Active Directory - Comment configurer le LDAP Signing ?

Florian BURNEL - ITConnect - 23/10
Dans ce tutoriel, nous allons apprendre à activer et à configurer la signature LDAP nommée LDAP Signing dans un Active Directory, sans oublier la phase d'audit.

Sommaire

  • I. Présentation
  • II. Qu'est-ce que le LDAP Signing ?
    • A. Quelques mots sur le LDAP et SASL
    • B. L'intérêt du LDAP Signing
  • III. Configuration du LDAP Signing
    • A. Activation sur les contrôleurs de domaine
    • B. Activation sur les machines Windows
  • IV. Tests de bon fonctionnement
  • V. Auditer les connexions LDAP non sécurisées
  • VI. Conclusion

I. Présentation

Dans ce tutoriel, nous allons apprendre à activer et configurer le LDAP Signing dans un environnement Active Directory. Nous parlerons tout d'abord de la sécurité apportée par le LDAP Signing avant d'évoquer sa mise en œuvre à l'aide de stratégie de groupe (GPO).

Pour suivre ce tutoriel, vous avez besoin à minima d'un contrôleur de domaine Active Directory et d'une machine Windows pour jouer le rôle de client (Windows 10, Windows 11, Windows Server).

II. Qu'est-ce que le LDAP Signing ?

A. Quelques mots sur le LDAP et SASL

Le protocole LDAP est un protocole vulnérable à plusieurs attaques, et est susceptible de laisser fuiter en clair des identifiants sur le réseau (nom d'utilisateur et mot de passe au format texte). C'est notamment le cas avec une connexion LDAP Simple bind. Fort heureusement, il existe des solutions pour l'utiliser de façon sécurisée, dont le LDAPS (LDAP over SSL/TLS) et le LDAP SASL bind, qui peut être signé ou non signé (en lien direct avec ce que nous allons étudier dans cet article !).

Le protocole SASL (Simple Authentication and Security Layer) permet la prise en charge de plusieurs mécanismes d'authentification (GSS-SPNEGO, GSSAPI, EXTERNAL, DIGEST-MD5) qui eux-mêmes supportent des protocoles d'authentification (Kerberos, NTLM, DIGEST) pour sécuriser les connexions LDAP.

La sécurité apportée est plus ou moins robuste selon le protocole d'authentificati...
[Courte citation de 8% de l'article original]