Network Access Control : single computer viewpoint

Abstract

The purpose of the thesis was to develop an entirely new ideology and technique which is called a client’s NAC (Client’s Network Access Control). The objectives of the thesis were to discover methods how a single computer could make conclusions about the connected network and validate if the network is trusted or not. This is an entirely new ideology, which has not been published on the commercial markets or in academic research.

In a nutshell, the philosophy of the Network Access Control is that all devices requesting access to network’s resources are untrusted until they are otherwise proved. The objective was to discover if it is possible to conduct same kind of philosophy to a single computer. A computer does not trust the network before it has done specific validations from the network and depending on the outcome of the validations; network traffic to network is allowed or denied.

The discovery in the thesis was that almost every LAN protocol has different kinds of security issues. Usually these threats are blocked in the network’s outer perimeter with firewalls in such a way that the outside of the network cannot exploit these threats. This does not prevent from exploiting these security threats from inside the network. These findings supported the idea of client’s NAC implementation, because if the network is trusted, the devices in the network are also trusted. The goal was to develop methods and techniques how a single computer could execute the conclusion about the connected network. This included developing the basic architecture of the client’s NAC solution and discovering different authentication methods for authenticating the network. These authentication methods were analyzed with security and implementation analysis and based on these analyzes the thesis recommends certain authentication methods for client to authenticate the connected network.

Työn tavoitteena oli kehittää uutta ideologiaa ja tekniikoita (client’s NAC), jossa perinteinen verkkolähtöinen näkökulma pääsynhallinnassa suunnataan yksittäiselle tietokoneelle. Tämän kaltaista tutkimusta tai konseptia ei ollut olemassa, joten kyseessä oli aivan uusi tutkimuksen aihe. Kehittämisessä lähtökohtana oli löytää malli, jonka mukaan yksittäinen tietokone pystyy päättelemään, onko verkko, johon se on kytketty, luotettu vai ei. Työssä sovellettiin ja analysointiin eri autentikointivaihtoehtoja, joiden perusteella esitettiin tiettyjä autentikointitekniikoita client’s NAC -sovelluksen toteuttamiseen.

Työ osoitti, että yleisimmissä LAN-protokollissa on merkittäviä uhkia ja haavoittuvuuksia. Jos yksittäinen tietokone kykenee päättelemään verkon luottavuuden, näiden uhkien toteutumista voidaan lieventää, sillä luotettava verkko sisältää vain luotettuja laitteita. Tämä vahvisti, että client’s NAC -konseptin avulla voidaan suojautua epäluotettavien laitteiden haitalliselta tietoliikenteeltä.

Eri autentikointimallit jaettiin työssä kahteen eri kategoriaan tulevan kohdeympäristön perusteella. Korkean tietoturvallisuuden ympäristöissä tietoturva ja osapuolten luottavuus on tärkein tekijä suunniteltaessa autentikointimalleja, kun taas matalamman tietoturvaluokan ympäristöihin toteutuksen helppous ja käytettävyys ratkaisee valinnassa.

Analysointi eri autentikointimallien välillä suoritettiin tietoturva-analyysillä, joka perustui tietoturvaprotokollissa oleviin yleisimpiin haavoittuvuuksiin, ja toteutusanalyysillä, jossa pyrittiin tekemään päätelmiä toteutuksen toimivuudesta ja vaikeudesta. Näiden analyysien perusteella työ esittää eri vaihtoehtoja eri ympäristöihin toteutettavaksi autentikointitavaksi client’s NAC -sovellukseen.