Categoria: Network

Radius client

L’ultimo passo per la configurazione di IEEE 802.1x é quello di installare e configurare il client. Solo nelle recenti versioni dei sistemi operativi, quali ad esempio Windows XP é incluso un client per questo protocollo, mentre per altri sistemi operativi é necessiario disporre di un client separato, sia esso commerciale od OpenSource. Nei prossimi paragrafi verranno descritti tali client, assumendo che l’amministratore abbia buona familiarità con la configurazione del sistema operativo e della configurazione dei certificati digitali (per Windows XP).

Esempio con Windows XP e Windows 2000

Come accennato in precedenza, Windows 2000 e Windows XP sono attualmente gli unici sistemi operativi che dispongono del protocollo IEEE 802.1x. Su Windows 2000 è però necessario installare l’apposito client descritto Microsoft Knowledge Base Article numero 313664 e scaricabile gratuitamente sul sito internet http://support.microsoft.com/default.aspx?scid=kb;en-us;313664. Vedremo negli esempi successivi la configurazione attraverso Windows XP, che differisce da Windows 2000 dalla gestione nativa delle chiavi WEP e di WPA. Si assume che l’amministratore di sistema o l’utente abbia già scaricato ed installato il proprio certificato digitale X.509. Continua a leggere

Microsoft Internet Authentication Service (IAS)

L’esempio successivo descrive la configurazione di un RADIUS basato su tecnologia Windows. Per poter installare tale server é necessario avere installato Windows 2000 Server con Service Pack 3 o superiore, oppure Windows 2003 Server. Si assume che:

  • il server DHCP sia già stato installato, o che esista già un server DHCP disponibile
  • il certificato del server sia già installato e che l’utente abbia familiarità con gli strumenti di amministrazione degli utenti e di rete
  • l’utente abbia familiarità con i tools di amministrazione

Per installare il RADIUS server, é necessario aprire il pannello di controllo ed eseguire Add/Remove Programs. Selezionare successivamente Add/Remove Windows Components e dalla categoria Networking Services selezionare Internet Authentication Service. Continua a leggere

SPNEGO

Come abbiamo accennato precedentemente, le GSSAPI foriniscono un set di API generiche che si astraggono dal meccanismo di autenticazione sottostante. Quando due applicazioni parlano tra loro attraverso le GSSAPI e sfruttano lo stesso meccanismo di autenticazione, si dice che hanno stabilito un contesto di sicurezza (security context). Il problema di questo meccanismo è che le due entità devono sapere a priori quale meccanismo di autenticazione hanno a disposizione e quindi quale possono usare: GSSAPI non prevede un meccanismo di “handshake” tra i due peer per sapere quale meccanismo di sicurezza hanno in comune e stabilire quindi un security context.

Il Simple and Protected GSS-API Negotiation Mechanism (SPNEGO) è stato creato appositamente per determinare, durante una connessione tra due peer, quali sono i meccanismi di autenticazione disponibili e selezionare il miglior meccanismo comune. SPNEGO viene usato in Windows 2000 per negoziare quali sono i meccanismi di Continua a leggere

GSSAPI

Anche se non fanno parte direttamente del protocollo Kerberos, descrivere le GSSAPI è propedeutico alla comprensione del resto del libro.

Le Generic Security Service Application Programming Interface  sono un framework che fornisce servizi di sicurezza alle applicazioni.

Lo scopo della nascita delle GSSAPI era creare un “abstraction layer” attraverso delle API standard per l’autenticazione, in modo che ogni programma potesse implementare l’autenticazione astraendosi dal sistema di autenticazione sottostante. Continua a leggere

1 … 6 7 8 9 10 … 16