Nirkabel Perusahaan: 802.1X dan RADIUS

WPA2-Personal menggunakan satu frasa sandi bersama yang diketahui oleh semua User yang berwenang. Jika seorang karyawan meninggalkan organisasi atau frasa sandi dibagikan kepada orang yang tidak berwenang, seluruh jaringan akan disusupi dan frasa sandi tersebut harus diubah untuk semua orang. 802.1X mengatasi masalah ini dengan memberikan kredensial unik kepada setiap User atau perangkat, sehingga pencabutan Access untuk seorang karyawan tidak memengaruhi User lainnya. Inilah alasan mendasar lingkungan perusahaan menggunakan 802.1X alih-alih PSK — kontrol Access terperinci untuk setiap identitas.

Kerangka kerja 802.1X memiliki tiga peran. Supplicant adalah perangkat client (laptop, ponsel) yang menginginkan Access ke jaringan. Authenticator adalah perangkat jaringan (AP nirkabel atau switch) yang menerapkan Access — perangkat ini meneruskan kredensial, tetapi tidak memvalidasinya sendiri. Authentication Server (AS), biasanya berupa Server RADIUS, memvalidasi kredensial dan memberi tahu Authenticator apakah Access harus diberikan atau ditolak. Rancangan tiga pihak ini memisahkan titik penerapan dari logika validasi sehingga memungkinkan pengelolaan Policy terpusat.

RADIUS (Remote Authentication Dial-In User Service) menggunakan port UDP 1812 (Authentication) dan 1813 (Accounting). Pesan RADIUS dilindungi oleh rahasia bersama antara Authenticator dan Server RADIUS — hanya atribut User-Password yang dienkripsi; bidang lainnya dikirim dalam bentuk Cleartext. Alternatif yang lebih aman adalah RADIUS over TLS (RadSec), yang mengenkripsi seluruh pertukaran RADIUS. Implementasi RADIUS yang umum mencakup Microsoft NPS (Network Policy Server), Cisco ISE, FreeRADIUS, dan Aruba ClearPass.

EAP (Extensible Authentication Protocol) mendefinisikan cara pertukaran kredensial dalam kerangka kerja 802.1X. Tersedia berbagai metode EAP dengan tingkat keamanan yang berbeda. EAP-TLS menggunakan autentikasi sertifikat Mutual (client dan Server sama-sama menyajikan sertifikat) dan merupakan metode paling aman. PEAP (Protected EAP) membuat Tunnel TLS dan mengirimkan nama User serta Password di dalamnya — hanya Server yang memerlukan sertifikat. EAP-TTLS serupa dengan PEAP tetapi lebih fleksibel. LEAP dan EAP-MD5 sudah Deprecated dan rentan terhadap serangan kamus secara luring.

EAP-TLS dianggap sebagai standar terbaik untuk autentikasi nirkabel perusahaan karena menyediakan autentikasi Mutual — client dan Server RADIUS sama-sama membuktikan identitasnya dengan sertifikat digital. Sertifikat client disediakan oleh PKI organisasi melalui MDM atau pendaftaran manual. Meskipun AP evil twin digunakan, client akan menolak sertifikat Server RADIUS jika sertifikat tersebut tidak ditandatangani oleh CA perusahaan yang tepercaya. Hal ini menghilangkan phishing kredensial melalui infrastruktur nirkabel palsu.

RADIUS dapat melakukan lebih dari sekadar memberikan atau menolak Access — RADIUS dapat menetapkan client secara dinamis ke VLAN tertentu berdasarkan identitas User, keanggotaan Group, atau jenis perangkat. Hal ini disebut penetapan VLAN dinamis. Sebagai contoh, seorang karyawan dapat ditempatkan di VLAN 10 (perusahaan), tamu di VLAN 20, dan perangkat yang tidak mematuhi ketentuan di VLAN 99 (karantina). Respons RADIUS Access-Accept mencakup atribut Tunnel-Type, Tunnel-Medium-Type, dan Tunnel-Private-Group-ID yang menentukan VLAN. Dengan demikian, satu SSID fisik dapat melayani beberapa zona keamanan.

RADIUS Accounting mencatat peristiwa Connection — kapan client terhubung, berapa lama Session berlangsung, berapa banyak data yang ditransfer, dan VLAN mana yang ditetapkan. Catatan ini sangat berharga untuk penyelidikan forensik: jika terjadi insiden keamanan, log Accounting dapat mengidentifikasi User yang terhubung dari IP mana pada waktu tertentu. Pesan Accounting dikirim melalui port UDP 1813. Banyak organisasi meneruskan catatan Accounting RADIUS ke SIEM untuk dikorelasikan dengan peristiwa keamanan lain, seperti eksfiltrasi data yang tidak wajar atau Connection di luar jam kerja.

NPS (Network Policy Server) milik Microsoft adalah implementasi RADIUS bawaan Windows Server. NPS terintegrasi secara native dengan Active Directory, sehingga Policy RADIUS dapat didasarkan pada keanggotaan Group AD, atribut User, dan kesehatan perangkat (melalui karantina NAP/RADIUS). NPS mendukung EAP-TLS, PEAP-MS-CHAPv2, dan PEAP-TLS. Untuk jaringan nirkabel, NPS dikonfigurasi sebagai Server RADIUS dan Wireless Access Points ditambahkan sebagai clients RADIUS dengan rahasia bersama. Connection Request Policies dan Network Policies mengontrol siapa yang memperoleh Access dan VLAN yang diterimanya.

Perangkat tanpa antarmuka (printer, kamera IP, sensor IoT) sering kali tidak dapat melakukan autentikasi EAP karena tidak memiliki tumpukan perangkat lunak Supplicant atau penyimpanan sertifikat. Untuk perangkat ini, organisasi dapat menggunakan MAC Authentication Bypass (MAB), yaitu alamat MAC perangkat dikirimkan ke RADIUS sebagai kredensial. MAB lebih lemah daripada 802.1X karena alamat MAC dapat dipalsukan, tetapi jika digabungkan dengan isolasi VLAN dan penilaian postur NAC, pendekatan ini dapat digunakan untuk perangkat yang tidak mendukung 802.1X secara lengkap. Selalu tempatkan perangkat IoT pada VLAN terpisah yang dibatasi.

RADIUS adalah komponen infrastruktur yang kritis — jika Server RADIUS tidak tersedia, tidak ada client nirkabel yang dapat melakukan autentikasi. Praktik terbaik mencakup penerapan Server RADIUS primer dan sekunder yang dikonfigurasi pada semua AP, serta penggunaan urutan failover Server agar Server sekunder dihubungi secara otomatis. Rahasia bersama antara AP dan Server RADIUS harus kuat (setidaknya 22 karakter acak) dan dirahasiakan. Gunakan RADIUS over TLS (RadSec) ketika lalu lintas RADIUS melewati jaringan yang tidak tepercaya. Pantau log RADIUS untuk lonjakan kegagalan autentikasi yang mungkin menunjukkan upaya brute-force atau serangan credential stuffing.

802.1X tidak terbatas pada jaringan nirkabel — teknologi ini sama pentingnya pada port switch berkabel di lingkungan yang memerlukan keamanan port fisik. Tanpa 802.1X pada port berkabel, siapa pun yang mencolokkan kabel Ethernet ke port kantor akan memperoleh Access ke jaringan. Dengan 802.1X pada switch, port diblokir sampai perangkat melakukan autentikasi. Hal ini mencegah penyerang menghubungkan perangkat tidak sah ke titik jaringan di ruang Conference, lorong, atau area pengunjung. User tamu dapat diarahkan ke VLAN tamu, sedangkan perangkat perusahaan ditempatkan di segmen yang sesuai.

Dalam lesson ini Anda mempelajari bahwa 802.1X menggunakan model tiga pihak (Supplicant, Authenticator, Server RADIUS) untuk menyediakan autentikasi nirkabel individual bagi setiap User tanpa frasa sandi bersama, EAP-TLS memberikan keamanan terkuat melalui autentikasi sertifikat Mutual, sedangkan PEAP merupakan alternatif praktis yang hanya memerlukan sertifikat Server, dan RADIUS Accounting mencatat data Session yang sangat berharga untuk penyelidikan forensik. Selanjutnya kita akan membahas ancaman nirkabel Bluetooth dan IoT.