Вопрос 8. Ieee 802.1x. Роль протоколов eaPoL, eap, radius. Web-аутентификация. Radius.

IEEE 802.1X — протокол контроля доступа на уровне канала (портовая аутентификация), применяемый для проводных и беспроводных сетей. Он организует процесс аутентификации клиента (supplicant) через аутентификатор (authenticator, обычно точка доступа или коммутатор) к аутентификационному серверу (authentication server, чаще RADIUS).

Компоненты и роли:

• EAPoL (EAP over LAN) — транспорт EAP-сообщений между supplicant и authenticator в локальной сети.

• EAP (Extensible Authentication Protocol) — фреймворк для методов аутентификации (EAP-TLS, EAP-TTLS, PEAP и др.). EAP определяет, как происходит обмен идентификационными сообщениями и ключами.

• RADIUS — протокол между authenticator (AP/коммутатор) и authentication server; передаёт запросы на аутентификацию и получает решения. RADIUS также передаёт атрибуты (VLAN, session-timeout и т.п.).

Web-аутентификация (captive portal) — альтернативный метод аутентификации, часто для гостевых сетей: пользователь перенаправляется на веб-страницу для ввода логина/пароля или принятия условий. Он удобен для гостей, но уступает 802.1X по безопасности (отсутствует сильная криптосвязка и управление ключами).

Практически: 802.1X + EAP-TLS (сертификаты) — наиболее безопасно для корпоративной среды; PEAP/TTLS позволяет использовать парольную аутентификацию внутри защищённого TLS-туннеля

Вопрос 9. Использование radius для авторизации пользователей на оборудовании (По лр — беспроводной клиент на точке доступа, администратор на устройстве).

RADIUS в типичном сценарии: AP (authenticator) перенаправляет EAPoL-запросы от клиента к RADIUS-серверу. RADIUS сервер проверяет учетные данные (через локальную базу, LDAP/AD, внешние базы) и возвращает Access-Accept/Reject и дополнительные атрибуты (VLAN assignment, ACLs, session timeout). После успешной аутентификации происходит генерация ключа (MSK/PMK), который используется для установления защищённого соединения между клиентом и AP (см. 4-х стороннее рукопожатие).

Авторизация администратора устройства обычно делается через отдельный AAA профиль: доступ по SSH/HTTPS к управлению контроллером/коммутатору защищается RADIUS/TACACS+, с применением строгих политик и 2-факторной аутентификации для привилегированных действий.

Вопрос 10. Ключевая иерархия в стандартах ieee 802.11. Генерация и назначение ключей. Назначение msk, kek, tk, psk, gtk. Рекомендуемые и устаревшие механизмы иб.

Иерархия ключей (обобщённо):

• PSK (Pre-Shared Key) — статический ключ в режиме Personal (WPA/WPA2 Personal). PSK используется как PMK (Pairwise Master Key) при PSK-режиме.

• При 802.1X/EAP: результат аутентификации — MSK (Master Session Key), который используется для получения PMK (Pairwise Master Key) — в некоторых реализациях MSK содержит PMK. PMK — корневой ключ, привязанный к сессии.

• 4-х стороннее рукопожатие (4-way handshake) использует PMK + случайные числа (ANonce/SNonce) и адреса для вывода PTK (Pairwise Transient Key). PTK содержит под-ключи:

  • KCK (Key Confirmation Key) — для проверки сообщений управления.

  • KEK (Key Encryption Key) — для защиты при передаче GTK и других секретов.

  • TK (Temporal Key) — ключ для шифрования данных (например, для CCMP/TKIP).

• GTK (Group Temporal Key) — общий ключ для шифрования широковещательных/мульткастовых пакетов; доставляется защищённо контроллером/AP каждому клиенту (через KEK).

Рекомендуемые и устаревшие механизмы:

• Устаревшие/небезопасные: WEP (криптоалгоритм с известными уязвимостями), TKIP (устаревший, разработан как временное решение для WPA — теперь приравнивается к устаревшему), PSK в открытых условиях без дополнительной защиты для крупных сетей (возможность offline dictionary brute-force).

• Рекомендуемые: WPA2-Enterprise (802.1X + EAP-TLS) с AES-CCMP; WPA3 (SAE для Personal — защищён от offline атак и даёт forward secrecy), WPA3-Enterprise (192-bit security suite) — современнее и безопаснее. WPA2 с сильной 802.1X и EAP-TLS по-прежнему примин