MFA à la sauce "université des Antilles" [8 décembre 2025]

Description

Présentation de la solution MFA de l’Université des Antilles

Cette vidéo s’inscrit dans la démarche de renforcement de la sécurité des systèmes d’information de l’Université des Antilles. Elle présente le cadre technique et conceptuel de la sécurisation des mécanismes d’authentification, reposant sur l’intégration du SSO (Single Sign-On) et de l’authentification multifacteur (MFA).

Réalisée par la Direction des Systèmes d’Information et du Numérique (DSIN) de l’Université des Antilles, cette présentation s’appuie sur des documents de référence ainsi que sur les retours d’expérience partagés au sein du consortium ESUP, contribuant à la définition de bonnes pratiques communes dans l’enseignement supérieur.

La réalisation de cette vidéo a été assurée par Patrick PLACIDE, avec le concours d’outils d’intelligence artificielle, notamment NotebookLM, utilisés comme supports d’aide à la structuration, à l’analyse et à la synthèse des contenus.

Mots clés : authentification cas dsin esup-otp mfa secutite sso

Informations

Ajouté par :

Patrick PLACIDE
Propriétaire(s) additionnel(s) :
- Olivier Portecop
Mis à jour le :

8 décembre 2025 12:42
Durée :

00:16:58
Chaîne:
- DSIN
Nombre de vues :

22 (Afficher les details de visualisation)
Type :

tests - services DSIN
Langue principale :

Français
Public :

Autre

Téléchargements

Document :

Commentaires

Prendre des notes

00:01:46

pplacide : Livre Blanc : L'Authentification Forte au service de la Souveraineté Numérique – Guide Stratégique de la solution ESUP-OTP pour l'ESR Introduction : Sécuriser l'accès au savoir à l'ère du numérique La sécurité des systèmes d'information au sein de l'Enseignement Supérieur et de la Recherche (ESR) fait face à des défis sans précédent. La généralisation du télétravail et la mobilité accrue des usagers, qu'il s'agisse des étudiants ou des personnels, ont transformé nos campus en écosystèmes numériques sans frontières. Dans ce contexte, l'authentification unique (SSO), bien que pratique, présente une vulnérabilité critique : la compromission d'un seul mot de passe (Single PassWord - SPW) peut ouvrir un accès illégitime à l'ensemble des services, de la messagerie aux applications de gestion, en passant par les serveurs et les accès VPN. Face à cette menace croissante, le couple identifiant/mot de passe n'est plus une défense suffisante ; il constitue un risque stratégique pour nos institutions. Ce livre blanc a pour objectif de fournir aux Directeurs des Systèmes d'Information (DSI) et aux Responsables de la Sécurité des Systèmes d'Information (RSSI) une analyse stratégique complète de la solution ESUP-OTP. Conçue par et pour la communauté ESR, cette solution d'authentification multi-facteurs (MFA) se présente comme la réponse nécessaire, open-source, souveraine et éprouvée, spécifiquement adaptée à l'écosystème technique et organisationnel de nos établissements. Avant de détailler les spécificités de cette solution, il est essentiel d'analyser en profondeur les limites des approches traditionnelles et les écueils des alternatives commerciales face aux impératifs de l'ESR. -------------------------------------------------------------------------------- 1. Les Enjeux Stratégiques de l'Authentification Forte Dépasser le simple couple login/mot de passe n'est plus une option mais une nécessité stratégique pour protéger les actifs numériques critiques des établissements de l'ESR. La valeur des données de recherche, des informations personnelles des étudiants et des personnels, ainsi que l'intégrité des plateformes pédagogiques et administratives, exigent une barrière de sécurité robuste et moderne. Les Limites du Modèle SSO/SPW L'adoption généralisée du SSO a simplifié l'expérience utilisateur, mais a simultanément centralisé le risque. Dans le modèle SPW (Single PassWord), cette architecture crée un point de défaillance unique et catastrophique, où la compromission d'une seule information d'authentification via hameçonnage (phishing) ou force brute peut conduire à une prise de contrôle complète d'une identité et de ses privilèges associés sur l'ensemble de l'écosystème numérique. Un attaquant peut ainsi accéder à la messagerie, aux documents sensibles, aux applications de gestion critiques et aux serveurs. Renforcer ce point d'entrée unique devient donc la priorité absolue de toute politique de sécurité digne de ce nom. Évaluation des Alternatives Commerciales Face à ce constat, de nombreuses solutions commerciales de MFA ont émergé. Cependant, pour un établissement de l'ESR, ces offres présentent des inconvénients structurels qui vont à l'encontre des principes de maîtrise, de pérennité et de souveraineté. Inconvénient Description de l'impact pour un établissement de l'ESR Coût de Licence Les modèles d'abonnement, souvent basés sur le nombre d'utilisateurs, représentent des coûts récurrents et non maîtrisés qui pèsent lourdement sur les budgets des établissements et limitent leur capacité d'investissement. Dépendance Technologique Le recours à une solution propriétaire crée une dépendance vis-à-vis d'une plateforme cloud (ex: Duo Security) ou d'un écosystème matériel spécifique. ESUP-OTP, à l'inverse, est bâti sur des standards ouverts comme le TOTP (RFC 6238), supportant une large gamme d'authentificateurs logiciels et matériels. Souveraineté des Données La plupart des solutions commerciales sont opérées en mode SaaS, ce qui implique que des données d'authentification et des métadonnées sensibles sont gérées et hébergées par des entreprises tierces, souvent étrangères, échappant au contrôle direct et à la juridiction de l'établissement. Manque d'Intégration Bien que compatibles avec des standards, ces solutions ne sont pas nativement conçues pour l'écosystème technique de l'ESR (intégration profonde avec Apereo CAS, Shibboleth, etc.), ce qui peut complexifier leur déploiement, leur maintenance et leur évolution au gré des mises à jour de nos briques communes. Face à ces limites, il est impératif de se tourner vers une solution qui garantisse la souveraineté numérique, la maîtrise des coûts et une intégration profonde avec les infrastructures existantes. C'est précisément la mission que remplit la solution ESUP-OTP. -------------------------------------------------------------------------------- 2. ESUP-OTP : Une Solution Souveraine Conçue pour et par l'ESR ESUP-OTP est la réponse du consortium ESUP-Portail aux défis de l'authentification forte dans l'ESR. Initiée et développée par des établissements pionniers, cette solution incarne une approche communautaire, transparente et maîtrisée de la sécurité. Elle repose sur trois piliers fondamentaux. • Libre et Open-Source La solution est distribuée sous licence libre MIT. Cela signifie qu'il n'y a aucun coût de licence, que les sources sont entièrement ouvertes et auditables, et que chaque établissement est libre de l'adapter à ses besoins spécifiques. • Auto-hébergée Contrairement aux solutions SaaS, ESUP-OTP s'opère sur les infrastructures de l'établissement. Cette approche garantit un contrôle total sur la brique d'authentification, sa disponibilité, sa performance et la localisation des données. • Souveraineté Numérique En conservant la gestion de l'authentification forte en interne, les établissements évitent que des données sensibles soient traitées par des entreprises étrangères. C'est un gage de confiance et une affirmation de la maîtrise du système d'information. Architecture Logicielle Modulaire ESUP-OTP est composé de plusieurs applications qui collaborent pour offrir un service complet et flexible. Cette architecture découplée est un avantage stratégique majeur : esup-otp-api agit comme un cœur de sécurité stable et centralisé ; esup-otp-manager fournit une couche de gestion orientée utilisateur qui peut évoluer indépendamment ; et esup-otp-cas sert de point d'intégration léger, minimisant les perturbations lors des fréquentes montées de version d'Apereo CAS — un défi opérationnel bien connu des équipes techniques de l'ESR. 1. esup-otp-api Il s'agit du cœur métier de la solution. Développée en Node.js avec une base de données MongoDB, cette brique gère la persistance des secrets, la validation des codes et expose une API RESTful sécurisée consommée par les autres composants. 2. esup-otp-manager Cette application web frontale offre une interface ergonomique pour les utilisateurs finaux (pour gérer leurs méthodes et préférences) et pour les administrateurs et gestionnaires (pour le support et le dépannage). 3. esup-otp-cas Ce module Java s'intègre directement dans le serveur d'authentification Apereo CAS. Il permet à CAS de reconnaître et de proposer ESUP-OTP comme un fournisseur MFA natif, s'intégrant parfaitement dans les flux d'authentification existants. Un Large Éventail de Méthodes d'Authentification Pour s'adapter à la diversité des profils et des contraintes des usagers, ESUP-OTP propose plusieurs méthodes de second facteur. Méthode Description Avantages Inconvénients TOTP (Code calculé) Code temporaire généré par une application (ex: Google Authenticator, KeePassXC). Standard RFC 6238. Ne nécessite pas de connexion réseau, standard ouvert, multiples clients disponibles. Nécessite l'enrôlement d'une application ou d'un outil sur le terminal de l'utilisateur. Push Mobile Notification de validation envoyée sur l'application smartphone Esup Auth. La notification elle-même repose sur les services Google Cloud, une information clé pour la conformité et la gestion des flux réseau. Simple d'usage pour l'utilisateur, pas de code à recopier. Nécessite un smartphone connecté à Internet. Code aléatoire (SMS/Mail) Envoi d'un code à usage unique par SMS ou courriel. Rationalise le déploiement, ne nécessite pas de smartphone (pour le mail). Coût pour les SMS (cité à 5 centimes d'euro), dépendance aux opérateurs, peut être lent. Codes de secours Liste de codes à usage unique à imprimer et conserver. Solution de dépannage efficace, ne nécessite aucun appareil ou connexion. Risque de perte, codes consommables. Carte sans contact (NFC) Validation par badgeage de la carte multi-services de l'établissement. Utilise un objet déjà en possession de l'utilisateur, innovant. Dépend de la mise en place du projet ESUP-NFC-TAG et de la présence d'un lecteur. Cette architecture modulaire et cette richesse fonctionnelle permettent une intégration transparente avec la brique d'authentification centrale de l'ESR, Apereo CAS. -------------------------------------------------------------------------------- 3. Guide de Déploiement : Intégration d'ESUP-OTP avec Apereo CAS L'intégration d'ESUP-OTP dans un serveur Apereo CAS existant est un processus maîtrisé qui s'appuie sur la stratégie de "CAS overlay". Cette méthode est la norme recommandée pour personnaliser un serveur CAS : plutôt que de modifier le code source de base, on "superpose" des modules et des configurations spécifiques. Cela garantit une maintenance simplifiée et des montées de version plus fluides. L'intégration du module esup-otp-cas se déroule en trois étapes principales. Étape 1 : Ajout de la dépendance La première étape consiste à déclarer le module ESUP-OTP dans le fichier de construction build.gradle de votre overlay. Ceci indique au système de build de récupérer et d'intégrer automatiquement le module requis, garantissant la compatibilité des versions et simplifiant la gestion des dépendances. dependencies { // ... autres dépendances implementation "org.esup-portail:esup-otp-cas:v2.2.0-cas_v7.3.x" } Étape 2 : Configuration du serveur CAS Ensuite, il faut activer le module au niveau du serveur CAS en ajoutant des propriétés dans le fichier cas.properties. La directive content-security-policy est une mesure de sécurité critique qui autorise explicitement la communication entre le front-end CAS et l'API ESUP-OTP, prévenant ainsi les attaques potentielles de type cross-site scripting (XSS). # Activation globale du fournisseur MFA ESUP-OTP cas.authn.mfa.triggers.global.global-provider-id=mfa-esupotp # Ajout des traductions spécifiques à ESUP-OTP cas.messageBundle.baseNames=classpath:custom_messages,classpath:messages,classpath:esupotp_message # Autorisation de l'API dans la Content-Security-Policy cas.http-web-request.header.content-security-policy=script-src 'self' 'unsafe-inline' 'unsafe-eval' https://esup-otp-api.univ-ville.fr/; object-src 'none'; worker-src 'self' blob: 'unsafe-inline' Étape 3 : Configuration du module ESUP-OTP Enfin, les paramètres spécifiques au module doivent être définis dans un fichier dédié, esupotp.properties. Ce fichier isole tous les paramètres propres à ESUP-OTP, tels que le point de terminaison de l'API et les secrets partagés, centralisant sa configuration pour une maintenance aisée. ## Configuration du module ESUP-OTP esupotp.urlApi=http://my-api.com:8081 esupotp.usersSecret=changeit esupotp.apiPassword=changeit esupotp.byPassIfNoEsupOtpMethodIsActive=false esupotp.failureMode=CLOSED Stratégies Avancées d'Activation de la MFA Une fois l'intégration technique réalisée, la force de la solution réside dans sa flexibilité pour définir quand la MFA doit être déclenchée. • Activation par service : Il est possible de rendre la MFA obligatoire uniquement pour certaines applications critiques (ex: parapheur électronique, gestionnaire d'identités). Cela se configure directement dans les fichiers de définition de service (fichiers JSON ou autres), en y ajoutant une politique MFA spécifique. • Activation conditionnelle par script Groovy : C'est la méthode la plus puissante et la plus souple. Un simple script Groovy permet d'implémenter des règles métier complexes pour déclencher la MFA. Les conditions peuvent se baser sur l'affiliation de l'utilisateur (eduPersonAffiliation comme "teacher"), son appartenance à un groupe (memberOf), son adresse IP (ex: uniquement pour les connexions hors campus), ou toute autre information disponible lors de l'authentification. • Gestion des appareils de confiance ("Trusted MFA") : Pour améliorer l'expérience utilisateur, CAS peut mémoriser un navigateur ou un appareil qui a réussi une authentification forte. Pendant une durée définie (par exemple, 7 jours), l'utilisateur n'aura pas à refaire la MFA depuis cet appareil, trouvant un équilibre entre sécurité et confort. Ces concepts prennent tout leur sens lorsqu'ils sont mis en application, comme en témoignent les retours d'expérience des établissements pionniers. -------------------------------------------------------------------------------- 4. Retours d'Expérience et Bonnes Pratiques La théorie du déploiement est une chose, mais la valeur d'une solution se mesure à l'épreuve du terrain. Les retours d'expérience de l'Université Paris 1 Panthéon-Sorbonne et de l'Université de Rouen Normandie, deux acteurs majeurs dans le développement et l'adoption d'ESUP-OTP, offrent des enseignements précieux pour tout établissement souhaitant se lancer. Retour d'expérience : Université Paris 1 Panthéon-Sorbonne • Périmètre et Déploiement : L'université a initié le déploiement dès 2017 pour sécuriser l'accès au VPN. Aujourd'hui, le périmètre s'est étendu aux dossiers partagés et est en cours d'activation pour des services aussi critiques que la messagerie et le parapheur électronique. • Stratégie d'adoption : Une approche progressive a été privilégiée, rendant d'abord la MFA facultative pour un service donné avant de la rendre obligatoire. Cette méthode favorise l'accompagnement et l'adhésion des utilisateurs. • Chiffres d'usage : Sur près de 1 200 utilisateurs ayant activé la MFA, 97% ont opté pour le code par SMS et 12% pour le TOTP (Time-based One-Time Password), certains activant plusieurs méthodes. • Leçons apprises : L'expérience a montré l'importance cruciale de proposer des méthodes alternatives. Face à la réticence de certains utilisateurs à fournir un numéro de mobile personnel, la méthode TOTP s'est avérée une solution de rechange efficace. De plus, la mise à disposition de l'interface esup-otp-manager a été indispensable pour les équipes de support. Retour d'expérience : Université de Rouen Normandie (URN) • Approche Stratégique : L'URN a cherché à rendre la MFA la moins coercitive possible pour l'utilisateur. Cet objectif a été atteint grâce à l'implémentation de règles fines via des scripts Groovy (ex: MFA non requise depuis les adresses IP du campus) et l'activation des appareils de confiance. • Cas d'usage critiques : La MFA a été rendue obligatoire pour les applications les plus sensibles, comme Grouper. Cette mesure vise à protéger le SI contre les risques d'élévation de privilèges, qui constituent une menace majeure. • Considérations économiques : Pour des raisons de coût, l'URN a fait le choix stratégique de ne pas proposer la méthode par SMS, se concentrant sur les alternatives gratuites comme le TOTP et le push mobile. • Expertise technique : Le retour de l'URN souligne la nécessité de traiter des aspects techniques avancés lors des montées de version de CAS, comme le rafraîchissement des attributs LDAP pour garantir que les décisions d'autorisation, notamment pour des outils de gestion de privilèges comme Grouper, se basent sur les appartenances de groupe (memberOf) les plus à jour. Bonnes Pratiques pour une Implémentation Réussie Ces expériences permettent de distiller une série de recommandations actionnables pour les DSI et RSSI. • Communication et Accompagnement : Une communication claire et une mise en œuvre progressive (d'abord facultative, puis obligatoire) sont les clés de l'adhésion des utilisateurs. Un projet MFA est autant un projet de conduite du changement qu'un projet technique. • Flexibilité des Méthodes : Il est fortement recommandé d'activer au moins deux méthodes différentes (par exemple, SMS et TOTP) pour éviter de bloquer les utilisateurs et pour répondre aux différentes préférences et contraintes. • Définition d'une Politique Ciblée : Utiliser la puissance des scripts Groovy pour n'imposer la MFA que là où le risque le justifie : pour les services critiques, pour les accès depuis l'extérieur du réseau de l'établissement, ou pour les populations à hauts privilèges. • Anticipation des Coûts : Si la méthode SMS est envisagée, il est indispensable d'évaluer son coût (environ 5 centimes par envoi) et de l'intégrer au budget de fonctionnement annuel du service. • Anticiper la gestion des attributs dans les sessions longues : Dans des environnements à sessions longues, communs dans l'ESR, les attributs (ex: memberOf) récupérés lors de l'authentification initiale peuvent devenir obsolètes, impactant les décisions d'autorisation en cours de session. L'URN a démontré une pratique avancée en utilisant un script Groovy pour interroger directement le référentiel LDAP via les beans Spring de CAS, garantissant la fraîcheur des attributs pour les décisions de sécurité les plus critiques. Forts de ces enseignements, les établissements peuvent aborder le déploiement de l'authentification forte de manière sereine et maîtrisée. -------------------------------------------------------------------------------- 5. Conclusion : Vers une Authentification Renforcée et Maîtrisée Ce livre blanc a démontré que le renforcement de la sécurité des accès, loin d'être un simple défi technique, est un levier stratégique pour la résilience et la souveraineté numérique de l'Enseignement Supérieur et de la Recherche. Face aux limites des solutions propriétaires — coûteuses, opaques et créant une dépendance —, la solution ESUP-OTP se distingue comme une réponse robuste, flexible et alignée avec les valeurs fondamentales de l'ESR. Les avantages stratégiques d'ESUP-OTP pour un établissement sont clairs et percutants : • Sécurité Renforcée Une protection robuste et moderne pour les services numériques critiques, réduisant drastiquement les vecteurs de risque liés à la compromission des mots de passe. • Souveraineté et Maîtrise Un contrôle total sur une brique essentielle de l'infrastructure de sécurité, sans dépendre d'acteurs tiers et en garantissant que les données sensibles restent au sein de l'établissement. • Rationalisation Économique Une solution sans coût de licence, développée et maintenue par la communauté, permettant de concentrer les ressources financières sur des projets à forte valeur ajoutée. • Flexibilité et Adaptabilité Des options de configuration fines et une variété de méthodes d'authentification pour s'adapter précisément à la politique de sécurité et à la culture de chaque institution. L'appel à l'action est donc un impératif stratégique. Nous encourageons vivement les DSI et RSSI à considérer ESUP-OTP non pas comme un simple outil, mais comme un investissement fondamental dans la résilience, l'autonomie et la souveraineté numérique de leur institution. En vous appuyant sur une solution éprouvée par vos pairs, vous faites le choix d'une sécurité maîtrisée et communautaire, au service de la mission première de nos établissements : la production et la diffusion du savoir en toute confiance.

Disciplines

Mots clés

pass 47 dfgsm 43 et 32 ue3 27 des 23 droit 23 de 22 semiologie analytique 20 collectivites 17 dct 17 decentralisation 17 territoriales 17 - 16 sante 13 1 12 2 12 recherche 12 anatomie 11 juridique 11 methodologie 11

MFA à la sauce "université des Antilles" [8 décembre 2025]

Description

Présentation de la solution MFA de l’Université des Antilles

Informations

Ajouté par :

Propriétaire(s) additionnel(s) :

Mis à jour le :

Durée :

Chaîne:

Nombre de vues :

Type :

Langue principale :

Public :

Téléchargements

Document :

Intégrer/Partager