Authentification et habilitations
Vérifier qui se connecte et ce qu'il a le droit de faire : authentification, mots de passe, comptes et privilèges, matrice des habilitations, RADIUS, et accès d'administration sécurisés aux équipements Cisco.
L'essentiel
- Identifier annonce qui l'on est, authentifier le prouve, autoriser limite ce que l'on peut faire, tracer garde la mémoire (AAA).
- Trois facteurs : ce que je sais, ce que j'ai, ce que je suis. Le MFA en combine au moins deux de catégories différentes ; une clé FIDO2 résiste à l'hameçonnage.
- Mot de passe : long, unique, rangé dans un gestionnaire, sans renouvellement périodique forcé (sauf comptes d'administration), changé après une compromission.
- On ne stocke jamais un mot de passe : une empreinte salée produite par une fonction lente (Argon2id, bcrypt) suffit à le vérifier.
- Un compte = une personne. Le compte partagé détruit la traçabilité. Le compte d'administration est distinct du compte courant, avec MFA.
- Moindre privilège et besoin d'en connaître : chacun reçoit les droits nécessaires à sa mission, pas un de plus, pour la durée utile.
- Les droits suivent des rôles (RBAC) consignés dans la matrice des habilitations ; dans l'annuaire, on applique la chaîne A-G-DL-P.
- Cycle de vie : arrivée, mobilité, départ, plus une revue périodique des droits. Un compte non désactivé au départ est une porte ouverte.
- RADIUS (UDP 1812/1813) centralise l'accès au réseau ; TACACS+ (TCP 49) chiffre tout et autorise commande par commande. Chaque équipement est déclaré par son adresse source ; le repli local ne joue que si le serveur ne répond pas.
- Équipement Cisco : SSH v2 seul, clés RSA 2048,
secretet nonpassword,login block-for,exec-timeout, bannière légale.service password-encryption(type 7) ne protège pas.
Le repli local ne se déclenche pas si le serveur refuse
Avec aaa authentication login default group radius local, l'équipement essaie RADIUS d'abord. Il ne passe au compte local que si le serveur ne répond pas (panne, réseau coupé, client non déclaré). Si le serveur répond « refusé », la réponse est définitive : un compte local ne contourne donc jamais un refus, et ne marche que serveur éteint.
service password-encryption n'est pas du chiffrement
Le type 7 est un simple brouillage : la chaîne 060506324F41 se lit en clair avec n'importe quel outil en ligne, en une seconde. La commande sert seulement à éviter qu'un passant lise un mot de passe par-dessus l'épaule. La vraie protection, c'est secret (empreinte salée) partout où c'est possible, sans jamais se reposer sur password. Dans l'enable secret 5 ci-dessus, mERr est le sel.
Commandes clés
| Pour… | Commandes |
|---|---|
| Préparer SSH | ip domain-name broceliande.lan · crypto key generate rsa modulus 2048 · ip ssh version 2 |
| Comptes et secrets | username admin privilege 15 secret … · enable secret … |
| Activer l'AAA | aaa new-model · radius-server host 172.16.50.10 key … · aaa authentication login default group radius local |
| Imposer SSH aux lignes | line vty 0 4 · transport input ssh · exec-timeout 5 0 |
| Freiner les essais | login block-for 120 attempts 3 within 60 · show login |
| Message légal | banner login #…# |
| Vérifier | show ip ssh · show users · show running-config | include secret |