O protocolo EAP-TTLS

Esse documento é uma tradução livre do rascunho (draft) que descreve o protocolo EAP-TTLS, disponível em http://tools.ietf.org/html/draft-funk-eap-ttls-v0-05. Use por sua conta e risco.

[ Hits: 94.943 ]

Por: Perfil removido em 23/05/2008


Motivação



A maioria dos protocolos baseados em senha em uso atualmente fazem uso de um hash, gerado a partir de uma senha, juntamente com um desafio aleatório, como mecanismo de proteção. Assim o servidor emite um desafio, o cliente junta o desafio a senha, gera outro hash e devolve ao servidor. O servidor recebe o hash (gerado por desafio + senha) e busca a senha do cliente em um banco de dados fazendo a comparação entre a resposta e o valor gerado. Essa abordagem pode descrever os protocolos CHAP, MS-CHAP, MS-CHAPv2, EAP/MD5-Challenge e EAP/One-Time Password.

Um dos problemas dessa abordagem é que um atacante pode capturar tanto o desafio quanto o hash gerado, e deste modo montar um ataque de dicionário. Neste tipo de ataque, milhares de supostas senhas são testadas contra o desafio, de modo que existe a possibilidade de se encontrar uma combinação que seja equivalente ao hash gerado. Como as senhas, normalmente, são criadas pelos próprios usuários e muitas vezes são curtas e com baixa entropia (usada aqui no sentido da teoria da informação!) ataques como esse podem realmente descobrir algumas senhas.

Embora essa vulnerabilidade seja entendida a muito tempo, ela é considerada sem muita importância em ambientes onde a chance de um invasor praticar espionagem é baixa. Normalmente, em redes com fio e conexões discadas (dial-up) os usuários acreditam que não são monitorados. Os usuários também entregam suas senhas (sem preocupação!) para serviços de autenticação para que sejam comparadas com banco de dados ou outras formas de autenticação. Os usuários confiam no prestador de serviço.

Entretanto, com o advento da tecnologia Wireless essa situação muda:

Conexões Wireless são mais susceptíveis ao ataque do Homem no Meio. Esses ataques levam ao ataque de dicionário. Outra conseqüência é o sequestro da sessão por outro usuário.

A maior parte destes protocolos fazem o encaminhamento do username do usuário no formato de texto puro. No contexto das escutas sobre uma rede sem fios, isso compromete o anonimato e a privacidade de localização do usuário.

A maioria dos pontos de acesso não residem no domínio administrativo do usuário. Por exemplo, pontos de acesso de um hotel, aeroporto, cafeteria ou outros, que provêem acesso público. Mesmo que a senha seja protegida no enlace Wireless, ela ainda continua passível de ser capturada na rede com fio do ponto de acesso.

No mundo das redes com fio, um usuário se conecta a um ponto pré-definido, seja por conexão discada ou rede interna. Nas rede Wireless, entretanto, ele pode se conectar a qualquer ponto de acesso na vizinhança. Esse ponto de acesso encaminha o pedido de autenticação para um ponto de acesso arbitrário que possa apresentar um desafio ao usuário.

Assim, os requerimentos para autenticação em um ambiente Wireless usando EAP-TTLS podem ser resumido do seguinte modo:
  • Protocolos legados devem ser suportados para facilitar a implantação em ambientes onde haja a presença de base de dados de autenticação.
  • A senha não deve ser transmitida entre o cliente e o servidor de autenticação de modo que ataques de dicionário se tornam difíceis.
  • A identidade do usuário (username) não deve ser transmitida. Mantém a privacidade e aumenta a segurança.

O processo de autenticação deve resultar da troca de chaves secretas entre o ponto de acesso e o cliente. Essa troca de mensagens criptografadas permitem a validação da conexão, e de modo subseguinte garantem toda a troca de dados, de modo que não haja sequestro da conexão.

O mecanismo de autenticação deve suportar "roaming" (obter conectividade em uma rede onde o usuário aparece como visitante).

Página anterior     Próxima página

Páginas do artigo
   1. Introdução
   2. Motivação
   3. Terminologia
   4. Modelo arquitetônico
   5. Modelo de camadas do protocolo
   6. Uma visão geral sobre EAP-TTLS
   7. Gerando material criptográfico
   8. O formato do pacote EAP-TTLS
   9. Encapsulamento de mensagens AVPs dentro da camada de gravação TLS
   10. Autenticação tunelada
   11. Estrutura de chaves
   12. Considerações de segurança
   13. Considerações finais
Outros artigos deste autor

Instalação do Nessus 3.0

Configurando os escâneres HP 2300C/2400C no Linux

Aixgl + Beryl no Slackware

Como utilizar o Kurumin dentro de uma única partição Windows

Usando o gerenciador de arquivos XFE para administrar as tarefas no Linux

Leitura recomendada

Por que as pessoas (ainda) preferem o Windows

Porque abandonar o Slackware e usar o Ubuntu

Licenças: liberdade para quem?

Software Livre: Redução de custos para as empresas e mais empregos

DNS - Digital Nervous System

  
Comentários
[1] Comentário enviado por removido em 24/05/2008 - 14:09h

existe alguma aplicacao baseada nele?

[2] Comentário enviado por removido em 26/05/2008 - 20:49h

Timidboy... FreeRADIUS já implementa...


Contribuir com comentário