802.1x. Zugangskontrolle mit EAP und Radius in LAN und WLAN Umgebungen

Transkript

1 802.1x Zugangskontrolle mit EAP und Radius in LAN und WLAN Umgebungen 1. Einleitung Angriffe auf die IT Sicherheit lassen sich in zwei Kategorien unterteilen: Angriffe von außen, z.b. über das Internet und Angriffe von innen. Wie diverse Studien 1 2 bestätigen ist die Gefahr, dass Unternehmen von innen angegriffen werden, immens gewachsen und oft eine größere Gefahr als Angriffe aus dem Internet, da intern meist keine Schutzvorkehrungen existieren. Eine Möglichkeit, diesen Gefahren zu begegnen, wird durch die Technik 802.1x definiert. Computer und Benutzer können mit Hilfe dieses Standards im LAN und WLAN authentifiziert und autorisiert werden, um somit die Sicherheit nachhaltig zu verbessern. Die Einführung der Technik ist dabei oft sehr viel einfacher als allgemein angenommen, denn die notwendige Infrastruktur ist in den heute üblichen Netzwerkumgebungen bereits vorhanden. 2. Allgemeine Beschreibung von 802.1x Als Antwort auf die wachsenden Bedürfnisse, Zugänge in Netzwerken besser kontrollieren zu können, entwickelten Microsoft, HP und 3Com das Konzept für 802.1x. Im Juni 2001 wurde es schließlich als IEEE Standard 3 verabschiedet. Aktuell wird das Stichwort 802.1x vor allem mit Wireless LANs in Verbindung gebracht, jedoch wurde es ursprünglich für LAN Switches entwickelt. Der Standard beschreibt, wie über Authentifizierungsprotokolle mit Hilfe eines AAA 4 Servers Clientcomputer unabhängig von der Verbindungsart identifiziert werden können. Die Protokolle wie EAP 5 (Extensible Authentication Protocol) ermöglichen hierbei die Aushandlung der Authentifizierungsmethode, bevor der eigentliche Authentifizierungsprozess begonnen hat Authentication, Authorization, Accounting: 5

2 Nachdem die Authentifizierung abgeschlossen wurde, können weitere Eigenschaften zugewiesen werden. Dazu gehören zum Beispiel: - VLAN Mitgliedschaft - Bandbreite - Filterregeln - Netzwerkressourcen x Verbindungsaufbau Wenn ein Client (Supplicant) eine physikalische Verbindung zum Switch (Authenticator) aufbaut, wird als erstes die Identität des Clients durch den Switch abgefragt. Es besteht also erstmal noch keine Verbindung zum Netzwerk, obwohl das Kabel bereits mit dem Switch verbunden ist. Die Kommunikation mit dem Client erfolgt auf dem LLC Layer 6, daher ist für diese Kommunikation keine IP Adresse notwendig. Der Standard lässt zwar offen, welches Authentifizierungsprotokoll genau verwendet werden soll, jedoch findet man in der Praxis vorwiegend Unterstützung für das Protokoll EAP. Da das Authentifizierungsprotokoll selbst nur den Rahmen bietet, kann ein Administrator zwischen ungefähr 40 Authentifizierungs- Protokollen wählen. Im nächsten Abschnitt werden einige Verfahren vorgestellt. Von einem einfachen Passwort bis hin zu digitalen Zertifikaten auf beiden Seiten existieren verschiedene Techniken, die je nach Anforderungen verwendet werden können. Sobald die Verhandlung über die Authentifizierungsmethode abgeschlossen ist, kapselt der Switch die Anfrage in das Radius Protokoll und leitet es an einen angegebenen Authentifizierungserver weiter. Wenn dieser Vorgang erfolgreich war, öffnet der Switch den Port und der Client kann auf das Netzwerk zugreifen, um z.b. per DHCP eine IP Adresse zu empfangen. Je nachdem, was der Authenticator(Switch) unterstützt, können jetzt vom Radius Server verschiedene weitere Werte übergeben werden. Hierzu zählen dann z.b. Bandbreite oder Filterregeln. Namensgebung: Die Standards von Radius und 802.1x definieren die einzelnen Stationen im Netzwerk mit unterschiedlichen Begriffen. Name Client Switch Server IETF Radius Access Client Network Access Server (NAS) Radius Server IEEE 802.1x Supplicant Authenticator Authentication Server 6 Logical Link Control:

3 4. Authentifizierungsmethoden Das verwendete Authentifizierungsprotokoll ist die wichtigste Sicherheitskomponente bei 802.1x. Nachfolgend werden einige sichere sowie unsichere Lösungen vorgestellt. Unsichere Methoden: LEAP ist ein von Cisco entwickeltes Protokoll, welches sich auf die Sicherheitseigenschaften von dem Authentifzierunsgverfahren Microsoft Chap V.2 verlässt. Da der Benutzername im Klartext übertragen wird und Microsoft Chap v2 anfällig gegen Wörterbuchattacken ist, wird von diesem Protokoll in den meisten Fällen abgeraten 7. Ein spezielles Hackertool, welches diese Schwäche explizit ausnutzt und demonstriert, ist ASLEAP 8. EAP-FAST entspricht in etwa LEAP, jedoch wird die Sicherheit durch ein PAC (Protected Access Credentias) oder ein optionales Server Zertifikat erhöht. Das PAC ist ebenfalls gegen Wörterbuchattacken anfällig, daher gilt dieses Verfahren nur dann als sicher, wenn das Server Zertifikat verwendet wird. EAP-MD5 verwendet, wie der Name schon sagt, einen MD5 Hash, um die Informationen zu übertragen. Da keine Authentifizierung des Servers stattfindet, die Informationen gegen Wörterbuchattacken anfällig sind und kein dynamischer Schlüssel bei WEP / WPA vergeben werden kann, gilt dieses Protokoll als unsicherste EAP Methode. Sichere Methoden: EAP-TLS setzt für die Authentifizierung auf Client und Serverseite zwingend ein Zertifikat voraus. Bei einer Anmeldung am Switch werden die Zertifikate ausgetauscht und überprüft. Der Vorteil besteht darin, dass ein Angreifer aufgrund eines fehlenden oder ungültigen Zertifikates keine Verbindung erhält, obwohl er eventuell ein gültiges Passwort besitzt

4 EAP-TTLS ist die Abkürzung für Tunneled Transport Layer Security. Dieses Protokoll erweitert TLS um die Möglichkeit, weitere Authentifizierungsmaßnahmen zu nutzen. Hierzu gehören z.b. Benutzername und Passwort oder Einmalpasswörter. Ein Zertifikat für den Client ist bei dieser Methode nur optional, wodurch eine aufwendige PKI entfällt. 9 PEAP steht für Protected Extensible Authentication Protocol.Gegenüber EAP bietet das Protokoll den Vorteil, dass unabhängig der Authentifizierungsmethode der Austausch über TLS 10 gesichert ist. Daher ist für diese Technik ein Serverzertifikat zwingend erforderlich. Sowohl Computer als auch der Benutzer können authentifiziert werden. Letzteres ist jeweils wieder nur mit Zertifikaten möglich. Beispiele: PEAP-MSCHAP v2 Bei diesen Methode wird die Windows Benutzeranmeldung weitergeleitet und durch ein Verzeichnisdienst wie dem Active Directory authentifiziert. PEAP-EAP-TLS - Hierfür ist ein Zertifikat für den Benutzer oder dem Computer notwendig, um sich auszuweisen. Diese Methode ist eine Weiterentwicklung von EAP-TLS. Client Verfügbarkeit: Unter Windows XP und Windows Vista kann sowohl EAP-TLS, PEAP-TLS als auch PEAP-MSCHAP v2 verwendet werden. Für Linux ist der Open Source Client Open1x 11 verfügbar, welcher so gut wie alle gängigen Varianten unterstützt

5 Protokoll PEAP EAP-TLS EAP- TTLS EAP-MD5 LEAP Standards: Ja Ja IEFT Draft Ja Nein(Cisco) Verbreitung: Mittel Hoch Mittel Hoch Gering (Cisco) Sicherheitslevel: Hoch Sehr Hoch Hoch Sehr Schwach Schwach Server Zertifikat erforderlich Client Zertifikat erforderlich Sicherheit der Benutzerinformation: Ja Ja Ja Nein Nein Nein Ja Optional Nein Nein Hoch Hoch Hoch schwach schwach Geräte Authentifizierung: Unterstützt Unterstützt Unterstützt Nein Nein Implementierungsaufwand: Gering Hoch Mittel Sehr gering Gering, nur Cisco Windows XP / Vista integriert Ja Ja Nein Ja Nein Empfohlene Endpunktsicherheit: NAP 12 Nicht empfohlen TNC 13 Empfohlene Umgebung Microsoft AD Funk Radius

6 5. AAA Beispiel: Radius-Server Ein Radius Server 14 (Remote Access Dial in Users Service) bietet verschiedene Möglichkeiten zur Authentifizierung, Autorisierung und Accounting an. Diese Art von Server werden deshalb auch AAA Server genannt. Häufig wird der Radius Server für Netzwerk- Endpunkte verwendet, wobei dies Modem, DSL als auch VPN oder 802.1x Endpunkte sein können. Die Endpunkte leiten die wichtigen Informationen wie z.b. Benutzername und Passwort zum Radius Server um. Als zentraler Authentifizierungspunkt kann der Radius Server anhand von vorhandenen Benutzerprofilen entscheiden, ob ein Benutzer zugelassen ist, oder die Anfrage an Verzeichnisdienste wie dem Active Directory weiterleiten. Der Radius Standard definiert weiterhin die Möglichkeit, zusätzliche Informationen und Regeln zu übergeben. Dies kann bei DSL-Endpunkten z.b. die verfügbare Bandbreite sein. Gerade bei Netzwerken wird diese Funktion gerne für zusätzliche Informationen wie die VLAN Zugehörigkeit, Bandbreitenmanagement, oder verfügbare Netzwerkressourcen verwendet. Auswirkung Umsetzung Entscheidung Repository Verlauf der Kommunikation Client (Supplicant) Network Access Server (Authenticator) RADIUS Server (Authentication Server) AD Server Einige Radiusserver sind z.b: - Microsoft Internetauthentifizierungsdienst: Ab Windows 2000, kostenlos enthalten - freeradius OpenSource Radius Server für verschiedene Unix-Derivate - Radiator Radius Server von der Firma Open System Consultants - Funk Odyseus Radius Server 14

7 6. Beispielimplementierung für eine 802.1x-Infrastruktur Ein sehr häufiger Fall für den Einsatz von 802.1x ist die Installation eines drahtlosen Netzwerkes, um z.b. Notebook-Nutzern und Besuchern einen Anschluss an das Netzwerk oder nur zum Internet zu ermöglichen. Oft besteht das Bedürfnis, gerade Besuchern einen komfortablen und schnell zu installierenden Internetanschluss zu geben, ohne jedoch Zugriff auf sensible Daten geben zu wollen. In diesem Beispiel möchte eine Firma mit 50 Beschäftigten relativ kurzfristig einen sicheren Wireless LAN Anschluss für die eigenen Mitarbeiter als auch für Besucher realisieren. Da das Thema Voice over IP auch hier ansteht, ist mittelfristig geplant, die Sicherheit im Netzwerk zu erhöhen, um keine weiteren Risiken beim Telefonieren über das Netzwerk einzugehen. Es soll vor allen Dingen verhindert werden, dass nicht autorisierte Computer an das interne Netzwerk angeschlossen werden können. Der Standard 802.1x stellt für beide Anforderungen eine Lösung und eine Vielzahl von Möglichkeiten bereit. Der Administrator dieser Firma evaluiert die unterstützten Authentifizierungsmechanismen mit folgenden Schwerpunkten: - Native Windowsunterstützung (kein Client nötig) - Keine PKI benötigt - Leicht zu installieren - Leicht auf den Client Computern zu verteilen - Sicher gegen Hackerangriffe Die Entscheidung fällt aufgrund der Schwerpunkte auf das Protokoll PEAP mit MS CHAPv2 als Authentifizierungsmethode. Windows XP beherrscht diese Technik von Haus aus, wodurch ein aufwändiges Konfigurieren der Clients entfällt. Für das Protokoll muss der Administrator ein Zertifikat erstellen, damit sich der Server sicher gegenüber dem Client ausweisen kann. Hierfür nutzt er SelfSSL 15, ein kostenloses Programm, welches im Ressource Manager vom IIS6 verfügbar ist. Innerhalb von Sekunden können damit selbst signierte Zertifikate erstellt werden, wodurch der Aufwand einer eigenen PKI (Public Key Infrastructur) entfällt. Damit die Clients tatsächlich prüfen können, ob das Zertifikat vom Server stammt, wird das Root Zertifikat mit dem öffentlichen Schlüssel aus dem Server exportiert und über das Active Directory auf die Clients eingespielt. So können die Clients überprüfen, ob das Zertifikat tatsächlich vom Server stammt und nicht durch eine Man in the Middle - Attacke gefälscht wurde. Als Radius-Server fiel die Entscheidung auf den Microsoft Internet Authentification Service, welcher kostenlos ab Microsoft Windows 2000 Server mitgeliefert wird 16. Der so genannte IAS Service, welcher im Bild unten abgebildet

8 ist, wird hier aufgrund der relativ geringen Last auf dem Domänencontroller mit installiert. Im nächsten Schritt wird ein Wireless LAN Router im Haus aufgebaut und so konfiguriert, dass er nur WPA oder WPA2 Enterprise akzeptiert und alle Anfragen an den Radius Server weiterleitet. Zusätzlich werden auch die internen Switches umkonfiguriert. Die meisten managebaren Switche beherrschen 802.1x, sodass auch hier wieder keine hohen Anschaffungskosten entstehen. Der Administrator verfolgt weiter das Ziel, die Wireless LAN Konfiguration auf die Clients zu verteilen. Mit den Gruppenrichtlinien vom Microsoft Active Directory kann er die Konfiguration innerhalb kürzester Zeit auf die Clients verteilen. Die Benutzer dieser Beispielfirmen haben von der Konfiguration im Hintergrund nichts mitbekommen und können auf das Wireless LAN zugreifen, sobald sie sich an der Domäne angemeldet haben. Ein authentifiziertes System stellt sich auf dem internen Switch beispielsweise wie folgt dar: In der Zusammenfassung stellen sich die Schritte für die Einführung von PEAP - MSChap v2 wie folgt dar: - Installation eines Radius Servers - Erstellen eines Radius Server Zertifikats - Verteilen des Root Zertifikates auf die Clients - Konfiguration des Authenticators (Switch,W-LAN Router)

9 7. Ausblick zum Thema Endpunktsicherheit Die Bestimmung, ob ein Computer Zugang hat oder nicht, kann momentan nur anhand von Passwörtern und oder Zertifikaten erfolgen. Gerade bei mobilen Arbeitsstationen besteht aber der Wunsch, Berechtigungen auch anhand gewisser Merkmale zu verteilen. Ist das Gerät länger nicht im Netzwerk gewesen und hat weder aktuelle Sicherheit noch Virenupdates, so ist die Gefahr einer Infektion hoch. Bevor der Zugang zum Netzwerk freigegeben wird, soll das Gerät alle Patches einspielen und ein Virusscan durchführen. Verschiedene Hersteller haben dafür eine Technik entwickelt die z.b. in Kombination mit 802.1x genau das ermöglicht. Cisco nennt sein Produkt NAC 17 und Microsoft NAP 18. Beide Technologien sind noch nicht oft im Einsatz, da NAC nur in einer reinen Cisco Infrastruktur möglich ist und NAP erst ab Windows 2008, Vista und Windows XP Service Pack 3 19 unterstützt wird. Das ULD wird dieses Thema in einer ausführlicheren Veröffentlichung bearbeiten. 17 Network Access Control: 18 Network Access Protection: