Hotspots WIFI

Authentification RADIUS

Contexte

L'identification effectuée par un serveur RADIUS est une vérification de nom d'utilisateur (attribut 1 User-Name) et de mot de passe (attribut 2 User-Password ou 3 Chap-Password).

Le protocole RADIUS permet de faire la liaison entre des besoins d’identification et une base d’utilisateurs en assurant le transport des données d’authentification de façon normalisée. Enfin, le client final qui se connecte au réseau envoie tout simplement sa demande au point d'accès. Il n'échange aucune donnée avec le serveur radius. Il envoie juste son identifiant et son mot de passe sur le réseau qui est relayé jusqu'au serveur.  

Le client RADIUS, appelé NAS (Network Access Server), fait office d'intermédiaire entre l'utilisateur final et le serveur. L'ensemble des transactions entre le client RADIUS et le serveur RADIUS est chiffrée et authentifiée grâce à un secret partagé. Le client recueille des informations sur l'utilisateur (nom, mot de passe) en utilisant un protocole d'authentification (PAP/CHAP par exemple). Il passe ces informations au serveur RADIUS, et agit en fonction de la réponse qu'il lui retourne. Tout point d'accès ou switch doit pouvoir supporter le protocole d'encryptage. C'est cet appareil qui va effectuer le dialogue avec le radius. Le NAS fonctionne de manière bloquante. Tant que le serveur n'a pas renvoyé de requête d'acquittement d'accès, l'utilisateur est verrouillé. C'est lui qui va lui attribuer l'adresse IP et donc effectuer la connexion.

Les clients radius (NAS) peuvent être intégrés à différents types de périphériques :

La communication entre le client et le serveur RADIUS est authentifiée au moyen d'un secret qui n'est "jamais" envoyé sur le réseau. Il est en fait chiffré avec l'algorithme MD5, puis un OU exclusif (XOR) avec le mot de passe de l'utilisateur est appliqué (transaction dans le sens client-->serveur). Dans l'autre sens, le serveur chiffre le secret en le concatenant avec un ensemble de paramètres, le tout étant "haché" avec MD5.

Etapes d'authentification

Le service RADIUS jouera donc un rôle prépondérant dans la gestion de l’authentification des utilisateurs du hotspot wifi. Afin de détailler ce principe de fonctionnement, un schéma simplifié détaille les principales opérations effectuées :  

Ce schéma montre les différentes étapes (1 à 5) du mécanisme d'authentification sur le serveur RADIUS. 

Voici le détail du déroulement du scénario :


Soit le scénario actuel convient, soit une autre méthode d’identification est demandée à l’utilisateur. Le serveur RADIUS retourne ainsi une des quatre réponses suivantes :

Freeradius, logiciel opensource, permet d'interagir avec un nombre important de sources externes. En voici un exemple :