SASL : Simple Authentication and Security Layer
Sécurité
SASL : Simple Authentication and Security Layer. « Couche simple d'authentification et de sécurité », par analogie avec un guichet d'accueil unique qui accepte badge, carte d'identité ou empreinte, sans que chaque bureau de l'immeuble ait à réinventer le contrôle.
Un cadre, pas un mécanisme : SASL sépare le protocole applicatif (LDAP, messagerie, messagerie instantanée) de la façon de s'authentifier. Le protocole annonce les mécanismes qu'il accepte, le client choisit, et chacun évite de coder sa propre authentification, ce qui est une forme rare et précieuse d'humilité logicielle.
Mécanismes courants : GSSAPI pour Kerberos, la famille SCRAM (Salted Challenge Response Authentication Mechanism) pour un défi-réponse sans transmettre le mot de passe, un mécanisme externe qui s'appuie sur un certificat client TLS, et un mécanisme qui envoie le mot de passe tel quel, à réserver à un canal déjà chiffré.
Couche de sécurité : Certains mécanismes négocient en plus une protection d'intégrité, voire de confidentialité, sur la suite de l'échange. Dans un annuaire AD, c'est ce qui permet la signature LDAP sans passer par TLS.
Côté annuaire : Un serveur LDAP publie la liste de ses mécanismes dans l'attribut supportedSASLMechanisms, lisible sans authentification.
Ce qui arrive si on s'en passe
Sans authentification négociée par un mécanisme robuste, un annuaire se rabat sur la liaison simple, où le mot de passe voyage en clair si aucun chiffrement ne protège la connexion : une écoute passive suffit alors à récolter des identifiants de comptes, parfois de comptes de service très privilégiés. Sans la couche d'intégrité qu'offrent certains mécanismes, un attaquant placé sur le chemin peut modifier les requêtes et réponses ou relayer une authentification vers un autre serveur. Accepter le mécanisme qui transmet le mot de passe tel quel hors d'un canal TLS revient au même résultat que la liaison simple en clair.
Explication de la marmotte
Pour entrer dans un service informatique, il faut prouver qui on est. Il existe plein de façons de le faire : un mot de passe, une carte, une preuve fournie par un autre service de confiance. Plutôt que de laisser chaque programme inventer sa propre méthode, on a créé une règle commune : le programme dit quelles façons il accepte, l'utilisateur en choisit une, et l'échange se déroule toujours de la même manière. C'est comme un accueil d'immeuble qui accepte plusieurs pièces d'identité, avec les mêmes vérifications pour tout le monde.
Où ce terme est utilisé
- Grand-père Castor raconte : bind LDAP en clair, corrigé (8 occurrences)
- Énumérer les métadonnées LDAP anonymes d'un domaine Active Directory (1 occurrence)