Az intézményi hálózathoz való hozzáférés szabályozása

Átírás

1 Az intézményi hálózathoz való hozzáférés szabályozása Budai Károly NETWORKSHOP Széchenyi István Egyetem Gyor április IBM Corporation

2 Témakörök A jelenlegi helyzet, új feladatok A vezeték nélküli hozzáférés veszélyei a szabályozást támogató eljárások A hozzáférés szabályozási lehetoségei hagyományos módszerek 802.1x 2 NETWORKSHOP Széchenyi István Egyetem Gyor április 5.

3 Intézményi hálózat, védendo értékek HBONE csoportmunka alkalmazások, adatok nagysebességu Internet elérés Intézményi hálózat egyedi munkaállomások központi alkalmazások, adatbázisok 3 NETWORKSHOP Széchenyi István Egyetem Gyor április 5. hálózati eszközök

4 PWR ACT/ WIC0CH0 OK ACT/CH0 WIC0 ETH ACT COL IBM Magyarországi Kft. Hálózati szolgáltatások Elterjedt hozzáférési és szabályozási módok HBONE Internet VPN személyhez kötött elérés; szabályozható felhasználás; titkosítás ISDN PSTN nyilvános elérés; a felhasználás tuzfallal szabályozott Intézményi hálózat távoli elérés személyhez kötött elérés; szabályozható felhasználás 4 NETWORKSHOP Széchenyi István Egyetem Gyor április 5.

5 PWR ACT/ WIC0CH0 OK ACT/CH0 WIC0 ETH ACT COL IBM Magyarországi Kft. Hálózati szolgáltatások Új felületek, feladatok Rohamosan terjedo vezeték nélküli hálózatok Nyilvános helyeken lévo vezetékes csatlakozások HBONE Intézményi hálózat 5 NETWORKSHOP Széchenyi István Egyetem Gyor április 5.

6 PWR OK WIC 0 ACT/ CH0 ACT/ CH1 W IC0 ACT/CH0 ETH ACT COL IBM Magyarországi Kft. Hálózati szolgáltatások A tárgyalt vezeték nélküli helyi hálózatok szabvány alapján muködo WLAN-ok (Wireless LAN: vezeték nélküli helyi hálózat) Hozzáférési pont alapú megoldások a vezetékes infrastruktúrára kapcsolt Access Point (AP) és a felhasználói eszközben lévo kliens munkaállomás, hordozható és kézi számítógép (PDA) stb. WLAN kártya meghajtó és kezeloi szoftverekkel 6 NETWORKSHOP Széchenyi István Egyetem Gyor április 5.

7 P WR O K W IC0 AC T/C H0 AC T/CH 1 WI C0 ET H A CT /CH 0 AC T A CT/ CH1 CO L IBM Magyarországi Kft. Hálózati szolgáltatások A vezeték nélküli hozzáférés veszélyei A vezeték nélküli kommunikáció átlépi az intézmény fizikai határait sokszor szándékosan Relatív olcsó, egyszeru eszközökkel használható Így fennáll a veszélye: az illetéktelen, ellenorizetlen hozzáférésnek az értékes kommunikáció lehallgatásának a hálózat illegális kiterjesztésének 7 NETWORKSHOP Széchenyi István Egyetem Gyor április 5.

8 PWR OK WIC 0 ACT/ CH0 ACT/ CH1 W IC0 ACT/CH0 ETH ACT COL IBM Magyarországi Kft. Hálózati szolgáltatások A WLAN szabványok vonatkozó elemei I. A WLAN szabványok: IEEE b, -g és a Logikai vezeték nélküli szegmensek kialakításának lehetosége WLAN VLAN Service Set Identifier (SSID) nem biztonsági funkció az AP rendszeresen hirdeti titkosítás nélkül csoportmunka kutatás adminisztráció 8 NETWORKSHOP Széchenyi István Egyetem Gyor április 5.

9 A WLAN szabványok vonatkozó elemei II. Titkosítási lehetoség WEP Wired Equivalent Privacy: RC4 algoritmus, legalább 40 bites kulcs Hitelesítési lehetoség a WEP kulcs az azonosító Meglehetosen alacsony biztonság a kulcshoz könnyu hozzájutni, de nehéz adminisztrálni lehallgatással rövid ido alatt megfejtheto a kulcs (nyilvános eszközök vannak hozzá) 9 NETWORKSHOP Széchenyi István Egyetem Gyor április 5.

10 Az IEEE 802.1X Port alapú hálózati hozzáférés vezérlo eljárás nem csak WLAN-hoz a megoldás kereteit határozza meg Egyedi azonosításhoz kötött hitelesítés EAP Extensible Authentication Protocol (RFC2284) alkalmazása: EAPOL (EAP Over LANs): EAP + vezérlési feladatok Nagyobb biztonságú titkosítás dinamikus kulcs kiosztás lehetosége egy-egy párbeszédre szóló, egyedi kulcsok a párbeszédek idovel lejárnak és új kulcsokat kell kiadni külön broadcast kulcs használható kulcsátvitel négy utas kézfogással (802.1aa) 10 NETWORKSHOP Széchenyi István Egyetem Gyor április 5.

11 PWR OK WIC 0 ACT/ CH0 ACT/ CH1 W IC0 ACT/CH0 ETH ACT COL IBM Magyarországi Kft. Hálózati szolgáltatások EAP kommunikáció a 802.1x szerint Kliens: Supplicant AP vagy LAN kapcsoló: Authentikator RADIUS szerver: Authentication Server EAPOL EAP in RADIUS Data General : Association EAPOL Start EAP ID Request EAP ID Response EAP AUTH Request EAP Auth Response EAP Success RADIUS Access Request (EAP) RADIUS Access Challenge (EAP) RADIUS Access Request (EAP) RADIUS Access Accept (EAP) EAPOL Key EAPOL Logoff EAP 11 NETWORKSHOP Széchenyi István Egyetem Gyor április 5.

12 Hitelesítési protokollok EAP típusok EAP-MD5 egyoldalú hitelesítés; nincs dinamikus kulcs kiosztás vezetékes hozzáféréshez elegendo lehet Lightweight EAP (LEAP) Cisco specifikus kölcsönös jelszavas hitelesítés és kulcs kiosztási lehetoség EAP with Transport Layer Security (EAP TLS) RFC 2716 mindkét oldalnak digitális tanúsítvánnyal kell hitelesítenie magát EAP with Tunneled TLS (EAP TTLS), illetve Protected EAP (PEAP) RFC draft-ok szerver oldalon digitális tanúsítvány, kliens oldalon lehet csak jelszavas megoldás is 12 NETWORKSHOP Széchenyi István Egyetem Gyor április 5.

13 EAP típusok összehasonlítása EAP- MD5 LEAP EAP-TLS EAP-TTLS PEAP Szerver hitelesítés nincs jelszó digitális tanúsítvány digitális tanúsítvány digitális tanúsítvány Kliens hitelesítés jelszó jelszó digitális tanúsítvány CHAP, PAP, MS- CHAP(v2), EAP bármely EAP, pl. EAP-MS- CHAPv2 vagy digitális tanúsítvány Dinamikus kulcsosztás lehetosége nem igen igen igen igen Szabvány igen nem igen tervezet tervezet 13 NETWORKSHOP Széchenyi István Egyetem Gyor április 5.

14 Titkosítási módszerek tendenciái WEP 128 bites kulcs használata i tervek: két alternatíva WEP fejlesztése: TKIP (Temporal Key Integrity Protocol) vagy AES (Advanced Encryption Standard) használata tipikusan új hardvert fog igényelni (AP, kártya) Még nincs egyértelmu szabvány, gyakorlat! 14 NETWORKSHOP Széchenyi István Egyetem Gyor április 5.

15 802.1x gyakorlati megfontolások A 802.1x képesség önmagában kevés Célszeru az EAP-TTLS, illetve PEAP használata vélhetoen lesz i kompatibilis változatuk Windows környezetben: PEAP Sokszínu kliens környezetben: EAP-TTLS A RADIUS szerverek általában több módot is tudnak egyidejuleg támogatni Az AP és a kártya kell tudjon közös nyelvet kritikus kérdés, hogy legyen azonos titkosítási mód is 15 NETWORKSHOP Széchenyi István Egyetem Gyor április 5.

16 Védekezés illegális AP ellen A vezetékes portok fizikai védelme A fizikailag nem védhetok esetében folyamatos, illetve idoszakos ellenorzések SNMP monitorozás (MAC címek, eszköz azonosítók) vezeték nélküli megfigyelések (PDA kártyával) szabályozni a felhasználási lehetoségeket külön VLAN tuzfalas védelemmel személyhez kötött elérést alkalmazni 802.1x ezeken a vezetékes portokon 16 NETWORKSHOP Széchenyi István Egyetem Gyor április 5.

17 PWR ACT/ WIC0CH0 OK ACT/CH0 WIC0 ETH ACT COL PWR ACT/ WIC0CH0 OK ACT/CH0 WIC0 ETH ACT COL IBM Magyarországi Kft. Hálózati szolgáltatások Szabályozási lehetoségek hagyományos módszerekkel HBONE Intézményi hálózat szurés regisztrált MAC címekre VPN alkalmazása külön VLAN vagy szegmens; tuzfalas védelem 17 NETWORKSHOP Széchenyi István Egyetem Gyor április 5.

18 Szabályozás a 802.1x alkalmazásával Még nem teljesen kiforrottak a szabványok, megoldások, különösen heterogén környezetre Ami egyértelmunek látszik kell hozzá felhasználó regisztráció és hitelesíto szerver RADIUS minél több EAP változattal, frissítési lehetoséggel az alkalmazott AP minimum 802.1x-et tudjon azonnali és frissítési lehetoség EAP-ok vonatkozásában a WEP képesség elég lehet, AES nem feltétlen kritérium célszeru lehet a kártyákra is ajánlást tenni EAP támogatás és WEP Wi-Fi Certified lehet kritérium, közös nevezo WPA szintek (Wi-Fi Protected Access) Érdemes elindulni és tapasztalatokat gyujteni Kritikus vezetékes esetekre is jó 18 NETWORKSHOP Széchenyi István Egyetem Gyor április 5.

19 Köszönöm a figyelmet! További informálódási lehetoségek: Itt a Networkshop-on: Jákó András: Wireless LAN a Muegyetemen (szerda, 11:20 D terem) Az Interneten: gyártói oldalak 19 NETWORKSHOP Széchenyi István Egyetem Gyor április 5.