Tecnologías «triple A»

...

una parte a otra Solicitud/Respuesta del cliente al servidor

Cifrado de paquetes Solo contraseñas en las respuestas de acceso. El resto de información puede ser vulnerada. Todo el cuerpo del paquete Todo el cuerpo del paquete excepto la cabecera estándar

Algoritmo de cifrado Secreto compartido con MD5 Secreto compartido con HMAC-MD5 Secreto compartido con MD5

Administración de routers No útil, ya que el usuario no tiene el control del comando Comandos específicos del vendedor Dos métodos de control de autorización (Usuarios y grupos)

Autenticación y Autorización Combinado en el mismo perfil. Los paquetes contienen ambas informaciones Independiente Independiente

Extraído de (FLU-PROJECT, 2014)

4. COMPARATIVA DE RADIUS, DIAMETER y TACACS+

Entre los principales criterios, bondades y desventajas de los protocolos RADIUS, DIAMETER y TACACS+, destacan (FLU-PROJECT, 2014):

o Una de las diferencias entre estos protocolos es la capa de transporte, ya que RADIUS utiliza UDP, mientras que DIAMETER y TACACS+ utilizan TCP. Cabe señalar que TCP ofrece ventajas frente a UDP (por ejemplo la fiabilidad). Además, DIAMETER puede funcionar con TLS o IPSEC lo cual genera ventaja frente a los otros protocolos en términos de prevención de escuchas (eavesdropping ), evasión de falsificación de la identidad del remitente y mantenimiento de la integridad del mensaje en una aplicación cliente-servidor.

o Por otro lado RADIUS cifra solo la contraseña en el paquete de respuesta al acceso, desde el cliente (NAS) hasta el servidor, transportando el resto de paquetes sin cifrar. Lo anterior puede ser foco de ataques a la integridad o confidencialidad de la información. Por el contrario, TACACS+ cifra el cuerpo entero de paquete salvando la cabecera estándar. En DIAMETER se cifra todo el paquete. Tanto TACACS+ como DIAMETER muestran mayor seguridad en este aspecto.

o La autenticación y la autorización en el protocolo RADIUS son enviados por el servidor al cliente, conteniendo la información de autorización en una misma capa. Por otro lado TACACS+ y DIAMETER hacen la autorización y la autenticación de manera independiente.

o El algoritmo de cifrado utilizado en el caso de RADIUS y TACACS+ es de MD5, mientras que en DIAMETER es HMAC-MD5, siendo éste último mejor para la seguridad.

o RADIUS no permite al usuario el control de comando que puede ejecutarse en un router, por lo que RADIUS no es útil para la gestión de routers. TACACS+ brinda control de autorización de los comandos de un router por usuarios o grupos. Por otro lado, DIAMETER ofrece soporte para los comandos específicos del proveedor del router.

o Finalmente, la cantidad de tráfico que se genera en TACACS+ es mayor que en el resto de protocolos siendo este un posible inconveniente.