Корпоративные беспроводные сети: 802.1X и RADIUS

WPA2-Personal использует единую общую парольную фразу, известную всем авторизованным пользователям. Если сотрудник покидает организацию или парольная фраза становится известна постороннему, вся сеть оказывается скомпрометированной, и парольную фразу приходится менять для всех. 802.1X устраняет эту проблему, предоставляя каждому пользователю или устройству уникальные учётные данные, поэтому отзыв доступа у одного сотрудника не затрагивает остальных. Именно поэтому в корпоративных средах вместо PSK используют 802.1X — для детального управления доступом на уровне отдельных идентификаций.

В архитектуре 802.1X предусмотрены три роли. Supplicant — это клиентское устройство (ноутбук, телефон), которому нужен доступ к сети. Authenticator — это сетевое устройство (беспроводная AP или коммутатор), контролирующее доступ: оно пересылает учётные данные, но не проверяет их самостоятельно. Authentication Server (AS), обычно сервер RADIUS, проверяет учётные данные и сообщает Authenticator, разрешить или запретить доступ. Такая конструкция из трёх участников отделяет точку применения правил от логики проверки и позволяет централизованно управлять политиками.

RADIUS (служба удалённой аутентификации пользователей по коммутируемым линиям) использует порты UDP 1812 (аутентификация) и 1813 (учёт). Сообщения RADIUS защищаются общим секретом между Authenticator и сервером RADIUS — шифруется только атрибут User-Password, а остальные поля передаются в открытом виде. Более безопасная альтернатива — RADIUS через TLS (RadSec), шифрующий весь обмен RADIUS. К распространённым реализациям RADIUS относятся Microsoft NPS (сервер сетевых политик), Cisco ISE, FreeRADIUS и Aruba ClearPass.

EAP (расширяемый протокол аутентификации) определяет порядок обмена учётными данными в рамках 802.1X. Существует несколько методов EAP с различным уровнем безопасности. EAP-TLS использует взаимную аутентификацию по сертификатам (и клиент, и сервер предъявляют сертификаты) и является самым безопасным методом. PEAP (защищённый EAP) создаёт туннель TLS и передаёт внутри него имя пользователя и пароль — сертификат нужен только серверу. EAP-TTLS похож на PEAP, но более гибок. LEAP и EAP-MD5 устарели и уязвимы для автономного перебора по словарю.

EAP-TLS считается эталонным методом аутентификации в корпоративных беспроводных сетях, поскольку обеспечивает взаимную аутентификацию: и клиент, и сервер RADIUS подтверждают свою личность цифровыми сертификатами. Сертификат клиента предоставляется организационной PKI через MDM или регистрируется вручную. Даже если развёрнута поддельная AP, клиент отклонит сертификат сервера RADIUS, если он не подписан доверенным корпоративным CA. Это устраняет фишинг учётных данных через несанкционированную беспроводную инфраструктуру.

RADIUS может не только разрешать или запрещать доступ — он способен динамически назначать клиента в определённую VLAN на основе идентификатора пользователя, членства в группе или типа устройства. Это называется динамическим назначением VLAN. Например, сотрудник может быть помещён в VLAN 10 (корпоративная сеть), гость — в VLAN 20, а несоответствующее требованиям устройство — в VLAN 99 (карантин). Ответ RADIUS Access-Accept содержит атрибуты Tunnel-Type, Tunnel-Medium-Type и Tunnel-Private-Group-ID, задающие VLAN. Благодаря этому одна физическая SSID может обслуживать несколько зон безопасности.

Учёт RADIUS регистрирует события подключений: когда клиент подключился, сколько длилась сессия, какой объём данных был передан и какая VLAN была назначена. Эти записи бесценны при судебно-технических расследованиях: если происходит инцидент безопасности, журналы учёта позволяют определить, какой пользователь был подключён с какого IP в конкретный момент. Сообщения учёта передаются через UDP-порт 1813. Многие организации пересылают записи учёта RADIUS в свою SIEM для сопоставления с другими событиями безопасности, например аномальной эксфильтрацией данных или подключениями во внерабочее время.

NPS (сервер сетевых политик) Microsoft — это встроенная реализация RADIUS в Windows Server. NPS изначально интегрируется с Active Directory, позволяя формировать политики RADIUS на основе членства в группах AD, атрибутов пользователей и состояния устройств (через NAP/карантин RADIUS). NPS поддерживает EAP-TLS, PEAP-MS-CHAPv2 и PEAP-TLS. Для беспроводной сети NPS настраивается как сервер RADIUS, а беспроводные точки доступа добавляются как клиенты RADIUS с общим секретом. Политики запросов на подключение и сетевые политики определяют, кто получает доступ и какую VLAN ему назначить.

Безголовые устройства (принтеры, IP-камеры, датчики IoT) часто не могут выполнять аутентификацию EAP, поскольку у них отсутствует программный стек Supplicant или хранилище сертификатов. Для таких устройств организации могут использовать обход аутентификации по MAC (MAB), при котором MAC-адрес устройства передаётся в RADIUS как учётные данные. MAB слабее 802.1X, поскольку MAC-адреса можно подделать, но в сочетании с изоляцией VLAN и проверкой состояния через NAC этот подход позволяет работать с устройствами, не поддерживающими полноценный 802.1X. Всегда помещайте устройства IoT в отдельную VLAN с ограниченным доступом.

RADIUS — критически важный компонент инфраструктуры: если сервер RADIUS недоступен, беспроводные клиенты не смогут пройти аутентификацию. Рекомендуется развёртывать основные и резервные серверы RADIUS, настроенные на всех AP, и использовать порядок переключения между серверами, чтобы к резервному серверу обращались автоматически. Общий секрет между AP и серверами RADIUS должен быть стойким (не менее 22 случайных символов) и храниться в тайне. Используйте RADIUS через TLS (RadSec), когда трафик RADIUS проходит через недоверенные сети. Отслеживайте журналы RADIUS на предмет резкого роста ошибок аутентификации, который может указывать на попытки перебора или атаку с использованием ранее украденных учётных данных.

802.1X предназначен не только для беспроводных сетей — он столь же важен для портов проводных коммутаторов в средах, где имеет значение физическая защита портов. Без 802.1X на проводных портах любой, кто подключит кабель Ethernet к офисному порту, получит доступ к сети. При использовании 802.1X на коммутаторах порт блокируется до тех пор, пока устройство не пройдёт аутентификацию. Это не позволяет злоумышленникам подключать несанкционированные устройства к сетевым розеткам в конференц-залах, коридорах или зонах для посетителей. Гостевых пользователей можно направлять в гостевую VLAN, а корпоративные устройства помещать в соответствующий сегмент.

Проверьте своё понимание концепций CompTIA Security+ (SY0-701) из этого урока.

В этом уроке Вы узнали, что 802.1X использует модель из трёх участников (Supplicant, Authenticator, сервер RADIUS) для индивидуальной беспроводной аутентификации каждого пользователя без общей парольной фразы; EAP-TLS обеспечивает наиболее высокий уровень безопасности благодаря взаимной аутентификации по сертификатам, тогда как PEAP является практичной альтернативой, требующей сертификата только для сервера; а учёт RADIUS регистрирует данные сессий, бесценные при судебно-технических расследованиях. Далее мы рассмотрим угрозы для беспроводных сетей Bluetooth и IoT.