RADIUS tunnistuspalvelu

Etäkäytön kasvettua kasvoi samalla tarve estää mahdolliset väärinkäytökset. RADIUS [5] on eräs käyttäjien tunnistamiseen tarkoitettu yhteyskäytäntö. Tässä dokumentissa tarkastellaan sen kehittymistä alkuperäisestä muodostaan vastaamaan nykyhetken vaatimuksia. Samalla arvioidaan kuinka se on pystynyt täyttämään nämä vaatimukset.

Sisällysluettelo

1. Johdanto

Remote Authentication Dial In User Service (RADIUS) on palvelin/asiakaspohjainen tunnistamiseen, pääsynvalvontaan, asetustietojen välittämiseen ja käyttötilastointiin [6] kehitetty yhteyskäytäntö.

RFC 2138 [5] on tällä hetkellä voimassa oleva yhteyskäytännön määrittely. Tässä dokumentissa annetaan yleiskatsaus itse yhteyskäytännöstä sekä arvioidaan sen toimivuutta ja ajankohtaisuutta nykypäivän Internetissä.

2. Yhteyskäytännön kuvaus

RADIUS on asiakaspalvelinpohjainen järjestelmä. Järjestelmässä voi olla useita asiakkaita (yleensä päätepalvelimia tai vastaavia), sekä useita palvelimia. Asiakaslaitteet voivat tarpeen mukaan pyytää palvelimilta käyttäjän varmentamista, saada tiedon hänen käyttöoikeuksistaan sekä käyttöasetuksistaan. Palvelimet vastaavat asiakkaiden tekemiin kyselyihin tai tarpeen vaatiessa toimivat palvelupyyntöjen välittäjinä toisille palvelimille, mahdollisesti käyttäen myös jotain muuta yhteyskäytäntöä kuin RADIUS.

Käyttäjän salainen tunnistetta (pääsääntöisesti salasanaa) ei koskaan välitetä selväkielisenä asiakkaalta palvelimelle eikä palvelimelta toiselle. Siirto tapahtuu aina tai suojattuna MD5 [2] tiivistealgoritmillä. Tiivistealgoritmin syötteen osana käytetään ainoastaan asiakkaan ja palvelimen tuntemaa salaista avainta. Todennus voi myös toimia haaste/vaste periaatteella.

Yhteyskäytäntö on helposti laajennettavissa. Joka viestiin sisältyy komento ja komentokoodiin liittyviä erityyppisiä tietueita. Tietueita on monenlaisia, esimerkiksi yksi tietue voi sisältää käyttätunnuksen, toinen salasanan, jne. Yhteyskäytäntöä voidaankin laajentaa pelkästään määrittelemällä uusia tietuetyyppejä ja niitä vastaavan tiedon sisältö. Koska tietue sisältää myös pituuskentän voi tietuetyyppiä tunnistamaton osapuoli helposti hylätä tietueen vaikka se ei tunnistaisikaan sen tyyppiä.

RADIUS käyttää UDP [1] yhteyskäytännön porttia numero 1812 [3, 7] asiakkaan ja palvelimen väliseen yhteydenpitoon. Asiakkaan ja käyttäjän liikennöinti sen sijaan vaihtelee käytetystä tunnistustavasta riippuen.

3. Tehdyt muutokset

Livingston Enterprises kehitti aikanaan RADIUS yhteyskäytännön omiin tarpeisiinsa. Sen standardointityö aloitettiin tammikuussa 1996, ja ensimmäinen RFC [4] julkaistiin tammikuussa 1997. Toinen ja samalla nykyisin voimassa oleva RFC [5] julkaistiin huhtikuussa 1997, eli kolme kuukautta ensimmäisen jälkeen.

4. Merkitys Internetissä

RADIUS yhteyskäytäntö on tällä hetkellä äänestyksen alainen [3], eli sillä ei ole virallista standardin asemaa. Sen sijaan sitä voidaan pitää IETF:n hyväksymänä [8] turvaratkaisuna päätepalvelimiin.

Yhteyskäytännön merkitys kasvaa varmasti tulevaisuudessa, varsinkin soittosarjojen kautta tulevien, käyttäjien lukumäärän kasvaessa. Tätä ennustetta tukee varsinkin yhteyskäytännön vapaa saatavuus useille käyttöympäristöille, sen laajennettavuus ja tuki hajauttamiselle.

Lähdeluettelo

[1] J. Postel, "User Datagram Protocol", STD 6, RFC 768, USC/Information Sciences Institute, Lokakuu 1980, viitattu 19.10.1997.
<URL:ftp://ftp.funet.fi/pub/doc/rfc/rfc768.txt>
[2] R. Rivest, S. Dusse, "The MD5 Message-Digest Algorithm", RFC 1321, MIT Laboratory for Computer Science, RSA Data Security Inc., Huhtikuu 1992, viitattu 19.10.1997.
<URL:ftp://ftp.funet.fi/pub/doc/rfc/rfc1321.txt>
[3] J. Reynolds, J. Postel, "Assigned Numbers", STD 2, RFC 1700, USC/Information Sciences Institute, Lokakuu 1994, viitattu 19.10.1997.
<URL:ftp://ftp.funet.fi/pub/doc/rfc/rfc1700.txt>
[4] C. Rigney, A. Rubens, W. Simpson ja S. Willens, "Remote Authentication Dial In User Service (RADIUS)", RFC 2058, Internet Engineering Tasking Force, Network Working Group, Tammikuu 1997, viitattu 16.10.1997.
<URL:ftp://ftp.funet.fi/pub/doc/rfc/rfc2058.txt>
[5] C. Rigney, A. Rubens, W. Simpson ja S. Willens, "Remote Authentication Dial In User Service (RADIUS)", RFC 2138, Internet Engineering Tasking Force, Network Working Group, Huhtikuu 1997, viitattu 16.10.1997.
<URL:ftp://ftp.funet.fi/pub/doc/rfc/rfc2138.txt>
[6] C. Rigney, "RADIUS Accounting", RFC 2139, Internet Engineering Tasking Force, Network Working Group, Huhtikuu 1997, viitattu 19.10.1997.
<URL:ftp://ftp.funet.fi/pub/doc/rfc/rfc2139.txt>
[7] J. Poster, editori, "Internet Official Protocol Standards", STD 1, RFC 2200, Internet Engineering Tasking Force, Network Working Group, Kesäkuu 1997, viitattu 18.10.1997.
<URL:ftp://ftp.funet.fi/pub/doc/rfc/rfc2200.txt>
[8] "RADIUS Whitepaper", Livingston Enterprises, Inc., Viimeksi päivitetty 16.9.1997, viitattu 19.10.1997.
<URLhttp://www.livingston.com/Marketing/Whitepapers/radius_paper.shtml>
[ $Revision: 1.10 $ | $Date: 1997/10/19 13:12:57 $ ]
Petri Virkkula <[email protected]>