Comparatif des facteurs d'authentification
Voici un comparatif qui permet de comprendre ce qui se cache sous les facteurs d'authentification des certificats serveurs, et permet d'apprécier le niveau réel de sécurité apporté.Voir aussi notre fiche PDF Niveaux d'Authentification
Type d'authentification
| POINTS À VÉRIFIER | 1-FACTEUR | 2-FACTEUR | 3-FACTEUR | EV |
|---|---|---|---|---|
| Liste des pays interdits | non | non | non (oui pour Thawte SuperCert) | oui |
| Liste des sites victimes de phishing | non | non | non | oui |
| Liste des sites interdits | non | non | non | oui |
| Existence (enregistrement) de l'organisation | non | oui | oui, via une base qualifiée | oui, via une base qualifiée gouvernementale |
| Nom commercial (optionnel) | non | oui | oui, via une base qualifiée | oui, via une base qualifiée gouvernementale |
| Existence physique (adresse) | non | non | non | oui, via une base qualifiée indépendante |
| Existence physique (téléphone) | non | non | oui, via annuaire ou une base qualifiée ou facture téléphonique | oui, via annuaire ou une base qualifiée indépendante (pas de facture téléphonique) |
| Existence opérationnelle (plus de 3 ans) | non | non | non | oui |
| Contrôle du domaine | oui (simple email) | oui, lettre de pouvoir possible | oui, lettre de pouvoir possible | oui, le titre de propriété doit être au nom de l'organisation |
| Vérification de l'emploi du contact administratif | non | non | non | oui |
| Vérification de la signature du contrat d'abonnement (reçu par courrier, fax ou PDF) | non | non | non | oui |
| Validation téléphonique de la demande | non | non | oui | oui |
| Inclusion des informations d'enregistrement de l'organisation dans le certificat | non | non | non | oui |
Notes:
- Une "base qualifiée indépendante" signifie que ce n'est pas la même base que celle utilisée pour la validation du nom d'organisation (base qualifiée gouvernementale).
- Une "base qualifiée" sans autre précisions signifie qu'elle peut être soit gouvernementale, soit indépendante.
- Les certificat GeoTrust QuickSSL ne sont pas des 2-facteur mais 1 seul facteur (tout est basé sur le domaine)
- Les certificats GeoTrust TrueBusiness ID ne sont pas des certificats 3-facteurs mais uniquement 2-facteur car il n'y a pas de vérification téléphonique, et le CA ne vérifie pas que la demande de certificat est réellement faite par l'entreprise titulaire du certificats (il y a juste vérification de cohérence du contact administratif)
Dernière modification le 10/05/2011 14:57:57 --- [Chercher]
