Qu'est-ce que Cloud RADIUS ? Le guide complet du RADIUS as a Service

Qu'est-ce que Cloud RADIUS ? Le guide complet du RADIUS as a Service. Bienvenue dans le podcast Purple WiFi Intelligence. Je suis votre hôte, et nous vous proposons aujourd'hui un décryptage approfondi de Cloud RADIUS : sa définition, son fonctionnement interne et, surtout, comment évaluer si cette solution est adaptée à votre entreprise pour ce trimestre. Que vous gériez un groupe hôtelier, un parc de points de vente, un stade ou un réseau du secteur public, cet épisode s'adresse à vous. Plantons le décor. Introduction et contexte. Si vous avez déjà dû expliquer à un conseil d'administration pourquoi votre serveur d'authentification réseau est tombé en panne à 2 heures du matin (et pourquoi il a fallu trois heures pour le rétablir), vous comprenez déjà le problème fondamental que résout Cloud RADIUS. L'infrastructure RADIUS sur site traditionnelle est performante, mais elle engendre des coûts opérationnels importants : matériel à approvisionner, cycles de correctifs à gérer, redondance à concevoir manuellement et point de défaillance unique situé dans votre salle serveurs. Cloud RADIUS, ou RADIUS as a Service, déplace cette couche d'authentification vers un environnement cloud managé et hautement disponible. Le protocole lui-même (Remote Authentication Dial-In User Service) n'a pas changé. Il reste l'épine dorsale du contrôle d'accès réseau IEEE 802.1X, le mécanisme que vos points d'accès utilisent pour valider qui accède à votre réseau. Mais l'infrastructure qui l'exécute est désormais gérée par un tiers. Et dans l'informatique d'entreprise, c'est un changement majeur. Entrons maintenant dans les détails techniques. Analyse technique approfondie. Le protocole RADIUS a été défini à l'origine dans la RFC 2865, publiée en 2000, et s'est avéré remarquablement durable. Le protocole fonctionne sur un modèle client-serveur. Votre équipement d'accès réseau (qu'il s'agisse d'un point d'accès WiFi, d'un concentrateur VPN ou d'un commutateur filaire) fait office de client RADIUS, également appelé serveur d'accès réseau ou NAS. Lorsqu'un utilisateur tente de se connecter, le NAS transmet un paquet Access-Request au serveur RADIUS, qui valide les identifiants par rapport à un annuaire d'utilisateurs (généralement Active Directory, LDAP ou un fournisseur d'identité cloud) et renvoie un message Access-Accept ou Access-Reject. Voilà pour l'échange de base. Mais la véritable complexité réside dans ce qui l'entoure : les méthodes EAP, l'attribution des VLAN, l'application des politiques, les enregistrements de comptabilité et la gestion des certificats. Dans un déploiement sur site traditionnel, vous exécutez FreeRADIUS ou Microsoft NPS sur du matériel dédié, gérant vos propres certificats, configurant votre propre basculement et maintenant votre propre synchronisation de base de données utilisateurs. Pour un déploiement sur un site unique avec une équipe informatique compétente, c'est gérable. Pour un parc de 50 points de vente ou un groupe hôtelier possédant des établissements dans plusieurs pays, cela devient une charge opérationnelle considérable. Le Cloud RADIUS simplifie tout cela. La logique d'authentification, l'infrastructure de certificats, la redondance et le moteur de politiques sont tous fournis sous forme de service managé. Vos points d'accès pointent vers des terminaux RADIUS hébergés dans le cloud — généralement une adresse IP principale et une adresse IP secondaire — et le service gère tout le reste en arrière-plan. Parlons maintenant des méthodes d'authentification, car c'est là que les décisions techniques importent vraiment. La méthode EAP la plus courante dans le WiFi d'entreprise est PEAP — Protected EAP — qui encapsule MSCHAPv2 dans un tunnel au sein d'une session TLS. Elle est largement prise en charge, fonctionne nativement avec Active Directory et constitue le choix par défaut pour la plupart des appareils Windows et Android. Cependant, PEAP présente des vulnérabilités connues, notamment au niveau de la validation des certificats. Si vos appareils clients ne sont pas configurés pour vérifier le certificat du serveur, vous êtes exposé à des attaques de collecte d'identifiants via des points d'accès pirates. EAP-TLS est la référence absolue. Il utilise une authentification mutuelle par certificat — le serveur et le client présentent tous deux des certificats — ce qui élimine totalement la surface d'attaque sur les mots de passe. Le compromis réside dans le déploiement des certificats clients, qui nécessite une infrastructure PKI et une intégration MDM. Pour les flottes d'appareils managés, c'est absolument le bon choix. Pour les environnements BYOD, c'est plus complexe. EAP-TTLS et EAP-FAST méritent également d'être connus. TTLS est particulièrement courant dans les environnements où vous devez prendre en charge une large gamme d'appareils clients, y compris les systèmes Linux. EAP-FAST a été développé par Cisco comme une alternative à PEAP qui évite la dépendance à la validation des certificats, en utilisant à la place des Protected Access Credentials. Un service Cloud RADIUS bien architecturé prend en charge toutes ces méthodes et vous permet de configurer des politiques par SSID — ainsi, votre SSID d'entreprise utilise EAP-TLS avec validation de certificat, votre SSID personnel utilise PEAP avec Active Directory, et votre réseau invité utilise un Captive Portal ou un flux de connexion sociale entièrement distinct de la pile RADIUS. À ce propos — le RADIUS et le WiFi invité sont souvent confondus, mais ils répondent à des objectifs différents. RADIUS est votre couche d'authentification et d'autorisation pour les utilisateurs et appareils connus. Le WiFi invité utilise généralement un flux de Captive Portal, qui est un mécanisme totalement différent. La plateforme de Purple, par exemple, gère l'authentification des invités via une couche d'identité distincte, capturant des données de première partie et permettant l'automatisation du marketing, tandis que RADIUS gère le contrôle d'accès au réseau de l'entreprise et du personnel. Ce sont des systèmes complémentaires et non concurrents. Voyons maintenant ce que signifie concrètement l'expression « hébergé dans le cloud ». Un service Cloud RADIUS correctement architecturé fonctionne sur plusieurs zones de disponibilité, avec basculement automatique. Les demandes d'authentification sont équilibrées entre les nœuds, et le service maintient des temps de réponse inférieurs à 100 millisecondes, même en cas de charge maximale. Pour un stade gérant 40 000 connexions simultanées lors d'un événement, ce profil de latence et de débit est critique. Un simple serveur sur site ne peut tout simplement pas rivaliser avec cette élasticité. Du point de vue de la conformité, les fournisseurs de Cloud RADIUS opérant au Royaume-Uni et dans l'UE doivent être conformes au GDPR dans la gestion de leurs journaux d'authentification et des données utilisateur. Pour les secteurs du commerce de détail et de l'hôtellerie-restauration qui traitent également des données de cartes de paiement, les exigences de la norme PCI DSS concernant la segmentation du réseau et le contrôle d'accès sont directement pertinentes — RADIUS fait partie de votre environnement de contrôle, et votre QSA exigera des preuves de configuration correcte et de journalisation des audits. Le WPA3 mérite également d'être abordé. La transition du WPA2 au WPA3 introduit l'authentification simultanée d'égaux (SAE) pour les réseaux personnels, et le WPA3-Enterprise pour les environnements d'entreprise. Le WPA3-Enterprise impose un mode de sécurité 192 bits pour la classification la plus élevée, ce qui nécessite des méthodes EAP et des suites de chiffrement spécifiques. Un service Cloud RADIUS doit prendre en charge ces configurations pour être pérenne. Recommandations de mise en œuvre et pièges à éviter. Passons à la pratique. Si vous évaluez Cloud RADIUS pour un déploiement ce trimestre, voici les points sur lesquels je vous conseille de vous concentrer. Premièrement, l'intégration avec votre fournisseur d'identité. Votre service Cloud RADIUS doit se synchroniser avec l'emplacement réel de vos utilisateurs — qu'il s'agisse de Microsoft Entra ID (anciennement Azure AD), Google Workspace, Okta ou d'un Active Directory sur site via un proxy LDAP. La qualité de cette intégration détermine votre charge de travail opérationnelle. Un provisionnement natif SAML ou SCIM est bien préférable à des importations manuelles de fichiers CSV. Deuxièmement, la gestion des certificats. Si vous déployez EAP-TLS, vous devez avoir une réponse claire sur la manière dont les certificats clients sont émis, renouvelés et révoqués. Les meilleurs services Cloud RADIUS incluent une PKI intégrée ou s'intègrent parfaitement à votre autorité de certification existante. L'expiration des certificats est l'une des causes les plus fréquentes d'échec d'authentification sur les réseaux WiFi d'entreprise — elle est pourtant totalement évitable grâce à une automatisation adéquate. Troisièmement, la compatibilité des équipements réseau. Vos points d'accès doivent prendre en charge l'authentification RADIUS — ce qui est le cas de presque tous les AP de qualité professionnelle — mais vous devez vérifier les méthodes EAP spécifiques et les attributs RADIUS pris en charge par le service choisi par rapport à l'implémentation du fournisseur de vos AP. Cisco, Aruba, Juniper Mist et Ruckus ont tous leurs propres nuances dans la gestion des attributs RADIUS et des messages CoA (Change of Authorisation). Quatrièmement, la configuration de la redondance. Configurez toujours une adresse IP de serveur RADIUS principale et une secondaire. Le délai d'expiration de basculement (failover) sur vos périphériques NAS est crucial : s'il est configuré avec une valeur trop élevée, les utilisateurs subiront un retard d'authentification de 30 secondes lorsque le serveur principal est inaccessible. Un délai d'expiration de 3 à 5 secondes avec basculement immédiat est la configuration idéale pour la plupart des environnements. Cinquièmement — et c'est ce que l'on oublie souvent — la comptabilisation (accounting). Les enregistrements d'accounting RADIUS constituent votre piste d'audit. Ils vous indiquent qui s'est connecté, depuis quel appareil, à quel moment et pour combien de temps. À des fins de conformité, en particulier dans les secteurs de la santé et du public, ces enregistrements doivent être conservés et accessibles. Assurez-vous que votre fournisseur de Cloud RADIUS vous donne accès aux données d'accounting, et pas seulement aux journaux d'authentification. Pièges courants : la complexité du secret partagé. Votre secret partagé RADIUS — la clé pré-partagée entre votre NAS et le serveur RADIUS — doit être long et aléatoire. Les secrets partagés courts ou faciles à deviner constituent un véritable vecteur d'attaque. Utilisez au moins 32 caractères, générés de manière aléatoire, et renouvelez-les régulièrement. Faites également attention à la mise sur liste blanche des adresses IP. De nombreux services Cloud RADIUS vous obligent à inscrire sur liste blanche les adresses IP sources de vos périphériques NAS. Dans un environnement cloud dynamique où votre plateforme de gestion des AP peut utiliser le NAT, cela peut entraîner des échecs d'authentification inattendus. Confirmez le comportement NAT de votre réseau avant le déploiement. Questions-réponses rapides. Passons en revue quelques questions que l'on me pose régulièrement. Le Cloud RADIUS peut-il prendre en charge les environnements multi-locataires (multi-tenant) ? Oui — la plupart des services Cloud RADIUS d'entreprise prennent en charge l'isolation des locataires, de sorte qu'un fournisseur de services gérés peut exécuter des politiques RADIUS distinctes pour plusieurs clients à partir d'une plateforme unique. Quelle est la latence typique pour une authentification Cloud RADIUS ? Moins de 100 millisecondes pour un service bien conçu. La négociation 802.1X elle-même ajoute un peu de surcharge, mais pour la plupart des méthodes EAP, le temps d'authentification total devrait être inférieur à 500 millisecondes de bout en bout. Le Cloud RADIUS fonctionne-t-il avec OpenRoaming ? Oui. OpenRoaming — le framework de roaming de la Wireless Broadband Alliance — utilise la fédération RADIUS à son cœur. Un service Cloud RADIUS prenant en charge Hotspot 2.0 et OpenRoaming permet à vos utilisateurs de s'authentifier automatiquement sur les réseaux participants à l'échelle mondiale. Purple prend en charge OpenRoaming sous sa licence Connect, agissant en tant que fournisseur d'identité au sein de la fédération. Le Cloud RADIUS est-il adapté aux environnements hautement sécurisés ? Pour la plupart des environnements d'entreprise, oui. Pour les environnements contenant des données classifiées ou soumis à des classifications de sécurité gouvernementales spécifiques, vous devrez peut-être évaluer si un service cloud géré répond à vos exigences d'accréditation spécifiques. Résumé et prochaines étapes. Pour résumer : Cloud RADIUS est une approche mature et prête pour la production du contrôle d'accès réseau qui élimine la charge opérationnelle de l'infrastructure RADIUS sur site, sans faire de compromis sur la sécurité ou les fonctionnalités. Pour les organisations multisites, le retour sur investissement est évident : vous éliminez les dépenses d'investissement matériel, réduisez les frais généraux informatiques, bénéficiez d'une redondance intégrée et profitez d'un service qui évolue avec votre parc. Les décisions clés sont : quelle méthode EAP convient le mieux à votre flotte d'appareils, comment vous l'intégrez à votre fournisseur d'identité existant, et si le service choisi vous offre les capacités de conformité et d'audit requises par votre organisation. Si vous gérez un groupe hôtelier, une chaîne de magasins ou des réseaux du secteur public, je vous recommande de commencer par un proof-of-concept sur un seul site : configurez correctement votre RADIUS, validez l'intégration avec votre fournisseur d'identité et mesurez la latence d'authentification avant de déployer la solution sur l'ensemble de votre parc. Pour en savoir plus sur l'analyse WiFi, la gestion des réseaux invités et la façon dont la plateforme de Purple s'intègre à l'authentification basée sur RADIUS, visitez purple.ai. Merci pour votre écoute.