IEEE 802.1X es un estándar IEEE para el control de acceso a redes basado en puertos (PNAC). Forma parte del grupo de protocolos de red IEEE 802.1 . Proporciona un mecanismo de autenticación para los dispositivos que desean conectarse a una LAN o WLAN .
La norma aborda directamente una técnica de ataque denominada Hardware Addition [1], en la que un atacante que se hace pasar por un huésped, cliente o miembro del personal introduce de contrabando un dispositivo de piratería en el edificio y lo conecta a la red, lo que le otorga acceso total. Un ejemplo notable de este problema ocurrió en 2005, cuando una máquina conectada a la red de Walmart pirateó miles de sus servidores. [2]
IEEE 802.1X define la encapsulación del Protocolo de autenticación extensible (EAP) sobre redes IEEE 802 cableadas [3] y sobre redes inalámbricas 802.11 [4] , lo que se conoce como "EAP sobre LAN" o EAPOL. [5] EAPOL se especificó originalmente para IEEE 802.3 Ethernet, IEEE 802.5 Token Ring y FDDI (ANSI X3T9.5/X3T12 e ISO 9314) en 802.1X-2001, [6] pero se amplió para adaptarse a otras tecnologías de LAN IEEE 802, como IEEE 802.11 inalámbrica en 802.1X-2004. [7] El EAPOL también se modificó para su uso con IEEE 802.1AE ("MACsec") e IEEE 802.1AR (Secure Device Identity, DevID) en 802.1X-2010 [8] [9] para admitir la identificación de servicio y el cifrado punto a punto opcional sobre el segmento LAN interno. 802.1X es parte de la subcapa de control de enlace lógico (LLC) del modelo de referencia 802. [10]
La autenticación 802.1X implica a tres partes: un solicitante, un autenticador y un servidor de autenticación. El solicitante es un dispositivo cliente (como un ordenador portátil) que desea conectarse a la LAN/WLAN. El término "solicitante" también se utiliza indistintamente para referirse al software que se ejecuta en el cliente y que proporciona credenciales al autenticador. El autenticador es un dispositivo de red que proporciona un enlace de datos entre el cliente y la red y puede permitir o bloquear el tráfico de red entre los dos, como un conmutador Ethernet o un punto de acceso inalámbrico ; y el servidor de autenticación es normalmente un servidor de confianza que puede recibir y responder a las solicitudes de acceso a la red, y puede indicar al autenticador si se debe permitir la conexión y varias configuraciones que deben aplicarse a la conexión o configuración de ese cliente. Los servidores de autenticación normalmente ejecutan software compatible con los protocolos RADIUS y EAP . En algunos casos, el software del servidor de autenticación puede estar ejecutándose en el hardware del autenticador.
El autenticador actúa como un guardia de seguridad para una red protegida. El solicitante (es decir, el dispositivo cliente) no puede acceder a través del autenticador al lado protegido de la red hasta que su identidad haya sido validada y autorizada. Con la autenticación basada en puertos 802.1X, el solicitante debe proporcionar inicialmente las credenciales requeridas al autenticador (estas credenciales habrán sido especificadas de antemano por el administrador de la red y podrían incluir un nombre de usuario/contraseña o un certificado digital permitido ). El autenticador envía estas credenciales al servidor de autenticación para decidir si se concederá el acceso. Si el servidor de autenticación determina que las credenciales son válidas, informa al autenticador, que a su vez permite al solicitante (dispositivo cliente) acceder a los recursos ubicados en el lado protegido de la red. [11]
EAPOL opera sobre la capa de enlace de datos y en el protocolo de trama Ethernet II tiene un valor EtherType de 0x888E.
802.1X-2001 define dos entidades de puerto lógicas para un puerto autenticado: el "puerto controlado" y el "puerto no controlado". El puerto controlado es manipulado por la entidad de acceso al puerto (PAE) 802.1X para permitir (en el estado autorizado) o impedir (en el estado no autorizado) el ingreso y egreso de tráfico de red hacia/desde el puerto controlado. El puerto no controlado es utilizado por la PAE 802.1X para transmitir y recibir tramas EAPOL.
802.1X-2004 define las entidades de puerto equivalentes para el solicitante; por lo tanto, un solicitante que implemente 802.1X-2004 puede evitar que se utilicen protocolos de nivel superior si no está seguro de que la autenticación se haya completado correctamente. Esto es particularmente útil cuando se utiliza un método EAP que proporciona autenticación mutua , ya que el solicitante puede evitar la fuga de datos cuando se conecta a una red no autorizada.
El procedimiento de autenticación típico consiste en:
Un proyecto de código abierto llamado Open1X produce un cliente, Xsupplicant . Este cliente está disponible actualmente tanto para Linux como para Windows. Las principales desventajas del cliente Open1X son que no proporciona una documentación de usuario comprensible y extensa y que la mayoría de los proveedores de Linux no proporcionan un paquete para él. El wpa_supplicant más general se puede utilizar para redes inalámbricas 802.11 y redes cableadas. Ambos admiten una amplia gama de tipos de EAP. [12]
El iPhone y el iPod Touch son compatibles con 802.1X desde el lanzamiento de iOS 2.0. Android es compatible con 802.1X desde el lanzamiento de 1.6 Donut. ChromeOS es compatible con 802.1X desde mediados de 2011. [13]
macOS ofrece soporte nativo desde la versión 10.3 . [14]
Avenda Systems ofrece un suplicante para Windows , Linux y macOS . También tienen un complemento para el marco NAP de Microsoft. [15] Avenda también ofrece agentes de verificación de estado.
De manera predeterminada, Windows no responde a las solicitudes de autenticación 802.1X durante 20 minutos después de una autenticación fallida. Esto puede causar interrupciones significativas a los clientes.
El período de bloqueo se puede configurar mediante el valor DWORD HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\dot3svc\BlockTime [16] (HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\wlansvc\BlockTime para redes inalámbricas) en el registro (introducido en minutos). Se requiere una revisión rápida para Windows XP SP3 y Windows Vista SP2 para que el período sea configurable. [17]
Los certificados de servidor comodín no son compatibles con EAPHost, el componente de Windows que proporciona compatibilidad con EAP en el sistema operativo. [18] Esto implica que, cuando se utiliza una autoridad de certificación comercial, se deben comprar certificados individuales.
Windows XP tiene problemas importantes con el manejo de los cambios de direcciones IP resultantes de la autenticación 802.1X basada en el usuario que cambia la VLAN y, por lo tanto, la subred de los clientes. [19] Microsoft ha declarado que no incorporará de forma retroactiva la función SSO de Vista que resuelve estos problemas. [20]
Si los usuarios no inician sesión con perfiles móviles, se debe descargar e instalar una revisión si se autentican a través de PEAP con PEAP-MSCHAPv2. [21]
Es posible que las computadoras basadas en Windows Vista que estén conectadas a través de un teléfono IP no se autentiquen como se espera y, como resultado, el cliente puede ser ubicado en la VLAN incorrecta. Hay una revisión disponible para corregir esto. [22]
Es posible que las computadoras basadas en Windows 7 que estén conectadas a través de un teléfono IP no se autentiquen como se espera y, en consecuencia, el cliente puede ser ubicado en la VLAN incorrecta. Hay una revisión disponible para corregir esto. [22]
Windows 7 no responde a las solicitudes de autenticación 802.1X después de que falla la autenticación 802.1X inicial. Esto puede causar interrupciones significativas a los clientes. Hay una revisión disponible para corregir esto. [23]
Para la mayoría de las empresas que implementan y distribuyen sistemas operativos de forma remota, vale la pena señalar que Windows PE no tiene soporte nativo para 802.1X. Sin embargo, se puede agregar soporte a WinPE 2.1 [24] y WinPE 3.0 [25] a través de revisiones que están disponibles en Microsoft. Aunque todavía no está disponible la documentación completa, la documentación preliminar para el uso de estas revisiones está disponible a través de un blog de Microsoft. [26]
La mayoría de las distribuciones de Linux admiten 802.1X a través de wpa_supplicant e integración de escritorio como NetworkManager .
A partir de iOS 17 y macOS 14 , los dispositivos Apple admiten la conexión a redes 802.1X mediante EAP-TLS con TLS 1.3 (EAP-TLS 1.3). Además, los dispositivos que ejecutan iOS/iPadOS/tvOS 17 o posterior admiten redes 802.1X cableadas. [27] [28]
eduroam (el servicio de roaming internacional) exige el uso de autenticación 802.1X al brindar acceso a la red a invitados que vienen de otras instituciones habilitadas para eduroam. [29]
BT (British Telecom, PLC) utiliza la federación de identidad para la autenticación en servicios prestados a una amplia variedad de industrias y gobiernos. [30]
No todos los dispositivos admiten la autenticación 802.1X. Algunos ejemplos son las impresoras de red, los dispositivos electrónicos basados en Ethernet, como sensores ambientales, cámaras y teléfonos inalámbricos. Para que estos dispositivos se utilicen en un entorno de red protegido, se deben proporcionar mecanismos alternativos para autenticarlos.
Una opción sería desactivar 802.1X en ese puerto, pero eso deja ese puerto desprotegido y abierto al abuso. Otra opción un poco más confiable es usar la opción MAB. Cuando se configura MAB en un puerto, ese puerto primero intentará verificar si el dispositivo conectado es compatible con 802.1X y, si no se recibe ninguna reacción del dispositivo conectado, intentará autenticarse con el servidor AAA utilizando la dirección MAC del dispositivo conectado como nombre de usuario y contraseña. El administrador de red luego debe tomar medidas en el servidor RADIUS para autenticar esas direcciones MAC, ya sea agregándolas como usuarios regulares o implementando lógica adicional para resolverlas en una base de datos de inventario de red.
Muchos conmutadores Ethernet administrados [31] ofrecen opciones para esto.
En el verano de 2005, Steve Riley de Microsoft publicó un artículo (basado en la investigación original de Svyatoslav Pidgorny, MVP de Microsoft) que detallaba una vulnerabilidad grave en el protocolo 802.1X, que involucraba un ataque de intermediario . En resumen, la falla se origina en el hecho de que 802.1X autentica sólo al comienzo de la conexión, pero después de esa autenticación, es posible que un atacante use el puerto autenticado si tiene la capacidad de insertarse físicamente (quizás usando un concentrador de grupo de trabajo) entre la computadora autenticada y el puerto. Riley sugiere que para redes cableadas, el uso de IPsec o una combinación de IPsec y 802.1X sería más seguro. [32]
Los marcos EAPOL-Logoff transmitidos por el solicitante 802.1X se envían sin cifrar y no contienen datos derivados del intercambio de credenciales que autenticó inicialmente al cliente. [33] Por lo tanto, son muy fáciles de falsificar en medios compartidos y se pueden utilizar como parte de un ataque DoS dirigido tanto en redes LAN cableadas como inalámbricas. En un ataque EAPOL-Logoff, un tercero malintencionado, con acceso al medio al que está conectado el autenticador, envía repetidamente marcos EAPOL-Logoff falsificados desde la dirección MAC del dispositivo de destino. El autenticador (creyendo que el dispositivo de destino desea finalizar su sesión de autenticación) cierra la sesión de autenticación del objetivo, bloqueando el tráfico que ingresa desde el objetivo y negándole el acceso a la red.
La especificación 802.1X-2010, que comenzó como 802.1af, aborda vulnerabilidades en especificaciones 802.1X anteriores, al utilizar MACsec IEEE 802.1AE para cifrar datos entre puertos lógicos (que se ejecutan sobre un puerto físico) y dispositivos autenticados IEEE 802.1AR (Secure Device Identity / DevID). [8] [9] [34] [35]
Como medida provisional, hasta que estas mejoras se implementen ampliamente, algunos proveedores han ampliado el protocolo 802.1X-2001 y 802.1X-2004, lo que permite que se realicen varias sesiones de autenticación simultáneas en un solo puerto. Si bien esto evita que el tráfico de dispositivos con direcciones MAC no autenticadas ingrese en un puerto autenticado 802.1X, no impedirá que un dispositivo malicioso espíe el tráfico de un dispositivo autenticado y no brinda protección contra la suplantación de MAC o los ataques de cierre de sesión EAPOL.
La alternativa respaldada por IETF es el Protocolo para Llevar Autenticación para Acceso a Redes (PANA), que también lleva EAP, aunque funciona en la capa 3, utilizando UDP, por lo que no está vinculado a la infraestructura 802. [36]
802.1X forma parte de la subcapa LLC y proporciona un servicio seguro y sin conexión inmediatamente por encima de la subcapa MAC.
Vista, esto no es un problema en absoluto con la función SSO, sin embargo, esta función no existe en XP y, lamentablemente, no tenemos planes de implementar esta función en XP, ya que es un cambio demasiado complejo.