Extensible Authentication Protocol: differenze tra le versioni

Versione delle 22:33, 12 dic 2006

Versione attuale delle 18:31, 5 mar 2025

(56 versioni intermedie di 44 utenti non mostrate)

Riga 1:

'''Extensible Authentication Protocol (EAP)''' è unoun tipoframework di [[Autenticazione|autenticazione]] utilizzato spesso sugli [[Access_point|access point]] e nelle connessioni [[PPPPoint-to-Point Protocol|PPP]]. UsandoL'utilizzo di EAP, nonall'interno èdi peruna [[Wireless Local Area Network|rete wireless]], ad esempio, prevede che non sia l'access point che si preoccupa diad autenticare il [[client|client]]: maesso bensì redirettaredirige la richiesta di autenticazione avanzata dal client ad uno specifico [[server|server]], configurato per questo scopo come un [[RADIUS|RADIUS]].

{{stub informatica}}

[[File:Wat is EAP.png|thumb|right|upright=2.3|Schema di principio dell'uso di EAP su rete locale o wireless]]

'''Extensible Authentication Protocol (EAP)''' è uno tipo di [[Autenticazione|autenticazione]] utilizzato spesso sugli [[Access_point|access point]] e nelle connessioni [[PPP|PPP]]. Usando EAP, non è per esempio l'access point che si preoccupa di autenticare il [[client|client]] ma bensì rediretta la richiesta di autenticazione ad uno specifico [[server|server]] configurato per questo scopo come un [[RADIUS|RADIUS]].

Definito nella [[Request for Comments]] (RFC) 2284 e aggiornato nella RFC 3748 e nella RFC 4017, è uno [[norma tecnica|standard]] altamente flessibile che può essere implementato in numerose differenti modalità; e [[IEEE_802IEEE 802.1x|802.1x]] ha ereditato tale flessibilità per raggiungere svariati obiettivi di sicurezza.<br />

802.1x racchiude un range di metodi di autenticazione EAP, inclusi MD5, TLS, TTLS, LEAP, PEAP, SecurID, SIM, AKA e AKA' . Ciascuno di questi metodi EAP ha vantaggi e svantaggi a seconda dell'ambiente.

Definito nella [[Request for Comments]] (RFC) 2284 e aggiornato nella RFC 3748 e nella RFC 4017, è uno [[standard]] altamente flessibile che può essere implementato in numerose differenti modalità; e [[IEEE_802.1x|802.1x]] ha ereditato tale flessibilità per raggiungere svariati obiettivi di sicurezza.<br />

802.1x racchiude un range di metodi di autenticazione EAP, inclusi MD5, TLS, TTLS, LEAP, PEAP, SecurID, SIM e AKA. Ciascuno di questi metodi EAP ha vantaggi e svantaggi a seconda dell'ambiente.

== Metodi di autenticazione ==

=== EAP-MD5 ===

[[MD5]] è l'equivalente del [[Challenge-Handshake Authentication Protocol|CHAP]] in cui un [[funzione di hash|algoritmo]] [[di hash]] a senso unico è utilizzato in combinazione con un segreto condiviso e una richiesta di identificazione per verificare che il richiedente èsia a conoscenza del segreto condiviso. MD5 è considerato un metodo di autenticazione di livello base e generalmente non appropriato in caso sia necessario un alto livello di sicurezza per la protezione di beni di grande valore.<br />

===EAP-MD5===

Questo accade per diverse ragioni. Come ogni metodo che utilizza richieste random e un algoritmo hash, è vulnerabile agli attacchi basati su dizionario. Se un attaccante riesce ad ottenere la richiesta e la risposta hash, è in seguito possibile eseguire un programma off-line con lo stesso algoritmo del richiedente, inserendo parole contenute in un dizionario fino a quando la risposta hash coincide con quella del richiedente. A questo punto l'attaccante conoscerà la password del richiedente e potrà sottrarne l'identità per ottenere l'accesso alla rete. Questo procedimento risulta ancora più semplice nelle wireless LAN, dove la richiesta e la risposta "viaggiano" nell'ariaetere. Questo è il motivo per cui è importante scegliere password che non siano parole di senso compiuto.

[[MD5]] è l'equivalente del [[CHAP]] in cui un [[algoritmo]] [[hash]] a senso unico è utilizzato in combinazione con un segreto condiviso e una richiesta di identificazione per verificare che il richiedente è a conoscenza del segreto condiviso. MD5 è considerato un metodo di autenticazione di livello base e generalmente non appropriato in caso sia necessario un alto livello di sicurezza per la protezione di beni di grande valore.<br />

Questo accade per diverse ragioni. Come ogni metodo che utilizza richieste random e un algoritmo hash, è vulnerabile agli attacchi basati su dizionario. Se un attaccante riesce ad ottenere la richiesta e la risposta hash, è in seguito possibile eseguire un programma off-line con lo stesso algoritmo del richiedente, inserendo parole contenute in un dizionario fino a quando la risposta hash coincide con quella del richiedente. A questo punto l'attaccante conoscerà la password del richiedente e potrà sottrarne l'identità per ottenere l'accesso alla rete. Questo procedimento risulta ancora più semplice nelle wireless LAN, dove la richiesta e la risposta "viaggiano" nell'aria. Questo è il motivo per cui è importante scegliere password che non siano parole di senso compiuto.

In aggiunta, EAP-MD5 offre soltanto l'autenticazione lato client (ovvero, il client viene autenticato alla rete). Altri metodi EAP offrono mutua autenticazione per cui il client è autenticato alla rete e la rete è autenticata al client.

=== EAP-TLS ===

Il [[Transport Layer Security]] (TLS) offre un processo di autenticazione particolarmente sicuro, che sostituisce le semplici password con certificati lato client e lato server tramite l'utilizzo della [[infrastruttura a chiave pubblica]] (''Public Key Infrastructure'' o ([[PKI]]). Un certificato è un record di informazioni relative ad un'entità (ad esempio una persona, un'azienda, ecc.) verificato tramite un algoritmo matematico asimmetrico. È supportata la mutua autenticazione, e le chiavi di sessione dinamiche. TLS è una buona scelta quando si richiede un elevato livello di autenticazione e sicurezza ed è presente una infrastruttura a chiave pubblica (PKI). Comunque, l'utilizzo di una PKI, in cui ciascun client ha il suo proprio certificato, è oneroso se comparato ai sistemi basati su password. Tale onere deriva dagli strumenti software richiesti affinché il sistema sia efficace.

=== EAP-TTLS ===

''Tunnelled Transport Layer Security'' (TTLS) è un 'estensione del TLS ed è stato sviluppato per superare la necessità, generata dal TLS, di certificati lato client (sono invece richiesti certificati lato server). Così come l'altro dei due metodi attualmente disponibili di autenticazione tramite tunnel (l'altro è il PEAP), TTLS è un metodo a due passaggi. Nel primo, un algoritmo asimmetrico basato sulle chiavi del server è utilizzato per verificare l'identità del server e per creare il tunnel di crittazione simmetrica. Il secondo passaggio riguarda la verifica dell'identità del client utilizzando un secondo metodo di autenticazione tramite il tunnel di crittazione simmetrica per l'attuale negoziazione dell'autenticazione. Questo secondo metodo di autenticazione utilizzato con il tunnel può essere un tipo di EAP (spesso MD5) o un metodo di vecchio tipo come PAP, CHAP, MS-CHAP, o MS-CHAP V2.

Il tunnel a crittazione simmetrica del TTLS è utilizzato solo per proteggere il metodo di autenticazione del client. Una volta verificato, il tunnel collassa.

=== EAP-LEAP ===

''Lightweight Extensible Authentication Protocol'' sviluppato dalla [[Cisco_SystemsCisco Systems|Cisco]], deriva da EAP. LEAP si basa su un [[Protocollo_di_reteProtocollo di rete|protocollo]] di autenticazione chiamato "reciproco consenso" che sta a dire in poche parole significa che sia il client sia l'access point a cui il client richiede la connessione devono autenticarsi prima di avere accesso all'interno della rete. In questo modo si previene l'accesso non autorizzato di access point estranei alla [[Network#Informaticarete di calcolatori|rete]].

=== EAP Authentication and Key Agreement (EAP-AKA) ===

===Altri===

Extensible Authentication Protocol Method per Universal Mobile Telecommunications System (UMTS) Authentication and Key Agreement (EAP-AKA), è un meccanismo EAP per l'autenticazione e la distribuzione delle chiavi usando la sim UMTS (USIM). EAP-AKA è definita nella <nowiki>RFC 4187</nowiki>.

=== EAP Authentication and Key Agreement prime (EAP-AKA') ===

il protocollo EAP-AKA' è una variante del protocollo EAP-AKA, definito nella <nowiki>RFC 5448</nowiki>, è usato per l'accesso via mezzi di trasporto non-3GPP ad una rete 3GPP. Per esempio via EVDO, WiFi, o WiMax.

=== Altri ===

* PEAP

* EAP-FAST

* EAP-SIM

* EAP-AKA

* EAP-SecurID

* EAP-SRP

=== Tabella comparativa ===

{| border=1 cellspacing=0

Line 46 ⟶ 51:

| Sì

|

*[[Attacco a dizionario|Attacco basato su dizionario]]

*[[Man- in- the- middle]]

*[[Dirottamento di sessione]]

|

*Facile da implementare

Line 107 ⟶ 112:

| No

|

* [[Man- in- the- middle]]

* Dirottamento di sessione

|

Line 119 ⟶ 124:

| Elevata sicurezza

|

*Creazione di un tunnel [[Transport Layer Security|TLS]] ([[Transport Layer Security|SSL]]) sicuro

*Supporta i tradizionali metodi di autenticazione: [[Password authentication protocol|PAP]], [[Challenge-Handshake Authentication Protocol|CHAP]], MS-CHAP, MS-CHAP V2

*L'identità dell'utente è protetta (crittata)

|-

Line 126 ⟶ 131:

| Sì

| Sì

| NoSì

| ElevataMedia sicurezza

|

*Simile all'EAP-TTLS

*Creazione di un tunnel TLS] (SSL) sicuro

*L'identità dell'utente è protetta (crittata)

*Attacco su dizionario per le credenziali

|}

== Voci correlate ==

*[[IEEE 802.1x]]

== Altri progetti ==

{{interprogetto|preposizione=sull'}}

== Collegamenti esterni ==

*{{en}}cita [httpweb|https://tools.ietf.org/html/rfc3748#page-35 |RFC 3748 EAP]|lingua=en}}

{{Controllo di autorità}}

[[Categoria:sicurezza informatica]]

{{stubPortale|sicurezza informatica}}

[[Categoria:sicurezzaTecniche di difesa informatica]]

[[da:EAP]]

[[de:Extensible Authentication Protocol]]

[[en:Extensible Authentication Protocol]]

[[fi:EAP]]

[[fr:Extensible Authentication Protocol]]

[[nl:EAP]]

[[pl:EAP (informatyka)]]

[[sv:Extensible Authentication Protocol]]

[[zh:EAP]]