Remote Authentication Dial in User Service (RADIUS) Rômulo Rosa Furtado

Transcrição

1 Remote Authentication Dial in User Service (RADIUS) Rômulo Rosa Furtado

2 O que é RADIUS: RADIUS é uma rede de protocolo que fornece Autorização, Autenticação e Contabilidade (AAA). Para que serve? Ele serve para autenticar um cliente a fim de usar um serviço (normalmente de rede). Aplicação: Pode ser usando na Internet, redes internas, redes sem fio (Wireless)

3 RADIUS é um protocolo cliente / servidor que executa na camada de aplicação, usando UDP como transporte. O Remote Access Server, o Virtual Private Network servidor, o switch de rede com autenticação baseada em porta, e o Network Access Server, são todas as passagens que controlam o acesso à rede, e todos têm um componente cliente RADIUS que se comunica com o servidor RADIUS. RADIUS possui três funções: *Para autenticar os usuários ou dispositivos antes de conceder-lhes acesso a uma rede, *Para autorizar os usuários ou dispositivos para determinados serviços de rede *Para esclarecer o uso desses serviços.

4 Camada de aplicação: DHCP DNS FTP GTP HTTP Camada de Transporte TCP UDP DCCP SCTP RSVP ECN

5 Autenticação & Autorização O usuário ou máquina envia um pedido a um Network Access Server (NAS) para obter acesso a um recurso de rede particular usando as credenciais de acesso. As credenciais são passadas ao dispositivo NAS Por sua vez, o NAS envia uma RADIUS Access Request mensagem para o servidor RADIUS, solicitando autorização para conceder o acesso através do protocolo RADIUS. Esta solicitação inclui as credenciais de acesso, normalmente sob a forma de nome de usuário e senha ou um certificado de segurança fornecido pelo usuário. Para autorizar o RADIUS pode se referir a fontes externas - geralmente SQL, Kerberos, LDAP ou Active Directory servidores - para verificar as credenciais do usuário. Continua...

6 O servidor RADIUS, em seguida, retorna uma das três respostas para a NAS: Access Reject- É negado o acesso a todos os recursos de rede solicitado. Razões podem incluir a falta de prova de identificação ou de uma conta de usuário inativo ou desconhecidos. Access Challenge - Pedidos de informações adicionais do usuário como senha secundário, PIN, token ou cartão. Acess Accept - O usuário tem acesso. Uma vez que o usuário é autenticado, o servidor RADIUS, muitas vezes verificar se o usuário é autorizado a usar o serviço de rede solicitado. Para um determinado usuário pode ser permitido o uso de rede sem fio de uma empresa, mas não o seu serviço de VPN, por exemplo. Novamente, esta informação pode ser armazenada localmente no servidor RADIUS, ou podem ser consultados em uma fonte externa, como LDAP ou Active Directory.

7 Contabilidade Quando o acesso à rede é concedido ao usuário pela NAS, uma Start Contabilidade (RADIUS Accounting pacote que contém uma solicitação de status atributo Acct-Type com o valor de "start") é enviado pela NAS para o servidor RADIUS para sinalizar o início de usuário acessar a rede. "Start" registros normalmente contêm a identificação do usuário, endereço de rede, ponto de fixação e um identificador de sessão única. Periodicamente, Provisório Update registros (RADIUS Accounting pacote contendo uma solicitação de status atributo Acct-Type com o valor "provisório-update") podem ser enviadas pelo NAS para o servidor RADIUS, para atualizá-lo sobre o estado de uma sessão ativa. "Provisório-update" registros, normalmente transmitem a duração da sessão atual e informações sobre a utilização de dados atual. Continua...

8 Finalmente, quando o usuário da rede de acesso é fechado, o NAS emite um final de Contabilidade Stop record (RADIUS Accounting pacote Request contendo um-status-type atributo Acct com o valor de "stop") para o servidor RADIUS, fornecendo informações sobre o uso final em termos do tempo de pacotes transferidos, os dados transferidos, a razão, para desligá-lo e outras informações relacionadas ao usuário acessar a rede. Normalmente, o cliente envia pacote Accounting-Request até que ele recebe um aviso Accounting-Response, usando algum intervalo de repetição. O objetivo principal destes dados é que o usuário pode ser cobrado de acordo, os dados também são comumente usados para estatística e para fins de monitoramento de rede geral.

9

10

11 Segurança O protocolo RADIUS não transmite senhas em texto não criptografado entre o NAS e um servidor RADIUS (nem mesmo com o protocolo PAP). Em vez disso, um password compartilhado é usado junto com o MD5 algoritmo de hash para ofuscar as senhas. Porque esta aplicação em particular não é considerado uma forte proteção muito do usuário as credenciais [8], proteção adicional - como IPsec túneis ou garantido dados redes centro fisicamente - devem ser usadas para criptografar o tráfego RADIUS entre o dispositivo NAS e RADIUS servidor. Além disso, o usuário de segurança as credenciais são a única parte protegida por RADIUS em si, mas outros, atributos específicos do usuário, como, grupo túnel IDs ou associações vlan passou RADIUS podem ser considerados sensíveis (útil para um invasor) ou privadas (suficiente para identificar o individual do cliente) informação também