Voir la source de Protected Extensible Authentication Protocol

← Protected Extensible Authentication Protocol

Vous n’avez pas la permission de modifier cette page, pour la raison suivante :

Votre adresse IP fait partie d’une plage qui a été bloquée sur tous les wikis de la Fondation Wikimédia.

Le blocage a été effectué par ‪EPIC‬. Le motif invoqué est Open proxy/Webhost: See the help page if you are affected.

Début du blocage : 2 juillet 2024 à 09:48
Expiration du blocage : 2 juillet 2025 à 09:48

Votre adresse IP actuelle est 206.189.44.186. La plage bloquée est 206.189.32.0/20.

Veuillez inclure tous les détails ci-dessus dans toutes les demandes que vous effectuerez. Si vous pensez avoir été bloqué(e) par erreur, vous pouvez trouver plus d’informations et d’instructions dans la politique globale Pas de serveurs mandataires ouverts.

Sinon, pour discuter du blocage, veuillez publier une demande de révision sur Méta-Wiki. Vous pouvez également envoyer un courriel à la file des coordinateurs VRT à stewards@wikimedia.org, en incluant tous les détails ci-dessus.

Vous pouvez voir et copier le contenu de cette page.

==PEAPv2==

PEAPv2 est le successeur de PEAPv0. Cette version corrige plusieurs faiblesses (dont la transmission du nom de l'utilisateur en  dehors du tunnel TLS). Elle a été développée par Microsoft, Cisco Systems et Extundo. Elle corrige les faiblesses de la version 0

Pour l'instant, il n'existe pas beaucoup d'implémentation de cette version. Elle est peu utilisée à l'heure actuelle.

Cette version de PEAP est définie dans le brouillon Internet de IETF draft-josefsson-pppext-eap-tls-eap-10.txt

PEAPV2 requiert que le service RADIUS établisse la clé maîtresse qui servira à la génération des autres clés requises aux chiffrements. L’implantation de PEAPv2 demande peu d’effort à déployer et est considérée comme sécuritaire par l’industrie.

=== Format de trame ===

   +-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
   |     Code      |   Identifier  |            Length             |
   +-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
   |     Type      |   Flags | Ver |    Fragment Message Length
   +-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
   |   Fragment Message Length     |    TLS Message Length
   +-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
   |     TLS Message Length        |      TLS Data...
   +-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
   |             Outer TLVs...
   +-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+

'''Code :'''
*1 - Request
*2 - Response

'''Identifier :''' le champ Identifier fait un octet et permet de faire correspondre les requêtes et les réponses.

'''Length :''' le champ Length fait 2 octets;  il donne la longueur du paquet EAP

'''Type :''' 25 - PEAP

'''Flags :'''
       0 1 2 3 4
      +-+-+-+-+-+
      |L M S T R|
      +-+-+-+-+-+
      L = Length included
      M = More fragments
      S = PEAP start
      T = TLS Length included
      R = Reserved (must be zero)

Le bit L sert à indiquer la présence des champs suivants.
Le bit M est à 1.  
Le bit S est à 1 pour les message PEAP Start.
Le bit T permet d'indiquer la présence du champ TLS Message Length field.

'''Version :'''
       0 1 2
      +-+-+-+
      |R|1|0|
      +-+-+-+
      R = Réservé, doit être à zéro

'''Fragmented Message Length :''' Ce champ fait 4 octets, il n'est présent que si le bit L est à 1.   Il donne la taille du message après le champ Flag.

'''TLS Message Length :''' Ce champ fait 4 octets, il est présent seulement si le bit T est à 1. Il définit la taille totale des données TLS.

'''TLS Data :''' ce champ contient des paquets TLS encapsulés.

'''Outer TLVs :''' Ce champ est optionnel, il permet d'aider à établir le tunnel TLS

===Scénario===
====A. Échange de l'identité en clair ====
Dans cette version, une partie de l'identité est donnée en clair mais cette « demi-identité » n'est pas suffisante pour qu'un pirate utilise l'identité pour provoquer un déni de service (DOS) en verrouillant les utilisateurs dont il a pu récupérer la « demi-identité ».

{| class="wikitable"
!width="50%" align="left"| Client 
!align="Right"| Authentificateur
|-
|-align="Right" bgcolor=#6699FF
|Colspan="2" | ← EAP-Request/Identity
|-{{ligne grise}} align="Left"
|Colspan="2" |EAP-Response/Identity (MyID1) → 
|-
|-align="Center"
|Colspan="2" |Une partie de l’identité est envoyée en clair.
|-
|-align="Right" bgcolor=#6699FF
|Colspan="2" | ← EAP-Request/EAP-Type=PEAP, V=2 (PEAP Start, S bit set)
|-
|-{{ligne grise}} align="Left"
|Colspan="2" |EAP-Response/EAP-Type=PEAP, V=2 (TLS client_hello) → 
|-
|-align="Right" bgcolor=#6699FF
|Colspan="2" | ← EAP-Request/EAP-Type=PEAP, V=2 (TLS server_hello, TLS certificate,[TLS server_key_exchange,][TLS certificate_request,] TLS server_hello_done) 
|-
|-{{ligne grise}} align="Left"
|Colspan="2" |EAP-Response/EAP-Type=PEAP, V=2([TLS certificate,] TLS client_key_exchange,[TLS certificate_verify,] TLS change_cipher_spec, TLS finished) → 
|-
|-align="Right" bgcolor=#6699FF
|Colspan="2" | ← EAP-Request/EAP-Type=PEAP, V=2(TLS change_cipher_spec, TLS finished, EAP-Request/EAP-Type=EAP-TLV [EAP-Payload-TLV[[EAP-Request/Identity]])
|-
|-align="center"
|Colspan="2" |// Le tunnel TLS est créé. L’identité est protégée par TLS. Les paquets EAP-TLV n’ont pas d’en-tête EAP.
|-
|-{{ligne grise}} align="Left"
|Colspan="2" |EAP-TLV [EAP-Payload-TLV [[EAP-Response/Identity (MyID2)]] → 
|-
|-align="Right" bgcolor=#6699FF
|Colspan="2" | ← EAP-TLV [EAP-Payload-TLV[[EAP-Request/EAP-Type=X]]
|-
|-{{ligne grise}} align="Left"
|Colspan="2" |EAP-TLV [EAP-Payload-TLV[[EAP-Response/EAP-Type=X]] → 
|-
|-align="center"
|Colspan="2" |Fin de la protection.
|-
|-align="Right" bgcolor=#6699FF
|Colspan="2" | ← EAP-TLV [Result TLV (Success), Crypto-Binding TLV (Version=2, received-version=2, Nonce, B1_MAC),Intermediate-Result TLV (Success)]
|-
|-{{ligne grise}} align="Left"
|Colspan="2" |EAP-TLV [Result TLV (Success),Intermediate-Result TLV (Success), Crypto-Binding TLV (Version=2, received-version=2,Nonce, B2_MAC)] → 
|-
|-align="center"
|Colspan="2" |Fin du tunnel TLS (les messages sont à présent envoyés en text clair).
|-
|-align="Right" bgcolor=#6699FF
|Colspan="2" | ← EAP-Success
|}

====B. Scénario sans échange de texte en clair ====
Dans cette version, il n'y a pas d'échange d'identité en clair.

{| class="wikitable"
!width="50%" align="left"| Client 
!align="Right"| Authentificateur
|-
|-align="Right" bgcolor=#6699FF 
|Colspan="2" | ← EAP-Request/EAP-Type=PEAP, V=2(PEAP Start, S bit set)
|-
|-{{ligne grise}} align="Left"
|Colspan="2" |EAP-Response/EAP-Type=PEAP, V=2 (TLS client_hello) → 
|-
|-align="Right" bgcolor=#6699FF
|Colspan="2" | ← EAP-Request/EAP-Type=PEAP, V=2 (TLS server_hello, TLS certificate, [TLS server_key_exchange,] [TLS certificate_request,] TLS server_hello_done)
|-
|-{{ligne grise}} align="Left"
|Colspan="2" |EAP-Response/EAP-Type=PEAP, V=2 ([TLS certificate,] TLS client_key_exchange, [TLS certificate_verify,] TLS change_cipher_spec, TLS finished) → 
|-
|-align="Right" bgcolor=#6699FF
|Colspan="2" | ← EAP-Request/EAP-Type=PEAP, V=2 (TLS change_cipher_spec, TLS finished,                           EAP-TLV [EAP-Payload-TLV (EAP-Request/Identity)])
|-
|-align="center"
|Colspan="2" |Tunnel TLS créé (les messages sont envoyés via le tunnel TLS)
|-
|-{{ligne grise}} align="Left"
|Colspan="2" |EAP-TLV [EAP-Payload-TLV [[EAP-Response/Identity (MyID)]] → 
|-
|-align="Right" bgcolor=#6699FF
|Colspan="2" | ← EAP-TLV [EAP-Payload-TLV [[EAP-Type=EAP-Request/EAP-Type=X]] EAP-TLV [EAP-Payload-TLV 
|-
|-{{ligne grise}} align="Left"
|Colspan="2" |[EAP-Response/EAP-Type=X or NAK] → 
|-
|-align="Right" bgcolor=#6699FF
|Colspan="2" | ← EAP-TLV [EAP-Payload-TLV [[EAP-Request/EAP-Type=X]]
|-
|-{{ligne grise}} align="Left"
|Colspan="2" |EAP-TLV [EAP-Payload-TLV [[EAP-Response/EAP-Type=X]] → 
|-
|-align="Right" bgcolor=#6699FF
|Colspan="2" | ← EAP-TLV [Crypto-Binding TLV=(Version=2, Received-version=2, Nonce, B1_MAC),Intermediate-Result TLV(Success), Result TLV (Success)] 
|-
|-{{ligne grise}} align="Left"
|Colspan="2" |EAP-TLV [Crypto-Binding TLV=(Version=2,Received-version=2, Nonce, B2_MAC), Intermediate-Result TLV (Success), Result TLV (Success)] → 
|-
|-align="center"
|Colspan="2" |Fin du tunnel TLS (les messages sont envoyés en clair)
|-
|-align="Right" bgcolor=#6699FF
|Colspan="2" | ← EAP-Success
|}

Revenir à la page Protected Extensible Authentication Protocol.

Ce document provient de « https://fr.wikipedia.org/wiki/Protected_Extensible_Authentication_Protocol ».