802.1x avec la méthode MS-CHAPv2

[Monga]

Bonjour à tous,

Petite question concernant la méthode d'authentification 802.1x avec la méthode MS-CHAPv2, à propos de ce que l'on peut authentifier....je suis un peut perdu :

Authentification côté cleint, que peut on utiliser:
1) identifiant et mot de passe de l'utilisateur
2) identifiant et mot de passe de la machine (active directory dans mon cas)
3) certificat microsoft côté client

Je suis un peu perdu dans les méthodes.....alors par avance merci de votre aide !!!!

Bonne journée

[Koj]

C'est : (du plus lite au plus dur)
soit MD5-challange
soit Protected-EAP + mot de passe (MS chap v2)
soit Protected-EAP + certificat (PEAP/TLS)
soit EAP + Certificat (EAP/TLS)

La première parti est en faite la fonction de création du tunnel avant même l'authentification (cryptée ou non).
Si le niveau est faible (comme MD5 = simple hash par echange de clé), l'attaque man in the middle est beaucoup facile à réaliser (quoi qu'il faut quand même les bons toolz).
En Protected-EAP, la création du tunnel est réalisé avec un système plus complexe mais toujours en échange de mot de passe. En P-EAP/TLS, on utilise les certificat qu'une fois le tunnel monté.
En EAP/TLS, c'est carément du cryptage avec clé publique/clé privé + vérification des certificats (CRL) et de l'autorité de certification, dès le montage du tunnel, donc beaucoup plus costaud. L'authentification ne vient qu'après (P-EAP/TLS et EAP/TLS sont équivalent une fois le tunnel monté).

Avantage donc a P-EAP/TLS et EAP/TLS, le problème ce situant dans la délivrance de certificat. Donc si tu fait du certificat, autant faire directement de l'EAP/TLS.

Les authentifications sont multiples : user et/ou machine. Tout dépend du matériel.

Koj
PS : je me trompe peut être, ca fait bien 6 mois que j'ai pas mis le nez la dedans. corrigez moi si besoin.

[Monga]

Merci pour ta réponse, c'est plus claire maintenant. Mais dans l'éventualité de la mise en place de serveurs IAS au niveau des controleurs de domaines de l'active directory, sommes nous contraints de ne pouvoir utiliser que la méthode PEAP/MS-CHAPv2 avec forcément authentification exclusivement sur login/password des utilisateurs?? Ou peut on utiliser l'IAS à d'autres fin comme l'authentification sur certificats côté client??

Pour résumer => Peut on faire du TLS (PEAP ou EAP) avec un serveur IAS??