802.1X: wie mag er op je netwerk, en hoe weet je dat zeker?

In de meeste bedrijfsnetwerken geldt nog altijd één simpele regel: wie een kabel in een wandcontactdoos steekt, zit op het netwerk. Een netwerkpoort in een vergaderzaal, een aansluiting achter een balie, een dubbeltje in een technische ruimte — allemaal geven ze toegang, zonder dat iemand hoeft aan te tonen wie hij is. Dat is de reden dat 802.1X bestaat.

Wat het is

802.1X is een standaard voor toegangscontrole op poortniveau. Het apparaat dat toegang wil (de supplicant) meldt zich bij de switch of het accesspoint (de authenticator), en die legt de vraag voor aan een centrale server (de authentication server, in de praktijk vrijwel altijd RADIUS). Pas als die server zegt dat het goed is, gaat de poort open. Tot dat moment laat de switch alleen het inlogverkeer door en verder niets.

De vraag "wie ben je" wordt gesteld met EAP. Welke variant je kiest, bepaalt hoe sterk het geheel is:

• EAP-TLS werkt met certificaten aan beide kanten. Dit is de sterkste variant en de enige waarbij een gestolen wachtwoord niets oplevert. Het vraagt wel dat je certificaten kunt uitgeven en intrekken.
• PEAP en EAP-TTLS werken met een gebruikersnaam en wachtwoord in een TLS-tunnel. Eenvoudiger uit te rollen, maar de sterkte hangt af van het wachtwoord én van de vraag of het apparaat het servercertificaat daadwerkelijk controleert. Doet het dat niet, dan is een nepnetwerk genoeg om de gegevens te onderscheppen.

Waar het echt over gaat: wat er ná de toegang gebeurt

De grootste winst van 802.1X zit niet in het weigeren van onbekende apparaten. Die zit erin dat de RADIUS-server bij het toelaten kan meegeven waar het apparaat terechtkomt: een dynamisch VLAN, een toegangslijst, een bandbreedtelimiet. Een laptop van een medewerker komt in het kantoornetwerk, een camera in het cameranetwerk, een onbekend apparaat in een gastnetwerk zonder toegang tot iets anders.

Dat maakt van 802.1X het scharnierpunt tussen identiteit en segmentatie. Zonder die koppeling is een gesegmenteerd netwerk een kwestie van handmatig poorten toewijzen, en dat houdt geen enkele organisatie jaren vol.

Vier dingen die in de praktijk misgaan

Apparaten die geen 802.1X kunnen. Printers, camera's, kaartlezers, klimaatinstallaties: een groot deel van wat er op een netwerk hangt kent de standaard niet. Daarvoor bestaat MAB, waarbij de switch het MAC-adres als identiteit gebruikt. Dat is zwak — een MAC-adres is triviaal te vervalsen — dus MAB hoort altijd samen te gaan met een strikt gesegmenteerd doelnetwerk en met profilering die controleert of het apparaat zich ook echt gedraagt als de printer die het zegt te zijn.

De volgorde van authenticatie. Staat MAB vóór 802.1X, dan valt een apparaat dat wél certificaten heeft alsnog terug op zijn MAC-adres zodra de eerste poging even duurt. 802.1X eerst, MAB als terugval, en niet andersom.

Onbeheerde switches en IP-telefoons. Achter één poort kunnen meerdere apparaten hangen. Laat je de poort na één geslaagde authenticatie voor alles open (single-host of multi-host), dan is één geauthenticeerd apparaat genoeg om er een onbeheerde switch achter te hangen. Multi-domain of multi-auth, waarbij elk apparaat zich apart meldt, voorkomt dat.

De uitrol zelf. 802.1X in één keer afdwingen op een bestaand netwerk legt gegarandeerd iets stil dat niemand op de lijst had staan. De werkbare volgorde is: eerst een monitorstand waarin de switch wel authenticeert maar niemand buitensluit, dan een paar weken meekijken wie er zou zijn geweigerd, dan afdwingen — per gebouw of per verdieping, niet in één keer.

Wanneer heb je het nodig?

Niet elke organisatie. Zit het hele netwerk achter één afgesloten deur en hangt er niets aan waar een buitenstaander bij kan, dan is de winst beperkt. De vraag wordt urgent zodra er netwerkpoorten zijn op plaatsen waar publiek, leveranciers of onderaannemers komen, zodra er apparatuur van derden op het netwerk hangt, of zodra er eisen gelden vanuit een norm als IEC 62443 of vanuit een aanbesteding.

En het is geen alles-of-nietsvraag. Beginnen bij de gebouwen met publieke ruimtes, en de rest volgen als de werkwijze staat, is bijna altijd de verstandigste route.