Wie Jägermeister sein Netzwerk mit dem Standard IEEE 802.1x schützt

Anbieter zum Thema

Security-Insider

sysob IT-Distribution GmbH & Co. KG

SEPPmail - Deutschland GmbH

FTAPI Software GmbH

Unify Software and Solutions GmbH & Co. KG

IEEE 802.1x schützt vor internen Bedrohungen

Nicht nur der Schutz vor externen Angriffen mit Firewalls, Virenscannern und Demilitarisierten Zonen dient der Vermeidung von Risiken. Auch private Mitarbeiter-Notebooks oder Gäste, die ihre mobilen Endgeräte aus beruflichen Gründen mit dem firmeneigenen Netzwerk verbinden, stellen heutzutage eine mögliche Bedohung dar. Denn die Herkunft und der Zustand der dafür verwendeten Geräte sowie deren Nutzung durch unterschiedliche Anwender kann der LAN-Administrator nicht kontrollieren.

Um dieses Gefahrenpotenzial zu verringern, ist der international anerkannte Standard IEEE 802.1x eine zweckmäßige Hilfe. Denn er stellt mit seinen Möglichkeiten umfangreiche Werkzeuge zur Verfügung, um den Schutz an diesen Stellen deutlich zu erhöhen. Dabei handelt es sich um ein Verfahren, das die angeschlossenen Endgeräte überprüft und die Kommunikation erst bei erfolgreicher Authentifizierung ermöglicht.

Dazu ist zunächst ein so genannter „Supplicant“ nötig. Dabei handelt es sich um ein (in Microsoft Windows XP und Vista bereits enthaltenes) Softwareelement im Betriebssystem des Endgeräts. Hinzu kommt der „Authenticator“ als Komponente, die den Zugang zur Infrastruktur kontrolliert und nach dem Ergebnis der Anmeldung Zugriff gewährt oder unterbindet.

Der Authenticator muss in die Switche implementiert sein, an die die Endgeräte angebunden sind, und beeinflusst den LAN-Port, an den der Supplicant angebunden ist. Der dritte Bestandteil ist der „Authentication Server“. Diese Netzwerk-Instanz steuert die Kommunikation des kontrollierten Endgerätes mit Hilfe des Authenticators und gestattet oder verbietet letztlich den Zugang.

Protokoll-basierte Endgeräte-Kontrolle

Die Verbindung zwischen diesen Komponenten lässt sich über Protokolle realisieren. So wird zur Kommunikation zwischen dem Supplicant und dem Authenticator das Extensible Authentication Protocol (EAP) eingesetzt. Dieses reine Layer-2-Protokoll wird nur auf dem Link zwischen Supplicant und Authenticator genutzt. Hierfür verwendet das EAP-Protokoll als Zieladresse die EAP Group Adress, die von Layer-2-Switches normalerweise nicht weitergeleitet wird.

Die Protokollfamilie EAP enthält mehrere unterschiedliche Beschreibungen zur Durchführung der Authentifizierung. Damit entspricht sie dem Standard IEEE 802.1x, in dessen Rahmen es durchaus möglich ist, verschiedene Ansätze zu verfolgen. Die Realisierung nach EAP-MD5 etwa ermöglicht die Authentifizierung auf der Basis von Benutzernamen und Passwörtern.

Eine Alternative stellt die Konfiguration nach EAP-TLS dar. Sie erfordert für die Anmeldung eine Zertifikatsinfrastruktur. Die Anmeldung nach dem Verfahren EAP-GTC setzt dagegen eine Token-Infrastruktur voraus.

Seite 3: Neuralgische Punkte identifizieren

(ID:2012197)