Bibliographie & annexes
Présentation
En anglais
RÉSUMÉ
Construits dans une logique ouverte de « confiance par défaut », les réseaux locaux (Local Area Network) ne disposent pas nativement de capacités de contrôle (contrôle d’accès, contrôle de conformité, visibilité et traçabilité) des périphériques s’y connectant. Cela a ouvert un marché pour les éditeurs des solutions NAC (Network Access Control) qui ont développé des approches pour mettre en œuvre ces fonctionnalités de contrôle, en venant compléter les standards – notamment 802.1x – qui n’adressent que la partie contrôle d’accès et authentification et restent complexes à déployer dans des réseaux d’entreprises à large échelle.
Lire cet article issu d'une ressource documentaire complète, actualisée et validée par des comités scientifiques.
Lire l’articleABSTRACT
Built in a « Trust by Default » approach, Local Area Networks does not have natively control features (access control, conformity control, visibility and traceability). This has created a market for (NAC) Network Access Control solutions editors, which have developped specific approaches to deploy those control features, by adding additional features regarding standards – especially 802.1x – which are focused on access control and authentication and remain complex to deploy in large enterprise networks.
Auteur(s)
-
Cécilien CHARLOT : Fonction Consultant cybersécurité - Affiliation CGI Business Consulting
INTRODUCTION
Les réseaux locaux – que ce soit les réseaux filaires ou Wifi reposent sur des protocoles – notamment Ethernet – qui ont été pensés sans proposer nativement de fonctionnalité de contrôle sur les périphériques se connectant au réseau. On parle ainsi de réseaux construits dans une logique de confiance. Dans un contexte de besoins de sécurité croissant, d’interconnexions complexes entre différents types de réseaux – dont des réseaux critiques, type réseaux industriels – et de multiplication des périphériques en mesure de se connecter au réseau – objets connectés participant à l’Internet Of Things par exemple, cette logique devient de moins en moins viable et génère des risques importants qu’il convient d’adresser. Les solutions Network Access Control ont été développées en vue de couvrir ces risques et s’appuient sur un ensemble d’approches et de protocoles, standardisés ou non, pour répondre à différents objectifs de contrôle.
Cet article a été construit de manière agnostique par rapport aux solutions du marché et propose une vue générale de la problématique et des risques engendrés jusqu’à détailler le fonctionnement technique des solutions qui permettent d’y répondre. En particulier :
-
il explique l’historique de la problématique des « réseaux locaux ouverts » et précise les différents risques générés ;
-
il précise les objectifs de contrôle que sont l’authentification, le contrôle de conformité, la traçabilité et la visibilité ;
-
il donne une vue des différentes approches possibles pour réaliser chacun des objectifs de contrôle ;
-
il détaille le mode de fonctionnement et les limitations du standard 802.1x, qui apporte une solution standardisée et efficace pour le contrôle d’accès mais dont la mise en œuvre nécessite des prérequis importants en termes de maîtrise des périphériques se connectant au réseau ;
-
il propose enfin une analyse comparative des quatre architectures types qui sont déployées par les solutions du marché, en comparant des critères d’efficacité et de couverture par rapport aux différents objectifs de contrôle ainsi qu’à la facilité de déploiement et au prérequis nécessaire au déploiement de chaque type d’architecture.
L'expertise technique et scientifique de référence
MOTS-CLÉS
sécurité des systèmes d'information cybersécurité contrôle d'accès au réseau sécurité réseau
KEYWORDS
informations systems security | cybersecurity | network access control | network security
VERSIONS
- Version archivée 1 de oct. 2008 par Cécilien CHARLOT
DOI (Digital Object Identifier)
Cet article fait partie de l’offre
Sécurité des systèmes d'information
(76 articles en ce moment)
Cette offre vous donne accès à :
Une base complète d’articles
Actualisée et enrichie d’articles validés par nos comités scientifiques
Des services
Un ensemble d'outils exclusifs en complément des ressources
Un Parcours Pratique
Opérationnel et didactique, pour garantir l'acquisition des compétences transverses
Doc & Quiz
Des articles interactifs avec des quiz, pour une lecture constructive
Présentation
Architectures types
En anglais
2. Fonctionnement technique
Selon les solutions NAC, les éléments constituant la solution et les moyens de contrôle diffèrent fortement. Nous détaillerons ici le fonctionnement des processus de contrôle les plus courants.
2.1 Fonctions dans le processus de contrôle
Le processus de contrôle fait intervenir trois acteurs :
-
le client. Il s’agit de l’entité qui fait la demande d’accès au réseau ;
-
le point de contrôle. Il est chargé d’appliquer la stratégie de contrôle définie au niveau du point de décision au client qui fait la demande d’accès au réseau ;
-
le point de décision, qui communique au point de contrôle la stratégie de contrôle à appliquer vis-à-vis du client.
La stratégie de contrôle à appliquer, communiquée par le point de décision est basée sur les informations d'authentification et d'intégrité qui lui auront été communiquées par le point de contrôle. Ces informations peuvent avoir été :
-
relayées par le point de contrôle qui a préalablement établi une communication avec le client pour les obtenir. La cinématique de contrôle est alors dite active (figure 2) ;
-
fournies par le point de contrôle qui les a acquises en analysant le trafic émis par le client. La cinématique de contrôle est alors dite passive (figure 3).
2.1.2 Types d'équipements impliqués
Les trois acteurs ci-dessus peuvent être – selon la solution NAC considérée – des équipements de types complètement différents. Cette partie a pour but de décrire ces différentes possibilités.
Tout périphérique capable de se connecter à un réseau d'accès est un client potentiel.
Le...
L'expertise technique et scientifique de référence
Cet article fait partie de l’offre
Sécurité des systèmes d'information
(76 articles en ce moment)
Cette offre vous donne accès à :
Une base complète d’articles
Actualisée et enrichie d’articles validés par nos comités scientifiques
Des services
Un ensemble d'outils exclusifs en complément des ressources
Un Parcours Pratique
Opérationnel et didactique, pour garantir l'acquisition des compétences transverses
Doc & Quiz
Des articles interactifs avec des quiz, pour une lecture constructive
Fonctionnement technique
DANS NOS BASES DOCUMENTAIRES
NORMES
-
Technologies de l'information – Interconnexion de systèmes ouverts (OSI) – Modèle de référence de base : le modèle de base - ISO/IEC 7498-1 - 1994
-
IEEE Standard for Local and metropolitan area networks - Port-Based Network Access Control - 802.1x-2004 - 2004
-
Extensible Authentication Protocol (EAP) - RFC 3748 - 2004
-
RADIUS (Remote Authentication Dial In User Service)(anciennement RFC 2138) - RFC 2865 - 2000
-
DHCP (Dynamic Host Configuration Protocol) - RFC 1531 - 1993
-
Interoperation Between DHCP and BOOTP (anciennement RFC 1533) - RFC 2132 - 1997
-
Dynamic Host Configuration Protocol - RFC 2131 - 1997
-
Captive-Portal Identification Using DHCP or Router Advertisements (RAs) - RFC 7710 - 2015
-
...
ANNEXES
L'expertise technique et scientifique de référence
Cet article fait partie de l’offre
Sécurité des systèmes d'information
(76 articles en ce moment)
Cette offre vous donne accès à :
Une base complète d’articles
Actualisée et enrichie d’articles validés par nos comités scientifiques
Des services
Un ensemble d'outils exclusifs en complément des ressources
Un Parcours Pratique
Opérationnel et didactique, pour garantir l'acquisition des compétences transverses
Doc & Quiz
Des articles interactifs avec des quiz, pour une lecture constructive
