Les configurations d’applications ant茅rieures utilisent encore le protocole LDAP pour certaines liaisons d’annuaire dans un environnement local. Bien que ces liaisons LDAP traditionnelles soient relativement inoffensives au sein des r茅seaux locaux fortifi茅s d’antan, les bases de s茅curit茅 modernes exigent le cryptage de toutes les informations d’identification des utilisateurs en transit afin de les prot茅ger contre le reniflage de mots de passe et d’autres formes de vol de donn茅es personnelles.
Dans le cas des environnements distants et hybrides, les authentifications LDAP passent plus souvent par l’Internet public, ce qui n茅cessite des m茅canismes de s茅curit茅 suppl茅mentaires.
Vous avez peut-锚tre entendu dire que vous deviez configurer les applications tierces existantes pour utiliser le protocole LDAP s茅curis茅 (LDAPS) au lieu du protocole simple LDAP. LDAPS (LDAP sur SSL) et STARTTLS (LDAP over TLS) sont deux versions s茅curis茅es de LDAP qui chiffrent le processus d’authentification. (Notez que “LDAPS” est souvent utilis茅 pour d茅signer LDAP sur SSL, STARTTLS et une impl茅mentation LDAP s茅curis茅).
Le passage de LDAP 脿 LDAPS implique un examen attentif du journal des 茅v茅nements de votre service d’annuaire, l’identification et la commutation manuelles des ports que les anciennes applications utilisent pour se lier 脿 l’annuaire, l’extraction de certificats AC (Autorit茅 de certification) pour cr茅er la liaison s茅curis茅e, et une surveillance continue.
Le processus peut 锚tre fastidieux et prendre du temps, mais il est r茅alisable – et, aujourd’hui plus que jamais, obligatoire. Examinons de plus pr猫s le protocole LDAP, ce qui rend LDAPS et STARTTLS s没rs, et comment mettre en 艙uvre un processus d’authentification s茅curis茅 pour les applications existantes.
Qu’est-ce que LDAP ? Profil de base
LDAP (Lightweight Directory Access Protocol) est parfois utilis茅 comme synonyme ou abr茅viation de Microsoft Active Directory lui-m锚me. Cependant, si une grande partie des fonctionnalit茅s d’AD est bas茅e sur LDAP, on parle de deux entit茅s bien distinctes. En fait, AD utilise plus souvent une autre version du m锚me protocole, celui-ci commercialis茅 par Kerberos, pour authentifier l’acc猫s de ses utilisateurs. De son c么t茅, le protocole LDAP est utilis茅 par de nombreuses ressources et applications sur site pour authentifier les utilisateurs 脿 un annuaire principal comme AD ou OpenLDAP.
Voici un aper莽u plus d茅taill茅 du fonctionnement de LDAP. Si vous souhaitez en savoir davantage sur ce protocole, lisez notre interview de Tim Howes, co-cr茅ateur de LDAP :
Quelle est la diff茅rence entre LDAP et LDAPS ?
LDAPS n’a rien d’un protocole fondamentalement distinct : il s’agit du m锚me vieux LDAP, simplement conditionn茅 diff茅remment. LDAPS permet le cryptage des donn茅es LDAP (qui comprennent les informations d’identification des utilisateurs) en transit lors d’une communication avec le serveur LDAP (comme un annuaire li茅), ce qui permet une protection contre le vol d’informations d’identification.
SSL et TLS sont des protocoles cryptographiques qui utilisent des certificats 茅tablissant une connexion s茅curis茅e entre le client et le serveur avant tout 茅change de donn茅es (dans ce cas, LDAP). TLS est une version am茅lior茅e de SSL, ce qui rend STARTTLS plus s没r et recommand茅 par rapport 脿 LDAP et LDAPS lorsque cela est possible.
En raison de l’augmentation des risques en mati猫re de s茅curit茅 et du besoin croissant de cryptage en transit, LDAPS remplace LDAP comme protocole d’annuaire standard accept茅. Voici comment les administrateurs informatiques peuvent mettre en 艙uvre ce changement.
Mise en place de LDAPS (LDAP sur SSL)
En g茅n茅ral, LDAP et LDAPS sont activ茅s 脿 la base du syst猫me, ce qui rend Secure LDAP disponible pour tous les liens d’annuaire. Dans les environnements Cloud LDAP, par exemple, il est disponible dans la plateforme LDAP.
Dans AD, en revanche, vous devez l’activez sur le contr么leur de domaine ou le catalogue global. Dans ce contexte, l’activation de LDAPS n’est pas automatique, et vous devez d’abord r茅gler les param猫tres pour l’utiliser ; exiger des liens LDAPS sans modifier les param猫tres pourrait rompre les liens avec des ressources utilisant toujours la version simple LDAP. Dans les deux cas, vous pouvez mettre 脿 jour les liens existants en passant au peigne fin vos ressources li茅es pour trouver et modifier les liens LDAP en LDAP s茅curis茅.
Un contr么leur de domaine ou un autre serveur LDAP dont les certificats sont correctement configur茅s offrira LDAPS via le port 636 (3269 pour un serveur de catalogue global) et STARTTLS via le port 389. Vous pouvez trouver et corriger les liaisons non s茅curis茅es individuellement en passant au peigne fin le journal des 茅v茅nements de votre service d’annuaire – toute application utilisant un port autre que 636 et 3269 doit 锚tre examin茅e.
Dans AD, la plupart des probl猫mes proviendront de connexions au port 2889. Pour OpenLDAP, le port est souvent le 389. Cependant, le port 389 supporte 脿 la fois le texte brut et STARTTLS – n’utilisez le port 389 que pour les authentifications qui supportent STARTTLS ; sinon, utilisez le port 636 pour LDAPS. (Le consultant en gestion de centre de donn茅es Kurt Roggen d茅taille ce processus sur son blog).
Lorsqu’elles sont li茅es 脿 LDAPS, de nombreuses applications vous demandent de t茅l茅charger une autorit茅 de certification homologue. , et , un service LDAP h茅berg茅 dans le cloud.
Ai-je encore besoin de LDAP/LDAPS ?
Compte tenu de certaines des solutions de contournement n茅cessaires 脿 l’utilisation s茅curitaire de LDAP, vous vous demandez peut-锚tre si LDAP a encore sa place dans le paysage informatique moderne. En bref, la r茅ponse est oui : Bien que le transfert des charges de travail vers le cloud ait entra卯n茅 l’apparition d’autres protocoles d’authentification, de nombreuses solutions mat茅rielles et logicielles sur site et dans les centres de donn茅es utilisent toujours LDAP. Tim Howes a bien r茅sum茅 la situation 脿 la fin de notre entretien :
芦On constate que le monde se d茅place de plus en plus vers le cloud, mais il y a toujours un univers pr茅sent dans votre environnement local – vous avez des appareils, des imprimantes, vous avez tout. Les gens doivent 茅galement 锚tre authentifi茅s dans ces diff茅rents contextes. 禄
La question devient donc moins 芦 Ai-je encore besoin de LDAP ? 禄 que 芦 Existe-t-il un meilleur moyen de g茅rer LDAP en toute s茅curit茅 dans l’猫re moderne de l’informatique ? 禄.
Une approche moderne de LDAP et LDAPS
Si vous suivez le processus d’茅valuation ci-dessus et d茅couvrez bon nombre de connexions LDAP non s茅curis茅es, c’est probablement signe que votre annuaire et vos applications ont grandement besoin d’une mise 脿 jour. Avant de r茅gler les co没ts li茅s 脿 la mise 脿 niveau de votre serveur Windows ou OpenLDAP et de tout mat茅riel associ茅, vous pouvez envisager une solution plus moderne et plus compl猫te pour la gestion LDAP.
Et si, au lieu de doubler la mise avec Active Directory ou OpenLDAP sur site, vous pouviez migrer vos utilisateurs et vos syst猫mes vers un tout nouvel annuaire h茅berg茅 dans le cloud ? Et si votre nouvel annuaire pouvait g茅rer en toute s茅curit茅 les autorisations et les authentifications pour une grande vari茅t茅 de ressources dans le cloud et sur site, avec la fonctionnalit茅 Secure LDAP incluse et toutes les donn茅es en transit automatiquement crypt茅es ? En savoir plus sur la gestion Cloud LDAP.
