RADIUS. Remote Authentication Dial In User Service. Ausarbeitung zur Vorlesung. 'Sicherheit in Datennetzen'

Transkript

1 RADIUS Remote Authentication Dial In User Service Ausarbeitung zur Vorlesung 'Sicherheit in Datennetzen' Fachhochschule Aachen Fachbereich Elektrotechnik und Informationstechnik Dezember 2003

2 Inhaltsverzeichnis 1. Überblick NAS RADIUS Client-Server Model Geschichte RFC RADIUS im Netzwerk Agent, Pull und Push Sequenzen Kommunikation zwischen RADIUS und NAS Paketformat Pakettypen Attribute und Werte (AVP) Herstellerspezifische Attribute und Werte (VSA) Grundlegende Arbeitsweisen Sicherheit im Netzwerk Einschränkungen von RADIUS Beispiel einer RADIUS-Konfiguration Literaturverzeichnis Abkürzungen Sicherheit in Datennetzen, FH Aachen - FB5 2

3 1. Überblick In einer idealen Welt wäre der Zugang über Authentifizierung nicht nötig, da jeder gewissenhaft nur die Rechte nutzen würde, die ihm zustehen. Da beispielsweise im Internet verschiedene Dienste weltweit verfügbar sein sollen, muss man sich vor Benutzern schützen, die nicht dem Bild der idealen Welt entsprechen. Deshalb ist es nötig, den Zugang zu diesen Diensten nur autorisierten Personen zu erlauben NAS Network Access Server (NAS) sind Server, die Dienste in einem Netzwerk z.b. dem Internet zur Verfügung stellen. Der NAS stellt im Client-Server Model den Client des RADIUS Servers dar RADIUS Ab einer gewissen Anzahl von Network Access Servern (NAS) sind zentrale Administrationstools gefragt. Mit RADIUS wurde ein Protokoll definiert, welches die Kommunikation zwischen NAS und Authentifizierungs-Server regelt. RADIUS ist die Abkürzung für Remote Authentication Dial In User Service. Dieses Protokoll sichert den entfernten Zugriff zum Netzwerk und schützt Dienste vor unautorisiertem Zugriff. RADIUS ist ein vollkommen offenes Protokoll. Der Quellkode kann so abgeändert werden, dass es mit jedem verfügbaren Sicherheitssystem betrieben werden kann Client-Server Model Der NAS schickt dem RADIUS Server die Benutzerinformationen und richtet sich auf die vom RADIUS erhaltenen Informationen ein. Der RADIUS Server authentifiziert den Benutzer und sendet dem Client alle notwendigen Zugangsinformationen zu dem jeweiligen Benutzer. Der RADIUS Server kann auch andere Authentifizierungs-Server befragen (UNIX, Windows, lokale Datenbank, ). 3 Sicherheit in Datennetzen, FH Aachen - FB5

4 2. Geschichte RADIUS wurde entwickelt als die Zahl der Dial-up Zugänge enorm anstieg und man mit den bis dahin benutzten unhandlichen Scripts, die immensen Overhead erzeugten, nicht mehr auskam besonders in Bezug auf Flexibilität und Erweiterbarkeit. Merit Network waren es, die einen Vorschlag zu einer flexiblen und erweiterbaren Lösung forderten. Die herstellerabhänigen, unhandlichen Geräten und Scripte sollten ersetzt werden. Livingston Enterprises war einer der ersten Firmen, die darauf reagierten. Bereits nach dem ersten Treffen wurde eine sehr frühe Version von RADIUS programmiert. Seit dem nennt sich Livingston Enterprises, Lucent. Merit Networks und Lucent haben später RADIUS genauer formuliert und Akzeptanz in der Industrie geschaffen. RADIUS wurde lange bevor Authentifikation, Autorisierung und Abrechnung (AAA) existierte entwickelt. RADIUS gliedert sich jedoch erstaunlich gut in das AAA Konzept ein. Derzeit entwickelt man bereits eine neue Generation von Remote- Access Protokollen. Aber RADIUS hat sich etabliert und ist immer noch der Standart für Remote-Access. Und noch die nächsten zehn Jahre wird es so gut wie alle verfügbaren NAS Produkte unterstützen. Sicherheit in Datennetzen, FH Aachen - FB5 4

5 3. RFC Die Eigenschaften von RADIUS sind in der RFC 2865 und 2866 spezifiziert. Folgendes sind die wichtigsten Punkte (die RADIUS Protokoll RFC ist über 80 Seiten lang): UDP basierendes, verbindungsloses Protokoll, das keine direkten Verbindungen nutzt Benutzt das "hop-by-hop" Sicherheits-Model Zustandslos Unterstützt PAP und CHAP Authentifizierung anhand PPP Benutzt den MD5 Algorithmus zur Passwortverschlüsselung Stellt über 50 Attribut/Wert Kombinationspaare zur Verfügung um herstellerspezifische Einstellungen zu ermöglichen Unterstützt das Model der "Authentifikation-Autorisierung- Abrechnung" 5 Sicherheit in Datennetzen, FH Aachen - FB5

6 4. RADIUS im Netzwerk Es gibt drei Möglichkeiten der Kommunikation zwischen dem RADIUS Server, dem NAS und dem entfernten Benutzer Agent, Pull und Push Sequenz Agent Sequenz (1) (2) (3) Zunächst meldet sich der entfernte Benutzer beim RADIUS Server an (1). Dieser autorisiert die vom entfernten Benutzer gestellte Anfrage und teilt dem NAS mit, dass dieser die angefragten Dienste zur Verfügung stellen soll (2). Daraufhin kann der entfernten Benutzer direkt auf den NAS zugreifen (3). Sicherheit in Datennetzen, FH Aachen - FB5 6

7 Pull Sequenz In dieser Sequenz befindet sich der RADIUS Server hinter dem NAS. Hier ist es so, dass der NAS sich bei dem RADIUS Server über die Rechte des entfernten Benutzers informiert. (1) (2) (4) (3) In der Pull Sequenz kontaktiert der entfernte Benutzer den NAS direkt (1). Dann erst 'bezieht' der NAS die Autorisierung vom RADIUS Server (2+3) (daher der Begriff 'pull'). Im letzten Schritt verbindet oder trennt der NAS den entfernten Benutzer, je nach Antwort des RADIUS Servers (4). 7 Sicherheit in Datennetzen, FH Aachen - FB5

8 Push Sequenz Im Gegensatz zu den beiden vorherigen Modellen besteht bei der Push Sequenz ein anderes Vertrauensverhältnis zwischen den Teilnehmern. Der entfernte Benutzer befindet sich zwischen dem RADIUS Server und dem NAS. Diese beiden stehen nun nicht mehr in direktem Kontakt. (1) (2) (3) Hierbei stellt der entfernte Benutzer seine Anfrage an den RADIUS Server (1), welcher mit einer Autorisierung (Token) antwortet (2). Dadurch ist es dem entfernten Benutzer möglich, sich durch Weiterschieben des Tokens mit dem NAS zu verbinden (3) (daher der Begriff 'push'). Sicherheit in Datennetzen, FH Aachen - FB5 8

9 5. Kommunikation zwischen RADIUS und NAS 5.1. Paketformat RADIUS benutzt das UDP Protokoll zur Übertragung der Pakete zwischen dem RADIUS Client und dem RADIUS Server. Die Protokoll- Kommunikation läuft über den Port Der früher genutzte Port 1645 wird aufgrund eines Konflikts mit dem Dienst "Datametrics" nicht mehr verwendet. Ein Packet besteht aus fünf Paketteilen, welche im Folgenden erläutert werden. Kopfdaten Code Identifier Authenticator (1) (2) (16) (1) Nutzdaten Attributes and Values (variiert) Packetlänge in Oktetten Grundsätzliche Struktur eines Paketes Code Dieser Teil des Paketes ist ein Oktett lang und beschreibt den Pakettyp. Pakete mit ungültigem Codefeld werden verworfen. Gültige Codes sind: 1 Access-Request 2 Access-Accept 3 Access-Reject 4 Accounting-Request 5 Accounting-Response 11 Access-Challenge 12 Status-Server (wird noch entwickelt) 13 Status-Client (wird noch entwickelt) 255 Reserved 9 Sicherheit in Datennetzen, FH Aachen - FB5

10 Identifier Der Identifier ist ein Oktett lang und dient der eindeutigen Zuordnung von Paketen. Dieses Feld ist vor allem bei mehreren RADIUS Clients wichtig, da jedes gesendete Paket mit einer laufenden Nummer gekennzeichnet wird. Somit ist jede Antwort vom RADIUS Server eindeutig zur jeweiligen Anfrage zuzuordnen. Dieses Feld gibt die gesamte Länge eines RADIUS Paketes (Code, Identifier, length, authenticator, attribute field) in zwei Oktetten an. Gültige Paketgrößen liegen zwischen 20 und 4096 Oktetten. Ist dies nicht der Fall, so werden die Pakete verworfen. Authenticator (meist 16 Oktette lang) Es gibt zwei verschiedene Arten von Authenticator Werten: 1. Request (geht an den RADIUS Server) Wird bei Authentication-Request und Accounting-Request Paketen verwendet. 2. Response (Antwort vom RADIUS Server) Wird bei Access-Accept, Access-Reject und Access-Challenge Paketen verwendet Pakettypen Bisher wurde gesagt, dass die RADIUS Pakete zur Übertragung von Daten und Einstellungen dienen. Aber was machen diese Pakete eigentlich? Im Folgenden möchte ich vier Pakettypen die zur Autorisierung notwendig sind beschreiben. Access-Request Access-Accept Access-Reject Access-Challenge Sicherheit in Datennetzen, FH Aachen - FB5 10

11 Access-Request Attributes: (variiert) Benutzername Benutzerpasswort (MD5) NAS Das Access-Request Paket wird benutzt um einen Dienst von einem Netzwerk anzufordern. Die im Feld Code stehende eins gibt diesen Pakettypen an. Im Authenticator stehen aus Sicherheitsgründen zufällig ermittelte Werte. Der Client (NAS-Server) sendet eine Liste mit den angeforderten Diensten zum RADIUS Server. In den Nutzdaten des Paketes sind der Benutzername, Benutzerpasswort und die IP des Netzwerkgerätes von dem der Dienst angefordert wird. Access-Accept Code (2) Code Identifier Authenticator (request) (1) (Kopf+Dat (zufällig) (eind eutig) en) Identifier (eindeuti g je Anfrage) Attributes: (Kopf+Dat en) Authorisierten Dienste (optionale) Authenticator (response) =(code+id+length+request authenticator+attribute+secret) (variiert) Access-Accept (Code = 2) Pakete werden vom RADIUS-Server zum Client (NAS-Server) gesendet um diesem die bewilligten Dienste mitzuteilen. Im Feld Identifier wird die zur Anfrage passende Nummer eingetragen um die Eindeutigkeit des Paketes zu gewährleisten. Im Authenticator Feld werden die in der Anforderung (Access-Request) übermittelten Werte eingetragen. Neben den autorisierten Diensten können auch noch weitere Attribute übertragen werden. 11 Sicherheit in Datennetzen, FH Aachen - FB5

12 Access-Reject Code (3) (eindeuti g je Anfrage) Attributes: (variiert) (Kopf+Dat en) Nachricht (optionale) Authenticator (response) =MD5(code+ID+length+request authenticator+attribute+secret) Der RADIUS Server sendet ein Access-Reject Paket, wenn er aufgrund einer Anfrage einen Dienst nicht gewähren darf. Dieses Verbot kann zum Beispiel durch fehlende zugriffsrechte geschickt werden. Um Beispielsweise eine zeitlich limitierte Verbindung zu unterbrechen kann dieses Paket jederzeit gesendet werden (wird nicht von allen Geräte unterstützt). Der Authenticator beinhaltet wieder die in der Anforderung (Access- Request) übermittelten Werte. Allerdings werden diese mit dem MD5 Algorithmus verschlüsselt (Das Passwort wird grundsätzlich nur verschlüsselt übertragen). Im Attributfeld wird eine Nachricht übermittelt, die angibt warum der Zugang verweigert wurde. Access-Challenge Code (11) Identifier Identifier (eindeuti g je Anfrage) Attributes: (variiert) (Kopf+Dat en) Status Nachricht (optionale) Authenticator (response) Empfängt der RADIUS Server widersprüchliche Informationen vom Benutzer, benötigt weitere Informationen oder möchte einfach das Risiko einer falschen Anmeldung minimieren, so schickt er ein Access- Challenge Paket. Wenn nun der Client (NAS Server) ein solches Paket erhält muss dieser erneut ein Access-Request Paket schicken, welches nun die passenden Informationen enthält. Beispielsweise bei einer CHAP Authentifizierung wird diese Methode angewandt. Sicherheit in Datennetzen, FH Aachen - FB5 12

13 5.3. Attribute und Werte Bisher wurden nur die Kopfdaten genannt. Im Folgenden werden die Inhalte des Attribut und Werte Feldes beschrieben. Die Attribut-Werte Paare (AVPs, attributes-value pairs) dienen zur eigentlichen Übertragung von Informationen zwischen Client und RADIUS Server. Code Identifier Authenticator (1) (2) (16) (1) Attributes and Values (variiert) Number (>3) Value (Je nach Attribut Nummer) Struktur zur Übertragung von AVPs Number In dem AVP Paket wird der Pakettyp und damit die Art der Information durch das Feld 'Number' angegeben. Es stehen Werte zwischen 1 und 255 in diesem Feld, wobei der Wert 26 für die Übertragung herstellerspezifischer Daten und Einstellungen vorgesehen ist. Gibt die gesamte Feldlänge an (mindestens 3 Oktette). Value In diesem Feld werden die Daten und Einstellungen an den RADIUS Server übermittelt. 13 Sicherheit in Datennetzen, FH Aachen - FB5

14 Attributtypen In der RFC sind folgende Attributtypen bereits festgelegt: Integer (INT) Enumerated (ENUM) IP Address (IPADDR) Character String (STRING) Date (DATE) Binary (BINARY) 5.4. Herstellerspezifische Attribute und Werte RADIUS bietet eine hohe Flexibilität, denn jeder Hersteller kann seine eigenen Attributtypen (VSAs, vendor-specific attributes) festlegen kann. Diese werden dann einfach im Werte Feld eines AVPs gekapselt. Code Identifier Authenticator (1) (2) (16) (1) Attributes and Values (variiert) Number 26 x ID 262 Number 47 Value X Value AVP mit VSAs (vendor-specific attributes) Die vier oben im 'Value' Feld gezeigten Attribute sind die standardisierten Felder für herstellerabhängige Übertragung. ID Dieses Feld ist vier Oktette lang und gibt den Hersteller bzw. den Besitzer an. Die meisten IDs sind in der RFC 1700 festgehalten. Sicherheit in Datennetzen, FH Aachen - FB5 14

15 Number Das 'Number' Feld ist ein Oktett lang und informiert über die herstellerabhängige Funktionalität. Gibt die Länge des Attributs in einem Oktett an. Value Mindestens ein Oktett lang und beinhaltet die eigentlichen Daten und Einstellungen. 5.5 Grundlegende Arbeitsweisen Um den Ablauf noch einmal im Zeitlichen Ablauf zu zeigen sind im Folgenden die Anfragen und Antworten noch mal in drei Ablaufschemen aufgezeigt. t In diesem ersten Fall wird die erfolgreiche Anmeldung des Clients am Server beschrieben. t 15 Sicherheit in Datennetzen, FH Aachen - FB5

16 Im zweiten Beispiel erhält der Client ein Access-Reject Paket welches ein Verbot des angeforderten Dienstes anzeigt. t Dieses Beispiel zeigt den Ablauf, wie er beispielsweise bei einer CHAP Authentifizierung vorgenommen wird. Das Access-Challenge teilt dem Client mit, dass weitere Informationen benötigt werden. Dann muss die Anfrage mit den passenden Informationen erneut gestellt werden. Erst dann ist die Authentifizierung erfolgreich abgeschlossen. Sicherheit in Datennetzen, FH Aachen - FB5 16

17 6. Sicherheit im Netzwerk Um die Sicherheit bei der Datenübertragung im Netzwerk zwischen dem Client (NAS Server) und dem RADIUS Server zu gewährleisten, werden die Benutzerpasswörter verschlüsselt übertragen (MD5 Algorithmus). Außerdem gibt es einen geheimen Schüssel, der nur dem RADIUS Server und dem Client (NAS Server) bekannt ist. Dieser Schlüssel wird nie im Netzwerk übertragen. Jedes Client-Server Paar benutzt seinen eigenen Schlüssel. Wenn also mehrere Clients (NAS Server) auf einen RADIUS Server zugreifen, müssen diesem auch mehrere Schlüssel bekannt sein. Darüber hinaus kann das zur Authentifikation/ Autorisierung benötigte Passwort (Attribut User-Password) nur zu einem bestimmten Zeitpunkt gesendet werden. Das Passwort wird lediglich einmal übertragen. Der Server antwortet also nie mit dem Passwort, egal ob die Eingabe richtig oder falsch war. 7. Einschränkungen von RADIUS Die bisher beschriebenen Eigenschaften vom RADIUS Protokoll sind alle sehr positiv. Flexibilität, Erweiterbarkeit, einfach in ein bestehendes Netzwerk integrierbar und so weiter. Nun möchte ich aber auch einige Schwierigkeiten und Probleme des RADIUS Protokolls nennen. Einige der unten beschriebenen Punkte wurden nachträglich von einigen Herstellern eingearbeitet, sind aber nicht in einer RFC festgehalten. Netzwerk Bei Implementationen von mehreren RADIUS Servern müssen zur Lastverteilung alle Daten gleich sein. Um die Serverdaten konsistent zu halten, müssen die Daten zwischen den Servern ausgetauscht werden. Dabei besteht die Gefahr, dass Daten mitgelesen werden (Paket- Sniffing). Freigegebene Ressourcen Die freigegebenen Ressourcen können nach erfolgter Autorisierung nicht mehr gesperrt werden. Zustandslos Die bedeutet, dass keine Informationen über Einstellungen oder Übertragungen für die nächste Sitzung gespeichert werden. Dabei gehen auch alle Benutzereinstellungen und der Benutzerzustand verloren. 17 Sicherheit in Datennetzen, FH Aachen - FB5

18 Performance Schwierigkeiten In der RFC wird darauf hingewiesen, dass RADIUS in großen Systemen schwer skalierbar ist und Performance Schwierigkeiten besitzt. 8. Beispiel einer RADIUS-Konfiguration Als letzten Punkt der Ausarbeitung wird die Installation von RADIUS beschrieben und die grundlegenden Einstellungen vorgenommen. Als erstes müssen die benötigten Pakete von der Internetseite herunterladen und entpackt werden. tar zxvf freeradius tar.gz Nun werden die Pfade fürs Compilieren festgelegt../configure localstatedir=/var sysconfdir=/etc Um die Binaries zu compilieren und die Dateien an die oben angegebenen Stellen zu installieren sind folgende Befehle notwendig. make make install Nach der Installation erfolgt ein Wechsel in das Verzeichnis /etc/raddb/ (cd /etc/raddb). In diesem Verzeichnis bearbeiten wir die Datei clients. In dieser Liste werden die autorisieren Rechner und geheimen Schlüssel eingetragen. Als nächstes wird die naslist Datei bearbeitet. Hier werden alle RADIUS- Clients (NAS Server) eingetragen. Sicherheit in Datennetzen, FH Aachen - FB5 18

19 In der Datei users werden die autorisierten Benutzer und dessen Eigenschaften eingetragen. Wird hier ein Benutzer nicht explizit verboten und ist auch nicht eingetragen, so greift der Server in unserem Fall auf die Benutzerdatenbank des UNIX Rechners zurück. Nun können wir unseren RADIUS Server starten. Mit Hilfe eines Programms kann ein RADIUS Client (NAS Server) simuliert werden. 19 Sicherheit in Datennetzen, FH Aachen - FB5

20 Im ersten Beispiel wird eine Authentifizierungsanfrage den RADIUS Server geschickt, welche dieser mit einem Access-Accept beantwortet. In diesem Fall wurden alle Werte korrekt eingetragen. Als zweites Beispiel wurde der geheime Schlüssel in 'fhaachen_falscher_key' geändert, woraufhin uns der RADIUS mit einem Access-Reject den Zugang verbietet. Sicherheit in Datennetzen, FH Aachen - FB5 20

21 Ähnlich wie auf den Vorseiten beschrieben kann auch das Accounting gestartet und wieder gestoppt werden. 21 Sicherheit in Datennetzen, FH Aachen - FB5

22 9. Literaturverzeichnis Internetquellen Fachbücher RADIUS, Jonathan Hassell, O REILLY Verlag, ISBN: Cisco IOS 12.0 Network Security, Markt+Technik Verlag, ISBN: Cisco Secure - Sicherheitslösungen für das Internet, Markt+Technik Verlag, ISBN: Sicherheit in Datennetzen, FH Aachen - FB5 22

23 10. Abkürzungen AVP (attribute-value pairs) RADIUS (Remote Authentication Dial-In User Service RFC (Requests for Comments) NAS (Netzwork access server) VSA (vendor-specific attributes) 23 Sicherheit in Datennetzen, FH Aachen - FB5