Biometrie et controle des acces, guides de securite, gestion de la securite

Le National Institute of Standards and Technology (NIST) a publie en octobre
un ensemble de guides lies a la securite. Pris ensemble, les documents emis
depuis fin septembre font apparaitre des grandes lignes assez claires en
matiere d’activite du moment.
Ce qui vient en premier est la question de l’identification en vue de
controler des acces (que ces derniers soient relatifs a un systeme
informatique ou a des installations). Le NIST vient de publier une note
relative a des attaques sur les signatures RSA et cela fait suite a une
serie de documents relatifs a l’identification, que ce soit sous l’angle
conceptuel (Ontology of Identity Credentials), technique (Biometric Data
Specification for Personal Identity, PIV Card / Reader Interoperability
Guidelines, voire Guidance for Securing Radio Frequency Identification) ou
methodologique (Assessment of Access Control Systems). En parallele du
deploiement des systemes d’identification suivant la directive
presidentielle dite HSPD-12 de 2004. La date limite pour la mise en service
dans l’administration de systemes d’identification etait le 27 octobre. De
maniere previsible la mise en oeuvre est encore tres partielle et
insuffisante (coir par exemple le rapport de l’inspection generale quant a
la securite de l’information au ministere Homeland Security DHS), et surtout
fait apparaitre de nombreuses questions non encore traitees dans les guides
et normes qui ont ete elabores depuis deux ans.
Le second theme qui se degage clairement est la securite informatique en
tant que telle, avec surtout des manuels et guides (Information Security
Handbook : A Guide for Managers, Guide to Test, Training, and Exercise
Programs for IT Plans and Capabilities, Guidelines for Media Sanitization)
utiles pour un deploiement et une mise en oeuvre des normes notamment
techniques precedemment elaborees, mais egalement des guides techniques
generaux (Recommended Security Controls for Federal Information Systems) ou
plus specialises (Guide to Computer Security Log Management, Guidance for
Securing Microsoft Windows XP Home Edition, etc.). Il convient de remarquer
qu’au-dela de ce travail technique du NIST sur le sujet, de nombreuses voix
reprochent a l’executif (et en particulier au DHS) de ne pas avoir assez
investi en R&D sur ce sujet.

Pour en savoir plus, contacts :

Directive HSPD-12 - Policy for a Common Identification Standard for
Federal Employees and Contractors
http://www.whitehouse.gov/news/releases/2004/08/20040827-8.html
Personal Identity Verification (PIV) of Federal Employees and Contractors,
FIPS 201-1 26 juin 2006
http://csrc.nist.gov/publications/fips/fips201-1/FIPS-201-1-chng1.pdf
Interfaces for Personal Identity Verification SP 800-73 (card interface
commands and responses)
http://redirectix.bulletins-electroniques.com/3hQLu
Biometric Data Specification for Personal Identity Verification SP 800-76
http://csrc.nist.gov/publications/nistpubs/800-76/sp800-76.pdf
Cryptographic Standards and Key Sizes for Personal Identity Verification
SP 800-78 (Draft)
http://csrc.nist.gov/publications/drafts.html#sp800-78-1
Guidelines for the Certification and Accreditation of PIV Card Issuing
Organizations SP 800-79
http://csrc.nist.gov/publications/nistpubs/800-79/sp800-79.pdf
Evaluation of DHS’ Information Security Program for Fiscal Year 2006,
September 2006
http://www.dhs.gov/xoig/assets/mgmtrpts/OIG_06-62_Sep06.pdf
BE Etats-Unis 25 - L’identification des employes federaux par carte a puce
prend du retard
http://www.bulletins-electroniques.com/actualites/032/32536.htm
BE Etats-Unis 14 - Du retard dans la mise en place d’un systeme
d’identification commun aux agences federales
http://www.bulletins-electroniques.com/actualites/031/31170.htm
Sources : - An Ontology of Identity Credentials, Part 1 : Background and
Formulation Special Publication 800-103(Draft), 06/10/2006
http://csrc.nist.gov/publications/drafts.html#sp800-103
Assessment of Access Control Systems NIST IR-7316, 29/09/2006
http://csrc.nist.gov/publications/nistir/7316/NISTIR-7316.pdf
Biometric Data Specification for Personal Identity Verification Special
Publication 800-76-1(Draft), 14/09/2006
http://csrc.nist.gov/publications/drafts.html#sp800-76-1
PIV Card / Reader Interoperability Guidelines September 2006 Special
Publication 800-96
http://csrc.nist.gov/publications/nistpubs/800-96/SP800-96-091106.pdf
(lies par ailleurs a Personal Identity Verification Demonstration Summary,
NIST IR-7337, 08/2006,
http://csrc.nist.gov/publications/nistir/NISTIR-7337_CRADA_082006.pdf)
Guidance for Securing Radio Frequency Identification (RFID) Systems
Special Publication 800-98(Draft), 26/09/2006
http://csrc.nist.gov/publications/drafts/800-98/Draft-SP800-98.pdf
An attack on RSA digital signatures using the padding scheme for
RSASSA-PKCS1-v1_5 as specified in Public Key Cryptography Standards (PKCS)
#1 v2.1 (RSA Cryptography Standard-2002) NIST statement, 20/10/2006
http://csrc.nist.gov/news-highlights/RSA-statement_10-17-06_.pdf
Recommended Security Controls for Federal Information Systems Special
Publication 800-53, Revision 1 (Final Public Draft), 20/10/2006
http://redirectix.bulletins-electroniques.com/pR6rf
Guide to Test, Training, and Exercise Programs for IT Plans and
Capabilities Special Publication 800-84, 29/09/2006
http://csrc.nist.gov/publications/nistpubs/800-84/SP800-84.pdf
Information Security Handbook : A Guide for Managers Draft Special
Publication 800-100
http://csrc.nist.gov/publications/drafts.html#sp800-100
Guidelines for Media Sanitization September 2006 SP 800-88
http://redirectix.bulletins-electroniques.com/8tXGk
Guide to Computer Security Log Management Special Publication 800-92,
29/09/2006.
http://csrc.nist.gov/publications/nistpubs/800-92/SP800-92.pdf
Guidance for Securing Microsoft Windows XP Home Edition : A NIST Security
Configuration Checklist Special Publication 800-69, 29/09/2006
http://csrc.nist.gov/itsec/guidance_WinXP_Home.html
Redacteur : Jean-Philippe Lagrange, attache-stic.mst @ambafrance-us.org