|
10/11/2001
Comment
GL Trade authentifie ses clients traders
Editeur
de solutions pour la diffusion de flux financier et
le passage d'ordres en bourse, GL Trade offre aux traders
de pouvoir travailler avec 55 places à travers le monde.
Les exigences en termes de performance et de sécurité
de cet univers expliquent pourquoi la société ne s'est
intéressée que récemment aux technologies du Net. "Un
ordre qui passe avec un différé de quelques secondes,
n'est pas viable", souligne Jean-Philippe Courbois,
chef de projet. Quant à la sécurité, elle doit être
sans faille.
Le choix
de la carte-calculette
GL Trade a donc récemment décidé d'ajouter aux côtés
de sa solution client-serveur pour professionnels, deux
offres qui s'appuient sur les technologies du Net :
TraderNet et BrokerNet. En partie du moins. Si ces logiciels
s'appuient sur le protocole IP pour véhiculer les données,
il s'agit encore de logiciels spécifiques qui appellent
des serveurs spécifiques. "Du client-serveur sur le
net utilisant IP", résume Jean-Philippe Courbois. Un
premier pas vers les technologies du Web qui a toutefois
d'ores et déjà demandé à GL Trade de traiter la problématique
de l'authentification des utilisateurs et de l'encryptage
des données.
Pour
l'encryptage des données une solution SSL standard est
mise en oeuvre. En revanche, pour l'authentifcation,
qui se devait d'être "forte" (les actes
qui découlent d'une telle procédure ne sont pas répudiables),
GL Trade s'est tournée vers la solution SecurID de RSA.
Distribuée aux clients de GL Trade, cette calculette
génère un code toutes les minutes. Ce procédé d'authentification
est aussi connu sous le nom de token (jeton en anglais).
Gros avantage, voler ces codes s'avèrent totalement
vain, puisque les clefs générées par la calculette ne
sont valides que durant une minute et ne sont utilisables
qu'une seule fois (une fois utilisé, le code est invalidé
par le serveur). Lorsqu'un utilisateur se connecte,
il doit donc saisir à la fois son numéro d'utilisateur,
le code secret qui lui est fourni à la remise de la
calculette et le code que lui retourne la carte-calculette
de RSA. A l'autre bout, sur la plate-forme de GL Trade,
le logiciel Ace/Server de RSA vérifie que le trinôme
numéro d'utilisateur/code secret/clef générée est bien
valide.
En cas
de doute, relance d'un défi à l'utilisateur
"Si ce n'est pas le cas, le serveur demande à nouveau
de saisir le trinôme . La procédure sera renouvelée
cinq fois avant que l'utilisateur ne passe en mode sécurité
haute (mode "next token" code ), détaille Jean-Philippe
Courbois. Dans ce mode, le serveur est programmé pour
lancer un défi au trader en lui demandant de saisir
une nouvelle clef". Une procédure qui peut sembler contraignante
mais qui est aussi cohérente avec un dispositif d'authentification
forte.
Dixit, le chef de projet de TraderNet, l'intégration
de ce dispositif a été indolore. "Nous n'avons peu eu
à toucher le code de nos applications seulement le mode
de connexion, confirme l'intéressé. La solution de RSA
se branche sur l'existant sans le modifier. Et elle
fonctionne en standard dans un mode maître/esclave qui
assure la redondance du dispositif côté serveurs". Quant
aux cartes elles-mêmes, elles sont fabriquées par RSA
et commandées par l'intermédiaire du distributeur Global
Control, avant d'être revendues aux utilisateurs finaux
par GL TRADE. Pour l'heure, GL TRADE en a distribué
quelques centaines d'exemplaires auprès de ses clients
comme la Bourse de Vienne (Autriche), Refco (France),
De Graaf (Pays-bas),
|
