Tokenisation (sécurité informatique)
Pour les articles homonymes, voir Token.
Cet article ne cite pas suffisamment ses sources ().
Si vous disposez d'ouvrages ou d'articles de référence ou si vous connaissez des sites web de qualité traitant du thème abordé ici, merci de compléter l'article en donnant les références utiles à sa vérifiabilité et en les liant à la section « Notes et références ».
En pratique : Quelles sources sont attendues ? Comment ajouter mes sources ?
Dans le contexte de la sécurisation de données informatique, la tokenisation est le procédé permettant de remplacer une donnée critique par un élément équivalent qui n’aura aucune valeur intrinsèque ou signification exploitable une fois sortie du système.
Principe
[modifier | modifier le code]Cet élément sera appelé Token. Ce principe de sécurisation des données consiste à séparer l’information du code qui la recouvre. Pour présenter un niveau de sécurité satisfaisant, un token doit être irréversible et généré de manière aléatoire. Le calcul du token se fait à partir d’aléas calculés par un logiciel ou par des dispositifs cryptographiques matériels. La restitution de la donnée originale est appelée détokenisation et n’est autorisée qu’au cours de processus clairement identifiés et est limitée à certaines applications, processeurs ou utilisateurs[1].
La tokenisation permet de réduire l’exposition des données sensibles à des applications, utilisateurs ou processeurs et ainsi limiter les risques de compromission.
Une fois tokenisées, les données critiques sont réputées désensibilisées puis peuvent circuler et être traitées ou stockées dans les systèmes. En cas de subtilisation, ces tokens n’ont aucune valeur car ils ne peuvent pas être utilisés dans un système qui ne les aurait pas générés (cas d’un système fermé), ou dans un système qui n’aurait pas accès à la détokenisation (cas d’un système ouvert interopérant, par exemple un système utilisant des tokens au standard EMVCo).
Usages
[modifier | modifier le code]La tokenisation peut être utilisée pour la sécurisation de tout type de données : données de paiement (numéros de cartes, IBAN…), de santé (numéro de sécurité sociale, dossier médical…), d’identification (numéro de permis, de carte d’identité…), d’authentification (mot de passe…).
Selon les systèmes et les problématiques, le token peut porter ou non les mêmes caractéristiques que la donnée originale. Dans un contexte de sécurisation des données de paiement, les tokens conservent certaines caractéristiques des numéros de carte qu’ils remplacent : portion du BIN, longueur, validité à des contrôles spécifiques…
L'utilisation de la tokenisation lorsqu'il s'agit de cartes de crédit signifie que les vendeurs sont en mesure de suivre la norme de sécurité des données de l'industrie des cartes de paiement et que les informations des consommateurs sont protégées[2].
Le choix de la tokenisation comme alternative à d’autres procédés comme le chiffrement peut dépendre des contraintes réglementaires, des recommandations des autorités certificatrices et du degré de sensibilité des données.
Liens externes
[modifier | modifier le code]Notes et références
[modifier | modifier le code]- « Payment Tokenization Explained », sur web.archive.org, (consulté le )
- Díaz-Santiago, S., Rodríguez-Henríquez, L. M., & Chakraborty, D. (2016). A cryptographic study of tokenization systems. International Journal of Information Security, 15(4), 413–432. https://doi.org/10.1007/s10207-015-0313-x
