Authentication and Security

Les mécanismes d'authentification Active Directory (AD) sont essentiels pour sécuriser l'accès aux ressources réseau dans les entreprises modernes. Ils s'assurent que les utilisateurs sont bien ceux qu'ils prétendent être avant de leur permettre d'accéder à des services tels que les serveurs de fichiers, le courrier électronique ou les systèmes intranet. Comprendre le fonctionnement des différentes méthodes d'authentification, telles que Kerberos, NTLM et LDAP, est essentiel pour maintenir un environnement sécurisé dans toute organisation. Parallèlement à ces mécanismes, le respect des meilleures pratiques telles que l'audit régulier, le principe du moindre privilège, la séparation des tâches et la gestion des correctifs peut renforcer la protection des environnements AD contre les menaces potentielles.

Authentification AD

Authentification Kerberos

Kerberos est un système d'authentification sécurisé utilisé dans de nombreuses organisations pour garantir que les utilisateurs peuvent accéder à des services tels que le courrier électronique, les serveurs de fichiers et les bases de données sans avoir à saisir leur mot de passe à plusieurs reprises. Il fonctionne à l'aide d'un système de tickets cryptés pour prouver l'identité de l'utilisateur. Kerberos garantit que les mots de passe ne sont pas envoyés en permanence sur le réseau, ce qui signifie que les utilisateurs peuvent accéder à plusieurs services après s'être connectés une fois.

Pour illustrer le fonctionnement de Kerberos, prenons l'exemple de Sarah, employée d'une entreprise utilisant Kerberos pour l'authentification.

Processus d'authentification Kerberos

1. Lorsque Sarah se connecte à son ordinateur, celui-ci utilise son mot de passe pour envoyer

une demande au serveur d'authentification (AS) du centre de distribution de clés (KDC). Cette demande demande un ticket d'octroi de billets (TGT).

2. Le serveur d'authentification du KDC vérifie les informations d'identification de Sarah (nom

d'utilisateur et mot de passe). Si tout est correct, l'AS répond en renvoyant un ticket d'octroi de ticket (TGT) à l'ordinateur de Sarah. Ce TGT est crypté et sera utilisé pour les demandes futures.

3. Plus tard, lorsque Sarah souhaite accéder à son courrier électronique, son ordinateur utilise

le TGT pour demander un ticket de service au Ticket Grant Server (TGS) (un autre composant du KDC). Cette demande demande l'autorisation d'accéder au service de messagerie.

4. Le serveur d'attribution de tickets vérifie le TGT de Sarah et répond en lui envoyant un ticket

de service spécialement pour le serveur de messagerie. Ce ticket permet à Sarah de prouver son identité au serveur de messagerie.

5. L'ordinateur de Sarah envoie le ticket de service au serveur de messagerie (le serveur

d'applications) comme preuve de son identité et demande l'accès à son compte e-mail.

6. Le serveur de messagerie vérifie le ticket de service, confirme sa validité et répond en

autorisant Sarah à accéder à son e-mail. Elle peut désormais lire et envoyer des e-mails sans avoir à saisir à nouveau son mot de passe.

NTLM (gestionnaire de réseau local NT)

NTLM (NT LAN Manager) est un ancien protocole d'authentification Windows qui utilise une méthode défi-réponse pour vérifier l'identité d'un utilisateur sans envoyer son mot de passe sur le réseau. Lorsqu'un utilisateur essaie d'accéder à une ressource, le serveur envoie un défi aléatoire. L'ordinateur de l'utilisateur chiffre ce défi avec une version hachée de son mot de passe et renvoie la réponse au serveur. L'accès est accordé à l'utilisateur si la réponse correspond aux attentes du serveur.

Pour expliquer le fonctionnement de NTLM, prenons l'exemple de John, qui utilise l'authentification NTLM pour accéder à un dossier partagé sur le serveur interne de son entreprise.

Processus d'authentification NTLM

1. John clique sur le dossier partagé depuis son ordinateur. Son ordinateur envoie une demande

d'accès au serveur. Au lieu d'envoyer directement son mot de passe, son ordinateur envoie une version brouillée appelée hachage du mot de passe.

2. Le serveur a reçu la demande mais a dû vérifier l'identité de John. Pour ce faire, il a renvoyé

un nombre aléatoire, appelé défi, à l'ordinateur de John.

3. L'ordinateur de John utilise le hachage du mot de passe pour chiffrer le défi et renvoie le

résultat au serveur. Cette réponse prouve au serveur que John connaît son mot de passe sans pour autant le révéler.

4. Le serveur vérifie si la réponse de John est correcte. Si c'est le cas, le serveur lui accorde

l'accès au dossier partagé et John peut l'ouvrir. Si la réponse est incorrecte, le serveur refuse l'accès et John ne peut pas accéder au dossier.

LDAP (Lightweight Directory Access Protocol)

L'authentification LDAP (Lightweight Directory Access Protocol) vérifie l'identité des utilisateurs et contrôle l'accès aux ressources en communiquant avec un service d'annuaire centralisé, tel qu'Active Directory. Pendant l'authentification, les informations d'identification de l'utilisateur sont envoyées au serveur LDAP dans une demande de liaison, et le serveur vérifie les informations d'identification. L'utilisateur peut s'authentifier et demander un accès supplémentaire aux ressources si les informations d'identification sont valides. L'accès est accordé ou refusé en fonction des résultats du serveur.

Voyons maintenant un exemple où Maria utilise l'authentification LDAP pour se connecter au système intranet de son entreprise.

Processus d'authentification LDAP

1. Maria ouvre la page de connexion à l'intranet de l'entreprise et saisit son nom d'utilisateur et

son mot de passe. Son ordinateur envoie une demande de liaison au serveur LDAP, lui demandant d'authentifier ses informations d'identification.

2. Le serveur LDAP vérifie les informations d'identification de Maria (nom d'utilisateur et mot de

passe). S'ils sont corrects, il renvoie un résultat de liaison indiquant une authentification réussie. Si les informations d'identification étaient incorrectes, le résultat de la liaison indiquerait un échec.

3. Une fois l'authentification réussie, l'ordinateur de Maria envoie une demande d'opération au

serveur LDAP, demandant l'accès aux ressources de l'intranet de l'entreprise (comme des documents partagés ou des outils internes).

4. Le serveur LDAP traite la demande d'opération et répond avec un résultat d'opération. Si tout

se passe bien, Maria peut accéder aux ressources demandées.

5. Sur la base de la réponse du serveur, Maria a accès au système intranet et peut désormais

consulter les fichiers partagés et les ressources de l'entreprise. En cas de problème, elle se verrait refuser l'accès.

Bonnes pratiques en matière de sécurité Active Directory

Audit et surveillance réguliers

Un audit et une surveillance réguliers doivent être effectués dans Active Directory, afin de vérifier systématiquement qui accède au système, le modifie ou essaie de s'y connecter. Vous pouvez rapidement détecter les comportements inhabituels en consultant les journaux d'événements Windows, tels que les tentatives non autorisées d'accès à des informations sensibles, de modification d'objets AD ou les échecs d'authentification.

Principe du moindre privilège

Le principe du moindre privilège consiste à donner aux utilisateurs le niveau d'accès minimum pour faire leur travail. Par exemple, si un employé doit uniquement accéder à un ensemble spécifique de fichiers ou définir des autorisations, il n'y a aucune raison de lui accorder des droits administratifs sur l'ensemble du réseau. En limitant l'accès, même si un compte est compromis, les dommages potentiels sont minimisés.

Séparation des tâches

La séparation des tâches consiste à répartir les responsabilités afin qu'aucune personne n'ait le contrôle de tous les aspects des processus critiques. Par exemple, une personne peut être chargée de créer les comptes utilisateurs, tandis qu'une autre approuve les modifications des paramètres de sécurité. Cette division empêche les abus de pouvoir et réduit le risque de menaces internes.

Gestion des correctifs

La gestion des correctifs implique la mise à jour régulière des serveurs AD et des logiciels associés afin de corriger les failles de sécurité. Garder vos systèmes corrigés garantit que toutes les faiblesses connues sont résolues avant que les attaquants ne puissent les exploiter. Les fournisseurs de logiciels publient des mises à jour pour corriger les bogues et améliorer la sécurité. Il est donc essentiel de rester à jour avec ces correctifs pour protéger votre environnement AD.