Сегодня я беседовал с коллегой, и он, похоже, подумал, что если вы используете 802.1X, это позволяет пользователям понять, подключаются ли они к мошеннической точке доступа.
Я не понимаю этого, хотя, конечно, если вы считаете, что мошенническая точка доступа была подлинной с самого начала, вы бы просто проходили аутентификацию на сервере мошеннического радиуса, а не на оригинальном?
Я не понимаю, как 802.1X может помешать вам подключиться к ложной сети?
Аутентификация 802.1X (и последующее генерирование ключа WPA) включает три объекта: соискатель (клиент), аутентификатор (точка доступа) и сервер аутентификации.
Как сказал Zoredache, связь между клиентом и сервером аутентификации защищена криптографией с открытым ключом (по крайней мере, если вы используете EAP-TTLS или EAP-PEAP). Невозможно выдать себя за оригинальный сервер аутентификации.
Однако нет прямой аутентификации AP (аутентификатор на языке 802.1X) для клиента (соискателя) или наоборот. Аутентификатор передает сообщения только между соискателем и сервером аутентификации; вся причудливая криптография с открытым ключом и взаимная аутентификация, предоставляемая некоторыми методами EAP, прозрачна для аутентификатора и поэтому теоретически может быть перехвачена и воспроизведена мошеннической точкой доступа (MITM).
В базовом стандарте 802.1X действительно нет защиты от мошеннических аутентификаторов, но 802.1X при использовании для "шифрования предприятия WPA" (EAP) обеспечивает дополнительную безопасность:
Ключ шифрования WPA (который, помимо прочего, обеспечивает взаимную аутентификацию между клиентом и точкой доступа - это то, что вы хотите защитить от мошеннических точек доступа!) соединение создается не точкой доступа, а сервером аутентификации и передается клиенту по защищенному внутреннему каналу EAP. Конечно, чтобы точка доступа (= authenticator) могла взаимодействовать с клиентом, она также должна знать о ключе, но она получает ключ от сервера аутентификации, а не от клиента.
В обычной конфигурации сервер не будет принимать запросы на аутентификацию от третьих лиц; обычно он связывается только с ограниченным набором аутентификаторов, и связь обычно шифруется (парным секретом RADIUS). Таким образом, чтобы MITM успешно имитировал подходящую точку доступа, злоумышленнику пришлось бы имитировать роль действительной точки доступа на сервере аутентификации.
Короче говоря, защита от мошеннических AP так же хороша, как аутентификация и шифрование между аутентификаторами (например, AP) и сервером аутентификации.
Если бы вам пришлось создать мошенническую точку доступа, вы могли бы действительно успешно передать аутентификацию 802.1X; однако вы не сможете прочитать трафик клиентов, поскольку он будет зашифрован неизвестным вам ключом WPA. Аналогично, все, что отправлено клиенту вашей мошеннической точкой доступа, будет отклонено клиентом, поскольку ключ WPA также используется для аутентификации сообщений.
802.1x допускает взаимную аутентификацию с использованием PKI в некоторых конфигурациях. Это может использовать TLS, который используется для безопасного просмотра веб-страниц.
У клиента и точки доступа есть пара закрытых / открытых ключей. Открытые ключи включены в сертификат, который криптографически подписан третьей системой, настроенной на доверие как на клиенте, так и на точке доступа. Пока закрытые ключи и CA не скомпрометированы, обе машины могут использовать протокол для взаимной аутентификации друг друга.
Недостатком является то, что управление всей PKI требует гораздо больше усилий, чем простой общий ключ.
