Réseaux sans fil sécurisés avec Windows XP et Windows Server 2003

Présentation au sujet: "Réseaux sans fil sécurisés avec Windows XP et Windows Server 2003"— Transcription de la présentation:

1 Réseaux sans fil sécurisés avec Windows XP et Windows Server 2003
Novembre 2003 Pascal Sauliere

2 Faiblesse des protocoles 802.11 d’origine Solutions sécurisées
Réseaux sans fil sécurisés avec Windows XP et Windows Server 2003 Faiblesse des protocoles d’origine Solutions sécurisées 802.1x – EAP-TLS, PEAP WPA Mise en œuvre dans Windows Scénarios de déploiement Recommandations

3 WEP = Authentification et chiffrement
Faiblesses de et WEP WEP = Authentification et chiffrement Implémentation faible de l’algorithme RC4 Attaques par désassociation Découverte de la clé de chiffrement Écoute des données Modification de données Attaque de machines internes Analogie : prise réseau dans la rue…

4 Pour en savoir plus : www.google.com
Outils bien connus NetStumbler Kismet AirSnort WEPCrack WEPWedgie Reinj Pour en savoir plus :

5 Wi-Fi sécurisé ? Ne pas déployer de réseau sans fil
Risque = points d’accès pirates Sécurité d’origine (WEP) Risque associé à la faiblesse de WEP Utiliser un VPN Non transparent pour le client, introduit un goulot d’étranglement Utiliser IPsec Pas d’authentification utilisateur, complexe Utiliser 802.1x, EAP-TLS ou PEAP État de l’art actuel Utiliser WPA État de l’art transitoire –vers i

6 Faiblesse des protocoles 802.11 d’origine Solutions sécurisées
Réseaux sans fil sécurisés avec Windows XP et Windows Server 2003 Faiblesse des protocoles d’origine Solutions sécurisées 802.1x – EAP-TLS, PEAP WPA Mise en œuvre dans Windows Scénarios de déploiement Recommandations

7 Protocole indépendant du support physique (Ethernet, WiFi)
IEEE 802.1x (2001) – Port-based Network Access Control Caractéristiques Protocole indépendant du support physique (Ethernet, WiFi) Point d’accès (AP) compatible 802.1x Pas de contrainte sur les cartes réseau sans fil Authentification avec EAP Extensible Authentication Protocol – IETF Choix du protocole d’authentification (méthode EAP) L’AP ne s’occupe pas des méthodes EAP Autorisations avec RADIUS Chiffrement du trafic : Gestion dynamique des clés WEP

8 Port Authentication Entity (PAE)
802.1x – Vocabulaire Authentificateur Serveur d’authentification Supplicant Port Authentication Entity (PAE)

9 802.1x – Port contrôlé et port non contrôlé
IEEE 802.1x Distribution System Client Wi-Fi Port non contrôlé

10 RADIUS –Remote Authentication Dial-In User Service AAA – Authentification, Autorisations, Accounting
Clients Serveur de modem Serveur VPN Point d’accès sans fil Serveurs d’accès Clients RADIUS = Proxy RADIUS Protocole RADIUS Base de comptes d’utilisateurs Serveur RADIUS

11 Plug-in d’authentification sur le client et le serveur RADIUS
EAP Extension de PPP pour des mécanismes arbitraires d’authentification d’accès réseau Plug-in d’authentification sur le client et le serveur RADIUS Serveur RADIUS Point d’accès Client Wi-Fi Messages EAP Messages RADIUS Dialogue EAP

12 (Authentication Server)
Authentification Client (Supplicant) Point d’accès (Authenticator) RADIUS (Authentication Server) association Access blocked EAPOL-start EAP-request/identity EAP-response/identity RADIUS-access-request (EAP) EAP-request RADIUS-access-challenge (EAP) EAP-response (credentials) RADIUS-access-request (EAP) EAP-success RADIUS-access-accept (EAP) EAPOW-key (WEP) Access allowed

13 Clés de chiffrement Le client et le serveur RADIUS génèrent des clés de session WEP par utilisateur Jamais transmises dans l’air RADIUS envoie la clé à l’AP, chiffrée avec le secret partagé Le point d’accès a une clé WEP globale Utilisée pendant l’authentification de l’AP au client Envoyée dans un message EAPOW-key Chiffrée avec la clé de session Les clés de session sont re-générées quand… Durée de vie expirée (60 minutes par défaut) Le client se déplace vers un nouvel AP

14 Architecture EAP MS-CHAPv2 TLS SecurID TLS GSS_API PEAP IKE MD5
Kerberos PEAP IKE MD5 Méthode EAP EAP PPP 802.3 802.5 802.11 Anything… Media

15 Méthodes EAP EAP-MD5 EAP-TLS PEAP (Protected EAP) :
Utilise CHAP pour authentifier l’utilisateur Déconseillé pour le Wi-Fi : hashes transmis en clair, pas d’authentification mutuelle EAP-TLS Certificats machine et/ou utilisateur : nécessite une PKI Détermination des clés PEAP (Protected EAP) : Tunnel TLS pour protéger le protocole d’authentification, même faible (MS CHAP v2) Certificat Serveur uniquement Nécessite Windows XP SP1 et IAS de Windows Server 2003

16 PEAP Microsoft, Cisco, RSA
Crée un tunnel TLS avec le certificat du serveur RADIUS uniquement Authentifie le client dans ce tunnel Le protocole d’authentification est protégé EAP RADIUS-EAP Certificat Serveur TLS EAP Authentification

17 PEAP-EAP-MS-CHAP v2 PEAP-EAP-TLS PEAP
MS-CHAP v2 utilise un mot de passe (utilisateur et/ou machine) Pas de certificat client Solution si pas de PKI PEAP-EAP-TLS Nécessite un certificat client, donc une PKI Protège l’identité du client Plus lent que EAP-TLS

18 802.1x : est-ce suffisant ? Non Il résout : Il ne résout pas :
La découverte des clés – changement fréquent et clés distinctes par client Les points d’accès pirates et attaques « man in the middle » – authentification mutuelle Accès non autorisés – authentification des utilisateurs et des machines Il ne résout pas : Spoofing de paquets et des désassociations – 801.1x n’utilise pas de MIC à clé

19 WPA Standard temporaire avant ratification de 802.11i
Requis pour la certification Wi-Fi depuis le 31/8/2003 Wi-Fi Protected Access Overview of the WPA Wireless Security Update in Windows XP

20 Corriger les faiblesses de WEP par une mise à jour logicielle
Objectifs de WPA Réseau sans fil sécurisé : 802.1x requis, chiffrement, gestion des clés Unicast et globale Corriger les faiblesses de WEP par une mise à jour logicielle Solution sécurisée pour les réseaux domestiques Evolutif vers i Disponible aujourd’hui

21 Nécessite une mise à jour :
WPA Nécessite une mise à jour : Firmware du point d’accès Firmware de la carte Driver de la carte Logiciel client (« supplicant »)

22 Caractéristiques de WPA
Authentification 802.1x requise : EAP et RADIUS, ou clé partagée (PSK) Gestion des clés Unicast et Broadcast Temporal Key Integrity Protocol (TKIP) Michael : MIC (64 bits) remplace le CRC32 de WEP AES (optionnel) à la place de RC4 Support de clients WPA et WEP en même temps

23 Modes WPA Mode Entreprise (RADIUS)
Nécessite un serveur d’authentification RADIUS pour authentification et distribution des clés Gestion centralisée des utilisateurs Mode clé partagée – pre-shared key mode (PSK) Ne nécessite pas de serveur d’authentification « Secret partagé » pour l’authentification sur le point d’accès – 256 bits Génération de la clé depuis une passphrase : algorithme imposé

24 WPA 802.1x Scénario entreprise
Distribution System RADIUS server Security Discovery (WPA Information Element) Authentification 802.1X 802.1X key management RADIUS-based key distribution TKIP Scénario entreprise

25 Security Discovery (WPA Information Element)
WPA PSK Security Discovery (WPA Information Element) 802.1X key management TKIP Scénario domestique

26 802.11i WPA = sous-ensemble de 802.11i
802.1x en modes entreprise et PSK Mode point d’accès (infrastructure – BSS) Hiérarchie de clés Gestion des clés Négociation de la crypto et de l’authentification TKIP

27 802.11i 802.11i : 802.1x en modes entreprise et PSK
Mode point d’accès (infrastructure – BSS) Mode point à point (ad-hoc – IBSS) Pré-authentification Hiérarchie de clés Gestion des clés Négociation de la crypto et de l’authentification TKIP AES

28 Faiblesse des protocoles 802.11 d’origine Solutions sécurisées
Réseaux sans fil sécurisés avec Windows XP et Windows Server 2003 Faiblesse des protocoles d’origine Solutions sécurisées 802.1x – EAP-TLS, PEAP WPA Mise en œuvre dans Windows Scénarios de déploiement Recommandations

29 Natif : 802.1x EAP-TLS Wireless Zero Configuration Service SP1 : PEAP 802.1x PEAP-EAP-MS-CHAPv2 802.1x PEAP-EAP-TLS KB [ KB [ WPA (authentification, TKIP, AES)

30 Authentification Chiffrement Open Shared WPA WPA-PSK Désactivé WEP
TKIP AES

31 EAP-TLS : « carte à puce ou autre certificat »
802.1x EAP-TLS : « carte à puce ou autre certificat » PEAP MS-CHAP v2 EAP-TLS

32 Internet Authentication Server (IAS)
Serveur RADIUS de Microsoft Remote Access Policies EAP-TLS, PEAP (MS-CHAP v2, EAP-TLS) Certificate Services PKI avec autoenrollement des machines et des utilisateurs Active Directory Gestion centralisée des machines et utilisateurs Configuration centralisée des clients Wi-Fi (Group Policies)

33

34 Mise en œuvre dans Windows
Réseaux sans fil sécurisés avec Windows XP et Windows Server 2003 Faiblesse des protocoles d’origine Solutions sécurisées 802.1x – EAP-TLS, PEAP WPA Mise en œuvre dans Windows Scénarios de déploiement Recommandations

35 Réseau Wi-Fi de Microsoft
Un des plus importants déploiements d’entreprise utilisateurs dans 42 pays 150+ bâtiments dans le monde 4360+ points d’accès m2 couverts utilisateurs simultanés sur le campus Sécurisé par 802.1x avec EAP-TLS et PEAP

36 802.1X EAP-TLS/PEAP Connection
Domain User Certificate Certificate Authority Domain Controller (Active Directory) 802.1X Uncontrolled Port RADIUS (IAS) 802.11/.1X Access Point 802.1X Controlled Port File Exchange Domain Controller DHCP Peers

37 Microsoft Solution for Securing Wireless LANs

38 Microsoft Solution for Securing Wireless LANs
Planning Guide – guide de planification Build Guide – procédures détaillées de configuration et sécurisation Operations Guide – guide de maintenance, supervision, support, gestion des changements Test Guide – démarche de test utilisée chez Microsoft pour valider la solution Lire les Release Notes pour l’adaptation à WPA

39 Faiblesse des protocoles 802.11 d’origine Solutions sécurisées
Réseaux sans fil sécurisés avec Windows XP et Windows Server 2003 Faiblesse des protocoles d’origine Solutions sécurisées 802.1x – EAP-TLS, PEAP WPA Scénarios de déploiement Recommandations

40 Aujourd’hui Demain Synthèse Entreprises : 802.1x
EAP-TLS si vous avez une PKI PEAP-EAP-MS-CHAP v2 sinon WPA si possible (nouveaux matériels) Particuliers et petites entreprises : Demain 802.11i

41 Références The Unofficial Security Web Page Bernard Aboba, Network Architect, Windows Wi-Fi Microsoft Solution for Securing Wireless LANs

42