Minun viimeinen viesti Olen keskustellut ongelmista käyttöön WPA yritysympäristössä. Katsotaanpa varmuuskopioida hieman ja luettelo miksi turvalliset langattomat verkot:
- Salliminen hallitsematon pääsy voi sortua kompromisseihin
- Authentication on tarkastettava henkilö Yhdistetään
- Tiedot voidaan sieraimiin niin salausta tarvitaan tietosuoja
Melko yksinkertaista päättelyä, mutta nyt pysähtyä ja miettiä, miksi me turvallisten etäyhteyksien käyttäjille, kun he Connect Internetistä:
- Salliminen hallitsematon pääsy voi sortua kompromisseihin
- Authentication on tarkastettava henkilö Yhdistetään
- Tiedot voidaan sieraimiin niin salausta tarvitaan tietosuoja
Huom syyt ovat samat. Olen iso syy analyysi, ja syy niin monet meistä hypätä vaikka hoops kanssa WPA on se, että yritämme sovittaa neliskulmainen palikka pyöreään reikään. Toisin sanoen, sen sijaan tunnustaa, että langaton signaali on erillinen hallitsematon kokonaisuus, yritämme todella vaikea isku pikaratkaisua joten se voi luottaa samalla tasolla kuin langallinen segmentit turvattu takana Office seinät. Ei yllätys todella, että ensimmäisessä pöytäkirjan saimme turvaamaan langattoman kutsuttiin Wired Equivalent Privacy (WEP)-protokollaa. Tarpeetonta sanoa nimen suoraan sitä, että langaton voidaan tehdä niin turvallinen kuin langallinen kytkinportin. Historia on osoittanut, ja jatkaa muuten osoittaa kuitenkin.
Harkitse verkko piirustus kuvassa # 1. Huomaa, että olemme jäsennetään verkko voisi paremmin vastata juuri aiheuttaa ongelmia langattoman. Langaton ei enää pidetä luotettavana kuin langallinen kytkinportin. Sen kohdeltaisiin samalla tavalla kuin sen lähin matching suojausvyöhykkeeseen, Internet. Me yksinkertaisesti roikkua meidän tukiasemat pois toisen palomuurin portin ja soveltaa samanlaista turvallisuutta ryhti.
Joten kun joku muodostaa yhteyden tukiasemaan, mitä tapahtuu? Liitäntä tehdään selväksi ilman suojausta käytössä. Vain kytkeä oikea SSID ja mennä. Paikallisia DHCP-palvelin sitten kädet järjestelmän IP-osoitteen. Tässä vaiheessa meidän setup toimii kuin mikään muu ei-suojattuun verkkoon.
Katsokaa, mitä langaton järjestelmä saa käyttöönsä kuitenkin. Palomuurin läpi, ainoa sallittu yhteyspiste on VPN-yhdyskäytävä. Tämä on sama kuin silloin, kun käyttäjä yhdistää vuonna Internetistä. Joten sen sijaan luottaa yhden vakuuden täytäntöönpanosta (WPA) ja sen yksittäinen valinta tietosuoja (AES), voit käyttää mitä ikinä sinusta tuntuu, on tarkoituksenmukaista. Luotettavuus ja joustavuus SSH , SSL ja IPSec kaikki tulevat mahdollisuudet turvata oma Datastream. Vaikka jokainen ratkaisu tukee AES tietojen yksityisyyttä, ne avaavat lukuisia muita, jotkut tuntevat paremmin, vaihtoehtoja, kuten Blowfish ja Twofish .
Mutta hetkinen, ei hyökkääjä muodosta yhteyttä tukiasemaan ja mennä sen jälkeen kannettavat tietokoneet, jotka ovat liität vuonna? Ehdottomasti. Tämäkin alue on sama suojaustaso kuin internetissä, jolloin samat säännöt. Mieti tyypillinen langaton käyttäjä kuitenkin. He pyrkivät olemaan tie sotureita, jotka myös Connect Internetistä. Tämä tarkoittaa heidän järjestelmässä pitäisi jo olla tarvittavat VPN-ohjelmisto ja henkilökohtainen palomuuri-järjestelmän. Joten jos kannettava tietokone on määritetty muodostamaan yhteys vuonna Internetistä, sen valmis menemään tämän langattoman yhteyden samoin.
Yksi niistä asioista, pidän todella tästä kokoonpanosta on, että se ei ainoastaan vähennä loppupäätä hallinto (ei enempää WPA hallinta), mutta asiakaspalvelutukia aikaa. Käyttäjät haluavat vain kannettavan töihin ja ovat tehokkaampia, kun ne voivat seurata johdonmukainen prosessi. Kun me sanomme heille "Suorita vaiheet, sitten B, sitten C Connect Internetistä, mutta vaiheet d, niin E sitten F Jos olet toimistossa", jotkut väistämättömyys tulla sekava. Kun setup edellä he aina noudata samaa yhteyttä prosessi, riippumatta fyysisestä sijainnista.
Koska mikään tietoturvaratkaisu ei koskaan täydellinen, siellä on joitakin alas puolin, eikö? Ensinnäkin olemme toteuttamassa hieman kuormitusta palomuuri. Sisäisen viestinnän välillä langaton järjestelmä ja palvelin ei normaalisti liity palomuurin, mutta nyt se ei. Tämä ongelma voitaisiin helposti ratkaista toinen palomuuri kuitenkin.
Toinen asia on turvallisuus liittyvät toisiinsa, mutta riippuu siitä, kuinka me käyttää edellä kokoonpano. Ihanteellisessa maailmassa kaikki tukiasemat olisi liitetty yhteen eristetty kytkin. Todellisuus isossa ympäristössä kuitenkin saattaa joutua käyttämään VLAN koska tukiasemat ovat maantieteellisesti hajallaan toisistaan. Käyttö VLAN avaa mahdollisuuden VLAN hopping. Vaikka tämä kirjoittaja ei usko hyökkääjä voi sotkea DTP kautta tukiaseman saadakseen pääsyn runko, sen varmasti mahdollista kytketty suoraan järjestelmään niin lopulta joku fiksumpi voisin tajuta se. Lyhyesti sanottuna, muista, että tämä suojausvyöhykkeeseen on sama luottamus tasolla kuin Internetiä ja käsitellä sen mukaisesti. Sammuta DTP tai muu auto VLAN neuvottelu valmiudet myyjä on oletusarvoisesti käytössä.
Lopuksi Rogue-tukiasemat ovat edelleen ongelma. Tämä ratkaisu ei mitään estääkseen loppukäyttäjälle tuomasta in tukiaseman kotoa ja liittää se sisään Sinun silti täytyy pitää silmällä tätä toimintaa. Oikeastaan ainoa asia tämä ratkaisu ei sinulle nyt tiedät tahansa tukiasema kytketty langalliseen verkkoon on rogue ja siihen on puututtava.
Toivottavasti tämä on hyödyllinen!
C
