Port Authentication

Ein user greift auf einen Lan via einem Port zu. 

Der unkontollierter Port ist zugänglich damit der User seine Authentifiuierungs informationen an den Authentication Server kommunizieren kann. 

Der kontrollierte Port wird anhand der Authentifizierungs stand frei geschaltet und erlaubt dem User auf die Dienste hinter den Controlled Port zuzugreifen. 

EAPol wird verwendet für die kommunikation zwischen User und Authenticatir Sytem

Authenticator Syste und authentication Server kommunizieren via AAA Protocol

Authentication off/Port On

keine authentication notwendig

Authentication on/Port on with default policy

Authentication notwendig, parzielle kontrolle erlaubt kommunikation ohne authentifizierung duch den controlled port für dedizierte kommunikatioenn (Wake on Lan, DHCP Internet access Printing)

AUthentication on/Port off

Restrictive mode, Keine kommunikation möglich ohne authentication

wurde ursprünglich als PPP entwickelt (Point to point protocol)

Es nicht ein Protocol sondern ein framework welche bekannte authentication protokoll unterstützt

EAP kapselt nur nachrichten zwischen supplicant und einem authentication server

die authentifizierungs methode kann ziwschen den kommunikation parteien ausgehandelt werden

1. Der supplicant fängt mit der kommunikation mit derm authenticator an (Authenticator und supplicant im CONNECTING state)
2. Supplicant sendet eine EAPOL start frame an den Authenticator um den authenfizierungs prozess zu starten
3. Wenn der Authentication Server den EAPOL start erhält dann antwortet er mit einem identity request um den supplicants um seine Identität zu erhalten
4. Der supplicant senden den identity response mit seiner identität. Anschliessend tauscht der Authentication Server und Authenticator die nötigen Informationen aus. Der erste identity exchange erfolgt im klartext. Es sind auch implementierungen vorhanden welche die identität zu einem später zeitpunkt übertragen wird. 
5. Sobald der Supplicant einen EAP request erhält mit den Radius Acces challenge wird der status des Supplicant PAE auf Authenticating gesetzt. Der supplicant antwortet mit einem EAP response(credentials) message in welcher der Radius access request vorhanden ist
6. Je nach dem wird der user jetzt authentifiziert und der supplicant status wird auf Authenticated gewechselt oder beide stati wechseln auf HELD und der authentifizierungs vorgang isc fehgeschlagen

• EAP-MD5
  • Challenge Handshake authentication protocol 
  • generiert keine dynamische WEP keys
  • angreifbar mit dictionary attacks
  • angreofbar mit man in the middle weil keine gegenseitige authentifizierung vorgenommen wird
• EAP-LEAP
  • unterstützt dynamic WEP keys und gegenseitige authentifizierung
  • nicht mehr empfohlen von CISCO weil die user credentials nicht stark geschützt sind
• EAP-TLS
  • gegenseitige certifikat basiertes authentication 
  • das sicherste EAP standard
• EAP-TTLS
  • wie ein EAP-TLS aber nur der Server authentifiziert sich gegen den Client dann wird durch den getunelte verbindung der client authentifiziert mit seinen credentials
• PEAP
  • ähnlich wie EAP-TTLS (server cert und user credential via tls tunnel)
  • wird von Windows, OSX Linux, Android iOS unterstützt
  •  

Dies basiert auf UDP und ist dadurch stateless

RADIUS heisst Remote Authentication Dial In User Service

fordert den User auf befor er siich mit dem Netz verbinden kann sich zu authentifizieren und gewährt ihm nur zugriff wenn die authentication erfolgreich war

Der Radius Server ist ein Authentication, Authorization, and Accounting (AAA) protocol

Wird in Firmen Netzwerken als Remote zugang verwendet(VPN oder 802.1X port authentication)

verwendet den UDP Port 1812 für die Authentication und UDP-Prt 1813 für Accounting

• RADIUS Client
  • (NAS) Network Access Server
  • Transport Authentication Protocol Data between Client und Authentication Server
• RADIUS Server
  • Authentication Server können RADIUS Server aber auch andere Backend Authentication server wie ein LDAP Server sein

• Authentication
  • Das der user wirklich der ist für welcher er sich ausgibt. identitiy und credentials
• Authorization
  • Je nach authentication kann der User anders authorisiert werden. Verschiedene Rechte auf unterschiedliche Dienste zuzugreifen. 
• Accounting
  • Aufzeichnung der Netzwerk konsums

Ist der Nachfolger von RADIUS

verwendet TCP oder SCTP als transport protocol

kann netzwerk oder transport level security verwenden (IPSEC ider TLS)

hat error benachrichtungen

hat eine grössere adress bereich 32 bit anstatt 8 bit

packet forging or spoofing cause of UDP Protocol

Spoofed Packet injection

user credentials sind je nach dem zu schwach geschützt

DIAMETER wird von ISP und MSP's als eine Art verkehrs kontroller eingesetzt. kann als Leistungs sperre anhand der Diensteleitungsvertrag gelten.