User Identity Based Authentication Mechanisms for Network Security Enhancement - TEL - Thèses en ligne Accéder directement au contenu
Thèse Année : 2011

User Identity Based Authentication Mechanisms for Network Security Enhancement

Des mécanismes d'authentification basés sur l'identité de l'utilisateur pour renforcer la sécurité des réseaux

Résumé

In this thesis, we design new authentication mechanisms based on user identity. Therefore, we bring improvements in access control for different classes of networks such as Home Network, Governmental Network and Cellular Network. The identity can be biometric public features, simple strings (email addresses, login...), etc. The goal of our work is to design innovative solutions that secure and personalize authentication mechanisms. We have three main solutions in the thesis depending on the deployed identity. The first solution concerns the use of biometric in Home Network' authentication mechanisms. In the Home Network (HN) case study, we aim at personalizing the access of each user in the HN and preventing illegitimate users (passing by the HG) to have any access. Our approach of personalized access also permits each user to use any device in the HN, while being able to access his/her appropriate profile. We propose a new biometric authentication method, while keeping in mind the constraint of the non storage of the users' Biometric Template BT in the Home Gateway (HG). To satisfy this constraint, we propose using the fuzzy vault method to hide a secret that should be used for authentication. The HG has the role of generating a secret for each user session, which are hidden by the BT. The user needs to recover the secret in order to be authenticated. The personalized users' access in the proposed solution, allows controlling the access for each broadband access line depending on the user that is being connected. The second solution proposes e-Passport authentication mechanisms. The cryptographic parameters are generated using the biometric templates and hence, personalized for the user. In travel document case study, we present our proposal which introduces a new e-Passport authentication mechanisms based on the Elliptic Curve Diffie- Hellman (ECDH) Key Agreement protocol. This protocol is needed to generate a session key used to authenticate the traveler and the Inspection System (IS) to exchange secure data. We designed two protocols. In the first one, the elliptic curve, used in the biometric cryptosystem, are generated from the minutiae data (fingerprint) of the e-Passport holder. In the second one, we use iris code to generate the elliptic curve. We analyzed the security of our solution with respect to the goals that we defined. We found that our solution fulfills its goals and prevents the system from the attacks. The use of biometric in the cryptographic solution is a very important issue as this biometric data is stored in the e-Passport Chip without a direct link to the security. This solution is validated by using iris biometrics. We performed tests on the NIST-ICE database of iris images to compute the False Rejection Rate and the False Acceptance Rate. The results obtained (e.g., FRR of 0.2% and FAR of 3.6%) are satisfying and the use of iris biometrics is encouraging for the deploying of this solution. In the third solution, we worked on the Cellular Network and we used a simple string, like email addresses, as identifier to access to services. We choose the IP Multimedia Subsystem (IMS) which is an overlay architecture for the provision of multimedia services. We design a new service authentication mechanism relying on Identity Based Cryptography (IBC) for the IMS architecture. The goal was to authenticate the users using their public and private identifiers to overcome known weaknesses in the Authentication and Key Agreement (AKA) protocol. Security is assured using a symmetric protocol with a shared key (ks) between the User Equipement (UE) and the Home Subscriber System (HSS), an asymmetric protocol for signature, and Diffie-Hellman for key agreement. We focused on the eavesdropping and impersonation attacks that can take place in classical IMS scenario and we showed how our proposed solution can prevent against these attacks. We, then, proposed to add a Batch Verification on the Bootstrapping Server Function (BSF) to decrease signature verification delay and the authentication response time. To validate the performance of our proposed solution, we implemented the cryptographic operation in our proposed solution including the IBC procedures. We observed that the use of asymmetric cryptographic procedures leads to longer running time than symmetric procedures. However, the Batch Verification helps the BSF to verify the User Equipments (UEs) signature in a reasonable time.
Les mécanismes d'authentifications sont nécessaires pour sécuriser l'accès aux systèmes informatiques et aux services. L'authentification fiable des entités ou personnes clientes d'un service sert à vérifier leur identité. Les preuves de l'identité sont de trois types : ce que l'on connait (mot de passe), que l'on possède (support physique, carte à puce) et que l'on est ou que l'on sait faire (biométrie). Nous nous intéressons, dans cette thèse, à trois problématiques applicatives émergentes : la maison intelligente (authentification des utilisateurs des équipements électroniques d'un réseau domestique) ; les documents électroniques (authentification du détenteur d'un e-passeport) ; enfin, les services multimédias (authentification des utilisateurs d'un service multimédia distant). Nous proposons, pour chacune de ces trois applications, un nouveau mécanisme d'authentification basé sur l'identité des utilisateurs. L'identité peut être des gabarits biométriques publics, des chaînes de caractères simples comme l'adresses e-mail, l'identifiant (login), etc. La première solution concerne l'utilisation des données biométriques dans les mécanismes d'authentification dans les réseaux domestiques "Home Network (HN)". Nous voulons personnaliser l'accès de chaque utilisateur dans le HN et prévenir les utilisateurs illégitimes (en passant par la passerelle domestique "Home Gateway (HG)") d'avoir accès aux services. Nous proposons une nouvelle méthode d'authentification biométrique qui respecte la contrainte de ne pas sauvegarder les données biométriques "Biometric Template (BT)" des utilisateurs dans l'HG. Pour satisfaire cette contrainte, nous proposons d'utiliser la méthode de "Fuzzy Vault" pour cacher un secret utilisé pour l'authentification. Un logiciel génère une identité biométrique révocable (BioID) en utilisant une transformation fonctionnelle. Ce BioID est utilisée par le mécanisme du fuzzy vault pour cacher une clé de session secrète. La deuxième solution propose des mécanismes d'authentification pour les passeports biométriques (e-Passeports). Les paramètres de chiffrement sont générés en utilisant les données biométriques et, ainsi, ils seront personnalisés pour l'utilisateur. Notre proposition introduit un nouveau mécanisme d'authentification pour le passeport biométrique utilisant le protocole Diffie-Hellman de partage de clé basé sur les courbes elliptiques (ECDH). Ce protocole est nécessaire pour générer une clé de session utilisée pour authentifier le voyageur et le Système d'Inspection (IS) et ainsi sécuriser l'échange des données entre eux. Notre protocole peut utiliser les points minuties d'une empreinte digitale et le code de l'iris du détenteur de l'e-Passport. Dans la troisième solution, nous avons travaillé sur le réseau cellulaire et nous avons utilisé une chaîne de caractères simple (l'adresse e-mail de l'utilisateur) comme identifiant pour accéder aux services. Nous avons choisi l'IP Multimedia Subsystem (IMS) qui est une architecture de recouvrement pour la fourniture de services multimédia, comme support. Nous avons conçu un nouveau mécanisme d'authentification aux services en utilisant la cryptographie basée sur l'identité (IBC). L'objectif était d'authentifier les utilisateurs en utilisant leurs identifiants public et privé pour surmonter les faiblesses connues du protocole "Authentication and Key Agreement (AKA)". Nous nous sommes concentrés sur les tentatives d'écoute et d'usurpation d'identité qui peuvent avoir lieu dans le scénario classique de l'IMS et nous avons montré comment la solution proposée peut prévenir ces attaques. Nous avons ensuite proposé d'ajouter une vérification par lot (Batch Verification) au niveau du Bootstrapping Server Function (BSF) pour diminuer le délai de vérification des signatures et le temps de réponse de l'authentification.
Fichier principal
Vignette du fichier
FinalAbid.pdf (3.87 Mo) Télécharger le fichier

Dates et versions

tel-00629931 , version 1 (07-10-2011)
tel-00629931 , version 2 (30-03-2012)

Identifiants

  • HAL Id : tel-00629931 , version 1

Citer

Mohamed Abid. User Identity Based Authentication Mechanisms for Network Security Enhancement. Networking and Internet Architecture [cs.NI]. Institut National des Télécommunications; Université Pierre et Marie Curie - Paris VI, 2011. English. ⟨NNT : ⟩. ⟨tel-00629931v1⟩

Collections

THESES-UPMC
1372 Consultations
2402 Téléchargements

Partager

Gmail Facebook X LinkedIn More