Vue d’ensemble du protocole PEAP

Le protocole PEAP ne spécifie pas de méthode d’authentification, mais il fournit une sécurité supplémentaire pour d’autres protocoles d’authentification EAP, tels que EAP-MSCHAP v2 (Extensible Authentication Protocol-Microsoft Challenge Handshake Authentication Protocol version 2), qui peuvent fonctionner par le biais du canal chiffré TLS fourni par PEAP. PEAP est utilisé comme méthode d’authentification pour les clients d’accès qui se connectent au réseau de votre organisation à travers les types de serveurs d’accès réseau suivants :

• Points d’accès sans fil 802.1X
  
  
• Commutateurs d’authentification 802.1X
  
  
• Serveurs de réseaux privés virtuels (VPN) exécutant Windows Server® 2008 ou Windows Server® 2008 R2 et le serveur Routage et accès à distance.
  
  
• Ordinateurs exécutant Windows Server 2008 et la Passerelle des services Terminal Server (Passerelle TS) ou Windows Server® 2008 R2 et la Passerelle des services Bureau à distance.
  
  

Pour améliorer les protocoles EAP et la sécurité réseau, le protocole PEAP fournit les éléments suivants :

• Un canal TLS protégeant la négociation de méthode EAP qui a lieu entre le client et le serveur. Ce canal TLS permet d’empêcher un agresseur d’injecter des paquets entre le client et le serveur d’accès réseau en vue de provoquer la négociation d’un type EAP moins sécurisé. Le canal TLS chiffré contribue en outre à prévenir les attaques par déni de service contre le serveur NPS.
  
  
• Une prise en charge de la fragmentation et du réassemblage des messages, ce qui permet l’utilisation de types EAP qui ne procurent pas ces fonctionnalités.
  
  
• Clients capables d’authentifier le serveur NPS ou tout autre serveur RADIUS. Étant donné que le serveur authentifie également le client, une authentification mutuelle a lieu.
  
  
• Protection contre le déploiement d’un point d’accès sans fil non autorisé au moment où le client EAP authentifie le certificat fourni par le serveur NPS. En outre, le secret principal TLS créé par l’authentificateur PEAP et le client n’est pas partagé avec le point d’accès. Pour cette raison, le point d’accès est incapable de déchiffrer les messages protégés par le protocole PEAP.
  
  
• Une reconnexion PEAP rapide, ce qui réduit le délai entre une demande d’authentification d’un client et la réponse envoyée par le serveur NPS ou tout autre serveur RADIUS. Par ailleurs, grâce à cette reconnexion rapide PEAP, les clients sans fil peuvent se déplacer entre les points d’accès configurés comme clients RADIUS et un même serveur RADIUS sans avoir à envoyer de demandes d’authentification répétées. Ceci permet de réduire les exigences en ressources pour le client comme pour le serveur et de minimiser le nombre de fois que les utilisateurs sont invités à fournir leurs informations d’identification.
  
  

Le tableau suivant présente les avantages du type d’authentification PEAP-MS-CHAP v2 par rapport à MS-CHAP v2.

Le processus d’authentification PEAP entre le client PEAP et l’authentificateur est divisé en deux étapes. La première étape établit un canal sécurisé entre le client PEAP et le serveur d’authentification. La seconde étape fournit une authentification EAP entre le client PEAP et l’authentificateur.

Vous avez le choix entre deux types EAP, appelés également types d’authentification, à utiliser avec PEAP : EAP-MS-CHAP v2 ou EAP-TLS. EAP-MS-CHAP v2 utilise des informations d’identification par mot de passe (nom d’utilisateur et mot de passe) pour authentifier l’utilisateur et un certificat dans le magasin de certificats de l’ordinateur serveur pour authentifier le serveur. EAP-TLS utilise, pour authentifier l’utilisateur et l’ordinateur client, soit des certificats installés dans le magasin de certificats de l’ordinateur client, soit une carte à puce et, pour authentifier le serveur, un certificat dans le magasin de certificats de l’ordinateur serveur.

PEAP-MS-CHAP v2 (PEAP avec EAP-MS-CHAP v2) est plus facile à déployer que la méthode EAP-TLS parce que l’authentification de l’utilisateur s’effectue à l’aide d’informations d’identification par mot de passe (nom d’utilisateur et mot de passe) au lieu de certificats ou de cartes à puce. Seul le serveur NPS ou tout autre serveur RADIUS doit avoir un certificat. Le certificat de serveur NPS est utilisé par le serveur NPS durant le processus d’authentification pour prouver son identité aux clients PEAP.

L’authentification PEAP-MS-CHAP v2 requiert que le client fasse confiance au serveur NPS après avoir examiné le certificat de serveur. Pour que le client fasse confiance au serveur NPS, l’autorité de certification qui a délivré le certificat de serveur doit être légitimée par son propre certificat dans le magasin de certificats des Autorités de certification racine de confiance sur les ordinateurs clients.

Le certificat de serveur employé par NPS peut être délivré soit par l’autorité de certification racine de confiance de votre organisation, soit par une autorité de certification publique, comme Verisign ou Thawte, approuvée par l’ordinateur client.

	Remarques
	PEAP-MS-CHAP v2 offre une sécurité considérablement améliorée par rapport à MS-CHAP v2 en permettant la génération de clés avec TLS et en utilisant l’authentification mutuelle, ce qui empêche un serveur non autorisé de négocier la méthode d’authentification la moins sécurisée avec le client PEAP.

Si vous déployez une infrastructure à clé publique avec les services de certificats Active Directory, vous pouvez utiliser l’authentification PEAP-TLS (PEAP avec EAP-TLS). Les certificats fournissent une méthode d’authentification bien plus forte que les méthodes reposant sur des informations d’identification par mot de passe. PEAP-TLS authentifie le serveur à l’aide de certificats mais utilise, pour authentifier l’utilisateur et l’ordinateur client, soit des cartes à puces, qui contiennent un certificat incorporé, soit des certificats inscrits à des ordinateurs clients et qui sont stockés sur l’ordinateur local dans le magasin de certificats. Pour utiliser PEAP-TLS, vous devez déployer une infrastructure à clé publique.

La reconnexion rapide PEAP permet aux clients sans fil de se déplacer entre les points d’accès sans fil sur le même réseau sans être authentifiés à chaque fois qu’ils s’associent à un nouveau point d’accès.

Les points d’accès sans fil sont configurés en tant que clients RADIUS des serveurs RADIUS. Lorsqu’un client sans fil se déplace entre des points d’accès configurés en tant que clients du même serveur RADIUS, le client n’est pas obligé d’être authentifié à chaque nouvelle association. Lorsqu’un client s’associe à un point d’accès configuré en tant que client RADIUS d’un autre serveur RADIUS, le client est à nouveau authentifié, mais ce processus a lieu de manière beaucoup plus fluide.

La reconnexion rapide PEAP réduit le temps de réponse nécessaire à l’authentification entre le client et l’authentificateur, car la demande d’authentification est transférée du nouveau point d’accès au serveur NPS qui, à l’origine, a effectué l’authentification et l’autorisation pour la demande de connexion du client. Le client PEAP et le serveur NPS utilisant tous deux des propriétés de connexion TLS mises en cache précédemment (on appelle ces propriétés descripteur TLS), le serveur NPS peut déterminer rapidement que la connexion cliente est une reconnexion.

Le client peut placer dans un cache les descripteurs TLS de plusieurs authentificateurs PEAP. Si le serveur NPS d’origine n’est pas disponible, une authentification complète doit avoir lieu entre le client et le nouvel authentificateur. Le descripteur TLS du nouvel authentificateur PEAP est mis en cache par le client. Pour l’authentification par cartes à puce ou PEAP-EAP-MS-CHAP v2, il est demandé à l’utilisateur de fournir respectivement le code confidentiel ou les informations d’identification.