Réseaux sans fil d’entreprise : 802.1X et RADIUS

WPA2-Personal utilise une seule phrase secrète partagée, connue de tous les utilisateurs autorisés. Si un employé quitte l’organisation ou si la phrase secrète est communiquée à une personne non autorisée, l’ensemble du réseau est compromis et la phrase secrète doit être modifiée pour tout le monde. 802.1X élimine ce problème en attribuant à chaque utilisateur ou appareil des identifiants uniques ; la révocation de l’accès d’un employé n’affecte donc pas les autres. C’est la raison fondamentale pour laquelle les environnements d’entreprise utilisent 802.1X plutôt qu’une PSK : un contrôle d’accès granulaire, propre à chaque identité.

Le cadre 802.1X comporte trois rôles. Le supplicant est l’appareil client (ordinateur portable, téléphone) qui souhaite accéder au réseau. L’authenticator est l’appareil réseau (AP sans fil ou commutateur) qui applique le contrôle d’accès : il transmet les identifiants, mais ne les valide pas lui-même. L’Authentication Server (AS), généralement un serveur RADIUS, valide les identifiants et indique à l’authenticator s’il doit autoriser ou refuser l’accès. Cette conception à trois parties sépare le point d’application de la logique de validation, ce qui permet une gestion centralisée des règles.

RADIUS (Remote Authentication Dial-In User Service) utilise les ports UDP 1812 (authentification) et 1813 (Accounting). Les messages RADIUS sont protégés par un secret partagé entre l’authenticator et le serveur RADIUS ; seul l’attribut User-Password est chiffré, les autres champs étant envoyés en clair. Une solution plus sécurisée est le RADIUS over TLS (RadSec), qui chiffre l’intégralité de l’échange RADIUS. Parmi les implémentations RADIUS courantes figurent Microsoft NPS (Network Policy Server), Cisco ISE, FreeRADIUS et Aruba ClearPass.

EAP (Extensible Authentication Protocol) définit la manière dont les identifiants sont échangés dans le cadre de 802.1X. Plusieurs méthodes EAP existent, avec des niveaux de sécurité variables. EAP-TLS utilise une authentification mutuelle par certificats (le client et le serveur présentent tous deux des certificats) et offre le niveau de sécurité le plus élevé. PEAP (Protected EAP) crée un tunnel TLS et y envoie le nom d’utilisateur et le mot de passe ; seul le serveur a besoin d’un certificat. EAP-TTLS est similaire à PEAP, mais plus flexible. LEAP et EAP-MD5 sont obsolètes et vulnérables aux attaques par dictionnaire hors ligne.

EAP-TLS est considéré comme la référence absolue pour l’authentification sans fil en entreprise, car il fournit une authentification mutuelle : le client et le serveur RADIUS prouvent tous deux leur identité au moyen de certificats numériques. Le certificat du client est fourni par la PKI de l’organisation au moyen du MDM ou d’une inscription manuelle. Même si un AP jumeau malveillant est déployé, le client refusera le certificat du serveur RADIUS s’il n’est pas signé par le CA d’entreprise approuvé. Cela élimine l’hameçonnage des identifiants au moyen d’une infrastructure sans fil frauduleuse.

RADIUS peut faire davantage qu’autoriser ou refuser l’accès : il peut affecter dynamiquement le client à un VLAN spécifique en fonction de l’identité de l’utilisateur, de son appartenance à un groupe ou du type d’appareil. Cette fonction est appelée attribution dynamique de VLAN. Par exemple, un employé peut être placé dans le VLAN 10 (entreprise), un invité dans le VLAN 20 et un appareil non conforme dans le VLAN 99 (quarantaine). La réponse RADIUS Access-Accept inclut les attributs Tunnel-Type, Tunnel-Medium-Type et Tunnel-Private-Group-ID qui indiquent le VLAN. Cela permet à un SSID physique unique de desservir plusieurs zones de sécurité.

Accounting RADIUS enregistre les événements de connexion : le moment où un client s’est connecté, la durée de la session, la quantité de données transférées et le VLAN attribué. Ces enregistrements sont précieux pour les enquêtes judiciaires informatiques : en cas d’incident de sécurité, les journaux d’Accounting peuvent identifier l’utilisateur connecté depuis une adresse IP donnée à un moment précis. Les messages d’Accounting sont envoyés sur le port UDP 1813. De nombreuses organisations transmettent les enregistrements d’Accounting RADIUS à leur SIEM afin de les corréler avec d’autres événements de sécurité, comme une exfiltration de données anormale ou des connexions en dehors des heures ouvrées.

Le NPS (Network Policy Server) de Microsoft est l’implémentation RADIUS intégrée à Windows Server. NPS s’intègre nativement à Active Directory, ce qui permet de fonder les règles RADIUS sur l’appartenance aux groupes AD, les attributs des utilisateurs et l’état de sécurité des appareils (via NAP/quarantaine RADIUS). NPS prend en charge EAP-TLS, PEAP-MS-CHAPv2 et PEAP-TLS. Pour les réseaux sans fil, NPS est configuré comme serveur RADIUS et les points d’accès sans fil sont ajoutés comme clients RADIUS avec un secret partagé. Les règles de demande de connexion et les règles réseau contrôlent qui obtient l’accès et le VLAN qui lui est attribué.

Les appareils sans interface (imprimantes, caméras IP, capteurs IoT) ne peuvent souvent pas effectuer d’authentification EAP, car ils ne disposent ni d’une pile logicielle supplicant ni d’un magasin de certificats. Pour ces appareils, les organisations peuvent utiliser le MAC Authentication Bypass (MAB), dans lequel l’adresse MAC de l’appareil est envoyée à RADIUS comme identifiant. MAB est moins sûr que 802.1X, car les adresses MAC peuvent être usurpées, mais associé à l’isolation par VLAN et à l’évaluation de la posture par NAC, il fournit une solution viable pour les appareils qui ne prennent pas en charge 802.1X dans son intégralité. Placez toujours les appareils IoT sur un VLAN séparé et restreint.

RADIUS est un composant d’infrastructure critique : si le serveur RADIUS est indisponible, aucun client sans fil ne peut s’authentifier. Les bonnes pratiques consistent notamment à déployer des serveurs RADIUS primaire et secondaire configurés sur tous les AP, en utilisant un ordre de basculement des serveurs afin que le serveur secondaire soit contacté automatiquement. Le secret partagé entre les AP et les serveurs RADIUS doit être robuste (au moins 22 caractères aléatoires) et rester confidentiel. Utilisez RADIUS over TLS (RadSec) lorsque le trafic RADIUS traverse des réseaux non fiables. Surveillez les journaux RADIUS afin de repérer les pics d’échecs d’authentification pouvant indiquer des tentatives de forçage brut ou une attaque par bourrage d’identifiants.

802.1X ne se limite pas aux réseaux sans fil : il est tout aussi important sur les ports de commutateur filaires dans les environnements où la sécurité des ports physiques est essentielle. Sans 802.1X sur les ports filaires, toute personne qui branche un câble Ethernet sur un port de bureau obtient un accès au réseau. Avec 802.1X sur les commutateurs, le port reste bloqué jusqu’à l’authentification de l’appareil. Cela empêche les attaquants de connecter des appareils non autorisés aux prises réseau des salles de conférence, des couloirs ou des zones réservées aux visiteurs. Les utilisateurs invités peuvent être dirigés vers un VLAN invité, tandis que les appareils de l’entreprise sont placés dans leur segment approprié.

Dans cette leçon, vous avez appris que 802.1X utilise un modèle à trois parties (supplicant, authenticator, serveur RADIUS) pour fournir une authentification sans fil individuelle propre à chaque utilisateur, sans phrase secrète partagée ; qu’EAP-TLS offre le niveau de sécurité le plus élevé grâce à l’authentification mutuelle par certificats, tandis que PEAP constitue une solution pratique ne nécessitant qu’un certificat de serveur ; et que l’Accounting RADIUS journalise les données de session, précieuses pour les enquêtes judiciaires informatiques. Nous allons maintenant étudier les menaces sans fil liées à Bluetooth et à l’IoT.