Brevet FR2943811A1 — publié le 20101001

La présente invention concerne un procédé d'authentification, une entité électronique portable comportant un serveur d'authentification et une station hôte fonctionnant avec une telle entité électronique portable. Le problème à la base de l'invention est d'installer et de déployer un service d'authentification sécurisé dans un réseau informatique. Les systèmes d'authentification connus nécessitent l'installation d'un logiciel sur un serveur de réseau, la configuration d'une base de données d'utilisateurs sauvegardant les accréditations des utilisateurs et la connexion à cette base de données, ainsi que l'utilisation de modules de sécurité pour les protéger. La mise en oeuvre de ces systèmes et/ou la connexion d'un terminal à un réseau informatique ainsi protégé sont dont longues, fastidieuses et onéreuses. La figure 5 représente un serveur 505 de type connu. Ce serveur 505, qui peut être un serveur au sens propre ou un ordinateur personnel, comporte un processeur 510, une mémoire non volatile 515 et une carte réseau 520. La mémoire non volatile 515 conserve un programme pour réaliser les fonctions d'un serveur d'authentification et d'une base de données d'accréditations de personnes ou de terminaux autorisés à se connecter à un réseau informatique. Ce programme est exécuté par le processeur 510. Comme on le comprend aisément, la réalisation des fonctions d'authentification impose d'installer le programme d'authentification et la base de données en mémoire non volatile, et de protéger ces éléments. La présente invention vise à remédier à ces inconvénients. A cet effet, selon un premier aspect, la présente invention vise une entité électronique portable pour l'authentification d'un utilisateur mettant en oeuvre terminal pour accéder à une ressource, caractérisée en ce qu'elle comporte : - un moyen de réception d'une requête d'authentification, - un moyen d'hébergement d'au moins une instance d'un serveur d'authentification et une base de données d'utilisateurs, - un moyen d'authentification de l'utilisateur et/ou du terminal, en fonction du contenu de ladite requête d'authentification et - un moyen d'autorisation adapté, si l'authentification est positive, à autoriser ledit utilisateur à accéder à ladite ressource. Ainsi, la présente invention offre un service d'authentification pour les réseaux, d'entreprise ou locaux, en vue d'autoriser, ou non, un utilisateur à se connecter à ces réseaux ou à accéder à un fichier, un logiciel ou une base de données, par exemple. On note qu'une entité électronique portable, par exemple une carte à puce, est particulièrement peu onéreuse. La mise en oeuvre de l'entité électronique portable objet de la présente invention peut, par exemple, se présenter sous la forme d'une connexion � plug and play � (connexion et lancement) sur le serveur d'authentification. Cette mise en oeuvre évite ainsi l'installation d'un logiciel sur un serveur de réseau, la configuration d'une base de données d'utilisateurs sauvegardant les accréditations des utilisateurs et la connexion à cette base de données, ainsi que l'utilisation de modules de sécurité pour les protéger. Le procédé objet de la présente invention est ainsi compatible, de fait, avec tous les serveurs de réseau, quel qu'en soit le système d'exploitation. L'authentification peut ainsi être utilisée par des serveurs de réseau sans installation de pilote (en anglais � driver �). On note que la multiplicité possible des entités électroniques portables permet de fragmenter une large base de données d'utilisateurs, de dupliquer la base de données ou de fragmenter le service d'authentification entre plusieurs entités électroniques portables. La multiplicité possible des entités électroniques portables permet aussi le remplacement aisé de toute entité électronique portable, par exemple endommagée, obsolète ou ayant atteint une date ou un nombre limite d'utilisation, objet de la présente invention. Selon des caractéristiques particulières, ledit moyen de réception et ledit moyen d'autorisation sont adaptés à mettre en oeuvre le protocole IP (� Internet Protocol �). Selon des caractéristiques particulières, ladite entité électronique portable est constituée d'une carte à microprocesseur conforme à la norme ISO7816. Selon des caractéristiques particulières, ladite entité électronique portable est constituée d'une clef USB (acronyme de � Universal Serial Bus � pour bus série universel) ou d'une carte à microcircuit, par exemple une carte à mémoire. Selon des caractéristiques particulières, ladite requête comporte un certificat cryptographique et/ou un mot de passe à usage unique et en ce que le moyen d'authentification comporte un moyen de vérification du certificat cryptographique et/ou du mot de passe à usage unique. Selon des caractéristiques particulières, le serveur d'authentification est adapté à rechercher, dans la base de données d'utilisateurs, un identifiant d'utilisateur reçu dans la requête d'authentification et à vérifier la correspondance entre une donnée d'authentification associée à cet identifiant, dans la base de données, et une donnée d'authentification reçue dans la requête d'authentification. Selon des caractéristiques particulières, l'entité électronique portable objet de la présente invention, telle que succinctement exposée ci-dessus est associée à un indicateur de statut visible. Selon un deuxième aspect, la présente invention vise un procédé d'authentification d'un utilisateur mettant en oeuvre un terminal pour accéder à une ressource, caractérisé en ce qu'il comporte : - une étape de communication, à une entité électronique portable hébergeant au moins une instance d'un serveur d'authentification et une base de données d'utilisateurs, d'une requête d'authentification, - une étape d'authentification de l'utilisateur et/ou du terminal par ladite entité électronique portable, en fonction du contenu de ladite requête d'authentification et - si l'authentification est positive, une étape d'autorisation de l'utilisateur à accéder à ladite ressource. 30 Selon des caractéristiques particulières, au cours de l'étape d'authentification, le serveur d'authentification recherche, dans la base de données d'utilisateurs, un identifiant d'utilisateur reçu dans la requête d'authentification et vérifie la correspondance entre une donnée d'authentification associée à cet identifiant, dans la base de données, et une donnée d'authentification reçue dans la requête d'authentification. Selon un troisième aspect, la présente invention vise une station hôte, caractérisée en ce qu'elle comporte : - un moyen de communication avec au moins une entité électronique portable hébergeant au moins une instance d'un serveur d'authentification et une base de données d'utilisateurs, - un moyen de réception d'une requête d'authentification en provenance d'un terminal mis en oeuvre par un utilisateur pour accéder à une ressource, - un moyen de transmission de ladite requête à une dite entité électronique portable, - un moyen de réception, en provenance de ladite entité électronique portable d'un message d'authentification du dit utilisateur et/ou dudit terminal et - un moyen d'autorisation d'accès adapté, à réception d'un message d'authentification, à autoriser ledit utilisateur à accéder à ladite ressource. Selon des caractéristiques particulières, la station hôte objet de la présente invention comporte un moyen de traduction de protocole ad-hoc. Par exemple, la traduction de protocole traduit le protocole Internet en un protocole utilisé par l'entité électronique portable. Les avantages, buts et caractéristiques particulières de ce procédé et de cette station hôte étant similaires à ceux de l'entité électronique portable objet de la présente invention, telle que succinctement exposée ci-dessus, ils ne sont pas rappelés ici. D'autres avantages, buts et caractéristiques de la présente invention ressortiront de la description qui va suivre faite, dans un but explicatif et nullement limitatif, en regard des dessins annexés, dans lesquels : - la figure 1 représente, schématiquement, un premier mode de réalisation particulier de l'entité électronique portable et de la station hôte objets de la présente invention, - la figure 2 représente, schématiquement, un deuxième mode de réalisation particulier de la station hôte objet de la présente invention, - la figure 3 représente, schématiquement, un troisième mode de réalisation particulier de la station hôte objet de la présente invention, - la figure 4 représente, sous forme d'un logigramme, des étapes mises en oeuvre dans un premier mode de réalisation particulier du procédé objet de la présente invention. - la figure 5 représente, schématiquement, un serveur connu dans l'art antérieur, - la figure 6 représente, schématiquement, un quatrième mode de réalisation particulier de l'entité électronique portable et de la station hôte objets de la présente invention et - la figure 7 représente, sous forme d'un logigramme, des étapes mises en oeuvre dans un deuxième mode de réalisation particulier du procédé objet de la présente invention. On note, en préliminaire, qu'aucune des figures 1 à 3, 5 ou 6 n'est représentée à l'échelle. On observe, en figure 1, un réseau local 140 géré par un gestionnaire de réseau 130 et relié, par une liaison filaire ou non, à un premier terminal informatique 110, à un deuxième terminal informatique 120, à un troisième terminal informatique 120' et au réseau Internet 190. Le gestionnaire de réseau 130 conserve un programme de gestion central 132 et implémente un serveur DNS (acronyme de � Domain Name Server � pour serveur de noms de domaine) 133 et un serveur DHCP (acronyme de � Dynamic Host Configuration Protocol � pour protocole de configuration d'hôte dynamique) 131. Le serveur 131 est, par exemple, constitué d'un logiciel fonctionnant sur le gestionnaire de réseau 130. On rappelle que DHCP est un protocole réseau dont le rôle est d'assurer la configuration automatique des paramètres IP d'une station, notamment en lui assignant automatiquement une adresse IP et un masque de sous-réseau. DHCP peut aussi configurer l'adresse de la passerelle par défaut, des serveurs de noms DNS et des serveurs de noms NBNS (connus sous le nom de serveurs WINS sur les réseaux de la société Microsoft). La conception initiale d'IP supposait la pré-configuration de chaque ordinateur connecté au réseau avec les paramètres TCP/IP adéquats : c'est l'adressage statique. Sur des réseaux de grandes dimensions ou étendues, où des modifications interviennent souvent, l'adressage statique engendre une lourde charge de maintenance et des risques d'erreurs. En outre les adresses assignées ne peuvent être utilisées même si l'ordinateur qui la détient n'est pas en service : un cas typique où ceci pose problème est celui des fournisseurs d'accès à internet (FAI ou ISP en anglais), qui ont en général plus de clients que d'adresses IP à leur disposition, mais dont tous les clients ne sont jamais connectés en même temps. DHCP apporte une solution à ces deux inconvénients : - seuls les ordinateurs en service utilisent une adresse de l'espace d'adressage; - toute modification des paramètres (adresse de la passerelle, des serveurs de noms) est répercutée sur les stations lors du redémarrage et - la modification de ces paramètres est centralisée sur les serveurs DHCP. Le gestionnaire de réseau 130 est relié, par une liaison mettant en oeuvre le protocole IP (acronyme de � Internet protocol � pour protocole internet), à une station hôte 150, ici un lecteur de carte, dans lequel deux entités électroniques portables, ici des cartes 160 et 170, sont insérées. En variante, la station hôte 150 est un dispositif USB relié au gestionnaire de réseau 130 par un connecteur USB du gestionnaire de réseau. Dans ce cas, préférentiellement, une entité électronique portable unique est constituée d'une carte SIM (acronyme de � Subscriber Identification Module � pour module d'identification de souscripteur). Le lecteur de carte 150 est conforme à la norme ISO 7816. En variante, la station hôte 150 est un lecteur de clefs USB. Le lecteur de carte 150 conserve un programme 151 de conversion de protocole pour le cas où au moins une carte 160 ou 170 n'a pas d'interface mettant en oeuvre le protocole IP. Le lecteur de cartes 150 s'apparente à un Hub (en informatique, un hub, ou concentrateur, est un appareil permettant d'interconnecter électriquement plusieurs appareils, typiquement des ordinateurs ou des périphériques) Internet avec des prises Internet (RJ45) pour les entrées/sorties et au moins une carte à microprocesseur (� smart card �), pour héberger le service d'authentification de manière sécurisée. Chaque carte héberge au moins une instance d'un serveur d'authentification comportant une base de données utilisateur et un serveur d'administration. Pour augmenter la convivialité, le lecteur de cartes 150 peut héberger un serveur http (acronyme de � HyperText Transfer Protocol � pour protocole de transfer hypertexte) pour le service d'authentification et/ou l'administration. Préférentiellement, chaque carte à microprocesseur 160 ou 170 peut fonctionner selon tout protocole ISO7816, USB, IP (acronyme de � Internet Protocol � pour protocole internet). La multiplicité des cartes permet de fragmenter une large base de données d'utilisateurs, dupliquer la base de données ou fragmenter le service entre plusieurs cartes. La multiplicité des cartes permet aussi le remplacement aisé de toute carte. Chaque carte peut être associée à un indicateur de statut visible, par exemple sur la surface extérieure du lecteur de carte 150, par exemple vert pour � en bon état �, orange pour � doit être remplacée � et rouge pour � hors service �. La station hôte 150, ici le lecteur de cartes, assure une traduction de protocole ad-hoc pour la communication avec les cartes 160 et 170. Lorsque des cartes 160 et 170 sont � full IP � (Accès à l'Internet permettant l'accès à tout ses services), le lecteur de cartes 150 devient un lecteur transparent fournissant une connectivité ad-hoc, par exemple à huit contacts en RJ45) et fournit l'alimentation électrique. Le lecteur de cartes 150 et les cartes à microprocesseur 160 et 170 peuvent comporter leur propre source électrique (voir figure 2). Le réseau local 140 met en oeuvre le protocole IP pour communiquer avec les terminaux 110, 120 et 120'. Le premier terminal 110, par exemple un ordinateur personnel, conserve un programme d'authentification standard 112. Le premier terminal 110 est relié à un lecteur de carte 111 dans lequel est insérée une carte 114 conservant un certificat cryptographique 113. Le deuxième terminal 120, par exemple un ordinateur personnel, possède un clavier 121 et conserve un programme d'authentification standard 122 identique au programme 112. Le troisième terminal 120', par exemple un assistant personnel numérique (connu sous le nom de � PDA � pour personal digital assistant) communique avec le réseau local 140 selon le protocole WiFi (acronyme de � Wireless Fidelity � pour fidélité sans fil). Il conserve un programme de génération de clefs cryptographiques à usage unique 123, une mémoire 121' de clef cryptographique et de valeur d'un compteur et un programme d'authentification 122'. Le programme de génération de clefs cryptographiques à usage unique 123 et/ou la mémoire de clef cryptographique et de valeur de compteur 121' sont éventuellement dans une carte SIM (acronyme de � Subscriber Identification Module � pour module d'identification d'abonné) du troisième terminal 120'. Bien que seule la carte 160 soit détaillée en figure 1, la carte 170 présente les mêmes composants internes que la carte 160. La carte 160 comporte une unité centrale (en anglais CPU, pour � Central Processing Unit �) 161 et une mémoire non volatile 162. Cette mémoire non volatile 162 est, par exemple, de type EPROM (acronyme de � Erasable Programmable Read Only Memory � pour mémoire morte programmable effaçable) ou flash. Le contenu de la mémoire volatile 162, qui peut être partagé entre plusieurs cartes, comporte une base de données des utilisateurs 163, un serveur d'authentification 164 et un serveur 165 de gestion de la base de données 163. En ce qui concerne la base de données 163, chacun de ses champs comporte, au moins, un identifiant d'utilisateur, un mode d'authentification et une donnée d'authentification. Par exemple : - si, comme dans le cas du terminal 120, le mode d'authentification est à mot de passe, la donnée d'authentification est le mot de passe, - si, comme dans le cas du terminal 110, le mode d'authentification est à clef asymétrique (par exemple une clef conforme à l'infrastructure à clefs publiques PKI ou � public key infrastructure �), la donnée d'authentification est un certificat cryptographique et - si, comme dans le cas du terminal 120', le mode d'authentification est à clef à usage unique (ou � one-time password �) la donnée d'authentification est une clef cryptographique et un compteur 121' d'utilisation de la clef. Le serveur d'authentification 164 est, par exemple, un serveur mettant en oeuvre le protocole de transfer hypertexte http. Le serveur de gestion 165 de la base de données 163 ne permet la gestion de cette base de données 163 que par un administrateur dont l'authentification est spécifique, par exemple à mot de passe spécifique. On observe, en figure 2, que la station hôte objet de la présente invention peut prendre la forme d'un serveur de cartes à microprocesseur 205 comportant un serveur d'authentification 210, un serveur d'administration 215, une base de données d'utilisateurs 220 et une source d'alimentation électrique 225, chacun des éléments 210 à 225 comportant un indicateur d'état 230. Le serveur de cartes 205 communique avec le réseau 235 en mettant en oeuvre les protocoles http et IP. On note que des éléments du serveur 205 peuvent être hébergés par une ou plusieurs cartes à microprocesseur (non représentées en figure 2) ou, plus généralement, dans des entités électroniques portables connectées au serveur de cartes 205. On observe, en figure 3, que la station hôte objet de la présente invention peut aussi prendre la forme d'un serveur de cartes à microprocesseur 305 associée à un ordinateur hôte. Le serveur de cartes 305 comporte un serveur d'authentification 310, un serveur d'administration 315, une base de données d'utilisateurs 320, une mémoire 325 et un lecteur de CD-ROM (acronyme de compact-disc read only memory pour disque compact à mémoire morte) 330. Le serveur de cartes 305 communique avec le réseau 335 en mettant en oeuvre les protocoles http et IP sur un port USB 340. On note que l'utilisation de l'USB est notamment adaptée aux serveurs basés sur Microsoft Windows (marques déposées). Si l'entité électronique portable est une clé USB (par exemple de la marque AngeliC, marque déposée), on peut exploiter la mémoire 325 et le lecteur de CD-ROM 330 pour charger les pilotes nécessaires ou les logiciels sur le serveur 305. Comme on l'observe en regard de la figure 4, le fonctionnement de l'entité électronique portable et de la station hôte objets de la présente invention illustrées en figure 1 est le suivant. Au cours d'une étape 405, un utilisateur démarre un terminal (par exemple 110, 120 ou 120') ou se connecte au réseau local 140. Au cours d'une étape 410, le serveur DHCP 131 affecte une adresse temporaire au terminal (limitée, en utilisation, à l'émission d'une seule requête). De manière connue de l'homme du métier, une telle adresse est nécessaire pour que ces terminaux communiquent sur le réseau 140. Au cours d'une étape 415, le programme d'authentification (respectivement 112, 122 ou 122') de ce terminal obtient une donnée d'authentification de l'utilisateur (respectivement le certificat cryptographique 111, un mot de passe saisi au clavier 121 du terminal 120 ou un mot de passe à usage unique généré associé au compteur 121', ce compteur passant alors à une valeur interdisant une nouvelle utilisation de ce mot de passe à usage unique). Le programme d'authentification obtient également un identifiant d'utilisateur, ou � login � (typiquement saisi au clavier du terminal considéré). Au cours d'une étape 420, le programme d'authentification (respectivement 112, 122 ou 122') communique la donnée d'authentification et l'identifiant d'utilisateur au programme de gestion central 132, dans une requête d'authentification conforme au protocole IP, par exemple conforme au protocole � radius �). Au cours d'une étape 425, le programme de gestion central 132 communique la requête reçue au lecteur de carte 150. Dans des variantes, pour le cas où la carte 160 n'a pas d'interface mettant en oeuvre le protocole IP, le programme de conversion 151 effectue une conversion de protocole de la requête puis le lecteur de carte 150 transmet la requête convertie au serveur d'authentification 164 de la carte 160 par l'intermédiaire du processeur 161. On note que la requête, éventuellement convertie, peut être adressée à chaque carte 160 et 170, l'authentification par l'une des cartes suffisant ensuite (voir étapes 430 et 435 ci-après). Dans d'autres variantes, pour le cas où la carte 160 a une interface mettant en oeuvre le protocole IP, la requête reçue est directement communiquée, sans conversion par le programme 151, au serveur d'authentification 164 par l'intermédiaire du processeur 161. Au cours d'une étape 430, le serveur d'authentification 164 recherche, dans la base de données des utilisateurs 163, l'identifiant d'utilisateur reçu dans la requête d'authentification et vérifie la correspondance entre la donnée d'authentification associée à cet identifiant, dans la base de données 163, avec celle reçue dans la requête. On note que la correspondance n'est pas nécessairement une identité. Au cours d'une étape 435, le serveur d'authentification 164 détermine si les données d'authentification reçues et conservées en base de données se correspondent. Si oui, au cours d'une étape 440, le serveur d'authentification 164 envoie un message, éventuellement authentifié, au programme de gestion central 132, éventuellement par l'intermédiaire du programme de conversion 151. Puis, au cours d'une étape 445, le programme de gestion central 132 envoie un message au serveur DHCP 131. Au cours d'une étape 450, le serveur DHCP 131 permet à l'utilisateur de communiquer par l'intermédiaire du réseau local 140, par exemple en attribuant une adresse sur le réseau local au terminal (respectivement 110, 120 et 120') ayant émis la requête au cours de l'étape 420. Au cours d'une étape 455, ce terminal informe son utilisateur de l'autorisation de communiquer sur le réseau 140, par affichage d'un message sur son écran. Si, au cours de l'étape 435, le serveur d'authentification 164 détermine que les données d'authentification ne se correspondent pas (par exemple, parce que l'identifiant de l'utilisateur ne se trouve pas dans la base de données d'utilisateurs 163 ou qu'il y est associé à une donnée d'authentification différente de celle reçue dans la requête), au cours d'une étape 460, le serveur d'authentification 164 retourne un message d'erreur au programme de gestion central 132, éventuellement par l'intermédiaire du programme de conversion 151. Au cours d'une étape 465, le programme de gestion central 132 transmet un message d'erreur au terminal qui a transmis la requête au cours de l'étape 420 (respectivement 110, 120 et 120'). Au cours d'une étape 470, ce terminal informe son utilisateur du refus d'autorisation de communiquer sur le réseau 140, par affichage d'un message d'erreur sur son écran. A la suite de l'une des étapes 455 ou 470, le processus prend fin jusqu'à ce qu'un terminal soit démarré ou connecté au réseau, au cours d'une nouvelle étape 405. Comme on le comprend à la lecture de la description qui précède, la mise en oeuvre de la présente invention permet d'installer et de déployer aisément un service d'authentification sécurisé dans un réseau informatique. L'installation se fait en connectant le lecteur de carte 150 au serveur 130, le fonctionnement se faisant alors en � plug and play �, ce qui évite l'installation d'un logiciel sur un serveur, la configuration d'une base de données d'utilisateurs sauvegardant les accréditations des utilisateurs et la connexion à cette base de données, ainsi que l'utilisation de modules de sécurité pour les protéger. Le fonctionnement, basé préférentiellement sur un protocole internet (� IP protocol �) peut être utilisé par des serveurs IP sans installation de pilote (� driver �). Il est ainsi compatible, de fait, avec tous les serveurs, quel qu'en soit le système d'exploitation. Cette configuration permet aussi d'augmenter la sécurité des données secrètes associées aux utilisateurs, telles que les clefs, car ces données sont mémorisées dans une carte à puce. On observe, en figure 6, une entité électronique portable 605, un terminal utilisateur 615, un serveur web 630, un système d'authentification 650 et une entité électronique portable 665. L'entité électronique portable 605, aussi appelée � token � (pour jeton), a pour fonction de générer des mots de passe à usage unique, c'est-à-dire qu'ils ne permettent d'obtenir une autorisation d'accès qu'une seule fois. L'entité électronique portable 605 conserve des données de synchronisation 610, par exemple un compteur qui compte les mots de passe générés. L'entité électronique portable 605 est, par exemple, basée sur un téléphone mobile dont la carte SIM (� Subscriber Identification Module � pour module d'identification d'abonné) conserve un programme de génération de mots de passes, sur la base de la valeur des données de synchronisation. Le serveur web 630 est relié, par un réseau informatique, par exemple Internet 625, à un terminal utilisateur 615. Le serveur 630 comporte un service de gestion de sessions avec l'utilisateur 640, une base de données d'utilisateurs 645 et un logiciel 635. Le serveur 630 est relié, par l'intermédiaire d'un réseau local 690, au système d'authentification 650. En variante, le système d'authentification 650 est un dispositif USB relié au serveur 630 par un connecteur USB du serveur 630. Dans ce cas, préférentiellement, une entité électronique portable 665 est constituée d'une carte SIM. Préférentiellement, la connexion entre le serveur 630 et le système d'authentification 650 est sécurisée par des moyens cryptographiques de type connu. Le terminal utilisateur 615 comporte un écran et une mémoire qui 30 conserve un logiciel client 620, par exemple un navigateur de la toile (� web browser �). Le système d'authentification 650 comporte un processeur 660, une carte réseau 655 et un lecteur 695 d'entité électronique portable. Le processeur 660 implémente le protocole IP et convertit les requêtes reçues sur le réseau local 690 selon le protocole IP en commandes APDU (acronyme de � Application Protocol Data Unit � pour unité de données de protocole application. Il s'agit de paquets échangés entre deux applications sur un réseau, au plus haut niveau du modèle en couches OSI) à destination de l'entité électronique portable 665 et, plus particulièrement, à son processeur 675. Inversement, le processeur 660 convertit les réponses reçues de l'entité électronique portable 665 en réponse selon le protocole IP, à destination du serveur 630. L'entité électronique portable 665 comporte une interface 670, préférentiellement conforme au standard ISO 7816, le processeur 675 et une mémoire non volatile 680 qui conserve une base de données d'utilisateurs 685 contenant des identifiants, un compteur de mots de passe à usage unique délivrés et une clé cryptographique pour déterminer les mots de passe à usage unique de manière identique à l'entité électronique portable 605. Le fonctionnement des éléments illustrés en figure 6 est exposé en regard de la figure 7. Au cours d'une étape 705, le logiciel client 620 se connecte au serveur web 630, par l'intermédiaire du réseau informatique 625, pour accéder au logiciel 635 ou au réseau local 690. Au cours d'une étape 710, le service de gestion des sessions avec l'utilisateur 640 envoi au logiciel client 620 les données d'une page à afficher. Cette page, préférentiellement chiffrée, par exemple selon le protocole HTTPS (acronyme de � hypertext transfer protocol secure � pour protocole de transfert hypertexte sécurisé) comporte des champs de saisie pour des données d'authentification : - un identifiant d'utilisateur (� login �), - un mot de passe fixe et - un mot de passe à usage unique (� one-time password �). Au cours d'une étape 715, l'utilisateur met en oeuvre l'entité électronique portable 605 pour générer un mot de passe à usage unique, à partir de la valeur du compteur et ce compteur est incrémenté. Au cours d'une étape 720, l'utilisateur saisit les données d'authentification, dans les champs de la page affichée sur l'écran du terminal utilisateur 615. Lors de la validation par l'utilisateur, les données saisies sont transmises, préférentiellement de manière chiffrée, au serveur 630. Au cours d'une étape 725, le serveur 630 vérifie la présence de l'identifiant d'utilisateur dans sa base de données 645 et, si cet identifiant y est présent, la correspondance entre le mot de passe fixe reçu avec le mot de passe fixe associé, dans cette base de données 645, à l'identifiant d'utilisateur. Si la correspondance n'est pas trouvée, un message d'erreur est transmis au terminal utilisateur 615 et un nombre prédéterminé de nouvelles tentatives de saisie est autorisé avant qu'une fonction de sécurité de type connu se déclenche, par exemple la dévalidation provisoire de l'identifiant d'utilisateur. Si l'identifiant d'utilisateur et le mot de passe fixe sont validés, au cours d'une étape 730, le serveur 630 transmet les données d'authentification au processeur 660 du système de sécurité 650, par l'intermédiaire du réseau local 690 et de la carte réseau 655. Le processeur 660 effectue la conversion de protocole et transmet le mot de passe à usage unique au processeur 675. Au cours d'une étape 735, le processeur 675 obtient de la mémoire non volatile 680, en fournissant l'identifiant utilisateur reçu, la valeur du compteur de mots de passe à usage unique générés puis le mot de passe à usage unique correspondant à cette valeur de compteur. Au cours d'une étape 740, le processeur 675 détermine si le mot de passe à usage unique reçu du serveur 630 correspond au mot de passe à usage unique généré au cours de l'étape 735. Si oui, au cours d'une étape 745, le processeur 675 envoie un acquittement au service de gestion de sessions 640 avec un identifiant de l'utilisateur. Puis, au cours d'une étape 750, le service de gestion de sessions 640 autorise au terminal 615 l'accès au logiciel 635 et/ou au réseau local 690. Si le résultat de l'étape 750 est négatif, au cours d'une étape 755, le processeur 675 envoie un message d'absence d'authentification au service de gestion de sessions 640. Puis, au cours d'une étape 760, le service de gestion de sessions 640 interdit au terminal 615 d'accéder au logiciel 635 et au réseau local 690. En variante, le mot de passe à usage unique est remplacé par un autre type de moyen d'authentification, par exemple un algorithme spécifique à un opérateur de téléphonie mobile ou un algorithme de type � challengeresponse � (question réponse). Dans le cas de l'algorithme de � challenge response �, on note qu'il n'y a pas de compteur et que les étapes 705 à 715 sont remplacées par des étapes dans lesquelles : - le logiciel client 620 envoie une requête pour obtenir un nombre aléatoire à 675 (via le serveur web 630 et le processeur 660) au processeur 675, - en retour, le processeur 675 envoie au logiciel client 620 (via le serveur web 630 et le processeur 660) un nombre aléatoire � A �, - le logiciel client 620 affiche un écran de saisie d'un code PIN d'une carte à puce CP (non représentée) connectée au terminal utilisateur 615, - l'utilisateur saisi le code PIN sur le terminal utilisateur 615, - le logiciel client 620 transmet, à la carte à puce CP, le code PIN (qui, si la carte à puce CP le reconnaît, donne accès aux fonctions de cette carte à puce CP) et le nombre aléatoire A, dans une requête d'authentification, - à partir d'une clef � K � conservée dans la carte à puce CP et du nombre aléatoire A, cette carte à puce CP produit une donnée � D � (par exemple � D � est le résultat d'un chiffrement de A avec la clef K), - la carte à puce CP transmet la donnée D au logiciel client 620, en réponse à la requête d'authentification, - le logiciel client 620 transmet la donnée D au processeur 675, - le processeur 675 réalise le même calcul de la donnée D que la carte à puce CP, à partir de la clef K retrouvée à partir de l'identifiant de l'utilisateur, et du nombre aléatoire A, qu'il a en mémoire et - le processeur 675 vérifie la correspondance entre la donnée D reçue et la donnée D calculée par lui. La suite du procédé est analogue à ce qui est décrit à partir de l'étape 720, ci-dessus, si la correspondance est vérifiée. La présente invention peut s'appliquer à toute autorisation d'accès, qu'il soit physique (ouverture d'une porte, accès à un site ou un bâtiment, par exemple) ou logique (accès à une ressource, un fichier, un logiciel ou un canal de communication). En particulier l'accès à un réseau local d'entreprise (ou VPN pour Virtual Private Network) ou l'accès à un réseau local par un terminal relié à ce réseau local sont des applications importantes de la présente invention. On observe que, grâce à la mise en oeuvre de la présente invention, et, en particulier, de l'entité électronique portable 665, on sécurise l'accès à la base de données des accréditations, qui contient des données devant rester secrètes. REVENDICATIONS1. Entité électronique portable (160, 170) pour l'authentification d'un utilisateur mettant en oeuvre terminal pour accéder à une ressource, caractérisée en ce qu'elle comporte : - un moyen de réception d'une requête d'authentification, - un moyen (162) d'hébergement d'au moins une instance d'un serveur d'authentification (164) et une base de données d'utilisateurs (163), - un moyen (161, 162) d'authentification de l'utilisateur et/ou du terminal, en fonction du contenu de ladite requête d'authentification et - un moyen (161, 162) d'autorisation adapté, si l'authentification est positive, à autoriser ledit utilisateur à accéder à ladite ressource. 2. Entité électronique portable (160, 170) selon la revendication 1, caractérisée en ce que ledit moyen de réception et ledit moyen d'autorisation sont adaptés à mettre en oeuvre le protocole IP (� Internet Protocol �). 3. Entité électronique portable (160, 170) selon l'une quelconque des revendications 1 ou 2, caractérisée en ce que ladite entité électronique portable est constituée d'une carte à microprocesseur conforme à la norme ISO7816. 4. Entité électronique portable (160, 170) selon l'une quelconque des revendications 1 ou 2, caractérisée en ce que ladite entité électronique portable est constituée d'une clef USB (acronyme de � Universal Serial Bus � pour bus série universel) ou d'une carte à microcircuit, par exemple une carte à mémoire. 5. Entité électronique portable (160, 170) selon l'une quelconque des revendications 1 à 4, caractérisée en ce que ladite requête comporte un certificat cryptographique et/ou un mot de passe à usage unique et en ce que le moyen d'authentification comporte un moyen de vérification du certificat cryptographique et/ou du mot de passe à usage unique. 6. Entité électronique portable (160, 170) selon l'une quelconque des revendications 1 à 5, caractérisé en ce que le serveur d'authentification (164) est adapté à rechercher, dans la base de données d'utilisateurs (163), un identifiant d'utilisateur reçu dans la requête d'authentification et à vérifier une correspondance entre la donnée d'authentification associée à cet identifiant, dans la base de données, et une donnée d'authentification reçue dans la requête d'authentification. 7. Entité électronique portable (160, 170) selon l'une quelconque des revendications 1 à 6, caractérisée en ce qu'elle est associée à un indicateur de statut visible. 8. Procédé d'authentification d'un utilisateur mettant en oeuvre un terminal pour accéder à une ressource, caractérisé en ce qu'il comporte : - une étape (420, 425) de communication, à une entité électronique portable (160, 170) hébergeant au moins une instance d'un serveur d'authentification (164) et une base de données d'utilisateurs (163), d'une requête d'authentification, - une étape (430, 435) d'authentification de l'utilisateur et/ou du terminal par ladite entité électronique portable, en fonction du contenu de ladite requête d'authentification et - si l'authentification est positive, une étape (440 à 455) d'autorisation de l'utilisateur à accéder à ladite ressource. 11. Procédé selon la revendication 8, caractérisé en ce que, au cours de l'étape (430, 435) d'authentification, le serveur d'authentification (164) recherche, dans la base de données d'utilisateurs (163), un identifiant d'utilisateur reçu dans la requête d'authentification et vérifie la correspondance entre une donnée d'authentification associée à cet identifiant, dans la base de données, et une donnée d'authentification reçue dans la requête d'authentification. 12. Station hôte, caractérisée en ce qu'elle comporte : - un moyen de communication avec au moins une entité électronique portable (160, 170) hébergeant au moins uneinstance d'un serveur d'authentification (164) et une base de données d'utilisateurs (163), - un moyen de réception d'une requête d'authentification en provenance d'un terminal mis en oeuvre par un utilisateur pour accéder à une ressource, - un moyen de transmission de ladite requête à une dite entité électronique portable, - un moyen de réception, en provenance de ladite entité électronique portable d'un message d'authentification du dit utilisateur et/ou dudit terminal et - un moyen d'autorisation d'accès adapté, à réception d'un message d'authentification, à autoriser ledit utilisateur à accéder à ladite ressource. 11. Station hôte selon la revendication 10, caractérisée en ce qu'elle 15 comporte un moyen de traduction de protocole ad-hoc.