Discussion :

[johnvox]

Ma question est relativement simple.
Dans l'hypothèse d'une attaque Man At The End, peut-on obtenir un moyen sufisament complexe pour authentifier un client auprès d'un serveur.
Prenons l'exemple d'une application qui doit se connecter à un serveur pour obtenir un service.
Si l'authentification se fait via un système clé publique, clé privée ; l'ensemble de l'authentification repose sur la sureté de la clé privée. Mais dans un environnement non sûr où l'attaquant est en mesure de décompiler l'application cliente, il est également en mesure d'obtenir la clé privée de ce dernier et donc ainsi de s'authentifier sur le serveur pour l'utiliser.

Existe-t-il un système complement sûr ou du moins le plus complexe possible pour réaliser ces authentifications auprès des services remotes.

D'avance merci

[gangsoleil]

Bonjour,

Le plus sur est un systeme de double authentification : login/pass, et si ce couple est bon, envoi d'un numero unique par SMS par exemple.

Le probleme si tu ne peux pas faire confiance a la personne qui peut se connecter, c'est de savoir en qui, ou en quoi, tu peux avoir confiance : est-ce qu'une cle de type cle RSA fournie au client, en plus d'un login/pass, pourrait convenir ?

[johnvox]

Si possible j'aurais bien voulu évitez d'avoir un système de login/password du coup j'imagine qu'il est d'autant plus difficile d'avoir un système robuste

[Jimmy_]

De toute façon en volant une clé secrète, c'est terminé dans tous les cas de figure ...
Une clé secrète ne doit pas se trouver dans le code de l'application, c'est une erreur grossière.

Dans un environnement classique de type SSL, les attaques de type man in the middle sont effectivement les plus à craindre.
Mais avec une double authentification sur le certificat du serveur et du client, en principe cela limite grandement les risques.

[johnvox]

Donc si j'entends bien ce que tu dis, je ne peut pas certifier à mon serveur que la personnes qui lui parle est effectivement un client légitime, car si l'attaquant à réussi à dérober le certificat du client c'est fini. :/

[Jimmy_]

Oui le vol de la clé secrète qui à permis la génération des certificats invalide toute la chaine de sécurité.

Quel est le cas de figure en pratique ?
Tu n'utilises pas de tier de confiance pour signer ton certificat ?

[johnvox]

Je n'ai pas de cas de figure précis, il s'agit plus d'une étude préalable à un projet

[Jimmy_]

Et bien explique les grandes lignes , on verra bien ce qui est adapté pour ce cas.