Tilbake til innhold

# Sikkerhetsoversikt

Dette avsnittet beskriver de ulike sikkerhetsmetodene som brukes til å hjelpe med å beskytte WiFi-nettverk.

Beskytte WiFi-nettverket

- Godkjenning
- Kryptering
- SSID-kringkasting

Personlige sikkerhetsmetoder

- Åpen og delt nøkkelgodkjenning
- WEP-kryptering
- WPA-Personlig
- WPA2-Personlig

802.1X-godkjenning (foretakssikkerhet)

- Oversikt
- Hva er RADIUS?
- Slik virker 802.1x-godkjenning
- 802.1x-funksjoner

Typer nettverksgodkjenning

- Åpen
- Delt
- WPA-Personlig
- WPA2-Personlig
- WPA-Foretak
- WPA2-Foretak

Datakrypteringstyper

- AES-CCMP
- TKIP
- CKIP

Godkjenningstyper

- TLS
- TTLS
- PEAP
- LEAP
- EAP-SIM
- EAP-FAST
- EAP-AKA

Godkjenningsprotokoller

- PAP
- CHAP
- MS-CHAP
- MS-CHAP-V2
- GTC
- TLS

Cisco-funksjoner

- Cisco LEAP
- Ciscos svindlertilgangspunktsikkerhetsfunksjon
- 802.11b eller 802.11g mikset miljø beskyttelsesprotokoll
- CKIP
- Hurtigstreifing (CCKM)
- Radiostyring

## Beskytte WiFi-nettverket

Hvis trådløsnettverket er ubeskyttet, er det åpent for tilgang fra andre datamaskiner. Du kan enkelt beskytte hjemme- og småbedriftsnettverket mot nesten all slags uautorisert tilgang med sikkerhetsmetodene som beskrives i dette avsnittet.

### Godkjenning

Godkjenning (autentisering) er prosessen for å identifisere og godkjenne en forespørsel fra en klient (vanligvis en bærbar datamaskin) om å få tilgang til et nettverk på et nettverkstilgangspunkt. Når godkjenningen er fullført og tilgang gitt, har klienten tilgang til nettverket.

### Kryptering

Du kan velge krypteringsalgoritmer som krypterer informasjonen og dataene som sendes over trådløsnettverket. Bare datamaskiner som er utstyrt med forhåndsdelte nøkler kan kryptere og dekryptere dataene som overføres. Krypteringsnøkler er tilgjengelig med to sikkerhetsnivåer, 64-bit og 128-bit. Bruk 128-bitnøkler for å få bedre sikkerhet.

### SSID-kringkasting

En enkel måte å bedre nettverkssikkerheten på er å angi tilgangspunktet for nettverket til ikke å kringkaste servicesettidentifikatoren (SSID). SSID-en kreves for å få tilgang. Bare datamaskiner som kjenner SSID-en får tilgang til nettverket. (Dette konfigureres ikke på kortet ved hjelp av Intel® PROSet/Wireless WiFi-tilkoblingsverktøy, men på tilgangspunktet.)

## Personlige sikkerhetsmetoder

#### Åpen og delt nettverksgodkjenning

IEEE 802.11 støtter to typer nettverksgodkjenningsmetoder: Åpent system og Delt nøkkel.

- Ved å bruke åpen godkjenning kan enhver trådløs stasjon anmode om godkjenning. Stasjonen som behøver å bli godkjent med en annen trådløs stasjon, sender en godkjenningsadministrasjonsforespørsel som inneholder identiteten til stasjonen som sender. Mottaksstasjonen eller tilgangspunktet (AP) vil innvilge enhver forespørsel om godkjenning. Åpen godkjenning lar enhver enhet få nettverkstilgang. Dersom det ikke er aktivert noen kryptering på nettverket, kan enhver innretning som kjenner til tilgangspunktets SSID, få tilgang til nettverket.
- Når delt nøkkel-godkjenning brukes, antas enhver trådløs stasjon å ha mottatt en hemmelig delt nøkkel via en sikker kanal som er uavhengig av 802.11-nettverkskommunikasjonskanalen. Du kan dele denne hemmelige nøkkelen over en kablet Ethernet-tilkobling eller ved fysisk å bruke en USB-minnepinne eller CD. Delt nøkkelgodkjenning krever at klienten konfigurerer en statisk WEP-nøkkel. Klientens tilgang vil bli innvilget bare dersom den passerer en utfordringsbasert godkjenning.

#### WEP

Wired Equivalent Privacy (WEP) bruker kryptering for å bidra til å unngå uautorisert mottak av trådløsdata. WEP bruker en krypteringsnøkkel til å kryptere dataene før sending. Bare datamaskiner som bruker samme krypteringsnøkkel får tilgang til nettverket og kan dekryptere dataene som overføres fra andre datamaskiner. WEP-kryptering gir to sikkerhetsnivåer, en 64-bitnøkkel (også kalt 40 bit) eller en 128-bitnøkkel (også kalt 104 bit). Den beste sikkerheten får du ved bruk av en 128-bitnøkkel. Hvis du bruker kryptering, må alle trådløse enheter på trådløsnettverket bruke de samme krypteringsnøklene.

WEP-datakryptering, en trådløs stasjon konfigureres med inntil fire nøkler (nøkkelindeksverdiene er 1, 2, 3 og 4). Når et tilgangspunkt (AP) eller en trådløs stasjon overfører en kryptert melding ved hjelp av en nøkkel som er lagret i en spesifikk nøkkelindeks, angir den overførte meldingen nøkkelindeksen som ble brukt til å kryptere meldingsinnholdet. Mottakstilgangspunktet eller den trådløse stasjonen kan deretter hente nøkkelen som er lagret i nøkkelindeksen, og bruke den til å dekode det krypterte meldingsinnholdet

Fordi WEP-krypteringsalgoritmen er sårbar overfor nettverksangrep bør du vurdere å bruke WPA-Personlig eller WPA2-Personlig sikkerhet.

#### WPA-Personlig

WPA-Personlig-modus er rettet mot hjem og mindre bedriftsmiljøer. WPA-Personlig krever manuell konfigurasjon av forhåndsdelt nøkkel (PSK) på tilgangspunktet og klientene. Det trengs ingen godkjenningsserver. Det samme passordet som er angitt på tilgangspunktet må brukes på denne datamaskinen og alle andre trådløsenheter som får tilgang til trådløsnettverket. Sikkerheten avhenger av styrken og hemmeligholdet av passordet. Et langt passord gir bedre nettverksikkerhet enn et kort passord. Hvis trådløstilgangspunktet eller ruteren støtter WPA-Personlig og WPA2-personlig, burde du aktivere det på tilgangspunktet og besørge et langt, kraftig passord. WPA-Personlig gjør datakrypteringsalgoritmene TKIP og AES-CCMP tilgjengelig.

#### WPA2-Personlig

WPA2-Personlig krever manuell konfigurasjon av en forhåndsdelt nøkkel (PSK) på tilgangspunktet og klientene. Det trengs ingen godkjenningsserver. Det samme passordet som er angitt på tilgangspunktet må brukes på denne datamaskinen og alle andre trådløsenheter som får tilgang til trådløsnettverket. Sikkerheten avhenger av styrken og hemmeligholdet av passordet. Et langt passord gir bedre nettverksikkerhet enn et kort passord. WPA2 er en forbedring i forhold til WPA, og implementerer hele IEEE 802.11i-standarden. WPA2 er bakoverkompatibel med WPA. WPA2-Personlig gjør datakrypteringsalgoritmene TKIP og AES-CCMP tilgjengelig.

MERK: WPA-Personal og WPA2-Personal er interoperative.

## 802.1X-godkjenning (foretakssikkerhet)

Dette avsnittet beskriver sikkerhet som ofte brukes av større bedrifter.

Oversikt
Hva er RADIUS?
Slik virker 802.1x-godkjenning
802.1x-funksjoner

### Oversikt

802.1X-godkjenningen er uavhengig av 802.11-godkjenningsprosessen. 802.11.1-standarden gir et rammeverk for flere godkjennings- og nøkkeladministrasjonsprotokoller. Det finnes forskjellige 802.1X-godkjenningstyper, og hver har forskjellige innfallsvinkler til godkjenningen, men alle tar i bruk den samme 802.11.1-protokollen og det samme rammeverket for kommunikasjonen mellom en klient og et tilgangspunkt. I de fleste protokollene, etter at 802.1x-godkjenningsprosessen er ferdig, mottar søkeren en nøkkel som den benytter til datakryptering. Se Slik virker 802.1x-godkjenning for å få mer informasjon. Med 802.1X-godkjenning brukes en godkjenningsmetode mellom klienten og en server (for eksempel en RADIUS-server (Remote Authentication Dial-In User Service)) som er koblet til tilgangspunktet. Godkjenningsprosessen benytter legitimasjonsbeskrivelsene, slik som en brukers passord, som ikke sendes over det trådløse nettverket. De fleste 802.1X-typene støtter dynamiske nøkler per bruker, per økt, for å styrke nøkkelsikkerheten. 802.1X-godkjenningen drar fordel av å bruke en eksisterende godkjenningsprotokoll som kalles EAP (Extensible Authentication Protocol).

802.1X-godkjenning for trådløse nettverk har tre hovedkomponenter:

- Godkjenner (tilgangspunktet)
- Søkeren (klientprogramvaren)
- Godkjenningsserveren

802.1x-godkjenningssikkerhet starter en godkjenningsforespørsel fra trådløsklienten til tilgangspunktet som godkjenner klienten til en EAP-kompatibel (Extensible Authentication Protocol) RADIUS-server. RADIUS-serveren kan godkjenne brukeren (via passord eller sertifikater) eller systemet (ved MAC-adressen). Teoretisk sett får ikke den trådløse klienten lov til å bli med i nettverkene før transaksjonen er fullført. (Ikke alle godkjenningsmetodene bruker en RADIUS-server. WPA-Personlig og WPA2-Personlig bruker et felles passord som må angis på tilgangspunktet og på alle enhetene som ber om tilgang til nettverket.)

Flere godkjenningsalgoritmer brukes med 802.1X. Noen eksempler er: EAP-TLS, EAP-TTLS, Protected EAP (PEAP) og EAP Cisco Wireless Light Extensible Authentication Protocol (LEAP). Dette er alle metoder for trådløsklienten for å identifisere seg selv overfor RADIUS-serveren. Med RADIUS-godkjenning kontrolleres brukeridentitetene mot databaser. RADIUS utgjør et sett med standarder som omhandler AAA (Authentication, Authorization, Accounting). RADIUS inkluderer en proxy-prosess for validering av klienter i et flerservermiljø. Standarden IEEE 802.1X gir en mekanisme for å kontrollere og godkjenne tilgang til portbasert 802.11 trådløst og kablet Ethernet-nettverk. Portbasert nettverkstilgangskontroll er lik en svitsjet LAN-infrastruktur som godkjenner innretninger som er festet til en LAN-port og hindrer tilgang til den porten dersom godkjenningsprosessen mislykkes.

#### Hva er RADIUS?

RADIUS står for Remote Authentication Dial-In User Service, og er en AAA-klientserverprotokoll (Authorization, Authentication, Accounting) for en ekstern AAA-klientserver som logger inn på eller ut av en nettverkstilgangsserver. Vanligvis en RADIUS-server brukes av Internett-leverandører (ISP - Internet Service Providers) til å utføre AAA-oppgaver. AAA-fasene beskrives som følger:

- Godkjenningsfasen: Kontrollerer et brukernavn og passord mot en lokal database. Når legitimasjonsbeskrivelsene er kontrollert, begynner autoriseringsprosessen.
- Autoriseringsfasen: Fastsetter om en forespørsel får innvilget tilgang til en ressurs. En IP-adresse tilordnes for den eksterne klienten.
- Regnskapsfasen: Samler informasjon om ressursforbruk med det formål å analysere trender, overvåke, fakturere økttid eller fordele kostnader.

### Slik virker 802.1x-godkjenning

Nedenfor er en forenklet beskrivelse av hvordan 802.1X-godkjenning fungerer.

1. En klient sender en melding med "forespørsel om tilgang" til et tilgangspunkt. Tilgangspunktet ber om klientens identitet.
2. Klienten svarer med identitetspakken som er sendt til godkjenningsserveren.
3. Godkjenningsserveren sender en "godta"-pakke til tilgangspunktet.
4. Tilgangspunktet plasserer klientporten i autorisert tilstand, og datatrafikken får tillatelse til å bli behandlet.

### 802.1x-funksjoner

Følgende godkjenningsmetoder støttes av Windows* XP:

- 802.1x-søkerprotokollstøtte
- Støtte for Extensible Authentication Protocol (EAP) - RFC 2284
- Godkjenningsmetoder som støttes på Windows* XP:
  - EAP TLS-godkjenningsprotokoll - RFC 2716 og RFC 2246
  - EAP Tunneled TLS (TTLS)
  - Cisco LEAP
  - PEAP
  - EAP-SIM
  - EAP-FAST
  - EAP-AKA

## Nettverksgodkjenning

#### Åpen

Se Åpen godkjenning.

#### Delt

Se Delt godkjenning.

#### WPA-Personlig

Se WPA-Personlig.

#### WPA2-Personlig

Se WPA2-Personlig.

#### WPA-Foretak

Godkjenning i foretaksmodus er rettet inn mot bedriftsmiljøer eller statsinstitusjonsmiljøer. WPA-Foretak bekrefter nettverksbrukere gjennom en RADIUS-eller en annen godkjenningsserver. WPA bruker 128-bits kryptering og dynamiske øktnøkler for å sikre personvern og foretakssikkerhet på trådløsnettverket. En godkjenningstype velges for å passe til godkjenningsprotokollen for 802.1x-serveren.

#### WPA2-Foretak

Godkjenning i WPA-foretaksmodus er rettet inn mot bedriftsmiljøer eller statlige miljøer. WPA2-Foretak bekrefter nettverksbrukere gjennom en RADIUS- eller annen godkjenningsserver. WPA2 bruker 128-bits kryptering og dynamiske øktnøkler for å sikre personvern og foretakssikkerhet på trådløsnettverket. En godkjenningstype velges for å passe til godkjenningsprotokollen for 802.1x-serveren. Foretaksmodus er rettet inn mot bedriftsmiljøer eller offentlige miljøer. WPA2 er en forbedring i forhold til WPA, og implementerer hele IEEE 802.11i-standarden.

## Datakryptering

#### AES-CCMP

Advanced Encryption Standard - Counter CBC-MAC Protocol. Den nye metoden for personvernbeskyttelse av trådløse sendinger som spesifisert i IEEE 802.11i-standarden. AES-CCMP sørger for en sterkere krypteringsmetode enn TKIP. Velg AKES-CAMP som datakrypteringsmetode når det er viktig med kraftig beskyttelse av data. AES-CCMP er tilgjengelig med WPA/WPA2-Personlig/Foretak-nettverksgodkjenning.

MERK: Enkelte sikkerhetsløsninger støttes kanskje ikke av operativsystemet i datamaskinen din, og krever kanskje ekstra programvare eller maskinvare samt støtte for trådløs LAN-infrastruktur. Sjekk nærmere med produsenten av datamaskinen din.

#### TKIP

Midlertidig nøkkelintegritetsprotokoll (Temporal Key Integrity Protocol) gir nøkkelblanding per pakke, meldingsintegritetssjekk og en omnøklingsmekanisme. TKIP er tilgjengelig med WPA/WPA2-Personlig/Foretak-nettverksgodkjenning.

#### CKIP

Se CKIP.

#### WEP

Wired Equivalent Privacy (WEP) bruker kryptering for å bidra til å unngå uautorisert mottak av trådløsdata. WEP bruker en krypteringsnøkkel til å kryptere dataene før sending. Bare datamaskiner som bruker samme krypteringsnøkkel får tilgang til nettverket og kan dekryptere dataene som overføres fra andre datamaskiner. Foretaks-WEP er ikke nøyaktig det samme som personlig WEP på den måten at du kan velge Åpen nettverksgodkjenning og deretter klikke Aktiver 802.1X, for så å kunne velge blant alle klientgodkjenningstypene. Valg av godkjenningstyper er IKKE tilgjengelig under personlig WEP.

## Godkjenningstyper

#### TLS

En godkjenningsmetode som bruker Extensible Authentication Protocol (EAP) og en sikkerhetsprotokoll som kalles Transport Layer Security (TLS). EAP-TLS bruker sertifikater som benytter passord. EAP-TLS-godkjenning støtter dynamisk WEP-nøkkeladministrasjon. TLS-protokollen er ment å sikre og godkjenne kommunikasjon gjennom et offentlig nettverk ved bruk av datakryptering. TLS Handshake Protocol lar serveren og klienten gi gjensidig godkjenning og forhandle en krypteringsalgoritme og kryptografiske nøkler før data blir sendt.

#### TTLS

Disse innstillingene definerer protokollen og legitimasjonsbeskrivelsene som brukes for å godkjenne en bruker. I TTLS (Tunneled Transport Layer Security) benytter klienten EAP-TLS for å bekrefte serveren og lage en TLS-kryptert kanal mellom klienten og serveren. Klienten kan bruke en annen autentifikasjonsprotokoll. Vanligvis utfordrer passordbaserte protokoller over en ikke-eksponert TLS-kryptert kanal. TTLS-implementeringer støtter i dag alle metoder definert av EAP samt mange andre eldre metoder (PAP,CHAP, MS-CHAP og MS-CHAP-V2). TTLS kan lett utvides til å virke sammen med nye protokoller ved å definere nye attributter for å støtte nye protokoller.

#### PEAP

PEAP er en ny Extensible Authentication Protocol (EAP) IEEE 802.1x-godkjenningstype lagd for å trekke fordeler fra serversidens EAP-Transport Layer Security (EAP-TLS) og for å støtte forskjellige godkjenningsmetoder, herunder brukerens passord og engangspassord og Generic Token Cards.

#### LEAP

En versjon av Extensible Authentication Protocol (EAP). LEAP (Light Extensible Authentication Protocol) er en egen utvidet godkjenningsprotokoll som er utviklet av Cisco, som inneholder en godkjenningsmekanisme for utfordringssvar og dynamisk nøkkeltildeling.

#### EAP-SIM

Extensible Authentication Protocol Method for GSM Subscriber Identity (EAP-SIM) er en mekanisme for autentifisering og øktnøkkeldistribuering. Det bruker Global System for Mobile Communications (GSM) Subscriber Identity Module (SIM). EAP-SIM bruker en dynamisk, øktbasert WEP-nøkkel, som er hentet ut av klientkortet og RADIUS-serveren for å kryptere data. EAP-SIM krever at du setter inn en brukerverifikasjonskode eller PIN for å kommunisere med Subscriber Identity Module (SIM)-kortet. Et SIM-kort er et spesielt smartkort som brukes av GSM-baserte digitale mobiltelefonnettverk. RFC 4186 beskriver EAP-SIM.

#### EAP-AKA

EAP-AKA (Extensible Authentication Protocol Method for UMTS Authentication and Key Agreement) er en EAP-mekanisme for autentisering og distribusjon av øktnøkkel ved hjelp av UMTS USIM (Universal Mobile Telecommunications System (UMTS) Subscriber Identity Module (USIM). USIM-kortet er et spesielt smartkort, som brukes med mobilnettverk for å godkjenne en gitt bruker på nettverket.

## Godkjenningsprotokoller

#### PAP

Password Authentication Protocol er en toveis håndtrykksprotokoll utformet for bruk med PPP. Password Authentication Protocol er et rent tekstpassord brukt på eldre SLIP-systemer. Det er ikke sikkert. Bare tilgjengelig for TTLS-godkjenningstypen.

#### CHAP

Challenge Handshake Authentication Protocol er en treveis håndtrykksprotokoll som anses mer sikker enn PAP-autentifikasjonsprotokollen. Bare tilgjengelig for TTLS-godkjenningstypen.

#### MS-CHAP (MD4)

Bruker en Microsoft-versjon av RSA Message Digest 4 utfordre-og-svar-protokoll. Denne virker kun på Microsoft-systemer og aktiverer datakryptering. Velges denne godkjenningsmetoden, blir alle data kryptert. Bare tilgjengelig for TTLS-godkjenningstypen.

#### MS-CHAP-V2

Innfører en tilleggsfunksjon som ikke er tilgjengelig med MS-CHAPV1 eller standard CHAP-godkjenning, funksjonen for endring av passord. Denne funksjonen lar klienten endre kontopassord hvis RADIUS-serveren rapporterer at passordet er utløpt. Tilgjengelig for TTLS- og PEAP-godkjenningstypene.

#### Generic Token Card (GTC)

Inneholder brukerspesifikke tokenkort for godkjenning. Hovedfunksjonen i GTC er godkjenning basert på digitale sertifikater / kodekort. Dessuten inkluderer GTC muligheten til å skjule brukernavn til det er opprettet en TLS-kryptert tunnel, noe som gir bedre konfidensialitet når brukernavn ikke kringkastes under godkjenningsfasen. Bare tilgjengelig for PEAP-godkjenningstypen.

#### TLS

TLS-protokollen er ment å sikre og godkjenne kommunikasjon gjennom et offentlig nettverk ved bruk av datakryptering. TLS Handshake Protocol lar serveren og klienten gi gjensidig godkjenning og forhandle en krypteringsalgoritme og kryptografiske nøkler før data blir sendt. Bare tilgjengelig for PEAP-godkjenningstypen.

## Cisco-funksjoner

#### Cisco LEAP

Cisco LEAP (Cisco Light EAP) er en 802.1x-godkjenning for server og klient via brukerdefinert påloggingspassord. Når et trådløst tilgangspunkt kommuniserer med en Cisco LEAP-aktivert RADIUS (Cisco-sikker tilgangskontrollserver [ACS]), gir Cisco LEAP tilgangskontroll via gjensidig godkjenning mellom klientens WiFi-kort og det trådløse nettverket, og gir dynamiske, individuelle brukerkrypteringsnøkler for å hjelpe til med å beskytte personvernet i de overførte dataene.

#### Ciscos svindlertilgangspunktsikkerhetsfunksjon

Cisco-funksjonen for uautorisert tilgangspunkt gir sikkerhetsbeskyttelse fra en innføring av et uautorisert tilgangspunkt som kan etterligne et legitimt tilgangspunkt på et nettverk for å få ut informasjon om brukerlegitimasjonsbeskrivelsene og godkjenningsprotokoller som kan sette sikkerheten i fare. Funksjonen virker bare med Ciscos LEAP-godkjenning. Standard 802.11-teknologi beskytter ikke et nettverk mot innføringen av et uautorisert tilgangspunkt. Se LEAP-autentifikasjon hvis du vil ha mer informasjon.

#### 802.11b eller 802.11g mikset miljø beskyttelsesprotokoll

Enkelte tilgangspunkter, for eksempel Cisco 350 eller Cisco 1200, støtter omgivelser der ikke alle klientstasjoner støtter WEP-kryptering, dette kalle en mikset-celle-modus. Når disse trådløse nettverkene virker i "alternativ krypterings"-modus, sender klientstasjonene som slutter seg til WEP-modus alle meldingene kryptert, og stasjoner som bruker standardmodus, sender alle meldingene ukryptert. Disse tilgangspunktene kringkaster at nettverket ikke bruker kryptering, men tillater klienter som bruker WEP-modus. Når "Mikset celle" er aktivert i en profil, lar den deg koble til tilgangspunktene som er konfigurert for "valgfri kryptering".

#### CKIP

Cisco Key Integrity Protocol (CKIP) er Ciscos egen sikkerhetsprotokoll for kryptering i 802.11-medier. CKIP bruker følgende egenskaper for å forbedre 802.11-sikkerheten i nettverks(infrastruktur)modus:

- Nøkkelpermutasjon (KP)
- Meldingssekvensnummer

MERK: CKIP brukes ikke med nettverksgodkjenningen WPA/WPA2-Personlig/Foretak.

MERK: CKIP støttes bare ved hjelp av WiFi-tilkoblingsverktøy i Windows* XP.

#### Hurtigstreifing (CCKM)

Når et trådløst LAN er konfigurert for rask gjentilkobling, kan en LEAP-aktivert klientenhet streife fra et tilgangspunkt til et annet uten å involvere hovedserveren. Ved bruk av CCKM (Cisco Centralized Key Management) tar et tilgangspunkt som er konfigurert for å gi Wireless Domain Services (WDS), plassen til RADIUS-serveren og godkjenner klienten uten merkbar forsinkelse i stemme eller andre tidssensitive programmer.

#### Radiostyring

Når denne funksjonen er aktivert, gir WiFi-kortet radiostyringsinformasjon til Cisco-infrastrukturen. Hvis Cisco-radiostyringsverktøyet brukes på infrastrukturen, vil det konfigurere radioparametre, oppdage interferens og falske tilgangspunkter.

#### EAP-FAST

EAP-FAST, på samme vis som EAP-TTLS og PEAP, bruker tunnelering for å beskytte trafikken. Hovedforskjellen er at EAP-FAST ikke bruker sertifikat for å godkjenne. Tilrettelegging i EAP-FAST forhandles alene av klienten som den første kommunikasjonsutvekslingen når det anmodes om EAP-FAST fra serveren. Hvis klienten ikke har en forhåndsdelt hemmelig Protected Access Credential (PAC), kan den be om å starte en EAP-FAST-utveksling for dynamisk å bli tildelt en fra serveren.

EAP-FAST-dokumenterer to metoder for å levere PAC: manuell levering gjennom en sikker mekanisme utenfor båndet, og automatisk tilrettelegging .

- Manuelle leveringsmekanismer kan være enhver leveringsmekanisme som administratoren av nettverket synes er tilstrekkelig sikker.
- Automatisk klargjøring etablerer en kryptert tunnel for å beskytte godkjenningen av klienten og leveringen av PAC til klienten. Selv om den ikke er like sikker som en manuell metode, vil denne mekanismen være mer sikker enn godkjenningsmetoden som er brukt i LEAP.

EAP-FAST-metoden kan deles inn i to deler: klargjøring og godkjenning. Besørgelsesfasen involverer den første leveringen av PAC til klienten. Denne fasen trenger man å utføre kun én gang per klient og bruker.

Tilbake til toppen

Tilbake til innhold

Varemerker og fraskrivelser