FR 3076363 A1 20190705 FR 1701410 A 20171230 Procede d'authentification a l'aide d'un terminal mobile utilisant une cle et un certificat stock& sur un support externe L'invention concerne un procede pour authentifier un utilisateur afin qu'il puisse acceder a une application WEB protegee en utilisant un telephone mobile. Etat de Ia technique De nombreuses applications disponibles sur Internet necessitent de proteger les echanges entre le serveur sur lequel est disponible ('application et le client ordinateur ou telephone intelligent, c'est-h-dire le « smartphone » de l'utilisateur. Une methode employee communement est Ia mise en oeuvre du protocole dit « Transport Layer Security » (TLS) en terminologie anglo-saxonne, ou le predecesseur dit « Secure Sockets Layer » (SSL), pour la securisation des echanges sur Internet. Dans la majorite des cas, l'utilisateur authentifie le serveur TLS sur lequel it se connecte. Cette authentification est realisee par ('utilisation d'un certificat numerique delivre par une autorite de certification. Des applications WEB peuvent utiliser l'authentification du poste client et de l'utilisateur en exploitant le protocole TLS. II est alors possible d'offrir une authentification mutuelle entre le client et le serveu r. Par certificat on entend a la fois la cle privee et le certificat electronique associe (aussi appele certificat numerique ou certificat de cle publique) qui peut etre vu comme une carte d'identite numerique. II est utilise pour identifier et authentifier une personne physique ou morale. Le certificat electronique est signe par un tiers de confiance qui atteste du lien entre l'identite physique et l'entite numerique (virtuelle). Le certificat client peut etre stocke au format logiciel sur le poste client ou fourni par un dispositif materiel (notamment carte a puce, ou cle USB). Cette derniere solution permet d'offrir des mecanismes d'authentification forte. 2 La plupart des navigateurs web gerent les protocoles TLS et SSL. Les navigateurs disponibles sur ordinateurs dans des environnements PC Windows ou MAC OSX permettent a l'utilisateur d'utiliser un dispositif materiel stockant sa cle et son certificat numerique. 5 Mais sur un smartphone utilisant des environnements de type Android ou Apple iOS, les seules solutions connues jusqu'a present stockent la cle et le certificat numerique dans le logiciel interne du terminal mobile ou dans une carte au format pSD inseree dans le terminal mobile, ou dans la carte SIM du terminal mobile. Ceci limite fortement les transactions entre des telephones mobiles et des serveurs 10 hebergeant des applications WEB securisees. Buts de ('invention L'invention a pour but de permettre a un utilisateur de se connecter a une application WEB securisee, a l'aide de son smartphone fonctionnant sous Android 15 ou Apple iOS, avec un navigateur internet standard (Chrome, Safari, ...), en utilisant une cle et un certificat stockes sur un dispositif externe securise tel qu'une carte a puce. Cela aura l'avantage pour un utilisateur de pouvoir mettre en oeuvre le meme dispositif externe (la carte a puce) pour authentifier l'utilisateur quel que soit 20 son mode de connexion (PC, MAC, Smartphone) tout en assurant un niveau d'authentification fort. De plus cela permettra de limiter le nombre de supports de des et de certificats numeriques a gerer par un utilisateur. 25 L'invention a par consequent pour objet un procede d'authentification un procede d'authentification aupres d'une application WEB securisee d'un utilisateur pourvu d'un smartphone prealablement chargé avec un navigateur internet et une application mobile d'authentification, caracterise en ce qu'il comporte des &apes consistant a : 30 - demander l'acces via le navigateur du smartphone a ('application WEB securisee ; 3 - rediriger la demande d'acces par l'application WEB vers un serveur d'authentification ; - envoyer par le serveur d'authentification une demande d'authentification a l'utilisateur, sous la forme d'un challenge envoye a son 5 smartphone ; - saisir par l'utilisateur son identifiant de connexion (adresse email, n° de telephone, information d'identification biometrique ...) sur son smartphone ; - demander a l'utilisateur, par l'application mobile d'authentification du smartphone, de presenter au moyen d'un support externe securise, une cle et un 10 certificat obtenu a partir de son identifiant de connexion, afin de debloquer ('utilisation de la cle et du certificat ; - calculer par l'application d'authentification du smartphone un cryptogramme a partir du challenge regu du serveur d'authentification et de la cle obtenue du support externe ; 15 - transmettre par le smartphone le cryptogramme calcule ainsi que le certificat de l'utilisateur au serveur d'authentification. - verifier a ['aide du serveur d'authentification le cryptogramme regu du smartphone a l'aide du challenge transmis et du certificat d'authentification de l'utilisateur ; 20 - si la verification est positive, l'utilisateur est authentifie et son acces aux services de l'application WEB est accord& Selon un mode de mise en ceuvre avantageux de ('invention, le support externe securise est une carte a puce ou une cle USB propre a l'utilisateur. 25 De preference, !edit support externe securise est configure pour communiquer avec le smartphone en mode sans contact, par exemple en utilisant un protocole de communication de type NFC ou Bluetooth. 30 4 L'invention sera mieux comprise en lien avec la figure 1, qui represente les &apes du procede d'authentification selon ('invention, et les composantes du systerne pour sa mise en oeuvre. 5 Description detainee Le procede selon !Invention comporte une phase d'initialisation, et une phase de mise en oeuvre. Pendant la phase d'initialisation, un systerne d'authentification, centralise 10 ou non est installe dans un serveur d'authentification. II permet en fonction du type de terminal utilise (PC, MAC, Smartphone) d'orienter vers le type d'authentification adapt& On s'interessera ici uniquement au cas de l'authentification par smartphone. Ce systerne d'authentification dispose de la cle publique de l'autorite de certification des certificats numeriques des utilisateurs. II sait dialoguer avec une application 15 mobile d'authentification install& prealablement sur les smartphones des utilisateurs. Les applications WEB a acces securise font appel au systerne d'authentification pour authentifier les utilisateurs. 20 La phase de mise en oeuvre se deroule selon les &apes suivantes, comme schematise sur la figure 1. Etape 1 : L'utilisateur dispose de son smartphone pourvu notamment d'un navigateur internet et d'une application d'authentification. Lorsque I'utilisateur 25 veut acceder a ('application WEB protegee a partir du navigateur de son smartphone, ('application WEB le redirige vers le systerne d'authentification. Etape 2 : Le serveur d'authentification du systerne d'authentification envoie I'utilisateur une demande d'authentification avec sa cle et son certificat 30 d'authentification, via le navigateur de ton smartphone. 5 En reponse, l'utilisateur saisit sur son smartphone son identifiant de connexion (adresse email, n° de telephone, information d'identification biometrique ...). Cet identifiant permet au systerne d'authentification de faire le lien avec l'application mobile d'authentification install& sur le smartphone. 5 Etape 3 : Une notification est envoy& a l'application mobile pour lancer Ia procedure d'authentification par cle et certificat. Cette demande comporte : un challenge (alga) a signer et des informations destinees a informer l'utilisateur sur Ia transaction en cours. 10 L'application mobile d'authentification affiche les informations sur la transaction en cours. Etape 4 : L'application mobile d'authentification demande a l'utilisateur de presenter son support externe (carte a puce) et de fournir son code personnel 15 d'identification ou son empreinte biornetrique afin de debloquer l'utilisation de sa cle et son certificat sur son support externe. La communication entre le smartphone et le support externe peut se faire en mode sans contact, par exemple selon le protocole NFC ou Bluetooth. 20 Etape 4' : Une fois l'utilisation de la cle debloquee par l'utilisateur, le support externe (carte a puce) calcule le cryptogramme a partir du challenge reg.' du serveur d'authentification et de la cle contenue dans le support externe. Ce cryptogramme correspond a une signature avec la cle du challenge rect., dans la notification. 25 Etape 5 : L'application mobile d'authentification du smartphone transmet le cryptogramme calcule ainsi que le certificat de l'utilisateur au serveur d'authentification. 30 Etape 6 : Le serveur d'authentification verifie le cryptogramme rect.] du smartphone a l'aide du challenge transmis et du certificat d'authentification de 6 l'utilisateur. Si la verification a reussi, I'utilisateur est authentifie et it peut acceder aux services de ('application WEB. Avantages de ('invention 5 L'invention atteint les buts fixes. Elle permet a un utilisateur dote d'un smartphone de s'authentifier de facon forte aupres d'une application WEB securisee, grace a son smartphone et a l'usage d'une cle et d'un certificat stock& sur un dispositif externe securise tel qu'une carte a puce. 10 Compte tenu du caractere de plus en plus universel de l'usage des smartphones, cela permet de multiplier les transactions securisees entre des utilisateurs pourvus d'un smartphone, REVENDICATIONS1 - Procede d'authentification aupres d'une application WEB securisee d'un utilisateur pourvu d'un smartphone prealablement chargé avec un navigateur internet et une application mobile d'authentification, caracterise en ce qu'il comporte des &apes consistant a : - demander l'acces via le navigateur du smartphone a l'application WEB securisee ; - rediriger la demande d'acces par l'application WEB vers un serveur d'authentification ; - envoyer par le serveur d'authentification une demande d'authentification a l'utilisateur, sous la forme d'un challenge envoye a son smartphone ; - saisir par l'utilisateur son identifiant de connexion (adresse email, n° de telephone, information d'identification biometrique ...) sur son smartphone ; '5 - demander a l'utilisateur, par l'application mobile d'authentification du smartphone, de presenter au moyen d'un support externe securise, une cle et un certificat obtenu a partir de son identifiant de connexion, afin de debloquer ('utilisation de la cle et du certificat ; - calculer par l'application d'authentification du smartphone un 20 cryptogramme a partir du challenge regu du serveur d'authentification et de la cle obtenue du support externe ; - transmettre par le smartphone le cryptogramme calcule ainsi que le certificat de l'utilisateur au serveur d'authentification. - verifier a l'aide du serveur d'authentification le cryptogramme recu du 25 smartphone a l'aide du challenge transmis et du certificat d'authentification de l'utilisateur ; - si la verification est positive, l'utilisateur est authentifie et son acces aux services de l'application WEB est accord& 30 2 - Procede selon la revendication 1, caracterise en ce que le support externe securise est une carte a puce ou une cle USB propre a l'utilisateur. 8 3 - Procede selon I'une quelconque des revendications precedentes, caracterise en ce que ledit support externe securise est configure pour communiquer avec le smartphone en mode sans contact. 5 4 - Procede selon la revendication 3, caracterise en ce que ledit support externe securise utilise un protocole de communication de type NFC ou Bluetooth. 10