RADIUS : Remote Authentication Dial-In User Service
Réseau
RADIUS : Remote Authentication Dial-In User Service. « Service d'authentification à distance des utilisateurs », par analogie avec le vigile d'entrée qui téléphone à l'accueil avant de laisser passer chaque visiteur.
Rôle : RADIUS centralise l'AAA (Authentication, Authorization, Accounting) : un équipement d'accès, le NAS (Network Access Server), transmet la demande au serveur qui accepte, refuse et renvoie des attributs comme un VLAN ou une durée de session. Il sert au Wi-Fi d'entreprise, aux VPN et au 802.1X.
Transport : Il circule en UDP, sur les ports 1812 et 1813. Client et serveur partagent un secret qui authentifie les réponses et masque le mot de passe par un procédé à base de MD5.
Âge vénérable : Né à l'époque des modems, RADIUS a survécu à tout, y compris à ses faiblesses : l'attaque Blast-RADIUS a exploité des collisions MD5 pour falsifier des réponses. Il est des protocoles qui vieillissent comme les vins et d'autres comme les laitages ; on corrige en exigeant l'attribut Message-Authenticator et en transportant le tout sous TLS (RadSec).
Au service du 802.1X : En 802.1X, RADIUS transporte les échanges EAP (Extensible Authentication Protocol) entre le poste et le serveur, qui décide de l'accès au port ou au réseau sans fil.
Ce qui arrive si on s'en passe
Sans serveur d'authentification central, chaque borne Wi-Fi, commutateur ou concentrateur de tunnels gère ses propres comptes ou une clé partagée unique. Révoquer un employé qui part oblige alors à intervenir partout, et un oubli laisse un accès ouvert. Une clé Wi-Fi commune, une fois divulguée, ouvre le réseau à quiconque la connaît, sans qu'on sache qui est entré. Mal déployé, le protocole a ses propres risques : un secret partagé faible, un trafic non protégé traversant un réseau hostile ou des réponses non authentifiées permettent à un attaquant placé sur le chemin de falsifier une acceptation.
Explication de la marmotte
Dans une entreprise, on peut se connecter au réseau par le Wi-Fi, par une prise dans le mur ou à distance. Plutôt que de stocker la liste des employés dans chaque borne ou chaque prise, tous ces appareils posent la question à un serveur central : « cette personne a-t-elle le droit d'entrer, et où ? ». Le serveur répond oui ou non, et note qui s'est connecté. C'est comme les portiers d'un grand immeuble qui appellent tous le même standard pour vérifier un badge.
Où ce terme est utilisé
- Filtrage, segmentation, NAC et Zero Trust (11 occurrences)
- Wi-Fi d’entreprise et sécurité radio (9 occurrences)
- Attaque de l'intercepteur par ARP, DHCP, DNS, Wi-Fi et proxy TLS (3 occurrences)
- Inventorier les objets IoT oubliés sur le réseau (2 occurrences)