In mijn laatste bericht heb ik de problemen besproken met de implementatie van WPA in een enterprise-omgeving. Laten we eens een back-up een beetje en een lijst waarom wij beveiligde draadloze netwerken:

• Het toestaan ​​van ongecontroleerde toegang kunnen leiden tot compromis
• Authenticatie is nodig om de persoon aansluiten in gaan
• De gegevens kunnen zo worden gesnoven encryptie is nodig voor de bescherming van persoonsgegevens

Pretty straight forward redeneren, maar nu stoppen en te overwegen waarom we veilige remote gebruikers wanneer ze verbinding maken in van het internet:

• Het toestaan ​​van ongecontroleerde toegang kunnen leiden tot compromis
• Authenticatie is nodig om de persoon aansluiten in gaan
• De gegevens kunnen zo worden gesnoven encryptie is nodig voor de bescherming van persoonsgegevens

Let op de redenen zijn hetzelfde. Ik ben groot op root cause analysis, en de reden waarom velen van ons springen al hoepels met WPA is dat we proberen om een ​​vierkante pen past in een rond gat. Met andere woorden, in plaats van te erkennen dat er een draadloos signaal wordt een aparte ongecontroleerde entiteit, we proberen echt moeilijk om klap op een snelle oplossing, zodat het kan worden vertrouwd op hetzelfde niveau als de bedrade segmenten vastgezet achter ons kantoor muren. Niet echt een verrassing, gezien het feit dat het eerste protocol kregen we om draadloze beveiligen heette het Wired Equivalent Privacy (WEP) protocol. Onnodig te zeggen, de naam direct impliceert dat draadloos kan worden gemaakt om zo veilig als een bekabelde switch-poort. Geschiedenis heeft aangetoond, en blijft om te laten zien echter anders.

Beschouw het netwerk tekening in figuur # 1. Merk op dat we het netwerk geconfigureerd om beter aan te pakken de oorzaak problemen met draadloze hebben. Draadloos is niet langer beschouwd als betrouwbaar als een bekabelde switch-poort. Zijn behandeld in een vergelijkbare wijze als zijn naaste matching veiligheidszone, het internet. We gewoon hangen onze access points off van een andere firewall-poort en toepassen van een soortgelijke beveiliging houding.

Dus als iemand verbinding maakt met het access point, wat gebeurt er? De verbinding wordt gemaakt in de heldere zonder beveiliging ingeschakeld. Maak verbinding met de juiste SSID en gaan. De lokale DHCP-server handen dan is het systeem een ​​IP-adres. Op dit punt onze opstelling gedraagt ​​zich als enige andere niet-beveiligd netwerk.

Kijk eens wat een draadloos systeem de toegang tot wel krijgt. Door de firewall, het is alleen toegestaan ​​met toegangspunt is de VPN-gateway. Dit is hetzelfde als wanneer de gebruiker verbinding maakt in van het internet. Dus in plaats van aan een security implementatie (WPA) vertrouwen met haar single keuze voor de bescherming van persoonsgegevens (AES), kunt u inzetten wat je voelt de juiste is. De robuustheid en de flexibiliteit van de SSH , SSL en IPSec alle worden mogelijkheden voor het beveiligen van uw datastroom. Terwijl elke oplossing ondersteunt AES voor de bescherming van persoonsgegevens, openen ze een overvloed aan andere, sommige voelen zich beter, opties, zoals Blowfish en Twofish .

Maar wacht, kan een aanvaller geen verbinding met mijn access point en gaan na de laptops die verbinding in? Absoluut. Nogmaals, deze zone heeft hetzelfde beveiligingsniveau als het internet, zodat dezelfde regels gelden. Maar denk na over je standaard draadloze gebruiker. Ze hebben de neiging om weg krijgers, die ook verbinden van het internet. Dit betekent dat hun systeem moet reeds beschikken over de vereiste VPN-software en een persoonlijke firewall-systeem. Dus als de laptop is geconfigureerd om in verbinding van het internet, zijn klaar om te gaan in deze draadloze configuratie ook.

Een van de dingen die ik echt leuk vind aan deze configuratie is dat het niet alleen terug vermindert end administratie (niet meer WPA management), maar help desk support tijd. Gebruikers willen gewoon hun laptop te werken en effectiever zijn als ze kunnen een consistent proces te volgen. Wanneer we hen vertellen "Voer stappen A, dan B, dan C om verbinding te maken vanuit het internet, maar de stappen D, dan is E dan F als u op kantoor", sommigen zullen onvermijdelijkheid in de war raken. Met de installatie boven ze altijd volgens hetzelfde proces-verbinding, ongeacht de fysieke locatie.

Aangezien er geen security oplossing is altijd perfect, er moet wat naar beneden kanten, toch? Eerst zetten we een iets hogere belasting op de firewall. Interne communicatie tussen een draadloos systeem en een server normaal gesproken niet om de firewall, maar nu wel. Dit probleem kan eenvoudig worden opgelost met een tweede firewall echter.

Het tweede probleem is gerelateerd veiligheid, maar is afhankelijk van hoe zetten we de bovenstaande configuratie. In een ideale wereld zouden alle access points worden aangesloten op een enkele geïsoleerde schakelaar. De werkelijkheid in een grote omgeving maar nodig zouden kunnen maken van het gebruik van VLAN's , omdat de access points zijn geografisch verspreid van elkaar. Het gebruik van VLAN's opent de mogelijkheid van de VLAN hopping. Terwijl deze auteur denkt niet dat een aanvaller kan rommelen met DTP via een toegangspunt in om de toegang tot de stam, zijn zeker mogelijk van een rechtstreeks aangesloten systeem, zodat uiteindelijk iemand die slimmer is dan ik kan het uitzoeken krijgen. In het kort, vergeet niet dat deze zekerheid zone hetzelfde vertrouwen niveau als het internet is en dienovereenkomstig mee omgaan. Sluit DTP of een andere auto VLAN onderhandeling vermogen van de verkoper heeft standaard ingeschakeld.

Tot slot, rogue access points zijn nog steeds een probleem. Deze oplossing doet niets aan een eindgebruiker te weerhouden om in een access point van huis en steek hem binnen Je moet nog een houden oogje in het zeil voor deze activiteit. Over het enige wat deze oplossing voor je doet is nu weet je een access point aangesloten op het kabelnetwerk rogue is en moet worden aangepakt.

Hoop dat dit nuttig is!

C