L'authentification 802.1X expliquée pour les réseaux d'entreprise

L'authentification 802.1X expliquée pour les réseaux d'entreprise. Une note d'information Purple WiFi. Bienvenue. Si vous êtes responsable de la sécurité réseau au sein d'une organisation multisite — qu'il s'agisse d'un groupe hôtelier, d'une chaîne de vente au détail, d'un stade ou d'un parc du secteur public — cette note d'information vous est destinée. Au cours des dix prochaines minutes, nous allons aborder tout ce que vous devez savoir sur l'authentification 802.1X : de quoi il s'agit, comment elle fonctionne en coulisses, comment la déployer correctement et les pièges dans lesquels tombent la plupart des organisations. Entrons dans le vif du sujet. Première section : Contexte et importance actuelle. Le paysage des menaces pour le WiFi d'entreprise a radicalement changé. Les réseaux à clé prépartagée — ceux où tout le monde connaît le mot de passe WiFi — ne sont plus acceptables pour les réseaux du personnel dans les environnements réglementés. Selon la version 4.0 de la norme PCI DSS, pleinement entrée en vigueur en 2024, les organisations qui gèrent des données de cartes de paiement doivent mettre en œuvre des contrôles d'accès stricts sur tout réseau en contact avec l'environnement des données de titulaires de cartes. Le GDPR impose des obligations similaires à tout réseau acheminant des données personnelles. Et avec le travail hybride, qui implique que le personnel se connecte à partir d'appareils gérés et non gérés sur des dizaines de sites, l'ancien modèle de périmètre ne tient tout simplement plus. Le 802.1X est la norme IEEE qui résout ce problème. Elle fournit un contrôle d'accès réseau basé sur les ports — ce qui signifie qu'un appareil ne peut pas du tout rejoindre le réseau tant qu'il n'a pas été authentifié auprès d'un référentiel d'identités centralisé. Pas seulement un mot de passe partagé. Une véritable identité vérifiée. C'est là le changement fondamental. Deuxième section : Analyse technique approfondie. Examinons l'architecture. Le 802.1X définit trois rôles. Le suppliant (supplicant) — c'est l'appareil final, l'ordinateur portable ou le smartphone qui tente de se connecter. L'authentificateur — c'est le point d'accès sans fil ou le commutateur réseau. Et le serveur d'authentification — qui, dans pratiquement tous les déploiements d'entreprise, est un serveur RADIUS. Voici comment fonctionne la négociation (handshake). Lorsqu'un appareil tente de se connecter à un SSID protégé, le point d'accès place cet appareil dans un état non authentifié. Il ne peut pas accéder au réseau. Le point d'accès envoie une trame EAP Request Identity à l'appareil. EAP signifie Extensible Authentication Protocol — c'est le framework qui transporte les identifiants réels. L'appareil répond avec son identité. Le point d'accès transmet cette information au serveur RADIUS, encapsulée dans un paquet RADIUS Access-Request. Le serveur RADIUS défie ensuite l'appareil — le défi spécifique dépend de la méthode EAP que vous utilisez. L'appareil répond avec ses identifiants. Le serveur RADIUS valide ces identifiants par rapport à votre référentiel d'identités — Active Directory, LDAP ou un IdP cloud — et renvoie soit un Access-Accept, soit un Access-Reject. S'il s'agit d'un Accept, le point d'accès ouvre le port et l'appareil obtient l'accès au réseau. S'il s'agit d'un Reject, l'appareil reste bloqué. L'ensemble de l'échange prend moins d'une seconde. Désormais, la sélection de la méthode EAP est l'étape où la plupart des architectes passent le plus de temps. Vous disposez de quatre options principales. EAP-TLS est la référence absolue. Elle nécessite un certificat client sur chaque appareil, ce qui implique de disposer d'une infrastructure PKI, mais elle offre une authentification mutuelle : le serveur prouve son identité au client, et le client prouve la sienne au serveur. Aucun identifiant ne peut être hameçonné car aucun mot de passe n'est utilisé. C'est le choix idéal pour les flottes d'appareils entièrement gérées. PEAP (Protected EAP) est la méthode la plus largement déployée en pratique. Elle crée un tunnel TLS en utilisant uniquement un certificat serveur, puis transmet les identifiants de connexion (nom d'utilisateur et mot de passe) à l'intérieur de ce tunnel. Elle est nettement plus facile à déployer que l'EAP-TLS car elle ne nécessite pas de certificats clients, et elle est prise en charge nativement par tous les principaux systèmes d'exploitation. Le compromis réside dans le fait qu'elle repose sur la validation du certificat serveur par les utilisateurs, ce qu'ils ne font souvent pas en pratique. Un déploiement PEAP correct nécessite de verrouiller la configuration du demandeur (supplicant) afin qu'il ne fasse confiance qu'au certificat de votre serveur RADIUS spécifique. EAP-TTLS est similaire à PEAP mais offre plus de flexibilité dans la méthode d'authentification interne. Elle est particulièrement utile dans les environnements comportant des appareils existants ou des terminaux non-Windows. EAP-FAST a été développée par Cisco comme une alternative plus rapide qui utilise des identifiants d'accès protégés (PAC) au lieu de certificats, mais elle est moins fréquemment déployée dans les nouvelles infrastructures. Le serveur RADIUS lui-même mérite une attention particulière. Les deux principales options open source sont FreeRADIUS, qui alimente une part importante des déploiements d'entreprise dans le monde, et Microsoft NPS (Network Policy Server), qui est inclus avec Windows Server et s'intègre nativement avec Active Directory. Les options commerciales incluent Cisco ISE, Aruba ClearPass et Portnox Cloud, qui propose un modèle de RADIUS-as-a-service cloud-native éliminant totalement le besoin d'une infrastructure de serveurs sur site. L'attribution de VLAN est l'une des fonctionnalités les plus puissantes d'un déploiement 802.1X correctement configuré. Le serveur RADIUS peut renvoyer des attributs VLAN dans la réponse Access-Accept, attribuant de manière dynamique l'appareil authentifié au segment de réseau approprié. Un membre du personnel s'authentifie et se retrouve sur le VLAN du personnel. Un prestataire s'authentifie avec des identifiants différents et se retrouve sur un VLAN restreint avec un accès limité. Un appareil qui échoue à la validation du certificat est placé dans un VLAN de quarantaine. C'est ce qu'on appelle la segmentation dynamique, et c'est un contrôle de sécurité majeur. Section trois : Recommandations de mise en œuvre et pièges à éviter. Laissez-moi vous présenter la séquence de déploiement qui fonctionne. Commencez par un audit réseau. Avant de toucher à la moindre configuration, documentez chaque appareil qui devra s'authentifier. Cela inclut les imprimantes, les téléphones IP, les systèmes de gestion technique du bâtiment, les caméras de vidéosurveillance — tout appareil qui se connecte au réseau. Ces appareils sans écran n'ont pas de supplicant et ne peuvent pas faire de 802.1X. Vous aurez besoin d'une stratégie pour eux, généralement un MAC Authentication Bypass avec une liste blanche stricte d'adresses MAC et un placement dans un VLAN isolé. Étape deux : mettez en place votre infrastructure RADIUS. Pour la résilience, il vous faut au minimum un serveur RADIUS principal et un secondaire. Configurez vos points d'accès pour qu'ils basculent automatiquement en cas de panne. Une panne RADIUS qui bloque tout le personnel du réseau est un incident de priorité P1. Ne laissez pas cela se produire en déployant un serveur unique. Étape trois : déployez votre PKI si vous optez pour EAP-TLS. Utilisez vos services de certificats Active Directory existants ou un fournisseur de PKI cloud. L'auto-enrôlement via les stratégies de groupe rend le déploiement des certificats clients gérable à grande échelle. Étape quatre : configurez vos politiques réseau. Définissez vos politiques d'authentification dans RADIUS — quels utilisateurs ou groupes d'appareils reçoivent quelles attributions de VLAN, ce qui se passe pour les authentifications échouées, comment vous gérez le trafic des invités par rapport à celui du personnel. C'est ici que vous appliquez le principe du moindre privilège au niveau de la couche réseau. Étape cinq : faites un pilote avant le déploiement général. Prenez un site, un étage, un SSID. Testez chaque type d'appareil. Testez les scénarios de panne. Testez ce qui se passe lorsque le serveur RADIUS est injoignable. Seulement après cela, étendez le déploiement. Maintenant, les pièges. Le plus courant que je constate est la mauvaise configuration de la validation des certificats sur les déploiements PEAP. Si votre politique de supplicant n'impose pas la validation du certificat du serveur, vous êtes vulnérable aux attaques par point d'accès rogue, où un attaquant configure un faux point d'accès et récupère les identifiants. Verrouillez vos profils de supplicant via les stratégies de groupe ou un MDM. Le deuxième piège consiste à ignorer les appareils non-802.1X jusqu'au jour du lancement. Les appareils IoT, les imprimantes et les systèmes existants feront échouer votre déploiement si vous ne les avez pas anticipés. Le MAC Authentication Bypass est votre allié ici, mais il doit être configuré avant d'activer le système. Le troisième piège est le point de défaillance unique dans RADIUS. J'ai vu des organisations déployer un seul serveur NPS et découvrir que l'ensemble du réseau de leur personnel tombait en panne lors d'un redémarrage de mise à jour Windows. Déployez toujours une infrastructure RADIUS redondante. Section quatre : Questions-réponses rapides. Le 802.1X peut-il fonctionner aux côtés d'un réseau WiFi invité ? Absolument. Votre SSID invité fonctionne séparément — généralement en utilisant une approche de Captive Portal — tandis que votre SSID personnel impose le 802.1X. Ce sont des SSIDs complètement indépendants avec des VLANs distincts. La plateforme de Purple gère la partie invités, avec des outils d'analyse et d'engagement superposés, tandis que votre infrastructure 802.1X sécurise la partie personnel. Est-ce que le 802.1X remplace un VPN ? Non. Le 802.1X contrôle l'admission au réseau — qui peut rejoindre le réseau. Un VPN chiffre le trafic en transit et étend le réseau de l'entreprise sur des connexions non sécurisées. Ils répondent à des besoins différents et sont souvent utilisés ensemble. Quel est l'impact sur les performances d'itinérance ? Avec le 802.1X, chaque fois qu'un appareil passe d'un point d'accès à un autre, il doit se réauthentifier. Pour la plupart des déploiements d'entreprise, cela est imperceptible. La mise en cache PMK et l'OKC — Opportunistic Key Caching — réduisent considérablement la charge de réauthentification. Pour les environnements à haute densité comme les stades ou les centres de conférence, il est recommandé de configurer cela explicitement. Le WPA3-Enterprise remplace-t-il le 802.1X ? Non — le WPA3-Enterprise utilise le 802.1X pour l'authentification. Le WPA3 améliore la couche de chiffrement, en imposant notamment un mode de sécurité 192 bits pour les déploiements les plus sensibles. Le 802.1X reste le framework d'authentification sous-jacent. Section cinq : Résumé et prochaines étapes. Voici ce que vous devez retenir de ce briefing. Le 802.1X est le seul mécanisme d'authentification de classe entreprise pour le WiFi d'entreprise. Les clés pré-partagées ne sont pas acceptables pour les environnements réglementés. Choisissez votre méthode EAP en fonction de votre parc d'appareils — EAP-TLS si vous disposez d'appareils gérés et d'une PKI, PEAP si vous avez besoin d'une compatibilité plus large. Anticipez la gestion des appareils non compatibles 802.1X avant votre déploiement, et non après. Déployez une infrastructure RADIUS redondante — un serveur unique constitue un point de défaillance unique. Utilisez l'attribution dynamique de VLAN pour appliquer la segmentation du réseau au moment de l'authentification. Et menez un projet pilote approfondi avant de déployer la solution sur l'ensemble de votre parc. Si vous concevez un déploiement multi-sites et devez réfléchir à l'architecture, l'équipe technique de Purple collabore chaque jour avec des architectes réseau dans les secteurs de l'hôtellerie, du commerce de détail et du secteur public. L'association d'un WiFi personnel sécurisé via le 802.1X et d'un WiFi invité intelligent via la plateforme de Purple vous offre une stratégie réseau complète et segmentée qui répond à la fois à vos obligations de sécurité et à vos exigences en matière d'expérience client. C'est tout pour ce briefing. Merci pour votre écoute.