"

 RADIUS-kysymys 

Otan Security+ luokan juuri nyt ja yksi kysymyksistä kirjassamme on tämä:

Mitä seuraavista ei voi käyttää RADIUS-asiakkaana?
A) VPN-palvelin
B) Langaton tukiasema
C) Verkkopalvelin
D) Windows-työasema

Kirjan mukaan vastaus on D) Windows-työasema, josta olimme kaikki samaa mieltä. Emme kuitenkaan tiedä miksi. Kaikki panos olisi mukavaa. 

Jos Windows-työasemassasi olisi GINA-moduuli, joka toimisi RADIUS-asiakkaana, vastaus voisi olla kaikki edellä mainitut seikat.   

Tällaisia laitteita on todella olemassa, ja niitä käytetään joissakin sovelluksissa, kuten vierasverkoissa ja verkkokahviloissa.

 Langaton osasto? 

Olenko se vain minä, vai eikö seuraavassa ole mitään järkeä:

Vaikka RADIUS:ia ei alun perin tarkoitettu langattoman tietoturvan todennusmenetelmäksi, se parantaa WEP-salausavainstandardia yhdessä muiden tietoturvamenetelmien, kuten EAP-PEAP:n, kanssa.

RADIUS ei ""paranna"" WEP:iä; vaikka auth-tunnukset voidaan siirtää NAS/AP:lta auth-palvelimelle RADIUS:n avulla, taustalla oleva WEP-suojaus on edelleen yhtä haavoittuvainen kuin muutoin. 

Voimmeko poistaa?

 

 Kysymys - miksi UDP? 

Minua on aina ihmetyttänyt, miksi RADIUS käyttää UDP:tä eikä TCP:tä. UDP näyttää soveltuvan paljon paremmin suoratoistosovelluksiin, joissa muutaman paketin häviäminen on siedettävää. Täydellinen esimerkki on suoratoistovideo. Kehittäjänä en kuitenkaan ymmärrä, miten nämä periaatteet soveltuvat siihen, mitä yritämme saavuttaa RADIUS-protokollalla. TCP:n ylikuormitus ei kai aiheuta skaalautuvuus- tai suorituskykyongelmia nopeissa verkoissa ja nykyaikaisissa laitteistoissa? Voisiko joku kertoa minulle, miksi RADIUS-protokollaksi valittiin UDP.  

 Miksi UDP?  Vastaus 

RADIUS on suunniteltu skaalautuvaksi laajamittaisiin käyttöönottoihin, joissa on kymmeniä tai jopa satoja järjestelmäkeskuksia, jotka kaikki puhuvat satunnaisesti parille keskuspalvelimelle. Kun otetaan huomioon nykyaikaisten verkkojen luotettavuus, satojen avointen TCP-yhteyksien ylläpitäminen olisi ollut liikaa. Vaihtoehto (yhteyden avaaminen joka kerta, kun paketti on lähetettävä) olisi myös ollut tehoton (ei olisi ollut mitään järkeä suorittaa kolminkertaista kättelyä yhden kirjanpitopäivityksen vuoksi). Kaiken kaikkiaan UDP on luultavasti paras valinta.

Muista, että RADIUS:ssa on sisäänrakennetut kuittaus- ja uudelleenlähetysmekanismit, jotka selviytyvät satunnaisista kadonneista paketeista.

Joustavampi ja vankempi protokolla on osoitteessa http://en.wikipedia.org/wiki/DIAMETER.

 

Toinen syy on se, että kun RADIUS suunniteltiin, UDP-pino oli mahdollista toteuttaa yhdellä sulautetulla piirillä, mutta TCP-pino oli monimutkaisempi (lue: kalliimpi). Tämä tuntuu nykyään melko typerältä, mutta halpojen laitteiden suunnittelu oli tuolloin todellinen ongelma.

SIP-puhelimissa on edelleen sama ajattelutapa, vaikka SIP:tä voidaan käyttää sekä UDP:n että TCP:n kautta, mutta monet valmistajat toteuttavat vain UDP-osuuden.

  

 Bulk muutokset 

Alkuun on lisätty uutta tekstiä, jossa yritetään selittää, mitä RADIUS on/tekee niille, jotka eivät tunne sitä ja siihen liittyvää TLA-keittoa. Mielestäni olisi hyvä poistaa/siirtää osa nykyisestä tekstistä, erityisesti kohdat, jotka sisältävät ja seuraavat välittömästi kohtaa "Monet verkkopalvelut (".

Joitakin ideoita uusiksi osioiksi:

Yksi keskittyy kuhunkin suosittuun RADIUS-auth-protokollaan PAP,CHAP,MSCHAP,EAP..jne. ja keskittää joitakin hajallaan olevia tietoja.

A second on popular backend databases SQL, password files, LDAP..etc...in the spirit of whatever common practices there are for managing accounts.

Lopuksi tietoturvaan keskittyvä protokollaa koskeva kritiikki, kuten MD5:n käyttö/salaisten avainten pituudet/""Käytä vain IPSeciä"", voisi olla hyödyllistä sisällyttää tietoturvaa ja sen lieventämistä koskeva osio.

  

 Siivous 
Käytän lähipäivinä aikaa tämän artikkelin siivoamiseen.  Aion lisätä kolme lukua.  Yhdessä näytetään RADIUS:n lohkokaavio yrityksessä, jossa valintaliittymä, VPN ja Wi-Fi käyttävät kaikki samaa RADIUS-palvelinta, tyypillinen protokollapino ja lohkokaavio verkkovierailuskenaariosta, jossa välityspalvelimen RADIUS-palvelin kommunikoi etä-RADIUS-palvelimen kanssa, joka on yhdistetty PKI-tunnelin kautta.  I