En effet, la sécurité des données d'authentification en ligne peut être compromise par des logiciels malveillants, tels les chevaux de Troie et les enregistreurs de frappes, ou encore par des attaques matérielles, les enregistreurs de frappes physiques à titre d'exemple. Dans le cadre de ce mémoire, nous utilisons le concept de trusted computing afin de proposer une solution d'authentification offrant un compromis entre la sécurité, la facilité d'utilisation et la facilité de déploiement tout en mettant l'accent sur la sécurité. Dans notre schéma nous voulons prévenir les attaques sur les données l'authentifications effectuées à partir de l'ordinateur de l'utilisateur. Un autre but est s'assurer de la compatibilité de notre solution avec la méthode d'authentification actuelle qui consiste en un nom d'utilisateur et un mot de passe. Notre objectif principal est d'implémenter une application utilisant les mécanismes du trusted computing sur un système embarqué. Cette application a pour rôle de fournir une authentification sécurisée aux sites web pour les utilisateurs. Nous avons débuté par étudier les différentes approches possibles en termes de trusted computing et d'exécution isolée. Ensuite, nous avons démontré l'utilisation du trusted computing sur un système embarqué. Nous avons alors implémenté notre application d'authentification sécurisée en utilisant les possibilités offertes par le trusted computing. Cette implémentation a permis d'étudier la viabilité de l'utilisation du trusted computing pour régler les problèmes de sécurité. Finalement, nous avons discuté des différents modèles d'attaques possibles ainsi que des limitations de notre système pour l'évaluer. Notre système nous protège contre plusieurs attaques possibles dans les schémas d'authentification actuels, nous pouvons encore le rendre plus résistant et plus sécuritaire. Nous constatons aussi que le trusted computing peut être utilisé dans d'autres contextes de sécurité, car même avec quelques difficultés de développement, il offre beaucoup d'avantages.

Abstract

Computer systems security remains a top priority for researchers and industry as cyber attacks are improving and costing millions of dollars to companies. One of the recent concepts introduced is trusted computing. It is used to guarantee the integrity of the system we are using. The main mechanisms used by trusted computing are integrity verification and software and hardware isolation; they are achieved via hardware and software implementations. The application domain of trusted computing is large and usually used in sensitive contexts. One of the areas where security is critical but with no definitive solution is online authentication, in particular for sensitive services like online banking or email. Currently, online authentication is vulnerable to multiple software and hardware attacks such as trojans, software and hardware keyloggers. We propose a scheme for online authentication offering a compromise between security, ease of use and backward compatibility, but focusing more on security. We use trusted computing concepts for our solution. We try to prevent attacks aiming user credentials exchanged from the computer of the user. Another objective was to assure backward compatibility with current authentication methods which usually consist of username and password through websites. Our goal throughout this dissertation is to implement an application using the mechanisms of trusted computing on an embedded system. This application will provide users with a secure authentication mechanism to connect to websites. We began by studying the different possible approaches in terms of trusted computing and isolated execution. Then we ran trusted computing on an embedded system. Next, we implemented the secure authentication application using trusted computing. Finally, we discussed the possible threat models and limitations of our solution. Our system protects us against a range of attacks under current authentication schemes, although there is room for improvement to make it even more resistant and secure. The concept of trusted computing can be explored further to solve security-related problems. Despite some development difficulties, it can offer many advantages.