L’authentification par certificat pour Active Directory

LA SECURITE DES ACCES DISTANTS, UNE PRIORITE ABSOLUE

L'authentification par certificat pour Active Directory devient de plus en plus importante avec la dépréciation de NTLM. En effet, Microsoft met fin à NT LAN Manager (NTLM), un protocole d'authentification qui a été introduit dans les années 1990, mais qui présente désormais des failles de sécurité considérables. Pour les accès distants exposés sur internet, l'authentification par certificat (CBA) est souvent le remplaçant le plus sécurisé.

Qu’est-ce que NTLM ?
NTLM est le protocole d’authentification Windows d’origine. Il a été introduit dans Windows NT dans les années 1990 comme mécanisme d’authentification des utilisateurs réseau auprès de NT Directory Services, l’ancêtre d’Active Directory. Cependant, ses limites en matière de sécurité sont rapidement apparues, poussant Microsoft à le remplacer par Kerberos en 2000. Mais Kerberos présentait une contrainte de conception importante : pour fonctionner, il doit contacter un contrôleur de domaine (DC) pour la distribution des clés, ce qui exige une « ligne de vue » directe.

Qu’est-ce que l’authentification par certificat (CBA) ?
La CBA est une méthode d’identification des appareils reposant sur le chiffrement à clé publique. L’organisation génère une clé publique qu’elle lie à une clé privée pour chaque appareil autorisé à accéder au réseau. Lorsqu’un utilisateur tente de se connecter, la première vérification porte sur le certificat X.509 de l’appareil, c’est-à-dire son identité à clé publique. L’authentification par certificat est bien moins médiatisée que les identifiants classiques ou la MFA, mais elle gagne du terrain dans les entreprises et chez les fournisseurs cloud, car elle offre une meilleure résistance au phishing tout en s’inscrivant dans une logique zero trust.

Passer à autre chose que NTLM
Des solutions spécialisées dans la sécurité des accès Active Directory, comme UserLock, permettent d’étendre la CBA aux organisations de toutes tailles, y compris pour les utilisateurs distants qui se connectent sans VPN. Combinée aux outils AD natifs comme Active Directory Certificate Services (AD CS), cette approche permet d’appliquer les mêmes politiques d’authentification, qu’un utilisateur soit sur le LAN, en VPN, ou sur internet ouvert, sans dépendre de NTLM.

Sécuriser les connexions à risque avec la CBA
Les failles de sécurité de NTLM sont documentées depuis des années. Malgré tout, le protocole a survécu dans de nombreuses organisations parce qu’il gérait mieux que Kerberos les connexions distantes sur internet ouvert. La dépréciation officielle de NTLM oblige désormais les organisations à en sortir. En réalité, c’est leur rendre service. NTLM ne répondait plus aux standards de sécurité modernes bien avant que Kerberos ne le supplante, il y a vingt-cinq ans. Remplacer NTLM par l’authentification par certificat client ne règle pas seulement un problème de sécurité hérité. Cela renforce la sécurité des identités dans une logique zero trust, en liant les authentifications issues de connexions à risque à des appareils spécifiques et vérifiés. Pour plus d’informations sur la sécurisation des accès distants, vous pouvez consulter les ressources disponibles sur le site d’IS Decisions.

En conclusion, l'authentification par certificat pour Active Directory est devenue une priorité absolue pour les organisations qui souhaitent sécuriser leurs accès distants. Avec la dépréciation de NTLM, il est essentiel de trouver des solutions alternatives pour protéger les identités et les accès aux réseaux. L'authentification par certificat offre une meilleure résistance au phishing et s'inscrit dans une logique zero trust, ce qui en fait un choix de plus en plus populaire pour les entreprises et les fournisseurs cloud. Pour en savoir plus sur les solutions d’authentification pour Active Directory, vous pouvez consulter les articles et les ressources disponibles sur le site ZATAZ.

---

Source : ZATAZ.COM - L’authentification par certificat pour Active Directory : pourquoi elle devient incontournable avec la dépréciation de NTLM​