RADIUS ou TACACS+ : le bon protocole de sécurité réseau pour gérer les utilisateurs
La sécurisation des réseaux industriels implique de nombreuses couches pour assurer la sécurité des données et de l’infrastructure. Et cela nécessite plus que le déploiement de pare-feu et de systèmes de détection d’intrusion. La gestion de l’accès des utilisateurs est un élément essentiel pour assurer la continuité opérationnelle, la sécurité et l’intégrité des données.
Les protocoles AAA (authentification, autorisation et comptabilité) (qui sont une forme de protocoles de sécurité réseau) établissent les règles et les normes qui dictent comment les utilisateurs peuvent interagir avec le réseau. Ils vérifient l’identité, gèrent les autorisations et l’authentification, tiennent à jour les journaux d’activité, etc. Bien qu’il existe plusieurs protocoles AAA qui peuvent remplir ce rôle, deux sont plus largement connus :
- RADIUS (Remote Authentication Dial-In User Service)
- TACACS+ (Terminal Access Controller Access-Control System Plus)
Ces deux protocoles de sécurité réseau sont utilisés pour gérer l’accès des utilisateurs. Pour simplifier la gestion des politiques d’accès et des contrôles de sécurité, ils peuvent être liés à différents services de répertoire et mettre en œuvre une gestion centralisée des accès des utilisateurs.
RADIUS et TACACS+ suivent des approches et des architectures différentes et offrent des fonctions différentes. Quel protocole de sécurité réseau est le mieux adapté à votre environnement ? Découvrons-le.
Ce que vous devez savoir sur RADIUS
En tant que protocole de sécurité réseau établi, RADIUS est utilisé pour les connexions des utilisateurs au réseau Wi-Fi dans de nombreuses organisations. Avec RADIUS, l’administration centrale est possible pour les structures de réseaux distribués, ce qui la rend attrayante pour les grandes entreprises.
Comment fonctionne RADIUS ?
RADIUS est basé sur une architecture client-serveur. Un client RADIUS, un serveur d’accès réseau (NAS) ou un authentificateur et un serveur RADIUS sont nécessaires pour la connexion via le protocole RADIUS.
Le client RADIUS est installé sur les points de terminaison et démarre la demande d’accès au réseau. Ceci est transmis sous forme de paquet de demande d’accès au NAS, qui transmet les informations sur l’utilisateur au serveur RADIUS. Le serveur :
- Compare les données du paquet avec la base de données utilisateur
- Accorde ou refuse l’autorisation d’accès au réseau
- Établit la connexion correspondante au réseau
RADIUS s’appuie sur le protocole UDP (User Datagram Protocol) comme protocole de transport. L’authentification et l’autorisation sont regroupées en une seule demande, mais ce n’est pas toujours la meilleure approche pour des exigences de sécurité de grande envergure. Par conséquent, il convient souvent aux scénarios de déploiement où un simple contrôle d’accès suffit. Il peut être utilisé avec un grand nombre de périphériques réseau et est facile à mettre en œuvre.
Dans quelle mesure RADIUS est-il sécurisé ?
RADIUS crypte uniquement le mot de passe dans le paquet. Les autres éléments du paquet, tels que les noms d’utilisateur et les informations de facturation, ne sont protégés que par le protocole lui-même.
Étant donné que RADIUS est basé sur UDP, il y a moins de mécanismes de contrôle disponibles pour la transmission de paquets. Par conséquent, il est plus vulnérable à certains types d’attaques réseau que TACACS+.
Ce que vous devez savoir sur TACACS+
Également basé sur une architecture client-serveur, TACACS+ est souvent utilisé pour gérer l’accès administrateur aux périphériques réseau, tels que les routeurs et les commutateurs. Il convient aux environnements qui nécessitent plus de contrôle et une administration détaillée des autorisations et des activités des utilisateurs, mais il n’est actuellement pris en charge que par quelques grands fabricants de périphériques réseau.
Par rapport à RADIUS, TACACS+ dispose de fonctions d’autorisation plus détaillées et flexibles. Il peut être utilisé pour mettre en œuvre des politiques et des instructions de sécurité complexes.
Comment fonctionne TACACS+ ?
Une demande d’authentification est envoyée du périphérique réseau au serveur TACACS+. Le serveur compare les informations de connexion avec une base de données ou un service d’annuaire et les vérifie. Le serveur TACACS+ envoie une réponse au périphérique réseau avec l’autorisation ou le refus d’accès au réseau.
Une fois l’authentification réussie, le périphérique réseau envoie une demande d’autorisation au serveur TACACS+. Le serveur vérifie les commandes et les actions que l’utilisateur est autorisé à exécuter, et le périphérique réseau reçoit cette liste de commandes et d’actions autorisées.
TACACS+ utilise le protocole TCP (Transmission Control Protocol) comme protocole de transport. Les processus d’authentification, d’autorisation et de comptabilité sont divisés en fonctions et demandes distinctes, ce qui permet d’introduire des solutions d’authentification distinctes et de permettre une gestion et un contrôle détaillés.
Cependant, la séparation des services AAA dans TACACS+, ainsi que ses fonctions complètes, implique un effort de configuration et d’administration élevé. Cela nécessite également plus de ressources réseau et serveur.
Dans quelle mesure TACACS+ est-il sécurisé ?
Dans l’ensemble, TACACS+ offre plus de mesures de sécurité. Le cryptage des paquets en est un exemple. Alors que RADIUS crypte uniquement le mot de passe, TACACS+ crypte tout le contenu d’un paquet, ce qui améliore la cybersécurité et le rend adapté aux nouvelles exigences des solutions de sécurité.
Parce qu’il utilise TCP, il offre une transmission plus fiable. TCP permet également un meilleur contrôle des erreurs : si un serveur tombe en panne ou s’arrête, cela est immédiatement indiqué.
Le bon protocole de sécurité dépend de votre environnement
RADIUS et TACACS+ contribuent tous deux à une meilleure sécurité du réseau à leur manière.
RADIUS est suffisant pour la plupart des scénarios et offre une mise en œuvre simple ainsi qu’un effort administratif gérable.
TACACS+ offre plus de fonctions et de meilleures mesures de sécurité, fournissant une meilleure protection du réseau pour les zones critiques en matière de sécurité.
Si vous avez besoin d’aide pour déterminer quel protocole de sécurité réseau convient le mieux à votre organisation et à votre environnement, Belden peut vous aider à faire le bon choix.
Découvrez comment Belden peut renforcer votre cybersécurité industrielle.
Liens connexes
À propos de l'auteur
Sarah Kolberg a rejoint l’équipe Belden en tant que responsable marketing de contenu logiciel en avril 2023. Basée en Allemagne, elle participe à la production de contenus sur la cybersécurité industrielle.