802.1X Authentifizierung für Unternehmensnetzwerke erklärt

802.1X Authentifizierung für Unternehmensnetzwerke erklärt. Ein Purple WiFi Intelligence Briefing. Willkommen. Wenn Sie für die Netzwerksicherheit in einer Organisation mit mehreren Standorten verantwortlich sind - sei es eine Hotelgruppe, eine Einzelhandelskette, ein Stadion oder eine Einrichtung des öffentlichen Sektors - ist dieses Briefing genau das Richtige für Sie. In den nächsten zehn Minuten werden wir alles behandeln, was Sie über die 802.1X Authentifizierung wissen müssen: was sie ist, wie sie unter der Haube funktioniert, wie man sie richtig implementiert und welche Fallstricke die meisten Organisationen übersehen. Lassen Sie uns direkt einsteigen. Abschnitt eins: Kontext und warum dies jetzt wichtig ist. Die Bedrohungslandschaft für geschäftlich genutztes WiFi hat sich dramatisch verändert. Netzwerke mit Pre-shared Keys - also solche, bei denen jeder das WiFi Passwort kennt - sind für Mitarbeiter-Netzwerke in regulierten Umgebungen nicht mehr akzeptabel. Gemäß PCI-DSS Version 4.0, die 2024 vollständig in Kraft getreten ist, müssen Organisationen, die Kreditkartendaten verarbeiten, strenge Zugriffskontrollen in jedem Netzwerk implementieren, das mit der Karteninhaber-Datenumgebung in Berührung kommt. Die GDPR legt ähnliche Verpflichtungen für jedes Netzwerk fest, das personenbezogene Daten überträgt. Und da hybrides Arbeiten dazu führt, dass sich Mitarbeiter von verwalteten und unverwalteten Geräten aus an Dutzenden von Standorten verbinden, greift das alte Perimetermodell einfach nicht mehr. 802.1X ist der IEEE-Standard, der dies löst. Er bietet eine portbasierte Netzwerkzugriffskontrolle - das bedeutet, dass ein Gerät dem Netzwerk überhaupt nicht beitreten kann, bevor es nicht mit einem zentralen Identitätsspeicher authentifiziert wurde. Kein gemeinsames Passwort mehr. Eine tatsächlich verifizierte Identität. Das ist der grundlegende Wandel. Abschnitt zwei: Technische Detailanalyse. Lassen Sie uns die Architektur durchgehen. 802.1X definiert drei Rollen. Den Supplicant - das ist das Endgerät, also der Laptop oder das Smartphone, das versucht, sich zu verbinden. Den Authenticator - das ist der Wireless Access Point oder der Netzwerk-Switch. Und den Authentifizierungsserver - was in praktisch jeder Enterprise-Bereitstellung ein RADIUS-as-a-Service oder RADIUS Server ist. So funktioniert der Handshake. Wenn ein Gerät versucht, sich mit einer geschützten SSID zu verbinden, versetzt der Access Point dieses Gerät in einen nicht authentifizierten Zustand. Es kann das Netzwerk nicht erreichen. Der AP sendet einen EAP Request Identity-Frame an das Gerät. EAP steht für Extensible Authentication Protocol - es ist das Framework, das die eigentlichen Anmeldedaten transportiert. Das Gerät antwortet mit seiner Identität. Der AP leitet diese verpackt in einem RADIUS Access-Request-Paket an den RADIUS Server weiter. Der RADIUS Server fordert das Gerät daraufhin auf, sich auszuweisen - die spezifische Anforderung hängt davon ab, welche EAP-Methode Sie verwenden. Das Gerät antwortet mit seinen Anmeldedaten. Der RADIUS Server gleicht diese Anmeldedaten mit Ihrem Identitätsspeicher ab - beispielsweise Microsoft Entra ID, LDAP oder einem Cloud-IdP - und sendet entweder ein Access-Accept oder ein Access-Reject zurück. Bei einem Accept öffnet der AP den Port und das Gerät erhält Netzwerkzugriff. Bei einem Reject bleibt das Gerät blockiert. Der gesamte Austausch dauert weniger als eine Sekunde.Die Auswahl der EAP-Methode ist der Punkt, an dem die meisten Architekten die meiste Zeit verbringen. Sie haben vier Hauptoptionen. EAP-TLS ist der Goldstandard. Sie erfordert ein Client-Zertifikat auf jedem Gerät, was eine PKI-Infrastruktur voraussetzt, bietet aber eine gegenseitige Authentifizierung - der Server weist seine Identität gegenüber dem Client nach und der Client weist seine Identität gegenüber dem Server nach. Es können keine Anmeldedaten durch Phishing abgefangen werden, da keine Passwörter im Spiel sind. Dies ist die richtige Wahl für vollständig verwaltete Geräteflotten. PEAP - Protected EAP - ist in der Praxis die am weitesten verbreitete Methode. Sie erstellt einen TLS-Tunnel, der ausschließlich ein Server-Zertifikat verwendet, und überträgt dann Benutzername und Passwort innerhalb dieses Tunnels. Die Bereitstellung ist erheblich einfacher als bei EAP-TLS, da keine Client-Zertifikate benötigt werden, und sie wird von jedem gängigen Betriebssystem nativ unterstützt. Der Nachteil ist, dass sie darauf beruht, dass die Benutzer das Server-Zertifikat validieren, was in der Praxis oft nicht geschieht. Eine ordnungsgemäße PEAP-Bereitstellung erfordert die Einschränkung der Supplicant-Konfiguration, sodass sie nur dem spezifischen RADIUS-Server-Zertifikat vertraut. EAP-TTLS ähnelt PEAP, ist jedoch in der internen Authentifizierungsmethode flexibler. Sie ist besonders in Umgebungen mit älteren Geräten oder Nicht-Windows-Endpunkten nützlich. EAP-FAST wurde von Cisco als schnellere Alternative entwickelt, die Protected Access Credentials anstelle von Zertifikaten verwendet, wird jedoch bei Neuinstallationen seltener eingesetzt. Der RADIUS-Server selbst verdient besondere Aufmerksamkeit. Die beiden dominierenden Open-Source-Optionen sind FreeRADIUS, das weltweit einen großen Teil der Enterprise-Bereitstellungen unterstützt, und Microsoft NPS - Network Policy Server -, das in Windows Server enthalten ist und sich nativ in Active Directory integrieren lässt. Zu den kommerziellen Optionen gehören Cisco ISE, Aruba ClearPass und Portnox Cloud, das ein cloud-natives RADIUS-as-a-Service-Modell bietet, welches die Notwendigkeit einer lokalen Serverinfrastruktur vollständig überflüssig macht. Die VLAN-Zuweisung ist eine der leistungsstärksten Funktionen einer korrekt konfigurierten 802.1X-Bereitstellung. Der RADIUS-Server kann VLAN-Attribute in der Access-Accept-Antwort zurückgeben und das authentifizierte Gerät dynamisch dem entsprechenden Netzwerksegment zuweisen. Ein Mitarbeiter authentifiziert sich und landet im Mitarbeiter-VLAN. Ein Auftragnehmer authentifiziert sich mit anderen Anmeldedaten und landet in einem eingeschränkten VLAN mit begrenztem Zugriff. Ein Gerät, dessen Zertifikatsvalidierung fehlschlägt, wird in ein Quarantäne-VLAN verschoben. Dies ist eine dynamische Segmentierung und stellt eine wichtige Sicherheitskontrolle dar. Abschnitt drei: Empfehlungen zur Implementierung und zu vermeidende Fallstricke. Lassen Sie mich Ihnen die Bereitstellungssequenz erläutern, die funktioniert. Beginnen Sie mit einem Netzwerk-Audit. Bevor Sie eine einzige Konfiguration ändern, dokumentieren Sie jedes Gerät, das authentifiziert werden muss. Dazu gehören Drucker, IP-Telefone, Gebäudemanagementsysteme, Überwachungskameras - jedes Gerät, das sich mit dem Netzwerk verbindet. Diese kopflosen Geräte haben keinen Supplicanten und können kein 802.1X nutzen. Sie benötigen eine Strategie für sie, in der Regel einen MAC-Authentication-Bypass mit einer strengen Whitelist für MAC-Adressen und der Platzierung in einem isolierten VLAN. Schritt zwei: Richten Sie Ihre RADIUS-Infrastruktur ein. Für die Ausfallsicherheit benötigen Sie mindestens einen primären und einen sekundären RADIUS-Server. Konfigurieren Sie Ihre Access Points so, dass sie automatisch ein Failover durchführen. Ein RADIUS-Ausfall, der alle Mitarbeiter vom Netzwerk trennt, ist ein P1-Vorfall. Lassen Sie das nicht passieren, nur weil Sie einen einzelnen Server bereitgestellt haben. Schritt drei: Stellen Sie Ihre PKI bereit, wenn Sie EAP-TLS nutzen möchten. Verwenden Sie Ihre vorhandenen Active Directory Certificate Services oder einen Cloud-PKI-Anbieter. Die automatische Registrierung über Gruppenrichtlinien macht die Bereitstellung von Client-Zertifikaten im großen Stil verwaltbar. Schritt vier: Konfigurieren Sie Ihre Netzwerkrichtlinien. Definieren Sie Ihre Authentifizierungsrichtlinien im RADIUS - welche Benutzer- oder Gerätegruppen welche VLAN-Zuweisungen erhalten, was bei fehlgeschlagenen Authentifizierungen passiert und wie Sie den Datenverkehr von Gästen im Vergleich zu Mitarbeitern behandeln. Hier setzen Sie das Prinzip der minimalen Rechtevergabe auf der Netzwerkschicht durch. Schritt fünf: Machen Sie einen Pilotversuch vor dem Rollout. Nehmen Sie sich einen Standort, eine Etage, eine SSID vor. Testen Sie jeden Gerätetyp. Testen Sie Ausfallszenarien. Testen Sie, was passiert, wenn der RADIUS-Server nicht erreichbar ist. Erst dann weiten Sie den Rollout aus. Nun zu den Fallstricken. Der häufigste Fehler, den ich sehe, ist eine Fehlkonfiguration der Zertifikatsvalidierung bei PEAP-Bereitstellungen. Wenn Ihre Supplicant-Richtlinie die Validierung von Serverzertifikaten nicht erzwingt, sind Sie anfällig für Angriffe durch gefälschte APs, bei denen ein Angreifer einen gefälschten Access Point einrichtet und Anmeldedaten abgreift. Sperren Sie Ihre Supplicant-Profile über Gruppenrichtlinien oder MDM. Der zweite Fallstrick ist das Ignorieren von Geräten ohne 802.1X-Unterstützung bis zum Tag der Inbetriebnahme. IoT-Geräte, Drucker und Altsysteme werden Ihren Rollout blockieren, wenn Sie sie nicht eingeplant haben. MAC-Authentication-Bypass ist hier Ihr Freund, muss aber konfiguriert werden, bevor Sie den Schalter umlegen. Der dritte Fallstrick sind Single Points of Failure bei RADIUS. Ich habe erlebt, dass Unternehmen einen einzelnen NPS-Server bereitgestellt haben und feststellen mussten, dass ihr gesamtes Mitarbeiternetzwerk während eines Windows Update-Neustarts ausfällt. Stellen Sie immer eine redundante RADIUS-Infrastruktur bereit. Abschnitt vier: Schnelle Fragen und Antworten. Kann 802.1X parallel zu einem Gäste-WiFi betrieben werden? Absolut. Ihre Gäste-SSID läuft separat - in der Regel über ein Captive Portal - während Ihre Mitarbeiter-SSID 802.1X erzwingt. Es handelt sich um völlig unabhängige SSIDs mit separaten VLANs. Die Plattform von Purple übernimmt die Gästeseite mit Analysen und Engagement-Tools, während Ihre 802.1X-Infrastruktur die Mitarbeiterseite sichert. Ersetzt 802.1X ein VPN? Nein. 802.1X kontrolliert den Netzwerkzugang - wer dem Netzwerk beitreten darf. Ein VPN verschlüsselt den Datenverkehr während der Übertragung und erweitert das Unternehmensnetzwerk über ungesicherte Verbindungen. Sie dienen unterschiedlichen Zwecken und werden oft zusammen verwendet. Wie wirkt sich das auf die Roaming-Leistung aus? Bei 802.1X muss sich ein Gerät jedes Mal neu authentifizieren, wenn es zwischen Access Points wechselt. Für die meisten Unternehmensumgebungen ist dies nicht wahrnehmbar. PMK-Caching und OKC - Opportunistic Key Caching - reduzieren den Aufwand für die Neuauthentifizierung erheblich. Für Umgebungen mit hoher Dichte wie Stadien oder Konferenzzentren lohnt es sich, dies explizit zu konfigurieren. Ist WPA3-Enterprise ein Ersatz für 802.1X? Nein - WPA3-Enterprise verwendet 802.1X für die Authentifizierung. WPA3 verbessert die Verschlüsselungsebene und schreibt speziell den 192-Bit-Sicherheitsmodus für die sensibelsten Bereitstellungen vor. 802.1X ist das zugrunde liegende Authentifizierungs-Framework. Abschnitt fünf: Zusammenfassung und nächste Schritte. Das sollten Sie aus diesem Briefing mitnehmen. 802.1X ist der einzige Mechanismus der Enterprise-Klasse für die Authentifizierung im Unternehmens-WiFi. Pre-shared Keys sind für regulierte Umgebungen nicht akzeptabel. Wählen Sie Ihre EAP-Methode basierend auf Ihrer Geräteflotte - EAP-TLS, wenn Sie verwaltete Geräte und eine PKI haben, PEAP, wenn Sie eine breitere Kompatibilität benötigen. Planen Sie für Nicht-802.1X-Geräte vor der Bereitstellung, nicht danach. Implementieren Sie eine redundante RADIUS-Infrastruktur - ein einzelner Server stellt einen Single Point of Failure dar. Nutzen Sie die dynamische VLAN-Zuweisung, um die Netzwerksegmentierung bereits bei der Authentifizierung zu erzwingen. Und führen Sie gründliche Pilottests durch, bevor Sie die Lösung in Ihrem gesamten Unternehmen einführen. Wenn Sie eine Bereitstellung über mehrere Standorte hinweg aufbauen und die Architektur durchdenken müssen: Das technische Team von Purple arbeitet täglich mit Netzwerkarchitekten in der Hotellerie, im Einzelhandel und im öffentlichen Sektor zusammen. Die Kombination aus sicherem Mitarbeiter-WiFi über 802.1X und intelligentem Gäste-WiFi über die Plattform von Purple bietet Ihnen eine vollständige, segmentierte Netzwerkstrategie, die sowohl Ihren Sicherheitsverpflichtungen als auch Ihren Anforderungen an das Gästeerlebnis gerecht wird. Damit ist dieses Briefing abgeschlossen. Vielen Dank fürs Zuhören.