Qu'est-ce que l'authentification 802.1X ? Fonctionnement et importance

Qu'est-ce que l'authentification 802.1X ? Comment cela fonctionne et pourquoi c'est important Un briefing technique Purple - environ 10 minutes --- INTRODUCTION ET CONTEXTE - environ 1 minute Bienvenue dans la série de briefings techniques Purple. Je suis votre hôte et nous abordons aujourd'hui l'une des normes les plus importantes - et les plus fréquemment mal comprises - des réseaux d'entreprise : l'authentification IEEE 802.1X. Si vous êtes responsable informatique, architecte réseau ou CTO en charge d'un déploiement multi-sites - qu'il s'agisse d'un groupe hôtelier, d'une chaîne de magasins, d'un stade ou d'un patrimoine du secteur public - c'est une norme que vous devez comprendre en profondeur. Non pas parce qu'elle est intéressante sur le plan académique, mais parce que bien l'implémenter fait toute la différence entre un réseau qui protège réellement votre organisation et un réseau qui vous donne un faux sentiment de sécurité. Dans les dix prochaines minutes, nous verrons ce qu'est réellement le 802.1X, comment fonctionne le flux d'authentification en coulisses, comment il s'intègre dans votre architecture de sécurité globale, comment le déployer en évitant les pièges courants, et à quoi ressemble l'analyse de rentabilité en termes concrets. C'est parti. --- ANALYSE TECHNIQUE APPROFONDIE - environ 5 minutes Alors, qu'est-ce que le 802.1X ? À la base, il s'agit d'une norme IEEE pour le contrôle d'accès réseau basé sur les ports. Le mot clé ici est "basé sur les ports". Avant qu'un appareil ne soit autorisé à accéder au réseau - avant même qu'il ne puisse envoyer un seul paquet à vos ressources internes - il doit s'authentifier. Le port réseau, qu'il soit physique ou sans fil, reste logiquement bloqué jusqu'à ce que l'authentification réussisse. C'est fondamentalement différent de la façon dont fonctionne la plupart des réseaux WiFi grand public. Avec une configuration standard WPA2-Personal, vous disposez d'une clé pré-partagée - un mot de passe - et toute personne connaissant ce mot de passe accède au réseau. Le problème est évident : ce mot de passe se retrouve écrit sur des tableaux blancs, partagé dans des canaux Slack et transmis à des prestataires partis depuis six mois. Il n'y a pas de responsabilité individuelle, pas de piste d'audit, et révoquer l'accès implique de changer le mot de passe pour tout le monde. Le 802.1X résout tout cela. La norme définit un modèle à trois parties. Vous avez le Supplicant - l'appareil de l'utilisateur final, qu'il s'agisse d'un ordinateur portable d'entreprise, d'un smartphone ou d'un capteur IoT. Vous avez l'Authenticator - généralement votre point d'accès sans fil ou votre commutateur géré. Et vous avez le serveur d'authentification - presque toujours un serveur RADIUS, qui signifie Remote Authentication Dial-In User Service. Voici comment fonctionne le flux. Lorsqu'un suppliant se connecte à un port réseau ou à un SSID sans fil, l'authentificateur place ce port dans un état contrôlé - il autorise uniquement le trafic EAP. EAP signifie Extensible Authentication Protocol, et c'est le framework qui transporte l'échange de clés d'identification réel. L'authentificateur envoie une demande d'identité EAP au suppliant. Le suppliant répond avec son identité. L'authentificateur transmet ensuite cette information au serveur RADIUS, qui met le suppliant au défi de prouver son identité - cela peut se faire via un nom d'utilisateur et un mot de passe, un certificat numérique, une carte à puce ou une combinaison de facteurs. Une fois que le serveur RADIUS est satisfait, il renvoie un message Access-Accept à l'authentificateur, qui ouvre alors le port et permet un accès réseau complet. Si l'authentification échoue, le port reste bloqué, ou l'appareil est placé dans un VLAN invité restreint. Le framework EAP est extensible par conception - c'est ce que signifie le E. Plusieurs méthodes EAP sont couramment utilisées. EAP-TLS utilise une authentification mutuelle basée sur des certificats - le client et le serveur présentent tous deux des certificats - et il est considéré comme la référence absolue en matière de sécurité. EAP-PEAP, qui signifie Protected EAP, enveloppe l'authentification interne dans un tunnel TLS, permettant d'utiliser des identifiants de type nom d'utilisateur et mot de passe en toute sécurité. EAP-TTLS est similaire au PEAP mais plus flexible dans les méthodes d'authentification internes qu'il prend en charge. Pour la plupart des déploiements d'entreprise, vous devrez choisir entre EAP-TLS pour les environnements de haute sécurité et PEAP-MSCHAPv2 pour les environnements où le déploiement de certificats n'est pas pratique. Voyons maintenant comment cela s'intègre à votre infrastructure existante. Le serveur RADIUS n'authentifie pas les utilisateurs de manière isolée - il interroge un magasin d'identités centralisé. Dans la plupart des environnements d'entreprise, il s'agit de Microsoft Active Directory ou d'un annuaire LDAP. Le serveur RADIUS reçoit l'identifiant de l'authentificateur, le valide par rapport à Active Directory et renvoie une décision de stratégie. Cette décision de stratégie peut inclure plus qu'un simple accès accepté ou rejeté - elle peut inclure l'attribution de VLAN, des stratégies de bande passante et des valeurs de délai d'expiration de session. C'est là que l'attribution dynamique de VLAN devient puissante. Vous pouvez définir une stratégie qui dit : si cet utilisateur fait partie du groupe Finance dans Active Directory, attribuez-lui le VLAN 20. S'il s'agit d'un sous-traitant, attribuez-lui le VLAN 50 avec un accès Internet uniquement. S'il est sur un appareil non managé, placez-le dans le VLAN invité. Tout cela se produit automatiquement, au moment de la connexion, sans aucune intervention manuelle. Pour les déploiements sans fil, le 802.1X est le mécanisme d'authentification qui sous-tend WPA2-Enterprise et WPA3-Enterprise. La couche de chiffrement - la protection réelle des données en transit - est gérée par la poignée de main à 4 voies (4-way handshake) qui suit le succès de l'authentification 802.1X, générant des clés uniques PMK et PTK par session. C'est une différence essentielle par rapport au WPA2-Personal, où tous les clients partagent le même élément de dérivation de clé de chiffrement. Dans un réseau WPA2-Personal, un acteur malveillant qui capture la poignée de main à 4 voies et connaît la PSK peut déchiffrer tout le trafic sur ce réseau. Avec WPA2-Enterprise et 802.1X, ce vecteur d'attaque est éliminé car chaque session utilise des éléments de clé uniques. Du point de vue de la conformité, cela a une importance considérable. La version 4.0 de la norme PCI-DSS exige des contrôles d'authentification forts pour tout réseau acheminant des données de titulaires de cartes. Le GDPR exige des mesures techniques appropriées pour protéger les données personnelles. Si vous gérez un réseau de vente au détail où les terminaux de point de vente partagent un segment avec le WiFi invité, vous avez un problème sérieux - et le 802.1X avec segmentation VLAN dynamique est un élément central de la solution. - RECOMMANDATIONS DE MISE EN ŒUVRE ET PIÈGES À ÉVITER - environ 2 minutes Très bien, parlons du déploiement. L'erreur la plus courante que je vois est que les organisations traitent le 802.1X comme un choix binaire - soit vous le déployez entièrement partout, soit vous ne vous en préoccupez pas. En réalité, une approche progressive est presque toujours plus pratique et plus couronnée de succès. Commencez par votre SSID d'entreprise et vos appareils gérés. Déployez un serveur RADIUS - Microsoft NPS est gratuit et s'intègre nativement avec Active Directory ; FreeRADIUS est l'alternative open source pour les environnements non Windows. Configurez votre infrastructure sans fil pour utiliser WPA2-Enterprise ou WPA3-Enterprise sur le SSID d'entreprise. Diffusez la configuration du supplicant 802.1X sur les appareils gérés via une stratégie de groupe ou votre plateforme MDM. Testez minutieusement avant la mise en service. Pour le WiFi invité, l'approche est différente. Les invités n'ont pas d'identifiants d'entreprise, vous n'utilisez donc pas le 802.1X au sens traditionnel. À la place, des plateformes comme Purple fournissent une couche de Captive Portal qui gère l'identité des invités - connexion via les réseaux sociaux, inscription par e-mail, vérification par SMS - puis place les invités authentifiés dans un VLAN isolé avec des politiques de bande passante et de contenu appropriées. Cela vous apporte les avantages de la capture de données et de la segmentation sans exiger que les invités disposent d'identifiants dans l'annuaire. Les pièges à surveiller : la gestion des certificats est le point de friction le plus courant dans les déploiements EAP-TLS. Vous avez besoin d'une PKI - une infrastructure à clés publiques - pour émettre et gérer les certificats clients. Si vous n'en avez pas, la charge opérationnelle d'EAP-TLS peut être importante. PEAP-MSCHAPv2 est plus facile à déployer mais nécessite une attention particulière à la validation du certificat du serveur côté client - si les clients ne sont pas configurés pour valider le certificat du serveur RADIUS, vous êtes vulnérable aux attaques par point d'accès pirate. La disponibilité du serveur RADIUS est un autre aspect crucial. Si votre serveur RADIUS tombe en panne, les utilisateurs authentifiés ne peuvent plus se connecter. Déployez RADIUS dans une configuration de haute disponibilité - au minimum, un serveur primaire et un secondaire - et assurez-vous que vos points d'accès sont configurés pour basculer correctement en cas de panne. Enfin, les appareils IoT. De nombreux appareils IoT ne prennent pas en charge les supplicants 802.1X. Pour ceux-ci, le MAC Authentication Bypass - MAB - est la solution de contournement courante, où l'adresse MAC de l'appareil est utilisée comme identifiant. Cette méthode est moins sécurisée qu'un véritable 802.1X, alors isolez les appareils authentifiés via MAB dans un VLAN restreint et surveillez-les de près. --- Q&A EN RAFALE - environ 1 minute Laissez-moi passer en revue quelques questions que l'on me pose régulièrement. "Est-ce que 802.1X fonctionne avec un RADIUS basé sur le cloud ?" Oui - les services comme Cisco ISE, Aruba ClearPass, et les offres cloud natives de RADIUS-as-a-Service prennent tous en charge 802.1X. La plateforme de Purple s'intègre à ceux-ci pour une authentification unifiée des invités et du personnel. "Puis-je utiliser 802.1X sur un réseau filaire ainsi que sans fil ?" Absolument. La norme a été initialement conçue pour les ports Ethernet filaires et fonctionne de manière identique sur les commutateurs administrables. "Quel est l'impact sur les performances ?" Négligeable en pratique. Le protocole de handshake d'authentification ajoute quelques centaines de millisecondes au moment de la connexion, mais n'a aucun impact sur le débit une fois la session établie. "Est-ce que le WPA3 remplace le 802.1X ?" Non. Le WPA3-Enterprise utilise toujours 802.1X pour l'authentification - il améliore le chiffrement et les mécanismes d'échange de clés, mais le cadre d'authentification reste le même. --- RÉSUMÉ ET PROCHAINES ÉTAPES - environ 1 minute Pour résumer : 802.1X est la norme IEEE pour le contrôle d'accès réseau basé sur les ports. Il fournit une authentification par utilisateur, une attribution dynamique de politiques, un historique d'audit complet et les clés de chiffrement par session qui rendent le WPA2-Enterprise et le WPA3-Enterprise véritablement sécurisés. C'est le choix idéal pour tout réseau d'entreprise, d'hôtellerie, de vente au détail ou du secteur public où vous avez besoin d'une responsabilité individuelle et d'une sécurité conforme aux normes. Vos prochaines étapes immédiates : auditez votre modèle d'authentification réseau actuel. Si vous utilisez une clé PSK partagée sur votre SSID d'entreprise, c'est votre première priorité de correction. Évaluez votre infrastructure RADIUS - si vous n'en avez pas, Microsoft NPS ou FreeRADIUS sont d'excellents points de départ. Et si vous gérez le WiFi invité aux côtés de l'infrastructure d'entreprise, regardez comment des plateformes comme Purple peuvent fournir la couche d'identité des invités qui complète votre déploiement d'entreprise 802.1X. Pour plus de détails sur le WPA2 par rapport au WPA3 et sur la façon dont ils interagissent avec le 802.1X, consultez le guide de comparaison de Purple accessible via le lien dans les notes de l'émission. Merci pour votre écoute. À bientôt pour le prochain briefing.