Sécurité des données personnelles avec la solution SOGENACTIF

Pour assurer une protection maximale de vos données personnelles, nous avon adopté la solution de cryptage de la Société Générale, SOGENACTIF (www.sogenactif.com). Ce procédé repose sur l’utilisation du protocole de cryptage SSL (Secure Socket Layer), c’est à dire la transmission cryptée des informations relatives à la transaction entre le poste de l'internaute acheteur et le serveur de paiement Sogenactif. Cette technologie utilise une clé de cryptage à 128 bits. Dans le cas d’une opération de paiement, SSL sert à crypter le numéro et la date d’expiration d’une carte, saisis sur le clavier de l’internaute, avant son envoi vers le serveur de paiement Sogenactif. Protocole le plus utilisé dans le monde (plus de 80% des sites marchands utilisent SSL), il est disponible sur la quasi-totalité des navigateurs (Internet Explorer V3.02 et suivantes de Microsoft, Navigator V1.1 et suivantes de Netscape,...).

La sécurisation du protocole SSL est basée pour l'essentiel sur :·
- Le scellement des informations relatives à la transaction entre le serveur commerçant et le client, sans que l’acheteur n’ait à télécharger ou même activer un programme, logiciel supplémentaire ; ainsi l’intégrité des données est garantie contre toute tentative de falsification du montant de la transaction. ·
- Le transport crypté du numéro de carte du client vers le serveur de paiement, une protection contre les tentatives d'interception du numéro de la carte lors de son transport sur le réseau ouvert Internet.
- Le stockage protégé des informations relatives à la transaction et au paiement sur le serveur de paiement Sogenactif, protection contre les attaques vers un site commerçant.
- Une demande d'autorisation systématique avec blocage immédiat de la transaction émanant de toute carte inexistante, perdue, volée, ... signalée par le porteur à sa banque. Pour toute information complémentaire, vous pouvez consulter le site : le protocole SSL.
- Les moyens de cryptographie utilisés ont fait l’objet d’une déclaration auprès des Services Administratifs du Gouvernement français : SSI (Sécurité des Systèmes d’Information).

Pour en savoir plus…. un peu de technique !
Que signifie SSL ?

Les développements récents de la technologie des browsers/serveurs permettent aux internautes de profiter des services du net sans se soucier des fraudes électroniques. Deux exemples : le SSL développé par Netscape et le Secure Hypertext Transfert Protocol (S-HTTP) développé par Terisa Systems, Inc. Le succès de SSL s'explique par sa simplicité d'utilisation et par son intégration dans tous les navigateurs du marché : vous remarquerez en bas à gauche de votre navigateur Netscape une petite clé, qui devient automatiquement entière si le serveur qui vous envoit les informations utilise SSL. Ces protocoles permettent aux sessions finales d'internet des browsers et des serveurs de s'authentifier l'une l'autre et de sécuriser l'information qui passe par la suite entre elles. Par l'usage de techniques cryptographiques - comme le cryptage et la signature digitale - ces protocoles :
Permettent aux browsers et serveurs du web de s'authentifier ; autorisent les propriétaires des sites de contrôler l'accès à des serveurs en particulier, des répertoires, documents ou services ; permettent à des informations confidentielles (par ex. les numéros des cartes de crédit) d'être échangées entre browser et serveur tout en restant inaccessibles à des tiers ; et s'assurer à ce que les échanges de données entre browser et serveur ne puissent pas être corrompus - de manière accidentelle ou intentionnelle - sans détection.

Que signifie Certificat de Sécurité ?

Les clés établissant des sessions sécurisées du web via les protocoles SSL ou S-HTTP s'appellent des certificats de sécurité. Sans ces certificats authentiques et fiables, les protocoles SSL ou S-HTTP n'offrent aucune sécurité.

Les qualifications utilisées pour authentifier les serveurs du web et leurs clients via des protocoles comme SSL et S-HTTP s'appellent des certificats de sécurité X.509. Un certificat contient généralement une clé publique, un nom ainsi que d'autres champs pour identifier le propriétaire, une date d'expiration, un numéro de série, le nom de l'organisation qui contresigne le certificat et la signature elle-même. Il fonctionne comme un passeport : il prouve votre identité et est généré par un tiers de confiance, c'est-à-dire un organisme indépendant qui contrôle la véracité de ces informations. Cet organisme certificateur (Certifying Authority, CA) peut être comparé au Bureau des Passeports : il vérifie votre identité, crée un document reconnu et fiable qui certifie qui vous êtes, et vous livre le document..

Que signifie Autorité de Certification et le tiers de Certification ?

Une Autorité de Certification est une autorité fiable et responsable de l'émission de certificats utilisés pour l'identification d'individus, de systèmes ou d'autres entités utilisant un réseau informatique.

L'individu fournira aux serveurs qu'il veut utiliser son certificat personnel signé par le tiers. Le serveur utilisera alors ce certificat pour assurer la sécurité (l'affectera dans les ACLs qui conviennent. L'utilisateur n'aura à stocker qu'un seul certificat (le sien, qui est en quelque sorte sa signature électronique) et n'aura à retenir qu'un seul mot de passe, celui qui protège son certificat. Ce système simplifie la vie de l'utilisateur, mais aussi de l'administrateur des serveurs. En effet, même si à l'échelle d'une entreprise il est simple d'attribuer avec certitude un certificat à la bonne personne, ce n'est plus le cas pour un magasin virtuel. Comment être sûr à distance que l'on signe le certificat de son client (que l'on n'a jamais vu)?

Dans un réseau informatique complexe comme celui du web, le tiers de certification est donc bien nécessaire étant donné toutes les relations entre serveurs. Les serveurs et les clients n'ont sans doute pas établis une relation de confiance mais ils veulent tous deux une session sécurisée et cela demande un lien de confiance. L'Autorité de Certification est ce lien. Puisque les deux parties font chacune confiance en cet AC et puisque cet AC, en signant les certificats de ces parties, se porte garant de leur identité, les parties se reconnaissent l'une l'autre et se font confiance. La session peut donc se dérouler sans risque de fraude