Wireless aziendale: 802.1X e RADIUS

WPA2-Personal utilizza un'unica passphrase condivisa, nota a tutti gli utenti autorizzati. Se un dipendente lascia l'organizzazione o se la passphrase viene condivisa con una persona non autorizzata, l'intera rete è compromessa e la passphrase deve essere cambiata per tutti. 802.1X elimina questo problema assegnando credenziali univoche a ogni utente o dispositivo, così la revoca dell'accesso a un dipendente non influisce sugli altri. Questo è il motivo fondamentale per cui gli ambienti aziendali utilizzano 802.1X invece delle PSK: un controllo degli accessi granulare e basato sulla singola identità.

Il framework 802.1X prevede tre ruoli. Il supplicant è il dispositivo client (laptop, telefono) che richiede l'accesso alla rete. L'authenticator è il dispositivo di rete (AP wireless o switch) che applica il controllo degli accessi: inoltra le credenziali, ma non le convalida autonomamente. L'Authentication Server (AS), in genere un server RADIUS, convalida le credenziali e comunica all'authenticator se concedere o negare l'accesso. Questa architettura a tre parti separa il punto di applicazione dalla logica di convalida, consentendo una gestione centralizzata delle policy.

RADIUS (Remote Authentication Dial-In User Service) utilizza le porte UDP 1812 (autenticazione) e 1813 (accounting). I messaggi RADIUS sono protetti da un segreto condiviso tra l'authenticator e il server RADIUS: solo l'attributo User-Password è cifrato; gli altri campi vengono trasmessi in chiaro. Un'alternativa più sicura è RADIUS over TLS (RadSec), che cifra l'intero scambio RADIUS. Tra le implementazioni RADIUS più comuni figurano Microsoft NPS (Network Policy Server), Cisco ISE, FreeRADIUS e Aruba ClearPass.

EAP (Extensible Authentication Protocol) definisce le modalità di scambio delle credenziali all'interno del framework 802.1X. Esistono diversi metodi EAP, con livelli di sicurezza differenti. EAP-TLS utilizza l'autenticazione reciproca tramite certificati (sia il client sia il server presentano un certificato) ed è il metodo più sicuro. PEAP (Protected EAP) crea un tunnel TLS e invia al suo interno nome utente e password: solo il server necessita di un certificato. EAP-TTLS è simile a PEAP, ma più flessibile. LEAP ed EAP-MD5 sono deprecati e vulnerabili agli attacchi a dizionario offline.

EAP-TLS è considerato lo standard di riferimento per l'autenticazione wireless aziendale, perché fornisce autenticazione reciproca: sia il client sia il server RADIUS dimostrano la propria identità tramite certificati digitali. Il certificato del client viene distribuito dalla PKI dell'organizzazione tramite MDM o registrazione manuale. Anche se viene implementato un AP evil twin, il client rifiuterà il certificato del server RADIUS se non è firmato dalla CA aziendale attendibile. In questo modo si elimina il phishing delle credenziali tramite un'infrastruttura wireless non autorizzata.

RADIUS può fare più che concedere o negare l'accesso: può assegnare dinamicamente il client a una VLAN specifica in base all'identità dell'utente, all'appartenenza a un gruppo o al tipo di dispositivo. Questa funzione è chiamata assegnazione dinamica delle VLAN. Ad esempio, un dipendente può essere inserito nella VLAN 10 (aziendale), un ospite nella VLAN 20 e un dispositivo non conforme nella VLAN 99 (quarantena). La risposta RADIUS Access-Accept include gli attributi Tunnel-Type, Tunnel-Medium-Type e Tunnel-Private-Group-ID, che specificano la VLAN. Ciò consente a un unico SSID fisico di servire più zone di sicurezza.

RADIUS Accounting registra gli eventi di connessione: quando un client si è connesso, la durata della sessione, la quantità di dati trasferiti e la VLAN assegnata. Questi record sono preziosi per le indagini forensi: se si verifica un incidente di sicurezza, i log di accounting possono identificare quale utente era connesso da quale IP in un determinato momento. I messaggi di accounting vengono inviati sulla porta UDP 1813. Molte organizzazioni inoltrano i record di accounting RADIUS al proprio SIEM per correlarli con altri eventi di sicurezza, come l'esfiltrazione anomala di dati o le connessioni al di fuori dell'orario lavorativo.

NPS (Network Policy Server) di Microsoft è l'implementazione RADIUS integrata in Windows Server. NPS si integra nativamente con Active Directory, consentendo di basare le policy RADIUS sull'appartenenza ai gruppi AD, sugli attributi degli utenti e sull'integrità dei dispositivi (tramite NAP/quarantena RADIUS). NPS supporta EAP-TLS, PEAP-MS-CHAPv2 e PEAP-TLS. Per le reti wireless, NPS viene configurato come server RADIUS e gli Access Point wireless vengono aggiunti come client RADIUS con un segreto condiviso. Le Connection Request Policies e le Network Policies controllano chi può accedere e quale VLAN riceve.

I dispositivi headless (stampanti, telecamere IP, sensori IoT) spesso non possono eseguire l'autenticazione EAP perché non dispongono di uno stack software supplicant o di un archivio dei certificati. Per questi dispositivi, le organizzazioni possono utilizzare il MAC Authentication Bypass (MAB), in cui l'indirizzo MAC del dispositivo viene inviato a RADIUS come credenziale. MAB è meno sicuro di 802.1X, perché gli indirizzi MAC possono essere falsificati, ma, se combinato con l'isolamento tramite VLAN e la valutazione della postura da parte del NAC, offre un approccio praticabile per i dispositivi che non supportano 802.1X completo. Collochi sempre i dispositivi IoT in una VLAN separata e soggetta a restrizioni.

RADIUS è un componente di infrastruttura critico: se il server RADIUS non è disponibile, nessun client wireless può autenticarsi. Le best practice includono la distribuzione di server RADIUS primario e secondario configurati su tutti gli AP, utilizzando un ordine di failover dei server affinché il secondario venga contattato automaticamente. Il segreto condiviso tra AP e server RADIUS deve essere robusto (almeno 22 caratteri casuali) e mantenuto riservato. Utilizzi RADIUS over TLS (RadSec) quando il traffico RADIUS attraversa reti non attendibili. Monitori i log RADIUS per individuare picchi di errori di autenticazione, che possono indicare tentativi brute-force o un attacco di credential stuffing.

802.1X non è limitato alle reti wireless: è altrettanto importante sulle porte degli switch cablati negli ambienti in cui la sicurezza delle porte fisiche è fondamentale. Senza 802.1X sulle porte cablate, chiunque colleghi un cavo Ethernet a una porta dell'ufficio ottiene l'accesso alla rete. Con 802.1X sugli switch, la porta rimane bloccata finché il dispositivo non esegue l'autenticazione. In questo modo si impedisce agli attaccanti di collegare dispositivi non autorizzati alle prese di rete nelle sale conferenze, nei corridoi o nelle aree per i visitatori. Gli utenti ospiti possono essere indirizzati a una VLAN guest, mentre i dispositivi aziendali vengono collocati nel segmento appropriato.

Verifichi la Sua comprensione dei concetti di CompTIA Security+ (SY0-701) trattati in questa lezione.

In questa lezione ha imparato che 802.1X utilizza un modello a tre parti (supplicant, authenticator, server RADIUS) per fornire un'autenticazione wireless individuale per utente senza una passphrase condivisa, che EAP-TLS offre il livello di sicurezza più elevato grazie all'autenticazione reciproca tramite certificati, mentre PEAP è un'alternativa pratica che richiede solo un certificato del server, e che il RADIUS accounting registra i dati delle sessioni, preziosi per le indagini forensi. Prossimamente esamineremo le minacce wireless legate a Bluetooth e IoT.