LDAPS : LDAP over TLS
Sécurité
LDAPS : LDAP over TLS. « LDAP sur TLS », par analogie avec un guichet d'annuaire où l'on ferme la porte et vérifie la carte de l'agent avant de dire quoi que ce soit. La connexion à l'annuaire est chiffrée dès son ouverture, généralement sur le port 636, et n'est fiable que si le client vérifie le certificat du serveur.
Chiffrement dès l’ouverture : Contrairement à StartTLS, LDAPS établit la protection avant toute opération LDAP, y compris l’authentification. Un mot de passe envoyé par bind simple reste ainsi protégé pendant son transport.
Certificat obligatoire : Le client doit vérifier l’autorité de certification, la période de validité et le nom du serveur. Ignorer ces contrôles protège contre l’écoute, mais pas contre un serveur imposteur.
Port et compatibilité : LDAPS utilise traditionnellement le port TCP 636, tandis que LDAP avec StartTLS utilise généralement le port 389. Le choix dépend surtout des bibliothèques clientes, des équipements réseau et de la politique de migration.
Limites : LDAPS ne désactive pas automatiquement le bind anonyme et ne garantit pas les droits de lecture. Ces règles doivent être configurées séparément sur le serveur LDAP.
Ce qui arrive si on s'en passe
Sans LDAPS (ni StartTLS), les échanges avec l'annuaire circulent en clair : un mot de passe envoyé par liaison simple traverse le réseau lisible par quiconque l'observe, tout comme les recherches et les attributs renvoyés (noms, groupes, adresses). Une écoute passive suffit alors à récolter des identifiants valides. Le client n'a par ailleurs aucun moyen de s'assurer qu'il parle au vrai serveur : un faux annuaire intercalé sur le chemin peut accepter n'importe quel mot de passe ou renvoyer des réponses falsifiées aux applications qui s'appuient sur lui pour décider des accès.
Explication de la marmotte
Imagine un carnet d’adresses conservé par un ordinateur central. LDAPS crée une enveloppe fermée et vérifie l’identité de cet ordinateur avant d’échanger des informations. Ainsi, une personne qui observe le réseau ne peut pas lire le mot de passe ni les recherches effectuées. Cette protection ne suffit pas si l’ordinateur présente une fausse identité : le logiciel doit aussi contrôler son certificat, un document qui prouve à quel service il appartient. LDAPS n’empêche pas non plus quelqu’un d’entrer sans identité si les règles du carnet l’autorisent.
Où ce terme est utilisé
- Grand-père Castor raconte : bind LDAP en clair, corrigé (5 occurrences)
- Énumérer les métadonnées LDAP anonymes d'un domaine Active Directory (4 occurrences)
- STARTTLS : attaque par retrait, MTA-STS et TLS implicite (3 occurrences)