Artikel ini berfokus pada EAP-TLS. Kami menyoroti manfaatnya, mengapa Anda mungkin memerlukannya untuk organisasi Anda, cara kerja EAP-TLS, dan seberapa amannya.
Namun pertama-tama, mari kita definisikan dan pahami apa itu EAP-TLS.
Apa itu EAP-TLS?
EAP-TLS, biasa disebut sebagai Extensible Authentication Protocol-Transport Layer Security, adalah standar terbuka yang dikembangkan oleh IETF dan didefinisikan dalam RFC 5216. Ini memberikan otentikasi timbal balik berbasis sertifikat. Protokol autentikasi ini seringkali cocok untuk jaringan WPA2-Enterprise karena membantu jaringan ini menjadi kompatibel dengan sertifikat digital X.509.
Protokol ini menggunakan sertifikat autentikasi kunci publik TLS dalam kerangka kerja EAP untuk menyediakan autentikasi mutual server-ke-klien atau klien-ke-server. Meskipun tidak diragukan lagi ini adalah salah satu mekanisme autentikasi yang paling aman, namun masih belum sepopuler protokol lainnya. Selain itu, kerangka autentikasi standar emas dapat digunakan untuk proses onboarding perangkat otomatis untuk MDM dan BYOD.
Beberapa fitur EAP-TLS sebagai mekanisme autentikasi antara lain:
- Ini menawarkan otentikasi timbal balik, yang berarti dapat menyediakan otentikasi server-ke-klien dan klien-ke-server.
- Ini memiliki pertukaran kunci untuk menghasilkan TKIP atau kunci WEP dinamis.
- Jika perlu, itu dapat memecah dan menyusun kembali pesan EAP yang sangat panjang.
- Protokol memungkinkan koneksi ulang yang cepat dan efisien melalui dimulainya kembali sesi TLS.
Bagaimana cara kerja EAP-TLS?
Meskipun merupakan standar emas untuk keamanan jaringan, EAP-TLS tidak sesulit yang Anda bayangkan. Kerangka otentikasi tidak bergantung pada skema enkripsi yang kompleks. Sebaliknya, itu bergantung pada kekuatan kriptografi kunci publik.
Kriptografi yang digunakan dalam mekanisme autentikasi ini adalah kriptografi asimetris satu-satunya yang menggunakan pasangan kunci publik-swasta untuk menghasilkan kriptografi simetris melalui saluran yang tidak aman. Sistem ini menghilangkan kebutuhan untuk membuka kunci yang dibagikan sebelumnya.
Meskipun EAP-TLS memiliki arsitektur yang mirip dengan hampir semua jenis EAP lainnya, namun memerlukan autentikasi timbal balik. Selain itu, sertifikat X.509 serbaguna dan secara dramatis meningkatkan keamanan dan pengalaman pengguna. Sertifikat ini juga memungkinkan SSO dikonfigurasi dengan mudah untuk berbagai layanan yang lebih luas.
Dan seperti yang disebutkan sebelumnya, protokol ini menggunakan mekanisme autentikasi mutual berbasis sertifikat. Ini menyiratkan bahwa sisi klien dan server memerlukan sertifikat untuk otentikasi. Prosesnya dimulai dengan mengautentikasi sertifikat sebelum membuat kunci berbasis sesi untuk server dan klien untuk menyelesaikan proses login.
Langkah-langkah berikut diambil:
- Pengguna memerlukan akses jaringan melalui aplikasi otentikasi atau titik akses nirkabel.
- Aplikasi Authenticator atau titik akses (AP) nirkabel akan meminta kredensial identitas pengguna.
- Sistem akan mentransfer informasi identitas pengguna dari AP ke server otentikasi jaringan.
- Server kemudian meminta otentikasi dari AP.
- AP mengambil autentikasi dan mengirimkan detailnya kembali ke server autentikasi.
- Sistem membuat koneksi dan pengguna akan segera terhubung ke jaringan.
Cara mengonfigurasi FreeRadius agar berfungsi dengan EAP-TLS di Linux
Penting untuk mencatat jenis perangkat keras dan perangkat lunak yang diperlukan untuk membuatnya berfungsi untuk memahami protokol autentikasi ini. Hal-hal yang Anda butuhkan antara lain:
- infrastruktur kunci publik
- Titik Akses atau AP
- Protokol RADIUS
- Direktori pengguna
Dan konfigurasi mencakup langkah-langkah berikut:
Langkah 1: Instal FreeRadius di sistem Anda
Mulailah dengan menempatkan radius bebas menggunakan perintah berikut:
Langkah 2: Buat daftar pencabutan sertifikat
Sertifikat tidak dibuat secara otomatis. Jadi, Anda harus membuatnya secara manual. Cara terbaik adalah dengan menggunakan tutorial FreeRadius. Namun, Anda masih dapat melakukannya dengan membuat daftar pencabutan menggunakan perintah berikut:
Langkah 3: Buat file baru untuk menyimpan file yang dicabut dan file otoritas sertifikat
Lanjutkan untuk membuat padding yang akan menampung CA (Otoritas Sertifikasi) dan file pencabutan. Perintah berikut akan membantu.
Langkah 4: Konfigurasi radius menggunakan perintah /etc/raddb/clients.conf
Sesuaikan radiusnya. Di antara hal terbaik yang harus Anda lakukan adalah menambah pelanggan. Klien akan menjadi WiFi AP Anda.
Langkah 5: Konfigurasi EAP menggunakan perintah /etc/raddb/mods-enabled/eap
Setelah menerima file setelah memasukkan perintah, pastikan File EAP Anda hanya memiliki baris berikut dengan menghapus apa pun yang tidak ada dalam daftar ini:
Kesimpulan
EAP-TLS adalah sistem autentikasi yang jauh lebih aman. Ini lebih baik daripada menggunakan WPA2 atau kunci yang dibagikan sebelumnya, yang seringkali rentan terhadap serangan dunia maya. Namun, sangat penting untuk menggunakan sertifikat terpisah untuk setiap perangkat di jaringan Anda.