TACACS and XTACACS

redessegurançafornecedores e produtos

Significa: Terminal Access Controller Access-Control System (RFC 1492) and Cisco's extended TACACS, the ancestors of TACACS+

O Terminal Access Controller Access-Control System original da ARPANET, documentado na RFC 1492, e o XTACACS estendido da Cisco: os ancestrais em texto claro, na porta 49, do TACACS+, que compartilha com eles o nome e quase nada mais.

A RFC 1492, An Access Control Protocol, Sometimes Called TACACS, publicada em julho de 1993 por Finseth, da Universidade de Minnesota, como documento Informational, registra um protocolo criado para controlar o acesso às linhas discadas da ARPANET. Um servidor de terminal envia um nome de usuário e uma senha a um servidor na porta 49, por UDP ou TCP, e recebe aceite ou rejeição; as credenciais viajam em texto claro. A RFC anota que os servidores de terminal da Cisco implementam uma versão estendida desse protocolo TACACS, que é o XTACACS, com mais tipos de pedido de autenticação e mais tipos de código de resposta do que o original. O TACACS+ manteve o nome e a porta e substituiu todo o resto: é um projeto da Cisco dos anos 1990, escrito no Draft de 1998 e finalmente documentado pela RFC 8907 em setembro de 2020, com três conversas separadas para autenticação, autorização e contabilização e um corpo ofuscado com a chave compartilhada. Os três não interoperam, e o sinal de mais é toda a diferença: um equipamento que oferecia TACACS num menu dos anos 1990 queria dizer um dos dois primeiros, e qualquer coisa implantada hoje quer dizer o terceiro.

O nome TACACS cobre três protocolos que compartilham uma porta e um propósito e nada mais, e a história é curta o bastante para não se confundir. O primeiro é o da ARPANET. A RFC 1492, An Access Control Protocol, Sometimes Called TACACS, publicada em julho de 1993 por Finseth, da Universidade de Minnesota, como documento Informational, descreve um protocolo criado para controlar o acesso às linhas discadas da ARPANET: um servidor de terminal em que um usuário discou envia o nome de usuário e a senha a um servidor de controle de acesso na porta 49, por UDP ou TCP, e o servidor responde aceito ou rejeitado. O documento registra o protocolo como foi encontrado em operação, não como um projeto, e é por isso que seu título hesita, e é explícito em que as credenciais viajam em texto claro.

O segundo é a extensão da Cisco. A RFC 1492 anota que os servidores de terminal da Cisco implementam uma versão estendida desse protocolo TACACS, conhecida como XTACACS, com mais tipos de pedido de autenticação e mais tipos de código de resposta do que o original: o servidor podia ser consultado não só sobre se um usuário podia entrar, mas sobre conexões e outros eventos, e podia responder com mais do que sim ou não. Continuou um protocolo simples de consulta com a mesma exposição de credenciais, e é o que a documentação e as palavras-chave de configuração antigas da Cisco querem dizer com a palavra sem o sinal de mais.

O terceiro é o TACACS+, que manteve o nome e a porta TCP 49 e substituiu o projeto. A RFC 8907, de setembro de 2020, o primeiro documento a descrevê-lo formalmente, registra que ele se baseia no Draft de 1998, uma especificação de fabricante que circulou por anos sem ser padronizada, e que o protocolo com o sinal de mais tem três tipos distintos de pacote para autenticação, autorização e contabilização, um header de 12 bytes e um corpo ofuscado por XOR com um enchimento derivado de MD5 de uma chave compartilhada. Nenhum dos três interopera com os outros; um servidor TACACS+ não responde a um cliente XTACACS, e um equipamento configurado para um não está configurado para o outro.

Para quem lê hoje a distinção importa em dois lugares. Em documentação antiga e na memória de engenheiros que operaram servidores de terminal, TACACS quer dizer um dos dois primeiros, e os avisos sobre senhas em texto claro ligados a ele são verdadeiros a respeito deles. Em qualquer coisa implantada agora a palavra quer dizer TACACS+, cujas fraquezas são de outro tipo, ofuscação em vez de cifragem e dependência de uma rede de gerência protegida, e cujas forças, autorização por comando e contabilização de comandos, os dois primeiros nunca tiveram. O verbete TACACS+ cobre o protocolo vivo.

Também conhecido como: xtacacs, tacacs original, rfc 1492, extended tacacs

← Todos os verbetes do glossário