Das Radius-Protokoll dient meist dazu, Benutzer an Dial-in-Systemen zu authentifizieren. In Kombination mit 802.1X schützt Radius aber auch lokale Netze: Anwender und deren Rechner müssen sich erst in tiefen Protokollschichten authentifizieren, bevor der Switch ihren Port freigibt.
Angriffe aus dem internen Netz sind gefährlich und schwerer zu unterbinden als Attacken von außen. Wer beispielsweise sein eigenes Notebook an eine Netzdose anschließt, erhält in der Regel guten Zugriff auf fremde Firmendaten. Dagegen hilft eine sichere Authentifizierung auf der OSI-Schicht 2 mit dem Protokoll 802.1X[1]. Ein 802.1X-fähiger Switch und ein Linux-Rechner mit einem Freeradius-Server genügen für diese interne Sicherheitsmaßnahme.
Die Radius-Antworten (Remote Authentication Dial-in User Service Protokoll) des Linux-Servers enthalten gewöhnlich die IP-Adresse und das Default-Gateway für den User. Das Protokoll beherrscht aber mehr: Es ist möglich, dem Switch-Port des Benutzers ein VLAN[7] zuzuweisen. Damit darf das Gesamtnetz flach sein, also ohne aufwändige Router-Infrastruktur, und dennoch bleiben die Broadcast-Domains begrenzt. Außerdem trennen VLANs die Firmenabteilungen logisch voneinander, der Sicherheit im Netz ist das sehr zuträglich. Auch wenn sich Benutzer an beliebigen Arbeitsplätzen einloggen dürfen (etwa in der Cafeteria), sehen sie immer nur ihre eigene Netzwerkumgebung.
Für die Authentifizierung ist der Standard 802.1X zuständig. Als AAA-Server (Authentication, Authorization und Accounting) kommt Freeradius zum Einsatz, das seine Informationen wiederum aus einem OpenLDAP-Verzeichnisserver zieht. Damit sind große Mengen an Benutzerdaten recht einfach zu verwalten. Das Gesamtsystem eignet sich für Linux- und Windows-Clients gleichermaßen und lässt sich für Hochverfügbarkeit redundant auslegen: Beim Radius-Dienst sind dafür Proxysysteme zuständig, bei der LDAP-Datenbank die Replikation des Verzeichnisses.
Mit etwas Zusatzaufwand eignet sich die beschriebene Lösung auch, um WLANs zu sichern (siehe Kasten "802.1X und Wireless LAN") oder die vielfältigen Accounting-Möglichkeiten des Radius-Servers einzusetzen.
Das IEEE-802.1X-Protokoll dient der Zugangskontrolle auf OSI-Schicht 2 (MAC-Schicht). Es besorgt die Authentifizierung eines Clients, sobald er sich mit dem Netz verbindet, und zwar bevor er über DHCP (Dynamic Host Configuration Protocol) eine IP-Adresse erhält. Der Standard legt unter anderem fest, wie das Authentifizierungsprotokoll (EAP, Extensible Authentication Protocol) über Kabel oder Funknetzwerk in Ethernet-Frames verpackt wird. Deshalb heißt 802.1X auch EAPOL (EAP over LAN). Neben EAP basiert 802.1X zusätzlich auf PPP (Point to Point Protocol). PPP und EAP sind Internetstandards (in RFCs definiert), während 802.1X von der IEEE (Institute of Electrical and Electronics Engineers) stammt.
EAP dient als Rahmen für verschiedene Authentifizierungsmethoden, die mehr als die übliche Kombination aus Benutzername und Passwort übertragen. EAP öffnet einen Tunnel durch den Network Access Server (Authenticator) zum tatsächlichen Authentifizierungsserver. Durch diesen Tunnel laufen dann andere Protokolle. 802.1X verwendet für die beteiligten Instanzen eigene Begriffe, siehe auch Abbildung 1:
Abbildung 1: Das 802.1X-Protokoll besteht aus mehreren Schichten. Zwischen Supplicant und Authenticator ist EAP zuständig, Radius für den Weg vom Authenticator zum Authentication Server. Damit überträgt 802.1X den EAP-Payload und die höheren Protokolle vom Supplikanten zum Authentication Server.
Dieser Aufbau funktioniert in jedem Netz, das Ethernet-Pakete verschickt, also zum Beispiel in WLAN-Funknetzwerken oder normalen Kabelnetzen. Einen guten Überblick geben die Whitepapers der Interopnet Labs[1].
In EAP sind mehrere Authentifizierungsmethoden definiert. Bei EAP/MD5 weist sich der Benutzer mit seinem Usernamen und Passwort aus. Das Protokoll überträgt nur einen Hashwert, in den Name, Passwort und ein Zufallswert einfließen. Der Server kennt das Klartextpasswort und den Zufallswert ebenfalls, berechnet den gleichen Hash und vergleicht die Werte. Diese Methode ist einfach installiert, aber gegen Wörterbuchattacken nicht sicher. Beim Einsatz im Wireless LAN ist es bei EAP/MD5 zudem unmöglich, die WEP-Schlüssel (Wired Equivalent Protocol) dynamisch zu erzeugen. Sie eignet sich daher nur für kabelgebundene Netze.
Bei der zweiten Variante, also EAP/TLS, erhalten der Server sowie der Client oder der Benutzer eigene X.509-Zertifikate. Diese Methode ist wesentlich sicherer, erfordert aber eine komplette PKI (Public Key Infrastructure,[11]).
Alle Rezensionen aus dem Linux-Magazin
Im Insecurity Bulletin widmet sich Mark Vogelsberger aktuellen Sicherheitslücken sowie Hintergründen und Security-Grundlagen. mehr...
