GSSAPI : Generic Security Services Application Program Interface
Sécurité
GSSAPI : Generic Security Services Application Program Interface. « Interface générique de services de sécurité », par analogie avec la prise électrique murale : l'appareil se branche sans savoir quelle centrale produit le courant.
Rôle : GSSAPI offre aux applications une interface unique pour s'authentifier, garantir l'intégrité et chiffrer leurs échanges, sans coder elles-mêmes le mécanisme sous-jacent. En pratique, ce mécanisme est presque toujours Kerberos.
Avec SASL et LDAP : Un annuaire LDAP annonce GSSAPI parmi ses mécanismes SASL : le client s'authentifie par ticket Kerberos au lieu d'envoyer un mot de passe. C'est l'une des réponses au bind simple en clair.
Négociation du mécanisme : SPNEGO (Simple and Protected GSSAPI Negotiation Mechanism) laisse client et serveur choisir entre Kerberos et, à défaut, NTLM. La négociation a ceci de commun avec la diplomatie qu'elle aboutit parfois au plus mauvais accord possible, d'où l'intérêt de désactiver NTLM quand on le peut.
Signature et scellement : Au-delà de l'authentification, GSSAPI peut signer et chiffrer chaque message de la session, ce que les politiques de signature LDAP d'un annuaire AD permettent d'exiger.
Ce qui arrive si on s'en passe
Sans authentification GSSAPI, un client LDAP retombe souvent sur le bind simple : identifiant et mot de passe partent dans la requête, en clair si la connexion n'est pas chiffrée. Quiconque écoute le réseau les récupère et peut les rejouer ailleurs. Sans la signature des messages que GSSAPI permet, un attaquant placé au milieu peut aussi modifier requêtes et réponses de l'annuaire sans être détecté. Enfin, des applications qui implémentent chacune leur propre schéma d'authentification multiplient les variantes à auditer, et chaque variante maison est une porte de plus.
Explication de la marmotte
Beaucoup de logiciels doivent vérifier qui leur parle avant d'accepter une demande. Plutôt que chacun invente sa propre méthode, il existe une sorte de guichet commun : le logiciel s'adresse à ce guichet, qui prouve l'identité grâce à des tickets délivrés par un serveur de confiance, un peu comme un bracelet de festival qu'on montre à chaque stand. Le mot de passe n'a donc pas besoin de voyager sur le réseau, ce qui évite qu'on le vole en chemin.
Où ce terme est utilisé
- Grand-père Castor raconte : bind LDAP en clair, corrigé (7 occurrences)