I mitt sista inlägg jag diskuterade problemen med att distribuera WPA i en företagsmiljö. Låt oss backa upp lite och lista varför vi säkra trådlösa nätverk:
- Att tillåta okontrollerad tillgång kan leda till kompromissa
- Autentisering krävs för att kontrollera personen ansluter i
- Data kan sniffas så kryptering behövs för dataskydd
Ganska rakt fram resonemang, men nu stanna upp och fundera över varför vi säkra på distans användare när de ansluter in från Internet:
- Att tillåta okontrollerad tillgång kan leda till kompromissa
- Autentisering krävs för att kontrollera personen ansluter i
- Data kan sniffas så kryptering behövs för dataskydd
Notera orsakerna är desamma. Jag är stor på grundorsaksanalys och anledningen till att så många av oss hoppar även bågar med WPA är att vi försöker att passa en fyrkantig pinne i ett runt hål. Med andra ord, snarare än att inse att en trådlös signal är en separat okontrollerad enhet, försöker vi verkligen svårt att smälla på en snabb lösning så att den kan lita på samma nivå som de trådbundna segmenten säkerhet bakom våra kontor väggar. Inte en överraskning egentligen, med tanke på att det första protokollet fick vi för att säkra trådlösa kallades Wired Equivalent Privacy (WEP) protokollet. Självfallet namnet direkt innebär att trådlöst kan göras för att vara så säker som ett trådbundet switch port. Historien har visat och fortsätter att visa något annat dock.
Tänk på nätet ritningen i figur # 1. Observera att vi har konfigurerats i nätverket för att bättre ta itu med problemen rot sak med trådlöst. Trådlös inte längre anses lika trovärdig som en fast switch port. Det behandlas på ett liknande sätt som dess närmaste matchande säkerhetszonen, Internet. Vi hänger helt enkelt våra accesspunkter bort av en annan brandvägg port och tillämpa en liknande säkerhetstillstånd.
Så när någon ansluter till accesspunkten, vad händer? Anslutningen görs i det klara utan säkerhet aktiverad. Anslut bara till rätt SSID och gå. Den lokala DHCP-servern överlämnar sedan systemet en IP-adress. Vid denna tidpunkt vårt inställning fungerar precis som alla andra icke-skyddade nätverket.
Titta vad ett trådlöst system får tillgång till dock. Genom brandväggen, är den enda tillåtna ingång VPN-gateway. Det här är densamma som när användaren ansluter i från Internet. Så i stället för att lita på en enda säkerhet genomförande (WPA) med sin enda valet för dataskydd (AES), kan du distribuera vad du tycker är lämpligt. Robusthet och flexibilitet SSH , SSL och IPSec blir alla möjligheter för att skydda ditt Datastream. Även om varje lösning stödjer AES för datasekretess öppnar de upp en mängd andra, en del mår bättre, alternativ som Blowfish och Twofish .
Men vänta, kunde inte en angripare att ansluta till min åtkomstpunkt och gå efter de bärbara datorer som ansluter in? Absolut. Återigen har denna zon samma säkerhetsnivå som Internet så att samma regler gäller. Tänk på din typiska trådlösa användare dock. De tenderar att vara väg krigare, som också ansluter in från Internet. Detta innebär att deras system redan bör ha erforderlig VPN programvara och en personlig brandvägg system. Så om den bärbara datorn är konfigurerad för att ansluta in från Internet, den är färdig att gå i den trådlösa konfigurationen också.
En av de saker som jag verkligen tycker om denna konfiguration är att det inte bara minskar bakdelen administration (inte mer WPA management), men hjälp gången desk support också. Användarna vill bara sin bärbara dator att arbeta och är mer effektiva när de kan följa en konsekvent process. När vi säger till dem "Utför stegen A, sedan B, sedan C för att ansluta in från Internet, men steg D, sedan E så F om du är på kontoret", en del kommer oundviklighet bli förvirrad. Med installationen ovanstående de alltid följer samma anslutningsprocessen, oberoende av fysisk plats.
Eftersom ingen säkerhetslösning är någonsin perfekt, det måste finnas ner sidorna, eller hur? Först lägger vi en något högre belastning på brandväggen. Den interna kommunikationen mellan en trådlös och en server normalt inte innebära brandväggen, men nu gör det. Detta problem kan lätt lösas med en andra brandvägg dock.
Den andra frågan är säkerhetsrelaterade, men är beroende av hur vi distribuerar ovanstående konfiguration. I en idealisk värld alla kopplingspunkter som skulle vara ansluten till ett enda isolerat omkopplare. Verkligheten i en stor miljö men kan kräva användning av VLAN eftersom åtkomstpunkter är geografiskt spridda från varandra. Användningen av VLAN-nätverk öppnar upp för möjligheten av VLAN hopping. Även denna författare inte tror att en angripare kan bråka med DTP via en åtkomstpunkt för att få tillgång till stammen, dess förvisso möjligt från en direktansluten system så småningom att någon smartare än jag kan räkna ut det. Kort sagt, kom ihåg att detta säkerhetszon har samma förtroende nivå som Internet och hantera det därefter. Stäng DTP eller någon annan auto VLAN förhandling kapacitet säljaren har aktiverad som standard.
Slutligen, otillåtna åtkomstpunkter är fortfarande ett problem. Denna lösning gör ingenting för att stoppa en slutanvändare från att i en kopplingspunkt hem och plugga i. Du måste fortfarande hålla ett vakande öga för denna verksamhet. Om enda lösningen gör för dig är nu du vet åtkomstpunkt ansluten till det trådbundna nätverket är oseriösa och måste åtgärdas.
Hoppas detta är till hjälp!
C-
