StartTLS

Définition

StartTLS est une opération du protocole LDAP permettant d'élever une connexion initialement établie en clair sur le port TCP 389 vers un canal chiffré TLS, sans nécessiter de basculer vers le port dédié 636 utilisé par LDAPS. Cette approche présente un avantage architectural distinct de LDAPS : elle conserve l'usage du port LDAP standard tout en négociant dynamiquement le chiffrement au sein de la même connexion, ce qui simplifie certains scénarios de compatibilité avec des équipements réseau ou des pare-feux configurés uniquement pour le port 389, sans avoir à ouvrir un port supplémentaire dédié. Sur le plan de la sécurité, StartTLS offre des garanties de confidentialité et d'intégrité équivalentes à LDAPS une fois la négociation TLS effectuée avec succès, mais présente une fenêtre théorique de vulnérabilité si l'implémentation cliente ou serveur ne rejette pas correctement les tentatives de rétrogradation forcée vers une connexion en clair, un scénario d'attaque de type downgrade documenté dans certaines implémentations historiques. Comme pour LDAPS, l'usage de StartTLS ne suffit pas à lui seul à neutraliser toutes les formes de relais NTLM, notamment celles exploitant un canal TLS distinct de la session de la victime, ce qui justifie l'activation complémentaire systématique du LDAP Channel Binding recommandée par Microsoft pour l'ensemble des scénarios de connexion LDAP chiffrée en environnement Active Directory.