Qu'est-ce que l'authentification RADIUS et comment fonctionne-t-elle ?

### Qu'est-ce que l'authentification RADIUS et comment cela fonctionne-t-il ? — Dossier technique Purple **[INTRO — 1 minute]** Bienvenue dans ce dossier technique Purple. Je suis votre hôte, et au cours des dix prochaines minutes, nous allons démystifier l'une des technologies les plus critiques pour la sécurité des réseaux d'entreprise : l'authentification RADIUS. Si vous êtes responsable informatique, architecte réseau ou CTO en charge du WiFi au sein d'un grand site (un hôtel, une chaîne de magasins, un stade ou un centre de congrès), ce briefing s'adresse tout particulièrement à vous. Nous allons faire l'impasse sur le jargon inutile, vous expliquer clairement l'architecture et vous apporter les connaissances pratiques indispensables pour prendre des décisions éclairées ce trimestre. Commençons par une vue d'ensemble. Pourquoi est-ce si important ? Si vous gérez encore le WiFi de vos invités ou de vos collaborateurs à l'aide d'un mot de passe unique partagé (une clé pré-partagée, ou PSK), vous vous exposez à un risque de sécurité important et croissant. Ce mot de passe finit par être partagé, écrit sur des reçus, pris en photo sur des tableaux blancs et transmis via des applications de messagerie. Une fois divulgué, vous n'avez plus aucune visibilité sur les personnes connectées à votre réseau, aucune possibilité de révoquer l'accès d'un seul utilisateur sans perturber tous les autres, et aucun historique d'audit en cas de problème. Pour les organisations soumises aux normes PCI DSS, au GDPR ou à la loi HIPAA, il ne s'agit pas seulement d'un problème technique. C'est un risque de non-conformité. RADIUS est la solution adoptée par l'industrie pour répondre à ce problème. Voyons donc précisément ce que c'est et comment cela fonctionne. **[ANALYSE TECHNIQUE APPROFONDIE — 5 minutes]** RADIUS signifie Remote Authentication Dial-In User Service. Ce nom est un héritage historique des débuts de l'internet par ligne commutée, mais le protocole a considérablement évolué et reste aujourd'hui le pilier du contrôle d'accès aux réseaux d'entreprise. À la base, RADIUS est un système centralisé basé sur un serveur qui gère l'accès au réseau à l'aide d'un framework appelé AAA (Authentication, Authorization, and Accounting). Ces trois piliers sont le fondement de tout ce dont nous allons parler aujourd'hui. L'Authentification est le premier pilier : vérifier l'identité d'une personne. L'Autorisation est le second : déterminer ce qu'elle est autorisée à faire. Et la Comptabilisation (Accounting) est le troisième : enregistrer ce qu'elle a réellement fait. Analysons chacun de ces points. L'Authentification. Lorsqu'un utilisateur tente de se connecter à un réseau WiFi sécurisé par WPA2-Enterprise ou WPA3-Enterprise, son appareil — que nous appelons le Supplicant — envoie une demande de connexion au point d'accès sans fil. Le point d'accès, que nous appelons l'Authenticator, ne prend pas lui-même la décision d'authentification. Il agit comme un relais, transmettant la demande au serveur RADIUS. Le serveur RADIUS valide ensuite l'identité de l'utilisateur par rapport à une source d'identité configurée. Il peut s'agir de Microsoft Active Directory, d'Azure Active Directory, de Google Workspace, d'Okta ou d'une base de données d'utilisateurs locale. La source d'identité constitue la source unique de vérité pour déterminer qui est autorisé à accéder à votre réseau. Le serveur RADIUS peut valider l'identité de plusieurs manières. Les plus courantes dans les environnements d'entreprise sont les méthodes basées sur les identifiants, où l'utilisateur fournit un nom d'utilisateur et un mot de passe, et les méthodes basées sur les certificats, où l'appareil de l'utilisateur présente un certificat numérique. Nous aborderons les implications de chacune en matière de sécurité dans un instant. Autorisation. Une fois l'utilisateur authentifié, le serveur RADIUS ne se contente pas de donner son accord et de s'effacer. Il indique également au point d'accès exactement ce qu'il doit faire avec cet utilisateur. Il renvoie un ensemble d'attributs — des instructions, essentiellement — qui définissent l'expérience réseau de l'utilisateur. Le plus important d'entre eux est généralement l'attribution du VLAN. Le serveur RADIUS peut par exemple indiquer : cet utilisateur est membre du groupe du personnel de l'entreprise, attribuez-lui le VLAN dix, qui a accès aux serveurs de fichiers internes et aux imprimantes. Ou alors : cet utilisateur est un invité, attribuez-lui le VLAN vingt, qui n'a qu'un accès internet et est complètement isolé du réseau de l'entreprise. Cette attribution dynamique de VLAN est l'une des fonctionnalités les plus puissantes de RADIUS, et c'est le mécanisme qui permet une segmentation réseau appropriée. Comptabilité. Ce troisième pilier est souvent négligé, mais il est d'une importance capitale pour la conformité et les opérations. Au fur et à mesure que la session d'un utilisateur progresse, le serveur RADIUS enregistre des informations clés : l'heure de connexion, l'heure de déconnexion, la durée totale de la session, le volume de données transférées et l'adresse MAC de son appareil. Cela crée une piste d'audit détaillée pour chaque connexion sur votre réseau. Sous la norme GDPR et les exigences de conformité comme PCI DSS 4.0, ce type de journalisation n'est pas facultatif — c'est une exigence stricte. Et en cas d'incident de sécurité, ces journaux sont précieux pour l'investigation numérique. Parlons maintenant de la norme technique qui permet de faire fonctionner tout cela : IEEE 802.1X. 802.1X est la norme qui définit le contrôle d'accès réseau basé sur les ports. C'est le protocole qui permet à un point d'accès de bloquer tout le trafic réseau provenant d'un appareil jusqu'à ce que le serveur RADIUS ait confirmé que l'appareil est autorisé. La communication entre l'appareil de l'utilisateur et le point d'accès utilise un protocole appelé EAP — l'Extensible Authentication Protocol. L'EAP est essentiellement un framework qui prend en charge plusieurs méthodes d'authentification. Les trois méthodes EAP les plus courantes dans le WiFi d'entreprise sont : PEAP, qui signifie Protected Extensible Authentication Protocol ; EAP-TTLS ; et EAP-TLS. PEAP et EAP-TTLS sont des méthodes basées sur les identifiants. Elles créent un tunnel chiffré entre l'appareil et le serveur RADIUS, puis le nom d'utilisateur et le mot de passe de l'utilisateur sont vérifiés à l'intérieur de ce tunnel. Elles sont relativement faciles à déployer et fonctionnent bien dans les environnements qui ne sont pas encore prêts pour une infrastructure de certificats complète. EAP-TLS est la référence absolue. Cette méthode repose sur des certificats, ce qui signifie que le serveur et l'appareil client présentent tous deux des certificats numériques pour s'authentifier mutuellement. Aucun mot de passe n'intervient. Cela élimine totalement le risque de vol d'identifiants, d'attaques par phishing et d'attaques de type "man-in-the-middle". Pour les appareils d'entreprise, EAP-TLS est la méthode d'authentification vers laquelle vous devez tendre. **[DÉPLOIEMENT ET PIÈGES À ÉVITER — 2 minutes]** Alors, comment déployer concrètement tout cela ? Laissez-moi vous guider à travers les étapes clés. Premièrement, choisissez votre serveur RADIUS. Vous pouvez déployer un serveur sur site — Network Policy Server de Microsoft est un choix courant dans les environnements Windows — ou utiliser un service RADIUS basé sur le cloud. Les plateformes Cloud RADIUS, comme celle proposée par Purple, offrent une infrastructure entièrement gérée et hautement disponible, sans les coûts opérationnels associés. Pour les organisations multisites, l'approche cloud est presque toujours le meilleur choix. Deuxièmement, intégrez votre source d'identité. Connectez votre serveur RADIUS à l'annuaire d'identités de votre entreprise. La plupart des plateformes cloud RADIUS modernes prennent en charge l'intégration directe avec Azure AD, Google Workspace et Okta. Troisièmement, configurez votre matériel réseau. Créez un nouveau SSID configuré pour WPA2-Enterprise ou WPA3-Enterprise et pointez-le vers votre serveur RADIUS. Vous configurerez également un secret partagé — un mot de passe qui chiffre les communications entre le point d'accès et le serveur RADIUS. Ce secret partagé doit correspondre exactement des deux côtés. Une non-concordance à ce niveau est l'une des causes les plus fréquentes d'échec d'authentification lors du déploiement initial. Quatrièmement, définissez vos politiques d'autorisation. Associez les groupes d'utilisateurs aux politiques réseau — le personnel bénéficie d'un accès complet sur le VLAN dix, les invités ont un accès uniquement à Internet sur le VLAN vingt. Cinquièmement, intégrez vos utilisateurs. Pour le personnel de l'entreprise, déployez les profils WiFi via votre plateforme MDM. Pour les invités, utilisez un Captive Portal. La plateforme de Purple automatise le flux d'intégration des invités, en prenant en charge les connexions via les réseaux sociaux, les formulaires d'inscription et les codes promotionnels. **[QUESTIONS-RÉPONSES RAPIDES — 1 minute]** Passons à une session rapide de questions-réponses sur les sujets que nous entendons le plus souvent. Première question : Quelle est la différence entre RADIUS et un Captive Portal ? Un Captive Portal est la page de connexion que les invités voient lorsqu'ils se connectent. Il fonctionne avec RADIUS. Le portail est l'interface utilisateur ; RADIUS est le moteur d'arrière-plan. Deuxième question : Puis-je utiliser RADIUS pour les réseaux filaires ? Absolument. La norme 802.1X s'applique de la même manière à l'Ethernet filaire et aux réseaux sans fil. Troisième question : RADIUS est-il difficile à configurer ? Il a la réputation d'être complexe, mais les plateformes cloud modernes ont radicalement changé la donne. Avec un service géré comme Purple, vous pouvez rendre un déploiement RADIUS opérationnel pour la production très rapidement. **[RÉSUMÉ ET PROCHAINES ÉTAPES — 1 minute]** En résumé : RADIUS est le protocole centralisé qui alimente la sécurité WiFi des entreprises. Il implémente le framework AAA pour vous offrir un contrôle granulaire sur qui peut accéder à votre réseau, ce qu'ils peuvent faire, ainsi qu'un historique d'audit complet de leur activité. Pour les exploitants de sites, les hôteliers, les détaillants et les organisations du secteur public, le déploiement de RADIUS est l'étape fondamentale pour créer une infrastructure WiFi sécurisée, conforme et gérée de manière professionnelle. Votre prochaine étape est claire : si vous utilisez encore des clés pré-partagées, commencez à planifier votre migration dès aujourd'hui. Vérifiez la prise en charge de WPA3-Enterprise sur votre matériel actuel, évaluez vos options d'intégration d'annuaire d'identités et découvrez une plateforme RADIUS cloud capable de s'adapter à la croissance de votre organisation. C'est tout pour ce Briefing Technique Purple. Merci de votre écoute. Pour en savoir plus sur la façon dont Purple peut vous aider à déployer un WiFi sécurisé et intelligent sur l'ensemble de vos sites, rendez-vous sur purple dot ai. D'ici là, restez en sécurité.