Chap. 4 : Authentification système

Transcription

1 C h a p i t r e 4 : A u t h e n t i f i c a t i o n s y s t è m e Page 1 Chap. 4 : Authentification système Génaël VALET Version 3.2 Mai 2008

2 C h a p i t r e 4 : A u t h e n t i f i c a t i o n s y s t è m e Page 2 Sommaire Ce que nous allons aborder dans ce chapitre Adresse matérielle (MAC), Adresse IP Le point faible d ARP L IP Spoofing L authentification forte avec IPSec, Kerberos L authentification i des réseaux sans-fils (WIFI) Protocole Radius

3 C h a p i t r e 4 : A u t h e n t i f i c a t i o n s y s t è m e Page 3 Introduction La menace principale pour un réseau est qu une station non autorisée usurpe l identité d une station autorisée Une machine est identifiée par son adresse et son nom Les systèmes classiques sont basés sur la confiance L adresse MAC est sensée être unique Il existe quelques techniques permettant l usurpation d identité

4 C h a p i t r e 4 : A u t h e n t i f i c a t i o n s y s t è m e Page 4 Adresse matérielle (MAC) Adresse permettant d identifier le matériel Constructeur, n de série Utilisée massivement dans les réseaux locaux Pas de communication entre postes sans adresse MAC L adresse MAC peut être modifiée logiciellement

5 C h a p i t r e 4 : A u t h e n t i f i c a t i o n s y s t è m e Page 5 Le protocole IP IP est utilisé pour toutes les communications TCP pour le mode connecté UDP pour le mode déconnecté L adresse IP détermine l identité de la machine Son numéro de réseau (Net id) Son numéro d hôte (host Id) Ex : avec un masque

6 C h a p i t r e 4 : A u t h e n t i f i c a t i o n s y s t è m e Page 6 Adresses IP publiques et privées Certaines adresses sont publiques et d autres privées C est une des solutions trouvées pour limiter le nombre d adresses IP sur Internet Les adresses privées ne sont pas visibles sur Internet Les adresses privées sont définies pour chaque classe d adresse

7 C h a p i t r e 4 : A u t h e n t i f i c a t i o n s y s t è m e Page 7 Le protocole ARP Permet la correspondance entre l adresse IP et l adresse MAC Processus appelé «résolution d adresse» Address Resolution Protocol ARP utilise la diffusion sur le réseau pour demander son adresse MAC au destinataire Le destinataire répond avec son adresse MAC Le message de diffusion passe «en clair» sur le réseau

8 C h a p i t r e 4 : A u t h e n t i f i c a t i o n s y s t è m e Page 8 Capture de requêtes ARP Capture d une requête et d une réponse Réponse ARP Requête ARP

9 C h a p i t r e 4 : A u t h e n t i f i c a t i o n s y s t è m e Page 9 Attaque de type IP Spoofing (Usurpation d adresse) N importe quelle machine connectée sur le même réseau peut usurper son identité Surtout si la machine en question est arrêtée L usurpateur envoie des faux messages ARP

10 C h a p i t r e 4 : A u t h e n t i f i c a t i o n s y s t è m e Page 10 Parades contre l usurpation d adresse 4 parades Détection d usurpation Trouver le coupable avant qu il ne nuise La résolution d adresses statique Interrompre la résolution ARP dynamique Lourd à gérer (Il faut connaître toutes les adresses MAC) Port security L utilisation d un serveur ARP La gestion des adresses MAC est centralisée L utilisation de l authentification forte (Cryptographie) Kerberos, IPSEc, Ralentit les performances

11 C h a p i t r e 4 : A u t h e n t i f i c a t i o n s y s t è m e Page 11 Authentification forte Technologies principales IPsec Kerberos Applications à base de cryptographie à clé publique Ex : WikID Systems Ces outils permettent d authentifier les utilisateurs, les systèmes, voire les applications Authentification côté client ET côté serveur Résout le problème d usurpation d adresse

12 C h a p i t r e 4 : A u t h e n t i f i c a t i o n s y s t è m e Page 12 IPsec Mécanisme de sécurité générique pour TCP/IP Inclus dans IPv6 Adapté à IPv4 Travaille sur la couche 3 : Réseau Tous les protocoles des couches 4,5,6 et 7 peuvent l utiliser IPsec n authentifie que la machine L utilisateur doit également s authentifier IPsec assure l authentification système et peut aussi assurer l intégrité et la confidentialité des données IPsec est inclus dans Linux et à partir de Windows 2000

13 C h a p i t r e 4 : A u t h e n t i f i c a t i o n s y s t è m e Page 13 Kerberos Service d authentification indépendant Inclus dans Linux Fait partie de l implémentation TCP/IP de Windows 2000 Kerberos authentifie la machine au moment du démarrage Utilisation d un serveur Kerberos Contient tous les mots de passe Doit être très protégé Kerberos est complexe et lourd à mettre en place

14 C h a p i t r e 4 : A u t h e n t i f i c a t i o n s y s t è m e Page 14 Kerberos (suite) Implémentation sous Windows 2000 Incompatible avec les autres implémentations (Linux) Principe d authentification en 2 temps Obtention du ticket initial Obtention du ticket de service

15 C h a p i t r e 4 : A u t h e n t i f i c a t i o n s y s t è m e Page 15 Kerberos ( phase 1)

16 C h a p i t r e 4 : A u t h e n t i f i c a t i o n s y s t è m e Page 16 Kerberos (phase 2)

17 C h a p i t r e 4 : A u t h e n t i f i c a t i o n s y s t è m e Page 17 Authentification sur les réseaux sans-fils Un réseau sans-fil utilise un support non limité Tout le monde peut «écouter le trafic» N importe qui peut fait partie du réseau Avec de simples logiciels, un attaquant peut injecter des réponses ARP falsifiées (cache poisoning) Le réseau est alors inutilisable car aucune communication ne pourra se faire avec un mauvais cache ARP. Il faut donc une authentification forte Authentification i Mise en place d un Virtual Private Network (VPN)

18 C h a p i t r e 4 : A u t h e n t i f i c a t i o n s y s t è m e Page 18 Standard i Conçu pour pallier aux faiblesses du cryptage Wired Equivalent Privacy (WEP) Propose une technologie appelée «802.1X Port Based Network Access Control» pour l authentification Aucune entité ne peut utiliser le réseau tant qu elle n est pas authentifiée L industrie ne pouvant attendre la normalisation du standard i, des technologies palliatives sont arrivées TSN (WPA), RSN (WPA2)

19 C h a p i t r e 4 : A u t h e n t i f i c a t i o n s y s t è m e Page 19 EAP (Extensible Authentication Protocol) Il s agit du protocole assurant le transport des informations d authentification Indépendant de IP Agit sur la couche Liaison Un poste non authentifié ne pourra pas utiliser d autres protocoles que EAP Pas d ARP, ni d IP, ni ICMP EAP peut être couplé avec plusieurs schémas d authentification Calculettes (Tokens), Kerberos, Clé publique, One Time Password (OTP), RADIUS

20 C h a p i t r e 4 : A u t h e n t i f i c a t i o n s y s t è m e Page 20 RADIUS Remote Authentication Dial-in User Service Utilisé à l origine par les FAI pour authentifier ses utilisateurs via un modem RTC Protocole gérant l authentification système L authentification utilisateur RADIUS permet de centraliser l authentification Une seule base de données d authentification utilisée par de nombreux systèmes et équipements Points d accès WIFI par exemple

21 C h a p i t r e 4 : A u t h e n t i f i c a t i o n s y s t è m e Page 21 RADIUS (suite) Le NAS : Network Access Server Point d accès WI-FI par exemple Joue aussi le rôle du client RADIUS Le serveur AAA (Authentication, Authorization, Accounting) Joue le rôle de serveur d authentification Reçoit les requêtes des NAS

22 C h a p i t r e 4 : A u t h e n t i f i c a t i o n s y s t è m e Page 22 RADIUS (suite) Plusieurs méthodes d authentification CHAP, MSCHAP, Kerberos EAP (Pour les réseaux sans-fils) EAP-MSCHAPv2 (Intégrée à Windows XP) Choix du cryptage WPA entre la station et le point d accès Possibilité d utilisation des certificats pour authentifier Méthode d authentification EAP vers le serveur RADIUS

23 C h a p i t r e 4 : A u t h e n t i f i c a t i o n s y s t è m e Page 23 RADIUS (suite et fin) Plusieurs implémentations du protocole RADIUS FreeRadius Cisco Secure Access Control Server Microsoft's RADIUS Server Intégré à IAS (Internet Authentication Service) Bientôt remplacé par DIAMETER Utilise TCP sur le port 3868 Mais aussi SCTP (Streaming)

24 C h a p i t r e 4 : A u t h e n t i f i c a t i o n s y s t è m e Page 24 Travaux pratiques : Serveur RADIUS Objectif : Mise en place du WPA sur un réseau wifi Installation d un serveur RADIUS Sous Linux avec Freeradius Configuration du point d accès WIFI en WPA Point d accès NETGEAR en WPA ou WPA2 Authentification utilisateur par certificats Authentification utilisateur par login/password Voir document de TP