Services d’annuaire : LDAP et Active Directory

Un service d’annuaire est un référentiel centralisé qui stocke et organise les informations sur les ressources réseau : utilisateurs, groupes, ordinateurs, imprimantes et stratégies. Plutôt que de gérer des bases de données d’utilisateurs distinctes sur chaque système, les organisations utilisent un service d’annuaire comme source de référence unique pour les informations d’identité. Toutes les demandes d’authentification sont validées par rapport à l’annuaire, et les stratégies d’accès sont appliquées de manière cohérente dans toute l’entreprise.

LDAP (protocole léger d’accès aux annuaires) est le protocole standard du secteur pour interroger et modifier les services d’annuaire. LDAP organise les entrées dans une arborescence hiérarchique appelée Directory Information Tree (DIT), dont les entrées sont identifiées par un Distinguished Name (DN). LDAP utilise le port 389 (texte clair) et le port 636 (LDAPS — LDAP sur TLS). LDAP est le protocole ; l’annuaire lui-même est un produit distinct.

Active Directory (AD) est le service d’annuaire d’entreprise de Microsoft, fondé sur LDAP et Kerberos. Il organise les ressources en Domains, qui se regroupent en Trees, eux-mêmes regroupés en Forests. Un contrôleur de domaine (DC) héberge la base de données AD (NTDS.dit) et gère l’authentification. AD constitue l’épine dorsale de la gestion des identités dans la plupart des environnements d’entreprise Windows.

Active Directory utilise Kerberos comme protocole d’authentification par défaut. Le processus repose sur l’attribution de tickets : le Client s’authentifie auprès du Key Distribution Center (KDC) et reçoit un Ticket-Granting Ticket (TGT). Lorsque l’utilisateur doit accéder à une ressource, il présente le TGT pour obtenir un Ticket de service destiné à cette ressource précise. Les Password ne sont jamais envoyés sur le réseau : seuls des tickets chiffrés circulent. Cette conception est essentielle pour comprendre des attaques comme Kerberoasting.

Les objets de stratégie de Group (GPO) constituent le mécanisme d’AD permettant d’appliquer simultanément des paramètres de sécurité à des milliers de machines. Les GPO peuvent configurer les exigences de complexité des Password, les délais de verrouillage de l’écran, l’installation de logiciels, les règles de pare-feu et les paramètres du registre. Les GPO sont liés à des conteneurs AD (sites, domaines, OU) et s’appliquent à tous les utilisateurs et ordinateurs de ce conteneur. Les paramètres des GPO sont actualisés par défaut toutes les 90 minutes, ce qui garantit le maintien de la conformité, même sur les machines qui s’écartent de la stratégie.

Active Directory utilise les Groupes de Security pour gérer collectivement les autorisations d’accès. Au lieu d’attribuer des autorisations à chaque utilisateur, les administrateurs accordent des autorisations aux groupes et ajoutent les utilisateurs aux groupes appropriés. Principaux groupes intégrés à connaître pour Security+ : Domain Admins (contrôle total du domaine), Enterprise Admins (contrôle de l’ensemble de la forêt), Schema Admins (modification du schéma AD) et Administrators (administrateur de la machine locale). L’appartenance à ces groupes disposant de privilèges élevés doit être strictement contrôlée.

L’injection LDAP est l’équivalent, pour les services d’annuaire, de l’injection SQL. Un attaquant manipule une requête LDAP en insérant des caractères spéciaux (*, (, ), \, NUL) dans une entrée utilisateur concaténée directement dans un filtre LDAP. Une attaque réussie peut contourner l’authentification, extraire toutes les entrées de l’annuaire ou modifier des objets de l’annuaire. La prévention exige de valider les entrées et d’utiliser des API LDAP paramétrées plutôt que la concaténation de chaînes.

Les entreprises déploient plusieurs contrôleurs de domaine pour assurer la redondance et la répartition géographique. La réplication AD maintient tous les DC synchronisés grâce au Directory Replication Service (DRS). Les attaquants exploitent la réplication avec l’attaque DCSync : ils utilisent les autorisations de réplication pour demander tous les hachages de Password à un DC sans s’y connecter réellement. La protection des autorisations de réplication constitue une étape critique du renforcement de la sécurité AD.

LDAP en clair sur le port 389 transmet les données — y compris les identifiants de liaison — en texte clair, ce qui les rend vulnérables à l'interception. Les organisations doivent imposer LDAPS (LDAP sur TLS) sur le port 636 afin de chiffrer tout le trafic de l'annuaire. En outre, la signature LDAP et la liaison de canal doivent être obligatoires pour empêcher les attaques par relais, au cours desquelles un attaquant intercepte et rejoue des messages d'authentification LDAP afin d'obtenir un accès non autorisé.

Les environnements Active Directory accumulent des erreurs de configuration au fil des années d'exploitation. Parmi les faiblesses courantes de sécurité d'AD figurent : la délégation sans contrainte (qui permet d'usurper l'identité de n'importe quel utilisateur), les comptes de service Kerberoastables dotés de mots de passe faibles, les cibles de l'AS-REP roasting (comptes dont la pré-authentification est désactivée), une appartenance excessive au groupe Domain Admin, ainsi que des erreurs de configuration d'AdminSDHolder accordant des autorisations élevées dissimulées. Des évaluations régulières de la sécurité d'AD à l'aide d'outils comme BloodHound aident à identifier ces chemins d'accès.

Pour clarifier leur relation : LDAP est le protocole utilisé pour communiquer avec les annuaires (comme HTTP est utilisé pour communiquer avec les serveurs web). Active Directory est le produit de service d'annuaire de Microsoft qui utilise LDAP comme protocole d'accès. Parmi les autres annuaires compatibles avec LDAP figurent OpenLDAP (à code source ouvert), Oracle Directory Server et Red Hat Directory Server. Tous utilisent des requêtes LDAP, mais possèdent des interfaces d'administration différentes ainsi que des fonctionnalités propriétaires supplémentaires.

Vérifiez votre compréhension des concepts de CompTIA Security+ (SY0-701) abordés dans cette leçon.

Dans cette leçon, vous avez appris que : LDAP est le protocole permettant d'interroger les services d'annuaire à l'aide de noms distinctifs dans une arborescence hiérarchique, Active Directory utilise Kerberos pour l'authentification et les GPO pour appliquer les paramètres de sécurité dans les domaines, et LDAPS sur le port 636 ainsi que la signature LDAP doivent être obligatoires pour empêcher les attaques par interception et par relais. Nous allons maintenant étudier la gestion des accès privilégiés (PAM).