Uwierzytelnianie Sieciowe

Uwierzytelnianie sieciowe

Użytkownik lub urządzenie otrzymuje dostęp do sieci po przedstawieniu poświadczeń i ich sprawdzeniu. Poświadczenie może obejmować hasło, certyfikat lub token sprzętowy. Biometria może służyć jako składnik procesu uwierzytelniania. System porównuje dane z katalogiem lub innym źródłem tożsamości i dopiero wtedy podejmuje decyzję o dostępie. Ten etap może dotyczyć logowania do sieci przewodowej, sieci Wi-Fi, tunelu VPN albo urządzenia zarządzanego. Wynik uwierzytelniania jest zwykle przekazywany do modułu autoryzacji.

weryfikuje tożsamość podmiotu próbującego połączyć się z siecią. Ma znaczenie dla ochrony danych finansowych, własności intelektualnej i informacji osobowych przechowywanych w sieciach korporacyjnych. Otwarty port lub publicznie dostępna sieć Wi-Fi bez kontroli tożsamości może umożliwić dostęp do tych zasobów osobom nieuprawnionym. Uwierzytelnienie nie określa jeszcze zakresu operacji, ponieważ uprawnienia są przedmiotem osobnego etapu autoryzacji. Wynik może także wybrać politykę urządzenia lub sesji, na przykład VLAN albo profil kontroli dostępu, i zostać zapisany do późniejszego audytu.

Model AAA: kontrola dostępu

Dostęp do sieci można opisać za pomocą modelu AAA: Authentication (Uwierzytelnianie), Authorization (Autoryzacja) i Accounting (Rozliczanie). Funkcje te obejmują sprawdzenie tożsamości, nadanie uprawnień i rejestrowanie sesji. Rozdzielenie tych funkcji ułatwia przypisanie odpowiedzialności i analizę zdarzeń. Każda z nich może korzystać z odrębnych reguł i źródeł danych.

1. Uwierzytelnianie (Authentication): Potwierdzanie tożsamości

Pierwszy etap potwierdza, że użytkownik lub urządzenie jest tym, za kogo się podaje. NIST wyróżnia czynniki oparte na wiedzy, posiadaniu i cesze podmiotu. Poświadczenia cyfrowe mogą mieć następujące formy, a metoda powinna odpowiadać ryzyku chronionego zasobu:

Coś, co wiesz: Obejmuje hasła i numery PIN. Ta forma może być słaba, gdy użytkownicy wybierają łatwe do odgadnięcia hasła. Polityka haseł i ograniczenie prób wpływają na jej odporność.
Coś, co masz: Oznacza fizyczny obiekt w posiadaniu użytkownika, taki jak karta inteligentna, token sprzętowy, klucz U2F albo smartfon odbierający jednorazowy kod. Utrata urządzenia wymaga jego unieważnienia i wydania nowego poświadczenia.
Coś, czym jesteś: Obejmuje cechy biometryczne używane do weryfikacji osoby, takie jak odcisk palca, obraz twarzy albo obraz tęczówki. Biometria wymaga ochrony wzorców i odpowiedniej procedury odzyskiwania dostępu.

Uwierzytelnianie wieloskładnikowe (MFA) wykorzystuje co najmniej dwa czynniki z różnych kategorii. Dostęp do systemu może wymagać hasła (coś, co wiesz) oraz kodu z telefonu (coś, co masz). Dwa poświadczenia należące do tej samej kategorii nie tworzą pełnego MFA.

2. Autoryzacja (Authorization): Definiowanie uprawnień

Po potwierdzeniu tożsamości system określa, jakie operacje i zasoby są dostępne. To jest autoryzacja. Uprawnienia mogą zależeć od roli użytkownika, grupy, urządzenia, lokalizacji i stanu sesji. Polityka może stosować zasadę najmniejszych uprawnień i ograniczać dostęp do wymaganego zakresu.

W sieci autoryzacja określa poziom dostępu użytkownika. Po uwierzytelnieniu centralny serwer instruuje sprzęt sieciowy (taki jak przełącznik lub punkt dostępowy), jakie reguły zastosować. Może to obejmować:

Przypisanie użytkownika do określonej Wirtualnej Sieci Lokalnej (VLAN), na przykład umieszczenie pracowników działu finansów w bezpiecznym 'Finanse_VLAN'.
Zastosowanie określonych List Kontroli Dostępu (ACL) lub reguł zapory do ich połączenia, z rozróżnieniem ruchu przychodzącego i wychodzącego.
Implementację polityk Jakości Usługi (QoS) w celu priorytetyzacji ich ruchu (np. nadanie wyższego priorytetu rozmowom VoIP menedżera).

3. Rozliczanie (Accounting): Śledzenie aktywności

Ostatnim filarem jest rozliczanie, które polega na zbieraniu i rejestrowaniu danych o sesji użytkownika. Rejestr może wskazywać rozpoczęcie i zakończenie połączenia, wykorzystane zasoby oraz polecenia wydane podczas dostępu administracyjnego.

Rozliczanie w sieci śledzi metryki, takie jak czas trwania sesji użytkownika, ilość przesłanych danych, dostęp do zasobów i wydane polecenia, szczególnie przy dostępie administracyjnym do urządzeń. Dane te są używane do porównania aktywności z polityką i do:

Audytu bezpieczeństwa i analizy kryminalistycznej: Badanie incydentów bezpieczeństwa poprzez dostarczanie jasnego śladu aktywności.
Fakturowania: Obciążanie użytkowników na podstawie ich zużycia sieciowego, co jest powszechne u dostawców usług internetowych.
Planowania pojemności: Analizowanie wzorców użytkowania w celu planowania przyszłych modernizacji sieci.

RADIUS i TACACS+: protokoły AAA

Scentralizowane protokoły AAA wspierają uwierzytelnianie użytkowników, nadawanie uprawnień i rejestrowanie sesji. RADIUS jest często używany przy dostępie do sieci, a TACACS+ przy administracji urządzeniami. Wybór protokołu zależy od obsługiwanych metod, wymagań transportu i modelu uprawnień.

RADIUS (Remote Authentication Dial-In User Service)

to protokół klient-serwer używany do scentralizowanego AAA przy dostępie do sieci. Przełączniki i punkty dostępowe działają jako klienci RADIUS i przekazują żądania do serwera. Serwer może korzystać z bazy użytkowników, katalogu i polityk bezpieczeństwa, podejmuje decyzję o dostępie i odsyła odpowiedź. Komunikaty obejmują między innymi Access-Request, Access-Accept i Access-Reject, a podczas wymiany EAP także Access-Challenge. Klasyczny RADIUS korzysta zwykle z UDP, z portem 1812 dla uwierzytelniania i 1813 dla rozliczania.

Pakiet 'Access-Accept' wysyłany z serwera do przełącznika może zawierać potwierdzenie uwierzytelnienia oraz atrybuty autoryzacji, takie jak VLAN albo ACL. W klasycznym RADIUS atrybut User-Password jest chroniony przez mechanizm określony w protokole, lecz nie oznacza to szyfrowania całego pakietu. Pozostałe dane wymagają ochrony transportu lub nowszego wariantu RADIUS zgodnego z używanym wdrożeniem. Transport i metoda muszą odpowiadać wymaganiom ochrony poświadczeń w danym wdrożeniu.

TACACS+ (Terminal Access Controller Access-Control System Plus)

to protokół opracowany przez Cisco, używany przede wszystkim do centralnego zarządzania dostępem administracyjnym do routerów, przełączników i innych urządzeń. RADIUS jest częściej stosowany przy dostępie do sieci, a TACACS+ może kontrolować logowanie do urządzenia i uprawnienia do wykonywania poleceń. Klasyczny TACACS+ korzysta z TCP na porcie 49. Profil TACACS+ przez TLS 1.3 chroni komunikację na poziomie TLS.

TACACS+ ma w tym zastosowaniu kilka właściwości odróżniających go od RADIUS:

Rozdzielenie AAA: TACACS+ traktuje uwierzytelnianie, autoryzację i rozliczanie jako oddzielne procesy. Po uwierzytelnieniu osobny etap może określić uprawnienia do poszczególnych poleceń, a rozliczanie jest obsługiwane niezależnie. Ułatwia to szczegółową kontrolę administracji.
Ochrona treści komunikacji: Klasyczny TACACS+ zaciemnia treść pakietu między urządzeniem i serwerem, lecz nie jest to współczesne szyfrowanie zapewniające poufność i integralność. Transport TACACS+ przez TLS 1.3 zapewnia ochronę na poziomie TLS, w tym poufność i integralność komunikacji.
Transport TCP: TACACS+ używa TCP, więc komunikacja ma właściwości transportu połączeniowego i mechanizmy niezawodnego dostarczania. Klasyczny RADIUS korzysta z UDP, dlatego niezawodność i retransmisje są obsługiwane przez protokół lub wdrożenie RADIUS.

EAP i 802.1X: ramy kontroli dostępu

RADIUS zapewnia komunikację z serwerem, a urządzenie końcowe i przełącznik lub punkt dostępowy potrzebują zasad wymiany komunikatów uwierzytelniania. Te funkcje zapewniają Extensible Authentication Protocol (EAP) oraz IEEE 802.1X. EAP definiuje format i przebieg wymiany, a 802.1X wiąże decyzję z portem LAN lub WLAN.

EAP (Extensible Authentication Protocol)

nie jest metodą uwierzytelniania. Definiuje ramy wymiany, w których klient i serwer mogą negocjować jedną z metod EAP. Poszczególne metody zapewniają różne właściwości i wymagania bezpieczeństwa. Wybór wpływa na zarządzanie certyfikatami, ochronę poświadczeń i źródło tożsamości używane przez serwer.

Popularne metody EAP obejmują:

EAP-TLS (Transport Layer Security): Wymaga certyfikatu cyfrowego po stronie serwera i klienta, co umożliwia wzajemne uwierzytelnienie, gdy obie strony sprawdzają certyfikaty. Zarządzanie cyklem życia certyfikatów jest częścią wdrożenia.
PEAP (Protected EAP): Serwer przedstawia certyfikat klientowi i tworzy tunel TLS. Wewnątrz tunelu klient może użyć metody wewnętrznej, często nazwy użytkownika i hasła (MS-CHAPv2). Klient powinien sprawdzać certyfikat serwera.
EAP-TTLS (Tunneled TLS): Podobnie tworzy tunel TLS, lecz zapewnia większy wybór metod uwierzytelniania używanych wewnątrz. Metoda wewnętrzna jest negocjowana w tunelu, którego konfiguracja musi być zgodna po obu stronach.

IEEE 802.1X: kontrola dostępu na porcie

to standard, który przenosi uwierzytelnianie do fizycznego punktu połączenia. Definiuje on mechanizm Kontroli Dostępu do Sieci Opartej na Portach (PNAC), w którym port kontrolowany i port niekontrolowany mają różny zakres dopuszczonego ruchu.

Gdy urządzenie podłącza się do portu przełącznika z włączonym 802.1X, port początkowo blokuje ruch użytkownika i przepuszcza komunikaty EAPOL. Przełącznik jako uwierzytelniacz przekazuje wymianę EAP do serwera RADIUS. Po pomyślnym uwierzytelnieniu i otrzymaniu komunikatu 'Access-Accept' konfiguruje port i dopuszcza zwykły ruch, zgodnie z przypisanymi parametrami VLAN, ACL lub QoS. Przy odrzuceniu port pozostaje ograniczony albo przechodzi do sieci gościnnej lub kwarantanny, zależnie od polityki.

Przykładowy przebieg uwierzytelniania

Poniższy przebieg pokazuje użycie tych komponentów w środowisku korporacyjnym. Pracownik próbuje połączyć laptop z firmową siecią Wi-Fi. Po zakończeniu sesji urządzenie wysyła także dane rozliczeniowe.

Próba połączenia: Pracownik wybiera firmowy SSID sieci Wi-Fi. Laptop pracownika (suplikant) próbuje połączyć się z bezprzewodowym punktem dostępowym (uwierzytelniaczem).
Inicjacja 802.1X: Punkt dostępowy wykrywa nowe urządzenie. Sieć korzysta z WPA2/WPA3-Enterprise, więc AP inicjuje proces 802.1X, blokuje zwykły ruch i wysyła do laptopa komunikat EAP z żądaniem tożsamości.
Wymiana EAP/RADIUS: Laptop odpowiada nazwą użytkownika. AP umieszcza komunikat EAP w pakiecie RADIUS 'Access-Request' i wysyła go do centralnego serwera RADIUS. Serwer rozpoczyna PEAP i tworzy tunel TLS z laptopem, a komunikaty są przekazywane przez AP.
Weryfikacja poświadczeń: W tunelu TLS laptop przesyła hasło. Serwer RADIUS weryfikuje nazwę użytkownika i hasło w firmowym katalogu Active Directory.
Decyzja o autoryzacji: Po poprawnej weryfikacji serwer RADIUS wysyła do AP pakiet 'RADIUS Access-Accept' z atrybutami autoryzacji. Na podstawie członkostwa użytkownika w dziale marketingu serwer wskazuje 'VLAN 30' (Marketing) i listę 'Marketing-ACL'.
Dostęp przyznany: Punkt dostępowy stosuje VLAN i ACL do sesji bezprzewodowej oraz przekazuje wiadomość EAP-Success. Laptop otrzymuje poziom dostępu zgodny z rolą użytkownika.
Rozpoczęcie rozliczania: Punkt dostępowy wysyła do serwera pakiet 'RADIUS Accounting-Start', rejestrując początek sesji, adres urządzenia i przydzielone parametry. Po rozłączeniu wysyła pakiet 'Accounting-Stop', kończąc rejestrację AAA.