Instructeur: In
deze les gaan we het hebben over AAA servers, wat
staat voor authenticatie, autorisatie en accounting,
en om AAA servers te begrijpen is het eerste wat we moeten
doen begrijpen hoe 802. 1X werkt als een raamwerk.
Instructeur: 802. 1X is een gestandaardiseerd raamwerk
dat wordt gebruikt voor poortgebaseerde authenticatie
op zowel bekabelde als draadloze netwerken.
Nu, sinds 802. 1X is slechts het raamwerk, het gaat
eigenlijk andere mechanismen gebruiken
om de echte authenticatie voor ons te doen.
Bijvoorbeeld, zowel
de Remote Authentication Dial-In User Service, bekend
als RADIUS, als het Terminal
Access Controller Access-Control System
Plus, of TACACS+, kunnen beide gebruikt worden om de authenticatie
uit te voeren met behulp van de 802.
1X protocol.
Er zijn drie rollen nodig voor
een authenticatie onder 802. 1X.
De eerste is de supplicant, dat is het apparaat of de gebruiker
die toegang vraagt tot het netwerk,
zoals PC1 in deze afbeelding.
Dan is er een authenticator, het apparaat waarmee
de supplicant toegang probeert te
krijgen tot het netwerk.
Normaal gesproken is dit zoiets als een switch,
een draadloos toegangspunt of een VPN-concentrator.
Tenslotte is er de authenticatieserver,
het centrale apparaat
dat de authenticatie uitvoert,
meestal de RADIUS of TACACS+
server.
Authenticatie vindt plaats wanneer de identiteit van een
persoon wordt vastgesteld met bewijs en wordt bevestigd door het systeem.
Je doet dit elke dag.
In feite heb je dat al gedaan toen je inlogde op deze cursus.
Toen je je e-mailadres en wachtwoord invoerde, beweerde
je dat jij de student bent die voor deze cursus
betaald heeft en door dat te doen, wordt je gecontroleerd
door het systeem en krijg je toegang.
Er zijn verschillende manieren om te verifiëren wie je bent.
In de echte wereld bijvoorbeeld, als een politieagent
je aan de kant zet voor te hard rijden,
kun je je rijbewijs tevoorschijn halen
en laten zien dat jij het bent en dat je bent
wie je zegt dat je bent.
Dit is je bewijs.
In de digitale wereld hebben
we vijf authenticatiemethoden.
We hebben iets dat je weet, wat zoiets
is als een wachtwoord of een gebruikersnaam,
we hebben iets dat je bent, wat zoiets is als
je vingerafdruk of een oogscan of een netvliesscan, we hebben iets
dat je hebt, dit zou zoiets kunnen zijn
als een token, een rijbewijs of een creditcard, het zou iets kunnen
zijn dat je doet, wat de manier is waarop
je spreekt of de manier waarop je je naam ondertekent,
en het kan ergens zijn waar je bent, wat we kennen als
je locatiefactor op basis van je GPS-locatie.
LDAP is het Lightweight Directory Access Protocol.
Dit is een database die wordt gebruikt om informatie over
je clients en je objecten op het netwerk te centraliseren.
LDAP is in wezen een vereenvoudigde versie van X. 500, wat een directoryservice
is en een hiërarchische
organisatie bevat van de gebruikers, groepen,
servers en systemen in je netwerk.
LDAP communiceert over poort 389 als het
dit onversleuteld doet, en als je besluit
om het te versleutelen met SSL of TLS, dan gebruikt het poort 636.
Hoewel LDAP als platformonafhankelijk wordt beschouwd,
heeft Microsoft zijn eigen implementatie hiervan
gemaakt, bekend als AD of Active Directory.
In het Windows-domein wordt Active Directory gebruikt
om alles op het netwerk te organiseren en te beheren,
inclusief die clients, servers, apparaten,
gebruikers en groepen.
Active Directory kan nu ook worden gebruikt
als onderdeel van je beveiligingsbeleid of toegangscontrole
via je groepsbeleid.
RADIUS is de Remote Authentication Dial-In User Service.
Het biedt gecentraliseerd beheer van inbel-, VPN- en draadloze
verificatie, zodat je die kunt
gebruiken met zowel 802. 1X en het Extensible
Authentication Protocol, of EAP.
RADIUS is een client-serverprotocol dat over
de zevende laag van het OSI-model loopt,
de applicatielaag.
RADIUS wordt meestal geconfigureerd om op een aparte server te draaien,
maar het kan ook op een Windows server geladen worden
in kleinere domeinomgevingen.
RADIUS wordt gebruikt om gebruikers te authenticeren,
hen te autoriseren tot diensten en
hun gebruik van die diensten te verantwoorden.
RADIUS gebruikt ook UDP voor het maken van verbindingen, waardoor
het redelijk snel is tijdens
de authenticatie- en autorisatiefuncties.
Hoewel RADIUS een platformoverschrijdende standaard
is, is er een eigen protocol van Cisco genaamd TACACS+.
Dit is het Terminal Access Controller
Access-Control System Plus, dat de rol van authenticator in
een 802.0 systeem kan vervullen. 1X netwerk.
Nu is het aan jou om te bepalen welke het beste is voor
de behoeften van jouw organisatie.
Persoonlijk heb ik RADIUS bijna uitsluitend binnen
mijn organisaties gebruikt.
Ik vond dat TACACS+ iets langzamer werkt omdat het
vertrouwt op TCP in plaats van UDP, maar TACACS+
heeft een aantal voordelen.
Het geeft je wat extra beveiliging
en voert onafhankelijk zijn authenticatie-, autorisatie-
en accountingprocessen uit.
TACACS+ ondersteunt alle netwerkprotocollen,
maar RADIUS ondersteunt daarentegen
niet het remote access protocol, het NetBIOS
Frame protocol, X. 25 gekoppelde verbindingen en
enkele andere.
Over het algemeen is TACACS+ een uitstekende keuze, maar
alleen als je Cisco apparaten gaat gebruiken
in je netwerk, want als je
die cross-platform mogelijkheid wilt, dan moet je overgaan
op RADIUS, de manier die ik in het
verleden heb gekozen.
De tweede A is autorisatie.
Autorisatie vindt plaats wanneer een gebruiker
toegang krijgt tot bepaalde gegevens of bepaalde delen van het gebouw.
Ben je ooit een gebouw binnengelopen en zag je
een bordje met daarop verboden toegang, alleen voor bevoegd personeel?
Dat betekent dat je dat gebied niet in kunt.
Het kan zoiets zijn als een onderhoudsruimte
of een plek waar generatoren staan en alleen
de monteurs naar binnen kunnen.
Ze hebben speciale sleutels of speciale badges
waarmee ze in die gebieden kunnen komen.
Dat gebied is een plek waar je niet mag komen.
Kerberos is gericht op authenticatie en autorisatie.
Dit wordt uitgevoerd via ons Kerberos ticketing
systeem in een Windows domein.
Kerberos is een authenticatieprotocol dat bidirectionele
of wederzijdse authenticatie biedt.
Als een gebruiker inlogt op het domein,
neemt hij eerst contact op met de domeincontroller,
die fungeert als key distribution center (KDC).
Deze KDC heeft twee basisfuncties, authenticatie
en ticket toekenning.
Dus als de cliënt goed is geverifieerd,
zal de KDC een TGT uitgeven, wat een Ticket
Granting Ticket wordt genoemd.
Dit Ticket Granting Ticket wordt dan verstrekt
aan de domeincontroller wanneer die gebruiker toegang
wil tot een bron, en dan kan de
domeincontroller die gebruiker een serviceticket
of een sessiesleutel verstrekken, afhankelijk van wat
geschikt is voor hun behoeften.
Deze tickets worden aan de bron gepresenteerd
en de toegang wordt dan verleend omdat
de bron altijd de door de domeincontrollers
verstrekte tickets vertrouwt.
Omdat Kerberos afhankelijk is van de domeincontroller
om te dienen als het centrum voor sleuteldistributie,
is dit een single point of failure in het domein.
Als de domeincontroller uitvalt, worden
de ticketverstrekkende services ook uitgeschakeld.
Om dit te voorkomen hebben de meeste mensen echter
een primaire en een secundaire actieve domeincontroller.
Dat geeft je deze vorm van redundantie
om er zeker van te zijn dat Kerberos aanstaat en LDAP nog steeds draait.
De derde A is boekhouding.
De boekhouding zorgt ervoor dat gegevens,
computergebruik en netwerkbronnen worden bijgehouden.
Als we dat doen, wordt het meestal
in een logbestand gezet.
Dit is een bestand op een computer
dat in wezen gewoon een groot tekstdocument
is, en het houdt allerlei dingen bij.
Dit kunnen alle internetverbindingen
zijn die het netwerk verlaten, zoals hier op het scherm,
of het kan een lijst zijn van alle mensen die geprobeerd
hebben om in te loggen op een bepaald bestand of website.
Er worden allerlei verschillende logbestanden bijgehouden
op je computer om alle verschillende dingen
die worden gedaan bij te houden, en dit is allemaal
om ervoor te zorgen dat er goede boekhoudpraktijken worden gebruikt,
want als je een datalek hebt of als je een soort
bedreiging van binnenuit hebt, kun je teruggaan
en naar de gegevens in je logbestanden kijken om erachter te komen
wie wat wanneer heeft gedaan.
Dat is wat je met boekhouden kunt doen.
Als je bewijs hebt dat iemand iets heeft gedaan, dat hij
een actie heeft ondernomen, dan noemen we dit onweerlegbaarheid.
Onweerlegbaarheid betekent simpelweg dat de gebruiker niet kan zeggen dat hij
de actie niet heeft ondernomen, omdat jij bewijs hebt dat hij dat wel heeft gedaan.
Als je bijvoorbeeld een e-mail naar mij hebt gestuurd
en je hebt die ondertekend met een digitale handtekening,
dan ben je de enige persoon op de hele wereld die over die
private digitale handtekeningensleutel beschikt.
Ik weet zeker dat je die e-mail hebt gestuurd.
Je kunt me later niet vertellen dat je het niet
hebt verstuurd, want nu heb ik bewijs.
Dat is onweerlegbaarheid.