802.1X : fermer les prises murales sans bloquer l'entreprise

Le contrôle d'accès au port repose sur trois rôles : l'équipement qui demande à se connecter, le commutateur qui garde la porte, et le serveur d'authentification qui décide. Le principe est simple. Ce qui rend le déploiement délicat n'est pas le protocole, c'est le parc réel, avec ses imprimantes de 2014, ses caméras, ses badgeuses et ses machines-outils.

Deux méthodes d'authentification, deux niveaux de confiance

L'authentification par certificat fournit la meilleure garantie : chaque machine possède un certificat délivré par l'entreprise, et l'accès ne dépend d'aucun mot de passe. Elle suppose une chaîne de certification interne opérationnelle, un mécanisme de distribution automatique, et surtout un processus de renouvellement, faute de quoi le parc se déconnecte progressivement au fil des expirations.

L'authentification par identifiant et mot de passe, adossée à l'annuaire, se déploie plus vite et protège moins bien. Elle reste une étape intermédiaire acceptable, à condition de la considérer comme telle.

Pour tout ce qui ne sait pas s'authentifier, il reste l'autorisation par adresse matérielle. Ce n'est pas une mesure de sécurité, une adresse se copiant en quelques secondes, mais un mécanisme d'inventaire opposable : chaque exception doit être déclarée, nommée, et rattachée au segment le plus restreint possible. Cela suppose un inventaire à jour, sujet que nous traitons dans nos notes sur la tenue d'une CMDB vivante.

La séquence de déploiement

1. Inventorier le parc branché, port par port, en relevant les adresses matérielles vues par les commutateurs.
2. Activer le mode observation, qui authentifie et journalise sans rien bloquer, pendant au moins un mois complet.
3. Traiter les exceptions révélées par l'observation, une par une, en les rattachant à un propriétaire identifié.
4. Passer en mode contraignant, bâtiment par bâtiment ou étage par étage, jamais globalement.

La deuxième étape est celle qu'on tente de raccourcir et celle qu'il ne faut pas raccourcir. Un mois complet permet de voir passer les équipements utilisés une fois par mois, les postes de collaborateurs en congés, et les machines de maintenance branchées trimestriellement. Une observation de deux semaines laisse mécaniquement passer la moitié des exceptions.

Les cas particuliers qui font échouer les projets

Le téléphone sur IP avec un poste de travail branché derrière lui impose un mode où deux équipements s'authentifient sur le même port et atterrissent dans deux segments différents. Ce mode existe sur tous les commutateurs sérieux, mais il doit être prévu dès la conception, sinon le déploiement s'arrête au premier open space.

Les hyperviseurs posent le problème inverse : plusieurs machines virtuelles derrière une seule interface physique. La réponse consiste généralement à sortir les ports d'hyperviseur du périmètre contraint et à les protéger autrement, par la sécurité physique du local et par la segmentation, ce que nous décrivons dans notre note sur la segmentation d'un réseau de PME.

Enfin, le serveur d'authentification devient un composant critique. S'il tombe, plus rien ne se connecte. Il faut donc au moins deux instances, réparties, et une politique de repli explicite : soit un accès de secours restreint, soit un maintien des sessions déjà établies. Cette décision se prend à froid, avec les métiers, dans les mêmes termes que les autres arbitrages de continuité que nous décrivons à propos de RPO et RTO chiffrés avec les métiers.

L'imprimante d'étage, équipement typique qui ne sait pas s'authentifier et doit être déclaré individuellement.

Ce que cela apporte réellement

Trois bénéfices, dans cet ordre. D'abord la fermeture d'un chemin d'entrée physique : une prise de couloir, de salle de réunion ou d'accueil cesse d'être un accès au réseau interne. C'est une des étapes que les intrusions exploitent lorsqu'elles disposent d'un accès aux locaux, et cela s'articule avec les autres points de rupture décrits dans notre chronologie des attaques visant d'abord les sauvegardes.

Ensuite l'affectation automatique au bon segment, qui supprime la configuration manuelle port par port et rend la segmentation tenable dans la durée. Enfin la traçabilité : savoir quelle machine était branchée sur quelle prise, à quelle heure, est une information qu'aucune autre source ne fournit, et elle devient précieuse au moment d'établir une chronologie d'incident.

Cette traçabilité se prolonge naturellement dans le plan d'adressage, où chaque segment reçoit un préfixe dérivé de son identifiant, méthode décrite dans notre note sur la migration IPv6 commencée par le plan d'adressage.