Résumé : Les différents types d'authentification proposés par EAP et l'installation d'un serveur Freeradius assurant une authentification forte, à l'aide de EAP TLS, qui sera répartie entre le serveur Radius et le point d’accès WIFI après avoir généré préalablement les clés et les certificats nécessaires.

Poster un commentaire

Promo interne : Certificats annuels SSL ( Voir les détails ) 128/256 bits à racine unique. Installables en 30 secondes, 99% des navigateurs compatibles ! Disponibles en ligne en 10 minutes : RapidSSL ( 62 EUR - Voir ), RapidSSL Pro réémission gratuite ( 98 EUR - Voir ) & QuickSSL Premium, réémission gratuite, compatible PDA, sceau de validité ( 129 EUR - Voir ) - Promo spéciale 20 % sur les certificats SSL VeriSign jusqu'au 31 mai 2008 ( Voir ) 1 Year VPN Unlimited Who needs VPN4U Services ? Hotspot Wireless Users at risk of having personal datas stolen like passwords ! Home Internet Users, Cable and DSL providers don't filtering exploits ! International Internet Users living where Governments prevent users from enjoying Internet, USA IP = no controls ! 36 USD - Buy

NDLR : ce document a été rédigé en 2006, certaines versions ainsi que certaines configurations des logiciels utilisés selon ces versions peuvent être différentes de celles qui sont mentionnées ; merci de vous reporter vers les sites officiels des projets en question en cas de problème.


Le but de ce tutoriel n’étant pas d’installer un serveur Radius sous Linux (les ressources disponibles sur Internet à ce sujet sont nombreuses - lien http externe url:[click] ).

Nous ne détaillerons pas ici les différentes étapes d’installation, mais uniquement les points importants pour assurer un compromis utilisation/sécurité maximum pour des clients multi-plateformes tout en considérant un déploiement réalisable sur de larges parcs.


Résumons les principaux types d’authentifications EAP :

- MD5
Authentification serveur : Aucune
Authentification client : Hash
Attaques possibles : Dictionnaire, rejeu, Man in The Middle

- LEAP
Authentification serveur : Hash
Authentification client : Hash
Attaques possibles : Dictionnaire

- PEAP
Authentification serveur : Certificat
Authentification client : Au choix (EAP)
Attaques possibles : Dictionnaire

- TLS
Authentification serveur : Certificat
Authentification client : Certificat
Attaques possibles : Vol de certificat/clef


Comme nous pouvons le constater ici, le type d’authentification EAP n’est pas à négliger. Un exemple simple est MD5 qui ne garantit aucun mécanisme fiable puisque des attaques par rejeu, ou par bruteforce/dictionnaire pour déterminer le mot de passe, sont réalisables ( lien http externe url:[click] ).

La version de freeradius utilisée pour ce tutoriel est la 1.0.5 disponible sur le site officiel ( lien http externe url:[click] ). L’installation peut être réalisée à partir des sources ou simplement à partir de paquets suivant la distribution retenue (deb, rpm…).

Les principales modifications à apporter à la configuration de freeradius - par défaut dans /etc/raddb/ - sont les suivantes.

Fichier eap.conf :

(...)
eap {
(...)
eap_default_type = tls
ignore_unknown_eap_types = yes
(...)
tls {

private_key_password = [MDP Clef serveur]
private_key_file = ${raddbdir}/certs/lapt41p.pem
certificate_file = ${raddbdir}/certs/lapt41p.pem

CA_file = ${raddbdir}/certs/root.pem
CA_path= ${raddbdir}/certs/
dh_file = ${raddbdir}/certs/dh1024.pem
random_file = ${raddbdir}/certs/random
fragment_size = 1024
include_length = yes
check_crl = yes
}
}


Nous utiliserons une authentification TLS pour ses avantages quant à la sécurité des échanges, mais également pour assurer la compatibilité avec le plus grand nombre de supplicants.

L’option check_crl peut poser certains problèmes en fonction de la configuration de freeradius : elle permet de vérifier, pour chaque certificat, si une révocation n’a pas été émise précédemment.

Fichier clients.conf :

client [IP client (AP)] {
secret = [PSK Radius]
shortname = [nom client]
}


C’est ici le secret partagé par le serveur Radius et le point d’accès qui viendra l’interroger pour authentifier les utilisateurs sur le réseau.

Fichier radiusd.conf :

(...)
modules {
(...)
$INCLUDE ${confdir}/eap.conf
(...)
}
(...)


Les certificats et clefs cités dans les fichiers de configuration ci-dessus ont été générés à l’aide d’Openssl ( lien http externe url:[click] ) pour l’autorité de certification (ici root), le serveur (ici lapt41p) ainsi que les clients.

Certificat racine (root)

Création du certificat et de la clef :

openssl req -nodes -new -x509 -keyout root.key -out root.crt -days 365


Exportation du certificat au format der :

openssl x509 -inform PEM -outform DER -in root.crt -out root.der


Serveur (lapt41p)

Création de la clef privée du serveur ainsi que la requête de signature du certificat (fichier csr) :

openssl req -nodes -new -keyout lapt41p.key -out lapt41p.csr


Signature du certificat serveur par l’autorité de certification

echo "02" > root.srl
openssl x509 -req -in lapt41p.csr -out lapt41p.pem -CAkey root.key -CA root.crt


Clients (ainsi que tous les autres clients futurs)

Afin de faciliter la création des comptes utilisateurs, l’utilisation d’un script contenant les étapes ci-dessous est recommandée…

Création de la clef et de la requête de certification associée

openssl req -nodes -new -keyout client.key -out client.csr


Signature du certificat client par l’autorité de certification

echo « 2 » > client.srl
openssl x509 -req -in client.csr -out client.pem -CAkey root.key -CA root.crt -extfile xpextensions


Avec le fichier xpextensions suivant, qui permet d’assurer la compatibilité avec Windows XP :

extensions
[ xpclient_ext]
extendedKeyUsage = 1.3.6.1.5.5.7.3.2
[ xpserver_ext ]
extendedKeyUsage = 1.3.6.1.5.5.7.3.1


Autres ressources disponibles dans ce dossier :

[Sécuriser un réseau sans fil - Partie 1] Introduction à la sécurité du WI-FI – lien http interne url:[click]

[Sécuriser un réseau sans fil - Partie 3] Récapitulatif et configuration du point d'accès – lien http interne url:[click]

[Sécuriser un réseau sans fil - Partie 4] Coté clients Windows – lien http interne url:[click]

[Sécuriser un réseau sans fil - Partie 5] Coté clients Linux/*nix et conclusion – lien http interne url:[click]

Poster un commentaire