PEAP (Protected Extensible Authentication Protocol)

Résumé

Le PEAP (Protected Extensible Authentication Protocol) renforce la sécurité des réseaux sans fil en encapsulant le processus d’authentification traditionnel de l’Extensible Authentication Protocol (EAP) dans un tunnel Transport Layer Security (TLS). Contrairement à l’EAP de base, le PEAP protège les échanges d’identifiants contre toute interception lors de ses deux phases d’authentification. Il est pris en charge de manière native dans les environnements Microsoft via EAP-MSCHAPv2, ce qui en fait une option pratique et largement adoptée par rapport à d’autres solutions comme Extensible Authentication Protocol-Tunneled Transport Layer Security (EAP-TTLS).

Qu'est-ce que le PEAP ?

PEAP est un protocole de sécurité utilisé pour renforcer la protection des réseaux WiFi.

Combien de personnes au sein de votre entreprise travaillent actuellement sur des ordinateurs branchés dans les locaux de votre siège ? 

Il est probable qu’une partie, voire la totalité, des personnes employées par votre entreprise travaillent parfois en dehors des locaux. En réalité, l’université Stanford indique que le télétravail est devenu la nouvelle norme, puisque plus de 42 % des personnes se sont connectées à distance pendant la pandémie. Et même lorsque nous serons de retour au bureau, nous utiliserons probablement des ordinateurs portables et des téléphones pour travailler. 

Si vous utilisez le Wi-Fi pour permettre à ces collaborateurs de se connecter, qu’ils soient dans les locaux ou à l’extérieur, vous pourriez être confronté à des risques de sécurité importants.

PEAP a été créé pour aider. Depuis des années, les programmeurs et programmeuses utilisent ce que l’on appelle EAP pour gérer les connexions sans fil. PEAP est une version de cette technologie, et elle intègre des protections de sécurité renforcées. 

Pourquoi le standard EAP présente-t-il des lacunes en matière de sécurité ?

Dans un EAP traditionnel, les systèmes utilisent un système de clé publique pour se connecter. Si une personne utilisatrice peut prouver ses identifiants (par exemple en saisissant un nom d’utilisateur et un mot de passe), le serveur transmet ensuite une clé publique pour finaliser la transaction, et les utilisateurs et utilisatrices disposent d’une clé de chiffrement pour la décoder. 

Malheureusement, la saisie de mots de passe et l’échange de clés peuvent avoir lieu dans des espaces non protégés au sein d’un EAP. Cela expose entièrement votre système au piratage. 

PEAP associe la rapidité de l’EAP à un tunnel TLS. L’ensemble de la communication entre un client et le serveur est protégé à l’intérieur de ce tunnel TLS. PEAP ne décrit pas une méthode spécifique. À la place, cela implique d’enchaîner plusieurs mécanismes EAP.

Comment fonctionne PEAP ? 

Un aperçu général de l’authentification PEAP

Le codage et la technologie qui sous-tendent PEAP sont complexes. Même Microsoft affirme que la plupart des personnes travaillant dans un petit bureau n’ont pas besoin de comprendre tous les aspects des fonctionnalités de sécurité complexes de ce type. 

Cependant, explorer une vue d’ensemble de cette technologie peut vous aider à comprendre comment PEAP protège les données lorsqu’elles sont transmises entre deux parties. 

Se connecter à un serveur et obtenir un accès s’appelle l’ authentification, et cela implique généralement plusieurs étapes. Le protocole PEAP comporte deux phases.

1. Phase 1 : l’authentificateur associé à l’appareil de l’utilisateur envoie un message EAP-Request/Identity. Le client peut répondre avec une identité réelle ou une version anonymisée, ce qui la rend plus difficile à dérober.

   La poignée de main entre les deux appareils commence. En substance, les deux systèmes relèvent un défi fondamental à ce stade, mais il reste encore du travail à accomplir.

2. Phase 2 : Le serveur EAP envoie un autre message, demandant la véritable identité de l’utilisateur. Les deux renforcent leur lien, et un canal s’ouvre.

   Ici, une connexion plus étroite s’établit et les systèmes échangent des clés. Comme cette étape intervient très tard dans le processus, sous la protection du tunnel TLS, il est très difficile de la compromettre ou de la manipuler. 

Examinez l’illustration pour une description détaillée de toutes les étapes impliquées dans l’authentification. En tant qu’utilisateur ou utilisatrice, vous ne voyez peut-être jamais tout le travail effectué en coulisses.

Et le délai est minime. Avec une programmation adaptée, il ne vous faudra que quelques secondes pour que les deux systèmes communiquent, se connectent et vous donnent accès. 

Quels outils sont utilisés lors de la phase 2 de l’authentification PEAP ? 

Utilisez les protocoles PEAP, et l’authentification se déroulera en deux phases. Vous aurez besoin d’un outil supplémentaire pour passer de la première à la deuxième phase. 

Vos options incluent :

• EAP-MSCHAPv2 (Microsoft Challenge Handshake Authentication Protocol version 2). Lorsqu’il est associé à PEAPv0 (version 0), il s’agit aujourd’hui de l’une des formes de PEAP les plus courantes. Il est fourni de manière standard avec les produits Microsoft et gère les détails de la seconde négociation lors de la phase 2 de l’authentification.
   
• EAP-GTC (Generic Token Card). Ce produit est conçu pour être associé à PEAPv1 (version 1) et il fonctionne avec des produits en dehors de l’environnement Microsoft. Comme sa mise en œuvre nécessite certaines compétences en développement, contrairement à son équivalent, cette option est rarement utilisée. 

Stockage des identifiants PEAP après l’authentification

L’enchaînement de lettres et de chiffres peut prêter à confusion. Mais les avantages sont évidents. 

Lorsque vous utilisez une méthode PEAP, avec l’un de ces assistants, vous démontrez que vous avez le droit d’accéder au serveur. Vous n’aurez à le prouver qu’une seule fois, car vos identifiants sont enregistrés dans le système. Au cours de votre parcours au sein de l’entreprise, il se peut que vous n’ayez plus jamais à mettre à jour votre mot de passe (ni à vous en souvenir). Les gains de temps pourraient être considérables.

Comment PEAP se compare-t-il à EAP-TTLS ?

Comme nous l’avons mentionné, PEAP utilise TLS pour sécuriser et protéger les messages. Mais d’autres systèmes utilisent également TLS. En tant qu’administrateur ou administratrice réseau, vous disposez de plusieurs options. 

Par exemple, certaines entreprises évitent le PEAP et utilisent à la place ce que l’on appelle EAP-TTLS. Ce produit propose une authentification basée sur des certificats via un tunnel, de manière similaire à PEAP. 

Laissez Okta vous aider à protéger vos données 

Le WiFi simplifie les connexions. Les personnes à proximité n’ont qu’à connaître les bons identifiants, et elles sont prêtes à se connecter.

Mais le WiFi présente certains risques pour la sécurité, et les identifier n’est pas toujours simple. Nous pouvons vous aider.

Chez Okta, nous pouvons vous aider à examiner vos configurations et à corriger les lacunes qui exposent votre sécurité à des risques. 

Foire aux questions (FAQ)

Qu’est-ce qui rend PEAP (Protected Extensible Authentication Protocol) plus sécurisé que le protocole EAP (Extensible Authentication Protocol) standard ?

L'EAP standard échange des identifiants et des clés dans des espaces non protégés, ce qui rend le processus vulnérable à l'interception. PEAP répond à ce problème en encapsulant l’ensemble de la communication client-serveur dans un tunnel TLS (Transport Layer Security), de sorte que les échanges d’identifiants sensibles aient lieu dans un environnement protégé.

Quelles sont les deux phases de l’authentification PEAP (Protected Extensible Authentication Protocol) ?

Lors de la phase 1, l’authentificateur envoie une demande d’identité et le client répond — éventuellement avec une identité anonymisée — ce qui initie un handshake de base. Lors de la phase 2, le serveur demande la véritable identité de l’utilisateur, une connexion plus approfondie est établie et les clés cryptographiques sont échangées de manière sécurisée au sein du tunnel TLS.

Qu’est-ce qu’EAP-MSCHAPv2 et pourquoi est-il couramment utilisé avec PEAP (Protected Extensible Authentication Protocol) ?

EAP-MSCHAPv2 (Microsoft Challenge Handshake Authentication Protocol version 2) est l’outil secondaire utilisé lors de la phase 2 de l’authentification PEAPv0. Il s’agit de l’une des configurations PEAP les plus largement déployées, car elle est intégrée nativement aux produits Microsoft, ce qui réduit la nécessité d’installer ou de configurer des éléments supplémentaires.

Dans quels cas utiliseriez-vous EAP-GTC (Generic Token Card) plutôt que EAP-MSCHAPv2 ?

EAP-GTC (Generic Token Card) est conçu pour être utilisé avec PEAPv1 et s’adresse aux environnements autres que Microsoft. Cependant, comme sa mise en œuvre nécessite des compétences supplémentaires en développement, contrairement à EAP-MSCHAPv2, son adoption reste relativement limitée en pratique.

En quoi le PEAP (Protected Extensible Authentication Protocol) se distingue-t-il de l’Extensible Authentication Protocol-Tunneled Transport Layer Security (EAP-TTLS) ?

PEAP et EAP-TTLS (Extensible Authentication Protocol – Tunneled Transport Layer Security) utilisent tous deux un tunnel TLS pour l’authentification basée sur des certificats. La principale différence réside dans le fait que PEAP est intégré nativement aux produits Microsoft, tandis que EAP-TTLS est un protocole propriétaire qui doit être installé manuellement sur chaque appareil, ce qui fait de PEAP le choix le plus pratique pour la plupart des entreprises.

Les utilisateurs doivent-ils gérer ou mémoriser des mots de passe lorsqu’ils utilisent PEAP (Protected Extensible Authentication Protocol) ?

Une fois qu’un utilisateur s’authentifie avec succès via PEAP, ses identifiants sont stockés dans le système. Cela signifie que les utilisateurs n’auront peut-être plus besoin de mettre à jour ou de mémoriser leur mot de passe pendant toute la durée de leur présence au sein de l’organisation, ce qui réduit considérablement la friction liée à l’authentification.

Références

Une étude de Stanford dresse un état des lieux de la nouvelle économie du télétravail. (juin 2020), Université Stanford. 

Présentation de 802.1X et types EAP. (octobre 2020), Intel. 

1.3 Présentation. (octobre 2020), Microsoft. 

Windows de Microsoft reste indissociable de l’ordinateur. (mars 2020), Statista.