Kurumsal kablosuzda 802.1X

Ev ağında herkes aynı parolayı yazar ve aynı anahtarı paylaşır. Küçük bir ağda bu sorun yaratmaz. Yüzlerce çalışanı olan bir kurumda ciddi bir açığa dönüşür. Parolayı bilen herkes bağlanır, kim olduğu anlaşılmaz. Bir çalışan ayrılınca parolayı değiştirmek gerekir, çünkü tek anahtar herkese aittir. Değiştirmezsen eski çalışan hâlâ bağlanabilir. Bu yüzden kurumsal kablosuz ağlar paylaşılan parola yerine 802.1X adlı port tabanlı erişim denetimini kullanır. 802.1X üç rol tanımlar. İstemci cihaz talepte bulunur. Erişim noktası bu talebi taşır ve karar verene kadar portu kapalı tutar. Üçüncü rol karar veren sunucudur; bu görevi genelde bir RADIUS sunucusu üstlenir.

Doğrulama trafiği EAP çerçevesinde taşınır. EAP tek bir yöntem değil, bir çerçevedir; içine farklı doğrulama yöntemleri takılır. EAP-TLS istemciye kurulu bir sertifika ister ve parolasız çalışır, çünkü kanıt sertifikanın kendisidir. PEAP ise sertifikayı yalnız sunucu tarafında ister, istemci içeride kullanıcı adı ve parola gönderir; bu yüzden kurulumu daha kolaydır ama parola hâlâ çalınabilir bir sırdır. Hangi yöntemi seçtiğin, cihaz yönetimi ile parola riski arasındaki dengeyi belirler. Kurulum kararını verirken cihaz sayısını ve BT ekibinin sertifika yönetme kapasitesini birlikte değerlendirirsin.

RADIUS sunucusu yalnız evet ya da hayır demez. Her bağlantıyı kullanıcı kimliğiyle kaydeder, bu kayda hesap tutma denir. Bir olay incelemesinde hangi kullanıcının hangi saatte hangi erişim noktasına bağlandığını buradan okursun. Paylaşılan parolada bu iz yoktur, çünkü herkes aynı kimlikle görünür. RADIUS ayrıca tek kullanıcının erişimini anında kesebilir; ortak parolayı değiştirip herkesi yeniden bağlatmak gerekmez.