Serwery autentykacji w sieciach komputerowych

Transkrypt

1 16 lipca 2006

2 Sekwencja autoryzacji typu agent Sekwencja autoryzacji typu pull Sekwencja autoryzacji typu push Serwer autentykacji oprogramowanie odpowiedzialne za przeprowadzenie procesu autentykacji użytkownika. Użytkownik osoba lub urządzenie, które stara się o dostęp do zasobów lub usług. Urządzenie dostępowe urządzenie sieciowe pozwalające użytkownikowi na dostęp do usług sieciowych. Urządzenie tego typu najczęściej współpracuje z zewnętrznym serwerem autentykującym.

3 Sekwencja autoryzacji typu agent Sekwencja autoryzacji typu pull Sekwencja autoryzacji typu push Do określenia kolejności czynności podejmowanych przez użytkownika oraz do umiejscowienia serwera AAA (ang. Authentication, Authorization and Accounting) pomiędzy końcowym użytkownikiem, a urządzeniem dostępowym, używane jest pojęcie sekwencji autoryzacji. Dokument [RFC2904] wprowadza następujące podstawowe typy sekwencji autoryzacji: sekwencja typu agent, sekwencja typu pull, sekwencja typu push.

4 Sekwencja autoryzacji typu agent Sekwencja autoryzacji typu agent Sekwencja autoryzacji typu pull Sekwencja autoryzacji typu push

5 Sekwencja autoryzacji typu pull Sekwencja autoryzacji typu agent Sekwencja autoryzacji typu pull Sekwencja autoryzacji typu push

6 Sekwencja autoryzacji typu push Sekwencja autoryzacji typu agent Sekwencja autoryzacji typu pull Sekwencja autoryzacji typu push

7 Popularne protokoły AAA W ramach pracy dokonano przeglądu popularnych protokołów AAA, kładąc szczególny nacisk na mechanizmy wykorzystywane do autentykacji. Omówione protokoły to: rodzina protokołów TACACS: protokół TACACS, protokół XTACACS, protokół TACACS+, protokół RADIUS, protokół Diameter.

8 do EAP Współpraca z RADIUS Współpraca z Diameter (ang. Extensible Authentication Protocol) umożliwia stosowanie oraz implementację różnorodnych metod autentykacji w ujednolicony i niezależny od sprzętu pośredniczącego w komunikacji sposób. Architektura tego protokołu oparta jest o model klient/serwer.

9 Przebieg procesu autentykacji do EAP Współpraca z RADIUS Współpraca z Diameter

10 do EAP Współpraca z RADIUS Współpraca z Diameter

11 do EAP Współpraca z RADIUS Współpraca z Diameter

12 Implementacja EAP-IKEv2 w serwerze freeradius Autentykacja z wykorzystaniem EAP-IKEv2 jest nową i bezpieczną metodą autentykacji protokołu EAP. Protokół ten umożliwia stronom wzajemną autentykację oraz ustanowienie klucza sesji wykorzystywanego do zabezpieczania późniejszej komunikacji pomiędzy użytkownikiem a urządzeniem dostępowym. umożliwia zastosowanie technik autentykacji bazujących na hasłach, kluczach współdzielonych oraz certyfikatach kluczy publicznych. Ponadto protokół ten pozwala na negocjację używanych algorytmów kryptograficznych, utrzymanie w sekrecie danych identyfikujących strony biorące udział w procesie autentykacji oraz fragmentacje danych.

13 Implementacja EAP-IKEv2 w serwerze freeradius Autentykacja z wykorzystaniem EAP-IKEv2 serwer EAP klucze asymetryczne klucze asymetryczne klucze asymetryczne klucz symetryczny suplikant EAP klucze asymetryczne klucz symetryczny hasło klucz symetryczny Używane kombinacje materiału uwierzytelniającego pomiędzy serwerem a suplikantem

14 Implementacja EAP-IKEv2 w serwerze freeradius Autentykacja z wykorzystaniem EAP-IKEv2 Autentykacja użytkownika oparta o protokół EAP z wykorzystaniem serwera RADIUS

15 Biblioteka libeap-ikev2 Implementacja EAP-IKEv2 w serwerze freeradius Autentykacja z wykorzystaniem EAP-IKEv2 Kod zawarty w bibliotece odpowiedzialny jest za: fragmentację i defragmentację wiadomości IKEv2, implementację maszyny stanów protokołu IKEv2, implementację algorytmów kryptograficznych wykorzystywanych przy komunikacji oraz autentykacji, generowanie oraz eksportowanie wymaganych kluczy kryptograficznych

16 Moduł rlm eap ikev2 Implementacja EAP-IKEv2 w serwerze freeradius Autentykacja z wykorzystaniem EAP-IKEv2 Moduł rlm eap ikev2 odpowiedzialny jest za: odczytanie konfiguracji metody EAP-IKEv2, odczytywanie danych protokołu EAP z atrybutów EAP-Message protokołu RADIUS oraz ich przekazywanie do dalszego przetwarzania przez kod biblioteki libeap-ikev2, odbieranie pakietów EAP wygenerowanych przez bibliotekę libeap-ikev2 i enkapsulacje w atrybutach EAP-Message, eksportowanie kluczy służących do zabezpieczenia komunikacji pomiędzy użytkownikiem a urządzeniem dostępowym (w przypadku pozytywnej autentykacji).

17 Implementacja EAP-IKEv2 w serwerze freeradius Autentykacja z wykorzystaniem EAP-IKEv2 Autentykacja z wykorzystaniem EAP-IKEv2

18 Implementacja EAP-IKEv2 w serwerze freeradius Autentykacja z wykorzystaniem EAP-IKEv2 Dziękuję za uwagę!