802.1X

redessegurança

Significa: IEEE 802.1X (port-based network access control)

Controle de acesso à rede baseado em porta - o padrão IEEE que faz uma porta de switch ou access point autenticar antes de encaminhar tráfego.

O 802.1X estrutura o handshake: um supplicant (o dispositivo), um authenticator (o switch ou AP) e um servidor de autenticação (geralmente RADIUS) trocam EAP sobre LAN até a porta abrir ou permanecer fechada. O padrão define esse transporte, o EAPOL, para redes 802 cabeadas e para o 802.11; o autenticador convida periodicamente um suplicante com um EAP-Request Identity enviado ao endereço multicast 01:80:C2:00:00:03, o suplicante responde com sua identidade e, dali em diante, o switch repassa os pacotes EAP ao servidor dentro de atributos EAP-Message do RADIUS e age só sobre o aceite ou a rejeição final. É a camada de imposição sob o Wi-Fi corporativo (WPA2/WPA3-Enterprise) e o NAC cabeado, e combina naturalmente com o 802.1Q para colocar dispositivos autenticados na VLAN certa: a RFC 3580 especifica os três atributos de túnel que um servidor devolve para isso, Tunnel-Type VLAN (13), Tunnel-Medium-Type 802 (6) e Tunnel-Private-Group-ID com o número da VLAN como string. O método dentro do envelope EAP é uma decisão à parte, e os recursos de contingência para dispositivos sem suplicante, MAB e autenticação web, são mecanismos separados que a mesma porta pode ser configurada para tentar em ordem.

O 802.1X autentica um dispositivo antes que sua porta de switch ou associação sem fio carregue qualquer tráfego, usando EAP para transportar a troca entre suplicante, switch e servidor RADIUS. Ele move o controle de acesso de uma suposição física para uma verificação de identidade. O padrão, parte da família IEEE 802.1, é descrito no artigo da enciclopédia como um padrão IEEE para controle de acesso à rede baseado em porta, e sua história é curta o bastante para ser contada: o 802.1X-2001 definiu o mecanismo para Ethernet, Token Ring e FDDI; o 802.1X-2004 o estendeu ao 802.11 sem fio e acrescentou entidades de porta do lado do suplicante; o 802.1X-2010 revisou o EAPOL para funcionar com a cifragem de enlace MACsec do 802.1AE e com os certificados de identidade de dispositivo do 802.1AR. O problema que ele enfrenta às vezes é chamado de adição de hardware, o ato de ligar um dispositivo não autorizado a uma porta viva, e o artigo lembra um incidente de 2005 numa grande varejista como o tipo de evento que o padrão existe para impedir.

O modelo tem três partes e duas portas. O suplicante é o software no dispositivo que pede acesso; o autenticador é o switch ou ponto de acesso em cuja porta o dispositivo está; o servidor de autenticação, tipicamente um servidor RADIUS falando EAP, decide. O artigo resume numa linha: o autenticador age como um segurança na porta. No autenticador, o 802.1X-2001 define uma porta controlada, que só encaminha tráfego depois da autenticação, e uma porta não controlada, que sempre deixa passar os frames EAPOL de que a própria autenticação precisa, com uma Port Access Entity gerindo o estado. A iniciação é simples: o autenticador envia periodicamente um frame EAP-Request Identity ao endereço de grupo 01:80:C2:00:00:03, o suplicante responde com um EAP-Response Identity, o autenticador o embrulha num Access-Request do RADIUS, e o servidor responde num Access-Challenge que propõe o método EAP. Dali em diante o switch repassa pacotes EAP que não interpreta, encapsulados conforme a RFC 3579 em atributos EAP-Message (79) protegidos por um Message-Authenticator (80), e age sobre o Access-Accept ou Access-Reject final.

A consequência que as pessoas subestimam é a mudança no que uma porta significa. Sem 802.1X, uma tomada de rede viva é uma decisão de confiança tomada por quem passou o cabo, e uma sala de reunião, uma recepção e o canto da impressora ficam todos dentro do perímetro. Com ele, a porta não é nada até que uma identidade seja apresentada, e a resposta do servidor pode carregar política: a RFC 3580, as IEEE 802.1X RADIUS Usage Guidelines de setembro de 2003, de Congdon, Aboba, Smith, Zorn e Roese, especifica os atributos que fazem a porta se comportar. A atribuição de VLAN usa três deles juntos, Tunnel-Type com o valor VLAN (13), Tunnel-Medium-Type com o valor 802 (6) e Tunnel-Private-Group-ID carregando o identificador da VLAN como string, de modo que a mesma porta física coloca o notebook do financeiro e o celular de um visitante em redes diferentes. O NAS-Port-Type diz ao servidor se o pedido veio de Ethernet (15) ou de Wireless-IEEE 802.11 (19); o Calling-Station-Id carrega o endereço MAC do dispositivo em hexadecimal maiúsculo com hífens, e o Called-Station-Id carrega o MAC da porta ou do ponto de acesso com o SSID anexado após dois-pontos no sem fio; o Session-Timeout com Termination-Action igual a RADIUS-Request diz à porta quantos segundos permitir antes de reautenticar. Cada um deles é um botão que um motor de política gira.

Os limites do padrão foram documentados cedo e continuam verdadeiros. O artigo registra a análise de Steve Riley em 2005, com base em pesquisa de Svyatoslav Pidgorny, de um ataque man-in-the-middle em que um atacante compartilha uma porta autenticada por meio de um hub depois que o dispositivo legítimo se autenticou, já que a porta, uma vez aberta, não reconfere frame a frame; a mitigação sugerida foi IPsec, e a resposta posterior do padrão foi a integração do 802.1X-2010 com o MACsec, que cifra e autentica cada frame do enlace. Frames EAPOL-Logoff viajam em claro e podem ser forjados trivialmente para derrubar um dispositivo autenticado de uma porta. E os dispositivos que não conseguem rodar suplicante algum, impressoras, câmeras, leitores de crachá e a longa cauda das coisas embarcadas, precisam de contingência: o MAC Authentication Bypass, em que o switch submete o endereço MAC como credencial, e a autenticação web, em que um login no navegador é forçado, ambos configuráveis na mesma porta para serem tentados depois que o 802.1X expira. Essas contingências são onde a maioria das implantações reais gasta seu esforço de política, e cada uma tem verbete próprio.

O que o 802.1X não decide é o método dentro do envelope EAP, e essa decisão carrega a maior parte da segurança. O EAP-TLS com certificados em todo dispositivo é o mais forte e o de mais administração; o TEAP encadeia provas de máquina e de usuário; o PEAP e o EAP-TTLS protegem uma senha dentro de um túnel TLS e só são tão seguros quanto a validação do certificado do servidor pelo cliente; o EAP-pwd dispensa certificados. O artigo sobre 802.1X e métodos EAP põe as opções lado a lado, e o verbete RADIUS carrega a outra metade de cada conversa descrita aqui.

Também conhecido como: 802.1x, dot1x, port-based nac, eapol, eap over lan, wpa2-enterprise, wpa3-enterprise

← Todos os verbetes do glossário