Daniel Lenkiewicz

Bartłomiej Nowak

Bartosz Próchniak

Mariusz Redwanz

STANDARD IEEE 802.1X - laboratorium

IEEE 802.1X jest standardem kontroli dostępu do sieci przewodowych i bezprzewodowych.

Standard ten zapewnia mechanizm uwierzytelniania urządzeń w momencie podłączenia się do sieci
LAN lub WLAN.

IEEE 802.1X zabezpiecza warstwę graniczną sieci poprzez wymuszanie

uwierzytelnienia i autoryzacji na poziomie fizycznego punktu przyłączenia przewodu sieciowego
(np. na przełączniku sieciowym). Pomaga w ten sposób uniknąć podłączeń nieznanych hostów do
sieci intranetowej. Alternatywnie IEEE 802.1X może zostać tak skonfigurowany, aby umożliwiać
nierozpoznanym klientom dostęp jedynie do specjalnie wydzielonej podsieci wirtualnej (VLAN).
Podsieć taka może zostać przystosowana specjalnie na potrzeby komputerów-gości.

Środowisko IEEE 802.1X określa się za pomocą trzech elementów:

- klienta (suplikanta),
- urządzenia granicznego,
- serwera uwierzytelniającego.
Klientem jest urządzenie próbujące uzyskać dostęp do sieci przyłączonej do urządzenia granicznego.
Urządzeniem granicznym jest przełącznik lub punkt dostępowy, który wymusza uwierzytelnienie
klienta przed udzieleniem dostępu do sieci. W większości przypadków urządzenie graniczne nie
dokonuje jednoznacznego uwierzytelniania, a jedynie przekazuje dane klienta wraz z pozostałymi
informacjami o połączeniu do serwera uwierzytelniającego. Serwer uwierzytelniający dokonuje
uwierzytelnienia i autoryzacji klienta w imieniu urządzenia granicznego. W chwili otrzymania
informacji o próbie połączenia, serwer dokonuje ewaluacji jego danych oraz sprawdza uprawnienia
dostępu. Następnie informacja o wyniku autoryzacji jest zwracana do urządzenia granicznego, które
zezwala bądź nie zezwala na dostęp do sieci (ewentualnie kieruje klienta do podsieci wirtualnej). Pod
pojęciem serwera uwierzytelniającego można rozumieć:
a. Komponent przełącznika/punktu dostępowego

W tym wypadku przełącznik/punkt dostępowy musi zostać skonfigurowany do współpracy z
klientami, w szczególności muszą zostać określone dane logowania i uprawnienia dostępu. Z
reguły nie korzysta się z możliwości połączenia roli urządzenia granicznego i serwera
uwierzytelniającego, gdyż takie zarządzanie zabezpieczeniami jest skomplikowane, a samo
rozwiązanie mało skalowalne.

b. Dedykowany komputer w sieci

W tym wypadku przełącznik przekazuje dane logowania i informacje o połączeniu do serwera
uwierzytelniającego.

klient (suplikant)

urządzenie

graniczne

serwer

uwierzytelniający

zabezpieczona

sieć

Rysunek 1 Środowisko IEEE 802.1X.

Gdy nowy klient próbuje podłączyć się do sieci, cały ruch od tego urządzenia blokowany jest

przez urządzenie graniczne, za wyjątkiem ruchu uwierzytelniającego. Następnie wysyłane jest do
podłączającego się żądanie identyfikacji. Dalsza wymiana informacji zależy od zastosowanych
protokołów i metod uwierzytelniania. Urządzenie graniczne komunikuje się z serwerem
uwierzytelniania, który decyduje, czy podłączające się urządzenie można dopuścić do sieci. Jeżeli
proces przebiegnie poprawnie urządzenie graniczne odblokowuje ruch od nowego urządzenia do
sieci, a także (w przypadku niektórych protokołów uwierzytelniania) może przekazać mu dodatkowe
informacje otrzymane od serwera uwierzytelniania, na przykład klucze szyfrujące pozwalające na
zabezpieczenie przesyłanego ruchu, czy opcje konfiguracyjne. Jeśli nowe urządzenie zostanie
odrzucone przez serwer uwierzytelniania, urządzenie graniczne wymusza jego całkowite odłączenie
od sieci.

Protokół 802.1X jest protokołem transportowym, pozwalającym na wymianę informacji

pomiędzy suplikantem i urządzeniem granicznym. Protokół 802.1X pracuje w warstwie drugiej
modelu ISO-OSI (łącza danych), tak więc bez poprawnego uwierzytelnienia, niemożliwe jest
skorzystanie z jakichkolwiek usług sieciowych, czy też (celowe lub przypadkowe) zakłócenie ich pracy.
Blokada dostępu w tak niskiej warstwie pozwala na osiągnięcie bardzo wysokiego poziomu
bezpieczeństwa: urządzenia graniczne są w stanie separować wszystkie warstwy od drugiej włącznie,
a warstwa pierwsza (fizyczna) jest rozdzielana w przypadku praktycznie każdego z urządzeń
sieciowych (za wyjątkiem rzadko już spotykanych koncentratorów sieciowych, pracujących w
warstwie fizycznej).

Warstwa aplikacji

Warstwa transportowa

Warstwa sieciowa

Warstwa łącza danych

Warstwa łącza danych

Warstwa fizyczna

Warstwa fizyczna

Rysunek 2 Separacja dwóch segmentów sieci z użyciem urządzenia granicznego.

Protokół 802.1X okazał się na tyle niezawodny i elastyczny, że w chwili obecnej może być

stosowany praktycznie we wszystkich najpopularniejszych rodzajach sieci dostępowych:
- łączach pętli abonenckiej opartych na protokole PPP (np. PPP, PPP over Ethernet, PPP over ATM),
- serwerach VPN,
- sieciach lokalnych typu Ethernet,
- sieciach bezprzewodowych typu WLAN.
Pozwala on zatem na stworzenie jednolitej struktury mechanizmów uwierzytelniania w złożonej sieci
komputerowej, obejmującej zarówno klasyczne sieci LAN, sieci bezprzewodowe WLAN, łącza VPN czy
dostępowe łącza abonenckie.

Przełącznik

(urządzenie graniczne)

Przełącznik Ethernet

Serwer uwierzytelniający

Punkt dostępowy

(urządzenie graniczne)

Klient

(suplikant)

Klient

(suplikant)

sieć

zabezpieczona

Rysunek 3 Przykład wspólnego dla sieci przewodowej i bezprzewodowej systemu uwierzytelniania.

Inną cechą, która decyduje o sukcesie protokołu 802.1X, jest fakt, iż jest to protokół

transportowy, pozwalający na użycie wielu protokołów uwierzytelniania, które z kolei mogą
wykorzystywać całą gamę metod uwierzytelniania. Protokół 802.1X zapewnia przenoszenie
wiadomości generowanych przez te protokoły i metody, dając podstawy do stworzenia bardzo
elastycznego i możliwego do praktycznie dowolnej rozbudowy systemu bezpieczeństwa.

Jak wspomniano przed chwilą, protokół 802.1X pozwala na zastosowanie całej gamy

protokołów i metod uwierzytelniania. Najpopularniejszym stosowanym protokołem uwierzytelniania
jest, w chwili obecnej, Extensible Authentication Protocol (EAP). Stanowi on platformę, która
umożliwia obu stronom procesu uwierzytelniania na wymianę wiadomości oraz zawiera mechanizmy
pozwalające obu stronom procesu uwierzytelniania na dokonanie wyboru najlepszego,
obsługiwanego przez obie strony, sposobu uwierzytelniania.

Poniżej przedstawiony został podstawowy format ramki EAP.

Kod

Identyfikator

Długość

Dane

1

1

2

zmienna długość

Rysunek 4 Podstawowy format ramki EAP.

Kod jest polem jednobajtowym i identyfikuje typ pakietu EAP. Kod 1 oznacza ramkę Request, 2 –
Response, 3 – Success, natomiast 4 – Failure. Kolejnym, również jednobajtowym, jest identyfikator,
który służy do dopasowania odpowiedzi do żądania. Pole długości ma dwa bajty i określa rozmiar
pakietu w bajtach. Pole danych może mieć 0 lub więcej bajtów. Format danych zależy od pola kodu.
Komunikacja w protokole EAP jest wymianą pakietów Request/Response, aż do momentu odebrania
pakietu Success lub Failure.

Protokół EAP przenoszony z użyciem protokołu 802.1X nazywany jest często EAP over LAN

(EAPoL), jako że jego komunikaty przenoszone są bezpośrednio przez warstwę drugą sieci – bez
użycia dodatkowych protokołów sieciowych (warstwa trzecia) czy transportowych (warstwa czwarta),
takich jak IP, UDP czy TCP.
Należy pamiętać, że 802.1X, a zatem i EAPoL, stosowany jest pomiędzy suplikantem, a urządzeniem
granicznym. Komunikacja pomiędzy urządzeniem granicznym a serwerem uwierzytelniania odbywa
się już z pomocą protokołu RADIUS (a w przypadku stosowania protokołu EAP – EAP over RADIUS),
opartego na protokole UDP.

Metody uwierzytelniania

Protokoły uwierzytelniania

802.1x

RADIUS

UDP

IP

802.3/802.11/...

802.3/...

Urządzenie graniczne

Urządzenie graniczne

Klient (suplikant)

Klient (suplikant)

Serwer uwierzytelniający

Serwer uwierzytelniający

802.1x

RADIUS

Rysunek 5 Model warstwowy protokołów uwierzytelniania na odcinkach suplikant - urządzenie graniczne i urządzenie

graniczne - serwer uwierzytelniający.

Metod uwierzytelniania, czyli mechanizmy które są w stanie potwierdzić tożsamość

użytkownika różnymi sposobami, wykorzystywane razem z protokołem EAP można podzielić na trzy
grupy:
a. metody z kluczem symetrycznym - klient i serwer uwierzytelniający zestawiają pomiędzy sobą

zaufane połączenie poprzez udowodnienie znajomości sekretnego klucza przez jedną i drugą
stronę. Metody z kluczem symetrycznym mają tą zaletę, że nie wymagają dużej złożoności
obliczeniowej. Natomiast wadą jest to, że większość użytkowników wybiera słabe hasła a przez to
metoda ta jest podatna na ataki słownikowe.
- MD5 - jest najbardziej popularną metodą, która daje podstawowe zabezpieczenie.
Wykorzystywany jest tu jednostronny algorytm hash'ujący w połączeniu z sekretnym kluczem i
zadaniem, którego rozwiązanie potwierdza znajomość klucza przez klienta. W momencie, gdy
hacker podsłucha zadanie oraz jego zahash'owaną odpowiedź, może w łatwy sposób uzyskać
sekretny klucz poprzez wrzucanie wyrazów ze słownika aż uzyska tą samą odpowiedź. Hacker
znając hasło klienta może w prosty sposób podszyć się pod klienta. Ponadto poprzez
jednostronne uwierzytelnianie i słabość algorytmu, MD5 jest podatny na ataki typu Man-in-the-
Middle - hacker może podszyć się pod punkt dostępowy i przejąć sesje klienta.
- LEAP (Lightweight EAP) – został zaprojektowany przez Cisco dla sieci bezprzewodowych. W
przeciwieństwie do MD5, LEAP używa dwustronnego uwierzytelnienia, co pozwala wyeliminować
ataki Man-in-the-Middle. Szyfruje on dane używając dynamicznie zmieniającego się kluczy WEP.

W LEAP klucze sesyjne są unikatowe dla każdego klienta. Niestety LEAP jest podatny analogicznie
do MD5 na ataki słownikowe.

b. metody z kluczem publicznym - do zaszyfrowania wiadomości używany jest klucz publiczny

natomiast do jego odszyfrowania służy wyłącznie klucz prywatny. By dowieść o prawidłowości
klienckiego klucza publicznego, serwer uwierzytelniający musi zestawić zaufane połączenie w
oparciu o autoryzowane certyfikaty CA.
- TLS (Transport Layer Security) - całkowicie odporny na łamanie haseł, ze względu na to, że nie
jest od nich zależny. TLS oparty jest na dwustronnego uwierzytelniania bazującym na
certyfikatach X.509, co pozwala wyeliminować ataki Man-in-the-Middle. Ponadto dynamicznie
generuje i odpowiednio rozprowadza pomiędzy klientami odpowiednio klucze publiczne i
prywatne służące do zabezpieczenia połączenia. Jedyną wadą TLS jest, że wymaga się od dwóch
stron ważnych certyfikatów, co powoduje rudności administracyjne.

c. metody z tunelowaniem - główną zaletą tunelów jest to, że realizują ochronę tożsamości.

Używanie tunelów i metod tunelowych pozwala na ukrycie tożsamości klienta. Ze względu na to,
że w pierwszej fazie jest zestawiany tunel a dopiero w drugiej następuje faktyczne
uwierzytelnianie, metody te są tak samo bezpieczne jak TLS.
- TTLS (Tunneled TLS) - jest rozwinięciem TLS. Proces uwierzytelniania przebiega tutaj w dwóch
fazach. W pierwszej serwer wstępnie uwierzytelnia klienta na podstawie certyfikatów X.509.
Jednak w tym przypadku wymagany jest wyłącznie certyfikat serwera. Po wymianie certyfikatów
zestawiany jest szyfrowany tunel. W fazie drugiej przesyłane są już przez tunel dane potrzebne
do uwierzytelnienia.
- PEAP (Protected EAP) – metoda o bardzo podobnej funkcjonalności do TTLS. Został
zaproponowany przez firmy Microsoft, CISCO oraz RSA Security jako alternatywa TTLS. Mimo że
standard powstał już po ukazaniu się TTLS, zyskał dużą popularność i jest szeroko
implementowany, oczywiście również w systemach Microsoft Windows. Jedyną różnicą
pomiędzy TTLS a PEAP jest to, że PEAP w drugie fazie może wyłącznie z metod EAP, natomiast
TTLS może korzystać z innej metody uwierzytelniania.

PPP

802.11

802.3

802.1X

EAP

MD5

TLS

TTLS

PEAP

MS-

CHAPv2

P
A
P

C
H
A
P

E
A
P

EAP

Rysunek 6 Przykładowe metody uwierzytelniania dostępne z użyciem protokołu EAPoL.

Tabela 1 Właściwości wybranych metod uwierzytelniania dostępnych z użyciem protokołu EAP.

Metoda

Typ poświadczenia

Uwierzytelnianie

Zalety

Wady

EAP/MD5 - ustalone hasła

Rozwiązanie zadania,
potwierdzające
znajomość klucza

- łatwy w
implementacji i
wdrożeniu
- dobrze wspierany

- słaby mechanizm
uwierzytelniania
- nie zapewnia
dwustronnego
uwierzytelniania

LEAP

- ustalone hasła

Opiera się na
protokole
uwierzytelniania MS-
CHAP i MS-CHAPv2

- łatwy w
implementacji i
wdrożeniu
- zapewnia
dwustronne
uwierzytelnianie
- wspiera
dynamiczne
generowanie kluczy
WEP

- standard
zastrzeżony
- słaby mechanizm
uwierzytelniania,
jeśli hasło jest źle
wybrane

EAP/TLS

- certyfikaty

Dwustronne
uwierzytelnianie
certyfikatów

- silny mechanizm
uwierzytelniania
- zapewnia
dwustronne
uwierzytelnianie
- wspiera
dynamiczne
generowanie kluczy
WEP

- trudny w
implementacji i
wdrożeniu
- wymaga
infrastruktury
klucza publicznego
- wymaga ważnych
certyfikatów od
klienta i serwera

EAP/TTLS - ustalone hasła

- hasła
jednorazowe
- certyfikaty

Dwie fazy:
- serwer sam się
uwierzytelnia
używając certyfikat i
zestawia szyfrowany
tunel
- przez tunel
przesyłane są
informacje do
uwierzytelnienia
klienta

- silny mechanizm
uwierzytelniania
- zapewnia
dwustronne
uwierzytelnianie
- wspiera
dynamiczne
generowanie kluczy
WEP

- trudniejszy do
wdrożenia niż
EAP/MD5
- ograniczone
wsparcie zarówno
przez sprzęt, jak i
oprogramowanie

PEAP

- ustalone hasła
- hasła
jednorazowe
- certyfikaty

Podobny do TTLS, za
wyjątkiem innej
metody EAP
wewnętrznego
uwierzytelniania

- silny mechanizm
uwierzytelniania
- zapewnia
dwustronne
uwierzytelnianie
- wspiera
dynamiczne
generowanie kluczy
WEP

- wschodzący
standard

Poza opisanymi już wcześniej elementami systemu kontroli dostępu, tzn. suplikantem oraz

urządzeniem granicznym, konieczny jest także serwer uwierzytelniający. Jego zadaniem jest
komunikacja z urządzeniem granicznym, a za jego pośrednictwem także z suplikantem, a następnie:
- potwierdzenie tożsamości tego ostatniego,
- decyzja czy i jaki dostęp mu przyznać,
- określenie opcji konfiguracyjnych, które należy przekazać urządzeniu granicznemu i suplikantowi (w
rodzaju: typu kompresji, typu szyfrowania, adresów IP, maksymalnej dopuszczalnej wielkości ramki,
itp.),
- wygenerowanie kluczy szyfrujących,
- przesłanie decyzji o dopuszczeniu lub odrzuceniu podłączającego się urządzenia do urządzenia
granicznego i suplikanta,
- przesłanie ustalonych wcześniej lub wygenerowanych opcji konfiguracyjnych i materiału
kryptograficznego do urządzenia granicznego i suplikanta.

Najczęściej spotykanym obecnie typem serwera uwierzytelniającego jest serwer RADIUS. W systemie
korzystającym z takiego serwera poszczególne jego elementy nazywamy następująco:
- suplikant – element urządzenia próbującego podłączyć się do sieci, który odpowiedzialny jest za
współpracę z mechanizmami bezpieczeństwa systemu w celu jego uwierzytelnienia.
- klient RADIUS– mechanizmy zawarte w urządzeniu pośredniczącym w podłączaniu się innych do
sieci (np. w punkcie dostępowym czy przełączniku Ethernet).
- serwer RADIUS – serwer uwierzytelniający.
O ile do komunikacji pomiędzy suplikantem i klientem RADIUS wykorzystywany jest protokół 802.1X
(a najczęściej jego wersja EAPoL), to do komunikacji pomiędzy klientem i serwerem RADIUS
wykorzystywany jest protokół transportowy RADIUS, który korzysta z protokołu IP/UDP. Z jednego
serwera uwierzytelniającego może korzystać wielu klientów RADIUS (czyli wiele urządzeń
granicznych), co pozwala na stworzenie scentralizowanego systemu punktu uwierzytelniania.
Dodatkową funkcją serwera uwierzytelniającego RADIUS może być zbieranie danych o wykorzystaniu
systemu przez użytkowników (np. o czasach połączeń, ilości przesłanych danych itp.). Stąd też tego
rodzaju serwery są często nazywane serwerami AAA: Authentication (uwierzytelnianie –
potwierdzenie tożsamości), Authorization (autoryzacja – określenie poziomu dostępu do zasobów),
Accounting (rozliczanie – zbieranie danych o wykorzystaniu zasobów przez użytkownika).

Laboratorium składa się z dwóch części – wejściówki oraz zadań do wykonania. Za obie części można
uzyskać po 1 punkcie. Wejściówka składać się będzie z 5 pytań jednokrotnego wyboru. Za każdego
pytanie można uzyskać 0.2 punktu.

Pytania:

1. IEEE 802.1X jest standardem kontroli dostępu do sieci …
2. Które elementy tworzą środowisko IEEE 802.1X?
3. Urządzeniem granicznym jest …
4. Przy próbie podłączenia się klienta do sieci …
5. Protokół 802.1X …
6. Najpopularniejszym obecnie protokołem uwierzytelniania stosowanym w IEEE 802.1X jest …
7. Które pole nie wchodzi w skład ramki EAP?
8. Który z typów pakietów nie jest typem pakietu EAP?
9. Protokół 802.1X stosowany jest pomiędzy …
10. Metodą uwierzytelniania wykorzystującą klucz symetryczny jest …
11. Metodą uwierzytelniania wykorzystującą klucz publiczny jest …
12. Metodą uwierzytelniania wymagającą zestawienia tunelu jest …
13. Metodą uwierzytelniania niewykorzystującą certyfikatów jest …
14. Metodą uwierzytelniania niezapewniającą dwustronnego uwierzytelniania jest …
15. Najpopularniejszym obecnie typem serwera uwierzytelniającego jest …
16. Protokołem wykorzystywanym do komunikacji pomiędzy klientem i serwerem RADIUS jest …
17. Ilu klientów RADIUS może korzystać z jednego serwera uwierzytelniającego?
18. Serwer AAA pozwala na …