Was ist 802.1X-Authentifizierung? Wie sie funktioniert und warum sie wichtig ist

Was ist 802.1X Authentifizierung? Wie sie funktioniert und warum sie wichtig ist Ein Purple Technical Briefing - ca. 10 Minuten --- EINFÜHRUNG UND KONTEXT - ca. 1 Minute Willkommen zur Purple Technical Briefing-Reihe. Ich bin Ihr Gastgeber, und heute befassen wir uns mit einem der wichtigsten - und am häufigsten missverstandenen - Standards im Bereich der Unternehmensnetzwerke: der IEEE 802.1X Authentifizierung. Wenn Sie als IT-Manager, Netzwerkarchitekt oder CTO für die Bereitstellung an mehreren Standorten verantwortlich sind - sei es für eine Hotelgruppe, eine Einzelhandelskette, ein Stadion oder eine Liegenschaft des öffentlichen Sektors - ist dies ein Standard, den Sie genau verstehen müssen. Nicht, weil er akademisch interessant ist, sondern weil die richtige Umsetzung den Unterschied ausmacht zwischen einem Netzwerk, das Ihr Unternehmen wirklich schützt, und einem, das Ihnen ein falsches Sicherheitsgefühl vermittelt. In den nächsten zehn Minuten werden wir klären, was 802.1X eigentlich ist, wie der Authentifizierungsfluss hinter den Kulissen funktioniert, wie er sich in Ihre breitere Sicherheitsarchitektur einfügt, wie Sie ihn ohne die üblichen Fallstricke implementieren und wie sich der Business Case in der Praxis darstellt. Legen wir los. --- TECHNISCHER DEEP-DIVE - ca. 5 Minuten Was ist also 802.1X? Im Kern handelt es sich um einen IEEE-Standard für die portbasierte Netzwerkzugriffskontrolle. Das Schlüsselwort dabei ist portbasiert. Bevor einem Gerät jeglicher Zugriff auf das Netzwerk gestattet wird - bevor es ein einziges Paket an Ihre internen Ressourcen senden kann - muss es sich authentifizieren. Der Netzwerkport, ob physisch oder drahtlos, bleibt logisch blockiert, bis die Authentifizierung erfolgreich war. Dies unterscheidet sich grundlegend von der Funktionsweise der meisten Consumer-WiFi-Netzwerke. Bei einer Standard-WPA2-Personal-Konfiguration haben Sie einen vorab freigegebenen Schlüssel - ein Passwort - und jeder, der dieses Passwort kennt, gelangt in das Netzwerk. Das Problem ist offensichtlich: Dieses Passwort wird auf Whiteboards geschrieben, in Slack-Kanälen geteilt und an Dienstleister weitergegeben, die das Unternehmen bereits vor sechs Monaten verlassen haben. Es gibt keine individuelle Verantwortlichkeit, keinen Audit-Trail und der Entzug des Zugriffs bedeutet, dass das Passwort für alle geändert werden muss. 802.1X löst all diese Probleme. Der Standard definiert ein Drei-Parteien-Modell. Sie haben den Supplicant - das ist das Endgerät, egal ob es sich um einen Firmen-Laptop, ein Smartphone oder einen IoT-Sensor handelt. Sie haben den Authenticator - in der Regel Ihr Wireless Access Point oder Ihr Managed Switch. Und Sie haben den Authentication Server - fast immer ein RADIUS-Server, was für Remote Authentication Dial-In User Service steht. So funktioniert der Ablauf: Wenn sich ein Supplicant mit einem Netzwerkport oder einer kabellosen SSID verbindet, versetzt der Authenticator diesen Port in einen kontrollierten Zustand - er lässt nur EAP-Verkehr durch. EAP steht für Extensible Authentication Protocol und ist das Framework, das den eigentlichen Austausch von Anmeldedaten steuert. Der Authenticator sendet eine EAP-Identitätsanfrage an den Supplicant. Der Supplicant antwortet mit seiner Identität. Der Authenticator leitet diese dann an den RADIUS-Server weiter, der den Supplicant auffordert, seine Identität nachzuweisen - dies kann über einen Benutzernamen und ein Passwort, ein digitales Zertifikat, eine Smartcard oder eine Kombination von Faktoren geschehen. Sobald der RADIUS-Server zufrieden ist, sendet er eine Access-Accept-Nachricht an den Authenticator zurück, der daraufhin den Port öffnet und den vollen Netzwerkzugriff freigibt. Wenn die Authentifizierung fehlschlägt, bleibt der Port gesperrt oder das Gerät wird in ein eingeschränktes Gäste-VLAN verschoben. Das EAP-Framework ist von Grund auf erweiterbar - dafür steht das E. Es gibt verschiedene EAP-Methoden, die allgemein verwendet werden. EAP-TLS verwendet eine gegenseitige zertifikatsbasierte Authentifizierung - sowohl der Client als auch der Server weisen sich durch Zertifikate aus - und gilt als Goldstandard für Sicherheit. PEAP, was für Protected EAP steht, verpackt die innere Authentifizierung in einen TLS-Tunnel, wodurch Benutzername und Passwort sicher verwendet werden können. EAP-TTLS ist ähnlich wie PEAP, aber flexibler bei den unterstützten inneren Authentifizierungsmethoden. Bei den meisten Enterprise-Implementierungen werden Sie sich zwischen EAP-TLS für hochsichere Umgebungen und PEAP-MSCHAPv2 für Umgebungen entscheiden, in denen eine Zertifikatsverteilung unpraktisch ist. Lassen Sie uns nun darüber sprechen, wie sich dies in Ihre bestehende Infrastruktur integrieren lässt. Der RADIUS-Server authentifiziert Benutzer nicht isoliert - er fragt einen Backend-Identitätsspeicher ab. In den meisten Enterprise-Umgebungen ist dies Microsoft Active Directory oder ein LDAP-Verzeichnis. Der RADIUS-Server empfängt die Anmeldedaten vom Authenticator, gleicht sie mit dem Active Directory ab und liefert eine Richtlinienentscheidung zurück. Diese Richtlinienentscheidung kann mehr als nur Akzeptieren oder Ablehnen beinhalten - sie kann auch die VLAN-Zuweisung, Bandbreitenrichtlinien und Sitzungs-Timeout-Werte umfassen. Hier zeigt sich die Stärke der dynamischen VLAN-Zuweisung. Sie können eine Richtlinie definieren, die besagt: Wenn dieser Benutzer in der Active Directory-Gruppe Finanzen ist, weise ihn VLAN 20 zu. Wenn es sich um einen externen Dienstleister handelt, weise ihn VLAN 50 mit reinem Internetzugang zu. Wenn er sich auf einem nicht verwalteten Gerät befindet, verschiebe ihn in das Gäste-VLAN. All dies geschieht automatisch beim Verbindungsaufbau, ganz ohne manuelles Eingreifen. Für kabellose Bereitstellungen ist 802.1X der Authentifizierungsmechanismus, der WPA2-Enterprise und WPA3-Enterprise zugrunde liegt. Die Verschlüsselungsebene - der eigentliche Schutz der Daten während der Übertragung - wird durch den 4-Wege-Handshake abgewickelt, der auf eine erfolgreiche 802.1X Authentifizierung folgt und eindeutige PMK- und PTK-Schlüssel pro Sitzung generiert. Dies ist ein entscheidender Unterschied zu WPA2-Personal, bei dem alle Clients das gleiche Material zur Ableitung von Verschlüsselungsschlüsseln teilen. In einem WPA2-Personal-Netzwerk kann ein böswilliger Akteur, der den 4-Wege-Handshake abfängt und den PSK kennt, den gesamten Datenverkehr in diesem Netzwerk entschlüsseln. Mit WPA2-Enterprise und 802.1X wird dieser Angriffsvektor eliminiert, da jede Sitzung eindeutiges Schlüsselmaterial verwendet. Aus Sicht der Compliance ist dies von enormer Bedeutung. PCI-DSS Version 4.0 erfordert strenge Authentifizierungskontrollen für jedes Netzwerk, das Karteninhaberdaten überträgt. Die GDPR verlangt angemessene technische Maßnahmen zum Schutz personenbezogener Daten. Wenn Sie ein Einzelhandelsnetzwerk betreiben, in dem Point-of-Sale-Terminals ein Segment mit dem Gäste-WiFi teilen, haben Sie ein ernstes Problem - und 802.1X mit dynamischer VLAN-Segmentierung ist ein wesentlicher Bestandteil der Lösung. --- IMPLEMENTIERUNGSEMPFEHLUNGEN UND FALLSTRICKE - ca. 2 Minuten Kommen wir nun zur Bereitstellung. Der häufigste Fehler, den ich sehe, ist, dass Unternehmen 802.1X als eine binäre Entscheidung betrachten - entweder man führt es überall vollständig ein oder man lässt es ganz bleiben. Die Realität ist, dass ein schrittweiser Ansatz fast immer praktischer und erfolgreicher ist. Beginnen Sie mit Ihrer Unternehmens-SSID und Ihren verwalteten Geräten. Richten Sie einen RADIUS-Server ein - Microsoft NPS ist kostenlos und lässt sich nativ in Active Directory integrieren; FreeRADIUS ist die Open-Source-Alternative für Nicht-Windows-Umgebungen. Konfigurieren Sie Ihre Wireless-Infrastruktur so, dass WPA2-Enterprise oder WPA3-Enterprise auf der Unternehmens-SSID verwendet wird. Verteilen Sie die 802.1X Supplicant-Konfiguration über Gruppenrichtlinien oder Ihre MDM-Plattform an die verwalteten Geräte. Testen Sie alles gründlich vor der Umstellung. Für das Gäste-WiFi ist der Ansatz ein anderer. Gäste verfügen nicht über Unternehmens-Anmeldedaten, daher verwenden Sie 802.1X hier nicht im herkömmlichen Sinne. Stattdessen bieten Plattformen wie Purple eine Captive Portal-Ebene, die die Identität der Gäste verwaltet - via Social Login, E-Mail-Registrierung oder SMS-Verifizierung - und leiten authentifizierte Gäste dann in ein isoliertes VLAN mit entsprechenden Bandbreiten- und Inhaltsrichtlinien weiter. Dies bietet Ihnen die Vorteile der Datenerfassung und Segmentierung, ohne dass Gäste über Verzeichnis-Anmeldedaten verfügen müssen. Die Fallstricke, auf die Sie achten sollten: Das Zertifikatsmanagement ist der häufigste Schwachpunkt bei EAP-TLS-Bereitstellungen. Sie benötigen eine PKI - eine Public Key Infrastructure -, um Client-Zertifikate auszustellen und zu verwalten. Wenn Sie keine haben, kann der betriebliche Aufwand von EAP-TLS erheblich sein. PEAP-MSCHAPv2 ist einfacher bereitzustellen, erfordert jedoch sorgfältige Aufmerksamkeit bei der Validierung des Serverzertifikats auf der Client-Seite - wenn Clients nicht so konfiguriert sind, dass sie das Zertifikat des RADIUS-Servers validieren, sind Sie anfällig für Angriffe durch gefälschte Access Points.Die Verfügbarkeit des RADIUS-Servers ist ein weiterer kritischer Aspekt. Wenn Ihr RADIUS-Server ausfällt, können sich authentifizierte Benutzer nicht verbinden. Implementieren Sie RADIUS in einer Hochverfügbarkeitskonfiguration - mindestens ein primärer und ein sekundärer Server - und stellen Sie sicher, dass Ihre Access Points für ein korrektes Failover konfiguriert sind. Schließlich die IoT-Geräte. Viele IoT-Geräte unterstützen keine 802.1X-Supplicants. Für diese ist MAC Authentication Bypass - MAB - die gängige Übergangslösung, bei der die MAC-Adresse des Geräts als Anmeldedaten verwendet wird. Dies ist unsicherer als ein echtes 802.1X. Isolieren Sie daher per MAB authentifizierte Geräte in ein eingeschränktes VLAN und überwachen Sie diese genau. --- SCHNELLE FRAGERUNDE - ca. 1 Minute Lassen Sie uns einige Fragen durchgehen, die mir regelmäßig gestellt werden. "Funktioniert 802.1X mit Cloud-basiertem RADIUS?" Ja - Dienste wie Cisco ISE, Aruba ClearPass und Cloud-native RADIUS-as-a-Service-Angebote unterstützen alle 802.1X. Die Plattform von Purple lässt sich mit diesen für eine einheitliche Authentifizierung von Gästen und Mitarbeitern integrieren. "Kann ich 802.1X sowohl in einem kabelgebundenen als auch in einem kabellosen Netzwerk verwenden?" Absolut. Der Standard wurde ursprünglich für kabelgebundene Ethernet-Ports entwickelt und funktioniert auf Managed Switches identisch. "Wie hoch ist der Performance-Overhead?" In der Praxis vernachlässigbar. Der Authentifizierungs-Handshake fügt beim Verbindungsaufbau einige hundert Millisekunden hinzu, hat aber nach dem Aufbau der Sitzung keinerlei Auswirkungen auf den Durchsatz. "Ersetzt WPA3 den Standard 802.1X?" Nein. WPA3-Enterprise nutzt weiterhin 802.1X für die Authentifizierung - es verbessert die Verschlüsselungs- und Schlüsselaustauschmechanismen, aber das Authentifizierungs-Framework bleibt dasselbe. --- ZUSAMMENFASSUNG UND NÄCHSTE SCHRITTE - ca. 1 Minute Zusammenfassend: 802.1X ist der IEEE-Standard für die portbasierte Netzwerkzugriffskontrolle. Er bietet eine Authentifizierung pro Benutzer, dynamische Richtlinienzuweisung, einen vollständigen Audit-Trail und die Verschlüsselungsschlüssel pro Sitzung, die WPA2-Enterprise und WPA3-Enterprise wirklich sicher machen. Er ist die richtige Wahl für jedes Netzwerk in Unternehmen, Hotellerie, Einzelhandel oder dem öffentlichen Sektor, bei dem Sie individuelle Nachvollziehbarkeit und Compliance-gerechte Sicherheit benötigen. Ihre nächsten Schritte: Überprüfen Sie Ihr aktuelles Netzwerk-Authentifizierungsmodell. Wenn Sie einen gemeinsam genutzten PSK auf Ihrer Unternehmens-SSID verwenden, ist dies Ihre erste Priorität zur Behebung. Evaluieren Sie Ihre RADIUS-Infrastruktur - falls Sie keine haben, sind Microsoft NPS oder FreeRADIUS beides solide Ausgangspunkte. Und wenn Sie neben Ihrer Unternehmensinfrastruktur auch ein Gäste-WiFi verwalten, schauen Sie sich an, wie Plattformen wie Purple die Identitätsebene für Gäste bereitstellen können, die Ihre 802.1X-Unternehmensbereitstellung ergänzt. Weitere Details zu WPA2 im Vergleich zu WPA3 und deren Zusammenspiel mit 802.1X finden Sie im Vergleichsleitfaden von Purple, der in den Shownotes verlinkt ist. Vielen Dank fürs Zuhören. Wir sehen uns beim nächsten Briefing.