En mi último post hablé de los problemas con la implementación de WPA en un entorno empresarial. Vamos a retroceder un poco y la lista de por qué proteger las redes inalámbricas:
- Permitir el acceso sin control puede llevar a un compromiso
- Es necesaria la autenticación para verificar la persona que se conecta en el
- Los datos pueden ser inhalados para el cifrado es necesario para la privacidad de los datos
Un razonamiento bastante simple, pero ahora detenernos y considerar por ello que asegurar a los usuarios remotos cuando se conecten desde Internet:
- Permitir el acceso sin control puede llevar a un compromiso
- Es necesaria la autenticación para verificar la persona que se conecta en el
- Los datos pueden ser inhalados para el cifrado es necesario para la privacidad de los datos
Tenga en cuenta las razones son los mismos. Soy grande en el análisis de causa raíz, y la razón por la que muchos de nosotros, aunque salte aros con WPA es que estamos tratando de encajar una clavija cuadrada en un agujero redondo. En otras palabras, en lugar de reconocer que una señal inalámbrica es una entidad controlada por separado, que se esfuerzan mucho para golpear en una solución rápida por lo que se puede confiar en el mismo nivel que los segmentos de cable asegurados tras los muros de nuestras oficinas. No es una sorpresa realmente, teniendo en cuenta que el primer protocolo que nos dieron para garantizar inalámbrica se llama Wired Equivalent Privacy (WEP). Huelga decir que el nombre implica directamente que la conexión inalámbrica se puede hacer para ser tan seguro como un puerto del switch conectado. La historia ha demostrado, y continúa sin embargo demuestran lo contrario.
Considerar el dibujo de la red en la Figura # 1. Tenga en cuenta que tenemos que reconfigurar la red para abordar mejor los problemas que causa raíz con la tecnología inalámbrica. Inalámbrica ya no es considerado como digno de confianza como un puerto del switch conectado. Su tratado de una manera similar a su más cercana zona de seguridad de correspondencia, por Internet. Simplemente cuelgue nuestros puntos de acceso fuera de otro puerto del firewall y aplicar un nivel de seguridad similar.
Así que cuando alguien se conecta al punto de acceso, lo que pasa? La conexión se realiza en el claro con ningún habilitado para la seguridad. Sólo tienes que conectar a la adecuada SSID y se van. El servidor DHCP local luego las manos del sistema una dirección IP. En este punto nuestra configuración actúa como cualquier otro no garantizado de la red.
Mira lo que un sistema inalámbrico tiene acceso a embargo. A través del servidor de seguridad, el único punto de acceso permite es la puerta de enlace VPN. Este es el mismo que cuando el usuario se conecta desde Internet. Así que en lugar de tener que confiar en una sola aplicación de seguridad (WPA), con su sola opción para la privacidad de datos (AES), se puede implementar lo que sea que considere apropiado. La robustez y la flexibilidad de SSH , SSL y IPSec todos se convierten en posibilidades de garantizar el flujo de datos. Si bien cada solución es compatible con AES para la privacidad de los datos, se abren una plétora de otros, algunos se sienten mejor, opciones como Blowfish y Twofish .
Pero espera, no podría un atacante conectarse a mi punto de acceso y de perseguir a los ordenadores portátiles que se conectan en el? Por supuesto. Una vez más, esta zona tiene el mismo nivel de seguridad como el Internet para que las mismas reglas se aplican. Piense en su usuario inalámbrico típico sin embargo. Tienden a ser guerreros de la carretera, que también se conectan desde Internet. Esto significa que su sistema ya debe tener el necesario software de VPN y un sistema de servidor de seguridad personal. Así que si el portátil está configurado para conectarse desde Internet, ya está listo para ir en esta configuración inalámbrica también.
Una de las cosas que más me gusta de esta configuración es que no sólo reduce la administración de back-end (no más de gestión WPA), sino que ayudan a tiempo de servicio de apoyo. Los usuarios sólo quieren que su ordenador portátil para trabajar y son más eficaces cuando se puede seguir un proceso coherente. Cuando les decimos que "Realice los pasos A, B, C para conectar desde el Internet, pero los pasos D, entonces E entonces F si usted está en la oficina", algo inevitable se confundirá. Con la configuración anterior que siempre siguen el mismo proceso de conexión, independientemente de su ubicación física.
Dado que ninguna solución de seguridad es perfecto, tiene que haber algunos defectos como todos, ¿verdad? En primer lugar, estamos poniendo una carga ligeramente mayor en el firewall. Las comunicaciones internas entre un sistema inalámbrico y un servidor no implican normalmente el servidor de seguridad, pero ahora lo hace. Este problema podría resolverse fácilmente con un segundo servidor de seguridad sin embargo.
La segunda cuestión es la seguridad relacionados, pero depende de cómo implementar la configuración anterior. En un mundo ideal todos los puntos de acceso estaría conectada a un interruptor aislado clave. La realidad en un entorno de gran tamaño sin embargo, podría requerir el uso de VLAN debido a que los puntos de acceso están geográficamente dispersos unos de otros. El uso de las VLAN se abre la posibilidad de salto de VLAN. Aunque este autor no cree que un atacante podría meterse con DTP a través de un punto de acceso con el fin de obtener el acceso al maletero, es ciertamente posible en un sistema conectado directamente por lo que finalmente alguien más listo que yo pueda entenderlo. En resumen, recordar que esta zona de seguridad tiene el mismo nivel de confianza como el Internet y manejarla en consecuencia. Cierre automático de maquetación o de cualquier otra capacidad de negociación de VLAN que el vendedor ha activado de forma predeterminada.
Por último, los puntos de acceso siguen siendo un problema. Esta solución no hace nada para impedir que un usuario final de la atracción de un punto de acceso de la casa y conectarlo pulg Usted todavía necesita mantener un ojo vigilante para esta actividad. Acerca de la única cosa que esta solución hace por ti es que ya sabes cualquier punto de acceso conectado a la red cableada es pícaro y debe ser abordado.
Espero que esto sea útil!
C
