Control de Acceso a la Red Basado en Puertos: IEEE 802.1X

Control de Acceso por Puertos

IEEE 802.1X

IEEE 802.1X es un estándar de IEEE que normaliza el control de acceso a la red basado en puertos como parte del grupo de protocolos IEEE 802. El estándar permite la autenticación de dispositivos conectados a un puerto LAN, estableciendo una conexión punto a punto o denegando el acceso por ese puerto si la autenticación falla.

802.1X está disponible en la mayoría de los switches no domésticos y puede configurarse para autenticar nodos equipados con software específico para el acceso. El filtrado se realiza a nivel de enlace de datos. Algunos proveedores están implementando 802.1X en puntos de acceso inalámbricos como complemento a las técnicas específicas de Wi-Fi.

Esta autenticación suele ser realizada por un tercero, como un servidor RADIUS. Permite la autenticación recíproca entre el cliente y el punto de acceso con gran seguridad mediante protocolos como EAP-TLS.

Capas de la Arquitectura IEEE 802.1X

• Supplicant: Cliente que desea conectarse.
• Authenticator: Dispositivo con los puertos de conexión que permitirá o denegará las conexiones.
• Authenticator Server: Autentica a los usuarios informando al authenticator sobre si debe permitir o no la conexión solicitada, o proporcionando valores adicionales como la VLAN a la que debe conectarse. Normalmente, el servidor es un RADIUS que puede emplear una amplia variedad de protocolos: usuario y contraseña (con o sin cifrado), certificados digitales, etc.

Protocolos de Autenticación en la Red

PAP

• Autenticación por contraseña.
• Las credenciales se envían sin cifrar, por lo que son fácilmente interceptables.

CHAP

   Autenticación por desafío mutuo
   El cliente envía una petición de acceso con un hash de la contraseña
   El servidor manda un desafío
    El cliente usa hash (MD5) para calcular un resultado con su contraseña yel desafío, y lo envía al servidor
    El servidor hace el mismo cálculo con la contraseña recibida anteriormente, y si es el mismo, se permite el acceso
-EAP
    Protocolo de autenticación extensible Admite diversos tipos de autenticación
    Puede usar certificados digitales y parejas user/password
    Muy usado en redes inalámbricas y conexiones punto a punto
-EAP-TLS
     Extensión de EAP que permite que EAP interaccione con un servidor RADIUS que proporciona la autenticación de credenciales y claves de cifrado haciendo de EAP uno de los más seguros y muy habitual en dispositivos inalámbricos corporativos.
   Admite cifrado y autenticación mediante certificado digital
-Kerberos
    Cliente y servidor se autentican recíprocamente
    Usa AES.
    Cada servidor, usuario o servicio tiene una clave que se registra en una BD en el servidor Kerberos
    Cliente y servidor confían en el servidor Kerberos, quien les da tickets de sesión que se usarán para autenticarse frente a los servicios de redTanto para Windows como para Linux