Présentation générale de la sécurité

Retour à la table des matières

# Présentation générale de la sécurité

Chiffrement WEP

- Authentifications ouverte et partagée

Authentification 802.1x

- Fonctionnement de l'authentification 802.1x
- Fonctionnalités 802.1x

WPA*/WPA2*
Mode Entreprise
Mode Personnel
WPA - Entreprise et WPA2 - Entreprise
WPA - Personnel et WPA2 - Personnel
AES-CCMP
TKIP
TLS
TTLS

- Protocoles d'authentification

PEAP

- Protocoles d'authentification

Fonctionnalités Cisco

- Cisco LEAP
- Fonctionnalité Cisco de détection des points d'accès non autorisés
- Itinérance rapide (CCKM)
- CKIP
- Protocoles de protection 802.11b et 802.11g dans un environnement mixte
- EAP-FAST
- Mode Cellules mixtes
- Gestion radioélectrique

# Chiffrement WEP

Utilisez le chiffrement WEP (Wired Equivalent Privacy) IEEE 802.11 pour empêcher la réception non autorisée de données transmises sans fil. Le chiffrement WEP offre deux niveaux de sécurité utilisant une clé 64 bits (également appelée 40 bits) ou une clé 128 bits (également appelée 104 bits). Pour une sécurité accrue, utilisez la clé 128 bits. Si le chiffrement est utilisé, tous les périphériques sans fil de votre réseau sans fil doivent utiliser des clés de chiffrement identiques.

Le chiffrement WEP (Wired Equivalent Privacy) et l'authentification partagée fournissent une protection de vos données sur un réseau. WEP utilise une clé de chiffrement pour chiffrer les données avant de les transmettre. Seuls les ordinateurs utilisant la même clé de chiffrement peuvent accéder au réseau ou déchiffrer les données brouillées transmises par d'autres ordinateurs. L'authentification fournit un processus de validation supplémentaire de la carte au point d'accès.

L'algorithme de chiffrement WEP est vulnérable aux attaques actives et passives effectuées sur le réseau. Les algorithmes TKIP et CKIP bénéficient d'améliorations au protocole WEP qui atténuent les attaques existantes sur le réseau et résolvent ses défauts.

### Authentifications ouverte et partagée

IEEE 802.11 prend en charge deux types de méthodes d'authentification réseau : système ouvert et clé communiquée.

- Authentification ouverte : toute station sans fil peut demander l'authentification. La station qui a besoin de s'authentifier auprès d'une autre station sans fil envoie une demande de gestion de l'authentification contenant l'identité de la station émettrice. La station réceptrice ou le point d'accès accorde toute demande d'authentification. L'authentification ouverte autorise l'accès réseau à tout périphérique. Si aucun chiffrement n'est activé sur le réseau, tout périphérique connaissant l'identificateur SSID du point d'accès peut accéder au réseau.
- Authentification par clé partagée : chaque station sans fil doit avoir reçu une clé partagée secrète par un canal sécurisé indépendant du canal de communication du réseau sans fil 802.11. L'authentification partagée nécessite que le client configure une clé WEP statique. L'accès est accordé au client uniquement s'il peut répondre correctement à une stimulation d'authentification.

# Authentification 802.1x

Fonctionnement de l'authentification 802.1x
Fonctionnalités 802.1x

### Présentation

L'authentification 802.1x est indépendante du processus d'authentification de la norme 802.11. La norme 802.1x fournit un cadre pour les différents protocoles d'authentification et de gestion de clés. Il existe différents types d'authentification 802.1x, chacun approchant l'authentification d'une façon différente, mais ils emploient tous le même protocole 802.1x et le même cadre pour la communication entre un client et un point d'accès. Dans la plupart des protocoles, une fois que le processus d'authentification 802.1x est terminé, le demandeur reçoit une clé qu'il utilise pour le chiffrement des données. Reportez-vous à la section Fonctionnement de l'authentification 802.1x pour obtenir davantage d'informations. Avec l'authentification 802.1x, une méthode d'authentification est utilisée entre le client et le serveur RADIUS (Remote Authentication Dial-In User Service) connecté au point d'accès. Le processus d'authentification utilise des données d'identification, telles que le mot de passe des utilisateurs, qui ne sont pas transmises sur le réseau sans fil. La plupart des protocoles 802.1x prennent en charge des clés dynamiques par utilisateur, par session, permettant de renforcer la sécurité des clés statiques. La norme 802.1x tire parti d'un protocole d'authentification existant connu sous le nom de EAP (Extensible Authentication Protocol).

L'authentification 802.1x pour réseaux sans fil comporte trois composants principaux :

- l'authentificateur (le point d'accès),
- le demandeur (le logiciel client), et
- le serveur d'authentification (RADIUS).

Le protocole de sécurité de l'authentification 802.1x lance une requête d'autorisation depuis le client sans fil vers le point d'accès, qui à son tour authentifie le client sur un serveur RADIUS conforme au protocole EAP (Extensible Authentication Protocol). Le serveur RADIUS peut authentifier l'utilisateur (par mots de passe ou certificats) ou le système (par adresse MAC). En théorie, le client sans fil n'est pas autorisé à se connecter au réseau tant que la transaction n'est pas terminée.

Différents algorithmes d'authentification sont utilisés pour 802.1x. En voici quelques exemples : EAP-TLS, EAP-TTLS et PEAP (Protected EAP). Toutes ces méthodes permettent au client sans fil de s'identifier auprès du serveur RADIUS. Avec l'authentification RADIUS, les identités des utilisateurs sont vérifiées en regard de bases de données. Le protocole RADIUS est un ensemble de spécifications relatives à l'authentification, l'autorisation et la gestion des comptes utilisateurs (Authentication, Authorization and Accounting, ou AAA). RADIUS utilise une procédure proxy afin de valider les clients dans un environnement multiserveur. La norme IEEE 802.1x est destinée au contrôle et à l'authentification de l'accès à des réseaux 802.11 sans fil et à des réseaux Ethernet filaires utilisant des ports. Le contrôle de l'accès réseau par port est similaire à une infrastructure de réseau local commuté authentifiant les périphériques connectés à des ports du réseau local et interdisant l'accès à ces ports si le processus d'authentification échoue.

#### Qu'est-ce que RADIUS ?

RADIUS est un service d'authentification à distance des utilisateurs distants (Remote Authentification Dial-In User Service). Il s'agit du protocole client-serveur d'autorisation, d'authentification et de gestion des comptes (ou AAA, pour Authorization, Authentication and Accounting), utilisé lorsqu'un client AAA distant se connecte ou se déconnecte d'un serveur d'accès réseau. Un serveur RADIUS est généralement utilisé par les prestataires de services Internet (ISP) pour exécuter des tâches AAA. Les phases AAA sont décrites ci-dessous :

- Phase d'authentification : vérifie le nom d'utilisateur et le mot de passe en regard d'une base de données locale. Lorsque les informations d'identification ont été vérifiées, le processus d'autorisation peut commencer.
- Phase d'autorisation : détermine si une requête est autorisée à accéder à une ressource. Une adresse IP est affectée au client distant.
- Phase de gestion des comptes : collecte des informations relatives à l'utilisation des ressources en vue de l'analyse des tendances, la vérification, la facturation en fonction de la durée de la session ou l'affectation des coûts.

# Fonctionnement de l'authentification 802.1x

Voici une description simplifiée de l'authentification 802.1x :

- Un client envoie un message de « requête d'accès » à un point d'accès. Le point d'accès demande l'identité du client.
- Le client répond avec son paquet d'identification, qui est transmis au serveur d'authentification.
- Le serveur d'authentification envoie un paquet d'« acceptation » au point d'accès.
- Le point d'accès place le port du client dans l'état autorisé et le trafic de données est autorisé.

# Fonctionnalités 802.1x

- Prise en charge du protocole demandeur 802.1x
- Prise en charge du protocole EAP (Extensible Authentication Protocol) - RFC 2284
- Méthodes d'authentification prises en charge :
  - Protocole d'authentification EAP TLS - RFC 2716 et RFC 2246
  - Protocole d'authentification EAP-SIM - RFC 4186
  - TLS tunnelé EAP (TTLS)
  - PEAP
- Prend en charge Microsoft Windows XP* et Microsoft Windows 2000*

> REMARQUE : sous Windows Vista*, les fonctionnalités de sécurité d'Intel(R) PROSet/Wireless prennent en charge uniquement les authentifications TTLS et EAP-SIM.

# WPA* ou WPA2*

L'accès protégé Wi-Fi* (WPA* ou WPA2*) est une amélioration de la sécurité renforçant considérablement le niveau de protection des données et le contrôle de l'accès à un réseau sans fil. WPA applique l'authentification 802.1x et l'échange de clé, et fonctionne uniquement avec des clés de chiffrement dynamiques. Pour renforcer le chiffrement des données, WPA utilise son protocole TKIP (Temporary Key Integrity Protocol). TKIP fournit au chiffrement des données des améliorations importantes, comprenant une fonctionnalité de mixage de clé par paquet, une vérification de l'intégrité des messages (MIC, pour message integrity check) appelée « Michael », un vecteur d'initialisation étendu (IV, pour initialization vector) avec des règles de séquençage, ainsi qu'un mécanisme de régénération des clés. Grâce à ces améliorations, TKIP permet de se prémunir contre les faiblesses connues de WEP.

La deuxième génération WPA, conforme à la spécification IEEE TGi, s'appelle WPA2.

Mode Entreprise : le mode Entreprise vérifie les utilisateurs du réseau à l'aide d'un serveur RADIUS ou d'un autre serveur d'authentification. WPA utilise des clés de chiffrement à 128 bits et des clés de session dynamiques pour assurer la confidentialité du réseau sans fil et la sécurité des données de l'entreprise. Le mode Entreprise est destiné aux réseaux d'entreprise et de l'administration.

Mode Personnel : le mode Personnel nécessite la configuration manuelle d'une clé communiquée à l'avance (PSK) sur le pont d'accès et les clients. La clé communiquée à l'avance permet d'authentifier les utilisateurs à l'aide d'un mot de passe ou d'un code d'identification, sur la station cliente comme sur le point d'accès. Aucun serveur d'authentification n'est nécessaire. Le mode Personnel est destiné aux réseaux domestiques et de petites entreprises.

WPA-Entreprise ou WPA2-Entreprise : fournit ce niveau de sécurité sur les réseaux d'entreprise avec un serveur RADIUS 802.1x. Un type d'authentification correspondant au protocole d'authentification du serveur 802.1x est sélectionné.

> REMARQUE : WPA- Entreprise et WPA2 - Entreprise peuvent fonctionner conjointement.

WPA - Personnel et WPA2 - Personnel : fournit ce niveau de sécurité sur les réseaux de petite taille ou dans un environnement privé (maison). Ce mode utilise un mot de passe, également appelé « clé communiquée à l'avance » (PSK). Plus le mot de passe est long, plus la sécurité du réseau sans fil est renforcée. Si votre point d'accès sans fil ou votre routeur prend en charge WPA - Personnel et WPA2 - Personnel, vous devriez l'activer sur le point d'accès et entrer un mot de passe long et sûr. Le mot de passe entré sur le point d'accès doit être utilisé sur l'ordinateur et sur tous les autres périphériques sans fil accédant au réseau sans fil.

> REMARQUE : WPA - Personnel et WPA2 - Personnel ne peuvent pas fonctionner conjointement.

AES-CCMP (Advanced Encryption Standard - Counter CBC-MAC Protocol) est la nouvelle méthode de protection de la confidentialité des transmissions sans fil spécifiée dans la norme IEEE 802.11i. AES-CCMP offre une méthode de chiffrement renforcée par rapport à TKIP. Sélectionnez AES-CCMP comme méthode de chiffrement des données lorsqu'une protection renforcée des données est essentielle.

> REMARQUE : certaines solutions de sécurité peuvent ne pas être prises en charge par le système d'exploitation de votre ordinateur. Des logiciels supplémentaires ou un équipement particulier peuvent être nécessaires, de même que la prise en charge d'une infrastructure RLAN. Contactez le fabricant de votre ordinateur pour davantage de détails.

TKIP (Temporal Key Integrity Protocol) est une amélioration de la sécurité WEP (Wired Equivalent Privacy). TKIP fournit un mixage de clé par paquet, une vérification de l'intégrité des messages et un mécanisme de régénération des clés qui pallient ensemble aux déficiences du protocole WEP.

## TLS

Type de méthode d'authentification utilisant le protocole d'authentification EAP (Extensible Authentication Protocol) et le protocole de sécurité TLS (Transport Layer Security). EAP-TLS fait appel à des certificats utilisant des mots de passe. L'authentification EAP-TLS prend en charge la gestion dynamique des clés WEP. Le protocole TLS est conçu pour la sécurisation et l'authentification des communications sur les réseaux publics par le chiffrement des données. Le protocole de négociation TLS permet au serveur et au client de s'authentifier mutuellement et de négocier un algorithme de chiffrement et des clés cryptographiques avant l'envoi des données.

## TTLS

Ces paramètres permettent de définir le protocole et les données d'identification utilisés pour authentifier un utilisateur. Avec le protocole TTLS (Tunneled Transport Layer Security), le client utilise EAP-TLS pour valider le serveur et créer un canal à chiffrement TLS entre le client et le serveur. Le client peut utiliser un autre protocole d'authentification. Habituellement, les protocoles à mot de passe effectuent la stimulation sur ce canal chiffré pour activer la validation du serveur. Les paquets de stimulations et de réponses sont envoyés via un canal à chiffrement TLS non exposé. Les implémentations TTLS actuelles prennent en charge toutes les méthodes définies par le protocole EAP, ainsi que plusieurs autres méthodes (PAP, CHAP, MS-CHAP et MS-CHAP-V2). Le protocole TTLS peut facilement être étendu pour fonctionner avec de nouveaux protocoles en définissant de nouveaux attributs prenant en charge ces derniers.

## EAP-SIM

La méthode EAP-SIM (Extensible Authentication Protocol Method for GSM Subscriber Identity) est un mécanisme d'authentification et de distribution de clés de session. Elle utilise le module SIM (Subscriber Identity Module) du système de communication GSM (Global System for Mobile Communications). La norme RFC 4186 décrit la méthode EAP-SIM.

### Protocoles d'authentification

- PAP : PAP (Password Authentication Protocol) est un protocole de négociation deux voies conçu pour être utilisé avec PPP. PAP est un mot de passe textuel non chiffré utilisé sur les anciens systèmes SLIP. Il n'est pas sûr.
- CHAP : CHAP (Challenge Handshake Authentication Protocol) est un protocole de négociation trois voies considéré plus sûr que le protocole d'authentification par mot de passe.
- MS-CHAP (MD4) : utilise une version Microsoft du protocole de négociation-réponse RSA Message Digest 4. Il fonctionne uniquement sur les systèmes Microsoft et permet le chiffrement des données. La sélection de cette méthode d'authentification entraîne le chiffrement de toutes les données.
- MS-CHAP-V2 : présente une fonctionnalité supplémentaire, non disponible avec l'authentification MS-CHAP-V1 ou CHAP standard : la fonctionnalité de modification de mot de passe. Cette fonctionnalité permet au client de modifier le mot de passe du compte si le serveur RADIUS signale que le mot de passe est expiré.

# PEAP

PEAP est un nouveau type de protocole IEEE 802.1x EAP (Extensible Authentication Protocol) conçu pour tirer parti de la méthode EAP-TLS (EAP-Transport Layer Security) côté serveur et pour prendre en charge différentes méthodes d'authentification, y compris les mots de passe utilisateur et les mots de passe à utilisation unique, ainsi que les cartes à jetons génériques.

### Protocoles d'authentification

- Carte à jetons générique (GTC) : utilise des cartes à jetons spécifiques pour l'authentification. La fonctionnalité principale de GTC est l'authentification basée sur un certificat numérique/une carte à jetons. GTC inclut également la capacité de masquer les identités des noms d'utilisateur jusqu'à ce que le tunnel chiffré TLS soit établi, ce qui offre un niveau de confidentialité supplémentaire en assurant que les noms d'utilisateur ne sont pas diffusés pendant la phase d'authentification.
- MS-CHAP-V2 : voir MS-CHAP-V2 ci-dessus.
- TLS : Le protocole TLS est conçu pour la sécurisation et l'authentification des communications sur les réseaux publics par le chiffrement des données. Le protocole de négociation TLS permet au serveur et au client de s'authentifier mutuellement et de négocier un algorithme de chiffrement et des clés cryptographiques avant l'envoi des données. Voir TLS ci-dessus.

## Fonctionnalités Cisco

> REMARQUE : les fonctionnalités Cisco ne sont pas prises en charge sous Windows Vista.

### Cisco LEAP

Cisco LEAP (Cisco Light EAP) est une authentification 802.1x serveur et client via un mot de passe de connexion fourni par l'utilisateur. Lorsqu'un point d'accès sans fil communique avec un serveur RADIUS (serveur ACS, pour Cisco Secure Access Control Server) prenant en charge Cisco LEAP, Cisco LEAP fournit le contrôle d'accès grâce à une authentification mutuelle entre les cartes sans fil clientes et les réseaux sans fil et fournit des clés de chiffrement dynamiques individuelles aidant à la protection des données transmises.

### Fonctionnalité Cisco de détection des points d'accès non autorisés

La fonctionnalité Cisco de détection des points d'accès non autorisés fournit une protection contre l'intrusion d'un point d'accès non autorisé pouvant imiter un point d'accès autorisé sur un réseau afin d'extraire des informations concernant les données d'identification des utilisateurs et les protocoles d'authentification, ce qui pourrait compromettre la sécurité. Cette fonctionnalité fonctionne uniquement avec l'authentification LEAP de Cisco. La technologie utilisée par la norme 802.11 ne protège pas les réseaux contre l'intrusion d'un point d'accès non autorisé. Reportez-vous à la section Authentification LEAP pour davantage d'informations.

### Itinérance rapide (CCKM)

Lorsqu'un réseau RLR est configuré pour l'association rapide, un périphérique client compatible LEAP peut passer d'un point d'accès à l'autre sans impliquer le serveur principal. Avec la fonctionnalité CCKM de Cisco (Cisco Centralized Key Management), un point d'accès configuré pour fournir des services WDS (Wireless Domain Services) prend la place du serveur RADIUS et authentifie le client sans délai perceptible au niveau des applications vocales ou de toute autre application urgente.

### CKIP

Le protocole CKIP (Cisco Key Integrity Protocol) est un protocole de sécurité exclusif de Cisco pour le chiffrement en support 802.11. Le protocole CKIP utilise les fonctionnalités suivantes pour améliorer la sécurité 802.11 en mode d'infrastructure.

- Permutation des clés (KP)
- Numéro de séquence des messages

### Protocoles de protection 802.11b et 802.11g dans un environnement mixte

Certains points d'accès, par exemple Cisco 350 ou Cisco 1200, prennent en charge des environnements dans lesquels certaines stations clientes ne prennent pas en charge le chiffrement WEP ; ce mode s'appelle « Cellule mixte ». Lorsque ces réseaux sans fil fonctionnent en mode « chiffrement optionnel », les stations clientes qui se connectent en mode WEP envoient tous les messages chiffrés et celles qui utilisent le mode standard envoient tous les messages non chiffrés. Ces points d'accès indiquent (diffusent) que le réseau n'utilise pas de chiffrement, mais permettent aux clients de se connecter en utilisant le mode WEP. Lorsque le mode Cellule mixte est activé dans un profil, vous pouvez connecter des points d'accès qui sont configurés pour un « chiffrement optionnel ».

### EAP-FAST

EAP-FAST, tout comme EAP-TTLS et PEAP, utilise le tunnelage pour protéger le trafic. La différence principale est que EAP-FAST n'utilise pas de certificat pour l'authentification. L'obtention de certificat dans EAP-FAST est négociée uniquement par le client lors de la première communication et lorsque EAP-FAST est requis à partir du serveur. Si le client n'a pas de clé PAC (Protected Access Credentials) secrète communiquée à l'avance, il peut envoyer une requête d'échange EAP-FAST afin d'en obtenir une dynamiquement du serveur.

EAP-FAST propose deux méthodes pour envoyer la clé PAC : une livraison manuelle via un mécanisme hors-bande sécurisé et une mise à disposition automatique.

- Le mécanisme pour la livraison manuelle peut être tout mécanisme de livraison que l'administrateur estime être suffisamment sécurisé pour son réseau.
- La mise à disposition automatique établit un tunnel chiffré afin de protéger l'authentification du client et la livraison de la clé PAC au client. Ce mécanisme, bien qu'il ne soit pas aussi sécurisé que la méthode manuelle, est plus sûr que la méthode d'authentification utilisée avec LEAP.

La méthode EAP-FAST peut être divisée en deux parties : la mise à disposition et l'authentification. La phase de mise à disposition implique la livraison initiale de la clé PAC au client. Cette phase ne doit être exécutée qu'une seule fois pour chaque client et utilisateur.

### Mode Cellules mixtes

Certains points d'accès, par exemple Cisco 350 ou Cisco 1200, prennent en charge des environnements dans lesquels certaines stations clientes ne prennent pas en charge le chiffrement WEP ; ce mode s'appelle « Cellule mixte ». Lorsque ces réseaux sans fil fonctionnent en mode « chiffrement optionnel », les stations clientes qui se connectent en mode WEP envoient tous les messages chiffrés et celles qui utilisent le mode standard envoient tous les messages non chiffrés. Ces points d'accès indiquent (diffusent) que le réseau n'utilise pas de chiffrement, mais permettent aux clients de se connecter en utilisant le mode WEP. Lorsque le mode Cellule mixte est activé dans un profil, vous pouvez connecter des points d'accès qui sont configurés pour un « chiffrement optionnel ».

### Gestion radioélectrique

Lorsque cette fonctionnalité est sélectionnée, la carte sans fil fournit les informations de gestion radioélectrique à l'infrastructure Cisco. Si l'utilitaire de gestion radioélectrique Cisco est utilisé dans l'infrastructure, il configure les paramètres radio et détecte les interférences et les points d'accès non autorisés.

Retour au début

Retour à la table des matières

Marques et exclusions de responsabilité