Kurumsal ağlarda Switch, Access Point ve VPN Gateway gibi cihazlar sürekli olarak RADIUS sunucusuna istek gönderir. Peki FreeRADIUS bu isteğin gerçekten şirkete ait bir cihazdan geldiğini nasıl anlar?
İşte bu noktada Shared Secret devreye girer.
Shared Secret Nedir?
Shared Secret, RADIUS istemcisi (Switch, Access Point, VPN vb.) ile RADIUS sunucusu arasında önceden tanımlanmış gizli bir anahtardır.
Bu anahtar yalnızca iki taraf tarafından bilinir.
Örneğin;
Switch:
Secret = S3M2026!
FreeRADIUS:
Secret = S3M2026!
İki taraftaki değer aynı olmalıdır.
Neden Gereklidir?
Düşünün ki şirket ağına saldıran biri kendi bilgisayarından sahte bir RADIUS paketi göndermeye çalışıyor.
FreeRADIUS önce paketin Shared Secret ile doğrulanıp doğrulanmadığını kontrol eder.
Anahtar uyuşmuyorsa paket doğrudan reddedilir.
Yani Shared Secret;
- Kimlik doğrulaması yapmaz.
- Kullanıcıyı tanımaz.
- MAC adresini doğrulamaz.
Sadece paketi gönderen ağ cihazının güvenilir olup olmadığını kontrol eder.
Shared Secret Kullanıcıyı Korur mu?
Hayır.
Bu oldukça sık yapılan bir yanlıştır.
Shared Secret;
Switch ↔ FreeRADIUS arasındaki güveni sağlar.
Laptop ↔ Switch arasındaki güveni sağlamaz.
Dolayısıyla bir kullanıcı MAC adresini değiştirse bile Shared Secret bunu engelleyemez.
Bu yüzden NAC ürünlerinde Device Profiling, 802.1X ve Policy Engine gibi ek güvenlik katmanları bulunur.
Gerçek Hayattan Bir Benzetme
Bir apartmanda güvenlik görevlisinin sadece belirli teslimat firmasını içeri almasına benzetebiliriz.
Kargo şirketi doğru firmaysa bina içine girebilir.
Ancak paketin gerçekten doğru kişiye ait olup olmadığı daha sonra kontrol edilir.
Shared Secret da benzer şekilde önce iletişim kuran cihazın güvenilir olup olmadığını doğrular.
Sonuç
Shared Secret, RADIUS mimarisindeki ilk güvenlik katmanıdır.
Ancak tek başına yeterli değildir.
Kurumsal NAC çözümleri Shared Secret'ı, kimlik doğrulama ve yetkilendirme mekanizmalarıyla birlikte kullanarak çok katmanlı bir güvenlik modeli oluşturur.
Top comments (0)