La sécurité du réseau interne de l’entreprise doit être renforcée
La majorité des actes d’authentification ont lieu en interne entre les postes clients et les serveurs. Mais c’est aussi de là que proviennent la majorité des actes malveillants.
La technique d’authentification la plus utilisée en entreprise est bien souvent celle installée par défaut avec le système d’exploitation des serveurs : un simple couple nom – mot de passe. Cette méthode simple est généralement fiable si la vérification dans la base de données des utilisateurs demeure sur le réseau local et si les mots de passe sont bien choisis et régulièrement changés. Hélas, l’histoire a prouvé que c’est rarement le cas, et que des mots de passe faibles ou périmés sont à l’origine de la majorité des incidents de sécurité en interne. Il est donc nécessaire de renforcer les procédures d’authentification, même sur le réseau local.
Kerberos, en attendant la PKI
Avec Unix, le strict minimum est de renforcer l’algorithme de chiffrement des mots de passe (le plus souvent avec MD5) et de recourir aux mots de passe ” cachés ” (avec Shadow Password). Windows 2000 présente en cela quelques avantages vis-à-vis d’Unix, car il propose d’emblée des procédures d’authentification modernes (contrôle dans Active Directory, Kerberos 5), bien plus fiables que celles offertes par défaut avec Unix et par le vénérable LAN Manager de Windows NT.À l’image du couple Windows 2000-Active Directory, on pourra recourir aussi à un annuaire pour Unix afin de gérer les procédures d’authentification. NIS+, une version chiffrée du Network Information System de Sun, ou NDS (Novell Directory Services) de Novell sont des solutions envisageables. Il est également possible, dans des parcs hétérogènes, de déployer une procédure d’authentification SMB (Server Message Block), compatible entre un serveur Unix et des clients Windows NT.Enfin, il est toujours possible d’installer Kerberos sur la totalité de son site. L’opération est longue et complexe, mais il s’agit encore, en attendant une démocratisation de la PKI, de la panacée du moment. Tous ces procédés permettent d’améliorer la sécurité de l’authentification sur le réseau local. Toutefois, si le processus doit utiliser un réseau public ou emprunter une série de réseaux pas entièrement maîtrisés, il est nécessaire d’avoir recours à d’autres procédés et protocoles. Les plus utilisés aujourd’hui sont représentés par des produits tels que SSH (Secure Shell), les logiciels de la société RSA, ou encore X-COD, SecurWarID, Radius. Tous donnent la possibilité de s’authentifier de manière forte sur un serveur distant, soit par des mots de passe à usage unique, soit par un système de négociation de clé tel que Diffie-Hellman ou encore par la cryptographie à clé publique. Cette dernière, par le biais de la PKI, sera bientôt la seule véritable solution d’authentification robuste et universelle.
