+TACACS
TACACS+ (ראשי תיבות של:Terminal Access Controller Access-Control System Plus) הוא פרוטוקול תקשורת המספק שרות AAA. היינו, מאפשר ניהול מרכזי של בקרת גישה מרחוק, להתקני רשת וציוד מחשוב הנתונים ברשת תקשורת. כדי לאפשר גישה של משתמשים - כגון מנהלי הרשת, להתקני הרשת, התקני הרשת פונים לשרת מרכזי באמצעות הפרוטוקול וזאת כדי לאמת את זהות המשתמשים, כדי לקבל מידע על אוסף הפעולות שהם מורשים לבצע וכדי לנהל חשבונאות היינו, רישום לצרכיי מעקב של פעילות המשתמשים. הפרוטוקול פותח על ידי חברת סיסקו מערכות בשנת 1996 כדי להרחיב את היכולות שניתנו על ידי פרוטוקול TACACS הוותיק.
הפרוטוקול מבוסס על פרוטוקול TACACS, אבל מלבד השם המשותף, זהו פרוטוקול חדש לחלוטין שאין לו תאימות לאחור לאף גרסה קודמת של TACACS. הפרוטוקול ו-RADIUS החליפו במקומות רבים את הפרוטוקולים הישנים ברשתות שנבנו לאחרונה וברשתות מעודכנות, אולם TACACS ו XTACACS ממשיכות להופיע על מערכות ישנות רבות.
היסטוריה
פרוטוקול TACACS פותח לראשונה ב 1984 על ידי BBN Technologies[1] לצורך ניהול רשת התקשורת MILNET שהייתה חלק מרשת ARPANET של משרד ההגנה האמריקאי. תחילה הוא נועד לחסוך למשתמשים הליך הזדהות (LOGIN) כפול כאשר הם מתחברים באמצעות טרמינל מרוחק. גרסה ראשונית זו, של הפרוטוקול עבדה על בסיס UDP והיכולות שלה היו מוגבלות לאימות משתמשים וניהול הרשאות בלבד.
מפרט הפרוטוקול של גרסה זו לא פורסם מעולם. למרות זאת חברת סיסקו יישמה את הפרוטוקול במוצריה ואף טענה שהיישום תואם לחלוטין לפרוטוקול הראשוני. עם הזמן הרחיבה סיסקו את הפרוטוקול לתמוך גם בניהול הרשאות, וחשבונאות וכן לעבוד על בסיס TCP. הרחבה זו זכתה לכינוי XTACACS ושמרה על תאימות אחורה לפרוטוקול הראשוני בשימוש ב- UDP. בשנת 1993 פורסמה הגרסה המורחבת של סיסקו על ידי ארגון IETF כתקן פתוח תחת השם RFC 1492. מאז מקובל לקרוא בשם TACACS לגרסת הפרוטוקול המתוקננת בתקן זה.
עם השנים פיתחה סיסקו גרסה אחרת לפרוטוקול תחת השם TACACS+. מפרט הפרוטוקול זה פורסם, ביוזמת סיסקו, שנת 1998 כטיוטת תקן (DRAFT) על ידי ארגון IETF.
פרטי הפרוטוקול
+TACACS עובד על בסיס TCP ומשתמש בדרך כלל בפורט 49. הוא מורכב משלושה פרוטוקולים נפרדים, אשר ניתן ליישם אותם על שרתים נפרדים.[2] הפרוטוקול מציע תמיכה בריבוי פרוטוקולים, כגון: IP ו-AppleTalk. הפעלה רגילה מצפינה לחלוטין את הגוף ההודעה עבור תקשורת מאובטחת יותר. זהו אחד השיפורים של חברת סיסקו על הפרוטוקול המקורי.
| TACACS | +TACACS | |
|---|---|---|
| תקינה | פורסם כ RFC1492 | פורסמה רק טיוטת תקן |
| הצפנה | אין | תוכן ההודעות מוצפן |
| פרוטוקול תעבורה | TCP ן UDP | רק TCP |
| פורט | 49 | 49 |
| אופן האימות | שם משתמש וססמה בפורמט ASCII | ASCII,PAP,CHAP,Kerberos |
יתרונות הפרוטוקול והשוואה מול פרוטוקולים דומים
לעומת RADIUS המשלב אמצעי אימות בתוך פרופיל משתמש, הפרוטוקול מפריד בין שתי הפעולות. הפרוטוקול משתמש בפרוטוקול תקשורות TCP, בעוד ש-RADIUS משתמש ב-UDP. ההרחבות בפרוטוקול מספקות סוגים נוספים של בקשות אימות וסוגים נוספים של קודי בתגובה, יותר מאשר היו במפרט המקורי.
ראו גם
קישורים חיצוניים
- Cisco's TACACS+ RFC draft
- http://www.shrubbery.net/tac_plus/
- https://web.archive.org/web/20090106145514/http://rubyforge.org/projects/tacacs-plus/ A pure Ruby implementation of TACACS+
- TACACS+ client and PAM module
- An Analysis of the TACACS+ Protocol and its Implementations from a security standpoint, by Openwall
- http://www.pro-bono-publico.de/projects/tac_plus.html
הערות שוליים
- ^ Merike Kaeo, Designing Network Security, Cisco Press, 1999
- ^ Cisco - TACACS+
31801276+TACACS