Protocoles authentification dial-up haut volume : PAP, CHAP, EAP et RADIUS

Le défi central

Le dial-up à grande échelle (RAS FAI, RAS entreprise, pools modem université) exige **faible surcharge CPU par session**, **évolutivité sans état**, et **sécurité identifiants**. La pile protocolaire a significativement évolué.

Héritage : PAP (Password Authentication Protocol) — Obsolète

• Mécanisme : Nom utilisateur/Mot de passe envoyés **en clair** sur liaison PPP pendant phase LCP.
• Avantages : Implémentation triviale. CPU minimal. Marche matériel ancien.
• Inconvénients : **Écoute triviale.** Quiconque sur fil (ou NAS compromis) voit identifiants. Attaques rejeu triviales.
• Statut : **Déprécié.** Interdit PCI-DSS, HIPAA, conformité moderne. Seulement systèmes legacy musée.

Héritage : CHAP (Challenge-Handshake Authentication Protocol) — En déclin

• Mécanisme : Handshake 3 voies.
  1. Serveur envoie **Challenge** aléatoire.
  2. Client calcule `MD5(Challenge + ID + MotDePasse)` → Réponse.
  3. Serveur vérifie avec mot de passe stocké (doit être stocké réversiblement/chiffré, pas hashé).
• Avantages : Mot de passe jamais sur fil. Ré-authentification périodique (re-challenge) possible.
• Inconvénients : Exige **stockage mot de passe réversible** (clair ou chiffrement symétrique) — risque majeur fuite DB. MD5 cryptographiquement cassé (attaques collision). Pas authentification mutuelle (serveur non authentifié client).
• MS-CHAPv2 : Variante Microsoft. Auth mutuelle. Utilise encore DES/MD4/SHA1. **Cassé (2012).** N'utilisez pas.

Standard moderne : EAP (Extensible Authentication Protocol) + RADIUS

EAP est un **framework**, pas un mécanisme. Il tourne dans PPP (ou 802.1X). Le NAS (Network Access Server) agit comme **transit** (Authenticator) vers **Serveur RADIUS** (Authentication Server).

Pourquoi RADIUS est obligatoire à grande échelle

• Centralisation : Une BD utilisateurs (LDAP/AD/SQL) pour 10 000 modems/boîtiers NAS.
• Accounting (AAA) : Enregistrements Start/Stop/Interim-Update pour facturation, limites session, audit.
• Application politiques : Attribution VLAN, ACL, QoS, Session-Timeout via attributs RADIUS.
• Basculement/Équilibrage charge : Proxies RADIUS, serveurs redondants.

Méthodes EAP recommandées dial-up (Classées)

1. EAP-TLS : **Standard or.** Auth mutuelle certificats (Certificat Client + Certificat Serveur). Pas mots de passe. Support carte à puce/TPM. Sécurité max. Nécessite gestion PKI.
2. EAP-TTLS / PEAP (avec MS-CHAPv2 interne) : **Compromis courant.** Certificat serveur seulement (déploiement facile). Tunnel interne protège auth mot de passe héritage. Vulnérable MITM si client ne valide pas certif serveur (mauvaise config courante).
3. EAP-SIM / EAP-AKA / EAP-AKA' : **Standard mobile/5G.** Utilise identifiants USIM. Pas typique dial-up filaire.

Résumé architecture

[PC Utilisateur] --PPP/EAP--> [NAS / Pool Modem / LAC] --RADIUS (UDP 1812/1813)--> [Serveur RADIUS] <--LDAP/AD--> [Magasin Identités]
| +--> [Log Accounting / Système Facturation] 

En résumé

Pour tout déploiement dial-up > 50 utilisateurs concurrents : **RADIUS + EAP-TTLS/PEAP (min) ou EAP-TLS (idéal)**. PAP/CHAP sont dette technique. MS-CHAPv2 est vulnérabilité.