Sok belső hálózatban elég egy tárgyaló falában hagyott aktív aljzat vagy egy szabad port a gyártócsarnok kapcsolószekrényében, és aki rádug valamit, IP-címet kap. A kapcsoló alapértelmezetten nem kérdezi meg, ki csatlakozott, egyszerűen továbbítja a kereteket.
A 802.1X ezt a kérdést a port szintjén teszi fel. Amíg az eszköz nem igazolta magát, a port csak a hitelesítéshez szükséges forgalmat engedi át, utána pedig egy központi szerver dönti el, melyik hálózatba kerül és mit érhet el. Az alábbiakban sorra vesszük a szereplőket és a hitelesítési módszereket, megnézzük, hogyan jutnak hálózathoz a szabványt nem ismerő eszközök, és hogyan lehet a rendszert úgy élesíteni, hogy közben senki ne maradjon hálózat nélkül.
Kérelmező, hitelesítő, RADIUS-szerver
Az IEEE 802.1X szabvány három szerepet különít el. A kérelmező (supplicant) a csatlakozó eszközön futó szoftver, amely a hitelesítő adatokat átadja; a mai asztali és mobil operációs rendszerekbe be van építve. A hitelesítő (authenticator) a kapcsoló vagy a vezeték nélküli hozzáférési pont, amelynek portjára az eszköz csatlakozik. A hitelesítő szerver hozza meg a döntést, és ez a gyakorlatban szinte mindig egy RADIUS-szerver, amely mögött címtár, tanúsítványkiadó vagy eszközadatbázis áll.
Egy bejelentkezés lépései
- A port felkapcsol. A kapcsoló ekkor még csak az EAPOL-kereteket (EAP over LAN) engedi át, minden más forgalmat eldob.
- A kapcsoló azonosítót kér az eszköztől, a kérelmező pedig válaszol, például egy felhasználónévvel vagy a tanúsítványában szereplő névvel.
- A kapcsoló az EAP-üzenetet RADIUS-kérésbe csomagolja, és elküldi a szervernek. Innentől közvetítőként dolgozik: a kérelmező és a szerver egymással folytatja le a hitelesítést, a kapcsoló a jelszót vagy a tanúsítvány titkos kulcsát nem látja.
- A szerver elfogadó vagy elutasító választ küld. Elfogadásnál a kapcsoló megnyitja a portot az eszköz forgalma előtt.
Mit küldhet vissza a szerver
Az elfogadó válasz attribútumokat is hordozhat. A legismertebb a dinamikus VLAN-kiosztás: a szerver megmondja, melyik VLAN-ba kerüljön a port, így ugyanaz a fali aljzat egy munkaállomást az irodai, egy IP-telefont a hangforgalmi, egy kamerát a kamerahálózatba tesz. A kapcsoló típusától függően a válaszban hozzáférési lista, munkamenet-időkorlát vagy újrahitelesítési időköz is érkezhet.
A döntés utólag is módosítható. A RADIUS jogosultságmódosító üzenetével (Change of Authorization) a szerver kérheti, hogy a kapcsoló hitelesítse újra az eszközt, cseréljen rajta szabályt, vagy bontsa a kapcsolatot. Erre akkor van szükség, ha az eszközről később derül ki valami, például a profilja megváltozik, vagy egy biztonsági rendszer riasztást ad róla.
Hány eszköz lehet egy porton
A port üzemmódja azt határozza meg, hogyan kezeli a kapcsoló, ha egy porton több MAC-cím jelenik meg. Egyeszközös módban csak egy hitelesített eszköz lehet a porton. Kéttartományos módban az IP-telefon és a mögé kötött számítógép külön hitelesít, a telefon a hang-, a gép az adat-VLAN-ba kerül. Több eszközt kiszolgáló módban mindegyik eszköz külön hitelesít. Létezik olyan beállítás is, amelyben az első sikeres hitelesítés az egész portot megnyitja: ez kényelmes, de az első eszköz mögé dugott kis kapcsolón bárki bejut, ezért ezt csak indokolt esetben érdemes használni.
EAP-módszerek: tanúsítvány vagy jelszó
Az EAP (Extensible Authentication Protocol) csak keretrendszer. Hogy az eszköz mivel igazolja magát, azt a választott EAP-módszer határozza meg, és a 802.1X biztonsága nagyrészt ezen múlik.
EAP-TLS
Az EAP-TLS-nél mindkét fél tanúsítvánnyal igazolja magát: a szerver a kliensnek, a kliens a szervernek. Jelszó nincs, így nincs mit ellopni adathalász levéllel vagy hamis bejelentkezési oldallal. Az ára egy működő PKI: minden eszköznek saját tanúsítvány kell, amelyet automatikusan ki kell osztani, a lejárat előtt meg kell újítani, és a gép kivezetésekor vissza kell vonni. Ha a visszavonási lista vagy az OCSP-válaszoló nem elérhető a RADIUS-szerver számára, a beállítástól függően (megengedő, úgynevezett soft-fail ellenőrzésnél) a visszavont tanúsítvány is átmehet, ezért ezt a láncot is ellenőrizni kell.
Alagutas módszerek jelszóval
A PEAP és az EAP-TTLS először egy TLS-alagutat épít, amelyben csak a szerver mutat tanúsítványt, és ebben az alagútban zajlik a felhasználónév és jelszó ellenőrzése, a PEAP-nél jellemzően MSCHAPv2-vel. Előnyük, hogy a meglévő címtárfiókokkal működnek, kliensoldali tanúsítvány nélkül.
A gyenge pont a szerver tanúsítványának ellenőrzése. Ha a kliens elfogad bármilyen tanúsítványt, egy hamis hozzáférési pont vagy RADIUS-szerver lefolytathatja vele a bejelentkezést, és az elfogott MSCHAPv2-válaszból a jelszó offline próbálkozással visszafejthető. A kliensen ezért rögzíteni kell, melyik tanúsítványkiadót és melyik szervernevet fogadja el, és a felhasználó ne tudja a figyelmeztetést egy kattintással elfogadni.
Gép és felhasználó
Egy tartományi munkaállomás bejelentkezés előtt is hálózatot igényel, hogy elérje a címtárat és letöltse a házirendeket. Erre szolgál a gép-hitelesítés, amely a gép tanúsítványával vagy fiókjával fut, a felhasználó belépése után pedig jöhet a felhasználói hitelesítés. A TEAP egyetlen alagúton belül mindkettőt el tudja végezni, így a szerver azt is láthatja, hogy céges gépen dolgozik-e az adott felhasználó.
| Módszer | Mivel igazolja magát a kliens | Előfeltétel | Tipikus gyenge pont |
|---|---|---|---|
| EAP-TLS | Saját tanúsítvány és titkos kulcs | PKI, automatikus tanúsítványkiosztás | Lejárt tanúsítványok, nem ellenőrzött visszavonás |
| PEAP (MSCHAPv2) | Felhasználónév és jelszó a TLS-alagútban | Szervertanúsítvány, címtár | Kikapcsolt szervertanúsítvány-ellenőrzés a kliensen |
| EAP-TTLS | Belső hitelesítés a TLS-alagútban | Szervertanúsítvány, támogató kliens | Ugyanaz, mint a PEAP-nél |
| TEAP | Tanúsítvány, jelszó vagy a kettő láncolva | Szervertanúsítvány, újabb kliensoldali támogatás | Régebbi rendszereken hiányzó támogatás |
Az EAP-MD5 az EAP alapspecifikációjában (RFC 3748) ma is szerepel, de nem ad kölcsönös hitelesítést és titkosítási kulcsot sem, ezért vállalati hálózatban nem érdemes használni. A 802.1X újabb kiadásai a hitelesítésből kapott kulcsot a vezetékes kapcsolat titkosítására is felhasználhatják (MACsec), ehhez a kapcsolónak és a kliensnek is támogatnia kell.
MAB a 802.1X-et nem ismerő eszközöknek
Egy hálózaton mindig vannak eszközök, amelyeken nincs kérelmező: hálózati nyomtatók, IP-kamerák, beléptetővezérlők, épületfelügyeleti modulok, régebbi telefonok, és az OT-környezetben a vezérlők és terepi eszközök nagy része. Nekik a MAC-cím alapú hitelesítés (MAC Authentication Bypass, MAB) marad.
A működése egyszerű. A kapcsoló a porton hitelesítést kezdeményez, és ha néhány próbálkozás után sem érkezik EAPOL-válasz, az eszköz első keretéből kiolvassa a forrás MAC-címet. Ezt a címet felhasználónévként küldi el a RADIUS-szervernek, a szerver pedig megnézi, szerepel-e az engedélyezett eszközök között, és ha igen, milyen jogosultság jár neki. Kriptográfiai igazolás itt nincs: a szerver csak egy címet lát.
A MAC-cím nem titok
A MAC-cím ott van az eszköz címkéjén, minden kiküldött keretben, és a legtöbb operációs rendszerben egy beállítással átírható. Aki egy folyosói nyomtatót kihúz, és a laptopját a nyomtató címével dugja a helyére, az a nyomtató jogosultságait kapja meg. A MAB ezért mindig csak részleges azonosítás, amit szűk jogosultsággal kell ellensúlyozni:
- Az eszköztípus csak azt érje el, amire szüksége van. A nyomtató a nyomtatószervert, a kamera a rögzítőt, a többi célt hozzáférési lista vagy tűzfalszabály tiltsa.
- A profilozás figyelje, hogy a cím mögött továbbra is ugyanolyan eszköz áll-e. Ha egy „nyomtató” hirtelen egy munkaállomás DHCP-ujjlenyomatával jelentkezik, az riasztást és jogosultság-visszavonást ér.
- Az ismert, fix helyen működő eszközöknél a cím köthető kapcsolóhoz vagy porthoz. A link lebomlása egy ilyen porton maga is figyelendő esemény.
- Az engedélyezett címek listáját rendszeresen át kell nézni, mert a kivezetett eszközök bejegyzései maguktól nem tűnnek el.
Sorrend és időzítés
A kapcsoló alapesetben előbb a 802.1X-et próbálja, és csak annak sikertelensége után vált MAB-ra. Ez a MAB-eszközöknél késleltetést okoz, amely alatt egyes eszközök DHCP-kérése vagy hálózati rendszerindítása időtúllépéssel leáll. A fordított sorrend gyorsabb, de ilyenkor be kell állítani, hogy egy később beérkező 802.1X-válasz felülírja a MAB-eredményt. Az OT-eszközöknél az újrahitelesítés is kockázat: egy rövid megszakítás vagy egy elérhetetlen RADIUS-szerver itt termelési folyamatot állíthat meg, ezért az újrahitelesítési időközt és a szerverkiesés kezelését ezeken a portokon külön kell megtervezni.
Profilozás: miből ismerhető fel egy nyomtató vagy kamera
A profilozás az eszköz típusát próbálja megállapítani a hálózaton látható jellemzőiből, hogy a MAB-döntés ne egy kézzel vezetett címlistán múljon. Egyetlen forrás ritkán elég, a profilozó ezért több jelet vet össze.
- OUI. A MAC-cím elejét (jellemzően az első három bájtot) az IEEE osztja ki a gyártóknak, így a címből kiderül, ki gyártotta a hálózati csatolót. A típusra ebből még nem lehet következtetni, és a telefonok, laptopok Wi-Fi-n gyakran véletlenszerű, helyileg adminisztrált címet használnak.
- DHCP. Az eszköz DHCP-kérésében a kért opciók listája és sorrendje (55-ös opció) operációs rendszerre, sőt firmware-re jellemző. Ehhez jön a gyártói osztályazonosító (60-as) és a gépnév (12-es opció). A profilozó ezeket a DHCP-relay másolatából vagy a kapcsoló által küldött eszközadatokból kapja meg.
- LLDP. Az LLDP-t és a telefonoknál elterjedt LLDP-MED-et beszélő eszközök bejelentik a nevüket, a képességeiket (például telefon vagy híd), gyakran a modellt és a szoftververziót is.
- Webes forgalom. A HTTP-kérések User-Agent fejléce vagy egy regisztrációs portálon tett látogatás a böngészőt és az operációs rendszert mutatja.
- Aktív lekérdezés. SNMP-lekérdezés, nyitott portok ellenőrzése (egy nyomtató jellemzően a 9100-as porton fogad nyomtatási feladatot, egy kamera RTSP-n ad videót), mDNS- vagy NetBIOS-válaszok.
A profilszabályok ezekből pontszámot vagy bizonyossági szintet számolnak, és a jogosultságot csak egy küszöb fölött adják meg. Ha az eszköz profilja később megváltozik, a szerver jogosultságmódosító üzenettel új döntést kényszerít ki.
Elkülönített zóna az ismeretlen eszközöknek
A hitelesítésnek ritkán csak két kimenete van. A gyakorlatban több helyzet adódik, és mindegyikhez külön döntés tartozik:
- Ismeretlen eszköz. Nincs kérelmezője, és a címe nem szerepel a listán. Jellemzően egy vendég- vagy regisztrációs zónába kerül, ahonnan csak az internet vagy egy regisztrációs portál érhető el.
- Sikertelen 802.1X. Rossz jelszó, lejárt vagy visszavont tanúsítvány. Külön zónába érdemes tenni, amelyből a tanúsítvány megújításához vagy a helpdeskhez szükséges szolgáltatások elérhetők, de a belső rendszerek nem.
- Nem megfelelő állapotú eszköz. Ha a hálózati hozzáférés-vezérlés az eszköz állapotát is vizsgálja (hiányzó frissítés, kikapcsolt végpontvédelem), a hibás gép javító zónába kerülhet, ahonnan csak a frissítési szerverek érhetők el. Ehhez általában ügynökszoftver kell az eszközön.
- Elérhetetlen RADIUS-szerver. Itt üzemeltetési döntés kell: a portok maradjanak-e zárva, vagy egy előre megadott VLAN-ban engedjék tovább az eszközöket. Irodában az előbbi is elfogadható lehet, egy termelő OT-hálózatban szinte mindig az utóbbi a helyes.
Az elkülönített zónához egy külön VLAN-szám kevés, tűzfal- vagy hozzáférési szabály is kell, amely a belső hálózatok felé minden forgalmat tilt, és csak a szükséges DHCP-, DNS- és portálforgalmat engedi. Hogy a szegmensek közötti szabályok hogyan épülnek fel, arról a belső hálózat szegmentálásáról szóló cikk szól.
Gyakori meglepetés a VLAN-váltás. Ha egy eszköz már IP-címet kapott, majd a szerver egy másik VLAN-ba helyezi át, az eszköz a régi címével próbálkozik tovább, amíg a bérlete le nem jár. A jogosultságmódosításnál ezért a port rövid lekapcsolását is kérni kell, hogy az eszköz új címet kérjen.
Figyelő üzemmód és fokozatos élesítés
Ha a 802.1X egy napon minden porton élesedik, aznap minden elfelejtett nyomtató, rosszul beállított kliens és lejárt tanúsítvány egyszerre válik hibajeggyé. A bevezetést ezért figyelő üzemmóddal szokás kezdeni: a port lefuttatja a hitelesítést, a szerver naplózza az eredményt, de a hozzáférést a sikertelen eszközök is megkapják. A naplóból kiderül, ki bukna el élesben, és ebből épül fel a MAB-lista és a profilszabályok első változata.
- Figyelés. Minden hozzáférési porton bekapcsolt hitelesítés, tiltás nélkül, legalább egy teljes üzleti ciklusig, hogy a ritkán használt eszközök is megjelenjenek.
- Javítás. A kérelmezők beállítása központi házirendből, a hiányzó tanúsítványok kiosztása, a MAB-eszközök felvétele és profilozása.
- Korlátozott üzemmód. Hitelesítés előtt a port csak egy szűk hozzáférési lista szerinti forgalmat enged (DHCP, DNS, a címtár elérése), sikeres hitelesítés után a teljes jogosultságot.
- Élesítés. A tiltás bekapcsolása telephelyenként vagy kapcsolócsoportonként, az irodai hálózattal kezdve. Az OT-hálózat a sor végére kerül, egyeztetett karbantartási ablakban.
Az üzemeltetés, ami az élesítés után marad
- Legalább két RADIUS-szerver, a kapcsolókon beállított átállással, és rendszeresen kipróbált viselkedés arra az esetre, ha egyik sem válaszol.
- Egyértelmű folyamat az új eszközökre: ki veheti fel a MAB-listára, milyen adatokkal, és ki hagyja jóvá.
- A RADIUS-naplók és -elszámolási rekordok központi gyűjtése, például egy SIEM-be. Ebből látszik, melyik eszköz mikor és melyik porton jelent meg, ami egy incidens vizsgálatánál sokat számít.
- A tanúsítványok lejáratának figyelése. Egy elfelejtett kiadói vagy szervertanúsítvány lejárata egyszerre leállíthat minden tanúsítványra épülő bejelentkezést (EAP-TLS, PEAP, EAP-TTLS, TEAP).
A vezetékes 802.1X ugyanazokra a szerepekre és EAP-módszerekre épül, mint a vállalati Wi-Fi, így a kettő közös RADIUS-szerveren és közös szabályokkal kezelhető. A vezeték nélküli oldal sajátosságairól a vállalati Wi-Fi biztonságáról szóló cikk ír. Az eszközszintű azonosítás egyúttal a Zero Trust megközelítés egyik alapja is: a hálózat ott sem ad bizalmat pusztán azért, mert valaki egy belső aljzatba dugott be.
Kapcsolódó szolgáltatás: Hálózati hozzáférés-vezérlés (NAC) →
