IEEE 802.1X - стандарт контроля доступа к сети. Используется для аутентификации и авторизации устройств при их подключении к локальной сети (проводной или беспроводной).

❓Причина появления
До появления стандарта 802.1X любое устройство, подключившееся к порту коммутатора или точке Wi-Fi, автоматически получало доступ в сеть. Это позволяло злоумышленнику подключиться физически (через Ethernet-розетку) или по Wi-Fi и получить доступ к ресурсам внутренней сети без аутентификации.
Кроме того, стандарт является универсальным в области аутентификации и поддерживает интеграцию с уже существующими системами аутентификации.

🛜Участники аутентификации
🔺Supplicant (Клиент) — устройство, запрашивающее доступ к сети (ПК, ноутбук, IP-телефон и т.д.).
🔺Authenticator (Аутентификатор) — сетевое устройство, которое обеспечивает связь клиента с сервером аутентификации по протоколу 802.1х и, в случае успешной авторизации ― доступ к сети (обычно коммутатор или точка доступа).
🔺Authentication Server (Сервер аутентификации) — сервер, который проверяет учетные данные (обычно RADIUS-сервер, например FreeRADIUS).

Механизм аутентификации
1️⃣ Инициализация. Клиент подключается к порту аутентификатора. Тот фиксирует новое соединение и переводит логический порт в состояние uncontrolled. В этом режиме через порт разрешается только служебный обмен по протоколу 802.1X, а весь остальной трафик блокируется.

2️⃣ Инициация. Аутентификатор ждёт сигнала на начало процедуры (EAPOL-Start) от клиента. После получения он отправляет клиенту запрос EAP-Request/Identity. Клиент отвечает EAP-Response с идентификатором (например, логином). Это сообщение аутентификатор инкапсулирует в RADIUS Access-Request и пересылает серверу аутентификации.

3️⃣ Обмен EAP-сообщениями. Сервер аутентификации и клиент согласовывают, какой именно метод EAP будет использован для проверки подлинности.

4️⃣ Аутентификация. Процесс проверки зависит от выбранного EAP-метода. В результате сервер либо одобряет подключение, либо отклоняет его. Результат передаётся аутентификатору. При успешной проверке порт клиента переводится в состояние controlled, и далее через него разрешается обычная передача данных.

Стоит остановить внимание на протокол EAP, который является каркасом аутентификации в 802.1X и используется для выбора метода аутентификации. Существует несколько разновидностей данного протокола, рассмотрим лишь некоторые из них.

🔺EAP-MD5 - считается небезопасным, так как можно перехватить MD5-Challenge-Response и подобрать пароль пользователя.
🔺EAP-PEAP - отсутствует проверка подлинности сертификата клиента. В случае если в настройках не установлена проверка сертификата, соединение установится без него.
🔺EAP-TLS - двусторонняя проверка сертификата, сложнее в реализации, но все равно сохраняется проблема из пункта выше.

‼️В следующей статье поговорим о возможных методах обхода стандарта 802.1X и способах защиты.