Drahtlose Unternehmensnetzwerke: 802.1X und RADIUS

WPA2-Personal verwendet eine einzige gemeinsame Passphrase, die allen autorisierten Benutzern bekannt ist. Verlässt ein Mitarbeiter die Organisation oder gibt er die Passphrase an eine unbefugte Person weiter, ist das gesamte Netzwerk gefährdet und die Passphrase muss für alle geändert werden. 802.1X beseitigt dieses Problem, indem jedem Benutzer oder Gerät individuelle Anmeldedaten zugewiesen werden. Dadurch wirkt sich der Entzug des Zugriffs für einen Mitarbeiter nicht auf andere aus. Dies ist der grundlegende Grund, warum Unternehmensumgebungen 802.1X anstelle von PSK einsetzen: eine differenzierte Zugriffskontrolle pro Identität.

Das 802.1X-Framework umfasst drei Rollen. Der Supplicant ist das Clientgerät (Laptop, Smartphone), das Netzwerkzugriff erhalten möchte. Der Authenticator ist das Netzwerkgerät (drahtloser AP oder Switch), das den Zugriff durchsetzt – es leitet die Anmeldedaten weiter, validiert sie jedoch nicht selbst. Der Authentication Server (AS), typischerweise ein RADIUS-Server, validiert die Anmeldedaten und teilt dem Authenticator mit, ob der Zugriff gewährt oder verweigert werden soll. Durch dieses Design mit drei Beteiligten werden Durchsetzungspunkt und Validierungslogik getrennt, was eine zentrale Richtlinienverwaltung ermöglicht.

RADIUS (Remote Authentication Dial-In User Service) verwendet die UDP-Ports 1812 (Authentifizierung) und 1813 (Accounting). RADIUS-Nachrichten werden durch ein gemeinsames Secret zwischen dem Authenticator und dem RADIUS-Server geschützt – nur das Attribut User-Password wird verschlüsselt, andere Felder werden im Klartext übertragen. Eine sicherere Alternative ist RADIUS over TLS (RadSec), das den gesamten RADIUS-Austausch verschlüsselt. Zu den gängigen RADIUS-Implementierungen gehören Microsoft NPS (Network Policy Server), Cisco ISE, FreeRADIUS und Aruba ClearPass.

EAP (Extensible Authentication Protocol) definiert, wie Anmeldedaten innerhalb des 802.1X-Frameworks ausgetauscht werden. Es gibt mehrere EAP-Methoden mit unterschiedlichen Sicherheitsniveaus. EAP-TLS verwendet eine gegenseitige Zertifikatsauthentifizierung, bei der sowohl Client als auch Server Zertifikate vorlegen, und gilt als sicherste Methode. PEAP (Protected EAP) erstellt einen TLS-Tunnel und überträgt Benutzername und Passwort innerhalb dieses Tunnels – nur der Server benötigt ein Zertifikat. EAP-TTLS ähnelt PEAP, ist jedoch flexibler. LEAP und EAP-MD5 sind veraltet und anfällig für Offline-Wörterbuchangriffe.

EAP-TLS gilt als Goldstandard für die Authentifizierung in drahtlosen Unternehmensnetzwerken, da es eine gegenseitige Authentifizierung ermöglicht: Sowohl der Client als auch der RADIUS-Server weisen ihre Identität mit digitalen Zertifikaten nach. Das Clientzertifikat wird von der PKI der Organisation über MDM oder eine manuelle Registrierung bereitgestellt. Selbst wenn ein Evil-Twin-AP eingesetzt wird, weist der Client das Zertifikat des RADIUS-Servers zurück, wenn es nicht von der vertrauenswürdigen Unternehmens-CA signiert wurde. Dadurch wird Phishing von Anmeldedaten über nicht autorisierte drahtlose Infrastruktur verhindert.

RADIUS kann mehr, als den Zugriff zu gewähren oder zu verweigern: Clients können anhand der Benutzeridentität, der Gruppenzugehörigkeit oder des Gerätetyps dynamisch einem bestimmten VLAN zugewiesen werden. Dies wird als dynamische VLAN-Zuweisung bezeichnet. Beispielsweise kann ein Mitarbeiter VLAN 10 (Unternehmen), ein Gast VLAN 20 und ein nicht konformes Gerät VLAN 99 (Quarantäne) zugewiesen bekommen. Die RADIUS-Antwort Access-Accept enthält die Attribute Tunnel-Type, Tunnel-Medium-Type und Tunnel-Private-Group-ID, die das VLAN angeben. Dadurch kann eine physische SSID mehrere Sicherheitszonen bedienen.

RADIUS-Accounting zeichnet Verbindungsereignisse auf: wann ein Client eine Verbindung hergestellt hat, wie lange die Sitzung dauerte, wie viele Daten übertragen wurden und welches VLAN zugewiesen war. Diese Datensätze sind für forensische Untersuchungen äußerst wertvoll: Tritt ein Sicherheitsvorfall auf, können Accounting-Protokolle ermitteln, welcher Benutzer zu einem bestimmten Zeitpunkt von welcher IP-Adresse aus verbunden war. Accounting-Nachrichten werden über den UDP-Port 1813 gesendet. Viele Organisationen leiten RADIUS-Accounting-Datensätze an ihr SIEM weiter, um sie mit anderen Sicherheitsereignissen zu korrelieren, etwa anomaler Datenexfiltration oder Verbindungen außerhalb der Geschäftszeiten.

Der NPS (Network Policy Server) von Microsoft ist die integrierte RADIUS-Implementierung in Windows Server. NPS ist nativ in Active Directory integriert. Dadurch können RADIUS-Richtlinien auf der AD-Gruppenzugehörigkeit, Benutzerattributen und dem Gerätezustand basieren (über NAP/RADIUS-Quarantäne). NPS unterstützt EAP-TLS, PEAP-MS-CHAPv2 und PEAP-TLS. Für drahtlose Netzwerke wird NPS als RADIUS-Server konfiguriert, und Wireless Access Points werden mit einem gemeinsamen Secret als RADIUS-Clients hinzugefügt. Mit Connection Request Policies und Network Policies wird gesteuert, wer Zugriff erhält und welches VLAN zugewiesen wird.

Headless-Geräte (Drucker, IP-Kameras, IoT-Sensoren) können häufig keine EAP-Authentifizierung durchführen, weil ihnen ein Supplicant-Software-Stack oder ein Zertifikatsspeicher fehlt. Für diese Geräte können Organisationen MAC Authentication Bypass (MAB) einsetzen, wobei die MAC-Adresse des Geräts als Anmeldedaten an RADIUS übermittelt wird. MAB ist schwächer als 802.1X, da MAC-Adressen gefälscht werden können. In Kombination mit VLAN-Isolierung und einer NAC-Statusprüfung bietet MAB jedoch einen praktikablen Ansatz für Geräte, die 802.1X nicht vollständig unterstützen. Platzieren Sie IoT-Geräte immer in einem separaten, eingeschränkten VLAN.

RADIUS ist eine kritische Infrastrukturkomponente – wenn der RADIUS-Server nicht verfügbar ist, können sich keine drahtlosen Clients authentifizieren. Zu den Best Practices gehören der Einsatz von primären und sekundären RADIUS-Servern, die auf allen APs konfiguriert sind, sowie die Verwendung einer Failover-Reihenfolge für Server, sodass automatisch der sekundäre Server kontaktiert wird. Das gemeinsame Secret zwischen APs und RADIUS-Servern muss stark sein (mindestens 22 zufällige Zeichen) und vertraulich behandelt werden. Verwenden Sie RADIUS over TLS (RadSec), wenn RADIUS-Datenverkehr über nicht vertrauenswürdige Netzwerke übertragen wird. Überwachen Sie RADIUS-Protokolle auf Spitzen bei fehlgeschlagenen Authentifizierungen, die auf Brute-Force-Versuche oder einen Credential-Stuffing-Angriff hindeuten können.

802.1X ist nicht auf drahtlose Netzwerke beschränkt – in Umgebungen, in denen die Sicherheit physischer Ports wichtig ist, ist es an kabelgebundenen Switch-Ports ebenso bedeutend. Ohne 802.1X an kabelgebundenen Ports erhält jeder Netzwerkzugriff, der ein Ethernet-Kabel an einen Büroanschluss anschließt. Mit 802.1X auf Switches bleibt der Port blockiert, bis sich das Gerät authentifiziert hat. Dadurch wird verhindert, dass Angreifer nicht autorisierte Geräte an Netzwerkanschlüsse in Konferenzräumen, Fluren oder Besucherbereichen anschließen. Gastbenutzer können an ein Gast-VLAN weitergeleitet werden, während Unternehmensgeräte in ihrem vorgesehenen Segment platziert werden.

Testen Sie Ihr Verständnis der CompTIA-Security+-Konzepte (SY0-701) aus dieser Lektion.

In dieser Lektion haben Sie gelernt: 802.1X verwendet ein Modell mit drei Beteiligten (Supplicant, Authenticator, RADIUS-Server), um eine individuelle drahtlose Authentifizierung pro Benutzer ohne gemeinsame Passphrase bereitzustellen; EAP-TLS bietet durch gegenseitige Zertifikatsauthentifizierung die höchste Sicherheit, während PEAP eine praktische Alternative ist, die nur ein Serverzertifikat erfordert; und RADIUS-Accounting protokolliert Sitzungsdaten, die für forensische Untersuchungen äußerst wertvoll sind. Als Nächstes betrachten wir drahtlose Bedrohungen durch Bluetooth und IoT.