Sélection de la langue

Government of Canada / Gouvernement du Canada

Identification et authentification

Précédent

Sur cette page

 

Les contrôles et les activités dans la famille d’identification et d’authentification (IA) appuient l’identification unique des utilisatrices et utilisateurs, des processus agissant au nom des utilisatrices et utilisateurs et des dispositifs. Ils appuient également l’authentification ou la vérification des identités des utilisatrices et utilisateurs, des processus et des dispositifs comme condition préalable pour accorder l’accès aux systèmes organisationnels.

IA-01 Politique et procédures d’identification et d’authentification

Activité

  1. Développer, documenter et diffuser à [Affectation : personnel ou rôles définis par l’organisation]
    1. une politique d’identification et d’authentification [Sélection (un choix ou plus) : au niveau organisationnel; au niveau du processus lié à une mission ou à une activité; au niveau du système] qui
      1. définit l’objectif, la portée, les rôles, les responsabilités, l’engagement de la direction, la coordination entre les entités organisationnelles et la conformité
      2. est conforme aux lois, à la jurisprudence, aux décrets, aux directives, à la réglementation, aux politiques, aux normes et aux lignes directrices applicables
    2. des procédures pour faciliter la mise en œuvre de la politique d’identification et d’authentification ainsi que des contrôles d’identification et d’authentification
  2. Désigner une ou un [Affectation : responsable désigné par l’organisation] pour gérer l’élaboration, la documentation et la diffusion de la politique et des procédures d’identification et d’authentification
  3. Passer en revue et mettre à jour, par rapport à l’identification et l’authentification,
    1. la politique actuelle [Affectation : fréquence définie par l’organisation] ou à la suite de [Affectation : événements définis par l’organisation]
    2. les procédures [Affectation : fréquence définie par l’organisation] ou à la suite de [Affectation : événements définis par l’organisation]

Discussion

La politique et les procédures d’identification et d’authentification abordent les contrôles de la famille IA qui ont été mis en œuvre dans les systèmes et les organisations. La politique de gestion des risques est un facteur important dans l’établissement des telles politiques et procédures. Les politiques et les procédures contribuent à l’assurance de la sécurité et de la protection de la vie privée. Par conséquent, il est important que les programmes de sécurité et de protection de la vie privée collaborent à l’élaboration de la politique et des procédures d’identification et d’authentification.

En règle générale, les politiques et les procédures liées au programme de sécurité et de protection de la vie privée au niveau organisationnel sont préférables et peuvent éliminer le besoin pour des politiques et des procédures propres à la mission ou au système. La politique peut être intégrée à la politique générale de sécurité et de protection de la vie privée ou, inversement, elle peut être représentée par de multiples politiques tenant compte de la nature complexe de certaines organisations.

Les procédures peuvent être établies pour les programmes de sécurité et de protection de la vie privée, pour les processus liés à la mission ou aux activités, et pour les systèmes, le cas échéant. Les procédures décrivent comment les politiques ou les contrôles sont mis en œuvre et peuvent s’appliquer aux personnes ou aux rôles qui font l’objet de la procédure. Les procédures peuvent être documentées dans les plans de sécurité et de protection de la vie privée du système ou dans un ou plusieurs documents distincts.

Les événements qui peuvent précipiter une mise à jour de la politique et des procédures d’identification et d’authentification comprennent les conclusions d’une évaluation ou d’une vérification, des incidents ou violations de sécurité, y compris ceux liés au respect de la vie privée, et des changements apportés aux lois, à la jurisprudence, aux décrets, aux directives, à la réglementation, aux politiques, aux normes et aux lignes directrices applicables. Répéter les contrôles ne constitue pas une politique ou une procédure organisationnelle.

La LPRPDE prévoit une mesure exceptionnelle qui stipule que le nom et les coordonnées des personnes au travail ne sont pas considérés comme étant des renseignements personnels.

Discussion au sein du GC

Dans la LPRP du gouvernement fédéral, les noms ou les coordonnées des personnes au travail sont définis comme étant des renseignements personnels. Par exemple, si des utilisatrices et utilisateurs non organisationnels nécessitent une adresse courriel dans leurs justificatifs d’identité, il s’agira d’une collecte de renseignements personnels avec les contrôles connexes requis.

Contrôles et activités connexes

AC-01, PM-09, PS-08, SI-02 et SI-12.

Améliorations

Aucune.

Références

Haut de la page 
 

IA-02 Identification et authentification (utilisatrices et utilisateurs de l’organisation)

Contrôle

Identifier de façon unique et authentifier les utilisatrices et utilisateurs organisationnels, puis associer cet identifiant unique aux processus agissant en leur nom.

Discussion

Les utilisatrices et utilisateurs organisationnels comprennent les employées, les employés ou les personnes dont le statut est considéré par leur organisation comme étant équivalent à celui d’une employée ou un employé (par exemple, entrepreneures, entrepreneurs et chercheuses et chercheurs invités). L’identification unique et l’authentification des utilisatrices et utilisateurs s’appliquent à tous les accès autres que ceux qui sont explicitement mentionnés dans le contrôle AC-14 et qui s’effectuent dans le cadre de l’utilisation autorisée d’authentifiants de groupe sans nécessiter d’authentification individuelle. Puisque les processus sont exécutés au nom de groupes et de rôles, les organisations peuvent exiger l’identification individuelle de chacune des personnes appartenant à un compte de groupe pour rendre compte en détail des activités qu’elle mène sur le système.

Les organisations utilisent des mots de passe, des authentifiants physiques ou la biométrie pour authentifier les identités d’utilisateur, ou encore une combinaison de ces méthodes pour l’authentification multifacteur (AMF). Les justificatifs d’identité et les authentifiants biométriques peuvent à l’occasion être considérés comme étant des renseignements personnels. Afin de considérer le concept de la nécessité du point de vue de la protection de la vie privée par rapport à sa proportionnalité, les organisations doivent collecter juste assez de renseignements personnels pour garantir une authentification précise.

L’accès aux systèmes organisationnels est soit local, soit réseau. Par accès local, on entend tout accès à des systèmes de l’organisation, par des utilisatrices ou utilisateurs ou par un processus exécuté en leur nom, effectué par l’entremise d’une connexion directe, sans recours à un réseau. L’accès réseau est tout accès aux systèmes organisationnels, par des utilisatrices ou utilisateurs ou un processus exécuté au nom de ces derniers, effectué au moyen de connexions réseau (c’est-à-dire des accès non locaux). L’accès à distance est un type d’accès réseau qui requiert une communication au moyen de réseaux externes. Les réseaux internes incluent les réseaux locaux et les réseaux élargis.

Les RPV chiffrés utilisés pour établir des connexions réseau entre des points terminaux contrôlés par l’organisation et des points terminaux contrôlés par une autre entité peuvent être traités comme des réseaux internes du point de vue de protection de la confidentialité et de l’intégrité de l’information transmise sur ces réseaux. Les exigences d’identification et d’authentification pour des utilisatrices et utilisateurs non organisationnels sont décrites dans le contrôle IA-08.

Discussion au sein du GC

Les organisations peuvent satisfaire les exigences en matière d’identification et d’authentification en se conformant aux exigences établies par le SCT.

Contrôles et activités connexes

AC-02, AC-03, AC-04, AC-14, AC-17, AC-18, AU-01, AU-06, IA-04, IA-05, IA-08, IA-13, MA-04, MA-05, PE-02, PL-04, SA-04 et SA-08.

Améliorations

  • (01) Identification et authentification (utilisatrices et utilisateurs de l’organisation) : AMF robustes pour les comptes privilégiés
    • Appliquer des AMF robustes pour l’accès à des comptes privilégiés.
    • Discussion : L’AMF exige l’utilisation de deux facteurs différents ou plus aux fins d’authentification. Les facteurs d’authentification sont définis comme suit : une information connue (par exemple, un numéro d’identification personnel [NIP]), une possession (par exemple, un authentifiant physique comme une clé cryptographique privée) ou un attribut personnel (par exemple, une authentification biométrique).
      Les solutions d’AMF qui présentent des authentifiants physiques comprennent les authentifiants matériels qui fournissent des sorties à durée limitée ou de type défi-réponse ainsi que des cartes à puce. En plus de permettre l’authentification des utilisatrices et utilisateurs au niveau du système (c’est-à-dire, au moment de l’ouverture de session), les organisations peuvent utiliser des mécanismes d’authentification au niveau de l’application, à leur discrétion, pour accroître la sécurité. Quel que soit le type d’accès (c’est-à-dire, local, réseau, à distance), les comptes privilégiés sont authentifiés au moyen d’options d’authentification multifacteur adéquates pour le niveau de risque. Les organisations peuvent ajouter des mesures de sécurité, comme des mécanismes d’authentification supplémentaires et plus rigoureux pour des types d’accès spécifiques.
    • Discussion au sein du GC : Au sein du GC, les utilisatrices et utilisateurs privilégiés devraient avoir l’AMF de niveau d’assurance 4 (LoA4).
    • Contrôles et activités connexes : AC-05 et AC-06.
  • (02) Identification et authentification (utilisatrices et utilisateurs de l’organisation) : AMF pour comptes non privilégiés
    • Appliquer l’AMF pour l’accès à des comptes non privilégiés.
    • Discussion : L’AMF exige l’utilisation de deux facteurs différents ou plus aux fins d’authentification. Les facteurs d’authentification sont définis comme suit : une information connue (par exemple, un NIP), une possession (par exemple, un authentifiant physique comme une clé cryptographique privée) ou un attribut personnel (par exemple, une authentification biométrique).
      Les solutions d’AMF qui présentent des authentifiants physiques comprennent les authentifiants matériels qui fournissent des sorties à durée limitée ou de type défi-réponse ainsi que des cartes à puce. En plus d’authentifier les utilisatrices et utilisateurs au niveau du système, les organisations peuvent également, à leur discrétion, avoir recours à des mécanismes d’authentification au niveau de l’application pour accroître la sécurité de l’information. Quel que soit le type d’accès (c’est-à-dire, local, réseau, à distance), les comptes non privilégiés sont authentifiés au moyen d’options d’authentification multifacteur adéquates pour le niveau de risque. Les organisations peuvent fournir des mesures de sécurité, comme des mécanismes d’authentification supplémentaires et plus rigoureux pour des types d’accès spécifiques.
    • Discussion au sein du GC : Au sein du GC, les utilisatrices et utilisateurs non-privilégiés devraient avoir au minimum une AMF de niveau d’assurance 3 (LoA3).
    • Contrôles et activités connexes : AC-05.
  • (03) Identification et authentification (utilisatrices et utilisateurs de l’organisation) : Accès local aux comptes privilégiés
    • Annulé : Intégré au contrôle IA-02(01).
  • (04) Identification et authentification (utilisatrices et utilisateurs de l’organisation) : Accès local aux comptes non privilégiés
    • Annulé : Intégré au contrôle IA-02(02).
  • (05) Identification et authentification (utilisatrices et utilisateurs de l’organisation) : Authentification individuelle avec authentification de groupe
    • Lorsque des authentifiants ou des comptes partagés sont utilisés, il faut que les utilisatrices et utilisateurs soient authentifiés individuellement avant d’obtenir l’accès aux ressources ou aux comptes partagés.
    • Discussion : L’authentification individuelle avant l’authentification de groupe a pour effet d’atténuer le risque lié à l’utilisation de comptes de groupe et d’authentifiants.
    • Contrôles et activités connexes : Aucun.
  • (06) Identification et authentification (utilisatrices et utilisateurs de l’organisation) : Accès aux comptes – Dispositif distinct
    • Mettre en œuvre l’AMF pour l’accès [Sélection (un choix ou plus) : local; réseau; à distance] aux [Sélection (un choix ou plus) : comptes privilégiés; comptes non privilégiés] de façon à ce que
      1. l’un des facteurs soit fourni par un dispositif distinct du système qui obtient un accès
      2. le dispositif satisfasse [Affectation : exigences de la force du mécanisme définies par l’organisation]
    • Discussion : Il est possible de réduire la probabilité de compromission des justificatifs d’authentification stockés sur le système auquel l’utilisatrice ou utilisateur accède en exigeant l’utilisation, pour un des facteurs lors d’une authentification multifactorielle, d’un dispositif distinct du système.
      Les adversaires peuvent avoir des exploits axés sur les dispositifs d’extrémité qui leur permettent de compromettre de tels secrets et par la suite d’usurper l’identité d’utilisatrices et utilisateurs autorisés. Appliquer l’un de ces facteurs sur un dispositif distinct (par exemple, un jeton d’authentification matériel), ajoute des éléments matériels qui renforcent le mécanisme et un niveau d’assurance accru au processus d’authentification en demandant aux exploits hétérogènes de compromettre simultanément les secrets traités par le dispositif d’extrémité et par le dispositif distinct.
      À l’occasion, l’utilisation d’un dispositif distinct peut impliquer la collecte de renseignements personnels comme la biométrie. Afin de considérer le concept de la nécessité du point de vue de la protection de la vie privée par rapport à sa proportionnalité, les organisations doivent collecter juste assez de renseignements personnels pour garantir une authentification précise.
    • Contrôles et activités connexes : AC-06.
  • (07) Identification et authentification (utilisatrices et utilisateurs de l’organisation) : Accès réseau aux comptes non privilégiés – Dispositif distinct
    • Annulé : Intégré au contrôle IA-02(06).
  • (08) Identification et authentification (utilisatrices et utilisateurs de l’organisation) : Accès aux comptes − Résistant à la réinsertion
    • Mettre en œuvre des mécanismes d’authentification résistant à la réinsertion pour l’accès aux [Sélection (un choix ou plus) : comptes privilégiés; comptes non privilégiés].
    • Discussion : Les processus d’authentification résistent aux attaques par réinsertion lorsqu’il n’est pas pratique de réaliser une authentification réussie en réinsérant un message d’authentification antérieur. Les techniques résistant à la réinsertion incluent les protocoles qui utilisent des nonces ou des défis, comme des authentifiants à usage unique synchrones ou cryptographiques.
    • Contrôles et activités connexes : Aucun.
  • (09) Identification et authentification (utilisatrices et utilisateurs de l’organisation) : Accès réseau aux comptes non-privilégiés – Résistant à la réinsertion
    • Annulé : Intégré au contrôle IA-02(08).
  • (10) Identification et authentification (utilisatrices et utilisateurs de l’organisation) : Authentification unique
    • Offrir une fonctionnalité d’authentification unique des [Affectation : services et comptes du système définis par l’organisation].
    • Discussion : L’authentification unique permet aux utilisatrices et utilisateurs d’ouvrir une session une seule fois et d’accéder à multiples ressources du système. Les organisations doivent évaluer l’efficacité opérationnelle offerte par la fonctionnalité d’authentification unique ainsi que l’augmentation du risque en accordant l’accès à plusieurs systèmes par un événement d’authentification unique. L’authentification unique peut présenter des occasions de renforcer la sécurité du système, par exemple en offrant la capacité d’ajouter l’AMF aux applications et aux systèmes (existants et nouveaux) qui pourraient ne pas être en mesure de prendre en charge nativement l’AMF.
    • Contrôles et activités connexes : Aucun.
  • (11) Identification et authentification (utilisatrices et utilisateurs de l’organisation) : Accès à distance – Dispositif distinct
    • Annulé : Intégré au contrôle IA-02(06).
  • (12) Identification et authentification (utilisatrices et utilisateurs de l’organisation) : Utilisation de jeton matériel du GC basé sur des justificatifs d’identité d’infrastructure à clé publique (ICP)
    • Accepter et vérifier électroniquement le jeton matériel du GC basé sur des justificatifs d’identité d’ICP.
    • Discussion : Aucune.
    • Discussion au sein du GC : Il est recommandé d’appliquer le jeton matériel du GC basé sur des justificatifs d’identité d’ICP aux organisations qui mettent en œuvre des systèmes de contrôle d’accès logique et de contrôle d’accès physique. À l’occasion, ces justificatifs d’identité peuvent contenir des renseignements personnels. Afin de considérer le concept de la nécessité du point de vue de la protection de la vie privée par rapport à sa proportionnalité, les organisations doivent collecter juste assez de renseignements personnels pour garantir une authentification précise.
    • Contrôles et activités connexes : Aucun.
  • (13) Identification et authentification (utilisatrices et utilisateurs de l’organisation) : Authentification hors bande
    • Mettre en œuvre les mécanismes d’authentification hors bande suivants en vertu des [Affectation : conditions définies par l’organisation] : [Affectation : authentification hors bande définie par l’organisation].
    • Discussion : Par authentification hors bande, on entend l’utilisation de deux chemins de communication distincts pour identifier et authentifier les utilisatrices et utilisateurs ou les dispositifs auprès d’un système d’information. Le premier chemin (c’est-à-dire le chemin en bande) sert à identifier et authentifier les utilisatrices et utilisateurs ou les dispositifs, et est généralement le chemin par lequel est transmise l’information. Le deuxième chemin (c’est-à-dire le chemin hors bande) sert à vérifier l’authentification de manière indépendante et à demander une action.
      Par exemple, une utilisatrice ou un utilisateur est authentifié au moyen d’un ordinateur portatif auprès d’un serveur à distance auquel l’utilisateur veut accéder et auquel il transmet une demande d’action en employant le même chemin de communication. Le serveur communique ensuite avec l’utilisatrice ou utilisateur au moyen de son téléphone cellulaire afin de confirmer que l’action demandée provenait de l’utilisateur. L’utilisatrice ou utilisateur peut confirmer l’action demandée directement à la personne l’ayant appelé, ou il peut fournir un code d’authentification au téléphone.
      Ce type d’authentification hors bande peut être utilisé pour atténuer les attaques par interception réelles ou soupçonnées. Les conditions ou critères d’activation peuvent inclure des activités suspectes, de nouveaux indicateurs de menace, des niveaux de menace élevés, l’incidence d’une divulgation ou le niveau de classification de l’information transmise par les transactions.
    • Contrôles et activités connexes : IA-10, IA-11 et SC-37.
  • (400) Identification et authentification (utilisatrices et utilisateurs de l’organisation) : AMF pour accès à distance aux comptes privilégiés
    • Annulé : Intégré au contrôle IA-02(01) et IA-02(06).

Références

Haut de la page 
 

IA-03 Identification et authentification des dispositifs

Contrôle

Identifier et authentifier, de manière unique [Affectation : dispositifs ou types de dispositifs définis par l’organisation] avant d’établir une connexion [Sélection (un choix ou plus) : locale; à distance; réseau].

Discussion

Les dispositifs qui exigent une identification et une authentification dispositif à dispositif unique sont définis en fonction du type, du dispositif ou d’une combinaison des deux. Les types de dispositifs définis par l’organisation incluent les dispositifs qui n’appartiennent pas à l’organisation. Les systèmes utilisent de l’information connue partagée (par exemple, des adresses MAC ou Transmission Control Protocol/Internet Protocol [TCP/IP]) pour l’identification des dispositifs ou encore des solutions d’authentification organisationnelles (par exemple, les protocoles Institute of Electrical and Electronics Engineers [IEEE] 802.1x et Extensible Authentication Protocol [EAP], un serveur RADIUS avec l’authentification EAP-TLS ou Kerberos) pour identifier et authentifier les dispositifs sur les réseaux locaux et étendus.

Les organisations déterminent la robustesse requise des mécanismes d’authentification en fonction des catégories de sécurité des systèmes et des exigences liées à la mission et aux activités. Compte tenu des défis posés par la mise en œuvre à grande échelle de l’authentification des dispositifs, les organisations peuvent restreindre l’application du contrôle à un nombre limité ou à un type de dispositifs selon les besoins liés à la mission ou aux activités.

Contrôles et activités connexes

AC-17, AC-18, AC-19, AU-06, CA-03, CA-09, IA-04, IA-05, IA-09, IA-11, IA-13 et SI-04.

Améliorations

  • (01) Identification et authentification des dispositifs : Authentification bidirectionnelle cryptographique
    • Authentifier [Affectation : dispositifs ou types de dispositifs définis par l’organisation] avant d’établir une connexion [Sélection (un choix ou plus) : locale; à distance; réseau] utilisant l’authentification bidirectionnelle reposant sur la cryptographie.
    • Discussion : Une connexion locale est toute connexion à un dispositif communiquant sans utiliser de réseau. Une connexion réseau est toute connexion à un dispositif communiquant par un réseau. Une connexion distante est toute connexion effectuée à un appareil communiquant au moyen d’un réseau externe. L’authentification bidirectionnelle offre des mesures de protection plus robustes afin de valider l’identité d’autres dispositifs pour les connexions comportant un risque plus élevé.
    • Contrôles et activités connexes : SC-08, SC-12 et SC-13.
  • (02) Identification et authentification des dispositifs : Authentification réseau bidirectionnelle cryptographique
    • Annulé : Intégré au contrôle IA-03(01).
  • (03) Identification et authentification des dispositifs : Attribution dynamique des adresses
      1. Où les adresses sont attribuées de manière dynamique, l’information de location de l’attribution dynamique des adresses ainsi que la durée de la location attribuée aux dispositifs conformément à [Affectation : information sur la location et durée de la location définies par l’organisation].
      2. Vérifier l’information de location lorsqu’elle est attribuée à un dispositif.
    • Discussion : Le protocole DHCP (Dynamic Host Configuration Protocol) est un exemple de moyen par lequel la clientèle peut recevoir de manière dynamique des attributions d’adresses réseau.
    • Contrôles et activités connexes : AU-02.
  • (04) Identification et authentification des dispositifs : Attestation de dispositifs
    • Traiter l’identification et l’authentification des dispositifs conformément à une attestation au moyen [Affectation : processus de gestion des configurations défini par l’organisation].
    • Discussion : L’attestation des dispositifs signifie l’identification et l’authentification d’un dispositif en fonction de sa configuration et de son état d’exploitation connu. Cette attestation peut être déterminée au moyen d’un hachage cryptographique du dispositif. Si l’attestation d’un dispositif est le mode d’identification et d’authentification, il est important d’appliquer les correctifs et d’effectuer les mises à niveau du dispositif au moyen d’un processus de gestion des configurations pour assurer que l’application de correctifs et les mises à niveau soient effectuées de manière sûre et sans perturber l’identification et l’authentification des autres dispositifs.
    • Contrôles et activités connexes : CM-02, CM-03 et CM-06.

Références

Aucune.

Haut de la page 
 

IA-04 Gestion des identifiants

Contrôle

Gérer les identifiants de système des façons suivantes

  1. recevoir une autorisation de [Affectation : personnel ou rôles de l’organisation] pour attribuer un identifiant à une personne, à un groupe, à un rôle, à un service ou à un dispositif
  2. sélectionner et déterminer un identifiant qui identifie une personne, un groupe, un rôle, un service ou un dispositif
  3. attribuer l’identifiant à la personne, au groupe, au rôle, au service ou au dispositif prévu
  4. prévenir la réutilisation d’identifiant pendant [Affectation : délai défini par l’organisation]

Discussion

Les identifiants de dispositif courants comprennent les adresses MAC ou IP, ou les identifiants à jeton unique. La gestion des identifiants de personnes ne s’applique pas aux comptes de systèmes partagés. En règle générale, les identifiants de personnes correspondent aux noms d’utilisateur des comptes de système qui leur ont été attribués. Dans une telle situation, les activités de gestion de compte du contrôle AC-2 utilisent les noms de comptes fournis par le contrôle IA-04.

La gestion des identifiants porte également sur les identifiants de personnes qui ne sont pas nécessairement associés aux comptes du système. Le fait de prévenir la réutilisation d’identifiant empêche d’attribuer à une autre entité des identifiants utilisés précédemment par une personne, un groupe, un rôle, un service ou un dispositif. À l’occasion, la gestion des identifiants peut exiger la collecte de renseignements personnels. Afin de considérer le concept de la nécessité du point de vue de la protection de la vie privée par rapport à sa proportionnalité, les organisations doivent collecter juste assez de renseignements personnels pour garantir une authentification précise.

Contrôles et activités connexes

AC-05, IA-02, IA-03, IA-05, IA-08, IA-09, IA-12, MA-04, PE-02, PE-03, PE-04, PL-04, PM-12, PS-03, PS-04, PS-05 et SC-37.

Améliorations

  • (01) Gestion des identifiants : Interdire l’utilisation d’identifiants de compte en tant qu’identifiants publics
    • Interdire l’utilisation d’identifiants de compte du système qui sont les mêmes que les identifiants publics pour les comptes individuels.
    • Discussion : L’interdiction d’utiliser des identifiants de compte comme identifiants publics s’applique à tout identifiant de compte divulgué publiquement utilisé pour les communications, comme les courriels ou la messagerie instantanée. L’interdiction d’utiliser des identifiants de compte pour les systèmes pareils à certains identifiants publics tels que les sections d’identifiants personnels des adresses de courriel rend plus difficile pour les adversaires de deviner les identifiants des utilisatrices et utilisateurs. L’interdiction d’utiliser des identifiants de compte comme identifiants publics sans la mise en œuvre d’autres contrôles associés ne fait que compliquer la façon de deviner les identifiants. Des protections supplémentaires sont nécessaires pour que les authentifiants et les justificatifs d’identité protègent le compte.
    • Contrôles et activités connexes : AT-02 et PT-07.
  • (02) Gestion des identifiants : Autorisation de superviseure ou superviseur
    • Annulé : Intégré au contrôle IA-12(01).
  • (03) Gestion des identifiants : Multiples formes de certification
    • Annulé : Intégré au contrôle IA-12(02).
  • (04) Gestion des identifiants : Établissement du statut d’une utilisatrice ou d’un utilisateur
    • Gérer les identifiants personnels en identifiant de façon unique chaque personne à titre de [Affectation : caractéristique définie par l’organisation identifiant le statut de la personne].
    • Discussion : Les caractéristiques qui identifient le statut d’une personne comprennent les utilisatrices et utilisateurs entrepreneurs, de nationalité étrangère et non organisationnels. L’identification du statut d’une personne au moyen de ces caractéristiques offre des renseignements à propos des personnes avec lesquelles le personnel de l’organisation communique.
    • Discussion au sein du GC : Il pourrait, par exemple, être utile pour une ou un fonctionnaire de savoir qu’un des destinataires d’un courriel est une entrepreneure ou un entrepreneur. Ceci est généralement utilisé avec les systèmes de sécurité nationale.
    • Contrôles et activités connexes : Aucun.
  • (05) Gestion des identifiants : Gestion dynamique
    • Gérer de manière dynamique les identifiants conformément à la [Affectation : stratégie sur les identifiants dynamiques définie par l’organisation].
    • Discussion : Contrairement aux approches conventionnelles d’identification qui supposent des comptes statiques pour les utilisatrices et utilisateurs préenregistrés, plusieurs systèmes distribués établissent les identifiants en temps réel des entités inconnues. Lorsque les identifiants sont établis en temps réel dans le cas des entités jusque-là inconnues, les organisations prévoient l’établissement dynamique d’identifiants. Il est essentiel de pouvoir compter sur des relations de confiance préétablies et des mécanismes dotés de pouvoirs appropriés pour valider les justificatifs d’identité et identifiants connexes.
    • Contrôles et activités connexes : AC-16.
  • (06) Gestion des identifiants : Gestion interorganisationnelle
    • Collaborer avec les organisations externes suivantes pour la gestion interorganisationnelle des identifiants : [Affectation : organisations externes désignées par l’organisation].
    • Discussion : La gestion interorganisationnelle d’identificateurs permet d’identifier des personnes, des groupes, des rôles ou des dispositifs lorsqu’elles mènent des activités interorganisationnelles concernant le traitement, le stockage ou la transmission d’informations.
    • Discussion au sein du GC : S’il est nécessaire d’échanger des renseignements personnels (comme des identifiants) pour assurer la gestion interorganisationnelle – par exemple, lors d’une enquête de sécurité – il convient d’accorder une attention particulière à la mise en place d’un accord sur l’échange d’information ou de documents contractuels conçus pour protéger les identifiants personnels.
    • Contrôles et activités connexes : AU-16, IA-02 et IA-05.
  • (07) Gestion des identifiants : Inscription en personne
    • Annulé : Intégré au contrôle IA-12(04).
  • (08) Gestion des identifiants : Identifiants pseudonymes par paires
    • Générer des identifiants pseudonymes par paires.
    • Discussion : Un identifiant pseudonyme par paires est un identifiant d’abonnée ou abonné impossible à trouver qui est généré par un fournisseur d’identité pour utilisation par une partie de confiance. Générer des identifiants pseudonymes distincts par paires sans information d’identification concernant une abonnée ou un abonné peut décourager le suivi et le profilage de l’activité de l’abonnée ou abonné au-delà des exigences opérationnelles établies par une organisation. Les identifiants pseudonymes par paires sont uniques en soi par rapport à chaque partie de confiance sauf dans les situations où les parties de confiance peuvent démontrer un lien tangible justifiant un besoin opérationnel de corrélation, ou dans les situations où toutes les parties consentent à être mises en corrélation de cette manière.
    • Contrôles et activités connexes : IA-05.
  • (09) Gestion des identifiants : Maintenance et protection d’attributs
    • Maintenir les attributs de chaque personne, dispositif ou service identifié de manière unique dans [Affectation : stockage central protégé défini par l’organisation].
    • Discussion : Pour chacune des entités couvertes dans les contrôles IA-02, IA-03, IA-08 et IA-09, il est important de maintenir en permanence les attributs pour chacune des entités authentifiées dans un magasin central (protégé).
    • Contrôles et activités connexes : Aucun.
  • (400) Gestion des identifiants : Protection de la biométrie
    • Maintenir une protection adéquate pour la biométrie conformément aux règlements sur la protection des renseignements personnels.
    • Discussion : Les renseignements recueillis au sujet de la personne aux fins d’authentification peuvent constituer des renseignements personnels; un niveau de protection convenable doit donc être appliqué. Dans les cas où la biométrie est conservée sous forme de renseignements personnels identifiables et n’a pas de valeur de hachage, il est important de les protéger conformément aux règlements sur la protection des renseignements personnels. Il n’est pas recommandé de garder les données biométriques sous une forme permettant d’identifier la personne à des fins d’identification.
    • Contrôles et activités connexes : Aucun.
  • (401) Gestion des identifiants : Intégrité de la biométrie
    • Assurer l’intégrité de la biométrie recueillie.
    • Discussion : Aucune.
    • Discussion au sein du GC : La LPRP du gouvernement fédéral exige que les organisations soient tenues de veiller, dans la mesure du possible, à ce que les renseignements personnels qu’elles utilisent à des fins administratives soient à jour, exacts et complets.
    • Contrôles et activités connexes : Aucun.

Références

Haut de la page 
 

IA-05 Gestion des authentifiants

Contrôle

Gérer les authentifiants de système des façons suivantes

  1. vérifier, au moment de la distribution initiale d’un authentifiant, l’identité de l’utilisatrice ou utilisateur, du groupe, du rôle, du service ou du dispositif recevant l’authentifiant
  2. établir le contenu de l’authentifiant initial pour les authentifiants émis par l’organisation
  3. s’assurer que le mécanisme d’authentification est suffisamment robuste pour l’utilisation prévue
  4. établir et mettre en œuvre des procédures administratives pour la distribution initiale des authentifiants en cas de perte, de compromission, de corruption et de révocation
  5. changer les authentifiants par défaut lors de la première utilisation
  6. modifier ou actualiser les authentifiants [Affectation : durée définie par l’organisation selon le type d’authentifiant] ou quand [Affectation : événements définis par l’organisation]] se produisent
  7. protéger le contenu des authentifiants contre les divulgations ou les modifications non autorisées
  8. exiger que les personnes et les dispositifs appliquent des contrôles particuliers de manière à protéger les authentifiants
  9. modifier les authentifiants pour les comptes de groupes ou de rôles lorsque des changements sont apportés à leurs membres

Discussion

Les authentifiants comprennent les mots de passe, les dispositifs de chiffrement, la biométrie, les certificats, les dispositifs avec mot de passe à usage unique et les cartes d’identité. Les authentifiants de dispositif comprennent les certificats et les mots de passe. Le contenu de l’authentifiant initial correspond au contenu réel de l’authentifiant (par exemple, le mot de passe initial). Comparativement, les exigences pour le contenu de l’authentifiant contiennent des caractéristiques ou critères particuliers (par exemple, longueur minimale des mots de passe).

Les développeuses et développeurs peuvent livrer des composants de systèmes avec les justificatifs d’authentification (c’est-à-dire les mots de passe) pour l’installation et la configuration initiales. Les justificatifs d’authentification par défaut sont souvent bien connus, faciles à découvrir et présentent un risque important. Les exigences de protection des authentifiants de personnes peuvent être appliquées par les contrôles PL-04 ou PS-06 pour les authentifiants qui se trouvent dans la possession de personnes et par les contrôles AC-03, AC-06 et SC-28 pour ceux qui sont stockés dans les systèmes organisationnels, comme des mots de passe stockés sous forme hachée ou chiffrée, ou des fichiers contenant des mots de passe hachés ou chiffrés accessibles à l’aide de privilèges d’administrateurs.

Les systèmes prennent en charge la gestion des authentifiants de personnes en fonction des paramètres et des restrictions définis par l’organisation pour différentes caractéristiques d’authentifiants (par exemple, la longueur minimale des mots de passe, la fenêtre de validation des jetons à utilisation unique et le nombre de rejets permis durant le stade de vérification d’une authentification biométrique). Il est possible de mettre en œuvre des mesures pour protéger les authentifiants individuels, y compris garder les authentifiants en sa possession, ne pas les partager avec d’autres personnes et signaler immédiatement leur perte, leur vol ou leur compromission. La gestion des authentifiants comprend l’émission et la révocation des authentifiants pour un accès temporaire, qui ne sera plus nécessaire par la suite.

Contrôles et activités connexes

AC-03, AC-06, CM-06, IA-02, IA-04, IA-07, IA-08, IA-09, MA-04, PE-02, PL-04, SC-12 et SC-13.

Améliorations

  • (01) Gestion des authentifiants : Authentification basée sur mot de passe
    • Pour l’authentification basée sur mot de passe
      1. créer une liste des mots de passe couramment utilisés, attendus ou compromis et la mettre à jour tous les [Affectation : fréquence définie par l’organisation] et lorsque l’on soupçonne que les mots de passe de l’organisation ont été compromis, directement ou indirectement
      2. lorsque les utilisatrices et utilisateurs créent ou mettent à jour des mots de passe, vérifier que les mots de passe ne figurent pas sur la liste des mots de passe couramment utilisés, attendus ou compromis figurant au contrôle IA-05(01)a
      3. transmettre les mots de passe uniquement par des canaux protégés par chiffrement
      4. stocker les mots de passe au moyen de la fonction de dérivation de clé avec sel, de préférence avec hachage de clé
      5. exiger la sélection immédiate d’un mot de passe dès la récupération du compte
      6. autoriser les utilisatrices et utilisateurs à choisir de longs mots de passe et phrases de passe, y compris les espaces et les caractères imprimables
      7. utiliser des outils automatisés pour aider l’utilisatrice ou utilisateur à sélectionner des authentifiants de mots de passe robustes
      8. appliquer les règles de composition et de complexité suivantes : [Affectation : règles de composition et de complexité définies par l’organisation]
    • Discussion : L’authentification basée sur mot de passe s’applique aux mots de passe, peu importe qu’ils soient utilisés pour l’authentification à un seul facteur ou multifacteur. Les longs mots de passe ou les phrases de passe sont préférables à des mots de passe courts. L’application de règles de composition offre certains avantages pour la sécurité, mais réduit l’utilisabilité. Les organisations peuvent choisir d’établir certaines règles pour la génération de mots de passe (par exemple, le nombre minimal de caractères pour les longs mots de passe) dans certaines circonstances et d’appliquer cette exigence au contrôle IA-05(01)h.
      Par exemple, un mot de passe oublié peut mener à une récupération de compte. Des mots de passe protégés par chiffrement comprennent le hachage cryptographique unidirectionnel salé des mots de passe. La liste des mots de passe couramment utilisés, compromis ou attendus comprend les mots de passe provenant des corpus de violations précédentes, les mots du dictionnaire et les caractères répétitifs ou séquentiels. Cette liste comprend des mots s’appliquant au contexte, comme le nom du service, le nom de l’utilisateur et des dérivations de ces éléments.
      Les questions liées à la récupération demandent souvent aux utilisatrices et utilisateurs de fournir des renseignements personnels. Afin de considérer le concept de la nécessité du point de vue de la protection de la vie privée par rapport à sa proportionnalité, les organisations doivent collecter juste assez de renseignements personnels pour garantir une authentification précise. Le recours à des jetons de connaissance n’est pas recommandé pour la récupération d’un compte.
    • Contrôles et activités connexes : IA-06.
  • (02) Gestion des authentifiants : Authentification basée sur clé publique
      1. Pour une authentification basée sur clé publique
        1. appliquer la procédure d’accès autorisé à la clé privée correspondante
        2. associer l’identité authentifiée au compte d’une personne ou d’un groupe
      2. Lorsque l’ICP est utilisée
        1. valider les certificats en créant un chemin de certification avec l’information d’état vers un point d’ancrage de confiance autorisé, y compris la vérification de l’information d’état des certificats
        2. utiliser une mémoire cache locale de données de révocation afin de prendre en charge la découverte et la validation de chemins
    • Discussion : La cryptographie à clé publique est un mécanisme d’authentification valide pour les personnes, les machines et les dispositifs. Pour ce qui est des solutions d’ICP, l’information d’état pour les chemins de certification comprend les listes de certificats révoqués ou les réponses du protocole d’état de certificat. Utiliser une mémoire cache locale de données de révocation afin de prendre en charge la découverte et la validation de chemins soutient également la disponibilité du système dans des situations où les organisations ne sont pas en mesure d’avoir accès à l’information révoquée par le réseau.
    • Contrôles et activités connexes : IA-03 et SC-17.
  • (03) Gestion des authentifiants : Enregistrement par tierce partie externe de confiance
    • Annulé : Intégré au contrôle IA-12(04).
  • (04) Gestion des authentifiants : Soutien automatisé aux fins de détermination de la robustesse du mot de passe
    • Annulé : Intégré au contrôle IA-05(01).
  • (05) Gestion des authentifiants : Changement des authentifiants avant la livraison
    • Exiger des développeuses et développeurs ou des installatrices et installateurs des fabricants des composants de système qu’ils fournissent des authentifiants uniques ou qu’ils changent les authentifiants par défaut avant la livraison ou l’installation.
    • Discussion : Changer les authentifiants par défaut avant la livraison ou l’installation des composants de système élargit l’exigence selon laquelle les organisations doivent modifier les authentifiants par défaut au moment de l’installation du système en exigeant des développeuses et développeurs et des installatrices et installateurs qu’ils fournissent des authentifiants uniques ou qu’ils modifient les authentifiants par défaut des composants du système avant leur livraison et installation. Toutefois, cela ne s’applique pas généralement aux développeuses et développeurs de produits commerciaux sur étagère de sécurité des TI. L’exigence concernant les authentifiants uniques peut être ajoutée aux documents d’acquisition préparés par les organisations au moment de l’acquisition de systèmes ou de composants de ceux-ci.
    • Contrôles et activités connexes : Aucun.
  • (06) Gestion des authentifiants : Protection des authentifiants
    • Protéger les authentifiants au niveau de sécurité qui correspond à la catégorie de sécurité de l’information à laquelle l’authentifiant permet l’accès.
    • Discussion : Les authentifiants permettant l’accès aux systèmes sont protégés au niveau de sécurité de la catégorie de classification de sécurité de l’information la plus élevée dans les systèmes contenant plusieurs catégories de sécurité de l’information sans séparation fiable physique ou logique entre celles-ci. Les catégories de sécurité de l’information sont déterminées dans le cadre du processus de catégorisation de la sécurité.
    • Contrôles et activités connexes : RA-02.
  • (07) Gestion des authentifiants : Aucun authentifiant statique intégré non chiffré
    • S’assurer que les authentifiants statiques non chiffrés ne sont pas intégrés dans les applications ou autres formes de stockage statique.
    • Discussion : Outre les applications, d’autres formes de stockage statique comprennent des scripts d’accès et des touches de fonction. Les organisations doivent prendre soin de déterminer si les authentifiants intégrés ou stockés sont chiffrés ou non. Si les authentifiants sont utilisés de la manière qu’ils sont stockés, l’on considère que les représentations sont des authentifiants non chiffrés.
    • Contrôles et activités connexes : Aucun.
  • (08) Gestion des authentifiants : Comptes multiples des systèmes
    • Mettre en œuvre [Affectation : contrôles de sécurité définis par l’organisation] pour gérer le risque de compromission que posent les utilisatrices et utilisateurs qui possèdent des comptes dans plusieurs systèmes.
    • Discussion : Si les utilisatrices et utilisateurs ont des comptes dans plusieurs systèmes et utilisent les mêmes authentifiants, la compromission d’un compte pourrait mener à la compromission des autres comptes. D’autres approches comprennent l’utilisation de différents authentifiants sur chaque système (mots de passe), l’utilisation d’un mécanisme quelconque d’authentification unique ou l’utilisation de mots de passe à usage unique sur tous les systèmes. Les organisations peuvent aussi utiliser des règles de comportement (voir le contrôle PL-04) et des ententes d’accès (voir le contrôle PS-06) pour atténuer le risque lié aux comptes multiples des systèmes.
    • Contrôles et activités connexes : PS-06.
  • (09) Gestion des authentifiants : Gestion des justificatifs d’identité fédérés
    • Utiliser les organisations externes suivantes pour fédérer les justificatifs d’identité : [Affectation : organisations externes désignées par l’organisation].
    • Discussion : La fédération donne aux organisations la capacité d’authentifier des personnes et des dispositifs lorsqu’elles mènent des activités interorganisationnelles concernant le traitement, le stockage ou la transmission d’informations. Utiliser une liste particulière d’organisations externes approuvées pour l’authentification permet de s’assurer que ces organisations ont été vérifiées et sont de confiance.
    • Contrôles et activités connexes : AU-07 et AU-16.
  • (10) Gestion des authentifiants : Liaison dynamique des justificatifs d’identité
    • Lier les identités et les authentifiants de manière dynamique au moyen des règles suivantes : [Affectation : règles de liaison définies par l’organisation].
    • Discussion : L’authentification exige une liaison quelconque entre une identité et l’authentifiant utilisé pour confirmer l’identité. Dans les approches classiques, la liaison est établie en fournissant au préalable l’identité et l’authentifiant au système. La liaison entre un nom d’utilisateur (c’est-à-dire l’identité) et un mot de passe (c’est-à-dire l’authentifiant), par exemple, est réalisée en fournissant l’identité et l’authentifiant au système comme une paire.
      Les nouvelles techniques d’authentification permettent d’établir la liaison entre l’identité et l’authentifiant à l’extérieur du système. Par exemple, l’identité et l’authentifiant des justificatifs de cartes à puce sont liés sur la carte à puce. Les systèmes peuvent se servir de ces justificatifs pour authentifier les identités qui n’ont pas été fournies au préalable, et fournir l’identité de manière dynamique après l’authentification. Dans ces situations, les organisations peuvent anticiper la fourniture dynamique d’identités. Il est essentiel de pouvoir compter sur des relations de confiance préétablies et des mécanismes dotés de pouvoirs appropriés pour valider les identités et justificatifs connexes.
    • Contrôles et activités connexes : AU-16 et IA-05.
  • (11) Gestion des authentifiants : Authentification basée sur un jeton matériel
    • Annulé : Intégré au contrôle IA-02(01) et IA-02(02).
  • (12) Gestion des authentifiants : Rendement de l’authentification biométrique
    • Pour l’authentification fondée sur la biométrie, utiliser des mécanismes qui répondent [Affectation : exigences en matière de qualité de la biométrie définies par l’organisation].
    • Discussion : Contrairement à l’authentification fondée sur les mots de passe, laquelle repose sur la correspondance exacte entre les mots de passe entrés par les utilisateurs et les mots de passe stockés, la correspondance exacte ne figure pas dans l’authentification par biométrie. Dépendant du type de biométrie et du mécanisme de collecte, il peut y avoir certaines différences entre les données biométriques présentées et les données biométriques stockées aux fins de comparaison. La mise en correspondance du rendement correspond au taux auquel un algorithme biométrique donne lieu à une correspondance exacte pour une utilisatrice ou un utilisateur véritable, et au rejet des autres utilisatrices et utilisateurs. Les exigences en matière de rendement biométrique comprennent le taux de correspondance, lequel reflète la précision de l’algorithme de correspondance biométrique utilisé par un système.
    • Discussion au sein du GC : La LPRP du gouvernement fédéral exige que les organisations soient tenues de veiller, dans la mesure du possible, à ce que les renseignements personnels utilisés à des fins administratives soient à jour, exacts et complets.
    • Contrôles et activités connexes : AC-07.
  • (13) Gestion des authentifiants : Expiration d’authentifiants en mémoire cache
    • Interdire l’utilisation d’authentifiants en mémoire cache après [Affectation : délais définis par l’organisation].
    • Discussion : Les authentifiants en mémoire cache sont utilisés pour l’authentification dans une machine locale lorsque le réseau n’est pas disponible. Si l’information d’authentification en mémoire cache est périmée, la validité de l’information d’authentification peut être mise en doute.
    • Contrôles et activités connexes : Aucun.
  • (14) (14) Gestion des authentifiants : Gestion du contenu des magasins de confiance d’ICP
    • Pour l’authentification fondée sur l’ICP, utiliser une méthodologie de gestion du contenu des magasins de confiance d’ICP installés sur toutes les plateformes, y compris les réseaux, les systèmes d’exploitation, les navigateurs et les applications.
    • Discussion : Une méthodologie de gestion du contenu des magasins de confiance d’ICP aide à améliorer l’exactitude et l’actualité des justificatifs d’identité pour l’authentification fondée sur l’ICP dans l’ensemble de l’organisation.
    • Contrôles et activités connexes : Aucun.
  • (15) Gestion des authentifiants : Produits et services conformes aux niveaux d’assurance de l’identité, des justificatifs et de l’authentification
    • Utiliser uniquement des produits et des services pour la gestion de l’identité, des justificatifs et de l’accès qui sont conformes aux niveaux d’assurance requis.
    • Discussion : Aucune.
    • Discussion au sein du GC : Les produits et les services doivent être conformes aux exigences établies par le SCT et sa norme sur l’assurance de l’identité et des justificatifs et par le Guide sur l’authentification des utilisateurs dans les systèmes de technologie de l’information (ITSP.30.031) du Centre pour la cybersécurité. Les niveaux d’assurance de l’identité, des justificatifs et de l’authentification requis doivent être consignés, et les contrôles qui permettent d’atténuer les risques et de répondre aux exigences doivent être appliqués.
    • Contrôles et activités connexes : Aucun.
  • (16) Gestion des authentifiants : Émission d’un authentifiant en personne ou par tierce partie externe de confiance
    • Exiger que l’émission [Affectation : types d’authentifiant ou authentifiants spécifiques définis par l’organisation] soit effectuée [Sélection (un choix) : en personne; par une partie externe de confiance] auprès [Affectation : autorité d’enregistrement définie par l’organisation] avec l’autorisation de [Affectation : personnel ou rôles définis par l’organisation].
    • Discussion : L’émission d’authentifiants en personne ou par tierce partie externe de confiance améliore et renforce la fiabilité du processus de confirmation de l’identité.
    • Contrôles et activités connexes : IA-12.
  • (17) Gestion des authentifiants : Détection des attaques de présentation pour les authentifiants biométriques
    • Utiliser des mécanismes de détection des attaques pour l’authentification fondée sur la biométrie.
    • Discussion : Les caractéristiques biométriques ne constituent pas des secrets d’authentification. De telles caractéristiques s’obtiennent par des accès Web en ligne, en prenant une photo de quelqu’un à l‘aide d’un téléphone-appareil photo pour recueillir des images faciales à son insu et sans sa permission, en saisissant des objets que quelqu’un a touchés (par exemple, une empreinte digitale latente) ou en saisissant une image à haute résolution (par exemple, le motif de l’iris). Les technologies de détection des attaques de présentation, y compris la technologie de détection du vivant, peuvent permettre d’atténuer les risques que posent ces types d’attaques en rendant difficile la production d’artéfacts conçus pour mettre en échec le capteur biométrique.
    • Contrôles et activités connexes : AC-07.
  • (18) Gestion des authentifiants : Gestionnaires de mots de passe
      1. Utiliser [Affectation : gestionnaires de mots de passe définis par l’organisation] pour générer et gérer les mots de passe
      2. Protéger les mots de passe au moyen de [Affectation : contrôles définis par l’organisation]
    • Discussion : Il est souvent difficile pour les systèmes qui utilisent des mots de passe statiques d’assurer que les mots de passe sont suffisamment complexes et que les mêmes mots de passe ne sont pas employés dans plusieurs systèmes. Un gestionnaire de mots de passe est la solution à ce problème, car il génère et stocke automatiquement des mots de passe forts et variés pour divers comptes. Un risque possible associé à l’utilisation de gestionnaires de mots de passe est que les adversaires peuvent cibler la collecte des mots de passe générés par ce gestionnaire. Par conséquent, la collecte de mots de passe nécessite une protection, notamment le chiffrement de mots de passe (voir le contrôle IA-05(01)d) et le stockage de la collecte hors ligne dans un jeton.
    • Contrôles et activités connexes : Aucun.

Références

Haut de la page 
 

IA-06 Réinjection d’authentification

Contrôle

Obscurcir les réinjections d’information durant le processus d’authentification afin de protéger l’information contre de possibles exploitations ou utilisations par des personnes non autorisées.

Discussion

La réinjection d’authentification depuis des systèmes ne fournit aucune donnée qui permettrait à des personnes non autorisées de compromettre les mécanismes d’authentification. La menace (appelée l’espionnage par-dessus l’épaule) peut être non négligeable pour certains types de systèmes, comme les ordinateurs de bureau et blocs-notes dotés de grands moniteurs. Par contre, pour les autres types de systèmes, comme les appareils mobiles à petit écran, la menace peut être moins importante et faire contrepoids à la susceptibilité aux erreurs de frappe étant donné la petite taille des claviers. Les moyens pour masquer la réinjection d’authentification doivent donc être sélectionnés en conséquence. Le masquage de la réinjection d’authentification comprend l’affichage d’astérisques au moment où l’utilisatrice ou utilisateur entre son mot de passe sur l’appareil ou l’affichage d’une rétroaction seulement pendant une période très limitée avant l’application d’un masquage complet.

Contrôles et activités connexes

AC-03.

Améliorations

Aucune.

Références

Aucune.

Haut de la page 
 

IA-07 Authentification du module cryptographique

Contrôle

Mettre en place des mécanismes pour l’authentification auprès d’un module cryptographique qui répond aux exigences imposées par les lois, les décrets, les directives, les politiques, la réglementation, les normes et les lignes directrices applicables, pour une telle authentification.

Discussion

Il pourrait être nécessaire d’intégrer des mécanismes d’authentification à un module cryptographique afin d’authentifier la personne accédant au module ainsi que de vérifier si cette dernière a le droit d’assumer le rôle demandé et d’effectuer des fonctions dans ce rôle.

Contrôles et activités connexes

AC-03, IA-05, SA-04, SC-12 et SC-13.

Améliorations

Aucune.

Références

Haut de la page 
 

IA-08 Identification et authentification (utilisatrices et utilisateurs ne faisant pas partie de l’organisation)

Contrôle

Identifier de façon unique et authentifier les utilisatrices et utilisateurs non organisationnels ou les processus exécutés en leur nom.

Discussion

Les utilisatrices et utilisateurs non organisationnels incluent les utilisatrices et utilisateurs du système autres que les utilisatrices et utilisateurs organisationnels explicitement mentionnés dans le contrôle IA-02. Ils sont identifiés de façon unique et authentifiés pour tous les accès autres que ceux explicitement identifiés et documentés dans le contrôle AC-14. On peut exiger l’identification et l’authentification des utilisatrices et utilisateurs non organisationnels qui accèdent aux systèmes du GC afin de protéger les renseignements fédéraux, exclusifs ou personnels (sauf les exceptions prévues pour les systèmes liés à la sécurité nationale). Les organisations considèrent plusieurs facteurs – la sécurité, la protection de la vie privée, l’extensibilité et l’aspect pratique – pour assurer un juste équilibre entre le besoin d’accéder facilement à l’information et aux systèmes fédéraux et le besoin de se protéger et d’atténuer le risque adéquatement.

Contrôles et activités connexes

AC-02, AC-06, AC-14, AC-17, AC-18, AU-06, IA-02, IA-04, IA-05, IA-10, IA-11, IA-13, MA-04, RA-03, SA-04 et SC-08.

Améliorations

  • (01) Identification et authentification (utilisatrices et utilisateurs ne faisant pas partie de l’organisation) : Acceptation des justificatifs d’identité d’ICP d’autres organismes
    • Accepter et vérifier électroniquement les justificatifs d’identité d’ICP d’autres ministères et organismes du GC.
    • Discussion : Aucune.
    • Discussion au sein du GC : L’acceptation de justificatifs d’identité d’ICP d’autres ministères et organismes du GC s’applique aux systèmes de contrôle d’accès logique et physique.
    • Contrôles et activités connexes : PE-03.
  • (02) Identification et authentification (utilisatrices et utilisateurs ne faisant pas partie de l’organisation) : Acceptation des authentifiants externes
      1. Accepter uniquement des authentifiants externes qui sont conformes à un niveau d’assurance propre à l’ITSP.30.031.
      2. Consigner et maintenir une liste d’authentifiants externes acceptés.
    • Discussion : Aucune.
    • Discussion au sein du GC : Les authentifiants externes approuvés satisfont ou dépassent les exigences techniques minimales et en matière de sécurité, de protection de la vie privée et de maturité organisationnelle. Lorsque les exigences du GC sont satisfaites et dépassées, les parties qui s’appuient sur le GC peuvent faire confiance aux authentifiants externes lorsqu’il est question de transactions d’authentification à un niveau précisé d’assurance de l’authentifiant. Au sein du gouvernement du GC, des exemples peuvent comprendre les partenaires de connexion et les programmes de CléGC.
      Les partenaires de connexion sont des organismes du secteur privé qui se sont associés à SecureKey Technologies pour permettre à leurs clientes et clients d’utiliser leurs justificatifs d’identité en ligne pour accéder aux services du GC. GCKey est le justificatif d’identité portant la marque du gouvernement. Les deux ont le même processus d’authentification et les mêmes exigences relatives à la sécurité et ils sont conformes à la LPRP.
    • Contrôles et activités connexes : Aucun.
  • (03) Identification et authentification (utilisatrices et utilisateurs ne faisant pas partie de l’organisation) : Utilisation de produits approuvés par l’architecture FICAM
    • Annulé : Intégré au contrôle IA-08(02) et propre aux États-Unis.
  • (04) Identification et authentification (utilisatrices et utilisateurs ne faisant pas partie de l’organisation) : Utilisation de profils définis
    • Se conformer aux profils suivants pour la gestion des identités [Affectation : profils de gestion des identités définis par l’organisation].
    • Discussion : Les organisations définissent des profils pour la gestion des identités en fonction de normes de gestion des identités ouvertes. Pour s’assurer que les normes de gestion des identités ouvertes sont viables, robustes, fiables, durables et interopérables, comme il est documenté, le GC évalue et examine les normes et les mises en œuvre technologiques par rapport aux lois, aux décrets, aux directives, aux politiques, à la réglementation, aux normes et aux lignes directrices applicables.
    • Contrôles et activités connexes : Aucun.
  • (05) Identification et authentification (utilisatrices et utilisateurs ne faisant pas partie de l’organisation) : Acceptation des justificatifs de vérification de l’identité personnelle interopérables (PIV-I)
    • Accepter et vérifier les justificatifs fédérés ou d’ICP qui satisfont [Affectation : stratégie définie par l’organisation].
    • Discussion : L’acceptation des justificatifs PIV-I peut être mise en œuvre par des fournisseurs de PIV, de PIV-I et d’autres fournisseurs d’identité commerciaux ou externes. L’acceptation et la vérification des justificatifs conformes aux PIV-I au Canada ne sont possibles que pour les systèmes de contrôle d’accès logique. L’acceptation et la vérification de justificatifs PIV-I traitent les entités non fédérales émettrices de cartes d’identité qui désirent interopérer avec les systèmes fondés sur l’ICP du GC et auxquels peuvent avoir confiance les parties de confiance du GC.
      Les justificatifs PIV-I respectent les exigences en matière de jetons de la stratégie de certification X.509 pour la Charnière fédérale canadienne de l’ICP. Les justificatifs PIV-I sont les justificatifs qui sont attribués par un fournisseur de PIV-I dont la stratégie de certification PIV-I s’associe à la Charnière fédérale canadienne de l’ICP. Un fournisseur de PIV-I doit procéder à une cocertification avec la Charnière fédérale canadienne de l’ICP (directement ou par le biais d’un autre système ICP) avec des stratégies qui ont été associées et approuvées comme étant conformes aux exigences définies dans la stratégie de certification de la Charnière fédérale canadienne de l’ICP.
    • Contrôles et activités connexes : Aucun.
  • (06) Identification et authentification (utilisatrices et utilisateurs ne faisant pas partie de l’organisation) : Dissociabilité
    • Mettre en œuvre les mesures suivantes pour dissocier les attributs d’utilisatrice ou utilisateur ou les relations d’assertion d’identificateur parmi les personnes, les fournisseurs de justificatifs d’identité et les parties de confiance : [Affectation : mesures définies par l’organisation].
    • Discussion : Les solutions d’identité fédérées peuvent entraîner des risques accrus d’atteinte à la vie privée en raison du suivi et du profilage de personnes. Utiliser des tableaux de mise en correspondance d’identificateurs ou des techniques cryptographiques pour isoler les fournisseurs de justificatifs d’identité et les parties de confiance les uns des autres ou pour rendre les attributs d’identité moins visibles face aux parties émettrices peut réduire ces risques d’atteinte à la vie privée.
    • Contrôles et activités connexes : Aucun.
  • (400) Identification et authentification (utilisatrices et utilisateurs ne faisant pas partie de l’organisation) : Identité et assurance des justificatifs
    • Annulé : Intégré au contrôle IA-05(15).

Références

Haut de la page 
 

IA-09 Identification et authentification des services

Contrôle

Identifier de façon unique et authentifier les [Affectation : services et applications système définis par l’organisation] avant d’établir des communications avec des dispositifs, des utilisatrices, des utilisateurs ou d’autres services ou applications.

Discussion

Les services susceptibles d’exiger une identification et une authentification comprennent les applications Web ayant recours à des certificats numériques ou les services ou applications qui interrogent une base de données. Les méthodes d’identification et d’authentification pour les services et applications système comprennent l’information ou la signature de code, les graphiques de provenance et les signatures électroniques qui indiquent les sources des services. Les décisions concernant la validation des déclarations d’identification et d’authentification peuvent être prises par des services distincts des services devant mettre en œuvre ces décisions. Cela peut être le cas dans des architectures de systèmes distribués. Dans de telles situations, les décisions concernant l’identification et l’authentification (par opposition aux identifiants et aux authentifiants comme tels) sont fournies aux services devant les mettre en œuvre.

Contrôles et activités connexes

IA-03, IA-04, IA-05, IA-13 et SC-08.

Améliorations

  • (01) Identification et authentification des services : Échange d’information
    • Annulé : Intégré au contrôle IA-09.
  • (02) Identification et authentification des services : Transmission des décisions
    • Annulé : Intégré au contrôle IA-09.

Références

Aucune.

Haut de la page 
 

IA-10 Authentification adaptative

Contrôle

Exiger que les personnes accédant au système utilisent [Affectation : techniques ou mécanismes d’authentification supplémentaires définis par l’organisation] pour certaines situations particulières, dont notamment [Affectation : circonstances ou situations définies par l’organisation].

Discussion

Les adversaires peuvent compromettre les mécanismes d’authentification individuels employés par les organisations pour ensuite tenter d’usurper l’identité d’utilisatrices et utilisateurs légitimes. Pour résister à cette menace, les organisations peuvent utiliser des techniques et des mécanismes précis ou établir des protocoles visant à évaluer les comportements suspects. Par comportement suspect, on entend des personnes accédant à de l’information à laquelle elles n’accèdent généralement pas dans le cadre de leurs fonctions, rôles ou responsabilités; les personnes accédant à un plus gros volume d’information que celui auquel elles accèdent habituellement; ou les personnes tentant d’accéder à de l’information au moyen d’adresses réseau suspectes.

En présence de conditions préétablies ou d’un élément déclencheur, les organisations peuvent exiger que certaines personnes fournissent de l’information d’authentification supplémentaire. Une autre application potentielle de l’authentification adaptative est le renforcement des mécanismes selon le nombre et le type de dossiers faisant l’objet de la demande d’accès. L’authentification adaptative ne constitue pas un remplacement aux mécanismes d’authentification multifacteur et ne devrait pas être utilisée à cette fin. Elle peut toutefois renforcer les mises en œuvre de l’AMF.

Contrôles et activités connexes

IA-02 et IA-08.

Améliorations

Aucune.

Références

Haut de la page 
 

IA-11 Réauthentification

Contrôle

Exiger la réauthentification des utilisatrices et utilisateurs lors de [Affectation : circonstances ou situations nécessitant une réauthentification définies par l’organisation].

Discussion

En plus des exigences de réauthentification associées au verrouillage d’appareil, les organisations peuvent exiger que les personnes s’authentifient de nouveau dans certaines situations, notamment lorsque des changements sont apportés aux rôles, aux authentifiants ou aux justificatifs d’identité, lorsque les catégories de sécurité des systèmes changent, lors de l’exécution de fonctions privilégiées, après un délai déterminé ou périodiquement.

Contrôles et activités connexes

AC-03, AC-11, IA-02, IA-03, IA-04 et IA-08.

Améliorations

Aucune.

Références

Aucune.

Haut de la page 
 

IA-12 Confirmation de l’identité

Contrôle

  1. Des utilisatrices et utilisateurs du processus de confirmation de l’identité qui ont besoin de comptes pour un accès logique aux systèmes en fonction d’exigences adéquates en matière de niveau d’assurance de l’identité comme il est précisé dans les normes et les lignes directrices applicables
  2. Régler les identités d’utilisatrices et utilisateurs dans un compte individuel unique
  3. Collecter, valider et vérifier la preuve d’identité

Discussion

La confirmation de l’identité est le processus de collecte, de validation et de vérification de renseignements sur l’identité de l’utilisatrice ou utilisateur aux fins d’établissement des justificatifs d’identité donnant accès à un système. Les renseignements nécessaires à la confirmation de l’identité peuvent exiger la collecte ou la confirmation d’éléments des données de renseignements personnels, comme la date de naissance. La confirmation de l’identité permet d’atténuer les menaces liées à l’enregistrement des utilisatrices et utilisateurs et à l’établissement de leurs comptes.

Les organisations peuvent être assujetties aux lois, aux décrets, aux directives, aux règlements ou aux politiques applicables qui portent sur la collecte de preuves d’identité. Le personnel de l’organisation devrait consulter la haute ou le haut fonctionnaire ou cadre supérieure ou supérieur et la conseillère ou le conseiller juridique en matière de protection de la vie privée concernant de telles exigences. Tout renseignement personnel demandé à des fins de confirmation de l’identité exige que l’organisation qui collecte les renseignements soit légalement autorisée à réaliser la collecte.

Discussion au sein du GC

Les normes et les lignes directrices précisant les niveaux d’assurance de l’identité pour la confirmation de l’identité comprennent l’annexe A : Norme sur l’assurance de l’identité et des justificatifs de la Directive sur la gestion de l’identité du SCT.

Contrôles et activités connexes

AC-05, IA-01, IA-02, IA-03, IA-04, IA-05, IA-06, IA-08 et IA-13.

Améliorations

  • (01) Confirmation de l’identité : Autorisation de superviseure ou superviseur
    • Exiger que le processus d’enregistrement permettant de recevoir un compte pour l’accès logique comprenne une autorisation de superviseure ou superviseur ou d’autorité qui parraine.
    • Discussion : Inclure une autorisation de superviseure ou superviseur ou d’autorité qui parraine dans le cadre du processus d’enregistrement peut fournir un degré de surveillance supplémentaire pour s’assurer que la chaîne de gestion de l’utilisatrice ou utilisateur est au courant du compte, lequel est essentiel pour réaliser les missions et les fonctions de l’organisation, et s’assurer que les privilèges de l’utilisatrice ou utilisateur sont appropriés pour les responsabilités et les autorités au sein de l’organisation.
    • Contrôles et activités connexes : Aucun.
  • (02) Confirmation de l’identité : Preuve d’identité
    • Exiger qu’une preuve d’identification d’une personne soit présentée à l’autorité d’enregistrement.
    • Discussion : Preuve d’identité, comme une preuve documentaire ou une combinaison de documents et de biométrie réduit le risque qu’une personne souhaitant établir une identité utilise une forme d’identification frauduleuse, ou du moins, elle complexifie la tâche des adversaires potentiels. Les éléments de preuves acceptables sont conformes aux risques pesant sur les systèmes, les rôles et les privilèges associés au compte utilisateur.
      La plupart des éléments de preuve d’identité sont considérés comme des renseignements personnels; dans le cas de la biométrie, ces renseignements peuvent être assujettis à des mesures de protection. L’information biométrique, si elle est recueillie pour l’identification d’une personne, ne devrait être utilisée qu’aux fins pour lesquelles elle a été recueillie. Au moment d’envisager l’utilisation de la biométrie, l’autorité d’enregistrement devrait examiner si la collecte est nécessaire; si elle est susceptible d’être efficace; si elle tient compte de la perte de la vie privée d’une personne par rapport aux avantages à en tirer; et s’il y a une approche moins susceptible de porter atteinte à la vie privée qui permettrait d’arriver à la même confirmation de l’identité.
    • Contrôles et activités connexes : Aucun.
  • (03) Confirmation de l’identité : Validation et vérification de preuve d’identité
    • Exiger que la preuve d’identité présentée soit validée et vérifiée au moyen de [Affectation : méthodes de validation et de vérification définies par l’organisation].
    • Discussion : La validation et la vérification de la preuve d’identité renforcent l’assurance que les comptes et les identifiants sont établis pour l’utilisatrice ou utilisateur approprié, et que les authentifiants sont liés à cette utilisatrice ou cet utilisateur. La validation fait référence au processus qui confirme que la preuve est légitime et authentique et que les données contenues dans la preuve sont correctes, à jour et en lien à une personne. La vérification confirme et établit un lien entre l’identité revendiquée et l’existence réelle de l’utilisatrice ou utilisateur présentant la preuve. Les méthodes acceptables pour la validation et la vérification de la preuve d’identité sont conformes aux risques pesant sur les systèmes, les rôles et les privilèges associés au compte utilisateur.
    • Discussion au sein du GC : La validation et la vérification de preuve d’identité sont des exigences de la LPRP.
    • Contrôles et activités connexes : Aucun.
  • (04) Confirmation de l’identité : Validation et vérification en personne
    • Exiger que la validation et la vérification d’une preuve d’identité soient effectuées en personne auprès d’une autorité d’enregistrement désignée.
    • Discussion : La confirmation en personne réduit la possibilité d’émission de justificatifs frauduleux puisqu’elle exige la présence physique de personnes, la présentation de documents d’identité physique, et une interaction en personne avec les autorités d’enregistrement désignées.
    • Contrôles et activités connexes : Aucun.
  • (05) Confirmation de l’identité : Confirmation d’adresse
    • Exiger que [Sélection (un choix) : code d’enregistrement; avis de confirmation] soit transmis par l’entremise d’une voie d’acheminement hors bande pour vérifier l’adresse de l’utilisatrice ou utilisateur (physique ou numérique) pour le dossier.
    • Discussion : Pour qu’il soit plus difficile pour les adversaires de se faire passer pour des utilisatrices ou utilisateurs légitimes durant le processus de confirmation de l’identité, les organisations peuvent utiliser des méthodes hors bande pour s’assurer que la personne associée à l’adresse du dossier est la même personne qui a participé à l’enregistrement. La confirmation peut prendre la forme d’un code d’inscription temporaire ou d’un avis de confirmation. L’adresse de livraison de ces artéfacts provient de dossiers et non d’une affirmation de la part de l’utilisatrice ou utilisateur. L’adresse peut être une adresse physique ou numérique. Une adresse de domicile est un exemple d’adresse physique. Les adresses courriel et les numéros de téléphone sont quant à eux des exemples d’adresses numériques.
    • Contrôles et activités connexes : IA-12.
  • (06) Confirmation de l’identité : Accepter les identités confirmées externes
    • Accepter les identités confirmées externes au [Affectation : niveau d’assurance de l’identité défini par l’organisation].
    • Discussion : Pour éviter une reconfirmation inutile des identités, particulièrement pour les utilisatrices et utilisateurs sans justificatifs d’identité d’ICP du GC, les organisations acceptent la confirmation effectuée à un niveau adéquat d’assurance par d’autres organismes ou organisations. La confirmation est conforme à la stratégie de sécurité de l’organisation et au niveau d’assurance de l’identité approprié pour le système, l’application ou l’information obtenue. Accepter les identités confirmées est un composant fondamental de la gestion des identités fédérées dans divers organismes et organisations.
    • Contrôles et activités connexes : IA-03, IA-04, IA-05 et IA-08.

Références

Haut de la page 
 

IA-13 Fournisseurs d’identité et serveurs d’autorisation

Contrôle

Avoir recours à des fournisseurs d’identité et à des serveurs d’autorisation pour gérer les identités, les attributs et les droits d’accès des personnes, des dispositifs et des entités qui ne sont pas des personnes (NPE pour Non-Person Entity) de manière à soutenir les décisions en matière d’authentification et d’autorisation conformément à la [Affectation : stratégie d’identification et d’authentification définie par l’organisation] faisant appel aux [Affectation : mécanismes définis par l’organisation].

Discussion

Qu’ils soient à l’intérieur ou à l’extérieur de l’organisation, les fournisseurs d’identité gèrent les authentifiants des personnes, des dispositifs et des NPE et publient les énoncés, souvent appelés « assertions d’identité », qui attestent des identités des autres systèmes ou composants des systèmes.

Les serveurs d’autorisation créent et délivrent des jetons d’accès aux personnes et aux dispositifs identifiés et authentifiés, lesquels peuvent être utilisés pour accéder au système ou aux ressources d’information. Par exemple, l’authentification unique (SSO pour Single Sign-On) offre des fonctions propres au fournisseur d’identité et au serveur d’autorisation. La gestion des authentifiants (pour tenir compte de la gestion des informations d’identification) est abordée dans le contrôle IA-05.

Contrôles et activités connexes

AC-03, IA-02, IA-03, IA-08, IA-09 et IA-12.

Améliorations

  • (01) Fournisseurs d’identité et serveurs d’autorisation : Protection des clés cryptographiques
    • Les clés cryptographiques qui protègent les jetons d’accès sont générées, gérées et protégées contre toute divulgation et utilisation inappropriée.
    • Discussion : Les assertions d’identité et les jetons d’accès sont habituellement signés numériquement. Les clés privées utilisées pour signer ces assertions et jetons bénéficient d’une protection correspondant à l’impact des ressources liées au système et à l’information accessibles.
    • Contrôles et activités connexes : SC-12 et SC-13.
  • (02) Fournisseurs d’identité et serveurs d’autorisation : Vérification des assertions d’identité et des jetons d’accès
    • La source et l’intégrité des assertions d’identité et des jetons d’accès sont vérifiées avant d’accorder l’accès au système et aux ressources d’information.
    • Discussion : Cela comprend la vérification des signatures numériques qui protègent les assertions d’identité et les jetons d’accès, ainsi que les métadonnées incluses. Les métadonnées comprennent l’information sur la demande d’accès, comme de l’information propre à l’utilisatrice/utilisateur, au système ou aux ressources d’information auxquelles on accède, ou à la transaction même, comme l’heure. Le système et les ressources d’information protégés peuvent comprendre des réseaux, des applications et des API connectés.
    • Contrôles et activités connexes : Aucun.
  • (03) Fournisseurs d’identité et serveurs d’autorisation : Gestion des jetons
    • Conformément à la [Affectation : stratégie d’identification et d’authentification définie par l’organisation], les assertions et les jetons d’accès sont
      1. générés
      2. diffusés
      3. actualisés
      4. révoqués
      5. limités dans le temps
      6. limités selon le public cible
    • Discussion : Un jeton d’accès est une partie de données qui représente l’autorisation accordée à une utilisatrice ou un utilisateur ou à une entité qui n’est pas une personne d’accéder à des systèmes ou à des ressources d’information spécifiques. Les jetons d’accès permettent le contrôle d’accès aux services et aux ressources. Une gestion adéquate du cycle de vie des jetons d’accès, y compris leur émission, validation et révocation, est essentielle pour assurer la confidentialité des données et des systèmes. Limiter la validité des jetons à un public particulier – par exemple, une application ou un domaine de sécurité – et limiter la durée de vie de la validité des jetons s’avèrent des pratiques importantes. Les jetons d’accès sont révoqués ou invalidés s’ils sont compromis, perdus ou ne sont plus nécessaires pour atténuer les risques associés aux jetons volés ou utilisés de manière inappropriée.
    • Contrôles et activités connexes : Aucun.

Références

Précédent
Date de modification :