PIN : Personal Identification Number
Sécurité
PIN : Personal Identification Number. « Numéro d'identification personnel », par analogie avec le code à quatre chiffres tapé au distributeur, en masquant le clavier d'une main.
Vérifié sur place : Un PIN est contrôlé par l'appareil lui-même (carte à puce, clé de sécurité, TPM, HSM), pas par un serveur distant. Il déverrouille localement une clé privée qui, elle, ne sort jamais.
Compteur d'essais : Sa faible entropie est compensée par un compteur d'échecs qui bloque le jeton après quelques tentatives ; un code de déblocage, comme le PUK (PIN Unblocking Key) d'une carte SIM, permet ensuite de le réinitialiser.
Affaire de contexte : Quatre chiffres pour protéger un compte en ligne relèveraient de la plaisanterie ; les mêmes quatre chiffres, enfermés dans un jeton qui se verrouille au troisième échec, deviennent une serrure respectable. Comme la vertu, le PIN ne vaut que par ce qui l'entoure.
Côté applications : Pour un HSM, le PIN est souvent l'identifiant qu'une application présente pour ouvrir une session. Quiconque le détient peut donc demander des signatures au module, exactement comme l'application légitime.
Ce qui arrive si on s'en passe
Sans PIN, la possession du jeton suffit : une clé de sécurité perdue, une carte ramassée ou un téléphone déverrouillé donne accès à tout ce que la clé protège, sans rien savoir de plus. Sans compteur d'essais, un code de quatre chiffres se trouve par simple énumération. Côté serveur, un PIN de session de module matériel rangé en clair dans un fichier de configuration ne vaut que ce que vaut ce fichier : quiconque le lit peut faire signer n'importe quoi au module. Le PIN ne protège qu'associé à un blocage après échecs et à un stockage aussi soigné que celui d'un mot de passe.
Explication de la marmotte
C'est un petit code secret, souvent quelques chiffres, qu'on tape pour prouver qu'on est bien le propriétaire d'une carte, d'un téléphone ou d'une clé de sécurité. Il ne voyage pas sur Internet : c'est l'objet lui-même qui le vérifie. Comme il est court, l'objet se bloque après quelques erreurs, sinon un voleur n'aurait qu'à essayer toutes les combinaisons. L'idée : avoir l'objet ne suffit pas, il faut aussi connaître le code, comme pour la carte bancaire au distributeur.
Où ce terme est utilisé
- Installer SoftHSM v2 sur Debian/Ubuntu pour un laboratoire PKCS#11 (15 occurrences)
- Le HSM n'est pas un coffre-fort (10 occurrences)
- Auditer un HSM pour la conformité PCI DSS dans les paiements (9 occurrences)
- Comment isoler les clés dans un HSM multi-tenant (4 occurrences)
- Intégrer un HSM à la signature CI/CD (3 occurrences)
- Authentifier les personnes et les services (2 occurrences)
- Configurer Windows Hello for Business sans mot de passe (2 occurrences)
- Déployer FIDO2 pour comptes à privilèges (2 occurrences)
- Dimensionner un cluster HSM à forte charge transactionnelle (2 occurrences)
- Lire une certification FIPS 140-3 ou Critères Communs d'un HSM (2 occurrences)