LAN Sans-Fil (Wireless LAN) Introduction à la Sécurité LAN Sans-fil

Objectifs Décrire le besoin de sécurité dans les WLANs. Décrire l'évolution des méthodes de sécurité des WLANs. Identifier les technologies communes d'authentification et de cryptage utilisées dans les WLANs. Expliquer les forces et les faiblesses des méthodes de sécurité utilisées dans les WLANs.

Besoin de Sécurité pour les WLANs Vulnérabilités: - SSID visible - Filtrage MAC - Attaque DHCP - Attaques "Man-in-the middle" - Craquage WEP - Attaques "Initialization Vector " - Craquage Mot de passe - Attaques DoS La sécurité WLAN requiert: - Authentification: Approuve l'utilisateur - Cryptage: Assure la confidentialité des données qui traversent le réseau J'ai trouvé un autre service sans-fil

Evolution de la Sécurité WLAN

802.11 WEP WEP signifie Wired Equivalent Privacy WEP est un standard IEEE optionnel pour le cryptage Les clés peuvent être statiques et partagées parmi plusieurs clients Utilise l'algorithme RC4 — Vulnérabilités connues Les clés peuvent être dynamiques et uniques pour chaque client (comme 802.1x) par session 1 RC4 Plain text Cipher text IV + key Cryptage stream

802.11 Authentication ouverte Access Point A Access Point B Client Le Client transmet un "Probe request". Les points d'accès (A/B) transmettent un "Probe Response". Le Client évalue la réponse du point d'accès et sélectionne le meilleur. Le Client transmet une requête d'authentification vers le point d'accès sélectionné (A). Le point d'accès A confirme l'authentification et enregistre le Client. Le Client transmet une requête d'association vers le point d'accès sélectionné (A). Le point d'accès A confirme l'association et enregistre le Client.

802.11 Authentication avec clé partagée Access Point A Access Point B Les étapes 1-3 sont les mêmes que pour l'authentification ouverte Client Le point d'accès transmet une réponse d'authentification contenant un texte "challenge" non crypté. Le Client crypte le texte "challenge" en utilisant une de ses clés WEP et le transmet au point d'accès (A). Le point d'accès A compare le texte "challenge" crypté avec sa copie. Si le texte est le même, le point d'accès autorisera le client sur le WLAN.

Sécurité 802.11 WEP avancée Cisco Avancées Pré-standard Cisco Implémentés en 2001 et 2002 Authentification: - Protocoles 802.1x et Extensible Authentication Protocol (EAP) - Identifiants Utilisateur, "token" et Machine - Génération dynamique de clé de cryptage Cryptage: - CKIP - CMIC

Sécurité 802.11 Avancée Authentification: Cryptage: - Protocoles 802.1x and Extensible Authentication Protocol (EAP) - Identifiants Utilisateur, "token" et Machine - Génération dynamique de clé de cryptage - IEEE 802.11i Cryptage: - TKIP et MIC - Wi-Fi Protected Access (WPA) - Cryptage TKIP - WPA2 - Advanced Encryption Standard (AES)

Cryptage -TKIP et MIC TKIP: - Hachage de clé pour des valeurs uniques par packet afin de se protéger des vulnérabilités WEP "initialization vector" - MIC algorithme de Michael - Rotation dans la diffusion des clés MIC: - Fournit plus de protection que "Integrity Check Value" (ICV) en protégeant l'en-tête et la charge utile - Protège contre les attaques "man-in-the-middle" ou "replay"

WPA2 et AES WPA2 offre: - Gestion de clé authentifiée - Mécanismes de validation de clé pour des clés transmises en unicast ou broadcast. -TKIP est utilisé, ce qui pour WPA inclut des clés par paquet et MIC - IV Expansé (annule AirSnort) - Rotation de diffusion de clé Cryptage AES: - 128-bit block cipher - Algorithme plus robuste que RC4 - Requiert de nouvelles cartes radio sur les clients et les points d'accès car il demande plus de puissance CPU.

Présentation de l'authentification 802.1x Le client sans-fil doit être authentifié avant d'obtenir l'accès au réseau. Extensible et interopérable: - Différentes méthodes ou types d'authentification EAP - Peut être utilisé avec de multiples algorithmes de cryptage - Dépend des capacités du client Supporté par Cisco depuis Décembre 2000

Avantages de l'authentification 802.1x Authentification mutuelle entre le client et le serveur d'authentication (RADIUS) Clés de cryptage calculées après l'authentification Stratégie de contrôle centralisée

Protocoles d'authentification 802.1x et EAP LEAP - EAP Cisco Wireless EAP-FAST EAP-TLS PEAP: PEAP-GTC PEAP-MSCHAPv2

Composants requis pour l'authentification 802.1x Le serveur d'authentification est un serveur RADIUS avec des capacités EAP: - Cisco Secure ACS, Microsoft IAS, Meetinghouse Aegis - Service d'authentification local sur point d'accès Cisco - Peut utiliser la base de données RADIUS locale ou un server de base de données externe tel que Microsoft Active Directory ou RSA SecurID L"Authenticator" est un point d'accès avec capacité 802.1X Le "Supplicant" est un client avec capacité EAP: - Requiert un pilote avec capacité 802.1x - Requiert un "supplicant" EAP - disponible soit dans la carte client, natif dans le système d'exploitation ou dans un logiciel tierce-partie

LEAP Cisco Support du Client: Serveur RADIUS: - Windows 98-XP-Vista, Windows CE, Macintosh OS 9.X ou 10.X et Linux Kernel 2.2 or 2.4 - Cisco Compatible Extensions Clients (CCXv1) Serveur RADIUS: - Cisco Secure ACS et Cisco Access Registrar - Meetinghouse Aegis - Interlink Merit Domaine Microsoft ou Active Directory (optionnel) pour l'authentification (Doit être au format base de données Microsoft) Support par les équipements: - Points d'accès et ponts Cisco autonomes - Points d'accès légers Cisco et contrôleurs WLAN - IP Phone 7920 sans-fil Cisco Unified Wireless (VoIP)

Authentification LEAP Cisco

EAP-FAST: Flexible Authentication via Secure Tunneling Trois phases: - Phase 0 : - L'identifiant d'accès protégé est généré (Dynamic PAC): - Identifiant partagé unique utilisé pour l'authentification mutuelle du client et du serveur - Associé à "User ID" spécifique et un "Authority ID" (Retire le besoin de PKI) - Phase 1: - Un tunnel sécurisé est établi dans cette phase. - Phase 2: - Le client est authentifié via le tunnel sécurisé.

Authentification EAP-FAST

EAP-TLS Support du Client: Exigences pour l'infrastructure: - Windows 2000, XP, and Windows CE (supporté nativement) - Plateformes Non-Windows: Supplicants tierce-partie (Meetinghouse) - Certificat utilisateur requis par chaque client Exigences pour l'infrastructure: - EAP-TLS supporté par le serveur RADIUS server - Cisco Secure ACS, Cisco Access Registrar, Microsoft IAS, Aegis, Interlink - Le serveur RADIUS requiert un serveur autorité de certificat (PKI) Gestion de certificat: - Les certificats du client et du serveur RADIUS doivent être gérés.

Authentification EAP-TLS

EAP-PEAP Méthode d'authentification hybride: - Authentification côté serveur avec TLS - Authentification côté client avec des types d'authentification EAP - EAP-GTC - EAP-MSCHAPv2 Les clients ne requièrent pas de certificat Le serveur RADIUS requiert un serveur de certificat: - Le serveur RADIUS a des capacités d'auto-génération de certificat. - Acheter un certificat de serveur par serveur chez une entité PKI. - Configurer un serveur PKI pour générer des certificats de serveur. Autorise l'utilisation de types d'authentification unidirectionnels: - Mots de passe à usage unique - Proxy vers LDAP, Unix, Microsoft Windows NT et Active Directory, Kerberos

Authentification EAP-PEAP

Accès Wi-Fi Protégé (WPA) WPA a été introduit fin 2003 Implémentation pré-standard de IEEE 802.11i WLAN security Résout les problèmes connus de sécurité WEP Permet la mise à niveau logicielle sur des équipements sur des on équipements 802.11 déployés afin d'améliorer la sécurité Composants de WPA: - Gestion de clé authentifiée en utilisant l'authentification 802.1x: EAP et l'authentification de clé pré-partagée - Gestion de clé transmise en unicast ou diffusée - Clé par paquet TKIP standardisée et protocole MIC - Expansion du "Initialization vector": 48 bits pour "initialization vector" - Mode de migration - Coexistence d'équipements WPA et non-WPA (implémentation optionnelle non requise pour la certification WPA)

Présentation de l'authentification 802 Présentation de l'authentification 802.11i et WPA et de la gestion de clé

Problèmes WPA WPA utilise TKIP lequel utilise l'algorithme de cryptage RC4 de WEP. WPA ne peut pas éliminer entièrement les défauts de conception de WEP. WPA est une solution d'attente. Une mise à jour logicielle est requise pour les clients et les points d'accès ce qui ne garantit pas que tous les constructeurs supportent la solution. Le support par le système d'exploitation ou un client "supplicant" est requis. WPA est susceptible d'être la cible de nouvelles attaques DoS. De nouvelles faiblesses de WPA peuvent être découvertes quand des clés pré-partagées sont utilisées.

IEEE 802.11i - WPA2 802.11i: WPA2: - Ratifié en Juin 2004 - Standardise: - 802.1x pour l'authentification - Le cryptage AES - La gestion de clé WPA2: - Supplément à WPA “version 1” - Interopérable avec l'implémentation Wi-FI Alliance de 802.11i. - Le cryptage AES peut être utilisé - Cachage de clé proactif - Test tierce-partie et certification pour la compatibilité WLAN

Systèmes de Détection d'Intrusion Sans-fil Résout les vulnérabilités liées au système RF: - Détecte, localise et neutralise le équipements cachés - Détecte et gère les interférences RF - Détecte si la reconnaissance est possible Résout les vulnérabilités liées aux standards: - Détecte les attaques sur l'administration - Applique avec rigueur les stratégies de sécurité Fonctionnalité complémentaire: - Expertise - Rapport de conformité

Modes WPA et WPA2 WPA WPA2 Mode Entreprise (Commerce, éducation, gouvernement) Authentification: IEEE 802.1x/EAP Cryptage: TKIP/MIC Cryptage: AES-CCMP Mode Personnel (Agence, résidence) Authentification: PSK

Problèmes WPA2 Le client (supplicant) doit avoir un pilote WPA2 qui supporte EAP. Le serveur RADIUS doit comprendre EAP. PEAP transporte les types EAP dans un canal sécurisé par TLS et requiert un serveur de certificat. WPA2 demande plus de ressources de calcul avec un cryptage AES. WPA2 peut demander un nouveau matériel WLAN pour supporter le cryptage AES.

Résumé Avoir l'accroissement de la confiance dans les WLANs, les échanges commerciaux sont plus impactés par la sécurité réseau. Les administrateurs de réseau ont besoin de fournir aux utilisateurs de la mobilité sans pour cela offrir l'accès, au réseau ou à l'information transmise sur le réseau sans-fil, à des intrus. L'authentication et le cryptage sont les deux fonctions primaires pour sécuriser le WLAN. Tandis que le cryptage utilisant des clés WEP statiques était vulnérable, les WLANs peuvent être configurés pour supporter les standard EAP et 802.1x comprenant LEAP, EAP-FAST, EAP-TLS, PEAP, WPA et WPA2.