Pré­sen­ta­tion de l’au­then­ti­fi­ca­tion Kerberos

Dans un monde de plus en plus numérisé dans lequel les données privées et pro­fes­sion­nelles sont sau­ve­gar­dées et trans­mises, la cy­ber­cri­mi­na­lité est un problème qui va en s’aggravant. Grâce à l’uti­li­sa­tion d’in­tel­li­gence ar­ti­fi­cielle, les hackers amé­lio­rent sans cesse leurs attaques. Pour cette raison, le chif­fre­ment des données grâce à des pro­cé­dures de sécurité élec­tro­niques est plus important que jamais. Découvrez dans cet article quels sont les avantages de l’au­then­ti­fi­ca­tion Kerberos, comment cela fonc­tionne et quels sont ses points forts et ses points faibles.

Kerberos est un service d’au­then­ti­fi­ca­tion qui est utilisé sur les réseaux in­for­ma­tiques ouverts ou non sécurisés. Le protocole de sécurité au­then­ti­fie les demandes de service entre deux hôtes de confiance, ou plus, via un réseau non approuvé comme Internet. Pour l’au­then­ti­fi­ca­tion d’ap­pli­ca­tions client-serveur et la vé­ri­fi­ca­tion de l’identité de l’uti­li­sa­teur, il utilise le chif­fre­ment cryp­to­gra­phique et un tiers de confiance (Trusted Third Party en anglais).

Kerberos est un projet open source du con­sor­tium Kerberos. Ce protocole a été développé dans les années 1980 au Mas­sa­chu­setts Institute of Tech­no­logy (MIT) pour le projet Athena. Aujourd’hui, Kerberos est la tech­no­lo­gie d’au­to­ri­sa­tion standard de Microsoft Windows. L’im­plé­men­ta­tion de Kerberos est également possible pour d’autres systèmes d’ex­ploi­ta­tion comme Apple OS, FreBSD, UNIX et Linux. Microsoft a lancé sa propre version du protocole Kerberos avec Windows 2000. Par la suite, il s’est également développé comme protocole standard pour les sites Web et im­plé­men­ta­tions d’au­then­ti­fi­ca­tion unique (SSO) sur dif­fé­rentes pla­te­formes.

Les uti­li­sa­teurs, or­di­na­teurs et services qui utilisent Kerberos s’appuient sur le KDC, qui assure deux fonctions en un seul processus : l’au­then­ti­fi­ca­tion et l’at­tri­bu­tion de tickets. Les « tickets KDC » au­then­ti­fient toutes les parties im­pli­quées, en vérifiant l’identité de tous les nœuds, les points de départ et d’arrivée des con­nexions logiques. Pour cela, le processus d’au­then­ti­fi­ca­tion Kerberos utilise un mécanisme de clés secrètes qui évite que les paquets de données transmis ne soient lus ou modifiés. Ils sont ainsi protégés contre les écoutes et attaques répétées.

Kerberos et NTLM sont deux pro­to­coles réseau qui forment un sous-groupe de la famille des pro­to­coles Internet (Ip). Il s’agit de deux pro­to­coles d’au­then­ti­fi­ca­tion qui utilisent le TCP (Trans­mis­sion Control Protocol) ou l’UDP (User Datagram Protocol) lors des trans­mis­sions. NTLM est une abré­via­tion de NT LAN Manager et est antérieur à Kerberos. Il s’agit d’un protocole d’au­then­ti­fi­ca­tion défi-réponse au cours duquel un mot de passe est demandé à l’or­di­na­teur cible, vérifié, puis en­re­gis­tré sous forme hachée pour une uti­li­sa­tion ul­té­rieure.

Une des prin­ci­pales dif­fé­rences entre Kerberos et NTLM réside dans la vé­ri­fi­ca­tion par un tiers. Ainsi, Kerberos a une fonction de chif­fre­ment renforcée par rapport à NTLM, car cette étape sup­plé­men­taire rajoute un niveau de sécurité sup­plé­men­taire. NTLM peut être fa­ci­le­ment piraté, c’est pourquoi il est considéré aujourd’hui comme non sécurisé et ne doit plus être utilisé. Dans le module d’au­then­ti­fi­ca­tion Windows, les deux pro­to­coles d’iden­ti­fi­ca­tion sont cependant im­plé­men­tés.

Le Security Support Provider (SSP) Negotiate, qui fonc­tionne comme couche d’ap­pli­ca­tion entre la Security Support Provider Interface (SSPI) et les autres SSP, choisit au­to­ma­ti­que­ment entre l’au­then­ti­fi­ca­tion Kerberos et NTLM dans un processus de né­go­cia­tion. Lorsqu’il est dis­po­nible, le protocole Kerberos est pri­vi­lé­gié, à défaut c’est NTLM qui est utilisé.

Si Kerberos est en principe im­plé­menté dans les produits Microsoft depuis Windows 2000 et Windows XP, il existe d’autres pro­to­coles de sécurité courants pour les na­vi­ga­teurs Web, les mes­sa­ge­ries ins­tan­ta­nées et les emails. Le protocole de sécurité SSL ou TLS chiffre, par exemple, les com­mu­ni­ca­tions entre un serveur Web et un na­vi­ga­teur. Il garantit ainsi que toutes les données trans­mises restent protégées et ne puissent pas être lues. SSL fonc­tionne comme Kerberos avec le protocole TCP, mais utilise un procédé de chif­fre­ment par clé asy­mé­trique.

Comme nous l’avons déjà vu, Kerberos est sen­si­ble­ment plus sécurisé que NTLM. En effet, l’au­to­ri­sa­tion par un tiers fait du service l’un des pro­to­coles de vé­ri­fi­ca­tion les plus sûrs du monde in­for­ma­tique. En outre, les mots de passe ne sont jamais envoyés en texte brut sur le réseau. Les « clés secrètes » ne sont trans­mises que sous forme chiffrée. Kerberos permet également de retracer fa­ci­le­ment qui a permis quoi et quand.

Des pro­to­coles trans­pa­rents et précis sont es­sen­tiels pour les audits de sécurité dans les grandes et petites en­tre­prises. Ces dernières disposent également d’un excellent contrôle des accès au protocole. Le service permet en outre aux uti­li­sa­teurs et systèmes de service de s’au­then­ti­fier mu­tuel­le­ment. À chaque étape du processus d’au­then­ti­fi­ca­tion, l’uti­li­sa­teur aussi bien que le système serveur savent qu’ils traitent avec un in­ter­lo­cu­teur au­then­ti­fié. Au fil des années, les experts en sécurité ont tenté de pirater le projet open source ce qui lui a permis de s’améliorer en continu.

Mais Kerberos a aussi des points faibles. Lorsqu’un serveur Kerberos tombe en panne, l’uti­li­sa­teur ne peut plus se connecter. Les mé­ca­nismes d’au­then­ti­fi­ca­tion de secours et les serveurs se­con­daires servent souvent de solution à ces problèmes. Il existe également des exigences strictes en matière de délais : les con­fi­gu­ra­tions de dates et heures des parties con­cer­nées doivent sys­té­ma­ti­que­ment être syn­chro­ni­sées dans des limites pré­dé­fi­nies. Si ce n’est pas le cas, l’au­then­ti­fi­ca­tion échoue, car les tickets ne sont dis­po­nibles que dans une certaine limite.

Certains systèmes hérités ne sont également pas com­pa­tibles avec les mé­ca­nismes d’au­then­ti­fi­ca­tion par un tiers. Et bien que les mots de passe soient, en principe, sécurisés dans l’au­then­ti­fi­ca­tion Kerberos, les pirates peuvent cependant y avoir accès grâce à des attaques par force brute ou des attaques de phishing. C’est l’une des raisons pour les­quelles l’au­then­ti­fi­ca­tion multi-facteurs (MFA) reste un moyen pri­vi­lé­gié pour la pro­tec­tion de l’identité en ligne.