Vous venez d’être embauché en tant que CPSO (Chief Product Security Officer) par une société qui commercialise une large gamme de produits IoT destinée au monde médical. Votre entreprise souhaite lancer une nouvelle gamme de produits qui fonctionnera en Wi-Fi de 6ème génération (IEEE 802.11 ax) et qui devra supporter l’authentification mutuelle par certificat X509. Parmi les solutions suivantes, laquelle allez vous retenir pour rédiger les spécifications techniques de cette nouvelle gamme de produits ?
[A] LEAP
[B] PEAP v0 / EAP-MSCHAP v2
[C] EAP-TLS
[D] EAP-TTLS
LEAP (Lightweight Extensible Authentication Protocol) est un protocole propriétaire développé par Cisco Systems. LEAP ne supporte pas l’authentification mutuelle par certificats X509.
Avec PEAP v0 / EAP-MSCHAP v2, le client authentifie le serveur par un certificat X509 et le serveur authentifie le client via un hash du mot de passe protégé lors du transit réseau par un tunnel TLS.
Le protocole EAP-TTLS développé Funk Software et Certicom est très similaire à PEAP v0 / EAP-MSCHAP v2 et utilise un certificat X509 pour authentifier le serveur. Même s’il supporte (en option) l’authentification par certificat X509 client, EAP-TTLS est particulièrement adapté à l’authentification des utilisateurs sur les réseaux Wi-Fi et protège leurs crédentiels (identifiant et mot de passe) par un tunnel TLS. Ce mécanisme est tout à fait comparable à l’utilisation du protocole HTTPS dans le Web. Le navigateur authentifie le serveur Web via un certificat et l’application Web authentifie l’utilisateur via un couple username/password véhiculé dans un canal TLS. Tout comme avec EAP-TTLS, HTTPS supporte (en option) l’authentification par certificat client. Cette option est cependant très peu utilisée en raison des contraintes liées au déploiement de certificats sur les navigateurs.
EAP-TLS est un protocole standard de l’IETF (RFC 5216) qui répond parfaitement à notre cahier des charges. Le client (l’objet connecté) authentifie le serveur par la vérification de l’authenticité de son certificat X509 et la possession de la clé privée associée. Le serveur authentifie ensuite le client par le même procédé via un autre certificat. C’est le principe de l’authentification mutuelle par certificats X509 et la principale contrainte sera d’approvisionner chaque client avec un certificat et une clé privée. Avec EAP-TLS, il n’y a donc pas besoin d’utiliser de mots de passe pour établir une liaison Wi-Fi sécurisée. Ce mécanisme offre un excellent niveau de sécurité avec une protection particulièrement efficacement contre les attaques en interception (MITM).
La bonne réponse est donc la proposition [C] EAP-TLS
Questions et réponses rédigées par VERISAFE selon le programme officiel du CISSP actuellement en vigueur
© VERISAFE – Utilisation ou reproduction (même partielle) strictement interdite sans l’accord écrit de VERISAFE
