Файл: infonets18.pdf

30.04.2010

ВГУ

, 

ФКН

, 

ИС

, 

Коваль

А

.

С

.

46

30.04.2010

ВГУ

, 

ФКН

, 

ИС

, 

Коваль

А

.

С

.

47

Терминология

и

типы

 EAP

l

Технология

 IEEE802.1X 

использует

 EAP 

(Extensible Authentication Protocol) 

для

взаимодействия

:

l

клиентов

-

станций

 (supplicants),

l

точек

доступа

 (authenticators),

l

серверов

 RADIUS (authentication servers).

l

Используются

следующие

типы

 EAP:

l

Cisco's Lightweight EAP (LEAP)

l

EAP with Transport Layer Security (EAP-TLS)

l

EAP with Tunneled TLS (EAP-TTLS)

l

Protected EAP (PEAP)

30.04.2010

ВГУ

, 

ФКН

, 

ИС

, 

Коваль

А

.

С

.

48

Сводная

таблица

типов

 EAP

EAP-MD5 

LEAP 

EAP-TLS 

EAP-TTLS 

PEAP 

аутентификация

сервера

нет

хэ ш

пароля

открытый

ключ

(

сертификат

) 

открытый

ключ

(

сертификат

) 

открытый

ключ

(

сертификат

) 

аутентификация

клиента

хэш

пароля

хэ ш

пароля

открытый

ключ

(

сертификат

или

смарт

-

карта

)

CHAP, PAP, MS-

CHAP(v2), EAP

Любой

 EAP, 

напр

. 

EAP-MS-CHAPv2,  

открытый

ключ

динамический

ключ

, 

доставка

нет

да

да

да

да

угрозы

безопасности

Identity 

видна

, 

возможны

атаки

: 

по

словарю

, Man-in-

the-Middle (MM), 

перехват

сеанса

Identity 

видна

, 

атака

по

словарю

Identity 

видна

атака

на

пользователь

ские

реквизиты

Identity 

не

видна

в

фазе

 2, 

но

потенциально

доступна

в

фазе

 1; 

аналогично

 T T LS

30.04.2010

ВГУ

, 

ФКН

, 

ИС

, 

Коваль

А

.

С

.

49

Защита

на

сетевом

уровне

l

IPSec ( Internet Protocol Security) RFC 2401
«Security Architecture for the IP»)

Используются

протоколы

 3-

х

типов

:

l

AH –Authentication Header

l

целостность

данных

и

аутентификация

источника

l

ESP – Encapsulation Security Payload

l

шифрование

, 

аутентификацию

и

целостность

l

IKE – Internet Key Exchange

l

Security Association (SA)

l

инициализация

защищенного

канала

l

процедуры

обмена

и

управления

секретными

ключами

30.04.2010

ВГУ

, 

ФКН

, 

ИС

, 

Коваль

А

.

С

.

50

Взаимодействие

 AH, ESP, IKE

l

IKE

инициализирует

защищенный

двухточечный

канал

 – SA

l

аутентификация

конечных

точек

l

устанавливаются

параметры

защиты

 (

алгоритм

шифрования

, 

сессионный

ключ

)

l

В

рамках

 SA

начинает

работу

 AH 

или

 ESP

l

Существование

 2-

х

протоколов

 AH ESP 

вызвано

ограничением

на

экспорт

средств

шифрования