Performance of an Authentication Proxy for Port Based Security Systems

In this paper, we present an efficient authentication proxy for IEEE 802.1x systems based on the port-based access control mechanism. An IEEE 802.1x system consists of PC supplicants, a bridge with authentication client functions, and an authentication server. For the network security and user authentication purposes, a supplicant who wants to access Internet should be authorized to access the bridge port using the Extended Authentication Protocol (EAP) over LAN. The frame of EAP over LAN is then relayed to the authentication server by the bridge. After several transactions between the supplicant and the server via the bridge, the supplicant may be either authorized or not. Noting that the transactions between the relaying bridge and the server will be increased as the number of supplicants grows in public networks, we propose a scheme for reducing the transactions by employing an authentication proxy function at the bridge. The proxy is allowed to cache the supplicant's user ID and password during his first transaction with the server. For the next authentication procedure of the same supplicant, the proxy function of the bridge handles the authentication transactions using its cache on behalf of the authentication server. Since the main authentication server handles only the first authentication transaction of each supplicant, the processing load of the server can be reduced. Also, the authentication transaction delay experienced by a supplicant can be decreased compared with the conventional 802.1x system.

포트레벨 보안을 위한 인증 프록시 시스템의 성능분석

본 논문에서는 IEEE802.1x 모듈이 탑재된 액세스 포인트에 사용자 인증 캐시테이블을 추가함으로써, 액세스 포인트가 인증서버를 대신하여 사용자 인증처리를 하는 기능을 제안하고, 성능을 분석하였다. 기존의 IEEE802.1x 시스템 환경에서는 반드시 인증서버에서 사용자 인증처리를 수행해야 했기 때문에 사용자는 인증서버의 사용자 인증처리 완료 후, 액세스 포인트의 물리적 포트 사용에 대한 권한을 부여받을 때까지 대기하여야만 하였다. 그러나 본 논문에서 제안된 방식은 인증서버의 사용자 인증정보를 액세스 포인트의 사용자인증 캐시테이블 목록에 임시 저장함으로써, 액세스 포인트가 인증서버를 대신하여 사용자 인증처리 및 액세스 포인트의 물리적 포트 사용 권한을 부여할 수 있도록 한 것이다. 따라서, 인증관련 데이터 트래픽의 양을 줄일 수 있으며, 인증서버의 사용자 인증처리에 대한 부하를 줄일 수 있다. 또한 이러한 인증용 캐시테이블을 운영자가 관리모드로 액세스 포인트에 접속하여 직접 구성할 경우에는 인증서버 구축에 대한 비용의 추가부담이 없어지는 효과도 있다. 그리고 제안된 방식에 대한 모의 실험을 통해 인증서버가 인증처리를 하는 것보다 액세스 포인트가 사용자 인증처리 기능을 대행하는 것이 인증지연 시간을 감소시킬 수 있음을 검증하였다.