L'authentification 802.1X expliquée pour les réseaux d'entreprise

L'authentification 802.1X expliquée pour les réseaux d'entreprise. Un briefing d'information Purple WiFi. Bienvenue. Si vous êtes responsable de la sécurité réseau au sein d'une entreprise multi-sites - qu'il s'agisse d'un groupe hôtelier, d'une chaîne de magasins, d'un stade ou de bâtiments du secteur public - ce briefing est fait pour vous. Au cours des dix prochaines minutes, nous allons couvrir tout ce que vous devez savoir sur l'authentification 802.1X : ce que c'est, comment elle fonctionne sous le capot, comment la déployer correctement et les pièges dans lesquels tombent la plupart des organisations. Entrons dans le vif du sujet. Section une : Contexte et importance actuelle. Le paysage des menaces pour le WiFi d'entreprise a radicalement changé. Les réseaux à clé prépartagée - ceux où tout le monde connaît le mot de passe WiFi - ne sont plus acceptables pour les réseaux du personnel dans les environnements réglementés. Selon la version 4.0 de la norme PCI-DSS, pleinement entrée en vigueur en 2024, les organisations qui gèrent des données de cartes de paiement doivent mettre en œuvre des contrôles d'accès stricts sur tout réseau en contact avec l'environnement des données des titulaires de cartes. Le GDPR impose des obligations similaires à tout réseau transportant des données personnelles. Et avec le travail hybride, qui implique que le personnel se connecte à partir d'appareils gérés et non gérés sur des dizaines de sites, l'ancien modèle de périmètre ne tient tout simplement plus. Le 802.1X est la norme IEEE qui résout ce problème. Il fournit un contrôle d'accès réseau basé sur les ports - ce qui signifie qu'un appareil ne peut pas du tout rejoindre le réseau tant qu'il n'a pas été authentifié auprès d'un répertoire d'identités centralisé. Pas seulement un mot de passe partagé. Une véritable identité vérifiée. C'est le changement fondamental. Section deux : Analyse technique approfondie. Parcourons l'architecture. Le 802.1X définit trois rôles. Le suppliant (supplicant) - c'est l'appareil final, l'ordinateur portable ou le smartphone qui tente de se connecter. L'authentificateur (authenticator) - c'est le point d'accès sans fil ou le commutateur réseau. Et le serveur d'authentification (authentication server) - qui, dans pratiquement tous les déploiements d'entreprise, est un serveur RADIUS. Voici comment fonctionne la négociation (handshake). Lorsqu'un appareil tente de se connecter à un SSID protégé, le point d'accès place cet appareil dans un état non authentifié. Il ne peut pas accéder au réseau. Le point d'accès envoie une trame EAP Request Identity à l'appareil. EAP signifie Extensible Authentication Protocol - c'est le framework qui transporte les identifiants réels. L'appareil répond avec son identité. Le point d'accès transmet cette information au serveur RADIUS, encapsulée dans un paquet RADIUS Access-Request. Le serveur RADIUS défie ensuite l'appareil - le défi spécifique dépend de la méthode EAP que vous utilisez. L'appareil répond avec ses identifiants. Le serveur RADIUS valide ces identifiants par rapport à votre répertoire d'identités - Active Directory, LDAP ou un fournisseur d'identité cloud - et renvoie soit un Access-Accept, soit un Access-Reject. S'il s'agit d'un Accept, le point d'accès ouvre le port et l'appareil obtient l'accès au réseau. S'il s'agit d'un Reject, l'appareil reste bloqué. L'ensemble de l'échange prend moins d'une seconde.Désormais, le choix de la méthode EAP est l'étape sur laquelle la plupart des architectes passent leur temps. Vous disposez de quatre options principales. EAP-TLS est la référence absolue. Elle nécessite un certificat client sur chaque appareil, ce qui implique de disposer d'une infrastructure PKI, mais elle fournit une authentification mutuelle - le serveur prouve son identité au client, et le client prouve son identité au serveur. Aucun identifiant ne peut être hameçonné puisqu'il n'y a pas de mot de passe impliqué. C'est le bon choix pour les parcs d'appareils entièrement gérés. PEAP - Protected EAP - est la méthode la plus largement déployée en pratique. Elle crée un tunnel TLS en utilisant uniquement un certificat serveur, puis transmet les identifiants utilisateur et mot de passe à l'intérieur de ce tunnel. Elle est nettement plus facile à déployer que EAP-TLS car vous n'avez pas besoin de certificats clients, et elle est prise en charge nativement par tous les principaux systèmes d'exploitation. Le compromis est qu'elle repose sur la validation du certificat serveur par les utilisateurs, ce qu'ils ne font souvent pas en pratique. Un déploiement PEAP correct nécessite de verrouiller la configuration du suppléant pour qu'il ne fasse confiance qu'au certificat de votre serveur RADIUS spécifique. EAP-TTLS est similaire à PEAP mais offre plus de flexibilité pour la méthode d'authentification interne. Elle est particulièrement utile dans les environnements comportant des appareils existants ou des terminaux non-Windows. EAP-FAST a été développée par Cisco comme une alternative plus rapide utilisant des Protected Access Credentials au lieu de certificats, mais elle est moins fréquemment déployée dans les nouvelles infrastructures. Le serveur RADIUS lui-même mérite une attention particulière. Les deux options open-source dominantes sont FreeRADIUS, qui alimente une proportion importante des déploiements d'entreprise dans le monde, et Microsoft NPS - Network Policy Server - qui est inclus avec Windows Server et s'intègre nativement à Active Directory. Les options commerciales incluent Cisco ISE, Aruba ClearPass et Portnox Cloud, qui propose un modèle de RADIUS-as-a-Service cloud-native qui élimine totalement le besoin d'une infrastructure de serveurs sur site. L'attribution de VLAN est l'une des fonctionnalités les plus puissantes d'un déploiement 802.1X correctement configuré. Le serveur RADIUS peut renvoyer des attributs VLAN dans la réponse Access-Accept, attribuant de manière dynamique l'appareil authentifié au segment réseau approprié. Un membre du personnel s'authentifie et se retrouve sur le VLAN du personnel. Un prestataire s'authentifie avec des identifiants différents et se retrouve sur un VLAN restreint avec un accès limité. Un appareil dont la validation du certificat échoue est placé dans un VLAN de quarantaine. C'est cela, la segmentation dynamique, et il s'agit d'un contrôle de sécurité majeur. Section trois : Recommandations de mise en œuvre et pièges à éviter. Laissez-moi vous donner la séquence de déploiement qui fonctionne. Commencez par un audit réseau. Avant de toucher à la moindre configuration, documentez chaque appareil qui devra s'authentifier. Cela inclut les imprimantes, les téléphones IP, les systèmes de gestion technique du bâtiment, les caméras de vidéosurveillance - tout appareil qui se connecte au réseau. Ces appareils sans écran n'ont pas de suppliant et ne peuvent pas utiliser 802.1X. Vous aurez besoin d'une stratégie pour eux, généralement un contournement d'authentification MAC avec une liste blanche stricte d'adresses MAC et un placement dans un VLAN isolé. Étape deux : configurez votre infrastructure RADIUS. Pour la résilience, vous avez besoin au minimum d'un serveur RADIUS principal et d'un serveur secondaire. Configurez vos points d'accès pour un basculement automatique. Une panne RADIUS qui bloque l'accès au réseau de tout le personnel est un incident de priorité P1. Ne laissez pas cela se produire en déployant un serveur unique. Étape trois : déployez votre infrastructure PKI si vous optez pour EAP-TLS. Utilisez vos services de certificats Active Directory existants ou un fournisseur de PKI cloud. L'auto-enrôlement via la politique de groupe rend le déploiement des certificats clients gérable à grande échelle. Étape quatre : configurez vos politiques réseau. Définissez vos politiques d'authentification dans RADIUS - quels utilisateurs ou groupes d'appareils obtiennent quelles affectations de VLAN, que se passe-t-il en cas d'échec d'authentification, comment vous gérez le trafic des invités par rapport à celui du personnel. C'est ici que vous appliquez le principe du moindre privilège au niveau de la couche réseau. Étape cinq : pilotez avant de déployer. Prenez un site, un étage, un SSID. Testez chaque type d'appareil. Testez les scénarios de défaillance. Testez ce qui se passe lorsque le serveur RADIUS est injoignable. Seulement après cela, élargissez le déploiement. Maintenant, les pièges à éviter. Le plus courant que je constate est la mauvaise configuration de la validation des certificats sur les déploiements PEAP. Si votre politique de suppliant n'impose pas la validation du certificat du serveur, vous êtes vulnérable aux attaques de points d'accès pirates où un attaquant configure un faux point d'accès et récupère les identifiants. Verrouillez vos profils de suppliants via la politique de groupe ou une solution de MDM. Le deuxième piège est d'ignorer les appareils non compatibles 802.1X jusqu'au jour du déploiement. Les appareils IoT, les imprimantes et les systèmes hérités perturberont votre déploiement si vous ne les avez pas planifiés. Le contournement d'authentification MAC est votre allié ici, mais il doit être configuré avant d'activer le système. Le troisième piège est d'avoir des points de défaillance uniques dans RADIUS. J'ai vu des organisations déployer un seul serveur NPS et découvrir que l'intégralité du réseau de leur personnel tombait en panne lors d'un redémarrage lié à une mise à jour Windows. Déployez toujours une infrastructure RADIUS redondante. Section quatre : Questions-réponses rapides. Le protocole 802.1X peut-il fonctionner en parallèle avec un réseau WiFi invité ? Absolument. Votre SSID invité fonctionne séparément - généralement via une approche de Captive Portal - tandis que votre SSID du personnel applique le protocole 802.1X. Ce sont des SSID complètement indépendants avec des VLAN séparés. La plateforme de Purple gère la partie invitée, avec des outils d'analyse et d'engagement intégrés, tandis que votre infrastructure 802.1X sécurise la partie personnel. Le 802.1X remplace-t-il un VPN ? Non. Le 802.1X contrôle l'admission au réseau - qui peut rejoindre le réseau. Un VPN chiffre le trafic en transit et étend le réseau de l'entreprise sur des connexions non sécurisées. Ils répondent à des objectifs différents et sont souvent associés. Quel est l'impact sur les performances de roaming ? Avec le 802.1X, chaque fois qu'un appareil passe d'un point d'accès à un autre, il doit se réauthentifier. Pour la plupart des déploiements d'entreprise, cela est imperceptible. La mise en cache PMK et l'OKC - Opportunistic Key Caching - réduisent considérablement la charge de réauthentification. Pour les environnements à haute densité comme les stades ou les centres de conférence, il est recommandé de configurer cela de manière explicite. Le WPA3-Enterprise remplace-t-il le 802.1X ? Non - WPA3-Enterprise utilise le 802.1X pour l'authentification. Le WPA3 améliore la couche de chiffrement, en imposant spécifiquement un mode de sécurité de 192 bits pour les déploiements les plus sensibles. Le 802.1X est le framework d'authentification sous-jacent. Section cinq : Résumé et prochaines étapes. Voici ce que vous devez retenir de ce briefing. Le 802.1X est le seul mécanisme d'authentification de classe entreprise pour le WiFi d'entreprise. Les clés pré-partagées ne sont pas acceptables pour les environnements réglementés. Choisissez votre méthode EAP en fonction de votre parc d'appareils - EAP-TLS si vous avez des appareils gérés et une PKI, PEAP si vous avez besoin d'une compatibilité plus large. Anticipez la gestion des appareils non compatibles 802.1X avant votre déploiement, pas après. Déployez une infrastructure RADIUS redondante - un serveur unique constitue un point de défaillance unique. Utilisez l'attribution dynamique de VLAN pour appliquer la segmentation du réseau au moment de l'authentification. Et réalisez un pilote complet avant de déployer sur l'ensemble de votre parc. Si vous concevez un déploiement multi-sites et devez réfléchir à l'architecture, l'équipe technique de Purple collabore quotidiennement avec des architectes réseau dans les secteurs de l'hôtellerie, de la vente au détail et du secteur public. La combinaison d'un WiFi pour le personnel sécurisé via 802.1X et d'un WiFi invités intelligent via la plateforme de Purple vous offre une stratégie réseau complète et segmentée qui répond à la fois à vos obligations de sécurité et à vos exigences en matière d'expérience client. C'est tout pour ce briefing. Merci pour votre écoute.