RADIUS serveri kasutamine wifi võrkudes - Revision history

Kkaarna: /* Sissejuhatus */

2010-05-19T12:45:33Z

Sissejuhatus

← Older revision		Revision as of 15:45, 19 May 2010
Line 24:		Line 24:


	AAA-põhimõtte keskmes on RADIUS-teenuse kasutamine. RADIUS-teenust pakkuva serveri ülesanne on kontrollida, (a) kas kliendil on kehtiv sertifikaat, (b) millised on sellise kliendi pääsuõigused ettevõtte domeenis. <u>Seega võimaldab RADIUS server juhtida ettevõtte wifi turvapoliitikat. </u>		AAA-põhimõtte keskmes on RADIUS-teenuse kasutamine. RADIUS-teenust pakkuva serveri ülesanne on kontrollida, (a) kas kliendil on kehtiv sertifikaat, (b) millised on sellise kliendi pääsuõigused ettevõtte domeenis; (c) ühendussessiooni järel kontrollida, millised andmed sessiooni jooksul liikusid. <u>Seega võimaldab RADIUS server juhtida ettevõtte wifi turvapoliitikat. </u>

	==Kuidas RADIUS server toimib?==		==Kuidas RADIUS server toimib?==

Kkaarna: /* Kuidas RADIUS server toimib? */

2010-05-19T12:36:33Z

Kuidas RADIUS server toimib?

← Older revision		Revision as of 15:36, 19 May 2010
Line 37:		Line 37:
	\|}		\|}

	WPA-EAS arhitektuuris on RADIUS-serveril keskne roll kasutajate sisselogimisandmete (kasutajanime ja parooli või ~~seetifikaadi~~) haldamisel. Ei kasutatuta jagatud võtit, samuti ei saa ükski kasutaja pöörduda otse RADIUS-serveri poole. Selle asemel suhtleb kasutaja võrguseadmega (~~marssruuter~~, VPN-server, modem, NAS-server), edastades sellele oma sisselogimisandmed, et võrku ühenduda (toimub nn ''access-request''). Võrguseade on eelnevalt seadistatud RADIUS-serveri kliendina: ta vahetab RADIUS-serveriga krüpteeritud sümmeetrilist võtit. Sellega võrguseade ja RADIUS-server tuvastavad teineteist. Võrguseadme ja RADIUS-serveri suhtlus krüpteeritakse selle sümmeetrilise võtmega. Võrguseade edastab RADIUS-serverile kasutaja sisselogimisandmed.		WPA-EAS arhitektuuris on RADIUS-serveril keskne roll kasutajate sisselogimisandmete (kasutajanime ja parooli või setifikaadi) haldamisel. Ei kasutatuta jagatud võtit, samuti ei saa ükski kasutaja pöörduda otse RADIUS-serveri poole. Selle asemel suhtleb kasutaja võrguseadmega (marsruuter, VPN-server, modem, NAS-server), edastades sellele oma sisselogimisandmed, et võrku ühenduda (toimub nn ''access-request''). Võrguseade on eelnevalt seadistatud RADIUS-serveri kliendina: ta vahetab RADIUS-serveriga krüpteeritud sümmeetrilist võtit. Sellega võrguseade ja RADIUS-server tuvastavad teineteist. Võrguseadme ja RADIUS-serveri suhtlus krüpteeritakse selle sümmeetrilise võtmega. Võrguseade edastab RADIUS-serverile kasutaja sisselogimisandmed.

Kkaarna: /* Sissejuhatus */

2010-05-19T12:34:26Z

Sissejuhatus

← Older revision		Revision as of 15:34, 19 May 2010
Line 18:		Line 18:


	Esiteks turvalisuse aspekt: kuna salajast parooli ei pruugita tihti vahetada, on potentsiaalsel ründajal aega tegelda ka keerulisema parooli lahtimurdmisega. Teine probleem seondub kasutajate haldamisega: kui võrgul on mitu kasutajat ja soovime ühe kasutaja välja arvata (või anda kellelegi ajutist ligipääsu), tuleb ühe isiku välistamiseks vahetada pääsupunkti parooli. Sellega kaasneb vajadus muuta pääsupunkti parooli sätteid ~~kõigidel~~ võrgu klientidel. Järelikult- vastupidiselt laialt levinud praktikale- ei tohiks äriettevõtted, kes jagavad klientidele ajutist juurdepääsu oma ~~wifi~~ võrku (nt konverentsi- või koosolekuruumides), kasutada WPA-PSK tehnoloogiat.		Esiteks turvalisuse aspekt: kuna salajast parooli ei pruugita tihti vahetada, on potentsiaalsel ründajal aega tegelda ka keerulisema parooli lahtimurdmisega. Teine probleem seondub kasutajate haldamisega: kui võrgul on mitu kasutajat ja soovime ühe kasutaja välja arvata (või anda kellelegi ajutist ligipääsu), tuleb ühe isiku välistamiseks vahetada pääsupunkti parooli. Sellega kaasneb vajadus muuta pääsupunkti parooli sätteid kõikidel võrgu klientidel. Järelikult- vastupidiselt laialt levinud praktikale- ei tohiks äriettevõtted, kes jagavad klientidele ajutist juurdepääsu oma traadita võrku (nt konverentsi- või koosolekuruumides), kasutada WPA-PSK tehnoloogiat.


	Eeltoodud kaalutlustel tasub ettevõtetel (ja suurematel koduvõrkudel) kasutada WPA-EAS tehnoloogiat. Selle tehnoloogia puhul ei kasutata kliendi tuvastamiseks pääsupunkti salajast parooli. Selle asemel rakendatakse nn. AAA-põhimõtet (~~akrnonüüm~~ väljendist ''Authentication, Authorization, Accountability''), mille kohaselt peab andmesideprotokoll võimaldama selget tuvastust, pääsukontrolli ja tegevuse jälgitavust.		Eeltoodud kaalutlustel tasub ettevõtetel (ja suurematel koduvõrkudel) kasutada WPA-EAS tehnoloogiat. Selle tehnoloogia puhul ei kasutata kliendi tuvastamiseks pääsupunkti salajast parooli. Selle asemel rakendatakse nn. AAA-põhimõtet (akronüüm väljendist ''Authentication, Authorization, Accountability''), mille kohaselt peab andmesideprotokoll võimaldama selget tuvastust, pääsukontrolli ja tegevuse jälgitavust.

Kkaarna at 20:15, 10 May 2010

2010-05-10T20:15:38Z

← Older revision		Revision as of 23:15, 10 May 2010
Line 25:		Line 25:

	AAA-põhimõtte keskmes on RADIUS-teenuse kasutamine. RADIUS-teenust pakkuva serveri ülesanne on kontrollida, (a) kas kliendil on kehtiv sertifikaat, (b) millised on sellise kliendi pääsuõigused ettevõtte domeenis. <u>Seega võimaldab RADIUS server juhtida ettevõtte wifi turvapoliitikat. </u>		AAA-põhimõtte keskmes on RADIUS-teenuse kasutamine. RADIUS-teenust pakkuva serveri ülesanne on kontrollida, (a) kas kliendil on kehtiv sertifikaat, (b) millised on sellise kliendi pääsuõigused ettevõtte domeenis. <u>Seega võimaldab RADIUS server juhtida ettevõtte wifi turvapoliitikat. </u>


	==Kuidas RADIUS server toimib?==		==Kuidas RADIUS server toimib?==
Line 78:		Line 77:
	*Topbits.com [[http://www.topbits.com/radius-remote-authentication-dial-in-user-service.html]]		*Topbits.com [[http://www.topbits.com/radius-remote-authentication-dial-in-user-service.html]]
	*Wi-fiplanet.com [[http://www.wi-fiplanet.com/tutorials/article.php/10724_3114511_2]]		*Wi-fiplanet.com [[http://www.wi-fiplanet.com/tutorials/article.php/10724_3114511_2]]


	==Koostaja==		==Koostaja==

Kkaarna: /* RADIUS-serveri paigaldamine */

2010-05-10T20:14:53Z

RADIUS-serveri paigaldamine

← Older revision		Revision as of 23:14, 10 May 2010
Line 65:		Line 65:

	* Juhtnöörid RADIUS-serveri paigaldamiseks Linuxi masinal: http://tldp.org/HOWTO/html_single/8021X-HOWTO/#auth		* Juhtnöörid RADIUS-serveri paigaldamiseks Linuxi masinal: http://tldp.org/HOWTO/html_single/8021X-HOWTO/#auth
	* RADIUS-serveri paigaldamine WS2008 masinal: vt Mackin, J.C., Northrup, T., ''Configuring Windows ~~Sewrver~~ 2008 Network Infrastructure. Self-Paced Training Kit'', lk 327-329.		* RADIUS-serveri paigaldamine WS2008 masinal: vt Mackin, J.C., Northrup, T., ''Configuring Windows Server 2008 Network Infrastructure. Self-Paced Training Kit'', lk 327-329.

	==Kasutatud allikad==		==Kasutatud allikad==

Kkaarna: /* RADIUS-serveri paigaldamine */

2010-05-10T20:14:30Z

RADIUS-serveri paigaldamine

← Older revision		Revision as of 23:14, 10 May 2010
Line 64:		Line 64:
	==RADIUS-serveri paigaldamine==		==RADIUS-serveri paigaldamine==

	* Juhtnöörid RADIUS-serveri paigaldamiseks Linuxi masinal~~, kusjuures kasutajaks võib olla XP arvuti~~:		* Juhtnöörid RADIUS-serveri paigaldamiseks Linuxi masinal: http://tldp.org/HOWTO/html_single/8021X-HOWTO/#auth
	~~http://wiki.freeradius.org/WPA_HOWTO#On_the_Windows_XP_Client~~		* RADIUS-serveri paigaldamine WS2008 masinal: vt Mackin, J.C., Northrup, T., ''Configuring Windows Sewrver 2008 Network Infrastructure. Self-Paced Training Kit'', lk 327-329.
	http://tldp.org/HOWTO/html_single/8021X-HOWTO/#auth
	* RADIUS-serveri paigaldamine WS2008 masinal: vt Mackin, J.C., Northrup, T., ''Configuring Windows Sewrver 2008 Network Infrastructure. Self-Paced Training Kit'', lk 327-329

	==Kasutatud allikad==		==Kasutatud allikad==

Kkaarna: /* RADIUS-serveri paigaldamine */

2010-05-10T20:13:27Z

RADIUS-serveri paigaldamine

← Older revision		Revision as of 23:13, 10 May 2010
Line 64:		Line 64:
	==RADIUS-serveri paigaldamine==		==RADIUS-serveri paigaldamine==

	* Juhtnöörid RADIUS-serveri paigaldamiseks Linuxi masinal, kusjuures kasutajaks võib olla XP arvuti: http://wiki.freeradius.org/WPA_HOWTO#On_the_Windows_XP_Client		* Juhtnöörid RADIUS-serveri paigaldamiseks Linuxi masinal, kusjuures kasutajaks võib olla XP arvuti:
			http://wiki.freeradius.org/WPA_HOWTO#On_the_Windows_XP_Client
	* RADIUS-serveri paigaldamine WS2008 masinal:		http://tldp.org/HOWTO/html_single/8021X-HOWTO/#auth
			* RADIUS-serveri paigaldamine WS2008 masinal: vt Mackin, J.C., Northrup, T., ''Configuring Windows Sewrver 2008 Network Infrastructure. Self-Paced Training Kit'', lk 327-329

	==Kasutatud allikad==		==Kasutatud allikad==

Kkaarna: /* Kuidas RADIUS-serveri kasutamine parandab julgeolekut? */

2010-05-10T20:00:57Z

Kuidas RADIUS-serveri kasutamine parandab julgeolekut?

← Older revision		Revision as of 23:00, 10 May 2010
Line 59:		Line 59:
	nimekirjas, mida RADIUS-server sisaldab. Sellega tagatakse, et kasutaja pääseb võrgule ligi nii kaua, kuni on selleks volitus. <br/>		nimekirjas, mida RADIUS-server sisaldab. Sellega tagatakse, et kasutaja pääseb võrgule ligi nii kaua, kuni on selleks volitus. <br/>
	2) Kasutajate paroolid on erinevad ja reeglina neid uuendatakse regulaarselt. <br/>		2) Kasutajate paroolid on erinevad ja reeglina neid uuendatakse regulaarselt. <br/>
	3) Kasutajate pääsuõigused on piiratavad. Kasutaja pääseb ligi vaid neile võrguteenustele, mis vastavad tema pääsuõigustele. Viimaseid saab muuta (kitsendada, laiendada~~) selle muudatuse kajastamisel~~ kasutajate nimekirjas, mida RADIUS-server sisaldab. <br/>		3) Kasutajate pääsuõigused on piiratavad. Kasutaja pääseb ligi vaid neile võrguteenustele, mis vastavad tema pääsuõigustele. Viimaseid saab muuta (kitsendada, laiendada. Muudatus kajastatakse kasutajate nimekirjas, mida RADIUS-server sisaldab. <br/>
	4) RADIUS-serveri ründamiseks ei piisa kasutaja parooli murdmisest, vaid tuleb murda ka sümmeetriline võti, mille abil RADIUS-server tuvastab võrguseadme.		4) RADIUS-serveri ründamiseks ei piisa kasutaja parooli murdmisest, vaid tuleb murda ka sümmeetriline võti, mille abil RADIUS-server tuvastab võrguseadme.

Kkaarna: /* Kuidas RADIUS server toimib? */

2010-05-10T19:59:06Z

Kuidas RADIUS server toimib?

← Older revision		Revision as of 22:59, 10 May 2010
Line 47:		Line 47:


	Kui kasutaja sisselogimisandmed võimaldavad RADIUS-serveril kasutajat tuvastada, saadab RADIUS-server võrguseadmele teate ühenduse lubamise kohta (toimub nn '''access-accept'''). Viimane sisaldab ka pääsukontrolli tingimusi: milliseid teenuseid tohib võrguseade kasutajale võimaldada. Seejärel genereerib võrguseade sessioonivõtme ja avab kasutajale lüüsi, mille kaudu kasutaja pääseb ligi võrguteenus(t)ele.		Kui kasutaja sisselogimisandmed võimaldavad RADIUS-serveril kasutajat tuvastada, saadab RADIUS-server võrguseadmele teate ühenduse lubamise kohta (toimub nn ''access-accept''). Viimane sisaldab ka pääsukontrolli tingimusi: milliseid teenuseid tohib võrguseade kasutajale võimaldada. Seejärel genereerib võrguseade sessioonivõtme ja avab kasutajale lüüsi, mille kaudu kasutaja pääseb ligi võrguteenus(t)ele.


	RADIUS-serveri järelevalve (ehk ''accounting'') kasutaja tegevuse üle toimib selliselt, et võrguseade teavitab RADIUS-serverit sessiooni algusest ja lõpust (saadetakse nn ''accounting''-pakett), andes ülevaate sessiooni jooksul kasutatud teenuse kohta (nt ühenduse pikkus, edastatud andmemaht ja paketid).		RADIUS-serveri järelevalve (ehk ''accounting'') kasutaja tegevuse üle toimib selliselt, et võrguseade teavitab RADIUS-serverit sessiooni algusest ja lõpust (saadetakse nn ''accounting''-pakett), andes ülevaate sessiooni jooksul kasutatud teenuse kohta (nt ühenduse pikkus, edastatud andmemaht ja paketid).


	==Kuidas RADIUS-serveri kasutamine parandab julgeolekut?==		==Kuidas RADIUS-serveri kasutamine parandab julgeolekut?==

Kkaarna: /* RADIUS-serveri paigaldamine */

2010-05-10T19:58:30Z

RADIUS-serveri paigaldamine

← Older revision		Revision as of 22:58, 10 May 2010
Line 65:		Line 65:
	==RADIUS-serveri paigaldamine==		==RADIUS-serveri paigaldamine==

	* Juhtnöörid RADIUS-serveri paigaldamiseks Linuxi masinal, kusjuures kasutajaks võib olla XP arvuti: [[http://wiki.freeradius.org/WPA_HOWTO#On_the_Windows_XP_Client]]		* Juhtnöörid RADIUS-serveri paigaldamiseks Linuxi masinal, kusjuures kasutajaks võib olla XP arvuti: http://wiki.freeradius.org/WPA_HOWTO#On_the_Windows_XP_Client

	* RADIUS-serveri paigaldamine WS2008 masinal:

			* RADIUS-serveri paigaldamine WS2008 masinal:

	==Kasutatud allikad==		==Kasutatud allikad==