Les retrouvailles des anciennes connaissances

• Malette Home
• Les Cartes visites
• Le Forum de Malette
• Livre d'or
• Le Sondage de Malette

La Revue de Malette: Télécommunications

	Authentification centralisée d’utilisateurs natifs dans un réseau d’entreprise (RADIUS/LDAP)
	L'auteur: Mohamed Amine Brahem (ingénieur en réseaux informatiques et télécommunications)

  Problématique : Un système d’information est une structure qui évolue perpétuellement selon les besoins. De nouvelles ressources peuvent êtres ajoutées, de nouveaux utilisateurs peuvent être crées et donc de nouveaux droits d’accès et de nouvelles règles d’exploitation doivent être définis. Ceci entraîne une multitude de données pour l’utilisateur final du système aussi bien que pour son administrateur. Par conséquent, le risque d’oubli, de confusion, de réplication augmente et rend l’interaction avec le système très complexe.

 Solution : Il est intéressant de centraliser la gestion des données d’authentification et d’unifier ses sources. Ceci se traduit par la mise en œuvre d’une structure du type SSO (Single Sign On) ou un utilisateur accède aux différentes ressources du système d’information par un seul couple login/password.

 Principe de la solution : La solution décrite dans le paragraphe précédent repose sur l’interfaçage de deux serveurs d’authentification centralisée : un serveur RADIUS et un serveur LDAP. Le serveur RADIUS servira à authentifier les utilisateurs par délégation de l’authentification au serveur LDAP qui gère un annuaire électronique contenant les identités des différents utilisateurs.

L’accès aux différentes ressources sera conditionné par une authentification  RADIUS. Chaque utilisateur sera invité à s’authentifier pour pouvoir utiliser une ressource donnée et dans le cas d’une authentification réussie, cet accès sera journalisé et l’utilisateur pourrait être comptabilisé.

Exemple de mise en œuvre de la solution RADIUS/LDAP : Dans un réseau d’entreprise l’accès à Internet est conditionné par une politique de sécurité mise en œuvre sur le firewall. Cette politique conditionne l’accès à Internet par une authentification RADIUS. On suppose qu’un utilisateur veut se connecter à Internet. Il est invité à saisir son nom d’utilisateur et son mot de passe dés qu’il lance son navigateur web. Cette action se traduit par une demande d’accès envoyé par le client RADIUS, qui est le firewall dans notre cas, vers le serveur RADIUS. Ce dernier entame une opération de vérification de l’identité en demandant au serveur LDAP de chercher dans l’annuaire une entrée dont le nom correspond à celui de l’utilisateur et d’extraire son mot de passe. Selon le résultat de cette vérification d’identité, le serveur RADIUS répond son client par une acceptation d’accès ou par un rejet. A son tour, le client autorise le client à se connecter à Internet ou l’invite à une nouvelle authentification. Dans le cas où l’utilisateur est autorisé, le serveur RADIUS déclenche une étape de « journalisation » qui consiste à collecter des informations relatives à cette connexion pour éventuellement comptabiliser l’utilisateur.

 Figure : exemple de mise en œuvre de la solution RADIUS/LDAP pour l’accès web.

 Avantages de la solution RADIUS/LDAP :

• Unification de la source d’authentification : un seul serveur, le serveur RADIUS, permet d’authentifier tous les utilisateurs pour tous les services disponibles (Internet, impression, messagerie, etc.).
• Exclusivité de l’administration : un seul utilisateur a le privilège d’administrer les serveurs RADIUS et LDAP.
• Garantie de l’intégrité et de la confidentialité des données échangées :

• chiffrement des transactions par une clé partagée entre les clients et les serveurs, 
• utilisation des mécanismes de chiffrement PAP et CHAP pour protéger les mots de passe des utilisateurs,
• utilisation des connexions sécurisées (canaux SSL).
• Facilité de l’analyse des performances et de la détection d’anomalies : les informations contenues dans les fichiers journaux servent de base pour d’éventuelles analyses.

 Autre exemple d’application RADIUS/LDAP : L’exemple le plus courant est celui des fournisseurs du service Internet (FSI) ? Chaque client possède un couple login-password qui lui permet de se connecter à Internet suivant les contraintes d’horaire et de débit autorisés. L’utilisateur est facturé en se basant sur le journal de ses connexions.

 Environnement de réalisation de la solution RADIUS/LDAP :

• Serveur RADIUS: Steel Belted Radius, free Radius, OpenRADIUS, etc. 
•  Serveur LDAP: OpenLDAP, Netscape, Active Directory, etc. 
• Système d’exploitation: UNIX, Windows.

  ---

Aucun commentaire