Mobilité : Conjuguer réseau sans fil et sécurité

Présentation au sujet: "Mobilité : Conjuguer réseau sans fil et sécurité"— Transcription de la présentation:

1 Mobilité : Conjuguer réseau sans fil et sécurité
Le 15 Janvier 2003 Gilles FARRACHE Chef de Projet Telindus France Tél : Parc Club du Moulin à Vent 33, rue Dr. Georges Lévy F Vénissieux cedex Fax :

2 Plan de la présentation
Contexte : la percée prévue du sans fil Pour quels bénéfices Pour quels usages L’état normatif L’état de la réglementation en France Mécanismes de sécurité implémentés Vulnérabilités Solutions de sécurisation p.2

3 La percée prévue du sans-fil

4 Bénéfices Des bénéfices indéniables facilité de déploiement
grande souplesse d’interopérabilité avec les réseaux filaires faible coût d’acquisition débits adaptés à un usage professionnel solution de souplesse au sein de l ’entreprise -> salles de réunion solution faiblement structurante -> chantier, exposition, locaux temporaires solution non destructive -> monuments historiques, sites classés solution de mobilité -> aéroports, salles de congrès ... p.4

5 Usages Des usages multiples p.5

6 Usages Prolongement d’une BLR p.6

7 L ’état normatif

8 Un contexte en développement

9 Quelques normes stables
IEEE b sur 2,4 GHz, 11 Mbps Émet sur trois canaux radio Largement disponible (plus de 180 produits approuvés) Utilisable en intérieur et extérieur Sécurité assurée par le WEP (Wired Equivalent Privacy) IEEE g sur 2,4 GHz, 22 Mbps ou + Évolution de IEEE b Trois types d’encodage (PCCB, OFDM et CCK) Doit être compatible avec les produits b (support de tous les types d’encodage) Sécurité assurée par i p.9

10 Quelques normes stables
IEEE a sur 5 GHz, 54 Mbps Émet sur 8 canaux radio Utilisable en intérieur (avec restriction sur la puissance) IEEE h sur 5 GHz, 54 Mbps Évolution de IEEE a Implémentera la DFS (sélection dynamique de la fréquence) Implémentera la TPC (contrôle de la puissance transmise) Nécessite de nouveaux équipements radio donc forte probabilité que les équipement actuels a ne soient pas upgradable Sécurité assurée par i p.10

11 Et des normes plus récentes
IEEE e Qualité de Service En cours IEEE 802.1x Sécurité Authentification par port et distribution de clés Arrivée de EAP (Extensible Authentification Protocol) Mise en œuvre de LEAP et de EAP-TLS IEEE i Sécurité ETSI Hiperlan 2 sur 5 GHz Norme européenne concurrente à a et h plus e Non finalisé p.11

12 L’état de la réglementation en France

13 La réglementation 1 Concernent les réseaux indépendants et les hotspots 2 Concernent les expérimentations de réseaux ouverts au public p.13

14 La réglementation Les départements prévus pour l’expérimentation 01
Ain 36 Indre 66 Pyrénées Orientales 02 Aisne 37 Indre et Loire 67 Bas Rhin 03 Allier 41 Loir et Cher 68 Haut Rhin 05 Hautes Alpes 42 Loire 70 Haute Saône 08 Ardennes 45 Loiret 71 Saône et Loire 09 Ariège 50 Manche 75 Paris 11 Aude 55 Meuse 82 Tarn et Garonne 12 Aveyron 58 Nièvre 84 Vaucluse 16 Charente 59 Nord 88 Vosges 24 Dordogne 60 Oise 89 Yonne 25 Doubs 61 Orne 90 Territoire de Belfort 26 Drôme 63 Puy de Dôme 94 Val de Marne 32 Gers 64 Pyrénées Atlantique p.14

15 La réglementation Bande de fréquences allouée Conditions en intérieur
Conditions en extérieur MHz PIRE < 200 mW Impossible MHz Dispositif de sélection de fréquence en fonction de la disponibilité du canal Atténuation de puissance moyenne émise > 3dB 5470 – 5725 MHz A l’étude p.15

16 La réglementation les opérateurs considèrent que si le 2,4 GHz doit rester gratuit, en revanche, une redevance pourrait être instituée en 5 GHz, par exemple sur le modèle des redevances GSM p.16

17 Mécanismes de sécurité

18 L’identification du réseau (SSID)
Le SSID* est un identifiant qui permet dans un système dit « fermé » de vérifier si une station est autorisée ou non à se connecter à une borne. si SSID station = SSID borne alors la connexion est acceptée si SSID station  SSID borne alors la connexion est refusée * SSID : Service Set IDentifier p.18

19 Le WEP (Wireless Equivalent Privacy)
Mécanisme utilisant une clef partagée Le chiffrement : prévient des écoutes clandestines par chiffrement des données transmises. L’authentification : protége l’accès au réseau sans fil. L’intégrité : vérifie l’intégrité des données en générant un checksum. p.19

20 Vulnérabilités

21 Propagation par ondes radio
Cette technologie diffuse les données dans une zone sans une frontière absolue entraînant : un problème de confidentialité - interception et écoute aisées depuis la voie publique un problème d’intégrité. - insertion dans le trafic possible Le support n’est pas protégé des signaux environnants, il est donc sensible au brouillage entraînant : un problème de continuité de service (déni de service). - déni de service par brouillage possible - p.21

22 Protocole b L’identité du réseau (SSID) est diffusée sans protection lors de son transit sur le réseau entraînant : un problème de confidentialité - possibilité d’identifier le réseau - Le protocole WEP est basé sur un algorithme de chiffrement mal implémenté (RC4) générant des clefs dites « faibles ». Il est possible de découvrir la clef WEP entraînant : - possibilité d’écouter le réseau et d’y entrer - un problème d’intégrité - possibilité de modifier les flux – Le protocole l’intègre pas de mécanisme de gestion des clefs. p.22

23 Implémentation - déploiement
Une topologie dynamique Une facilité (apparente) de déploiement le déploiement du WLAN n’est pas confié à une équipe spécialisée les équipements sont mal configurés l’architecture n’est pas correctement cloisonnée p.23

24 En résumé … Sans sécurité et par défaut :
possibilité d’écoute du réseau ; possibilité d’accès au réseau. p.24

25 Solutions de sécurisation

26 La base de la sécurité Inconvénients :
Implémenter les fonctionnalités de sécurité de base des équipements Mettre en place un chiffrement des données (WEP) Mettre en place un contrôle (gestion difficile) Inconvénients : Ne convient pas pour des déploiements larges Ne répond pas à des besoins de sécurité forts p.26

27 Vers une sécurité avancée du WLAN (1/5)
Renforcer la confidentialité des transmissions Chiffrement WEP avec des clefs dynamiques (802.1x, i) p.27

28 Vers une sécurité avancée du WLAN (2/5)
Renforcer la confidentialité des transmissions Mise en place d’un VPN (IPSec) p.28

29 Vers une sécurité avancée du WLAN (3/5)
Utiliser un mécanisme d’authentification plus fiable Login / mot de passe, certificats, tokens (802.1x – EAP) Améliorer le contrôle et la gestion des accès au réseau Centraliser l’authentification (base RADIUS, Active Directory, ACS ) Journaliser les accès Cloisonner le réseau interne du réseau sans fil Utilisation d’un VLAN spécifique pour les points d’accès Filtrage des communications internes et externes (Pare-feu) p.29

30 Vers une sécurité avancée du WLAN (4/5)
Le choix de la (ou des) technique(s) de sécurisation va dépendre du résultat souhaité : Chiffrement fort Mobilité Accès invités Différenciation des droits d’accès par utilisateurs p.30

31 Vers une sécurité avancée du WLAN (5/5)
Sécuriser les équipements de l’architecture Configurer les postes clients sans fil Configurer les bornes d’accès au réseau filaire Ne pas oublier également les aspects organisationnels et procéduraux : Implication de la structure sécurité Veille technologique sur le domaine WLAN Audits fréquents du réseau p.31

32 Conclusion Constats : Les risques d’écoute et d’intrusion sont importants Les standards de communication sont encore peu matures en terme de sécurité Les protocoles de sécurité évoluent rapidement Les constructeurs apportent leurs propres fonctionnalités Il faut être vigilant avant de se lancer dans le déploiement d’une solution sans fil, notamment sur deux points : La sécurité. L’organisation. p.32

33 Conclusion Déployer le réseau dans la cadre d ’un projet structuré
Valider régulièrement le réseau y compris par des démarches de tests de type « War Driving » p.33

34