I mitt siste innlegg drøftet jeg problemer med distribusjon av WPA i et bedriftsmiljø. La oss tilbake opp litt og liste hvorfor vi sikre trådløse nettverk:
- Tillater ukontrollert tilgang kan føre til kompromiss
- Godkjenning er nødvendig for å verifisere at personen koble i
- Data kan sniffes slik kryptering er nødvendig for personvern
Ganske rett frem resonnement, men nå stoppe opp og vurdere hvorfor vi sikre eksterne brukere når de kobler inn fra Internett:
- Tillater ukontrollert tilgang kan føre til kompromiss
- Godkjenning er nødvendig for å verifisere at personen koble i
- Data kan sniffes slik kryptering er nødvendig for personvern
Merk grunnene er de samme. Jeg er stor på årsaken analyse, og årsaken til at så mange av oss hoppe skjønt hoops med WPA er at vi prøver å passe en firkantet pinne inn i en runde hull. Med andre ord, i stedet erkjenne at et trådløst signal er en egen ukontrollert enhet, vi prøver virkelig hardt å sleng på en rask løsning slik at den kan være klarert på samme nivå som det kablede segmentene sikret bak vårt kontor vegger. Ikke en overraskelse egentlig, gitt at de første protokoll vi fikk til å sikre trådløse ble kalt Wired Equivalent Privacy (WEP) protokoll. Unødvendig å si navnet tilsier direkte at trådløst kan gjøres for å være så sikker som en kablet bryter port. Historien har vist, og fortsetter å vise noe annet likevel.
Tenk nettverket tegningen i figur # 1. Merk at vi har konfigureres nettverket for å bedre adressen årsaken problemer med trådløs. Trådløst er ikke lenger ansett som troverdig som en kablet bryter port. Dens behandlet på en lignende måte til sine nærmeste matchende sikkerhetssone, Internett. Vi bare henge våre aksesspunkter ut av en annen brannmur port og bruke en lignende sikkerhet holdning.
Så når noen kobler til tilgangspunktet, hva skjer? Tilkoblingen er gjort i den klare uten sikkerhet aktivert. Bare å koble til riktig SSID og gå. Den lokale DHCP-serveren hender da systemet en IP-adresse. På dette punktet vår oppsettet fungerer som alle andre ikke-sikret nettverk.
Se hva et trådløst system får tilgang til likevel. Gjennom brannmuren, er det kun tillatt tilgangspunkt VPN gateway. Dette er det samme som når brukeren kobler inn fra Internett. Så snarere enn å måtte stole på en enkelt sikkerheten gjennomføring (WPA) med enkelt valg for personvern (AES), kan du distribuere hva du føler er passende. Robusthet og fleksibilitet av SSH , SSL og IPSec alle bli muligheter for å sikre din datastrøm. Mens hver løsningen støtter AES for data personvern, åpne de opp en mengde andre, noen føler seg bedre, alternativer som Blowfish og Twofish .
Men vent, kunne ikke en angriper koble til tilgangspunktet og gå etter bærbare datamaskiner som kobler inn? Absolutt. Igjen har denne sonen samme sikkerhetsnivået som på Internett slik at de samme reglene gjelder. Tenk om dine typiske trådløse brukere imidlertid. De pleier å være på farten, som også kobler inn fra Internett. Dette betyr at deres system skal allerede ha de nødvendige VPN programvare og en personlig brannmur system. Så hvis den bærbare datamaskinen er konfigurert til å koble i fra Internett, dets klar til å gå i dette trådløse konfigurasjonen også.
En av de tingene jeg virkelig liker med denne konfigurasjonen er at det reduserer ikke bare back end administrasjon (ikke mer WPA management), men Help Desk Support tid også. Brukere som bare ønsker seg laptop til arbeid og er mer effektive når de kan følge en konsekvent prosess. Når vi forteller dem "Utfør trinn A, deretter B, deretter C for å koble inn fra Internett, men steg D, deretter E da F hvis du er på kontoret", vil noen uunngåelig bli forvirret. Med oppsettet ovenfor alltid de følger den samme forbindelsen prosessen, uavhengig av fysisk plassering.
Siden ingen sikkerhetsløsning er aldri perfekt, det må være noen ned sider, ikke sant? Først setter vi en litt høyere belastning på brannmuren. Intern kommunikasjon mellom et trådløst system og en server vil normalt ikke innebære brannmuren, men nå gjør. Dette problemet kan lett løses med en annen brannmur imidlertid.
Det andre problemet er sikkerhetsrelaterte, men er avhengig av hvordan vi distribuerer over konfigurasjonen. I en ideell verden alle tilgangspunktene skulle kobles til en enkelt isolert bryter. Reality i et stort miljø imidlertid kan nødvendiggjøre bruk av VLAN fordi tilgangspunktene er geografisk spredt fra hverandre. Bruk av VLAN åpner opp muligheten for VLAN hopping. Mens denne forfatteren ikke tror at en angriper kan rote med DTP gjennom et tilgangspunkt for å få tilgang til stammen, dens absolutt mulig fra en direkte tilkoblet systemet så til slutt noen smartere enn jeg kan finne det ut. Kort sagt, husk at dette sikkerhetssone har samme tillit nivå som Internett og håndtere det deretter. Slå av DTP eller annen auto VLAN forhandling evne leverandøren har slått på som standard.
Endelig rogue tilgangspunkter er fortsatt et problem. Denne løsningen gjør ingenting for å stoppe en sluttbruker fra å bringe på et tilgangspunkt hjemmefra og plugge den i. Du må fortsatt holde et våkent øye for denne aktiviteten. Omtrent det eneste denne løsningen gjør for deg er nå du kjenner noen aksesspunkt koblet til det kablede nettverket er rogue og må tas opp.
Håper dette er nyttig!
C
