Istruttore: In questa
lezione parleremo dei server AAA, acronimo di
Autenticazione, Autorizzazione e Contabilità, e per
comprendere i server AAA, la prima cosa da fare è capire
come funziona l'802. 1X funziona come struttura.
Istruttore: 802. 1X è un framework standardizzato
utilizzato per l'autenticazione basata
sulle porte su reti cablate e wireless.
Ora, poiché l'802. 1X è solo la struttura, ma in realtà
utilizzerà altri meccanismi per eseguire
l'autenticazione vera e propria.
Ad esempio, sia il Remote
Authentication Dial-In User Service, noto come RADIUS,
sia il Terminal Access Controller
Access-Control System Plus, o TACACS+,
possono essere utilizzati per condurre l'autenticazione utilizzando
il protocollo 802.
Protocollo 1X.
Sono tre i ruoli richiesti per l'autenticazione
in base all'802. 1X.
Il primo è il supplicant, ovvero il dispositivo o l'utente
che richiede l'accesso alla rete,
come il PC1 in questa immagine.
Poi c'è l'autenticatore, che è il dispositivo attraverso
il quale il supplicante cerca di accedere
alla rete.
Di solito si tratta di qualcosa come uno switch,
un punto di accesso wireless o un concentratore VPN.
Infine, c'è il server di autenticazione,
che sarà il dispositivo centralizzato
che esegue l'autenticazione,
di solito il server RADIUS o
TACACS+.
L'autenticazione avviene quando l'identità di
una persona viene stabilita con una prova e confermata dal sistema.
Lo fate ogni giorno.
In effetti, lo avete fatto quando avete effettuato l'accesso a questo corso.
Quando avete inserito il vostro indirizzo e-mail e la vostra
password, avete dichiarato di essere lo studente
che ha pagato per questo corso e, così facendo, siete stati
controllati dal sistema e vi è stato concesso l'accesso.
Ora, ci sono diversi modi per autenticare la propria identità.
Nel mondo reale, ad esempio, se un agente di polizia
vi ferma per eccesso di velocità,
potete tirare fuori la vostra patente
di guida e mostrare che siete voi e che
siete chi dite di essere.
Questa è la vostra prova.
Ora, nel mondo digitale,
abbiamo cinque metodi di autenticazione.
Abbiamo qualcosa che conoscete, come
una password o un nome utente, abbiamo qualcosa
che siete, come l'impronta digitale o la
scansione dell'occhio o della retina, abbiamo qualcosa che avete,
come un token, una patente di guida o una
carta di credito, potrebbe essere qualcosa che fate, come il
modo in cui parlate o il modo in cui firmate
il vostro nome, e può essere un luogo in cui vi trovate,
che conosciamo come fattore di localizzazione basato
sulla vostra posizione GPS.
LDAP è il protocollo di accesso alle directory leggere.
Si tratta di un database utilizzato per centralizzare
le informazioni sui client e sugli oggetti della rete.
LDAP è sostanzialmente una versione semplificata di X. 500, che è un servizio di directory
e contiene un'organizzazione
gerarchica di utenti, gruppi, server e sistemi
all'interno della rete.
LDAP comunica sulla porta 389 quando
non è criptato, mentre se si decide
di crittografarlo usando SSL o TLS, userà la porta 636.
Ora, mentre LDAP è considerato multipiattaforma,
Microsoft ha creato la propria implementazione,
nota come AD o Active Directory.
Nel dominio Windows, Active Directory viene utilizzato
per organizzare e gestire tutto ciò che si trova
sulla rete, compresi client, server,
dispositivi, utenti e gruppi.
Ora, Active Directory può essere utilizzato anche
come parte dei criteri di sicurezza o del controllo degli accessi attraverso
i criteri di gruppo.
RADIUS è il Remote Authentication Dial-In User Service.
Fornisce l'amministrazione centralizzata dell'autenticazione dial-up, VPN
e wireless, in modo da poterla utilizzare
con entrambi i sistemi 802. 1X e l'Extensible
Authentication Protocol, o EAP.
RADIUS è un protocollo client-server che funziona
sul settimo livello del modello OSI, il livello
delle applicazioni.
RADIUS è solitamente configurato per essere eseguito su un server
separato, ma può anche essere caricato su un server
Windows in ambienti di dominio più piccoli.
RADIUS viene utilizzato per autenticare gli utenti,
autorizzarli all'accesso ai servizi
e contabilizzare il loro utilizzo di tali servizi.
RADIUS utilizza anche UDP per le sue connessioni, il che lo rende
abbastanza veloce durante
le sue funzioni di autenticazione e autorizzazione.
Ora, mentre RADIUS è uno standard multipiattaforma,
esiste un protocollo proprietario di Cisco chiamato TACACS+.
Si tratta del Terminal Access Controller
Access-Control System Plus, in grado di svolgere il ruolo di autenticatore
in un sistema 802. Rete 1X.
Ora sta a voi stabilire quale sia il migliore per le esigenze
della vostra organizzazione.
Personalmente, ho utilizzato RADIUS quasi esclusivamente
all'interno delle mie organizzazioni.
Ho scoperto che TACACS+ è un po' più lento da utilizzare
perché si basa su TCP invece che su UDP, ma TACACS+
presenta alcuni vantaggi.
Offre una maggiore sicurezza
e gestisce in modo indipendente i processi di autenticazione,
autorizzazione e contabilità.
TACACS+ supporta tutti i protocolli di rete;
RADIUS, invece, non supporta
il protocollo di accesso remoto, il protocollo
NetBIOS Frame, X. 25 connessioni a pioli e alcuni
altri.
Complessivamente, TACACS+ è una scelta eccellente,
ma solo se si utilizzano dispositivi Cisco
in tutta la rete, perché
se si vuole avere questa capacità multipiattaforma,
si deve passare a RADIUS, come
ho scelto in passato.
La seconda A è l'autorizzazione.
L'autorizzazione avviene quando a un utente viene
concesso l'accesso a determinati dati o a determinate aree dell'edificio.
Vi è mai capitato di entrare in un edificio e vedere
un cartello con la scritta "accesso limitato, solo personale autorizzato"?
Questo significa che non potete entrare in quell'area.
Potrebbe trattarsi di una sala di manutenzione
o di un posto dove ci sono dei generatori e
dove solo i meccanici possono entrare.
Hanno chiavi speciali o badge speciali
che li fanno entrare in quelle aree.
Quell'area è un luogo in cui non siete autorizzati ad andare.
Kerberos si concentra sull'autenticazione e l'autorizzazione.
Questa operazione viene eseguita attraverso il nostro sistema
di ticketing Kerberos in un dominio Windows.
Kerberos è un protocollo di autenticazione che prevede
un'autenticazione bidirezionale o reciproca.
Quando l'utente si collega al dominio,
contatta innanzitutto il controller di
dominio, che funge da centro di distribuzione delle chiavi (KDC).
Questo KDC ha due funzioni fondamentali: l'autenticazione
e la concessione di ticket.
Quindi, se il cliente è stato autenticato
correttamente, il KDC emetterà un TGT,
chiamato Ticket Granting Ticket.
Questo Ticket Granting Ticket viene quindi
fornito al controller di dominio ogni volta che
l'utente vuole accedere a una
risorsa e il controller di dominio può fornire all'utente
un ticket di servizio o una chiave di sessione da utilizzare,
a seconda delle esigenze.
Questi ticket vengono presentati alla risorsa
e l'accesso viene concesso perché
la risorsa si fida sempre dei ticket
forniti dai controllori di dominio.
Ora, poiché Kerberos si basa sul controller di dominio
per fungere da centro di distribuzione delle chiavi,
questo è un singolo punto di guasto nel dominio.
Se il controller di dominio è inattivo, anche
i servizi di assegnazione dei biglietti vengono interrotti.
Per evitare che ciò accada, tuttavia, la maggior parte delle
persone si avvale di un controller di dominio attivo primario e di uno secondario.
In questo modo si otterrà una forma di ridondanza
per garantire che Kerberos sia attivo e che LDAP sia ancora in funzione.
La terza A è la contabilità.
La contabilità garantisce la tracciabilità
dei dati, dell'uso del computer e delle risorse di rete.
Quando lo facciamo, di solito viene
inserito in un file di log.
Si tratta di un file sul computer
che è essenzialmente un grande documento di testo
e che tiene traccia di ogni genere di cose.
Può trattarsi di tutte le connessioni Internet
che stanno uscendo dalla rete, come mostrato qui sullo
schermo, oppure di un elenco di tutte le persone
che hanno tentato di accedere a un particolare file o sito Web.
Sul vostro computer vengono conservati tutti i tipi
di registri per tenere traccia di tutte
le varie operazioni che vengono eseguite,
e tutto ciò serve a garantire l'utilizzo di buone pratiche contabili
perché, in caso di violazione dei dati
o di una qualche minaccia interna, è possibile
tornare indietro e guardare i dati nei file di registro per
capire chi ha fatto cosa e quando.
Questo è ciò che la contabilità vi permette di fare.
Ora, se si ha la prova che qualcuno ha fatto qualcosa,
che ha compiuto un'azione, si parla di non ripudio.
La non ripudiabilità significa semplicemente che l'utente non può dire
di non aver compiuto l'azione perché voi avete la prova che l'ha compiuta.
Ad esempio, se mi hai inviato un'e-mail
e l'hai firmata con una firma digitale,
sei l'unica persona al mondo che possiede
la chiave privata della firma digitale.
So per certo che è stato lei a inviare quell'e-mail.
Non puoi dirmi in seguito che non l'hai
inviata perché ora ho le prove.
Questo è il non ripudio.