Firmowe sieci bezprzewodowe: 802.1X i RADIUS

WPA2-Personal używa jednego współdzielonego hasła znanego wszystkim upoważnionym użytkownikom. Jeśli pracownik opuści organizację lub hasło zostanie przekazane osobie nieupoważnionej, cała sieć zostaje narażona na atak, a hasło trzeba zmienić wszystkim użytkownikom. 802.1X eliminuje ten problem, zapewniając każdemu użytkownikowi lub urządzeniu unikatowe dane uwierzytelniające, dzięki czemu odebranie dostępu jednemu pracownikowi nie wpływa na pozostałych. To podstawowy powód, dla którego w środowiskach firmowych stosuje się 802.1X zamiast PSK — zapewnia on szczegółową kontrolę dostępu dla poszczególnych tożsamości.

Struktura 802.1X obejmuje trzy role. Suplikant to urządzenie klienckie (laptop, telefon), które chce uzyskać dostęp do sieci. Uwierzytelniacz to urządzenie sieciowe (bezprzewodowy punkt dostępowy lub przełącznik), które egzekwuje dostęp — przekazuje dane uwierzytelniające, ale samo ich nie weryfikuje. Serwer uwierzytelniania (AS), zazwyczaj serwer RADIUS, weryfikuje dane uwierzytelniające i informuje uwierzytelniacz, czy przyznać, czy odmówić dostępu. Taka architektura trójstronna oddziela punkt egzekwowania zasad od logiki walidacji, umożliwiając centralne zarządzanie zasadami.

RADIUS (Remote Authentication Dial-In User Service) używa portów UDP 1812 (uwierzytelnianie) i 1813 (rozliczanie). Wiadomości RADIUS są chronione za pomocą współdzielonego sekretu między uwierzytelniaczem a serwerem RADIUS — szyfrowany jest tylko atrybut User-Password, natomiast pozostałe pola są przesyłane jawnym tekstem. Bezpieczniejszą alternatywą jest RADIUS over TLS (RadSec), który szyfruje całą komunikację RADIUS. Do popularnych implementacji RADIUS należą Microsoft NPS (Network Policy Server), Cisco ISE, FreeRADIUS i Aruba ClearPass.

EAP (Extensible Authentication Protocol) definiuje sposób wymiany danych uwierzytelniających w ramach 802.1X. Istnieje wiele metod EAP o różnym poziomie bezpieczeństwa. EAP-TLS wykorzystuje wzajemne uwierzytelnianie certyfikatami (zarówno klient, jak i serwer przedstawiają certyfikaty) i jest najbezpieczniejszą metodą. PEAP (Protected EAP) tworzy tunel TLS i przesyła w nim nazwę użytkownika oraz hasło — certyfikat jest wymagany tylko po stronie serwera. EAP-TTLS działa podobnie do PEAP, ale zapewnia większą elastyczność. LEAP i EAP-MD5 są przestarzałe i podatne na ataki słownikowe offline.

EAP-TLS jest uznawany za złoty standard uwierzytelniania bezprzewodowego w środowiskach firmowych, ponieważ zapewnia wzajemne uwierzytelnianie — zarówno klient, jak i serwer RADIUS potwierdzają swoją tożsamość za pomocą certyfikatów cyfrowych. Certyfikat klienta jest wdrażany przez firmową infrastrukturę klucza publicznego (PKI) za pośrednictwem MDM lub podczas ręcznej rejestracji. Nawet jeśli zostanie wdrożony punkt dostępowy evil twin, klient odrzuci certyfikat serwera RADIUS, jeśli nie został on podpisany przez zaufany firmowy urząd certyfikacji (CA). Eliminuje to phishing danych uwierzytelniających za pośrednictwem nieautoryzowanej infrastruktury bezprzewodowej.

RADIUS może nie tylko przyznawać lub odmawiać dostępu — może również dynamicznie przypisywać klienta do określonej sieci VLAN na podstawie tożsamości użytkownika, członkostwa w grupie lub typu urządzenia. Nazywa się to dynamicznym przypisywaniem sieci VLAN. Przykładowo pracownik może zostać umieszczony w sieci VLAN 10 (firmowej), gość w sieci VLAN 20, a urządzenie niespełniające wymagań w sieci VLAN 99 (kwarantanny). Odpowiedź RADIUS Access-Accept zawiera atrybuty Tunnel-Type, Tunnel-Medium-Type i Tunnel-Private-Group-ID określające sieć VLAN. Umożliwia to obsługę wielu stref bezpieczeństwa za pomocą jednego fizycznego identyfikatora SSID.

Rozliczanie RADIUS rejestruje zdarzenia związane z połączeniami — moment połączenia klienta, czas trwania sesji, ilość przesłanych danych oraz przypisaną sieć VLAN. Dane te są niezwykle cenne podczas analiz kryminalistycznych: jeśli dojdzie do incydentu bezpieczeństwa, dzienniki rozliczeń mogą wskazać, który użytkownik był w danym momencie połączony z określonego adresu IP. Wiadomości rozliczeniowe są wysyłane przez port UDP 1813. Wiele organizacji przekazuje dane rozliczeń RADIUS do systemu SIEM, aby korelować je z innymi zdarzeniami bezpieczeństwa, takimi jak anomalna eksfiltracja danych lub połączenia poza godzinami pracy.

NPS (Network Policy Server) firmy Microsoft to wbudowana implementacja RADIUS w systemie Windows Server. NPS natywnie integruje się z Active Directory, umożliwiając tworzenie zasad RADIUS na podstawie członkostwa w grupach AD, atrybutów użytkowników i stanu urządzenia (za pośrednictwem NAP/kwarantanny RADIUS). NPS obsługuje EAP-TLS, PEAP-MS-CHAPv2 i PEAP-TLS. W przypadku sieci bezprzewodowych NPS konfiguruje się jako serwer RADIUS, a bezprzewodowe punkty dostępowe dodaje jako klientów RADIUS za pomocą współdzielonego sekretu. Zasady żądań połączeń i zasady sieciowe określają, kto uzyskuje dostęp i do jakiej sieci VLAN zostaje przypisany.

Urządzenia bezgłowicowe (drukarki, kamery IP, czujniki IoT) często nie mogą przeprowadzać uwierzytelniania EAP, ponieważ nie mają stosu oprogramowania suplikanta ani magazynu certyfikatów. W przypadku tych urządzeń organizacje mogą używać MAC Authentication Bypass (MAB), gdzie adres MAC urządzenia jest przesyłany do RADIUS jako dane uwierzytelniające. MAB jest słabsze od 802.1X, ponieważ adresy MAC można sfałszować, ale w połączeniu z izolacją VLAN i oceną stanu urządzenia przez NAC zapewnia praktyczne rozwiązanie dla urządzeń, które nie obsługują pełnego 802.1X. Urządzenia IoT należy zawsze umieszczać w oddzielnej, ograniczonej sieci VLAN.

RADIUS jest kluczowym elementem infrastruktury — jeśli serwer RADIUS jest niedostępny, żaden klient bezprzewodowy nie może się uwierzytelnić. Dobre praktyki obejmują wdrożenie podstawowych i zapasowych serwerów RADIUS skonfigurowanych we wszystkich punktach dostępowych oraz używanie kolejności przełączania awaryjnego serwerów, aby serwer zapasowy był kontaktowany automatycznie. Współdzielony sekret między punktami dostępowymi a serwerami RADIUS musi być silny (co najmniej 22 losowe znaki) i poufny. Należy używać RADIUS over TLS (RadSec), gdy ruch RADIUS przechodzi przez niezaufane sieci. Należy monitorować dzienniki RADIUS pod kątem nagłych wzrostów liczby nieudanych uwierzytelnień, które mogą wskazywać na próby brute force lub atak polegający na testowaniu wykradzionych danych uwierzytelniających.

802.1X nie ogranicza się do sieci bezprzewodowych — jest równie ważny w przypadku przewodowych portów przełączników w środowiskach, w których istotne jest bezpieczeństwo fizycznych portów. Bez 802.1X na portach przewodowych każda osoba, która podłączy kabel Ethernet do portu biurowego, uzyska dostęp do sieci. W przypadku przełączników z 802.1X port pozostaje zablokowany do czasu uwierzytelnienia urządzenia. Zapobiega to podłączaniu nieautoryzowanych urządzeń do gniazd sieciowych w salach konferencyjnych, na korytarzach lub w strefach dla gości. Użytkowników gościnnych można kierować do sieci VLAN dla gości, a urządzenia firmowe umieszczać w odpowiednim segmencie.

Sprawdź swoją wiedzę na temat zagadnień CompTIA Security+ (SY0-701) omówionych w tej lekcji.

W tej lekcji nauczyli się Państwo, że 802.1X wykorzystuje model trójstronny (suplikant, uwierzytelniacz, serwer RADIUS), aby zapewnić indywidualne uwierzytelnianie bezprzewodowe każdego użytkownika bez współdzielonego hasła; EAP-TLS zapewnia najwyższy poziom bezpieczeństwa dzięki wzajemnemu uwierzytelnianiu certyfikatami, podczas gdy PEAP jest praktyczną alternatywą wymagającą certyfikatu tylko po stronie serwera; a rozliczanie RADIUS rejestruje dane sesji, które są niezwykle cenne podczas analiz kryminalistycznych. W następnej części omówimy zagrożenia bezprzewodowe związane z Bluetooth i IoT.