El sistema de control d'accés al controlador d'accés de terminal (TACACS) és una família de protocols relacionats que gestionen l'autenticació remota i els serveis relacionats per al control d'accés a la xarxa a través d'un servidor centralitzat. El protocol TACACS original, que data del 1984, s'utilitzava per comunicar-se amb un servidor d'autenticació, cosa habitual en xarxes UNIX més antigues, incloent-hi, entre d'altres, ARPANET, MILNET i BBNNET. Va generar protocols relacionats:
TACACS estès (XTACACS) és una extensió pròpia de TACACS introduïda per Cisco Systems el 1990 sense compatibilitat amb versions anteriors del protocol original. Tant TACACS com XTACACS permeten que un servidor d'accés remot es comuniqui amb un servidor d'autenticació per determinar si l'usuari té accés a la xarxa. TACACS Plus (TACACS+) és un protocol desenvolupat per Cisco i publicat com a estàndard obert a partir del 1993. Tot i que derivat de TACACS, TACACS+ és un protocol separat que gestiona els serveis d'autenticació, autorització i comptabilitat (AAA). TACACS+ ha substituït en gran manera els seus predecessors.
Història TACACS va ser desenvolupat originalment el 1984 per BBN, més tard conegut com a BBN Technologies, per a l'administració d'ARPANET i MILNET, que en aquell moment executaven trànsit de xarxa no classificat per a DARPA i que més tard evolucionarien fins a convertir-se en NIPRNet del Departament de Defensa dels Estats Units. Originalment dissenyat com un mitjà per automatitzar l'autenticació – permetent a algú que ja havia iniciat sessió en un host de la xarxa connectar-se a un altre de la mateixa xarxa sense necessitat de tornar a autenticar – va ser descrit formalment per primera vegada per Brian Anderson de BBN als protocols del sistema de control d'accés TAC, BBN Tech Memo CC-0045 amb un canvi menor per evitar el doble inici de sessió de TELNET el desembre de 1984 a l'IETF RFC 927. Cisco Systems va començar a donar suport a TACACS en els seus productes de xarxa a finals de la dècada de 1980, i finalment va afegir diverses extensions al protocol. El 1990, les extensions de Cisco sobre TACACS es van convertir en un protocol propietari anomenat Extended TACACS (XTACACS). Tot i que TACACS i XTACACS no són estàndards oberts, Craig Finseth de la Universitat de Minnesota, amb l'ajuda de Cisco, va publicar una descripció dels protocols el 1993 com a IETF RFC 1492 amb finalitats informatives.
Descripcions tècniques TACACS TACACS es defineix a la RFC 1492 i utilitza el port 49 (TCP o UDP) per defecte. TACACS permet a un client acceptar un nom d'usuari i una contrasenya i enviar una consulta a un servidor d'autenticació TACACS, de vegades anomenat daemon TACACS. Determina si accepta o denega la sol·licitud d'autenticació i envia una resposta. El TIP (node d'encaminament que accepta connexions de línia telefònica, en què l'usuari normalment voldria iniciar sessió) permetria l'accés o no, en funció de la resposta. D'aquesta manera, el procés de presa de decisions s'"obre" i els algoritmes i les dades utilitzades per prendre la decisió estan sota el control complet de qui executa el daemon TACACS.
XTACACS TACACS estès (XTACACS) estén el protocol TACACS amb funcionalitats addicionals. També separa les funcions d'autenticació, autorització i comptabilitat (AAA) en processos separats, cosa que permet que siguin gestionades per servidors i tecnologies separats.
TACACS+ TACACS+ és una extensió de TACACS dissenyada per Cisco que es descriu a la RFC 8907. TACACS+ inclou un mecanisme que es pot utilitzar per ofuscar el cos de cada paquet, deixant la capçalera en text clar. A més, proporciona un control granular en forma d'autorització comanda per comanda.
TACACS+ ha substituït generalment TACACS i XTACACS en xarxes de construcció o actualització més recents. TACACS+ és un protocol completament nou que no és compatible amb els seus predecessors, TACACS i XTACACS.
Comparació amb RADIUS Hi ha diverses diferències entre els dos protocols que els fan substancialment diferents en l'ús normal.
TACACS+ només pot utilitzar TCP, mentre que RADIUS normalment funciona sobre UDP, però també pot utilitzar TCP (RFC6613), i per a seguretat addicional, TLS (RFC 6614) i DTLS (RFC7360).
TACACS+ pot funcionar en dos modes. Un mode és on tot el trànsit, incloses les contrasenyes, s'envia en text sense xifrar, i l'única seguretat és el filtratge d'adreces IP. L'altre mode és l'ofuscació de dades (RFC 8907 Secció 4.5), on la capçalera del paquet és de text sense xifrar, però el cos, incloses les contrasenyes, s'ofusca amb un mètode basat en MD5. El mètode d'ofuscació basat en MD5 és similar al que s'utilitza per a l'atribut Usuari-Contrasenya RADIUS (RFC 2865 Secció 5.2), i per tant té propietats de seguretat similars.
Una altra diferència és que TACACS+ només s'utilitza per a l'accés d'administrador a equips de xarxa, mentre que RADIUS s'utilitza més sovint per a l'autenticació de l'usuari final. TACACS+ admet "autorització d'ordres", on un administrador pot iniciar sessió en un equip de xarxa i intentar emetre ordres. L'equip utilitzarà TACACS+ per enviar cada ordre a un servidor TACACS+, que pot optar per autoritzar o rebutjar l'ordre.
Existeix una funcionalitat similar a RADIUS a RFC 5607, però el suport per a aquest estàndard sembla ser deficient o inexistent.
TACACS+ ofereix una funcionalitat robusta per a l'autenticació de l'administrador i l'autorització de comandes, però essencialment no s'utilitza mai per autenticar l'accés de l'usuari final a les xarxes. En canvi, RADIUS ofereix una funcionalitat mínima per a l'autenticació de l'administrador i l'autorització de comandes, alhora que ofereix un suport sòlid (i s'utilitza àmpliament) per a l'autenticació, l'autorització i la comptabilitat de l'usuari final.
Per tant, els dos protocols tenen poca superposició de funcionalitat o d'ús comú.
Documents estàndard RFC 927 – TACACS Opció Telnet d'identificació d'usuari RFC 1492 – Un protocol de control d'accés, de vegades anomenat TACACS RFC 8907 – El protocol del sistema de control d'accés del controlador d'accés de terminal Plus (TACACS+) RFC 9105 – Un model de dades YANG per al sistema de control d'accés del controlador d'accés de terminal Plus(TACACS+)
Referències
Categoria:Protocols de xarxa