Wie Sie eine 802.1X-Authentifizierung mit Cloud RADIUS implementieren

So implementieren Sie 802.1X Authentifizierung mit Cloud RADIUS Ein Purple WiFi Intelligence Briefing --- EINFÜHRUNG UND KONTEXT (ca. 1 Minute) --- Willkommen beim Purple WiFi Intelligence Briefing. Ich bin Ihr Moderator, und heute befassen wir uns ausführlich mit der 802.1X Authentifizierung mit Cloud RADIUS - was sie ist, warum sie genau jetzt wichtig ist und wie man sie tatsächlich über ein standortübergreifendes Netzwerk bereitstellt. Wenn Sie die WiFi Infrastruktur für eine Hotelgruppe, eine Einzelhandelskette, ein Stadion oder eine Organisation des öffentlichen Sektors verwalten, ist dies eines der Themen, die immer wieder zur Sprache kommen - und das aus gutem Grund. Die Bedrohungslandschaft hat sich verändert. Gemeinsam genutzte PSK-Netzwerke werden zunehmend als Compliance-Risiko und nicht nur als Sicherheitsunbequemlichkeit angesehen. Regulierungsbehörden, Auditoren und Cyber-Versicherer stellen immer anspruchsvollere Fragen zur Netzwerkzugriffskontrolle. Und die gute Nachricht ist, dass Cloud-basiertes RADIUS die 802.1X Bereitstellung auf Unternehmensebene wirklich skalierbar gemacht hat, und zwar ohne den Aufwand für eine On-Premises-Infrastruktur, der dies früher für verteilte Standorte unpraktisch machte. Lassen Sie uns also direkt einsteigen. --- TECHNISCHE TIEFENANALYSE (ca. 5 Minuten) --- Zunächst sollten wir sicherstellen, dass wir alle von derselben Definition ausgehen. IEEE 802.1X ist ein portbasierter Standard zur Netzwerkzugriffskontrolle. Er definiert ein Authentifizierungs-Framework, das auf Layer 2 des OSI-Modells angesiedelt ist - er greift also noch bevor einem Gerät überhaupt eine IP-Konnektivität gewährt wird. Das ist der entscheidende Unterschied zur Authentifizierung auf Anwendungsebene. Mit 802.1X kann ein Gerät nicht auf das Netzwerk zugreifen, bevor es erfolgreich authentifiziert wurde. Das Protokoll besteht aus drei Komponenten. Der Supplicant - das ist das Endgerät, egal ob Laptop, Smartphone oder Kassenterminal. Der Authenticator - in der Regel Ihr WiFi Access Point oder Ihr Managed Switch. Und der Authentifizierungsserver - was bei modernen Bereitstellungen Ihr Cloud RADIUS Service ist. Der Ablauf sieht wie folgt aus. Ein Gerät versucht, sich mit einem Access Point zu verbinden. Der Access Point gewährt nicht sofort vollen Netzwerkzugriff. Stattdessen öffnet er einen kontrollierten Port und initiiert einen EAP-Austausch - das steht für Extensible Authentication Protocol - mit dem Gerät. Das Gerät präsentiert seine Anmeldedaten, was ein Benutzername und Passwort, ein digitales Zertifikat oder eine SIM-basierte Identität sein kann. Der Access Point leitet diesen Austausch über das RADIUS Protokoll via UDP an den RADIUS Server weiter, in der Regel auf Port 1812 für die Authentifizierung und 1813 für das Accounting. Der RADIUS Server gleicht die Anmeldedaten mit einem Identitätsspeicher ab - Active Directory, Azure AD oder einem LDAP-Verzeichnis - und gibt entweder eine Access-Accept- oder eine Access-Reject-Meldung zurück. Bei Akzeptanz öffnet der Access Point den Port und das Gerät erhält Netzwerkzugriff. Bei Ablehnung bleibt es blockiert. Vom Prinzip her einfach, aber die Details der Implementierung sind enorm wichtig. Die Wahl der EAP-Methode ist nun der Punkt, an dem viele Bereitstellungen scheitern. Es gibt verschiedene EAP-Methoden, die im Einsatz sind, und sie weisen sehr unterschiedliche Sicherheitsprofile und betriebliche Anforderungen auf. EAP-TLS ist der Goldstandard. Es erfordert eine gegenseitige Zertifikatsauthentifizierung - sowohl der Server als auch der Client weisen ein Zertifikat vor. Dies eliminiert das Risiko von Diebstahl von Anmeldedaten vollständig, da es keine Passwörter zu stehlen gibt. Es erfordert jedoch eine PKI-Infrastruktur und einen Mechanismus zum Push von Client-Zertifikaten auf die Geräte, was in der Regel eine MDM-Lösung voraussetzt. Für BYOD-Umgebungen in Unternehmen und Bereitstellungen mit hohen Sicherheitsanforderungen ist dies die richtige Lösung. PEAP mit MSCHAPv2 ist die am weitesten verbreitete Methode in Unternehmensumgebungen. Sie erfordert nur ein serverseitiges Zertifikat und tunnelt den Austausch von Anmeldedaten innerhalb von TLS. Sie ist nativ mit Active Directory kompatibel, was sie betrieblich unkompliziert macht. Das Risiko besteht darin, dass sie anfällig für das Abfangen von Anmeldedaten ist, wenn sich Benutzer mit einem gefälschten Access Point mit einem selbstsignierten Zertifikat verbinden - daher ist die Zertifikatsvalidierung auf der Client-Seite unverzichtbar. EAP-TTLS ist ähnlich wie PEAP, aber flexibler bei der inneren Authentifizierungsmethode. Es ist besonders nützlich in Umgebungen mit gemischten Geräten, in denen Sie eine Kombination aus Windows, macOS, iOS und Android Geräten mit unterschiedlichen Supplicant-Funktionen haben. Für die Unterstützung von Altsystemen - wie ältere Point-of-Sale-Hardware oder IoT-Sensoren - kann EAP-FAST eine pragmatische Wahl sein, da es keine Zertifikate erfordert und stattdessen ein Protected Access Credential verwendet. Nun zum Thema Cloud RADIUS. Traditionell war RADIUS ein Service vor Ort - FreeRADIUS auf einem Linux-Server oder Microsoft NPS auf Windows Server. Dieses Modell funktioniert, hat aber reale Betriebskosten: Hardware-Wartung, Hochverfügbarkeitskonfiguration, Patching und die Notwendigkeit einer lokalen Infrastruktur an jedem Standort, der eine Authentifizierung mit geringer Latenz erfordert. Cloud RADIUS verändert diese Kalkulation erheblich. Ein Cloud RADIUS Service wird vom Anbieter gehostet und verwaltet. Ihre Access Points senden RADIUS Anfragen über das Internet an den Cloud-Dienst, der die Authentifizierung gegenüber Ihrem Identitätsanbieter übernimmt. Die Sorge bezüglich der Latenz ist real, aber handhabbar - moderne Cloud RADIUS Services sind global verteilt, und die Authentifizierungs-Roundtrips dauern in der Regel weniger als 100 Millisekunden, was für Endbenutzer nicht wahrnehmbar ist. Die Integration mit Identitätsanbietern ist die kritische Abhängigkeit. Die meisten Cloud RADIUS Plattformen unterstützen LDAP, LDAPS, SAML 2.0 sowie die direkte Integration von Azure AD oder Okta. Für Organisationen, die bereits Microsoft 365 nutzen, ist die Azure AD Integration der natürliche Weg - Sie erhalten Single Sign-On, Richtlinien für bedingten Zugriff und MFA-Erzwingung, die alle in Ihre Netzwerk-Zugriffskontrollschicht einfließen. Für Standorte, die Gast-WiFi parallel zu Mitarbeiter-Netzwerken bereitstellen, trennt die Architektur diese in der Regel in unterschiedliche SSIDs mit verschiedenen Authentifizierungsrichtlinien. Mitarbeiter-Netzwerke nutzen 802.1X mit Unternehmens-Anmeldedaten. Gast-Netzwerke verwenden ein Captive Portal oder einen Social-Login-Flow. Die Plattform von Purple unterstützt beide Modelle, und die WiFi-Analyseschicht erstreckt sich über beide, sodass Sie Einblick in das Geräteverhalten, die Verweildauer und die Netzwerkauslastung erhalten, ohne die Sicherheitssegmentierung zu gefährden. - EMPFEHLUNGEN FÜR DIE IMPLEMENTIERUNG UND FALLSTRICKE (ca. 2 Minuten) - Lassen Sie mich Ihnen die praktische Bereitstellungsreihenfolge erläutern und auf die am häufigsten auftretenden Fehler hinweisen. Beginnen Sie mit der Integration Ihres Identity Providers. Bevor Sie auch nur einen einzigen Access Point berühren, stellen Sie sicher, dass Ihr Cloud-RADIUS-Dienst die Authentifizierung gegenüber Ihrem Verzeichnis durchführen kann. Testen Sie dies mit einem Dienstkonto, validieren Sie den LDAP-Bind und bestätigen Sie, dass die Gruppenmitgliedschaftsattribute korrekt zurückgegeben werden - denn diese benötigen Sie für die VLAN-Zuweisungsrichtlinien. Zweitens: Planen Sie Ihre Zertifikatsstrategie. Wenn Sie sich für EAP-TLS entscheiden, benötigen Sie eine CA. Sie müssen entscheiden, ob Sie eine öffentliche oder eine interne CA verwenden, und Sie benötigen einen MDM-Rollout-Plan für Client-Zertifikate. Wenn Sie sich für PEAP entscheiden, benötigen Sie ein Serverzertifikat von einer vertrauenswürdigen CA - kein selbstsigniertes - und Sie müssen das CA-Zertifikat an alle Client-Geräte verteilen, damit die Zertifikatsprüfung korrekt funktioniert. Dies ist der Schritt, der oft übersprungen wird und zu Sicherheitsvorfällen führt. Drittens: Konfigurieren Sie Ihre RADIUS-Clients - also Ihre Access Points und Controller - mit dem korrekten Shared Secret und der Server-IP oder dem Hostnamen. Verwenden Sie ein starkes, zufällig generiertes Shared Secret und kein Wort aus dem Wörterbuch. Und wenn Ihr Cloud-RADIUS-Anbieter RADIUS über TLS (RadSec) unterstützt, nutzen Sie es. Es verschlüsselt den RADIUS-Verkehr bei der Übertragung, was besonders wichtig ist, wenn dieser Verkehr über das öffentliche Internet läuft. Viertens: Testen Sie vor der vollständigen Einführung mit einer Pilotgruppe. Authentifizierungsfehler im großen Stil sind störend und unter Druck schwer zu diagnostizieren. Führen Sie einen Pilotversuch mit zehn bis zwanzig Geräten durch, validieren Sie die Authentifizierungsprotokolle, bestätigen Sie, dass die VLAN-Zuweisung funktioniert, und überprüfen Sie, ob die Accounting-Datensätze korrekt geschrieben werden. Die Fehler, die ich am häufigsten sehe: Deaktivierte Zertifikatsprüfung auf den Clients, was zu Man-in-the-Middle-Schachstellen führt. Zu kurze oder standortübergreifend wiederverwendete Shared Secrets. Nicht konfigurierte IP-Whitelists auf dem RADIUS-Server, sodass Authentifizierungsanfragen von neuen Standorten unbemerkt verworfen werden. Und MDM-Profile, die bei Ablauf von Zertifikaten nicht aktualisiert werden, was am Tag der Verlängerung zu massenhaften Authentifizierungsfehlern führt. - SCHNELLE FRAGEN & ANTWORTEN (ca. 1 Minute) - Einige Fragen, die mir regelmäßig gestellt werden. Kann ich 802.1X in einem Netzwerk betreiben, das auch IoT-Geräte enthält, die kein EAP unterstützen? Ja - nutzen Sie den MAC Authentication Bypass als Fallback für Geräte, die keinen Supplicant ausführen können, aber verschieben Sie diese Geräte in ein eingeschränktes VLAN mit strengen Firewall-Regeln. Ersetzt 802.1X die WPA2- oder WPA3-Verschlüsselung? Nein - 802.1X übernimmt die Authentifizierung. WPA2-Enterprise oder WPA3-Enterprise übernimmt die Verschlüsselung. Sie benötigen beides. WPA3-Enterprise mit 802.1X ist die aktuelle Best Practice für neue Implementierungen. Wie wirkt sich das auf die Latenzzeit bei der Authentifizierung aus? Bei einem gut konfigurierten Cloud-RADIUS-Dienst ist mit 50 bis 150 Millisekunden pro Authentifizierung zu rechnen. Bei Roaming-Szenarien kann der schnelle BSS-Übergang nach 802.11r den Re-Authentifizierungs-Overhead erheblich reduzieren. Ist dies PCI-DSS-konform? 802.1X mit EAP-TLS oder PEAP in einem ordnungsgemäß segmentierten Netzwerk erfüllt die PCI-DSS-Anforderung 1 und Anforderung 8 für die Netzwerkzugriffskontrolle. Beziehen Sie Ihren QSA frühzeitig ein. --- ZUSAMMENFASSUNG UND NÄCHSTE SCHRITTE (ca. 1 Minute) --- Zusammenfassend lässt sich sagen: 802.1X mit Cloud-RADIUS ist die richtige Lösung für jedes Unternehmen, das Auditoren gegenüber eine Netzwerkzugriffskontrolle nachweisen, den Schadensradius bei der Kompromittierung von Anmeldedaten verringern oder die Authentifizierung in einer verteilten Umgebung zentral verwalten muss. Die Bereitstellung ist nicht trivial, aber mit der richtigen Vorbereitung absolut machbar. Bringen Sie zuerst die Integration Ihres Identity Providers in Ordnung. Wählen Sie Ihre EAP-Methode basierend auf Ihrem Gerätebestand und Ihren betrieblichen Kapazitäten zur Verwaltung von Zertifikaten. Verwenden Sie RadSec, wenn Ihre Infrastruktur dies unterstützt. Und testen Sie, bevor Sie ein Rollout im großen Stil durchführen. Wenn Sie ein gemischtes Gäste- und Mitarbeiternetzwerk betreiben - was auf die meisten Betreiber in der Hotellerie und im Einzelhandel zutrifft -, bieten Ihnen Plattformen wie Purple die Möglichkeit, beide Authentifizierungsmodelle über eine einzige Oberfläche zu verwalten, wobei die Analyseebene über die gesamte Umgebung hinweg läuft. Für Ihre nächsten Schritte: Überprüfen Sie Ihre aktuelle Netzwerkzugriffskontrolle, identifizieren Sie, an welchen Standorten noch gemeinsam genutzte PSK ausgeführt werden, und erstellen Sie einen schrittweisen Migrationsplan. Beginnen Sie mit den Standorten mit dem höchsten Risiko - also denjenigen, die in den Anwendungsbereich von PCI-DSS fallen oder an denen sensible Daten verarbeitet werden - und arbeiten Sie sich nach außen vor. Vielen Dank fürs Zuhören. Weitere technische Briefings finden Sie unter purple.ai.