Erweiterte Zugangskontrolle fürs LAN
Schlüsselgewalt
Klassische Zugangskontrollsysteme in LANs nach IEEE 802.1X-2004 haben Schwachstellen, denn jemand mit Zugang zu einem Ethernet-Anschluss kann sie umgehen. Der Einsatz von Verschlüsselung gemäß MACsec soll das verhindern.
MACsec ist ein Hop-by-Hop-Protokoll zur kryptografischen Absicherung von LANs auf der Sicherungsschicht (Layer 2). Es bietet, zusätzlich zur Authentifizierung in IEEE 802.1X-2004, eine Erweiterung, die Vertraulichkeit und Integrität gewährleistet. Sie soll Session-Spoofing-Angriffe unterbinden, wie sie bei physischer Präsenz in den vernetzten Räumlichkeiten stattfinden können [2]. Zudem eignet sich das Protokoll für die Verschlüsselung von Dark-Fibre- und Metro-Ethernet-Anbindungen.
Die Spezifikationen sind als Teil von IEEE 802.1X-2010 und in IEEE 802.1ae-2006 festgelegt. MACsec arbeitet Port-basiert auf Switches und Routern und bietet aufgrund seiner Hardwarenähe eine hohe Performance. Eine genauere Überprüfung der einzelnen Leistungsmerkmale und deren Ausprägung in der jeweiligen Hard- und Softwareversion ist erforderlich. Insbesondere im Bereich der „Supplicants“ – sprich der Clients – sind noch nicht viele Produkte auf dem Markt.
MACsec kann in zwei Szenarien zum Einsatz kommen. Im ersten Szenario findet nach erfolgreichem MACsec-Verbindungsaufbau eine verschlüsselte Übertragung zwischen Supplicant und Authenticator (grüne Linie in Abbildung 1) statt. Zuvor erfolgt die Authentifizierung vom Supplicant über den Authenticator zum Authentication Server, wie es bereits aus 802.1X-2004 bekannt ist. Der Authenticator packt die EAPoL-Frames (Extensible Authentication Protocol over LAN) in RADIUS-Pakete und überträgt sie an den Authentication Server (rote Linie in Abbildung 1).
Provider hinzuziehen
Der Authentication Server gibt nach erfolgreicher Authentifizierung des Supplicant eine Autorisierung mit MACsec-Richtlinie und Master Session Key an den Authenticator zurück, der so erkennt, dass MACsec zum Einsatz kommen soll. Zusätzlich überträgt er in einer separaten Nachricht den Master Session Key an den Supplicant. Mit dem Master Session Key findet im Anschluss der Schlüsselaustausch über MKA (MACsec Key Agreement) statt (Abbildung 2).
Im zweiten Szenario verschlüsselt MACsec den Datenverkehr zwischen Switches oder Routern. Dies ist besonders interessant zum Absichern von Standortkopplungen über Dark Fibre oder Metro Ethernet, die in der Regel auf einer Transitstrecke den eigenen Zuständigkeitsbereich verlassen. Bei einem Einsatz in Metro-Ethernet-Umgebungen sollte zuvor mit dem Provider geklärt werden, ob MACsec-Frames ungehindert zwischen Quelle und Ziel fließen können.
Verschlüsselung mit Leitungstempo
Die hohe Performance und die Möglichkeit, direkt auf Layer 2 zu verschlüsseln, bietet Vorteile gegenüber dem klassischen IPsec-Verfahren. Entsprechende Komponenten verschlüsseln den Traffic mittels MACsec mit der maximalen Übertragungskapazität der Verbindung (Line Rate).
MACsec ist für jede abzusichernde Schnittstelle einzeln zu aktivieren. Teile der Frames, etwa bestimmte Ethernet-Header-Daten, können unverschlüsselt und damit sichtbar bleiben (siehe weiter unten). Eine Nutzung von MACsec in WLANs gemäß IEEE 802.11 ist explizit ausgeschlossen.