TACACS+ (Terminal Access Controller Access-Control System Plus), yönlendirici, anahtar ve güvenlik duvarı gibi ağ cihazlarına yönetici erişimini merkezi bir sunucudan denetleyen bir protokoldür. Bir yönetici cihaza bağlanmak istediğinde, cihaz kararı kendi başına vermez; kullanıcının kim olduğunu, hangi komutları çalıştırmaya yetkili olduğunu ve ne yaptığını merkezi TACACS+ sunucusuna sorar.

TACACS+, ağ cihazlarının yönetim erişimini kimin, neyi yapabileceği ve ne yaptığı sorularına ayrı ayrı yanıt veren merkezi bir denetim protokolüdür.

Üç İşlevin Ayrılması

Protokolün ayırt edici yanı, üç temel işlevi birbirinden bağımsız ele almasıdır. Kimlik doğrulama (authentication) kullanıcının iddia ettiği kişi olduğunu; yetkilendirme (authorization) o kullanıcının hangi komutları çalıştırabileceğini; hesap tutma (accounting) ise oturum boyunca yürütülen her işlemin kaydını kapsar. Bu ayrım, bir yöneticiye yalnızca belirli komutları çalıştırma izni verip diğerlerini engellemek gibi ince taneli kurallar tanımlamayı mümkün kılar; her komut ayrı ayrı sunucuya sorulabilir.

Bu yaklaşım, TACACS+’ı RADIUS’tan belirgin biçimde ayırır. RADIUS kimlik doğrulama ile yetkilendirmeyi tek bir işlemde birleştirir ve ağa son kullanıcı erişimi ile Ağ erişim kontrolü senaryolarında yaygındır. TACACS+ ise cihaz yönetiminde tercih edilir, çünkü komut düzeyinde yetkilendirme sunar ve bu üç işlevi bağımsız sunuculara bile dağıtabilir. İkisi çoğu kurumda farklı amaçlarla bir arada bulunur.

Güvenlik ve İletişim Modeli

TACACS+ TCP üzerinden çalışır ve istemci ile sunucu arasındaki paket gövdesinin tamamını şifreler. Bu, yalnızca parola alanını koruyan bazı eski protokollere göre önemli bir farktır; çünkü çalıştırılan komutlar ve yetkilendirme yanıtları da gizli kalır. Paylaşılan bir gizli anahtar üzerine kurulu bu şifreleme, ağı dinleyen bir saldırganın yönetim oturumlarının içeriğini görmesini engeller. Ancak güvenlik büyük ölçüde bu paylaşılan anahtarın gizliliğine bağlı olduğundan, anahtarın güçlü seçilmesi ve düzenli değiştirilmesi gerekir.

Protokolün kurumsal değeri, ağ altyapısının Kimlik ve erişim yönetimi omurgasına bağlanmasında ortaya çıkar. Her cihazda ayrı yerel hesaplar tutmak yerine, tüm yönetici erişimi merkezi dizinle bütünleşir; bir personel ayrıldığında tek noktada devre dışı bırakılması yeterli olur. Merkezi sunucu ayrıca giriş öncesi Çok faktörlü kimlik doğrulama zorunlu kılabilir ve böylece çalınan bir yönetici parolası tek başına yeterli olmaz.

Kurumsal Denetim Değeri

Hesap tutma işlevi, kimin hangi cihazda hangi komutu ne zaman çalıştırdığını kayıt altına alarak denetim ve olay incelemesi için sağlam bir iz bırakır. Aşırı geniş verilmiş yetkiler ise Bozuk erişim kontrolü biçimine dönüşebilir; bu yüzden her rolün yalnızca ihtiyaç duyduğu komutlara erişmesi ilkesi titizlikle uygulanmalıdır. Ağ yönetimi erişim modelinin en az yetki ilkesine uygunluğu, çoğunlukla bir altyapı ve mimari gözden geçirme kapsamında değerlendirilerek doğrulanır.