802.1X/EAP

Introduzione a 802.1X

Lo standard 801.1x è una soluzione di sicurizzazione, messa a punto dall'IEEE nel giugno del 2001, che permette d autentificare (identificare) un utente che vorrebbe accedere ad una rete (filare o meno) grazie ad un server diautentificazione.

L'802.1x si basa sul protocollo EAP (Extensible Authentication Protocol), definito dall'IETF, il cui ruolo è di trasportare delle informazioni diidentificazione degli utenti.

EAP

Il funzionamento del protocollo EAP è basato sull'utilizzo di un controllore di accesso (in inglese authenticator), incaricato di stabilire o meno l'accesso alla rete per un utent (in inglese supplicant). Il controllore di accesso è un semplice guard-rail che funge da intermediario tra l'utente e un server di autentificazione (in inglese authentication server), che ha bisogno di pochissime risorse per funzionare. Nel caso di una rete senza fili, è il punto di accesso che gioca il ruolo di controllore di accesso.

Il server di autentificazione (detto talvolta NAS, per Network Authentification Service, tradotto Servizio di autentificazione di rete, vedi Network Access Service, per Server d accesso di rete) permette di validare l'identità dell'utente, trasmessa dal controllore di rete, e di rinviargli i diritti associati in funzione delle informazioni di identificazione fornite. Inoltre, un server simile permette di stoccare e di rendere compatibili le informazioni rigurdanti gli utenti per, ad esempio, poterle fatturare a durata o a volume (nel caso di un service provider ad esempio).

La maggior parte delle volte il server di autentificazione è un server RADIUS ( Remote Authentication Dial In User Service), un server di autentificazione standard definiti dai RFC 2865 e 2866, ma può essere usato qualsiasi servizio di autentificazione.

Così, il seguente schema globale riassume il funzionamento di una rete sicurizzata con lo standard 802.1x :

1. Il controllore di accesso, avendo ricevuto precedentemente una richiesta di connessione da parte dell'utente, invia una richiesta di identificazione ;
2. L'utente invia una risposta al controllore di accesso, che la inoltra al server di autentificazione ;
3. Il server di autentificazione invia un « challenge » al controllore di accesso, che lo trasmette all'utente . Il challenge è un metodo di identificazione. Se il cliente non gestisce il metodo, il server ne propone un altro e così via ;
4. L'utente risponde al challenge. Se l'identità dell'utente è corretta, il server di autentificazione invia un accordo al controllore di accesso, che accetterà l'utente sulla rete o ad una parte di rete, secondo i diritti. Se l'identità dell'utente non si è potuta verificare, il server di autentificazione invia un rifiuto e il controllore di accesso rifiuterà l'accesso alla rete all'utente.

Scambio di chiavi di codifica

Oltre all'autentificazione degli utenti, lo standard 802.1x è un supporto che permette di scambiare delle chiavi di codiifa degli utenti in modo sicurizzato, per migliorare la sicurezza globale.