복수의 인증 프로토콜을 캡슐화시킬 수 있게 해줌 → 다양한 인증방식 선택 가능
⇒ 인증 (무선)프레임워크 (not 인증 매커니즘)
* 인증 프레임워크 : 사용자나 장치가 자신의 신원을 확인하고 시스템에 안전하게 액세스할 수 있도록 하는 시스템 또는 규정들의 집합이다. 보안 목적으로 사용자나 장치가 자원에 대한 적절한 권한을 가지고 있는지를 확인하는 것을 중심으로 합니다.
식별 및 인증, 권한 부여, 감사 및 모니터링, 단일 로그인, 다중 계층 보안을 제공한다.
concept
- 확장 가능한 인증 프로토콜은 여러 인증 메소드를 지원하도록 설계된 프로토콜이다. 인증 데이터의 내용을 정의하지 않고 클라이언트와 인증 서버 간의 인증 통신의 구조를 지정한다. 인증에 사용되는 고유의 EAP 메소드에 의해 정의된다.
- MD5-인증 확인
- 일회성 비밀번호
- 일반 토큰 카드
- TLS(Transport Layer Security)다중 계층 보안
- Radius는 Radius 서버와 관련 클라이언트 간에 EAP 데이터를 전송하는 데 사용되는 Radius 속성을 지정해 EAP를 이용한다. 그러면 Radius 서버가 이 EAP 데이터를 다양한 EAP 인증 메소드를 구현하는 백엔드 서버로 직접 전송할 수 있다.
- 로컬 데이터베이스 또는 LDAP에서 사용자 항목의 값을 설정해 사용자를 인증하는 데 사용되는 EAP 메소드를 사용자 레벨에서 설정할 수 있다.
* LDAP(Lightweight Directory Access Protocol) : 사용자가 조직, 구성원 등에 대한 데이터를 찾는 데 도움이 되는 프로토콜이다. 여러 종류가 있다. LDAP 디렉터리에 데이터를 저장하고 사용자가 디렉터리에 액세스할 수 있도록 인증하기 위해 주로 사용된다.
- 원래는 모뎀(신호 변환기)를 통한 PPP를 위해 개발되었으나, 지금은 LAN 연결, 무선 랜 연결 등에서 많이 활용한다.
- 모든 데이터링크 계층에서 사용 가능하다. 즉, IP(3계층) 없이도 데이터링크(2계층) 상에서 직접 적용이 가능하다.
- RFC에 정의되고 업데이트된다.
* RFC(Request for Commenets) : 컴퓨터 네트워크 공학 등에서 인터넷 기술에 적용 가능한 새로운 연구, 혁신, 기법 등을 아우르는 메모이다. 미국의 국제 인터넷 표준화기구인 IETF(Internet Engineering Task Force)에서 제공, 관리한다.
인증 요청과 응답
- ID : 클라이언트 식별
- Challenge : 클라이언트 신원 증명
Method
- EAP-TLS
- TLS 프로토콜을 사용하며 무선 벤더들 사이에서 널리 지원된다. 아직까지 가능한 EAP 표준 중 가장 안전한 것으로 여겨지며 모든 무선랜 하드웨어 및 소프트웨어 제조사들로부터 보편적으로 지원된다.
- TLS(Transport Layer Security)
- 전송 계층 보안은 인터넷 상의 커뮤니케이션을 위한 개인 정보와 데이터 보안을 용이하게 하기 위해 설계된 보안 프로토콜이다. 웹 사이트를 로드하는 웹 브라우저와 같이 웹 응용 프로그램과 서버 간의 통신을 암호화한다.
- SSL(Secure Sockets Layer)에서 발전한 것이다. HTTPS는 HTTP 상위에서 TLS 암호화를 구현한 것으로 모든 웹 사이트와 다른 웹 서비스에서 사용된다. 따라서 HTTPS를 사용하는 웹 사이트는 TLS 암호화를 이용한다.
- TLS 암호화는 데이터 유출 및 다른 공격으로부터 웹 애플리케이션을 보호한다. 암호화, 인증, 무결성(데이터의 위조 또는 변조 여부 확인)을 제공한다.
- TLS 인증서란 인증 기관이 도메인 소유자에게 TLS 인증서를 발행한다. 서버의 공개 키와 더불어 누가 도메인 소유자인지에 대한 중요 정보를 포함하며 서버의 신원을 확인하는 데 중요하다.
- TLS Handshake 순서를 사용하여 초기화된다. 사용자가 TLS를 사용하는 웹 사이트를 돌아다니면 클라이언트와 웹 서버간에 TLS Handshake가 시작된다.
- TLS 버전 지정 → 암호 제품군 결정 → 인증서를 사용해 서버 신원 인증 → Handshake 완료 후 키 간의 메시지 암호화를 위해 세션 키 생성한다.
- 데이터가 암호화, 인증되고 나면 MAC(메시지 인증 코드)와 함께 서명된다. 수신자는 데이터 무결성 보장을 위해 MAC을 확인할 수 있다.
- EAP-PEAP(Protected EAP)
- 기존 EAP에서는 시스템이 공개키 시스템을 사용하여 사용자를 연결한다. 사용자가 자격 증명을 입증하려고 하면 서버가 공개 키를 전달하여 트랜잭션을 완료한다. 그러면 사용자는 암호화 키를 가지고 공개 키를 복호화한다. ⇒ 문제 발생!! 비밀번호를 입력하고 키를 주고받다 보면 무방비 상태에 놓여 해커에게 시스템 입구를 활짝 열어준다.
- 그래서 PEAP란? EAP의 전송 속도와 TLS 터널을 결합한 기술이다. 따라서 클라이언트와 서버 사이에서 이루어지는 전체 통신이 TLS 터널 내에서 보호를 받는다. PEAP는 특정 방법을 의미하지는 않고 다수의 EAP 매커니즘을 함께 결합하여 사용한다.
- EAP - FAST(FlexibleAuthentication via SecureTunneling)
- 실제 내부 인증은TLS 터널 내에서 하고, TLS 터널화를 위한 외부 인증은서버가 제공하는PAC를 사용. 비용이 많이 드는PKI 표준인증서 대신서버가 제공하는PAC를 사용
- 상호 인증 및TLS 터널을 위한 상호 협상하고, 서버인증서가 아닌, 단말과인증서버 간에 공유된 패스워드 키(PAC)를 사용하여 상호인증하고,TLS 터널을 위한 협상을 함.
- PAC(Protected AccessCredential) : 인증서버에서 생성된 공유 키. 상호 인증에 사용
- TLS 터널을 설정한 후에,TLS 터널을 통해 실제적인사용자 인증을 수행
- 인증서 기반 아님 :인증서(Certificate) 불필요
- 표준 :RFC 4851 (시스코社 제안,2007년)
Packet
프레임 형태 : EAP는 모든 데이터링크 계층에서 사용 가능합니다. 3계층 없이도 2계층 상에서 직접 적용이 가능하다.
1 바이트 짜리 코드 부분에는 1부터 6 중에 하나가 들어가고 각각 나타내는 의미가 다르다. 이 코드 값에 따라 위의 데이터 필드의 해석이 달라진다.
타입 부분의 타입 1은 인증 수행자가 인증 요청자에게 username을 요구하는 request, response패킷을 나타낸다.
타입 2는 인증수행자가 인증요청자에게 암호 만료등을 알려주는 메시지다.
타입 3에는 NAK 라고 인증 수행자가 요청자에게 타입 4 이상의 인증 메소드들을 제시한다.
요청자가 제시된 메소드를 수용할 수 없으면 NAK 값 3을 넣어 반환한다.
Process
- 포트기반제어표준이 적용되어 인증되지 않은 포트들이 차단되고, 요청자가 서비스에 접근하여 수행장치와 EAP가 시작
- AP 에서 클라이언트 식별을 위한 ID 인증 요청
- 응답이 오면 인증 서버에 ID 식별 요청
- 인증 서버에서 클라이언트 신원을 증명하라는 Challenge 요청
- AP는 요청자에게 같은 Challenge EAP 인증 요청
- 요청자가 응답하면 EAP 인증 메소드가 포함된 인증 메시지를 교환해 인증 절차를 수행하고, 서버에서 생성된 키를 전송해 인증이 성공
'보안' 카테고리의 다른 글
| PKI (공개 키 기반 구조) (0) | 2023.11.22 |
|---|---|
| UTM 방화벽 (0) | 2023.08.10 |
