Tweet
Chào tất cả,
Mình thấy diễn đàn có nhiều bài viết về an toàn trong WLAN rất hay. Mình muốn cùng các bạn thảo luận về IEEE 802.1X, bắt đầu bằng bài viết sau.
Triển vọng của IEEE 802.1x
IEEE 802.1x là một chuẩn IEEE để ”điều khiển truy cập mạng dựa trên port”. Nó cho phép quyết định cho hay không truy cập mạng được thực hiện tại port. Trừ khi port đã được xác thực, nó chỉ có thể được sử dụng để chuyển lưu lượng được kết hợp với quá trình xác thực. Xác thực có thể dựa trên người dùng và được quản lý tại máy chủ xác thực tập trung. Ngoài ra, 802.1x cung cấp các tuỳ chọn để phân phối khoá.
Với khả năng quản lý tập trung, quản lý người dùng thay vì thiết bị, bảo vệ mạng và phân phối khóa, 802.1X dường như là sự thay thế hợp lý cho WEP.
Sử dụng 802.1X
Giao thức 802.1X sử dụng EAP (Extensible Authentication Protocol) để mang các thông tin xác thực. Như tên đã ngụ ý “khả năng mở rộng”, EAP có thể mang nhiều giao thức xác thực thực sự.
Một ví dụ của phương pháp xác thực EAP là EAP-TLS. Giao thức này đóng gói TLS (Transport Layer Security), một giao thức được phát triển dựa trên SSL (Secure Socket Layer) được sử dụng trong duyệt web an toàn, trên đỉnh cấu trúc dữ liệu EAP. Một ví dụ khác là EAP-OTP sử dụng “mật khẩu một lần”. Để xác thực thành công, thiết bị yêu cầu truy cập mạng và kiến trúc mạng phải cùng hỗ trợ giao thức EAP.
Đáp ứng của thị trường
IEEE 802.1X xác định một giao thức mới – EAP Over LAN (EAPOL) - để mang EAP giữa thiết bị yêu cầu kết nối (supplicant) và access point được bảo vệ đến mạng (thiết bị xác thực). Tuy nhiên, nó không xác định cách để mang EAP từ thiết bị xác thực đến máy chủ xác thực.
Trong cấu hình tối ưu, máy chủ này được tập trung và dùng chung. Remote Authentication Dial In User Service (RADIUS) là một lựa chọn tự nhiên ở đây. Nhiều hạ tầng mạng cũng đã có máy chủ RADIUS để xác thực người dùng quay số vào. Cho phép chúng xác thực nhiều hình thức mạng khác nhau, bao gồm cả wireless, là khả năng dùng chung tự nhiên của tài nguyên đã được tập trung. Trong khi IEEE chỉ đề nghị sử dụng RADIUS, nó nhanh chóng trở thành máy chủ xác thực chuẩn de facto được sử dụng trong 802.1x.
Phần phân phối khóa của 802.1x không được mô tả hoàn toàn trong chuẩn. Trong khi rõ ràng EAPOL có khả năng mang các khóa trong các thông điệp EAPOL-Key của nó. Chi tiết về cách các khóa được tạo ra, khi nào những khóa này được gởi, và cách thiết lập các khóa được đồng bộ giữa các thiết bị chưa được xác định.
Thị trường làm mọi việc dễ dàng hơn
Người ta nói rằng “Ở đâu cần có một chuẩn, sẽ có tối thiểu hai cái được tạo ra”. Trong trường hợp không có chuẩn rõ ràng về cách sử dụng 802.1X với 802.11, nhiều nhà sản xuất đã thực hiện theo cách của riêng họ. Microsoft thực hiện 802.1x trong hệ điều hành Windows XP sử dụng EAP-TLS là phương pháp EAP và RADIUS là giao thức đến máy chủ. Cisco System cũng chọn RADIUS là giao thức liên lạc giữa thiết bị xác thực và máy chủ xác thực, nhưng phát triển giao thức EAP của riêng họ: EAP-Cisco wireless hay LightweightEAP (LEAP).
Trả lời của các tổ chức chuẩn
IEEE 802.11 có một nhóm TGi phụ trách về an toàn, đang phát triển 802.11i. Những yêu điểm an toàn của WEP buộc TGi phải phát hành một mô hình khác thích hợp hơn. Họ phân vân giữa một giải pháp trọn vẹn yêu cầu sử dụng các thiết bị phần cứng khác, và một giải pháp tạm thời đủ an toàn nhưng không vứt bỏ các thiết bị hiện tại. Trong lúc đó, giải pháp của Cisco và Microsoft cũng như các hãng khác, đã được chấp nhận nhanh chóng. Với những yếu điểm của WEP, các tập đoàn và các viện nghiên cứu tìm kiếm phương pháp an toàn và vẫn cung cấp sự linh động cho truy cập không dây.
Các phương pháp khác
Có những phương pháp an toàn khác không sử dụng 802.1x. Intel và Colubris đề nghị sử dụng các kỹ thuật VPN như IPSec trên 802.11. Symbol đề nghị sử dụng Kerberos. Những giao thức này được xem là khá an toàn nhưng phải trả giá trong việc sử dụng, ví dụ chi phí triển khai, gáng nặng tính toán, và tăng lưu lượng. Các giải pháp VPN thường mã hóa chỉ tại lớp IP, và do đó các lưu lượng không phải IP sẽ không an toàn. Ngoài ra, Các điểm cuối của giao tiếp VPN thường mở rộng qua các access point làm tăng thêm gánh nặng cho hạ tầng mạng.
Mình thấy diễn đàn có nhiều bài viết về an toàn trong WLAN rất hay. Mình muốn cùng các bạn thảo luận về IEEE 802.1X, bắt đầu bằng bài viết sau.
Triển vọng của IEEE 802.1x
IEEE 802.1x là một chuẩn IEEE để ”điều khiển truy cập mạng dựa trên port”. Nó cho phép quyết định cho hay không truy cập mạng được thực hiện tại port. Trừ khi port đã được xác thực, nó chỉ có thể được sử dụng để chuyển lưu lượng được kết hợp với quá trình xác thực. Xác thực có thể dựa trên người dùng và được quản lý tại máy chủ xác thực tập trung. Ngoài ra, 802.1x cung cấp các tuỳ chọn để phân phối khoá.
Với khả năng quản lý tập trung, quản lý người dùng thay vì thiết bị, bảo vệ mạng và phân phối khóa, 802.1X dường như là sự thay thế hợp lý cho WEP.
Sử dụng 802.1X
Giao thức 802.1X sử dụng EAP (Extensible Authentication Protocol) để mang các thông tin xác thực. Như tên đã ngụ ý “khả năng mở rộng”, EAP có thể mang nhiều giao thức xác thực thực sự.
Một ví dụ của phương pháp xác thực EAP là EAP-TLS. Giao thức này đóng gói TLS (Transport Layer Security), một giao thức được phát triển dựa trên SSL (Secure Socket Layer) được sử dụng trong duyệt web an toàn, trên đỉnh cấu trúc dữ liệu EAP. Một ví dụ khác là EAP-OTP sử dụng “mật khẩu một lần”. Để xác thực thành công, thiết bị yêu cầu truy cập mạng và kiến trúc mạng phải cùng hỗ trợ giao thức EAP.
Đáp ứng của thị trường
IEEE 802.1X xác định một giao thức mới – EAP Over LAN (EAPOL) - để mang EAP giữa thiết bị yêu cầu kết nối (supplicant) và access point được bảo vệ đến mạng (thiết bị xác thực). Tuy nhiên, nó không xác định cách để mang EAP từ thiết bị xác thực đến máy chủ xác thực.
Trong cấu hình tối ưu, máy chủ này được tập trung và dùng chung. Remote Authentication Dial In User Service (RADIUS) là một lựa chọn tự nhiên ở đây. Nhiều hạ tầng mạng cũng đã có máy chủ RADIUS để xác thực người dùng quay số vào. Cho phép chúng xác thực nhiều hình thức mạng khác nhau, bao gồm cả wireless, là khả năng dùng chung tự nhiên của tài nguyên đã được tập trung. Trong khi IEEE chỉ đề nghị sử dụng RADIUS, nó nhanh chóng trở thành máy chủ xác thực chuẩn de facto được sử dụng trong 802.1x.
Phần phân phối khóa của 802.1x không được mô tả hoàn toàn trong chuẩn. Trong khi rõ ràng EAPOL có khả năng mang các khóa trong các thông điệp EAPOL-Key của nó. Chi tiết về cách các khóa được tạo ra, khi nào những khóa này được gởi, và cách thiết lập các khóa được đồng bộ giữa các thiết bị chưa được xác định.
Thị trường làm mọi việc dễ dàng hơn
Người ta nói rằng “Ở đâu cần có một chuẩn, sẽ có tối thiểu hai cái được tạo ra”. Trong trường hợp không có chuẩn rõ ràng về cách sử dụng 802.1X với 802.11, nhiều nhà sản xuất đã thực hiện theo cách của riêng họ. Microsoft thực hiện 802.1x trong hệ điều hành Windows XP sử dụng EAP-TLS là phương pháp EAP và RADIUS là giao thức đến máy chủ. Cisco System cũng chọn RADIUS là giao thức liên lạc giữa thiết bị xác thực và máy chủ xác thực, nhưng phát triển giao thức EAP của riêng họ: EAP-Cisco wireless hay LightweightEAP (LEAP).
Trả lời của các tổ chức chuẩn
IEEE 802.11 có một nhóm TGi phụ trách về an toàn, đang phát triển 802.11i. Những yêu điểm an toàn của WEP buộc TGi phải phát hành một mô hình khác thích hợp hơn. Họ phân vân giữa một giải pháp trọn vẹn yêu cầu sử dụng các thiết bị phần cứng khác, và một giải pháp tạm thời đủ an toàn nhưng không vứt bỏ các thiết bị hiện tại. Trong lúc đó, giải pháp của Cisco và Microsoft cũng như các hãng khác, đã được chấp nhận nhanh chóng. Với những yếu điểm của WEP, các tập đoàn và các viện nghiên cứu tìm kiếm phương pháp an toàn và vẫn cung cấp sự linh động cho truy cập không dây.
Các phương pháp khác
Có những phương pháp an toàn khác không sử dụng 802.1x. Intel và Colubris đề nghị sử dụng các kỹ thuật VPN như IPSec trên 802.11. Symbol đề nghị sử dụng Kerberos. Những giao thức này được xem là khá an toàn nhưng phải trả giá trong việc sử dụng, ví dụ chi phí triển khai, gáng nặng tính toán, và tăng lưu lượng. Các giải pháp VPN thường mã hóa chỉ tại lớp IP, và do đó các lưu lượng không phải IP sẽ không an toàn. Ngoài ra, Các điểm cuối của giao tiếp VPN thường mở rộng qua các access point làm tăng thêm gánh nặng cho hạ tầng mạng.
Comment