Protection des données sensibles des services de police grâce à l'authentification multifactorielle résistante au phishing
Lorsqu’un service de police du sud-est des États-Unis a été informé que des auditeurs de l’État allaient arriver dans la semaine pour mener un contrôle de conformité CJIS comprenant 360 questions, la plupart des services auraient été pris au dépourvu. Ce n’était pas le cas de celui-ci, car son infrastructure d’identité avait déjà été mise en place précisément pour faire face à une telle situation.
Ils ont réussi l'audit en environ cinq heures. Peu après, ils ont réussi un audit CJIS du FBI dans le même laps de temps.
L'étude de cas complète explique la solution RSA qu'ils ont mise en place et ce que les résultats de l'audit ont révélé concernant leur niveau de sécurité.
Téléchargez dès maintenant l'étude de cas ou poursuivez votre lecture pour découvrir les concepts clés et les questions courantes qui constituent le fil conducteur de cette histoire.
Cette étude de cas porte sur :
- Le défi spécifique en matière de conformité aux normes CJIS auquel le service a été confronté — et pourquoi son approche antérieure l'exposait à des risques
- Comment la solution iShield Key série 2 de RSA a été déployée auprès des agents et des administrateurs, remplaçant les mots de passe par une authentification matérielle
- Pourquoi les auditeurs ont pu vérifier la conformité en quelques heures plutôt qu'en plusieurs jours — et quels documents ont fait la différence
- Comment ce même déploiement a permis de satisfaire à la fois aux exigences d'audit CJIS de l'État et celles du FBI, sans préparation supplémentaire
- Ce que ces résultats impliquent pour les autres services chargés de l'application de la loi qui doivent se conformer aux exigences avancées du CJIS en matière d'authentification
Cette étude de cas fait référence à plusieurs normes techniques essentielles qui régissent la manière dont les services chargés de l'application de la loi sont tenus de protéger les données relevant de la justice pénale. Ces définitions fournissent le contexte dans lequel s'inscrivent les exigences de conformité auxquelles le département s'est conformé — et auxquelles tout organisme accédant aux systèmes du FBI doit se conformer.
Informations relatives à la justice pénale (CJI)
Les informations relatives à la justice pénale (CJI) désignent les données sensibles gérées et protégées dans le cadre de la politique de sécurité du CJIS, notamment les données biométriques, l’historique d’identité, les données biographiques, les données patrimoniales, ainsi que l’historique des affaires et des incidents. L’accès aux CJI est strictement réglementé par le FBI et nécessite des contrôles d’authentification rigoureux à chaque point d’accès. Tout organisme — fédéral, régional ou local — qui stocke, traite ou transmet des informations de justice pénale (CJI) doit démontrer sa conformité aux normes CJIS lors d’audits réguliers. Tout accès non autorisé aux systèmes CJI peut compromettre des enquêtes en cours et entraîner la suspension de l’accès de l’organisme aux bases de données essentielles des forces de l’ordre.
Politique de sécurité du CJIS
La politique de sécurité CJIS est un document publié par la Division des services d’information en matière de justice pénale (Criminal Justice Information Services) du FBI, qui définit les exigences minimales de sécurité pour les agences accédant aux systèmes de données de justice pénale du FBI. Elle couvre 13 domaines, notamment le contrôle d’accès, l’audit, la gestion de la configuration et, surtout, l’authentification avancée. Cette politique est régulièrement mise à jour et impose aux agences d’adapter leur dispositif de sécurité à l’évolution des menaces. Tout manquement à ces exigences peut entraîner la suspension de l’accès à des systèmes tels que le Centre national d’information sur la criminalité (NCIC), privant ainsi les agences de données essentielles à leurs opérations quotidiennes de maintien de l’ordre.
Authentification multifactorielle (MFA) résistante au hameçonnage
Une AMF résistante à l'hameçonnage Il s’agit d’une catégorie d’authentification qui utilise des mécanismes cryptographiques pour empêcher les identifiants d’être interceptés ou réutilisés par des pirates. Contrairement aux méthodes d’authentification multifactorielle (MFA) traditionnelles qui reposent sur des secrets partagés — tels qu’un code envoyé par SMS ou généré par une application d’authentification —, la MFA résistante au phishing lie l’authentification à un appareil physique spécifique et à une application enregistrée spécifique. Il est ainsi techniquement impossible pour un pirate de rediriger la réponse d’authentification, même si un utilisateur est amené par la ruse à se rendre sur un site web frauduleux. Pour les services chargés de l’application de la loi accédant aux informations judiciaires et pénales (CJI) depuis des lieux qui ne sont pas physiquement sécurisés, l’authentification multifactorielle résistante au phishing est désormais la norme obligatoire en vertu de la politique de sécurité CJIS.
FIDO2 et Passkeys
FIDO2 est une norme d'authentification ouverte développée par l'Alliance FIDO qui permet une connexion sans mot de passe et résistante au phishing grâce à la cryptographie à clé publique. Lorsqu’un utilisateur enregistre un appareil FIDO2, une paire de clés cryptographiques unique est générée : la clé privée ne quitte jamais l’appareil, tandis que la clé publique est enregistrée auprès de l’application ou du service. Pour les forces de l'ordre, les clés FIDO2 liées au matériel offrent le plus haut niveau de sécurité, car la clé privée ne peut être ni extraite, ni copiée, ni utilisée sur aucun autre appareil, ce qui garantit que l'authentification reste liée à une personne spécifique et identifiable.
FIPS 140-3 niveau 3
La norme FIPS 140-3 est une norme fédérale américaine publiée par le NIST qui définit les exigences de sécurité applicables aux modules cryptographiques. Le niveau 3 impose des mécanismes de résistance physique à la manipulation, une authentification basée sur l'identité pour accéder au module cryptographique, ainsi que des protections environnementales supplémentaires contre les attaques physiques. Un authentificateur matériel certifié FIPS 140-3 niveau 3, tel que le Série RSA iShield Key 2—garantit que les opérations cryptographiques et le stockage des clés répondent à des exigences fédérales rigoureuses, et sa mise en place accélère considérablement le processus d'audit du CJIS en fournissant aux auditeurs des preuves immédiates et vérifiables de la qualité des contrôles de sécurité.
CJIS signifie « Criminal Justice Information Services » (Services d’information en matière de justice pénale) ; il s’agit d’une division du FBI chargée de définir les politiques de sécurité régissant l’accès aux données sensibles relatives à la justice pénale, notamment les empreintes digitales, les casiers judiciaires et les informations relatives aux mandats. Tout service chargé de l'application de la loi qui accède à ces données doit se conformer aux exigences de la politique de sécurité du CJIS en matière de gestion des identités, de contrôle d'accès et de chiffrement. Tout manquement à ces exigences peut entraîner la perte de l'accès aux bases de données essentielles du FBI, notamment le Centre national d'information sur la criminalité (NCIC).
La politique de sécurité du CJIS exige une authentification renforcée pour tout utilisateur accédant à des informations relatives à la justice pénale depuis un lieu qui n'est pas physiquement sécurisé. Une AMF résistante à l'hameçonnage—telles que les clés de sécurité matérielles FIDO2—répondent à cette exigence grâce à une authentification cryptographique qui ne peut être ni interceptée, ni reproduite, ni contournée par des techniques d'ingénierie sociale, garantissant ainsi que même un mot de passe compromis ne puisse pas permettre un accès non autorisé aux systèmes CJI.
Les Série RSA iShield Key 2 Il s'agit d'une clé de sécurité matérielle offrant une authentification sans mot de passe FIDO2 certifiée conforme à la norme FIPS 140-3 niveau 3, la norme fédérale requise pour les données gouvernementales les plus sensibles. Les agents et les administrateurs utilisent cette clé physique pour s'authentifier et accéder aux systèmes de justice pénale ; comme elle génère une réponse cryptographique unique à chaque connexion, elle ne peut faire l'objet d'une tentative d'hameçonnage, être clonée ou utilisée par des personnes non autorisées, même si un mot de passe venait à être compromis.
Un audit CJIS standard comprenant 360 questions de sécurité nécessite généralement une semaine complète de travail de la part du personnel. En déployant la solution de RSA, plateforme de gestion des identités et iShield Key série 2, un service de police du sud-est des États-Unis a mené à bien son audit d'État en environ cinq heures — soit une réduction de plus de 80% — et a réussi l'audit CJIS du FBI qui a suivi dans ce même délai très court.
Les méthodes traditionnelles d’authentification multifactorielle (MFA) — mots de passe à usage unique par SMS, applications d’authentification — reposent sur des secrets partagés qui peuvent être interceptés par le biais d’attaques de hameçonnage, d’échange de carte SIM ou d’attaques de type « homme du milieu ». L'authentification multifactorielle (MFA) résistante au hameçonnage utilise la cryptographie à clé publique liée à un appareil enregistré spécifique, ce qui rend techniquement impossible la réutilisation ou la redirection des identifiants vers un site frauduleux. Pour les forces de l'ordre, cette distinction permet de différencier la MFA conforme aux exigences du CJIS de celle qui ne l'est pas.
Oui. Le Série RSA iShield Key 2 prend en charge la gestion dans le cloud, ce qui permet aux services de petite ou moyenne taille de provisionner, de surveiller et de révoquer des dispositifs d'authentification sans avoir recours à une infrastructure sur site. La plateforme RSA offre une visibilité centralisée sur l'ensemble des événements d'authentification ; ainsi, les services qui mettaient auparavant plusieurs jours à rassembler des preuves d'audit peuvent désormais les produire en quelques heures.
Inclus