EAP : Extensible Authentication Protocol
Réseau
EAP : Extensible Authentication Protocol, cadre d'authentification normalisé par la RFC 3748 et employé notamment par 802.1X sur les réseaux filaires et Wi-Fi. « Le protocole d'authentification qui n'authentifie personne lui-même et délègue tout à ses méthodes », par analogie avec l'enveloppe à fenêtre : indispensable au courrier, mais la lettre est ailleurs.
Un cadre, pas une méthode : EAP définit seulement des requêtes, des réponses et des messages de succès ou d'échec. La preuve d'identité revient à une méthode : EAP-TLS (Transport Layer Security, RFC 5216) par certificats des deux côtés, ou PEAP (Protected EAP) et EAP-TTLS (Tunneled TLS, RFC 5281), qui ouvrent un tunnel TLS pour y faire passer un mot de passe, parmi bien d'autres.
Transport : Né pour PPP (Point-to-Point Protocol) avec la RFC 2284 en 1998, EAP circule sur le lien local dans EAPoL (EAP over LAN), défini par IEEE 802.1X, entre le poste et le commutateur ou le point d'accès. Celui-ci le relaie dans des messages RADIUS (Remote Authentication Dial-In User Service) vers le serveur d'authentification, et ne laisse passer que l'EAP tant que la réponse n'est pas positive.
Le maillon faible : Avec les méthodes à tunnel, le poste doit vérifier le certificat du serveur. S'il ne le fait pas, un faux point d'accès présente n'importe quel certificat, recueille l'échange MSCHAPv2 (Microsoft Challenge Handshake Authentication Protocol version 2) transporté dans le tunnel et le casse hors ligne. Cette case à cocher, décochée par commodité, transforme le Wi-Fi d'entreprise en distributeur d'identifiants.
Identité externe : Le premier échange transmet une identité en clair, avant tout tunnel. Les méthodes à tunnel permettent d'y placer un nom anonyme, l'identité réelle ne circulant qu'une fois le chiffrement établi.
Ce qui arrive si on s'en passe
Sans EAP ni 802.1X, l'accès au réseau repose sur une clé Wi-Fi partagée par tout le personnel, ou sur rien du tout pour les prises murales : n'importe quel appareil branché, ou connaissant la clé, entre dans le réseau interne. La clé circule, survit aux départs, et un seul poste compromis la livre pour tous. Personne ne sait non plus qui s'est connecté, puisque tout le monde s'est présenté sous le même nom. Un EAP mal configuré fait à peine mieux : un poste qui ne vérifie pas le certificat du serveur confie son mot de passe au premier faux point d'accès venu.
Explication de la marmotte
Avant de laisser un ordinateur entrer sur le réseau d'une entreprise, la prise murale ou la borne Wi-Fi lui demande qui il est. EAP est la langue commune de cette conversation : il transporte les questions et les réponses entre l'ordinateur et le serveur qui vérifie les identités. La vérification elle-même peut se faire de plusieurs façons, avec un certificat installé sur l'ordinateur ou avec un mot de passe. Tant que le serveur n'a pas dit oui, l'ordinateur ne peut rien faire d'autre sur le réseau.
Où ce terme est utilisé
- Filtrage, segmentation, NAC et Zero Trust (7 occurrences)
- Wi-Fi d’entreprise et sécurité radio (3 occurrences)
- Attaque de l'intercepteur par ARP, DHCP, DNS, Wi-Fi et proxy TLS (2 occurrences)
- WireGuard et VPN maillés, fonctionnement, AllowedIPs et limites (2 occurrences)