Arbeitskreis Security

Transkript

1 Arbeitskreis Security Positionspapier IEEE 802.1X BGNW Herbsttagung, 25. November 2005 Inhalt IEEE 802.1X im Überblick Problembereiche Standpunkt 1

2 Status von IEEE 802.1X Grundprinzip von IEEE 802.1X Dem Port eines Systems (Endgerät oder Switch) können zwei unterschiedliche Rollen zugeordnet werden: : Dieser Port verlangt eine Authentifizierung, bevor er den Zugang zu einem Dienst erlaubt, der über diesen Port erreicht werden kann Supplicant: Dieser Port möchte den Zugang zu einem Dienst erlangen, der vom System des s angeboten wird Zugang blockieren bzw. frei schalten Access Point LAN Supplicant (W)LAN- Verbindung 2

3 Grundprinzip von IEEE 802.1X Komponente als Bestandteil des Betriebssystems (Native Supplicant) oder als separate Software Funktion des Switches bzw. Access Points Zugang blockieren bzw. frei schalten Access Point LAN Supplicant (W)LAN- Verbindung Grundprinzip von IEEE 802.1X Vollständiger Authentifikationsablauf durch Authentication : Bietet für notwendige Authentifizierungsfunktion, um Login-Daten des Supplicant zu überprüfen. Zeigt an, ob Supplicant autorisiert ist, Zugang zu dem über den angebotenen Dienst zu erlangen. Access Point Supplicant Authentication 3

4 Protokolle Access Point Supplicant angebotener Dienst EAP over LAN (EAPOL) Authentication EAP (z.b. via RADIUS) Directory Service (Nutzerverwaltung) (W)LAN Zugang blockieren bzw. frei schalten Torwächter-Prinzip auf Layer 2 Basis ist das Extensible Authentication Protocol (EAP) Wirkkette vom Client bis tief in die Infrastruktur hinein Nutzung von EAP bei 802.1X Austausch der Authentifizierungsinformationen erfolgt über EAP RFC3748 (vormals RFC2284) TLS PEAP TTLS... Authentication Layer Extensible Authentication Protocol (EAP) EAP Over Lan (EAPOL) EAP Layer EAPOL = Portierung von EAP aus PPP- Welt die Layer-2- Welt der LAN PPP Ethernet WLAN Data Link Layer 4

5 Zugang blockiert Supplicant Client EAPOL-Start Association AP EAPOL-Packet( EAP-Request/Identity) Internes Netzwerk Authentication Beispiel 802.1X im WLAN Zugang erlaubt Zugang blockiert EAPOL-Packet( EAP-Response/Identity) EAPOL-Packet(EAP-Request) EAPOL-Packet( EAP-Response/Credentials) EAPOL-Packet(EAP-Success)... EAPOL-Logoff EAPOL-Key(Schlüsselinfo.) EAP over LAN (EAPOL) RADIUS-Access-Request( EAP-Response/Identity) RADIUS-Access-Challenge( EAP-Request) RADIUS-Access-Request( EAP-Response) RADIUS-Access-Accept( EAP-Accept) RADIUS-Access-Accept( "MS-MPPE-Recv-Key") Encapsulated EAP (z.b. via RADIUS) Supplicant Client AP Internes Netzwerk Authentication Identity Request Identity EAP-TLS(TLS Start) Identity EAP-TLS(TLS Start) Ablauf einer Authentifizierung mit EAP-TLS Client Hello Client Hello Hello Hello Certificate + Certificate Request Certificate + Key Exchange + Certificate Verify Certificate + Certificate Request Certificate + Key Exchange + Certificate Verify TLS Finished Success TLS Finished Access-Accept EAP over LAN (EAPOL) Encapsulated EAP (z.b. via RADIUS) 5

6 Geräte- vs. Nutzerauthentifizierung Hier machen IEEE 802.1X und EAP (noch) keinen Unterschied Betrifft Supplicant und Authentication ; transparent für Entscheidend ist zunächst, wann ein Gerät auf das Netz zugreifen muss Wenn Zugriff erforderlich, bevor Nutzer angemeldet ist, kommt zunächst nur Geräte-Authentifizierung in Frage Ist ein Wechsel zwischen beiden Typen (erst das Gerät, dann der Nutzer) möglich? Nicht im aktuellen Standard festgeschrieben Aber auch nicht ausgeschlossen Umsetzung durch Reauthentication Reauthentication-Intervall beachten Je nach Supplicant: Entweder-Oder -Entscheidung Roaming bei IEEE 802.1X Primär abhängig von der Frage, ob Benutzerverwaltung auf Authentication oder in einem nachgelagerten Directory geschieht Falls Benutzerverwaltung auf Authentication (RADIUS) Analoge Situation, wie bei MAC-Adress-Authentifizierung Falls Benutzerverwaltung im Directory Unternehmensweiter Directory Service löst Roaming-Problem en passant Authentication Client XXX LAN Standort A Directory... Eintrag für XXX... Client XXX LAN Standort B Authentication 6

7 Produktsituation IEEE 802.1X wird von nahezu jedem Hersteller von Switches und RADIUS-n unterstützt. Auf Client-Seite sind die meisten modernen Betriebssysteme von Windows XP bis zu Linux kompatibel. Vitale Open-Source-Szene (Supplicant & Authentication ) Inzwischen wird sogar eine Palette von Mehrwert-Diensten, die auf IEEE 802.1X basieren, von den Herstellern von Sicherheitslösungen angeboten. Zugangskontrolle in Abhängigkeit der Client-Konfiguration Authentifizierungsdaten via EAP via RADIUS Zugangsberechtigung je nach Ergebnis Authentifizierung und Prüfung der Client-Konfig. RADIUS Prüfung Authentifizierungsdaten RADIUS Proxy Client XXX Prüfung Client-Konfig. Authentifizierungsdaten + "f(client-konfig.)" via EAPOL Authentifizierungsdaten + "f(client-konfig.)" via EAP via RADIUS Herstellerspezifisch 7

8 IEEE 802.1X in der Praxis In WLAN nach IEEE kommt man inzwischen an IEEE 802.1X nicht mehr vorbei. IEEE 802.1X wird in den relevanten Spezifikationen zur WLAN-Sicherheit (WPA, WPA2 bzw. IEEE i) für die Authentifizierung der WLAN-Clients und für das Schlüsselmanagement genutzt. IEEE 802.1X in der Praxis Leider führt IEEE 802.1X im Bereich der kabelbasierten LAN ein Schattendasein und ist in der Praxis (zumindest für größere LAN) noch kaum zu finden. Viele Piloten aber wenige produktive Einsätze Dies ist umso erstaunlicher, da die Anforderung eines sicheren Zugangs genauso für das kabelbasierte LAN gilt und es derzeit keine Alternative zu IEEE 802.1X gibt. Wo liegt der Grund für die Zurückhaltung der kabelbasierten LAN-Gemeinde? 8

9 Problembereiche Für die noch weit verbreiteten Versionen Windows 2000, Windows NT und andere ältere Betriebsysteme gibt es massive technische Probleme bei der Unterstützung von IEEE 802.1X. Für diverse Systeme ist gar kein Supplicant verfügbar (z.b. DOS PCs und diverse Kleingeräte, wie Drucker, Kameras und Barcode Scanner oder auch die Controller in der Industrieautomatisierung). Diese Situation besteht nicht nur für ältere Systeme, wie die (fast immer) fehlende Unterstützung von IEEE 802.1X bei VoIP-Telefonen zeigt. Gestufte Authentifizierung und Rechtevergabe "Uneingeschränkter" Zugang j n Authentifizierung mit IEEE 802.1X j n MAC-Adressauthentifizierung Policy-based VLAN- Assignment mit IEEE 802.1X via RADIUS Policy-based VLAN Assignment per MAC- Adresse möglichst via RADIUS Eingeschränkter Zugang, z.b. nur spezifische Ziele und Dienste Kein Zugang o. isoliertes Gast-VLAN 9

10 Problembereiche Implementierung des in Windows XP integrierten Supplicants weist Schwächen für das kabelbasierte LAN auf. Verteilung der Konfiguration per Group Policy Object (GPO) ist im Gegensatz zu WLAN nicht ohne weiteres möglich. Eine manuelle Konfiguration kommt ab einer gewissen Anzahl von Clients jedoch nicht in Frage. Der Killer Der Standard geht für kabelbasierte LAN von einem Client pro Netzwerk-Port aus. Was ist mit mehreren Geräten an einem Port? Beispiel: VoIP-Telefone, die über einen integrierten Switch den Anschluss eines Endgeräts am Telefon gestatten. 10

11 Multiuser-Fähigkeit Kaskadierte Authentifizierung oder Mehrere Clients werden an einem Port authentifiziert 7x 8x 9x 10x 11x 12x 7x 8x 9x 10x 11x 12x Ethernet C A x 2x 3x A 4x 5x 6x 1x 2x 3x B 4x 5x 6x Noch mehr Probleme Wake-on-LAN Anbindung über Medienkonverter 11

12 Der Standpunkt IEEE 802.1X ist nicht nur eine gute Idee, es ist eine zwingende Konsequenz der Forderung eines abgesicherten LAN-Zugangs zu dem es auch keine alternative Technik gibt. Die Produkte sind da. Es gibt Probleme. Nun gut, dann muss man sie eben angehen Probieren Sie IEEE 802.1X aus. Warten Sie nicht darauf, dass andere die damit verbundenen Probleme lösen! 12