Autenticazione del server RADIUS: una guida completa

Le organizzazioni spesso hanno difficoltà a gestire in modo sicuro l'accesso alla propria VPN (rete privata virtuale) o Wi-Fi, soprattutto quando aumenta il numero di dipendenti o dispositivi.

Il protocollo RADIUS (Remote Authentication Dial-In User Service) interviene per risolvere questo problema attraverso un approccio centralizzato AAA (Authentication, Authorization, and Accounting).

In questo blog, parleremo del protocollo RADIUS e dei suoi componenti client e server. Tratteremo anche dell'autenticazione del server RADIUS e di come miniOrange, il vostro partner di fiducia per le soluzioni software di sicurezza, può aiutarvi a migliorare l'autenticazione del server RADIUS.

Analizziamo ora questa soluzione di autenticazione.

Informazioni su RADIUS (Remote Authentication Dial-In User Service)

Ecco cosa dovresti sapere sul RADIUS prima di iniziare ad affrontare le complessità.

Che cos'è il protocollo RADIUS?

RADIUS è uno standard o protocollo di rete che funziona secondo un modello server-client RADIUS e controlla l'autorizzazione e l'autenticazione degli utenti. In parole povere, controlla la comunicazione tra utenti, client e server.

Cosa sono un server RADIUS e un client RADIUS?

Ecco cosa dovresti sapere sul server e sul client RADIUS prima di addentrarci nelle complessità dell'autenticazione del server RADIUS e scoprire di più sull'autenticazione a più fattori (MFA) di RADIUS.

Server RADIUS: Le funzioni principali del server RADIUS includono l'autenticazione, l'autorizzazione e l'accounting (AAA) degli utenti che tentano di accedere a una rete. I prodotti server RADIUS più comuni sono Microsoft NPS, Cisco ISE, Open Systems Radiator, ecc.
Client RADIUS: Noto anche come NAS (Network Access Server), il client RADIUS funge da intermediario tra l'utente e il server RADIUS. Inoltra le richieste dell'utente al server. Solitamente, il client RADIUS acquisisce le credenziali e le inoltra al server RADIUS. I prodotti NAS più comuni sono i punti di accesso wireless, come i dispositivi dial-up e il Linksys WRT54G.

Che cosa è RADIUS nel campo delle reti e della sicurezza informatica?

Nel settore delle reti e della sicurezza informatica, RADIUS funge da guardia di sicurezza che verifica chi sei e cosa puoi fare, e tiene traccia di tutto ciò che fai sulla rete.

Ad esempio, immaginiamo un'organizzazione con oltre 1000 dipendenti, tutti connessi tramite la rete Wi-Fi dell'ufficio. Quindi, invece di impostare le credenziali per ogni router, il server RADIUS le gestisce tutte.

Quando un dipendente tenta di effettuare l'accesso, le credenziali vengono inviate al server RADIUS tramite il client RADIUS, il server verifica il dipendente e invia una risposta per concedere o negare l'accesso.

Nella sicurezza informatica e nelle reti, il server RADIUS gestisce e controlla diversi utenti e fornisce un punto centrale per applicare policy, autenticare gli utenti e registrare le attività.

Ciò contribuisce ad amplificare i livelli di sicurezza e a semplificare il processo di amministrazione, un aspetto essenziale per aziende, istituti scolastici, fornitori di servizi e altri tipi di utenti.

Quali sono i tipi di server RADIUS

Esistono due tipi principali di server RADIUS:

Modalità di autenticazione sincrona

Come funziona: In modalità di autenticazione sincrona, l'utente accede utilizzando una password, un PIN, un token o qualsiasi altro metodo di autenticazione. Le credenziali vengono inviate al server tramite il client per la convalida. Il server RADIUS accetta o nega l'accesso.
Esempio: Un dipendente inserisce una password e un token hardware durante l'accesso alla VPN dell'ufficio. La richiesta dell'utente viene autenticata in un unico passaggio e l'accesso viene concesso dal server RADIUS, a condizione che tutti i dati siano corretti.
Caso d'uso: L'autenticazione sincrona funziona nei casi in cui è necessaria l'autenticazione a due fattori (2FA), ad esempio quando si imposta una nuova password.

Modalità di autenticazione asincrona

Come funziona: L'autenticazione dell'utente avviene in più fasi. Quando un utente effettua l'accesso, il server RADIUS invia una richiesta di verifica, ad esempio un codice monouso o un puzzle. L'utente risolve la richiesta e la risposta viene inviata al server, in base alla quale l'utente viene convalidato.
Esempio: Un dipendente accede a un database protetto con le proprie credenziali. Il server invia una richiesta di accesso, a cui il dipendente risponde correttamente. Questa richiesta di accesso è solitamente un codice creato su dispositivi mobili. In base alla risposta del dipendente, l'accesso viene concesso o negato.
Caso d'uso: La modalità asincrona viene utilizzata per proteggere i database critici di banche, organizzazioni sanitarie o multinazionali con Metodi MFA miniOrange come le notifiche push, Autenticazione tramite SMS/e-mail, dati biometrici e altro ancora.

Quali sono i componenti dell'autenticazione RADIUS?

L'autenticazione RADIUS necessita di alcuni elementi, che sono i seguenti:

Server RADIUS
Un Identity Provider (IdP), noto anche come directory delle informazioni utente.
Cliente RAGGIO

Grazie a questi componenti, i server RADIUS possono controllare in modo efficiente l'accesso alla rete, poiché non hanno un carico di lavoro eccessivo.

Come funziona l'autenticazione RADIUS?

Flusso di autenticazione RADIUS

Richiesta di accesso utente

Un utente tenta di accedere a una rete, come VPN, Wi-Fi o qualsiasi sistema remoto, con il proprio nome utente e password. Queste credenziali vengono ricevute dal client RADIUS (VPN, Wi-Fi o un servizio remoto).

Il client genera una richiesta di accesso contenente le credenziali, crittografate. Questa richiesta viene inviata al server RADIUS.

Handshake del protocollo RADIUS

Non è altro che un modo in cui il client RADIUS e il server RADIUS comunicano tra loro tramite una serie di richieste e risposte riguardanti l'autenticazione o meno di un utente.

Sia la modalità di autenticazione sincrona che quella asincrona possono far parte dell'handshake del protocollo RADIUS.

Esecuzione del framework AAA

Il framework AAA è l'acronimo di autenticazione, autorizzazione e contabilizzazione. La combinazione di AAA e TACACS+ aumenta i livelli di sicurezza.

Qui approfondiremo i framework AAA e poi passeremo a TACACS+ nelle sezioni successive. Ecco come funziona il framework AAA:

1. Il processo di autenticazione

In questo processo, l'identità dell'utente/dispositivo viene convalidata. I passaggi sono i seguenti:

Richiesta dell'utente: Tramite una connessione wireless (client RADIUS), l'utente inserisce le credenziali e viene generata una richiesta di accesso.
La richiesta viene inviata al server RADIUS: Le credenziali utente vengono inviate al server tramite il client.
Verifica: Le credenziali vengono verificate rispetto a un database centrale, ad esempio AD (Active Directory) o LDAP (Lightweight Directory Access Protocol).
Risposta: Se le credenziali corrispondono o meno, il server invia una risposta di autenticazione.
Accesso garantito: Se le credenziali corrispondono, l'utente è autorizzato ad accedere alle risorse.

Scopri la potenza dell'autenticazione adattiva

2. Il processo di autorizzazione

In questo processo, il server decide a quali risorse l'utente può accedere, in base alle policy. Ecco il processo completo:

Autenticazione: Una volta autenticato l'utente, il server passa alla fase di autorizzazione.
Verifica della politica: Il server RADIUS verifica i ruoli e il livello di accesso dell'utente, in base ai quali decide a quali risorse l'utente può accedere, come aree di rete, file, contenuti multimediali, ecc.
Invio della notifica di autorizzazione: Il server invia una notifica (accesso concesso o accesso negato) in base alle policy e alle autorizzazioni dell'utente.
Concedere l'accesso: Nel caso in cui il server invii un messaggio positivo, all'utente viene consentito l'accesso alla rete.

Scopri di più su Autenticazione e Autorizzazione.

3. Il processo contabile

Qui, le sessioni utente vengono tracciate e registrate, e possono essere utilizzate per la gestione della rete, l'audit e la reportistica. I passaggi per la contabilità sono i seguenti:

Richiesta di inizio sessione: Dopo che all'utente è stato concesso l'accesso alla rete, il client RADIUS invia un pacchetto "Accounting-Start" al server. Questo pacchetto contiene i dettagli dell'utente, come l'ID di sessione, l'identità dell'utente e il punto di accesso alla rete.
Tracciamento dell'ordine: Il server tiene traccia dei dettagli della sessione dell'utente, come l'utilizzo dei dati, la durata della sessione e le risorse a cui ha avuto accesso. In questo modo, viene generato un registro completo delle attività dell'utente quando è connesso.
Aggiornamenti intermedi: Se le sessioni utente sono prolungate, il client può inviare aggiornamenti tra una sessione e l'altra.
Fine sessione: Dopo che l'utente si disconnette, il client invia al server un pacchetto "Accounting-Stop", che include dettagli come il tempo trascorso e i dati consultati.
Segnalazione e archiviazione dei dati: Il server RADIUS è un archivio per tutti i dati, che possono essere utilizzati dagli amministratori per la fatturazione, l'audit e il monitoraggio.

Cosa sono i metodi di autenticazione RADIUS?

Esistono due tipi principali di metodi di autenticazione RADIUS, che sono i seguenti:

Autenticazione basata sulle credenziali

Il server RADIUS necessita di una directory come un AD per memorizzare i dati utente, in modo da poter controllare le credenziali e le relative policy da lì. Ecco i passaggi necessari:

L'utente/dispositivo invia una richiesta di autenticazione al client RADIUS (insieme alle credenziali).
Il client invia la richiesta al server.
Il server verifica le credenziali utente presenti nella directory.
In base ai risultati dell'autenticazione dell'utente, il server invia al client un messaggio di accesso negato o accettato.

Autenticazione basata su certificato

L'autenticazione basata su certificato è diversa, poiché contiene più informazioni rispetto alle credenziali utente. Fornisce al server o a un amministratore dati come i log di sessione, fornendo un contesto più dettagliato delle attività dell'utente.

Ecco come funziona il processo:

Un certificato utente/dispositivo viene inoltrato al client RADIUS, che a sua volta lo trasferisce al server RADIUS.
Il server inizia a controllare il certificato per verificare se è ancora valido o meno.
Dopodiché il server controlla la CRL (Certificate Revocation List) per verificare se il certificato è stato revocato o meno.
Nel caso in cui il certificato non venga revocato, il server conferma lo stato dell'utente nella directory.

Perché il server RADIUS è fondamentale per la sicurezza informatica?

Ecco perché il server RADIUS svolge un ruolo cruciale nella sicurezza informatica.

Impedisce l'accesso non autorizzato

Il server RADIUS è supportato da protocolli di autenticazione avanzata che convalidano gli utenti con le loro credenziali. Questo approccio riduce drasticamente il rischio di attività dannose come l'infiltrazione in reti remote, VPN o Wi-Fi.

Il server RADIUS verifica ogni connessione, in modo che solo gli utenti legittimi ricevano le autorizzazioni necessarie. Questo aiuta a mitigare rischi come attacchi man-in-the-middle o violazioni dei dati.

Auditing centralizzato

I server RADIUS tracciano e monitorano ogni attività dell'utente, come ad esempio i tempi delle sessioni, gli orari di accesso, i dati a cui si accede e altro ancora.

L'audit aiuta a creare una traccia digitale che può essere ulteriormente utilizzata per le indagini sugli attacchi informatici, il monitoraggio della sicurezza e la verifica della conformità normativa.

Vantaggi dell'utilizzo del server RADIUS per la sicurezza informatica

Ecco i quattro principali vantaggi dell'utilizzo di un server RADIUS per migliorare la sicurezza informatica della tua azienda.

Gestione centralizzata delle identità

Il server RADIUS facilita la creazione di un database centrale per le credenziali, i profili e i criteri degli utenti, semplificando la gestione delle identità nell'intera organizzazione.

È compatibile con tutti gli utenti, riducendo il rischio di password condivise tramite Wi-Fi. Inoltre, il server consente policy di accesso granulari basate sui ruoli utente e sull'appartenenza a gruppi.

Controllo degli accessi migliorato con MFA

Il server RADIUS integra la soluzione MFA miniOrange durante la fase di accesso alla rete. Richiede agli utenti di fornire più di una forma di autenticazione prima di autorizzare la richiesta.

I metodi MFA più comuni includono OTP, riconoscimento facciale, notifiche push e altro ancora. Inoltre, l'MFA resistente al phishing contribuisce a proteggere la rete da attacchi di tipo phishing, come phishing via e-mail, spear phishing, whaling, smishing e altri ancora.

Scopri oggi stesso le basi dell'autenticazione a più fattori

Scalabilità su dispositivi e reti

Il server è in grado di supportare grandi aziende e organizzazioni senza richiedere modifiche sostanziali all'infrastruttura. È inoltre compatibile con diversi sistemi, come VPN, router, switch, LDAP, AD e altri in fase di sviluppo, il che lo rende una soluzione flessibile.

Conformità normativa

Rispettare gli standard di conformità è fondamentale per evitare sanzioni e multe indesiderate che potrebbero costare alle aziende ingenti somme di denaro e danneggiare la reputazione aziendale. L'implementazione di RADIUS contribuisce a soddisfare gli standard normativi.

Alcune delle conformità consigliate sono HIPAA, GDPR, PCI DSS e altre simili.

Casi d'uso del server RADIUS per la sicurezza aziendale

Ecco i quattro principali casi d'uso in cui il server RADIUS eccelle e lascia un'impressione duratura.

RADIUS per il controllo degli accessi VPN

Grazie a un server RADIUS, le aziende possono autenticare gli utenti che tentano di accedere a una VPN per garantire un accesso remoto sicuro, consentendo l'accesso alla rete solo agli utenti autorizzati. Ciò contribuisce a mantenere policy di autenticazione coerenti per l'accesso remoto e locale. Inoltre, le aziende possono proteggere la VPN con soluzioni di autenticazione a più fattori (MFA) per una maggiore sicurezza di rete.

La soluzione miniOrange 2FA per Palo Alto GlobalProtect è facile da configurare e scalabile. Si connette al server VPN di Palo Alto per aggiungere un ulteriore livello di sicurezza.

RADIUS per la sicurezza delle reti wireless (802.1X)

Le aziende possono utilizzare un server RADIUS per proteggere la propria rete Wi-Fi tramite l'autenticazione 802.1X. Il server controlla i dispositivi o gli utenti prima di consentire loro l'accesso alla rete. In questo modo si impediscono connessioni wireless non autorizzate e si salvaguardano le informazioni sensibili.

RADIUS nell'autenticazione del firewall e del dispositivo

Un server RADIUS autentica switch, firewall e access point, consentendo un controllo centralizzato degli accessi. Ciò è necessario per connettere alla rete solo i dispositivi attendibili.

RADIUS per la forza lavoro remota e l'accesso al cloud

Garantisci un'autenticazione sicura per piattaforme cloud e dipendenti remoti con un server RADIUS. Si integra con IdP, MFA adattiva, SSO e altri software per offrire una soluzione di autenticazione scalabile e centralizzata, adatta ad ambienti cloud e ibridi.

RAGGIO e TACACS+

TACACS+ è l'acronimo di Terminal Access Controller Access-Control System Plus. Separa autenticazione, autorizzazione e contabilità, rendendo possibile l'utilizzo di altri protocolli quali LDAP, PAP (Password Authentication Protocol) e CHAP (Challenge Handshake Authentication Protocol), per citarne alcuni.

Questi protocolli vengono utilizzati principalmente per l'autenticazione, ma possono essere impiegati anche per la contabilità o l'autorizzazione.

D'altro canto, RADIUS combina autorizzazione e autenticazione, rendendo impossibile utilizzarli separatamente.

Quindi, RADIUS o TACACS+, quale è la scelta migliore? Beh, dipende da qual è il tuo obiettivo finale e da come intendi utilizzare i protocolli.

Come miniOrange migliora la sicurezza del server RADIUS

Potenzia la sicurezza del server RADIUS integrando il software miniOrange MFA nel flusso di autenticazione del server RADIUS.

Pertanto, gli utenti che tentano di accedere alle risorse tramite reti quali Wi-Fi, VPN, router, firewall e switch, oltre alle credenziali, presentano ulteriori aspetti di verifica.

Questi aspetti di verifica (soluzioni MFA) includono notifiche push, OTP, verifica biometrica e altro ancora.

Contattaci per saperne di più su questi prodotti MFA oppure inizia oggi stesso una prova gratuita di 30 giorni.

Conclusione

Tra i vari metodi di autenticazione, il server RADIUS rappresenta un aspetto di sicurezza unico nel suo genere, che utilizza l' autenticazione contestuale, AAA e garantisce la conformità normativa. Ciò consente alle aziende di proteggere le proprie reti, limitandone l'accesso ai soli utenti autorizzati.

Integrarlo nelle tue attività quotidiane può aiutarti a tenere lontani i potenziali criminali informatici, prevenendo violazioni gravi e attività sospette.

DOMANDE FREQUENTI

Che cosa è RADIUS nel networking?

Nel networking, un server RADIUS verifica gli utenti che tentano di accedere a reti quali punti di accesso wireless, VPN, firewall, ecc.

In che modo RADIUS si differenzia dagli altri protocolli?

RADIUS combina autenticazione e autorizzazione in un sistema centrale, cosa assente in protocolli come TACACS+.

RADIUS è sicuro per le reti aziendali?

Sì, è sicuro per le reti aziendali perché aiuta a prevenire accessi non autorizzati convalidando gli utenti rispetto a fonti attendibili come un AD, in cui sono archiviati tutti i dati dell'utente.

A cosa serve il protocollo RADIUS?

Il protocollo RADIUS viene utilizzato per gestire l'accesso alla rete tramite autenticazione, autorizzazione e contabilità.

L'autenticazione RADIUS è scalabile per le aziende in crescita?

Sì, l'autenticazione del server RADIUS è altamente scalabile, poiché è compatibile con reti di grandi dimensioni e può essere facilmente integrata con i provider di identità.

Quali tipologie di aziende traggono i maggiori vantaggi dall'utilizzo dell'autenticazione RADIUS?

Aziende che operano da remoto o hanno un ambiente ibrido e quelle che necessitano di una connessione wireless per gestire più dispositivi.