- Bu belge kimlik kanıtlama yöntemi olarak PEAP'li (PEAP/MS-CHAPv2) Xsupplicant'ı ve arka-uç Kimlik Kanıtlama Sunucusu olarak FreeRADIUS'u kullanarak IEEE 802.1X Port Tabanlı Ağ Erişim Denetimi'ni kurmak ve kullanmak için yazılımı ve yordamları tanımlar.Eğer PEAP'ten başka bir kimlik kanıtlama mekanizması tercih edilirse, örneğin, EAP-TLS veya EAP-TTLS, sadece az sayıda yapılandırma seçeneğinin değiştirilmesine gerek vardır. PEAP/MS-CHAPv2 de Windows XP SP1/Windows 2000 SP3 tarafından desteklenir.
- 802.1X-2001 standardı şudur:“Port tabanlı ağ erişim denetimi, noktadan-noktaya bağlantı özelliklerine sahip bir yerel ağ portuna takılan cihazların kimlik doğrulaması ve yetkilendirme için ve bu sayede kimlik doğrulaması ve yetkilendirmesi başarısız olması durumunda o portuerişimden koruyarak IEEE 802 yerel ağ altyapılarının fiziksel erişim özelliklerinin kullanımına olanak sağlar. Bu bağlamda bir port, yerel ağ altyapısına ekli tekil bir noktadır.”-- 802.1X-2001, sayfa 1.
Bir kablosuz düğümün diğer yerel ağ kaynaklarına erişebilmesi için kimlik kanıtlaması yapılmalıdır.- Yeni bir telsiz düğüm (TD) bir yerel ağ kaynağına erişim isterse, erişim noktası (EN) TD'nin kimliğini sorar.TD'nin kimliği doğrulanmadan EAP'den başka hiçbir akışa izin verilmez ("port" kapalıdır).Kimlik kanıtlaması isteyen telsiz düğüme genellikle İstemci denir, aslında telsiz düğümün bir İstemci içerdiğini söylemek daha doğru olur. İstemci güven ortamını oluşturacak Kimlik Kanıtlayıcı veriye cevap vermekle sorumludur. Aynısı erişim noktası için de geçerlidir; Kimlik Kanıtlayıcı erişim noktası değildir. Şöyle ki, erişim noktası bir Kimlik Kanıtlayıcı içerir ama Kimlik Kanıtlayıcı erişim noktasında olmasa da olur; harici bir unsur da olabilir.Kimlik kanıtlama için kullanılan EAP ilk olarak çevirmeli PPP için kullanıldı. Kimlik olarak kullanıcı adı ile birlikte PAP veya CHAP [RFC1994] tarafından doğrulaması yapılacak kullanıcı parolası kullanılır. Kimlik açık (şifrelenmemiş) gönderildiği için kötü niyetli bir dinleyici kullanıcının kimliğini öğrenebilir. O zaman "Kimlik saklama" (Identity hiding) kullanılır; şifrelenmiş TLS tüneli kurulmadan gerçek kimlik gönderilmez.
- Kimlik gönderildikten sonra kimlik kanıtlama süreci başlar. İstemci ve Kimlik Kanıtlayıcı arasında kullanılan protokol EAP'tır; veya daha doğru olarak EAP kaplamalı yerel ağ'dır (EAPOL). Kimlik Kanıtlayıcı EAP iletilerini RADIUS biçimine yeniden dönüştürür ve onları Kimlik Kanıtlayıcı Sunucuya aktarır.Kimlik kanıtlama süresince, Kimlik Kanıtlayıcı sadece İstemci ve Kimlik Kanıtlama Sunucusu arasında paketleri nakleder. Kimlik kanıtlama süreci bittiğinde Kimlik Kanıtlama Sunucusu başarı (veya doğrulama başarısız olursa, başarısızlık) iletisi gönderir ve Kimlik Kanıtlayıcı "port"'u İstemci için açar.
- Başarılı bir kimlik kanıtlamadan sonra İstemci diğer yerel ağ kaynaklarına/Internete erişmeye hak kazanır.
Açıklama için Şekil 3.1'e bakınız.Neden "port" tabanlı kimlik kanıtlama deniyor? Çünkü, Kimlik Kanıtlayıcı denetimli ve denetimsiz portlarla uğraşır. Denetimli port da denetimsiz port da mantıksal varlıklardır (sanal portlar); ama yerel ağa aynı fiziksel bağlantıyı kullanırlar (aynı bağlama noktası).Kimlik kanıtlama öncesinde sadece denetimsiz port “açıktır”. Sadece EAPOL trafiğine izin verilir; Şekil 3.2'de Authenticator System 1'e bakınız. İstemci kimliği kanıtlandıktan sonra, denetimli port açılır ve diğer yerel ağ kaynaklarına erişim hakkı verilir; Şekil 3.2'de Authenticator System 2'ye bakınız.802.1X, yeni IEEE telsiz standardı 802.11i'de önemli bir rol oynar.
-
- Asıl 802.11 standartının parçası olan Wired Equivalent Privacy (WEP) güvenilirlik sağlamalıydı. Maalesef WEP güçsüz tasarlanmıştır ve kolayca kırılır. Kimlik kanıtlama mekanizması yoktur, erişim denetimi için sadece zayıf bir form mevcuttur (iletişim kurmak için paylaşımlı anahtara sahip olunmalıdır). Daha fazlasını buradan okuyun.WEP'in bozuk güvenliğine cevap olarak, IEEE 802.11i olarak isimlendirilen yeni bir telsiz güvenlik standartı ile gelmiştir. 802.1X bu yeni standartta önemli bir rol oynar.
- Haziran 2004'te onaylanan yeni güvenlik standartı, 802.11i tüm WEP zayıflıklarını onarır. Üç ana kategoriye ayrılır:
- Geçici Anahtar Tümleşikliği Protokolü (Temporary Key Integrity Protocol TKIP) tüm WEP zayıflıklarını onaran kısa-vadeli bir çözümdür. TKIP eski 802.11 ekipmanlarıyla kullanılabilir (sürücü/aygıt yazılımı güncellemesinden sonra) ve tümleşiklik ile güvenilirlik sağlar.
- CBC-MAC ile Sayaç Modu Protokolü (Counter Mode with CBC-MAC Protocol CCMP) [RFC2610] tepeden tırnağa yeni bir protokoldür. Şifreleme algoritması olarak AES [FIPS 197] kullanır ve bu RC4'ten (WEP ve TKIP'ta kullanıldı) daha yoğun işlemci kullandığından yeni 802.11 donanımına ihtiyaç duyulabilir. Bazı sürücüler yazılımda CCMP'yi uygulayabilirler. CCMP tümleşiklik ve güvenilirlik sağlar.
- 802.1X Port Tabanlı Ağ Erişim Denetimi: TKIP veya CCMP kullanılırken kimlik kanıtlama için 802.1X kullanılır.
Ek olarak, seçimlik bir şifreleme yöntemi olan "Wireless Robust Authentication Protocol" (WRAP) CCMP'nin yerine kullanılabilir. WRAP, 802.11i için AES-tabanlı asıl teklifti, ama sahiplik yükümlülükleriyle sorun yaşanınca CCMP ile değiştirildi. WRAP için destek seçime bağlıdır, ama 802.11i'de CCMP desteği zorunludur.802.11i bir sonraki kısımda tanımlanan genişletilmiş bir anahtar türetme/yönetim işlevine sahiptir.
- Şifreleme ve tümleşiklik algoritmaları kullanarak bir güvenlik kuralları bütünü oluşturmak için anahtarlar kullanılmalıdır. Neyse ki 802.11i bir anahtar türetme/yönetim tarzını içerir. Aşağıdaki şekle bakınız.
- İstemci (WN) ve Kimlik Kanıtlama Sunucusu (AS) doğrulama yaparken AS'den gönderilen doğrulamanın başarılı olduğunu söyleyen son iletilerden biri bir Ana Anahtar'dır (MK - Master Key). Gönderildikren sonra MK sadece WN ve AS tarafından bilinir. MK, WN ve AS arasındaki bu oturuma bağlıdır.
- Hem WN hem AS, MK'dan bir Ana Oturum Anahtarı (PMK - Pairwise Master Key) üretir.
- O zaman PMK AS'den Kimlik Kanıtlayıcıya (AP) taşınır. PMK'yi sadece WN ve AS türetebilir, bunun yanında AP, AS'nin yerine erişim-denetim kararları verebilir. PMK, WN ve AP arasındaki bu oturuma bağlı yepyeni bir simetrik anahtardır.
- Ana Oturum Anahtarını türetmek, bağlamak ve doğrulamak için WN ve AP arasında PMK ve 4 yönlü el sıkışma kullanılır. PTK işletimsel anahtarlar topluluğudur:
- Anahtar Doğrulama Anahtarı (KCK - Key Confirmation Key ), isminden de anlaşılacağı üzere PMK'ye sahipliği kanıtlamak ve PMK'yi AP'ye bağlamak için kullanılır.
- Anahtar Şifreleme Anahtarı (KEK - Key Encryption Key), Grup Geçiş Anahtarı (GTK - Group Transient Key) dağıtımı için kullanılır. Aşağıda tanımlanmıştır.
- Geçici Anahtar 1 ve 2 (TK1/TK2 - Temporal Key 1 & 2) şifreleme için kullanılır. TK1 ve TK2'nin kullanımı şifreleme türüne özeldir.
Ana Oturum Anahtarına göz atmak için Şekil 3.4'e bakınız. - KEK ve 4 yönlü grup elşıkışması AS'den WN'ye Grup Geçiş Anahtarını (GTK) göndermek için kullanılır. GTK aynı Kimlik Kanıtlayıcıya bağlı tüm İstemciler (WN'ler) arasında paylaşılan bir anahtardır ve çoğa gönderimli iletişim akışını güvenli kılmak için kullanılır.
Küçük çalışma odaları / evdeki çalışma odaları, amaca-yönelik ağlar veya ev kullanımı için Önpaylaşımlı Anahtar (PSK - Pre-Shared Key) kullanılabilir. PSK kullanırken tüm 802.1X kimlik kanıtlama sürecinde birşeyler eksik olur. EAP (ve RADIUS) kullanan WPA'ya "Kurumsal WPA" veya sadece "WPA" dendiği gibi buna da "Kişisel WPA" (WPA-PSK) denmiştir.[RFC2898]'den PBKDFv2 kullanılarak verilen bir paroladan 256 bitlik PSK üretilir ve yukarıdaki anahtar yönetim usulünde tanımlandığı gibi Ana Anahtar (MK) olarak kullanılır. Tüm ağ için tek bir PSK (emniyetsiz) veya her İstemciye bir PSK olabilir (daha emniyetli).
- Endüstrinin 802.11i standartının tamamlanmasını bekleyecek kadar vakti yoktu. WEP sorunlarının hemen onarılmasını istediler. Wi-Fi Alliance baskıyı hissetti, standardın (3. taslağa dayanan) "bir anlık görüntüsünü" aldı ve ona Wi-Fi Korumalı Erişim (WPA - Wi-Fi Protected Access) dedi. Tek gereksinim mevcut 802.11 ekipmanının WPA ile kullanılabilmesiydi, dolayısıyla WPA temelde TKIP + 802.1X'tir.WPA uzun vadeli çözüm değildir. Çok Güvenli Ağ (RSN - Robust Secure Network) elde etmek için donanım CCMP'yi desteklemeli ve kullanmalıdır. RSN temel olarak CCMP + 802.1X'tir.CCMP'nin yerine TKIP kullanan RSN'ye Geçiş Güvenlik Ağı'da(TSN - Transition Security Network) denir. RSN'ye WPA2 de denir, bu sayede piyasanın aklı karışmaz.Aklınız mı karıştı?Temel olarak:
- TSN = TKIP + 802.1X = WPA(1)
- RSN = CCMP + 802.1X = WPA2
Önceki bölümde tanımlandığı gibi bunlar kendi anahtar yönetimleri ile gelir.
- Genişletilebilir Kimlik Kanıtlama Protokolü (EAP - Extensible Authentication Protocol) [RFC 3748] kimlik kanıtlama için sadece iyileştirilmiş bir iletim protokolüdür, kendisi bir kimlik kanıtlama yöntemi değildir:“EAP çoklu kimlik kanıtlama yöntemlerini destekleyen bir kimlik kanıtlama çalışma çerçevesidir. EAP tipik olarak Point-to-Point Protokol(PPP) veya IEEE 802 gibi doğrudan veri iletim katmanları üzerinde IP'ye ihtiyaç duymadan çalışır. EAP çift eleme ve tekrar iletim için kendi desteğini sağlar, ama daha düşük seviyeli garantilere güvenmek durumundadır. EAP'nin kendisinde serpiştirme desteklenmez; bununla birlikte, başka bazı EAP yöntemleri bunu destekleyebilir.”-- RFC 3748, sayfa 3
- 802.1X EAP kullanıyor olduğundan çok farklı kimlik kanıtlama planları eklenebilir; akıllı kartlar, Kerberos, açık anahtar, bir kerelik parolalar ve diğerleri dahil.En çok kullanılan EAP kimlik kanıtlama mekanizmalarından bazıları aşağıda listelenmiştir. Kayıtlı EAP kimlik kanıtlama türlerinin tam bir listesi IANA'da http://www.iana.org/assignments/eap-numbers adresinde mevcuttur:
Uyarı Tüm kimlik kanıtlama mekanizmalarının güvenli olduğu düşünülmez!- EAP-MD5: MD5'li Kimlik Kanıtaması kullanıcı adı/parolaya gereksinim duyar ve PPP CHAP protokolünün [RFC1994] eşdeğeridir. Bu yöntem sözlük saldırısı direnci, karşılıklı kimlik kanıtlama veya anahtar türetimi içermez ve telsiz kimlik kanıtlama ortamında az kullanılır.
- Hafif EAP (LEAP): Kimlik kanıtlama için Kimlik Kanıtlama Sunucusuna (RADIUS) bir kullanıcı adı/parola çifti gönderilir. Leap, Cisco tarafından geliştirilmiş müseccel bir protokoldür ve güvenli olduğu düşünülmez. Cisco LEAP'i PEAP niyetine sunmuştur. Yayınlanmış bir standarta en yakın şey burada bulunabilir.
- EAP-TLS: EAP ile İstemci ve Kimlik Kanıtlama Sunucusu arasında bir TLS oturumu oluşturur. Hem sunucu hem istemci(ler) geçerli bir sertifikaya (x509) ve bununla birlikte bir PKI'ya ihtiyaç duyar. bu yöntem her iki yönde kimlik kanıtlama sağlar. EAP-TLS RFC2716]'da tanımlanmıştır.
- EAP-TTLS: Kimlik kanıtlama verisinin emniyetli iletimi için şifreli bir TLS tüneli kurar. TLS tünelinden diğer (herhangi) kimlik kanıtlama yöntemleri faydalanır. Funk Software ve Meetinghouse tarafından geliştirlmiştir ve şu an bir IETF taslağı halindedir.
- Korumalı EAP (PEAP): EAP-TTLS gibi şifreli bir TLS tüneli kullanır. Hem EAP-TTLS hem EAP-PEAP için istemci (WN) sertifikaları seçimliktir, ama sunucu (AS) sertifikaları gereklidir. Microsoft, Cisco ve RSA Security tarafından geliştirimiştir ve şu an bir IETF taslağıdır.
- EAP-MSCHAPv2: Kullanıcı adı/parolaya ihtiyaç duyar ve temel olarak MS-CHAP-v2'nin [RFC2759] EAP kaplamalı olanıdır. Genellikle PEAP şifreli tünelde kullanılır. Microsoft tarafından geliştirilmiştir ve şu an bir IETF taslağıdır.
- Uzaktan Aramalı Kullanıcı Kimlik Kanıtlama Servisi (RADIUS - Remote Authentication Dial-In User Service) (ve arkadaşları) [RFC2865]'te tanımlanmıştır ve ilk olarak, kullanıcılar, ISS'nin ağını kullanmak için yetkilendirilmeden önce kullanıcı adı ve parola doğrulaması yapacak olan ISS'ler tarafından kullanılmıştır.802.1X ne çeşit bir arka-uç kimlik kanıtlama sunucusu olması gerektiğini belirtmez, ama RADIUS, 802.1X'te kullanılan fiili arka-uç kimlik kanıtlama sunucusudur.Mevcut birçok AAA (Authentication, Authorization, Accounting) protokolü yoktur, ama hem RADIUS hem DIAMETER [RFC3588] (genişletmeler dahil) tam AAA desteği sağlarlar. AAA, Authentication (Kimlik Kanıtlama), Authorization (Yetkilendirme) ve Accounting (Hesap Yönetimi) kelimelerinin baş harflerinden oluşur (IETF'nin AAA Çalışma Grubu).
