Alcasar est un portail captif (NAC) utilisé pour filtrer et contrôler les utilisateurs ayant accès à un réseau ouvert sur le Web. C’est un projet français développé initialement au sein du ministère de la Défense. Open source et maintenu par une petite communauté, ce projet répond à un besoin bien réel, mais malheureusement de manière imparfaite : utilisation par défaut du HTTP, emploi de MD5 à des fins de sécurité, utilisation de « crypto-maison », mots de passe utilisateurs transmis en clair… Au final, Alcasar est un NAC au service de l’usurpation d’identité de ses utilisateurs.
1. Introduction
1.1 Présentation d’Alcasar
Le projet Alcasar est un portail captif (Network Access Controller - N.A.C) qui est né au sein du ministère de la Défense par une équipe de programmeurs qui cherchait à apporter une solution souveraine en la matière. Plus concrètement, Alcasar authentifie et protège les connexions des utilisateurs indépendamment de leurs équipements tout en proposant des mécanismes de filtrage par utilisateur. Respectueux des diverses réglementations, il se dit conforme à la LCEN (Loi de Confiance dans l'Économie Numérique) et au dispositif européen WIFI4EU qui facilite le déploiement d'Internet pour les collectivités territoriales [1].
L’installation d’Alcasar se fait sur une machine dédiée qui se met en interface entre la box internet et les utilisateurs qui viendraient se connecter à un réseau. La machine en question doit être équipée d’au moins deux cartes réseaux (une sur le réseau local, une sur la box...
- Accédez à tous les contenus de Connect en illimité
- Découvrez des listes de lecture et des contenus Premium
- Consultez les nouveaux articles en avant-première
[1] Site internet du projet Alcasar : https://alcasar.net/
[2] Richard Rey, « ALCASAR, un projet de contrôleur d’accès au réseau basé sur Mageia », Mageia Blog, mars 2017, https://blog.mageia.org/fr/2017/03/13/alcasar-un-projet-de-controleur-dacces-au-reseau-base-sur-mageia/
[3] Documentation d’installation d’Alcasar :
https://adullact.net/docman/view.php/450/3820/alcasar-3.5.3-installation-fr.pdf
[4] Documentation d’exploitation d’Alcasar :
https://adullact.net/docman/view.php/450/3818/alcasar-3.5.3-exploitation-fr.pdf
[5] PHP manuel : https://www.php.net/manual/fr/function.str-shuffle.php
[6] PHP manuel : https://www.php.net/manual/fr/function.crypt.php
[7] Code de Free-Radius :
https://hotexamples.com/examples/-/-/da_encrypt/php-da_encrypt-function-examples.html
[8] PHP manuel : https://www.php.net/manual/fr/function.header.php
[9] Lighttpd, Module mod_auth - Using Authentication :
https://redmine.lighttpd.net/projects/1/wiki/docs_modauth
[10] RFC 2617 : https://datatracker.ietf.org/doc/html/rfc2617
[11] Dobbertin, Hans. (2001). “Cryptanalysis of MD5 Compress”.
[12] Wang, Xiaoyun & Yu, Hongbo. (2005). “How to Break MD5 and Other Hash Functions”. Lecture Notes in Computer Science. 3494. 561-561. 10.1007/11426639_2.
[13] Logiciel Hashcat : https://hashcat.net/hashcat/
[14] CNIL, « Gestion des mots de passe » : https://www.cnil.fr/fr/mot-de-passe
