Trådløse bedriftsnettverk: 802.1X og RADIUS

WPA2-Personal bruker én felles passfrase som er kjent for alle autoriserte brukere. Hvis en ansatt slutter i organisasjonen, eller passfrasen deles med en uautorisert person, er hele nettverket kompromittert, og passfrasen må endres for alle. 802.1X eliminerer dette problemet ved å gi hver bruker eller enhet unik legitimasjon, slik at tilbakekalling av tilgang for én ansatt ikke påvirker andre. Dette er den grunnleggende grunnen til at bedriftsmiljøer bruker 802.1X fremfor PSK – detaljert tilgangskontroll per identitet.

802.1X-rammeverket har tre roller. Supplicant er klientenheten (bærbar PC eller telefon) som ønsker nettverkstilgang. Authenticator er nettverksenheten (trådløst AP eller svitsj) som håndhever tilgangen – den videresender legitimasjonen, men validerer den ikke selv. Authentication Server (AS), vanligvis en RADIUS-server, validerer legitimasjonen og forteller authenticator om tilgangen skal innvilges eller avslås. Denne trepartsmodellen skiller håndhevingspunktet fra valideringslogikken og muliggjør sentralisert policyadministrasjon.

RADIUS (Remote Authentication Dial-In User Service) bruker UDP-portene 1812 (autentisering) og 1813 (regnskapsføring). RADIUS-meldinger beskyttes av en delt hemmelighet mellom authenticator og RADIUS-serveren – bare User-Password-attributtet er kryptert; andre felt sendes i klartekst. Et sikrere alternativ er RADIUS over TLS (RadSec), som krypterer hele RADIUS-utvekslingen. Vanlige RADIUS-implementasjoner omfatter Microsoft NPS (Network Policy Server), Cisco ISE, FreeRADIUS og Aruba ClearPass.

EAP (Extensible Authentication Protocol) definerer hvordan legitimasjon utveksles innenfor 802.1X-rammeverket. Det finnes flere EAP-metoder med ulikt sikkerhetsnivå. EAP-TLS bruker gjensidig sertifikatautentisering (både klienten og serveren presenterer sertifikater) og er den sikreste metoden. PEAP (Protected EAP) oppretter en TLS-tunnel og sender brukernavn og passord gjennom den – bare serveren trenger et sertifikat. EAP-TTLS ligner på PEAP, men er mer fleksibel. LEAP og EAP-MD5 er foreldet og sårbart for offline-ordbokangrep.

EAP-TLS regnes som gullstandarden for trådløs bedriftsautentisering fordi metoden gir gjensidig autentisering – både klienten og RADIUS-serveren bekrefter identiteten sin med digitale sertifikater. Klientens sertifikat klargjøres av organisasjonens PKI gjennom MDM eller manuell registrering. Selv om et evil twin-AP tas i bruk, vil klienten avvise RADIUS-serverens sertifikat hvis det ikke er signert av den betrodde bedrifts-CA-en. Dette eliminerer phishing av legitimasjon via uautorisert trådløs infrastruktur.

RADIUS kan gjøre mer enn å innvilge eller avslå tilgang – protokollen kan dynamisk tilordne klienten til et bestemt VLAN basert på brukeridentitet, gruppemedlemskap eller enhetstype. Dette kalles dynamisk VLAN-tilordning. En ansatt kan for eksempel plasseres i VLAN 10 (bedrift), en gjest i VLAN 20 og en enhet som ikke oppfyller kravene, i VLAN 99 (karantene). RADIUS-svaret Access-Accept inneholder attributtene Tunnel-Type, Tunnel-Medium-Type og Tunnel-Private-Group-ID, som angir VLAN-et. Dette gjør det mulig for én fysisk SSID å betjene flere sikkerhetssoner.

RADIUS-regnskapsføring registrerer tilkoblingshendelser – når en klient koblet seg til, hvor lenge økten varte, hvor mye data som ble overført, og hvilket VLAN som ble tildelt. Disse oppføringene er svært verdifulle i kriminaltekniske undersøkelser: Hvis det oppstår en sikkerhetshendelse, kan regnskapsloggene identifisere hvilken bruker som var tilkoblet fra hvilken IP-adresse på et gitt tidspunkt. Regnskapsmeldinger sendes på UDP-port 1813. Mange organisasjoner videresender RADIUS-regnskapsoppføringer til SIEM-systemet sitt for korrelasjon med andre sikkerhetshendelser, for eksempel unormal dataeksfiltrering eller tilkoblinger utenom arbeidstid.

Microsofts NPS (Network Policy Server) er den innebygde RADIUS-implementasjonen i Windows Server. NPS integreres naturlig med Active Directory, slik at RADIUS-policyer kan baseres på AD-gruppemedlemskap, brukerattributter og enhetstilstand (via NAP/RADIUS-karantene). NPS støtter EAP-TLS, PEAP-MS-CHAPv2 og PEAP-TLS. For trådløse nettverk konfigureres NPS som RADIUS-server, og Wireless Access Points legges til som RADIUS-klienter med en delt hemmelighet. Connection Request Policies og Network Policies styrer hvem som får tilgang, og hvilket VLAN de tildeles.

Hodeløse enheter (skrivere, IP-kameraer og IoT-sensorer) kan ofte ikke utføre EAP-autentisering fordi de mangler en supplicant-programvarestakk eller et sertifikatlager. For slike enheter kan organisasjoner bruke MAC Authentication Bypass (MAB), der enhetens MAC-adresse sendes til RADIUS som legitimasjon. MAB er svakere enn 802.1X fordi MAC-adresser kan forfalskes, men kombinert med VLAN-isolasjon og NAC-vurdering av enhetens sikkerhetstilstand gir det en brukbar løsning for enheter som ikke støtter full 802.1X. Plasser alltid IoT-enheter i et separat, begrenset VLAN.

RADIUS er en kritisk infrastrukturkomponent – hvis RADIUS-serveren ikke er tilgjengelig, kan ingen trådløse klienter autentisere seg. Anbefalt praksis omfatter å distribuere primære og sekundære RADIUS-servere som er konfigurert på alle AP-er, og bruke serverfailover-rekkefølge slik at den sekundære serveren kontaktes automatisk. Den delte hemmeligheten mellom AP-er og RADIUS-servere må være sterk (minst 22 tilfeldige tegn) og holdes konfidensiell. Bruk RADIUS over TLS (RadSec) når RADIUS-trafikk går over nettverk som ikke er betrodde. Overvåk RADIUS-loggene for plutselige økninger i autentiseringsfeil, som kan indikere brute-force-forsøk eller et credential stuffing-angrep.

802.1X er ikke begrenset til trådløse nettverk – teknologien er like viktig på kablede svitsjporter i miljøer der fysisk port­sikkerhet er viktig. Uten 802.1X på kablede porter får alle som kobler en Ethernet-kabel til en kontorport, nettverkstilgang. Med 802.1X på svitsjene blokkeres porten til enheten har autentisert seg. Dette forhindrer angripere i å koble uautoriserte enheter til nettverksuttak i konferanserom, korridorer eller besøksområder. Gjester kan dirigeres til et gjeste-VLAN, mens bedriftens enheter plasseres i riktig segment.

I denne leksjonen lærte De at 802.1X bruker en trepartsmodell (supplicant, authenticator og RADIUS-server) for å tilby individuell trådløs autentisering per bruker uten en felles passfrase, at EAP-TLS gir den sterkeste sikkerheten gjennom gjensidig sertifikatautentisering, mens PEAP er et praktisk alternativ som bare krever et serversertifikat, og at RADIUS-regnskapsføring logger øktdata som er svært verdifulle i kriminaltekniske undersøkelser. Neste tema er trusler mot Bluetooth og trådløs IoT.