RADIUS

Définition

RADIUS (Remote Authentication Dial-In User Service) est un protocole AAA — Authentication, Authorization, Accounting — utilisé pour centraliser l'authentification des accès réseau tels que le Wi-Fi d'entreprise, les connexions VPN, ou l'accès à certains équipements de commutation réseau, en s'appuyant sur des échanges de type UDP entre un client RADIUS, généralement un point d'accès ou une passerelle VPN, et un serveur RADIUS chargé de valider les identifiants présentés. Dans les environnements Active Directory, ce rôle de serveur RADIUS est fréquemment assuré par NPS (Network Policy Server), qui valide les identifiants soumis directement contre l'annuaire, permettant une authentification réseau unifiée avec les comptes du domaine sans duplication de base d'identités. Les échanges RADIUS reposent sur un secret partagé entre le client et le serveur pour chiffrer certaines portions sensibles des messages, notamment le mot de passe de l'utilisateur, un mécanisme cryptographiquement daté (basé sur MD5) considéré comme relativement fragile selon les standards actuels. Les attaques documentées contre RADIUS incluent la force brute contre le secret partagé lorsqu'il est faible, l'interception de trafic non chiffré sur des réseaux mal segmentés, et l'exploitation de vulnérabilités spécifiques d'implémentations NPS. Le renforcement de RADIUS passe généralement par l'usage conjoint d'EAP-TLS pour l'authentification par certificat plutôt que par mot de passe, réduisant significativement la surface d'exposition liée aux identifiants.