8.2 KB · ⇊ 6 parts · ⤓ Micron 8.2 KB · ⤓ HTML 14.9 KB

top

GSS-API (sigle signifiant en anglais « Generic Security Service Application Program Interface ») est une interface de programmation pour les programmes couvrant la sécurité des systèmes d'information.

GSS-API est un standard IETF conçu pour résoudre le problème de compatibilité des différents systèmes de sécurité en utilisation aujourd'hui.

• Historique

• Fonctionnement

• Technologies connexes

• Relation avec Kerberos

• Les concepts clés

• Notes et références

• Article connexe

• Liens externes

Les spécifications préconisent depuis 2005 l'utilisation de l'algorithme MD5 pour garantir un transfert sécurisé des données (en)cite-ref-rfc-4121-a-t-d-1-0[1]. La découverte en mars 2011 de failles de sécurité pour MD5 cite-ref-rfc-6151-a-t-d-2-0[2] entraîne un an plus tard la mise à jour des spécifications sur les mécanismes du standardcite-ref-rfc-6542-a-t-d-3-0[3].

GSS-API ne fournit en soi aucune sécurité mais décrit une façon standardisée de gérer l'authentification. Elle est décrite dans la RFC 2743cite-ref-rfc-2743-4-0[4] qui spécifie les fonctions, concepts, structures de données, codes erreur... Implémentée dans des bibliothèques logicielles, elle confère aux applications qui les utilisent une interface compatible GSS-API, permettant aux développeurs logiciels de faire abstraction des différentes méthodes d'authentification. Le respect des normes favorise par ailleurs la maintenance de ces applications. GSS-API permet d'exploiter notamment les mécanismes SPNEGO, Kerberos et NTLM.

• RADIUS

• SASL

• TLS

• SSPI

• SPNEGO (en)

La principale implémentation des mécanismes GSS-API utilisée reste Kerberos. Contrairement à GSS-API, les interfaces de programmation Kerberos n'ont pas été standardisées si bien que subsistent diverses implémentations utilisant des APIs incompatibles. GSS-API confère aux implémentations Kerberos une compatibilité des APIs.

• « Name »

Une chaîne binaire marquant un commettant (voir contrôle d'accès et identité (en)). Par exemple, Kerberos utilise des noms comme user@REALM pour les utilisateurs ou service/hostname@REALM pour des programmes.

• « Credentials »

Accréditation - Preuve de l'identité impliquant l'utilisation d'une clef cryptographique; utilisé par toute entité dans le rôle du commettant.

• « Context »

État avant et après l'authentification. Émission d'un message de confirmation chiffré pour la mise en place d'un canal sécurisé (en).

• « Tokens »

Jetons d'accès à l'authentification ou jetons de sécurité inséré dans chaque message.

• « Mechanism »

Implémentation de divers mécanismes sous-jacents comme Kerberos, NTLM, DCE, SESAME, SPKM, LIPKEY.

• « initiator/acceptor »

initiateur/répondeur

cite-note-rfc-4121-a-t-d-11. ↑ (en) Network Working Group, « Request for Comments: 4121 - The Kerberos Version 5 Generic Security Service Application Program Interface (GSS-API) Mechanism: Version 2 », Request for comments no 4121, juillet 2005

cite-note-rfc-6151-a-t-d-22. ↑ (en) Internet Engineering Task Force, « Request for Comments: 6151 - Updated Security Considerations for the MD5 Message-Digest and the HMAC-MD5 Algorithms », Request for comments no 6151, mars 2011

cite-note-rfc-6542-a-t-d-33. ↑ (en) Internet Engineering Task Force, « Request for Comments: 6542 - Kerberos Version 5 Generic Security Service Application Program Interface (GSS-API) Channel Binding Hash Agility », Request for comments no 6542, mars 2012

cite-note-rfc-2743-44. ↑ (en) Request for comments no 2743

• (en) Cet article est partiellement ou en totalité issu de l’article de Wikipédia en anglais intitulé « Generic Security Services Application Program Interface » (voir la liste des auteurs).

• GNU GSS

• (en) RFC 2743 - Generic Security Service Application Program Interface Version 2, Update 1

• (en) RFC 2744 - Generic Security Service API Version 2 : C-bindings

• Portail de la sécurité des systèmes d'information