Che cos'è l'autenticazione 802.1X? Come funziona e perché è importante

Che cos'è l'autenticazione 802.1X? Come funziona e perché è importante Un briefing tecnico Purple - circa 10 minuti --- INTRODUZIONE E CONTESTO - circa 1 minuto Benvenuti alla serie di briefing tecnici Purple. Sono il vostro ospite e oggi parleremo di uno degli standard più importanti - e più frequentemente fraintesi - nel networking aziendale: l'autenticazione IEEE 802.1X. Se siete un IT manager, un network architect o un CTO responsabile di un'implementazione multi-sito - che si tratti di un gruppo alberghiero, di una catena retail, di uno stadio o di un patrimonio del settore pubblico - questo è uno standard che dovete comprendere a fondo. Non perché sia accademicamente interessante, ma perché farlo nel modo giusto fa la differenza tra una rete che protegge davvero la vostra organizzazione e una che vi dà un falso senso di sicurezza. Nei prossimi dieci minuti vedremo cos'è effettivamente l'802.1X, come funziona il flusso di autenticazione dietro le quinte, come si inserisce nella vostra architettura di sicurezza più ampia, come implementarlo evitando i problemi più comuni e come si presenta il business case in termini reali. Iniziamo. --- APPROFONDIMENTO TECNICO - circa 5 minuti Quindi, cos'è l'802.1X? Fondamentalmente, è uno standard IEEE per il controllo dell'accesso alla rete basato su porta. La parola chiave qui è basato su porta. Prima che a un dispositivo sia consentito qualsiasi accesso alla rete - prima che possa inviare un singolo pacchetto alle vostre risorse interne - deve autenticarsi. La porta di rete, sia essa fisica o wireless, rimane logicamente bloccata finché l'autenticazione non va a buon fine. Questo è fondamentalmente diverso dal modo in cui funziona la maggior parte del WiFi consumer. Con una configurazione WPA2 standard, si ha una chiave pre-condivisa - una password - e chiunque conosca quella password accede alla rete. Il problema è ovvio: quella password viene scritta sulle lavagne, condivisa nei canali Slack e consegnata a collaboratori esterni che se ne sono andati sei mesi fa. Non c'è responsabilità individuale, non c'è audit trail e revocare l'accesso significa cambiare la password per tutti. L'802.1X risolve tutto questo. Lo standard definisce un modello a tre parti. C'è il Supplicant - ovvero il dispositivo dell'utente finale, che si tratti di un laptop aziendale, di uno smartphone o di un sensore IoT. C'è l'Authenticator - in genere il vostro access point wireless o switch gestito. E c'è l'Authentication Server - quasi sempre un server RADIUS, che sta per Remote Authentication Dial-In User Service. Ecco come funziona il flusso. Quando un supplicant si connette a una porta di rete o a un SSID wireless, l'autenticatore imposta quella porta in uno stato controllato - consentendo solo il transito del traffico EAP. EAP sta per Extensible Authentication Protocol, ed è il framework che gestisce lo scambio effettivo delle credenziali. L'autenticatore invia una richiesta di identità EAP al supplicant. Il supplicant risponde con la propria identità. L'autenticatore inoltra quindi la risposta al server RADIUS, che richiede al supplicant di dimostrare la propria identità - questo può avvenire tramite nome utente e password, un certificato digitale, una smart card o una combinazione di fattori. Una volta che il server RADIUS ha verificato l'identità, invia un messaggio di Access-Accept all'autenticatore, che apre la porta e consente il pieno accesso alla rete. Se l'autenticazione fallisce, la porta rimane bloccata o il dispositivo viene inserito in una VLAN ospiti limitata. Il framework EAP è estensibile per progettazione - questo è ciò che rappresenta la E. Esistono diversi metodi EAP comunemente utilizzati. EAP-TLS utilizza l'autenticazione reciproca basata su certificati - sia il client che il server presentano dei certificati - ed è considerato lo standard di riferimento per la sicurezza. EAP-PEAP, che sta per Protected EAP, incapsula l'autenticazione interna in un tunnel TLS, consentendo di utilizzare in modo sicuro credenziali con nome utente e password. EAP-TTLS è simile a PEAP ma è più flessibile nei metodi di autenticazione interna supportati. Per la maggior parte delle implementazioni aziendali, la scelta sarà tra EAP-TLS per ambienti ad alta sicurezza e PEAP-MSCHAPv2 per contesti in cui l'implementazione dei certificati non è pratica. Ora vediamo come questo si integra con la tua infrastruttura esistente. Il server RADIUS non autentica gli utenti in modo isolato - interroga un archivio di identità backend. Nella maggior parte degli ambienti aziendali, questo è Microsoft Active Directory o una directory LDAP. Il server RADIUS riceve le credenziali dall'autenticatore, le convalida rispetto ad Active Directory e restituisce una decisione di criterio. Questa decisione di criterio può includere molto più di un semplice consenso o rifiuto - può includere l'assegnazione della VLAN, criteri di larghezza di banda e valori di timeout della sessione. È qui che l'assegnazione dinamica della VLAN diventa fondamentale. È possibile definire una regola che stabilisce: se questo utente fa parte del gruppo Finance in Active Directory, assegnalo alla VLAN 20. Se è un collaboratore esterno, assegnalo alla VLAN 50 con solo accesso a internet. Se si trova su un dispositivo non gestito, inseriscilo nella VLAN ospiti. Tutto questo avviene automaticamente, al momento della connessione, senza alcun intervento manuale. Per le distribuzioni wireless, lo standard 802.1X è il meccanismo di autenticazione alla base di WPA2-Enterprise e WPA3-Enterprise. Lo strato di crittografia - la protezione effettiva dei dati in transito - è gestito dall'handshake a 4 vie che segue la corretta autenticazione 802.1X, generando chiavi PMK e PTK univoche per sessione. Questa è una distinzione fondamentale rispetto al WPA2-Personal, dove tutti i client condividono lo stesso materiale di derivazione della chiave di crittografia. In una rete WPA2-Personal, un malintenzionato che acquisisce l'handshake a 4 vie e conosce la PSK può decrittografare tutto il traffico su quella rete. Con WPA2-Enterprise e 802.1X, questo vettore di attacco viene eliminato poiché ogni sessione utilizza materiale di codifica univoco. Dal punto di vista della conformità, questo è estremamente importante. La versione 4.0 di PCI-DSS richiede controlli di autenticazione forti per qualsiasi rete che trasporti dati dei titolari di carta. Il GDPR richiede misure tecniche adeguate per proteggere i dati personali. Se gestisci una rete retail in cui i terminali POS condividono un segmento con la rete WiFi per gli ospiti, hai un problema serio - e lo standard 802.1X con segmentazione VLAN dinamica è una parte fondamentale della soluzione. - - - RACCOMANDAZIONI DI IMPLEMENTAZIONE E TRAPPOLE DA EVITARE - circa 2 minuti Bene, parliamo di implementazione. L'errore più comune che vedo è che le organizzazioni considerano lo standard 802.1X come una scelta binaria - o lo si distribuisce completamente ovunque, o non ci si preoccupa affatto. La realtà è che un approccio graduale è quasi sempre più pratico e di successo. Inizia con il tuo SSID aziendale e i tuoi dispositivi gestiti. Configura un server RADIUS - Microsoft NPS è gratuito e si integra nativamente con Active Directory; FreeRADIUS è l'alternativa open source per ambienti non Windows. Configura la tua infrastruttura wireless per utilizzare WPA2-Enterprise o WPA3-Enterprise sull'SSID aziendale. Invia la configurazione del supplicant 802.1X ai dispositivi gestiti tramite Group Policy o la tua piattaforma MDM. Esegui test approfonditi prima del passaggio definitivo. Per il WiFi ospiti, l'approccio è diverso. Gli ospiti non hanno credenziali aziendali, quindi non utilizzerai lo standard 802.1X nel senso tradizionale. Invece, piattaforme come Purple forniscono uno strato di Captive Portal che gestisce l'identità dell'ospite - login social, registrazione via email, verifica SMS - e poi inserisce gli ospiti autenticati in una VLAN isolata con policy di larghezza di banda e contenuti appropriate. Questo ti offre i vantaggi di acquisizione dati e segmentazione senza richiedere agli ospiti di avere credenziali di directory. Le trappole da evitare: la gestione dei certificati è il punto critico più comune nelle distribuzioni EAP-TLS. È necessaria una PKI - un'Infrastruttura a Chiave Pubblica - per emettere e gestire i certificati client. Se non ne possiedi una, il sovraccarico operativo di EAP-TLS può essere significativo. Il PEAP-MSCHAPv2 è più facile da distribuire ma richiede un'attenzione particolare alla convalida del certificato del server sul lato client - se i client non sono configurati per convalidare il certificato del server RADIUS, si è vulnerabili agli attacchi da access point non autorizzati. La disponibilità del server RADIUS è un'altra considerazione fondamentale. Se il server RADIUS si arresta, gli utenti autenticati non possono connettersi. Distribuisci il RADIUS in una configurazione ad alta disponibilità - come minimo, un server primario e uno secondario - e assicurati che i tuoi access point siano configurati correttamente per il failover. Infine, i dispositivi IoT. Molti dispositivi IoT non supportano i supplicant 802.1X. Per questi, il MAC Authentication Bypass - MAB - è la soluzione comune, in cui l'indirizzo MAC del dispositivo viene utilizzato come credenziale. Questo metodo è più debole del vero 802.1X, quindi isola i dispositivi autenticati tramite MAB in una VLAN limitata e monitorali attentamente. - DOMANDE E RISPOSTE RAPIDE - circa 1 minuto Passiamo in rassegna alcune domande che mi vengono rivolte regolarmente. "L'802.1X funziona con il RADIUS basato su cloud?" Sì - servizi come Cisco ISE, Aruba ClearPass e le offerte RADIUS-as-a-service cloud-native supportano tutti l'802.1X. La piattaforma di Purple si integra con questi per un'autenticazione unificata di ospiti e personale. "Posso usare l'802.1X su una rete cablata oltre che wireless?" Assolutamente sì. Lo standard è stato originariamente progettato per le porte Ethernet cablate e funziona allo stesso modo sugli switch gestiti. "Qual è l'impatto sulle prestazioni?" Trascurabile all'atto pratico. L'handshake di autenticazione aggiunge poche centinaia di millisecondi al momento della connessione, ma ha un impatto pari a zero sulla larghezza di banda una volta stabilita la sessione. "Il WPA3 sostituisce l'802.1X?" No. Il WPA3-Enterprise utilizza ancora l'802.1X per l'autenticazione - migliora la crittografia e i meccanismi di scambio delle chiavi, ma il framework di autenticazione rimane lo stesso. - RIASSUNTO E PROSSIMI PASSI - circa 1 minuto Per riassumere: l'802.1X è lo standard IEEE per il controllo dell'accesso alla rete basato su porte. Fornisce autenticazione per singolo utente, assegnazione dinamica dei criteri, un audit trail completo e le chiavi di crittografia per sessione che rendono il WPA2-Enterprise e il WPA3-Enterprise realmente sicuri. È la scelta giusta per qualsiasi rete aziendale, dell'ospitalità, del retail o del settore pubblico in cui siano necessarie responsabilità individuale e sicurezza di livello compliance. I tuoi prossimi passi immediati: esegui un audit del tuo attuale modello di autenticazione di rete. Se utilizzi una PSK condivisa sul tuo SSID aziendale, questa è la tua prima priorità di risoluzione. Valuta la tua infrastruttura RADIUS - se non ne hai una, Microsoft NPS o FreeRADIUS sono entrambi solidi punti di partenza. E se gestisci il WiFi per gli ospiti insieme all'infrastruttura aziendale, guarda come le piattaforme come Purple possono fornire il livello di identità degli ospiti che integra la tua implementazione aziendale 802.1X. Per ulteriori dettagli su WPA2 rispetto a WPA3 e su come interagiscono con l'802.1X, consulta la guida comparativa di Purple collegata nelle note dello show. Grazie per l'ascolto. Ci vediamo al prossimo briefing.