Authentification personnelle ou d’entreprise

WPA2 et WPA3 proposent deux modes d’authentification : Personal et Enterprise. Le mode Personal utilise un mot de passe partagé par tous ; le mode Enterprise attribue à chaque utilisateur ses propres identifiants, vérifiés par un serveur central. Cette leçon explique la différence, le fonctionnement de chacun et les situations dans lesquelles choisir l’un plutôt que l’autre, un sujet qui revient régulièrement à l’examen Network+.

Le mode Personal, également appelé PSK (clé prépartagée), utilise un seul mot de passe que toute personne souhaitant se connecter doit saisir. Le mot de passe Wi-Fi de votre domicile, indiqué sur l’étiquette de votre routeur, est une PSK. Ce mode est simple à configurer et parfaitement adapté aux domiciles et aux petits bureaux. Tout le monde partage le même secret, et il suffit de le connaître pour rejoindre le réseau.

La clé partagée constitue également la faiblesse de ce mode. Si quelqu’un divulgue le mot de passe, n’importe qui peut se connecter ; pour révoquer l’accès, vous devez modifier le mot de passe pour tout le monde et reconfigurer chaque device. Il n’existe pas d’identité propre à chaque utilisateur : vous ne pouvez donc pas savoir qui est connecté ni désactiver un seul utilisateur. Pour quelques personnes de confiance, cela convient ; pour une entreprise, ce modèle n’est pas évolutif.

Le mode Enterprise utilise l’authentification 802.1X et attribue à chaque utilisateur son propre nom d’utilisateur et son propre mot de passe (ou certificat), au lieu d’une clé partagée unique. Lorsqu’un utilisateur se connecte, ses identifiants sont vérifiés par rapport à un serveur d’authentification central avant que l’accès soit accordé. Il n’existe pas de mot de passe Wi-Fi unique à partager ou à divulguer : chacun s’authentifie individuellement avec sa propre identité.

L’authentification Enterprise repose sur un serveur RADIUS (Remote Authentication Dial-In User Service). Le point d’accès transmet les identifiants de chaque utilisateur au serveur RADIUS, qui les vérifie dans un annuaire et indique à l’AP d’autoriser ou de refuser la connexion. RADIUS est le cerveau central qui rend possible la connexion Wi-Fi propre à chaque utilisateur sur de nombreux points d’accès d’une organisation.

Dans 802.1X, trois rôles coopèrent : le supplicant (le device de l’utilisateur), l’authenticator (le point d’accès ou le commutateur) et le serveur d’authentification (RADIUS). Le supplicant envoie les identifiants, l’authenticator les relaie et le serveur prend la décision. Ils communiquent à l’aide d’EAP (Extensible Authentication Protocol), un cadre flexible qui prend en charge les mots de passe, les certificats et d’autres méthodes.

Le mode Enterprise est idéal pour les organisations. Vous pouvez désactiver un utilisateur sans toucher aux autres, voir qui s’est connecté, appliquer des règles propres à chaque utilisateur et éviter un secret partagé unique qui pourrait être facilement divulgué. Il s’intègre aux annuaires d’utilisateurs existants, de sorte que les employés utilisent les mêmes identifiants que ceux qu’ils possèdent déjà. Cette responsabilité individuelle et ce contrôle sont exactement ce dont les entreprises ont besoin pour disposer d’un Wi-Fi sécurisé et facile à gérer.

Le coût du mode Enterprise est sa complexité. Il faut configurer et maintenir un serveur RADIUS et l’intégrer à un annuaire d’utilisateurs, ce qui demande beaucoup plus de travail que de saisir une seule PSK. Pour un domicile ou un très petit bureau, cette charge supplémentaire n’en vaut pas la peine. Le choix repose sur un équilibre : Personal pour la simplicité, Enterprise pour l’évolutivité, le contrôle et la responsabilité.

Utilisez Personal (PSK) pour les domiciles et les petits réseaux où un mot de passe partagé entre des utilisateurs de confiance est acceptable. Utilisez Enterprise (802.1X avec RADIUS) pour les entreprises, les établissements scolaires et partout où vous avez besoin de connexions propres à chaque utilisateur, de révocations individuelles et d’une traçabilité. Les deux modes peuvent fonctionner avec WPA2 ou WPA3 : vous choisissez donc indépendamment la norme de chiffrement et le mode d’authentification.

L’authentification Enterprise peut utiliser différentes méthodes EAP. PEAP et EAP-TTLS vérifient les utilisateurs au moyen d’un nom d’utilisateur et d’un mot de passe à l’intérieur d’un tunnel protégé, ce qui constitue l’approche la plus courante. EAP-TLS utilise des certificats numériques sur le client et le serveur pour fournir l’authentification la plus forte, sans mot de passe, mais nécessite de gérer les certificats. Vous n’avez pas besoin de connaître tous les détails : retenez simplement qu’EAP est un cadre flexible et que l’EAP-TLS fondé sur des certificats est l’option la plus sécurisée.

Le choix entre Personal et Enterprise détermine la manière dont vous gérez l’accès sans fil. Personal repose sur une clé partagée unique : c’est simple, mais sans contrôle propre à chaque utilisateur. Enterprise utilise 802.1X et un serveur RADIUS pour fournir des identifiants individuels, une traçabilité et une révocation facile. La connaissance des rôles — supplicant, authenticator et serveur d’authentification — ainsi que du terme PSK constitue une base essentielle des connaissances Network+ sur l’authentification sans fil.

Testez vos connaissances sur l’authentification.

WPA2/WPA3 proposent deux modes. Personal (PSK) utilise un mot de passe partagé unique, simple pour les domiciles, mais sans identité propre à chaque utilisateur et avec une révocation fastidieuse. Enterprise utilise 802.1X avec un serveur RADIUS afin que chaque utilisateur dispose d’identifiants individuels, ce qui permet d’assurer la traçabilité et de révoquer facilement les accès. Les rôles de 802.1X sont le supplicant (device), l’authenticator (AP) et le serveur d’authentification (RADIUS), qui communiquent via EAP. Choisissez Personal pour la simplicité et Enterprise pour l’évolutivité et le contrôle.