요약

  • 정상적인 EAP 증명이 끝난 이후에도 정책이 서비스를 승인하지 않거나, NAS가 속성을 수용하지 않거나, 키가 올바른 목적지에 도달하지 않거나, 링크 계층이 통로를 열지 않아 접근이 막힐 수 있습니다.
  • 신뢰할 수 있는 기록은 메서드 대화, EAP 결과, RADIUS 패킷, 접근 결정, 키, 보안 연결, 첫 실용적 연결성을 각각 따로 보존해야 합니다.

사용자는 비밀번호가 문제가 아닌데도 "비밀번호가 작동하지 않는다"고 표현하는 장애가 있습니다. 서버는 자격 증명을 검증했지만 이어서 세션 한도가 접근을 막습니다. 또는 Access-Accept가 도착했지만 접속 지점이 요청된 VLAN을 지원하지 않습니다. 또는 링크 연결에 절대 설치되지 않는 키가 내보내집니다. 신원 결과는 그대로 정확하고 네트워크는 여전히 쓸 수 없는 상태로 남습니다.

RFC 3748은 2004년 Extensible Authentication Protocol을 Standards Track에 정식 등재했습니다. Bernard Aboba는 Larry Blunk, John Vollbrecht, James Carlson, Henrik Levkowetz와 공동 저자입니다. 이는 개인의 발명이 아닙니다. EAP는 인증 방법들을 위한 프레임워크이지 완전한 승인 및 연결성 체계가 아니기 때문에, 설계는 책임을 분산합니다.

피어는 링크에서 응답합니다. 인증자는 EAP를 시작하고 로컬 지점을 통제합니다. EAP 서버는 메서드를 종료합니다. 인증자가 pass-through로 동작하면 서버는 멀리 있는 별도의 backend AAA에 있을 수 있고, 접속 장비는 메시지를 중계만 합니다. 자격 증명을 확인하는 구성요소가 데이터 통로를 여는 구성요소일 필요는 없습니다.

RFC 자체도 인증된 피어가 세션 한도 같은 정책 사유로 접근을 얻지 못할 수 있음을 인정합니다. AAA 프록시도 승인에 영향을 줄 수 있습니다. 메서드가 보호한 결과는 각 끝단이 무엇을 검증했는지 알려줄 뿐이며, 그 자체로 할당된 서비스, NAS의 수용 능력, 접근을 허용할 최종 의지를 담고 있지 않습니다.

EAP Success의 좁은 범위

메서드가 성공적으로 마무리되면 인증자는 코드 3의 패킷을 보냅니다. EAP Success는 추가 데이터를 실지 않고, 응답 확인을 받지 않으며, 재전송되지 않습니다. 패킷이 유실되면 하위 계층의 특정 성공 표시가 피어가 올바른 결론에 도달하게 할 수 있습니다. 그래서 패킷의 존재만으로, 또는 부재만으로 세션 전체를 재구성할 수 없습니다.

프로토콜은 메서드가 종료를 허용하지 않는 상태에서 접속 직후에 미리 준비된 Success가 보내지면 그것을 폐기하도록 규정합니다. 이는 가짜 인증자가 대화를 건너뛰는 것을 막습니다. 코드를 해석하려면 마지막 패킷 캡처만이 아니라 메서드의 이전 상태를 보존해야 합니다.

패킷은 승인 속성이 적용되었는지, 제어 포트의 상태가 바뀌었는지, 올바른 키가 설치되었는지, IP 주소를 얻었는지도 알려주지 않습니다. 응용 트래픽이 네트워크를 통과했다는 증명은 더 더욱 아닙니다.

RADIUS는 다른 필드로 결정한다

Aboba와 P. Calhoun의RFC 3579는 RADIUS 안에서의 EAP 전송을 설명합니다. NAS는 Access-Accept 또는 Access-Reject를 기다립니다. 접근을 결정할 때는 캡슐화된 EAP 패킷이 아니라 오직 RADIUS 패킷 유형에만 근거해야 합니다.

Access-Reject/EAP Success 조합은 모순적이며 보내져서는 안 됩니다. 그래도 나타난다면 NAS는 피어가 인증이 잘 끝났다고 해석하더라도 접근을 거부합니다. Access-Accept/EAP Failure는 반대 방향의 불일치를 만듭니다. NAS는 불일치를 정리하려고 메시지를 만들어서는 안 됩니다. 이상 상태는 두 결과를 모두 기록해 두어야 합니다.

Access-Accept는 인증 단계를 끝내지만 서비스, VLAN, 필터, 한도 같은 지시를 함께 담을 수 있습니다. NAS가 요청된 기능을 인식하면서도 제공할 수 없다면 실패로 처리해야 합니다. backend는 능력이 다른 인증자들에게 서로 다른 정책을 반환할 수도 있습니다. 같은 유효한 신원이 모든 장소에서 같은 접근을 보장하지는 않습니다.

키를 생성하는 일은 채널을 설치하지 않는다

Aboba, Dan Simon, P. Eronen이 서명한RFC 5247은 메서드 실행, 암호 자료 전송, 보안 연결 프로토콜을 분리합니다. 내보내진 Master Session Key는 중간 산물입니다. 승인된 인증자에게 도달하고, 자신의 범위를 지키며, 하위 계층의 임시 키를 만들어야 합니다.

"MSK 생성됨"만 적은 기록은 수신자, 세션 식별자, 도출, 설치를 생략합니다. 연결이 완료되었다는 증명도 되지 못합니다. 서버 식별자는 내부 교환과 외부 교환 사이에서 달라질 수 있고, 피어는 대화가 시작되기 전에 어떤 backend가 응답했는지 항상 알지 못합니다.

RFC 3748은 이후 트래픽이 EAP를 완료한 주체에 귀속되어야 한다고 덧붙입니다. 패킷 단위의 무결성, 인증, 재전송 방지는 파생된 키에 의존해야 합니다. 이 결합이 없으면 정상적인 EAP 대화가 위조되거나 반복된 데이터 앞에 놓일 수 있습니다.

자격 증명은 맞고, 공표된 서비스는 틀리다

여러 서비스를 통과시키는 유효한 자격 증명은 또 다른 간격을 만듭니다. 악의적인 NAS가 가치 있는 네트워크를 공표한 뒤 사용자를 다른 네트워크에 연결할 수 있습니다.RFC 6677이 이 거짓 NAS·공급자 문제를 다룹니다. 피어는 관찰된 서비스에 관한 데이터를 보호된 방식으로 보내고, 서버는 인증자에 관해 아는 사실과 비교합니다.

channel binding은 공표 내용, NAS의 선언, backend의 참조, 비교를 보호하는 방법 사이의 관계를 유지합니다. 네트워크 이름을 인증된 신원으로 바꾸거나 전 지역 배치를 증명하지는 않습니다. 다만 강한 인증이 기대와 다른 맥락에서 끝났다는 점을 발견하게 해 줍니다.

RFC 5216은 EAP-TLS에 대해 비슷한 경계를 긋습니다. 인증서 체인을 검증하는 것에 더해, 구현은 인증서 신원이 자신의 맥락에서 적절하고 승인되어 있는지 판단합니다. 암호학은 정책에 재료를 넘겨줄 뿐, 정책의 모든 규칙을 결정하지 않습니다.

초록 불이 아니라 영수증의 연쇄

기록은 발견된 서비스, 피어의 의도, NAS, 포트로 시작합니다. 그다음에 메서드, 대화, 보호된 결과, 신원, EAP Success 또는 Failure, RADIUS 유형, 속성, 로컬 결정이 옵니다. 이어서 키의 내보내기와 목적지, 보안 연결, 제어 포트, IP 구성, 첫 실용적 연결, 계정 기록이 남겨집니다.

이렇게 하면 거부된 자격 증명과 권한 없는 유효 신원을, 호환되지 않는 서비스 승인과, 완료된 메서드와 존재하지 않는 데이터 경로를 구분할 수 있습니다. 이 정밀함은 진단 시간을 줄이고 수용 능력 또는 정책의 실패를 신원의 잘못으로 돌리는 일을 막습니다.

출처