Persoonlijke tegenover zakelijke authenticatie

De gedeelde sleutel is ook de zwakke plek. Als iemand het wachtwoord lekt, kan iedereen verbinding maken. Om de toegang in te trekken, moet je het wachtwoord voor iedereen wijzigen en elk apparaat opnieuw configureren. Er is geen identiteit per gebruiker, dus je kunt niet zien wie wie is en je kunt niet één gebruiker uitschakelen. Voor een handvol vertrouwde personen is dit prima; voor een bedrijf schaalt het niet.

De modus Enterprise gebruikt 802.1X-authenticatie. Iedere gebruiker krijgt een eigen gebruikersnaam en wachtwoord (of certificaat), in plaats van één gedeelde sleutel. Wanneer een gebruiker verbinding maakt, worden de inloggegevens gecontroleerd door een centrale authenticatieserver voordat toegang wordt verleend. Er is geen enkel wifiwachtwoord dat gedeeld of gelekt kan worden; iedereen authenticeert zich afzonderlijk met een eigen identiteit.

Enterprise-authenticatie is afhankelijk van een RADIUS-server (Remote Authentication Dial-In User Service). Het accesspoint stuurt de inloggegevens van iedere gebruiker door naar de RADIUS-server. Die controleert ze aan de hand van een directory en geeft de AP opdracht de verbinding toe te staan of te weigeren. RADIUS is het centrale brein dat wifi-inloggen per gebruiker mogelijk maakt via meerdere accesspoints binnen een organisatie.

Bij 802.1X werken drie rollen samen: de supplicant (het apparaat van de gebruiker), de authenticator (het accesspoint of de switch) en de authentication server (RADIUS). De supplicant stuurt de inloggegevens, de authenticator geeft ze door en de server neemt de beslissing. Ze communiceren via EAP (Extensible Authentication Protocol), een flexibel raamwerk dat wachtwoorden, certificaten en andere methoden ondersteunt.

De Enterprise-modus is de beste keuze voor organisaties. Je kunt één gebruiker uitschakelen zonder iemand anders te beïnvloeden, zien wie verbinding heeft gemaakt, beleid per gebruiker afdwingen en een gedeeld geheim vermijden dat gemakkelijk kan uitlekken. De modus kan worden geïntegreerd met bestaande gebruikersdirectories, zodat medewerkers dezelfde inloggegevens gebruiken als altijd. Deze individuele verantwoordelijkheid en controle zijn precies wat bedrijven nodig hebben voor veilige, beheersbare wifi.

De prijs van de Enterprise-modus is complexiteit. Je moet een RADIUS-server instellen en onderhouden en deze integreren met een gebruikersdirectory. Dat is veel meer werk dan één PSK invoeren. Voor een woning of piepklein kantoor weegt deze extra inspanning niet op tegen de voordelen. De keuze is een afweging: Personal voor eenvoud, Enterprise voor schaalbaarheid, controle en verantwoordelijkheid.

Gebruik Personal (PSK) voor woningen en kleine netwerken waar een gedeeld wachtwoord onder vertrouwde gebruikers acceptabel is. Gebruik Enterprise (802.1X met RADIUS) voor bedrijven, scholen en alle situaties waarin je inloggen per gebruiker, individuele intrekking van toegang en verantwoordelijkheid nodig hebt. Beide modi kunnen met WPA2 of WPA3 worden gebruikt, dus je kiest de versleutelingsstandaard en de authenticatiemodus onafhankelijk van elkaar.

Enterprise-authenticatie kan verschillende EAP-methoden gebruiken. Met PEAP en EAP-TTLS worden gebruikers geverifieerd met een gebruikersnaam en wachtwoord binnen een beveiligde tunnel. Dit is de meest gebruikelijke aanpak. EAP-TLS gebruikt digitale certificaten op zowel de client als de server voor de sterkste authenticatie zonder wachtwoord, maar daarvoor moet je certificaten beheren. Je hoeft niet elk detail te kennen; weet vooral dat EAP het flexibele raamwerk is en dat EAP-TLS op basis van certificaten de veiligste optie is.

De keuze tussen Personal en Enterprise bepaalt hoe je draadloze toegang beheert. Personal gebruikt één gedeelde sleutel: eenvoudig, maar zonder controle per gebruiker. Enterprise gebruikt 802.1X en een RADIUS-server voor individuele inloggegevens, verantwoordelijkheid en het eenvoudig intrekken van toegang. Kennis van de rollen supplicant, authenticator en authenticatieserver, en van de term PSK, vormt essentiële Network+-kennis over draadloze authenticatie.

WPA2/WPA3 bieden twee modi. Personal (PSK) gebruikt één gedeeld wachtwoord: eenvoudig voor woningen, maar zonder identiteit per gebruiker en met een omslachtige intrekking van toegang. Enterprise gebruikt 802.1X met een RADIUS-server, zodat iedere gebruiker eigen inloggegevens heeft en verantwoordelijkheid en eenvoudige intrekking van toegang mogelijk zijn. De rollen binnen 802.1X zijn supplicant (apparaat), authenticator (AP) en authentication server (RADIUS), die via EAP communiceren. Kies Personal voor eenvoud en Enterprise voor schaalbaarheid en controle.