Instructeur : Dans
cette leçon, nous allons parler des serveurs AAA, qui signifient
authentification, autorisation et comptabilité, et pour comprendre
les serveurs AAA, la première chose à faire est de comprendre comment
la norme 802. 1X fonctionne comme un cadre.
Instructeur : 802. 1X est un cadre normalisé utilisé
pour l'authentification basée sur
les ports sur les réseaux câblés et sans fil.
Maintenant, puisque 802. 1X n'est que le cadre, il va en fait
utiliser d'autres mécanismes pour effectuer
l'authentification réelle pour nous.
Par exemple, le Remote
Authentication Dial-In User Service, connu sous
le nom de RADIUS, et le Terminal
Access Controller Access-Control
System Plus, ou TACACS+, peuvent tous deux être utilisés pour
procéder à l'authentification à l'aide de la norme
802. Protocole 1X.
Trois rôles sont nécessaires pour qu'une authentification
puisse avoir lieu dans le cadre de la norme 802. 1X.
Le premier est le suppliant, c'est-à-dire l'appareil
ou l'utilisateur qui demande l'accès
au réseau, comme le PC1 sur cette image.
Il y a ensuite un authentificateur, qui est le dispositif
par lequel le suppliant tente d'accéder
au réseau.
Normalement, il s'agit d'un commutateur,
d'un point d'accès sans fil ou d'un concentrateur VPN.
Enfin, il y a le serveur d'authentification, qui
sera le dispositif centralisé
qui effectue l'authentification,
et qui sera généralement votre serveur
RADIUS ou TACACS+.
Il y a authentification lorsque l'identité d'une
personne est établie à l'aide de preuves et confirmée par le système.
C'est ce que vous faites tous les jours.
En fait, vous l'avez fait en vous connectant à ce cours.
Lorsque vous avez saisi votre adresse électronique et votre
mot de passe, vous avez déclaré être l'étudiant
qui a payé pour ce cours et, ce faisant, le système a vérifié
votre identité et vous a accordé l'accès.
Il existe aujourd'hui différentes manières d'authentifier son identité.
Dans le monde réel, par exemple, si un policier vous arrête
pour excès de vitesse, vous pouvez sortir
votre permis de conduire et lui montrer
que c'est bien vous et que vous êtes bien la personne
que vous prétendez être.
C'est votre preuve.
Aujourd'hui, dans le monde numérique,
nous disposons de cinq méthodes d'authentification.
Nous avons quelque chose que vous connaissez,
comme un mot de passe ou un nom d'utilisateur,
quelque chose que vous êtes, comme votre
empreinte digitale ou un scan de l'œil ou de la rétine, quelque
chose que vous avez, comme un jeton,
un permis de conduire ou une carte de crédit, quelque chose que
vous faites, comme votre façon de parler
ou de signer votre nom, et quelque chose que vous êtes,
que nous appelons votre facteur de localisation,
basé sur votre position GPS.
LDAP est le Lightweight Directory Access Protocol (protocole d'accès aux annuaires légers).
Il s'agit d'une base de données utilisée pour centraliser les
informations relatives à vos clients et à vos objets sur le réseau.
LDAP est essentiellement une version simplifiée de X. 500, qui est un service d'annuaire,
et qui contient une organisation
hiérarchique des utilisateurs, des groupes, des
serveurs et des systèmes au sein de votre réseau.
LDAP communique sur le port 389 lorsqu'il
n'est pas crypté, et si vous décidez
de le crypter à l'aide de SSL ou de TLS, il utilisera le port 636.
Bien que LDAP soit considéré comme multiplateforme,
Microsoft a créé sa propre implémentation, connue
sous le nom d'AD ou Active Directory.
Dans le domaine Windows, Active Directory est utilisé
pour organiser et gérer tout ce qui se trouve sur le réseau,
y compris les clients, les serveurs, les appareils,
les utilisateurs et les groupes.
Désormais, Active Directory peut également être utilisé
dans le cadre de vos politiques de sécurité ou de contrôle d'accès par le biais
de vos politiques de groupe.
RADIUS est le service d'authentification à distance des utilisateurs (Remote Authentication Dial-In User Service).
Il permet une administration centralisée de l'accès à distance, du VPN et de l'authentification
sans fil, de sorte que vous puissiez l'utiliser
avec les deux systèmes 802. 1X et le protocole
d'authentification extensible (EAP).
RADIUS est un protocole client-serveur qui s'exécute
sur la septième couche du modèle OSI, la
couche application.
RADIUS est généralement configuré pour être exécuté sur un serveur séparé,
mais il peut également être chargé sur un serveur Windows dans
des environnements de domaines plus petits.
RADIUS est utilisé pour authentifier les utilisateurs,
les autoriser à accéder aux services
et rendre compte de leur utilisation de ces services.
RADIUS utilise également le protocole UDP pour établir ses connexions,
ce qui le rend assez rapide pour
ses fonctions d'authentification et d'autorisation.
Si RADIUS est une norme multiplateforme, il existe
un protocole propriétaire de Cisco appelé TACACS+.
Il s'agit du Terminal Access Controller
Access-Control System Plus, qui peut jouer le rôle d'authentificateur
dans un système 802. 1X réseau.
Il vous appartient maintenant de déterminer celui qui convient
le mieux aux besoins de votre organisation.
Personnellement, j'ai utilisé RADIUS presque exclusivement
au sein de mes organisations.
J'ai constaté que TACACS+ est un peu plus lent à fonctionner
parce qu'il s'appuie sur TCP au lieu d'UDP, mais
TACACS+ présente certains avantages.
Il vous offre une sécurité supplémentaire
et mène de manière indépendante ses processus d'authentification,
d'autorisation et de comptabilité.
TACACS+ prend en charge tous les protocoles réseau, mais
RADIUS, en revanche, ne prend
pas en charge le protocole d'accès à distance,
le protocole de trame NetBIOS, X. 25 raccords à vis, et quelques
autres.
Dans l'ensemble, TACACS+ est un excellent choix, mais uniquement
si vous utilisez des appareils Cisco sur votre
réseau, car si vous souhaitez
disposer de cette capacité multiplateforme, vous devrez
utiliser RADIUS, comme je l'ai fait
par le passé.
Le deuxième A est l'autorisation.
Il y a autorisation lorsqu'un utilisateur se voit
accorder l'accès à certaines données ou à certaines zones du bâtiment.
Vous est-il déjà arrivé d'entrer dans un bâtiment et
de voir un panneau indiquant un accès restreint, réservé au personnel autorisé ?
Cela signifie que vous ne pouvez pas aller dans cette zone.
Il peut s'agir d'une salle de maintenance ou
d'un endroit où il y a des générateurs et
où seuls les mécaniciens peuvent entrer.
Ils possèdent des clés ou des badges spéciaux
qui leur permettent d'accéder à ces zones.
Cette zone est un endroit où vous n'êtes pas autorisé à aller.
Kerberos est axé sur l'authentification et l'autorisation.
Cette opération s'effectue par le biais de notre système de billetterie
Kerberos dans un domaine Windows.
Kerberos est un protocole d'authentification qui permet
une authentification mutuelle ou bidirectionnelle.
Lorsque l'utilisateur se connecte au domaine,
il contacte d'abord le contrôleur de domaine,
qui fait office de centre de distribution de clés, ou KDC.
Ce KDC a deux fonctions de base : l'authentification
et l'octroi de tickets.
Si votre client est correctement
authentifié, le KDC lui délivrera
un TGT (Ticket Granting Ticket).
Ce Ticket Granting Ticket est ensuite fourni
au contrôleur de domaine chaque fois que l'utilisateur
veut accéder à une ressource, et
le contrôleur de domaine peut alors fournir à cet utilisateur
un ticket de service ou une clé de session à utiliser, selon
ce qui convient le mieux à ses besoins.
Ces tickets sont présentés à la ressource et
l'accès est alors accordé car la ressource
fait toujours confiance aux tickets
fournis par les contrôleurs de domaine.
Comme Kerberos s'appuie sur le contrôleur de domaine
pour servir de centre de distribution des clés, il
s'agit d'un point de défaillance unique dans le domaine.
Si le contrôleur de domaine est hors service,
les services d'attribution de tickets sont également hors service.
Pour éviter cela, la plupart des gens utilisent un contrôleur
de domaine actif principal et un contrôleur de domaine actif secondaire.
Vous disposerez ainsi d'une forme de redondance qui
vous permettra de vous assurer que Kerberos est opérationnel et que LDAP fonctionne toujours.
Le troisième A est la comptabilité.
La comptabilité assure le suivi des données,
de l'utilisation des ordinateurs et des ressources du réseau.
Lorsque nous faisons cela, nous le mettons généralement
dans ce que l'on appelle un fichier journal.
Il s'agit d'un fichier sur un ordinateur
qui n'est autre qu'un gros document texte et qui
garde la trace de toutes sortes de choses.
Il peut s'agir de toutes les connexions
internet qui quittent le réseau, comme indiqué ici à l'écran,
ou d'une liste de toutes les personnes qui ont
essayé de se connecter à un fichier ou à un site web particulier.
Toutes sortes de journaux sont conservés sur votre
ordinateur pour garder une trace de
toutes les actions effectuées, et ce
afin de garantir l'application de bonnes pratiques comptables.
En effet, en cas de violation de données
ou de menace interne, vous pouvez revenir
en arrière et consulter les données de vos fichiers journaux
pour savoir qui a fait quoi et quand.
C'est ce que la comptabilité permet de faire.
Maintenant, si vous avez la preuve que quelqu'un a fait quelque
chose, qu'il a entrepris une action, nous appelons cela la non-répudiation.
La non-répudiation signifie simplement que l'utilisateur ne peut pas
dire qu'il n'a pas effectué l'action, car vous avez la preuve qu'il l'a fait.
Par exemple, si vous m'envoyez un courriel et
que vous le signez avec une signature numérique,
vous êtes la seule personne au monde à posséder
cette clé privée de signature numérique.
Je suis certain que vous avez envoyé ce courriel.
Vous ne pourrez pas me dire plus tard que vous ne l'avez
pas envoyé, car j'en ai maintenant la preuve.
C'est la non-répudiation.