EAP-TLS vs. PEAP : quel protocole d'authentification convient à votre réseau ?

EAP-TLS vs PEAP : Quel protocole d'authentification est adapté à votre réseau ? Un briefing technique Purple [INTRODUCTION - environ 1 minute] Bienvenue dans ce briefing technique Purple. Je suis votre hôte, et nous abordons aujourd'hui l'une des décisions les plus cruciales que vous aurez à prendre lors de la conception ou de la mise à niveau de votre infrastructure sans fil d'entreprise : le choix entre EAP-TLS et PEAP pour votre infrastructure d'authentification 802.1X. Si vous êtes responsable informatique, architecte réseau ou CTO pour un groupe hôtelier, un réseau de points de vente, un stade ou une organisation du secteur public, cette décision a un impact direct sur votre niveau de sécurité, votre conformité et la charge opérationnelle quotidienne de votre équipe. Alors, entrons directement dans le vif du sujet. EAP-TLS et PEAP sont tous deux des méthodes d'authentification 802.1X. Ils s'appuient tous deux sur un serveur RADIUS pour gérer les requêtes d'authentification, et ils offrent tous deux une sécurité nettement supérieure à celle d'une clé partagée WPA2. Mais leur manière de vérifier l'identité est fondamentalement différente - et cette différence a des implications majeures sur la façon dont vous déployez, gérez et faites évoluer votre réseau. [ANALYSE TECHNIQUE - environ 5 minutes] Commençons par EAP-TLS - Extensible Authentication Protocol Transport Layer Security. EAP-TLS est la référence absolue en matière d'authentification WiFi d'entreprise. Sa caractéristique principale est l'authentification mutuelle par certificat. En pratique, cela signifie que lorsqu'un appareil tente de se connecter à votre réseau, le serveur RADIUS lui présente un certificat numérique. L'appareil vérifie ce certificat par rapport à ses Autorités de Certification de confiance. Mais voici la différence essentielle avec PEAP - l'appareil présente ensuite son propre certificat au serveur. Le serveur valide ce certificat client, et l'accès au réseau n'est accordé que si les deux certificats sont valides et approuvés. Il n'y a aucun mot de passe requis. Aucun. L'authentification repose entièrement sur des certificats. Cela rend EAP-TLS extraordinairement résistant au vol d'identifiants, aux attaques par dictionnaire et aux attaques de type Man-in-the-Middle. Il est tout simplement impossible de voler un mot de passe qui n'existe pas dans le processus d'authentification. En contrepartie, la complexité du déploiement est plus élevée. Pour exploiter EAP-TLS à grande échelle, vous avez besoin d'une infrastructure à clés publiques - une PKI - pour émettre, gérer et révoquer les certificats de chaque appareil de votre réseau. Vous avez également besoin d'une solution de gestion des terminaux mobiles pour déployer ces certificats de manière transparente sur les appareils. Si vous gérez un parc d'entreprise avec Microsoft Intune ou Jamf, c'est tout à fait réalisable. Dans le cas contraire, EAP-TLS devient un projet d'envergure. L'autre aspect opérationnel à prendre en compte est la gestion du cycle de vie des certificats. Les certificats expirent. Si le certificat de votre serveur RADIUS expire, la totalité des appareils de votre réseau échouera à s'authentifier simultanément. C'est une panne catastrophique. Les processus de surveillance et de renouvellement des certificats sont donc indispensables. Examinons maintenant PEAP - Protected Extensible Authentication Protocol. PEAP a été conçu pour simplifier le déploiement de EAP-TLS tout en offrant une sécurité robuste. L'idée clé de PEAP est la suivante : seul le serveur a besoin d'un certificat. Le client n'en a pas besoin. Voici comment cela fonctionne. Le serveur RADIUS présente son certificat à l'appareil client. Le client valide le serveur - tout comme avec EAP-TLS. Cela établit un tunnel TLS chiffré. À l'intérieur de ce tunnel, le client effectue ensuite une authentification standard par mot de passe, généralement via MSCHAPv2, auprès de votre annuaire d'identité - Active Directory, LDAP, Google Workspace ou tout autre outil que vous utilisez. Le mot de passe ne circule jamais en clair. Il est toujours protégé à l'intérieur du tunnel chiffré. PEAP est donc réellement sécurisé - à condition d'être configuré correctement. Et c'est là que nous devons aborder la configuration erronée la plus courante et la plus dangereuse des déploiements PEAP. Si un appareil client n'est pas configuré pour valider strictement le certificat du serveur RADIUS, un attaquant peut configurer un point d'accès malveillant avec le même nom de réseau, présenter un faux certificat, et l'appareil s'y connectera sans problème. L'attaquant capture ensuite l'échange d'authentification MSCHAPv2, qui peut être piraté hors ligne. Ce n'est pas une attaque théorique - c'est une technique bien documentée utilisée lors de tests d'intrusion réels. La solution est simple : utilisez des stratégies de groupe, des profils MDM ou des outils d'intégration pour imposer une validation stricte du certificat du serveur sur chaque appareil client. Mais la réalité opérationnelle est que dans les environnements BYOD, garantir que cette configuration soit appliquée de manière cohérente sur des milliers d'appareils personnels non gérés est une tâche difficile. Laissez-moi vous donner une comparaison concrète. Prenez l'exemple d'une chaîne de vente au détail de 500 points de vente. Elle dispose de tablettes d'entreprise et de scanners portables, tous gérés via Microsoft Intune. EAP-TLS est le bon choix. Intune déploie les certificats automatiquement. Si un scanner est perdu, le service informatique révoque son certificat et il est exclu du réseau en quelques minutes - pas de réinitialisation de mot de passe, pas de modification de phrase secrète partagée sur 500 magasins. La sécurité est totale. Considérez maintenant un grand centre de conférences qui gère le WiFi pour 3 000 membres du personnel sur leurs appareils personnels. Pas de MDM. Le personnel utilise Google Workspace. PEAP intégré à Google Secure LDAP est le choix pragmatique. Le personnel s'authentifie avec ses identifiants habituels. L'équipe informatique fournit une documentation d'intégration pour configurer la validation des certificats. C'est déployable en quelques jours, pas en plusieurs mois. L'architecture qui sous-tend les deux protocoles est le même modèle 802.1X à trois composants : le suppliant - qui est l'appareil client - l'authentificateur, qui est votre point d'accès ou commutateur, et le serveur RADIUS. L'authentificateur agit comme un contrôleur d'accès, bloquant tout le trafic jusqu'à ce que le serveur RADIUS signale que l'authentification a réussi. [RECOMMANDATIONS DE MISE EN ŒUVRE ET PIÈGES À ÉVITER - environ 2 minutes] Quelles sont donc les recommandations pratiques ? Premièrement : si vous disposez d'une solution MDM et d'appareils appartenant à l'entreprise, déployez EAP-TLS. L'investissement initial dans une PKI et la gestion des certificats s'avère payant en réduisant les risques et en simplifiant les audits de conformité. Pour les environnements réglementés - santé, finance, secteur public - cela n'est pas facultatif. C'est l'architecture que vos auditeurs s'attendent à voir. Deuxièmement : si vous gérez un environnement BYOD ou si vous ne disposez pas d'une infrastructure MDM, déployez PEAP. Mais ne faites pas l'impasse sur la configuration de la validation du certificat de serveur. Utilisez des outils d'intégration, des portails de contrôle d'accès réseau ou des profils MDM dans la mesure du possible pour l'imposer. Traitez cela comme une étape de déploiement obligatoire, et non comme une mesure de renforcement optionnelle. Troisièmement : quel que soit le protocole choisi, intégrez la redondance RADIUS dans votre architecture. L'authentification est un élément critique. Une seule panne de serveur RADIUS signifie que personne ne peut accéder au réseau. Les solutions RADIUS hébergées dans le cloud peuvent offrir cette résilience sans la charge de gestion d'une infrastructure sur site redondante. Quatrièmement : segmentez votre réseau après l'authentification. Une authentification 802.1X réussie ne doit pas accorder un accès illimité à l'ensemble de votre réseau d'entreprise. Utilisez des politiques d'attribution de VLAN pour placer les utilisateurs dans les segments réseau appropriés avec les contrôles d'accès adéquats. Les pièges courants à éviter : l'expiration des certificats entraînant des échecs d'authentification massifs dans les déploiements EAP-TLS ; les appareils clients qui ne valident pas les certificats de serveur dans les déploiements PEAP ; et les problèmes de délai d'attente RADIUS causés par une latence élevée entre le contrôleur sans fil et le serveur d'authentification - particulièrement fréquents dans les parcs géographiquement distribués. [Q&R RAPIDE - environ 1 minute] Permettez-moi de passer en revue quelques questions que j'entends fréquemment. Puis-je utiliser à la fois EAP-TLS et PEAP sur le même réseau ? Oui. De nombreuses organisations utilisent EAP-TLS pour les appareils de l'entreprise sur un SSID et PEAP pour le BYOD ou l'accès invité sur un SSID distinct, avec une segmentation réseau appropriée entre les deux. Le WPA3 modifie-t-il cette décision ? Le WPA3 Enterprise impose un mode de sécurité 192 bits pour les déploiements à haute sécurité, ce qui correspond à EAP-TLS. Le WPA3 Personal utilise SAE au lieu de PSK, mais pour les déploiements d'entreprise 802.1X, le choix de la méthode EAP reste pertinent. Le PEAP est-il conforme à la norme PCI-DSS ? Oui, lorsqu'il est correctement configuré avec la validation obligatoire du certificat de serveur. Cependant, pour les environnements traitant des données de titulaires de cartes, EAP-TLS est de plus en plus la méthode recommandée lors des évaluations de sécurité. Qu'en est-il d'OpenRoaming ? OpenRoaming utilise une authentification basée sur des certificats en arrière-plan, ce qui correspond aux principes d'EAP-TLS. Des plateformes comme Purple peuvent faire office de fournisseur d'identité pour OpenRoaming, permettant un roaming fluide et sécurisé à travers les sites sans ré-authentification. [RÉSUMÉ ET PROCHAINES ÉTAPES - environ 1 minute] En résumé : EAP-TLS est l'option de sécurité la plus élevée, éliminant totalement les mots de passe grâce à l'authentification mutuelle par certificat. Elle nécessite une infrastructure PKI et MDM mais offre la posture de conformité la plus solide et le contrôle d'accès au niveau de l'appareil le plus granulaire. PEAP est le choix pragmatique pour le BYOD et les environnements sans infrastructure de gestion de certificats, offrant une authentification chiffrée robuste à l'aide des identifiants existants - mais uniquement lorsque la validation du certificat du serveur est rigoureusement appliquée. Le cadre de décision est simple : si vous gérez vos appareils, utilisez EAP-TLS. Si vos utilisateurs apportent leurs propres appareils, utilisez PEAP - mais configurez-le correctement. Pour vos prochaines étapes : auditez votre configuration d'authentification actuelle, évaluez votre préparation PKI et MDM, et examinez votre infrastructure RADIUS pour la redondance et la latence. Si vous déployez ou mettez à niveau le WiFi invité aux côtés de votre réseau d'entreprise, considérez comment une plateforme comme Purple peut s'intégrer à votre infrastructure d'authentification pour fournir à la fois de la sécurité et des analyses exploitables à partir de votre réseau. Merci d'avoir écouté le briefing technique de Purple. À la prochaine.