La popularité de Kerberos comme solution de contrôle d’accès aux services d’un réseau est avérée. Malheureusement, nativement, Kerberos ne peut filtrer les accès à un site internet. Mod_auth_kerb, un module Apache bien connu des administrateurs système, répond à ce besoin.L’objet de cet article est donc de détailler son fonctionnement et de faciliter sa mise en place. On verra au passage que l’utilisation de ce produit nécessite de prendre quelques précautions...
1. Architecture
1.1 Rappels Kerberos
La grande force de Kerberos est sa sûreté : un mot de passe utilisateur ne transite par le réseau qu’une fois par session (à l’initialisation) ou zéro (en cas d’utilisation de cartes à puce – voir ci-dessous).
Mod_auth_kerb est un module apache qui permet la protection d’un site grâce au protocole Kerberos.
Les utilisateurs, repérés par un principal (du type pascal@DUMMY.COM) peuvent ainsi accéder à des services dits « kerbérisés ».
Microsoft, notamment, en a fait un composant central de son offre Active Directory. Divers produits open source (Heimdal, MIT, etc.) ont aussi acquis une base installée significative.
1.2 Fonctionnement basique de Kerberos
Le fonctionnement (simplifié) de Kerberos est le suivant (voir figure 1) :
1. Le client s’authentifie au serveur Kerberos (le KDC) et reçoit un ticket de session (Ticket to Get Ticket, TGT) et une clé.
2. Préalablement à l’utilisation...
- Accédez à tous les contenus de Connect en illimité
- Découvrez des listes de lecture et des contenus Premium
- Consultez les nouveaux articles en avant-première
