Bu belge kimlik kanıtlama yöntemi olarak PEAP'li (PEAP/MS-CHAPv2) Xsupplicant'ı ve arka-uç Kimlik Kanıtlama Sunucusu olarak FreeRADIUS'u kullanarak IEEE 802.1X Port Tabanlı Ağ Erişim Denetimi'ni kurmak ve kullanmak için yazılımı ve yordamları tanımlar.
Eğer PEAP'ten başka bir kimlik kanıtlama mekanizması tercih edilirse, örneğin, EAP-TLS veya EAP-TTLS, sadece az sayıda yapılandırma seçeneğinin değiştirilmesine gerek vardır. PEAP/MS-CHAPv2 de Windows XP SP1/Windows 2000 SP3 tarafından desteklenir.
802.1X-2001 standardı şudur:
←Port tabanlı ağ erişim denetimi, noktadan-noktaya bağlantı özelliklerine sahip bir yerel ağ portuna takılan cihazların kimlik doğrulaması ve yetkilendirme için, ve bu sayede kimlik doğrulaması ve yetkilendirmesi başarısız olması durumunda o portuerişimden koruyarak IEEE 802 yerel ağ altyapılarının fiziksel erişim özelliklerinin kullanımına olanak sağlar. Bu bağlamda bir port, yerel ağ altyapısına ekli tekil bir noktadır.→
|--802.1X-2001, sayfa 1.|
Kimlik kanıtlaması isteyen telsiz düğüme genellikle İstemci denir, aslında telsiz düğümün bir İstemci içerdiğini söylemek daha doğru olur. İstemci güven ortamını oluşturacak Kimlik Kanıtlayıcı veriye cevap vermekle sorumludur. Aynısı erişim noktası için de geçerlidir; Kimlik Kanıtlayıcı erişim noktası değildir. Şöyle ki, erişim noktası bir Kimlik Kanıtlayıcı içerir ama Kimlik Kanıtlayıcı erişim noktasında olmasa da olur; harici bir unsur da olabilir.
Kimlik kanıtlama için kullanılan EAP ilk olarak çevirmeli PPP için kullanıldı. Kimlik olarak kullanıcı adı ile birlikte PAP veya CHAP [RFC1994] tarafından doğrulaması yapılacak kullanıcı parolası kullanılır. Kimlik açık (şifrelenmemiş) gönderildiği için kötü niyetli bir dinleyici kullanıcının kimliğini öğrenebilir. O zaman "Kimlik saklama" (Identity hiding) kullanılır; şifrelenmiş TLS tüneli kurulmadan gerçek kimlik gönderilmez.
Kimlik kanıtlama süresince, Kimlik Kanıtlayıcı sadece İstemci ve Kimlik Kanıtlama Sunucusu arasında paketleri nakleder. Kimlik kanıtlama süreci bittiğinde Kimlik Kanıtlama Sunucusu başarı (veya doğrulama başarısız olursa, başarısızlık) iletisi gönderir ve Kimlik Kanıtlayıcı "port"'u İstemci için açar.
Açıklama için Şekil 4.1'e bakınız.
Neden "port" tabanlı kimlik kanıtlama deniyor? Çünkü, Kimlik Kanıtlayıcı denetimli ve denetimsiz portlarla uğraşır. Denetimli port da denetimsiz port da mantıksal varlıklardır (sanal portlar); ama yerel ağa aynı fiziksel bağlantıyı kullanırlar (aynı bağlama noktası).
Kimlik kanıtlama öncesinde sadece denetimsiz port ←açıktır→. Sadece EAPOL trafiğine izin verilir; Şekil 4.2'de Authenticator System 1'e bakınız. İstemci kimliği kanıtlandıktan sonra, denetimli port açılır ve diğer yerel ağ kaynaklarına erişim hakkı verilir; Şekil 4.2'de Authenticator System 2'ye bakınız.
802.1X, yeni IEEE telsiz standardı 802.11i'de önemli bir rol oynar.
Asıl 802.11 standartının parçası olan Wired Equivalent Privacy (WEP) güvenilirlik sağlamalıydı. Maalesef WEP güçsüz tasarlanmıştır ve kolayca kırılır. Kimlik kanıtlama mekanizması yoktur, erişim denetimi için sadece zayıf bir form mevcuttur (iletişim kurmak için paylaşımlı anahtara sahip olunmalıdır). Daha fazlasını buradan okuyun.
WEP'in bozuk güvenliğine cevap olarak, IEEE 802.11i olarak isimlendirilen yeni bir telsiz güvenlik standartı ile gelmiştir. 802.1X bu yeni standartta önemli bir rol oynar.
Haziran 2004'te onaylanan yeni güvenlik standartı, 802.11i tüm WEP zayıflıklarını onarır. Üç ana kategoriye ayrılır:
Ek olarak, seçimlik bir şifreleme yöntemi olan "Wireless Robust Authentication Protocol" (WRAP) CCMP'nin yerine kullanılabilir. WRAP, 802.11i için AES-tabanlı asıl teklifti, ama sahiplik yükümlülükleriyle sorun yaşanınca CCMP ile değiştirildi. WRAP için destek seçime bağlıdır, ama 802.11i'de CCMP desteği zorunludur.
802.11i bir sonraki kısımda tanımlanan genişletilmiş bir anahtar türetme/yönetim işlevine sahiptir.
Şifreleme ve tümleşiklik algoritmaları kullanarak bir güvenlik kuralları bütünü oluşturmak için anahtarlar kullanılmalıdır. Neyse ki 802.11i bir anahtar türetme/yönetim tarzını içerir. Aşağıdaki şekle bakınız.
Ana Oturum Anahtarını göz atmak için Şekil 4.4'e bakınız.
Küçük çalışma odaları / evdeki çalışma odaları, amaca-yönelik ağlar veya ev kullanımı için Önpaylaşımlı Anahtar (PSK - Pre-Shared Key) kullanılabilir. PSK kullanırken tüm 802.1X kimlik kanıtlama sürecinde birşeyler eksik olur. EAP (ve RADIUS) kullanan WPA'ya "Kurumsal WPA" veya sadece "WPA" dendiği gibi buna da "Kişisel WPA" (WPA-PSK) denmiştir.
[RFC2898]'den PBKDFv2 kullanılarak verilen bir paroladan 256 bitlik PSK üretilir ve yukarıdaki anahtar yönetim usulünde tanımlandığı gibi Ana Anahtar (MK) olarak kullanılır. Tüm ağ için tek bir PSK (emniyetsiz) veya her İstemciye bir PSK olabilir (daha emniyetli).
Endüstrinin 802.11i standartının tamamlanmasını bekleyecek kadar vakti yoktu. WEP sorunlarının hemen onarılmasını istediler. Wi-Fi Alliance baskıyı hissetti, standardın (3. taslağa dayanan) "bir anlık görüntüsünü" aldı ve ona Wi-Fi Korumalı Erişim (WPA - Wi-Fi Protected Access) dedi. Tek gereksinim mevcut 802.11 ekipmanının WPA ile kullanılabilmesiydi, dolayısıyla WPA temelde TKIP + 802.1X'tir.
WPA uzun vadeli çözüm değildir. Çok Güvenli Ağ (RSN - Robust Secure Network) elde etmek için donanım CCMP'yi desteklemeli ve kullanmalıdır. RSN temel olarak CCMP + 802.1X'tir.
CCMP'nin yerine TKIP kullanan RSN'ye Geçiş Güvenlik Ağı'da(TSN - Transition Security Network) denir. RSN'ye WPA2 de denir, bu sayede piyasanın aklı karışmaz.
Aklınız mı karıştı?
Temel olarak:
Önceki bölümde tanımlandığı gibi bunlar kendi anahtar yönetimleri ile gelir.
Genişletilebilir Kimlik Kanıtlama Protokolü (EAP - Extensible Authentication Protocol) [RFC 3748] kimlik kanıtlama için sadece iyileştirilmiş bir iletim protokolüdür, kendisi bir kimlik kanıtlama yöntemi değildir:
←EAP çoklu kimlik kanıtlama yöntemlerini destekleyen bir kimlik kanıtlama çalışma çerçevesidir. EAP tipik olarak Point-to-Point Protokol(PPP) veya IEEE 802 gibi doğrudan veri iletim katmanları üzerinde IP'ye ihtiyaç duymadan çalışır. EAP çift eleme ve tekrar iletim için kendi desteğini sağlar, ama daha düşük seviyeli garantilere güvenmek durumundadır. EAP'nin kendisinde serpiştirme desteklenmez; bununla birlikte, başka bazı EAP yöntemleri bunu destekleyebilir.→
|--RFC 3748, sayfa 3|
802.1X EAP kullanıyor olduğundan çok farklı kimlik kanıtlama planları eklenebilir; akıllı kartlar, Kerberos, açık anahtar, bir kerelik parolalar ve diğerleri dahil.
En çok kullanılan EAP kimlik kanıtlama mekanizmalarından bazıları aşağıda listelenmiştir. Kayıtlı EAP kimlik kanıtlama türlerinin tam bir listesi IANA'da http://www.iana.org/assignments/eap-numbers adresinde mevcuttur:
|Uyarı|
Tüm kimlik kanıtlama mekanizmalarının güvenli olduğu düşünülmez!
Uzaktan Aramalı Kullanıcı Kimlik Kanıtlama Servisi (RADIUS - Remote Authentication Dial-In User Service) (ve arkadaşları) [RFC2865]'te tanımlanmıştır ve ilk olarak, kullanıcılar, ISS'nin ağını kullanmak için yetkilendirilmeden önce kullanıcı adı ve parola doğrulaması yapacak olan ISS'ler tarafından kullanılmıştır.
802.1X ne çeşit bir arka-uç kimlik kanıtlama sunucusu olması gerektiğini belirtmez, ama RADIUS, 802.1X'te kullanılan fiili arka-uç kimlik kanıtlama sunucusudur.
Mevcut birçok AAA (Authentication, Authorization, Accounting) protokolü yoktur, ama hem RADIUS hem DIAMETER [RFC3588] (genişletmeler dahil) tam AAA desteği sağlarlar. AAA, Authentication (Kimlik Kanıtlama), Authorization (Yetkilendirme) ve Accounting (Hesap Yönetimi) kelimelerinin baş harflerinden oluşur (IETF'nin AAA Çalışma Grubu).