Uwierzytelnianie osobiste a firmowe

WPA2 i WPA3 oferują dwa tryby uwierzytelniania: Personal i Enterprise. Tryb Personal korzysta z jednego wspólnego hasła dla wszystkich, natomiast tryb Enterprise przydziela każdemu użytkownikowi własne dane uwierzytelniające, weryfikowane przez centralny serwer. W tej lekcji wyjaśniono różnice między tymi trybami, zasadę działania każdego z nich oraz sytuacje, w których warto wybrać jeden zamiast drugiego. Jest to temat, który regularnie pojawia się na egzaminie Network+.

Tryb Personal, nazywany także trybem PSK (Pre-Shared Key), korzysta z jednego hasła, które musi wprowadzić każda osoba łącząca się z siecią. Hasło domowej sieci Wi-Fi umieszczone na naklejce routera jest kluczem PSK. Taki tryb jest prosty w konfiguracji i doskonale sprawdza się w domach oraz małych biurach. Wszyscy współdzielą ten sam sekret, a jego znajomość wystarcza, aby dołączyć do sieci.

Współdzielony klucz jest jednocześnie słabością tego rozwiązania. Jeśli jedna osoba ujawni hasło, każdy może dołączyć do sieci, a aby odebrać dostęp, trzeba zmienić hasło wszystkim użytkownikom i ponownie skonfigurować każde urządzenie. Nie ma tożsamości przypisanej do konkretnego użytkownika, więc nie można ustalić, kto korzysta z sieci, ani wyłączyć dostępu pojedynczej osobie. W przypadku kilku zaufanych osób takie rozwiązanie jest wystarczające, ale w firmie się nie skaluje.

Tryb Enterprise korzysta z uwierzytelniania 802.1X, przydzielając każdemu użytkownikowi własną nazwę użytkownika i hasło (lub certyfikat), zamiast jednego wspólnego klucza. Gdy użytkownik się łączy, jego dane uwierzytelniające są sprawdzane na centralnym serwerze uwierzytelniania, zanim dostęp zostanie przyznany. Nie ma jednego hasła Wi-Fi, które można udostępnić lub ujawnić — każda osoba uwierzytelnia się indywidualnie, korzystając z własnej tożsamości.

Uwierzytelnianie w trybie Enterprise opiera się na serwerze RADIUS (Remote Authentication Dial-In User Service). Punkt dostępowy przekazuje dane uwierzytelniające każdego użytkownika do serwera RADIUS, który weryfikuje je w katalogu i informuje punkt dostępowy, czy zezwolić na połączenie, czy je odrzucić. RADIUS to centralny element umożliwiający logowanie poszczególnych użytkowników do sieci Wi-Fi za pośrednictwem wielu punktów dostępowych w organizacji.

W standardzie 802.1X współpracują ze sobą trzy role: supplicant (urządzenie użytkownika), authenticator (punkt dostępowy lub przełącznik) oraz authentication server (RADIUS). Supplicant wysyła dane uwierzytelniające, authenticator przekazuje je dalej, a serwer podejmuje decyzję. Komunikacja odbywa się za pomocą protokołu EAP (Extensible Authentication Protocol), elastycznego mechanizmu obsługującego hasła, certyfikaty i inne metody.

Tryb Enterprise sprawdza się najlepiej w organizacjach. Można wyłączyć jednego użytkownika bez wpływu na pozostałe osoby, sprawdzić, kto się łączył, egzekwować zasady przypisane do poszczególnych użytkowników i uniknąć jednego wspólnego sekretu, który łatwo może wyciec. Tryb ten integruje się z istniejącymi katalogami użytkowników, dzięki czemu pracownicy korzystają z tych samych danych logowania, których już używają. Taka indywidualna rozliczalność i kontrola są dokładnie tym, czego firmy potrzebują do bezpiecznego i łatwego zarządzania siecią Wi-Fi.

Ceną za tryb Enterprise jest większa złożoność. Wymaga on skonfigurowania i utrzymywania serwera RADIUS oraz zintegrowania go z katalogiem użytkowników, co oznacza znacznie więcej pracy niż wpisanie jednego klucza PSK. W domu lub bardzo małym biurze taki narzut zwykle się nie opłaca. Wybór jest kwestią równowagi: Personal zapewnia prostotę, a Enterprise — skalowalność, kontrolę i rozliczalność.

Trybu Personal (PSK) należy używać w domach i małych sieciach, w których współdzielenie hasła przez zaufanych użytkowników jest akceptowalne. Tryb Enterprise (802.1X z RADIUS) należy stosować w firmach, szkołach i wszędzie tam, gdzie potrzebne są indywidualne logowania, możliwość odebrania dostępu pojedynczemu użytkownikowi oraz rozliczalność. Oba tryby mogą działać z WPA2 lub WPA3, dlatego standard szyfrowania i tryb uwierzytelniania wybiera się niezależnie.

Uwierzytelnianie Enterprise może korzystać z różnych metod EAP. Metody PEAP i EAP-TTLS weryfikują użytkowników za pomocą nazwy użytkownika i hasła przesyłanych wewnątrz chronionego tunelu — jest to najczęściej stosowane podejście. EAP-TLS używa cyfrowych certyfikatów po stronie klienta i serwera, zapewniając najsilniejsze uwierzytelnianie bez haseł, choć wymaga zarządzania certyfikatami. Nie trzeba znać wszystkich szczegółów — wystarczy wiedzieć, że EAP to elastyczny mechanizm, a EAP-TLS oparty na certyfikatach jest najbezpieczniejszą opcją.

Wybór między trybem Personal a Enterprise wpływa na sposób zarządzania dostępem bezprzewodowym. Personal korzysta z jednego wspólnego klucza — jest prosty, ale nie zapewnia kontroli nad poszczególnymi użytkownikami. Enterprise używa 802.1X i serwera RADIUS do obsługi indywidualnych danych uwierzytelniających, rozliczalności oraz łatwego odbierania dostępu. Znajomość ról supplicant, authenticator i authentication server oraz terminu PSK jest podstawową wiedzą Network+ dotyczącą uwierzytelniania bezprzewodowego.

Sprawdź swoją wiedzę na temat uwierzytelniania.

WPA2/WPA3 oferują dwa tryby. Personal (PSK) korzysta z jednego wspólnego hasła — jest prosty w domu, ale nie zapewnia tożsamości poszczególnych użytkowników, a odebranie dostępu wszystkim jest kłopotliwe. Enterprise używa 802.1X z serwerem RADIUS, dzięki czemu każdy użytkownik ma własne dane uwierzytelniające, co umożliwia rozliczalność i łatwe odbieranie dostępu. Role w 802.1X to supplicant (urządzenie), authenticator (punkt dostępowy) i authentication server (RADIUS), komunikujące się za pomocą EAP. Tryb Personal należy wybrać ze względu na prostotę, a Enterprise — ze względu na skalowalność i kontrolę.