Ist eine Verbindung zu Radius Server ohne Benutzerzertifikat unsicher?
Hallo ich habe zu Testzwecken einen Radius-Server (FreeRadius) eingerichtet. Nur leider war es mir nicht möglich ein ein Benutzerzertifikat einzurichten. Es wird also nur ein selbst generiertes Stammzertifikat zur Authentifikation des Servers verwendet.
Mich würde jetzt interessieren ob die Daten die zwischen meinem AP und meinem Tablet gesendet werden mit dem Stammzertifikat verschlüsselt werden oder ob die jetzt jeder mitlesen könnte.
3 Antworten
Es gibt mehrere EAP-Methoden. Häufig verwendete Methoden sind PEAP und EAP-TLS.
Bei PEAP benötigt lediglich der RADIUS-Server ein Serverzertifikat. Damit authentisiert er sich gegenüber dem Client (ähnlich wie bei TLS). Dies kann durch aus ein selbst signiertes Zertifikat sein. Auf dem Client kann man, je nach Betriebssystem, einstellen, ob der Client das Zertifikat prüfen soll (darauf sollte man nicht verzichten), und welchen Zertifizierungsstellen der Client vertrauen soll. Da das Zertifikat nicht von einer öffentlichen Zertifizierungsstelle stammt, musst Du ihm auf jeden Fall sagen, dass er diesem Zertifikat vertrauen soll. Das ist dann auf jeden Fall eine sichere Sache. Mittels TLS-Handshake wird eine vertrauenswürdige und verschlüsselte Verbindung zwischen Client, über den AP, zum RADIUS-Server aufgebaut, innerhalb dieser verschlüsselten Verbindung findet dann per EAP der eigentliche Authentisierungsprozess für das WLAN statt, z.B. per Benutzername und Passwort. Das ist gängig und ausreichend sicher. Ein mitlesender Angreifer sieht weder die Übertragung von Benutzername noch das Passwort, weil die gesamte Kommunikation TLS-verschlüsselt ist.
Bei EAP-TLS ist zusätzlich zum Serverzertifikat ein Client-/Benutzerzertifikat nötig. Die Authentisierung des Clients findet dann mittels Zertifikat statt. Das ist aus meiner Sicht durchaus "sicherer" als PEAP mit Benutzername und Passwort, weil ein Angreifer ein gültiges Zertifikat samt privatem Schlüssel für die Authentisierung benötigt. Ein Benutername und Passwort ist theoretisch natürlich leichter knackbar. Trotzdem halte ich PEAP für ausreichend sicher.
Ich hab jetzt zwar mit dem Radius Server keine Erfahrungen, aber bei SSL ist es so, dass da auch Selbst Signierte Zertifikate den vollen Schutz bieten, es kann aber nicht garantiert werden, dass der Server wirklich der Server ist.
Sprich es ist nicht sichergestellt, dass jemand sich zwischen dich und den Server hängt und so die Verbindung mitliest.
Solltest du dich schon mal auf sicherem Wege mit dem Server verbunden haben, speichert der Client aber normal das Server Zertifikat und du bekommst eine Warnung wenn sich jemand dazwischen hängt, leider gilt das aber nicht für die erste Verbindung.
Wie gesagt ich weis jetzt nich was beim Radius das Stammzertifikat ist, aber wenn es ein normal generiertes RSA Zertifikat ist bietet es auch den Schutz einer Verschlüsselten Verbindung.
Sollte dieses Stammzertifikat nicht dynamisch generiert werden, sondern von Haus aus mitgeliefert werden und daher zwischen den Distributionen gleich sein sollte (ist aber sehr unwahrscheinlich, dass es so ist) ist es wertlos, die Verbindung ist zwar verschlüsselt, aber jeder kann sie entschlüsseln.
Das Zertifikat auf meinem RadiusServer habe ich selber erstellt - ist also nicht das allseits bekannte snakeoil-Zertifikat
Dann ist es ausreichend, du kannst zur steigerung der Sicherheit auch noch eine CA erstellen und mit dieser das Zertifikat unterschreiben, die CA bzw die Chain importierst du dann in die Browser bzw ins Betriebsystem.
Solange du EAP-TLS verwendest, ist die Verbindung verschlüsselt.
Du solltest lediglich, das selbst generierte Stammzertifikat im Truststore des Clients installieren und die Validierung erzwingen, damit keine Verbindung zu einem Fake-Accesspoint aufgebaut wird.
https://depthsecurity.com/blog/when-802-1x-peap-eap-ttls-is-worse-than-no-wireless-security
Die Anleitung der ich gefolgt bin, beschreibt unter Android die Installation eines Zertifikates mit der Endung .crt
Um dieses Zertifikat verwenden zu können muss man es zunächst für die Verwendung mit WLAN freigeben.
Anschließend richtet man die WLAN-Verbindung mit Benutzername und Kennwort unter Verwendung von PEAP, MSCHAPV2 und dem Zertifikat ein.
Was ich jetzt nicht weiß ist ob dabei TLS erzwungen wird.
Ich habe mich vermutlich missverständlich ausgedrückt, ich meinte das es so eingestellt werden sollte, dass der Client das Server Zertifikat prüft.
Dazu musst du auf Android nur das Stammzertifikat installieren, bei Windows musst du zusätzlich wie in dem Link extra noch einen Haken setzen, da Windows sonst jedes Zertifikat akzeptiert.
Wäre das dann so ausreichend?
http://www.fotos-hochladen.net/view/radiussetup5ntirh7qk2.png