LDAPS

Définition

LDAPS (LDAP over SSL) est la variante chiffrée du protocole LDAP, fonctionnant par défaut sur le port TCP 636, encapsulant l'intégralité des échanges d'annuaire dans une session TLS établie dès l'ouverture de la connexion, contrairement au LDAP classique en clair qui peut être élevé ultérieurement via l'opération StartTLS sur le même port 389. LDAPS protège la confidentialité et l'intégrité des requêtes et réponses LDAP échangées avec un contrôleur de domaine, empêchant notamment l'interception passive de données sensibles transmises en clair, comme certains attributs consultés lors de requêtes d'administration ou de reconnaissance. Ce chiffrement ne suffit toutefois pas, à lui seul, à protéger contre toutes les formes d'attaque de relais NTLM : un attaquant peut établir sa propre session TLS distincte tout en y relayant une authentification NTLM interceptée par ailleurs, un scénario spécifiquement neutralisé par l'activation complémentaire du LDAP Channel Binding, qui lie cryptographiquement le canal TLS au message d'authentification transporté. L'exploitation d'AD CS pour obtenir un certificat d'authentification serveur valide au nom du contrôleur de domaine constitue un prérequis technique fréquent pour l'activation effective de LDAPS dans les environnements ayant déployé une PKI interne. L'usage de LDAPS, combiné au LDAP Signing et au Channel Binding, constitue la configuration de sécurité recommandée par Microsoft pour l'ensemble des communications LDAP du domaine.