Artikel. Wireless LAN-netwerken: Risico s en maatregelen

Artikel Wireless LAN-netwerken:

Risico’s en maatregelen Maurice Kroos en Robbert Kramer

In dit artikel wordt aandacht besteed aan de risico’s die samenhangen met het gebruik van draadloze netwerken (op basis van Wireless LAN, protocolnaam 802.11). Vervolgens wordt ingegaan op de technische maatregelen die in de huidige WLAN-technologie geïmplementeerd zijn om deze risico’s te beperken. Als laatste geeft dit artikel inzicht in te treffen aanvullende technische maatregelen buiten het WLAN die organisaties kunnen treffen om risico’s verder te beperken.

Organisaties passen steeds vaker draadloze netwerken op basis van Wireless LAN (802.11) technologie (hierna: WLAN) toe voor het realiseren van een draadloze verbinding tussen ICT-componenten en het vaste bedrijfsnetwerk. Ook wordt dezelfde technologie thuis toegepast voor een draadloos thuisnetwerk. In ons eerste artikel (‘Wireless LAN (Wlan) netwerken: een introductie’a), hebben wij een korte introductie over WLAN-netwerk gegeven. In ons tweede artikel (‘de wireless toolbox van de IT-auditor’b), zijn wij ingegaan op het gebruik van tools voor het testen van de beveiliging van WLAN-netwerken. In dit artikel, dat het derde en laatste deel is van ons drieluik met betrekking tot WLAN-netwerken, zullen wij de volgende onderwerpen beschrijven: • belangrijke kwaliteitsaspecten die betrekking hebben op WLAN-netwerken; • risico’s en bedreigingen ten aanzien van WLAN-netwerken; • in het WLAN-protocol (802.11) aanwezige technische maatregelen; • maatregelen, die aanvullend kunnen worden geïmplementeerd.

ing. M.R. Kroos RE CISSP is

R.P. Kramer RE is werkzaam

werkzaam bij Fortis Bank.

bij Van Lanschot Bankiers.

Voor het begrip van dit artikel is het handig om kennis te hebben over het OSI-referentiemodel van het ISO-instituut.c Het OSI-referentiemodel maakt complexe communicatie overzichtelijk door het opdelen van de communicatie tussen computersystemen in zeven lagen. Deze zeven lagen en een korte toelichting zijn in de onderstaande tabel weergegeven: OSI Model Host layers

Media

Laag

Onderdeel

Functie

7. Applicatie

Data

Network proces naar

Segmenten

applicatie

6. Presentatie

Data representatie

5. Sessie

Interhost communicatie

4. Transport

End-to-end connecties

3. Netwerk

Packets

2. Datalink

Frames

layers

Pad determinatie en logische addressering (IP) Fysieke adressering (MAC & LLC)

1. Fysieke

Bits

Media, signaal en binaire transmissie

Tabel 1

38 | de EDP-Auditor nummer 1 | 2007

Voor wat betreft WLAN is voornamelijk de fysieke laag en de datalink laag uit het OSI-referentiemodel van belang. WLAN vervangt de fysieke kabel en de toegang (datalink) tot de kabel. Een WLAN bestaat uit een Wireless Access Point (WAP) waarmee clients (mobiele devices zoals PDA’s en laptops) zich kunnen verbinden via de ether. Het voordeel is dat zonder kabels en in een gebied rondom het WAP een verbinding kan worden opgezet tussen ICT-componenten. Kwaliteitsaspecten In het kader van dit artikel zijn de kwaliteitsaspecten vertrouwelijkheid, integriteit en beschikbaarheid (VIB) gehanteerd als belangrijke aspecten met betrekking tot WLANnetwerken. Deze aspecten vormen dan ook de basis voor dit artikel. Uiteraard zijn andere kwaliteitsaspecten van WLANnetwerken, zoals herstelbaarheid, flexibiliteit, connectiviteit et cetera ook belangrijk. Deze worden echter niet in dit artikel behandeld. Wij hanteren de volgende definitiesd ten aanzien van WLAN: • Vertrouwelijkheid van gegevens via WLAN: de mate waarin uitsluitend geauthenticeerde personen of apparatuur, via geauthenticeerde procedures en beperkte bevoegdheden, gebruik kunnen maken van een WLAN. Dit kwaliteitsaspect is voornamelijk van toepassing op het netwerkverkeer tussen de client (bijvoorbeeld een computer, laptop) en het Wireless Access Point (WAP). • Integriteit van gegevens via WLAN: de verzonden data en andere relevante gegevens (zoals stuurgegevens) zijn in overeenstemming met de werkelijkheid. Dit aspect is voornamelijk gericht op de door het WLAN verzonden en/of ontvangen gegevens. • Beschikbaarheid van WLAN: de mate waarin het WLAN aanwezig is op het moment dat dit vereist is. Dit aspect is voornamelijk gericht op de aanwezigheid/werking van het WLAN , zodat communicatie mogelijk is. Risico’s en bedreigingen Doorbreken vertrouwelijkheid

Door ongeauthenticeerde toegang tot het WLAN worden de gegevens inzichtelijk en is de vertrouwelijkheid niet langer gewaarborgd. Ongeauthenticeerde toegang kan op verschillende manieren tot stand komen. De volgende bedreigingen zijn onder andere in een WLAN omgeving van toepassing: • Kraken/compromitteren encryptiesleutels: het achterhalen van encryptiesleutels zodat deze (her)gebruikt kunnen worden om te verbinden met het WLAN. In veel WLAN netwerken wordt encryptie toegepast ten behoeve van authenticatie van gebruikers en voor beveiliging van data. Indien de ongeauthenticeerde personen de encryptiesleutels kunnen achterhalen, dan kunnen deze worden gebruikt om toegang te krijgen tot het gehele WLAN-netwerk en de aanwezige data;

• Sniffing aanvallen: een generieke bedreiging waarbij draadloze communicatie gedurende een bepaalde periode wordt opgevangen en (gedeeltelijk) wordt opgeslagen en bewerkt. Een voorbeeld hiervan is de zogenaamde ‘sniff and crack’ aanval; wireless communicatie wordt opgevangen voor verdere analyse zoals bijvoorbeeld het kraken van encryptiesleutels voor toegang tot data en/of het wireless netwerk. • Man in the middle aanval: een aanval op een geauthenticeerde sessie door ongeauthenticeerde personen (the ‘man in the middle’). De ‘man in the middle’ is in staat de verbinding tussen de client en het AP bijvoorbeeld te manipuleren zodat al het netwerkverkeer via de ‘man in the middle’ verloopt. Of hij kan de verbinding overnemen. • Rogue access points of ad hoc devices: een ongeautoriseerd access point (‘rogue access point’) of ad hoc device, wordt in het netwerk geplaatst. Ongeauthenticeerde personen kunnen via het access point of ad hoc device dan toegang krijgen tot het netwerk. • Evil twins vergelijkbaar met rogue access points: geauthenticeerde gebruikers verbinden met een ongeautoriseerd access point met een bekend SSID, maar betere verbindingseigenschappen zoals signaalsterkte. De gebruiker denkt hier te maken te hebben met een geautoriseerd access point; het tegendeel is echter waar. Veel Windows-clients zijn standaard geconfigureerd voor wireless connectiviteit en zullen bijvoorbeeld het ontbreken van encryptie op de evil twin Access Point niet melden, maar de verbinding zonder tussenkomst van de gebruiker tot stand brengen. Op deze wijze wordt netwerkverkeer omgeleid via ongeauthenticeerde access points. • (Ethernet) bridging aanvallen: een wireless component (bijvoorbeeld een laptop met wireless kaart) wordt via het WLAN aangevallen op een zodanige wijze dat deze het wireless verkeer ongecontroleerd doorstuurt naar een ander netwerk (Windows XP bridging attack). Dit probleem speelt bijvoorbeeld bij laptops met zowel een WLAN- als LAN-netwerkkaart. • PreSharedKeys: Het gebruik van een pre-shared-keys in een bedrijfsomgeving betekent dat alle deelnemers gebruik maken van een en dezelfde (gedeelde) sleutel, waardoor ze elkaars netwerkverkeer kunnen inzien. Een voorbeeld hiervan is het gebruik van WEP. Gebruikers van een WLAN-netwerk, beveiligd met WEP kunnen elkanders communicatie inzien, omdat zij in het bezit zijn van de encryptiesleutels. Aantasten integriteit

De integriteit van een WLAN-netwerk is door de verschillende maatregelen in het 802.11 communicatieprotocol niet eenvoudig onopgemerkt te wijzigen. Bij wijzigingen in het netwerkverkeer zal het ontvangen bericht als onjuist worden aangemerkt en nogmaals worden verstuurd. Als een ongeautoriseerd persoon toegang heeft tot het WLAN-netwerk dan is daardoor de vertrouwelijkheid en de integriteit samen niet


langer gewaarborgd. De risico’s en bedreigingen van de integriteit zijn grotendeels gelijk aan die van de vertrouwelijkheid. Verlagen beschikbaarheid

De volgende bedreigingen vormen een risico ten aanzien van de beschikbaarheid: • Overbevolkt netwerk: Aangezien een beperkt aantal kanalen (momenteel dertien in Nederland) beschikbaar zijn, bestaat het risico dat de effectieve bandbreedte laag is omdat kanalen gedeeld moeten worden. Het aantal kanalen en op welke frequentie deze zich bevinden, wordt gereguleerd door de European Telecommunications Standards Institute (ETSI) in samenwerking met de landelijke organisaties. • Netwerk met dezelfde SSID met sterker signaal: WLANnetwerken worden logisch gescheiden door het gebruik van verschillende netwerknamen (aangeduid als SSID) en/of kanalen. Indien twee (al dan niet fysiek gescheiden) netwerken gebruik maken van hetzelfde SSID op hetzelfde kanaal, dan is het mogelijk dat het WLAN in zijn geheel niet beschikbaar is. • Twee AP clients met zelfde IP adres: Indien binnen eenzelfde WLAN netwerk meerdere clients bestaan met hetzelfde IP-adres kunnen verstoringen optreden. Dit is echter niet een specifiek risico van WLAN-netwerken, maar kan wel ongewenste broadcasts binnen het WLAN veroorzaken, waardoor de beschikbare bandbreedte verlaagd wordt. • Verstoring op protocol vlak: Het 802.11 protocol bevat verschillende inherente zwakheden. Een bekende zwakheid is bijvoorbeeld de mogelijkheid om een pakketje met een de/re-authenticate verzoek richting AP’s te sturen, waardoor actieve sessies worden ontregeld en soms zelf geblokkeerd worden. Een ongeauthenticeerde kan bijvoorbeeld met sterke antennes op enkele kilometers afstand een ‘deauthenticate’ of ‘802.1x-logoff ’ packet storm veroorzaken in een WLAN-netwerk. Hiervoor zijn

Maatregel

VIB

SSID verbergen

VI

inmiddels tools beschikbaar die een dergelijke aanval geautomatiseerd uitvoert. • Verstoringen door externe factoren: Aangezien gebruikgemaakt wordt van electromagnetische straling, is deze technologie kwetsbaar voor verstoringen zoals onweer en regen. Daarnaast maakt 802.11 b/g gebruik van een licentie vrije frequentie (2.4 Ghz bij 802.11b/g) waarbinnen steeds meer (niet WLAN) apparatuur gebruik maakt, bijvoorbeeld magnetrons, DECT en bluetooth toepassingen. Maatregelen (in 802.11)

In het 802.11 protocol (802.11a/b/g) zijn diverse maatregelen opgenomen die bijdragen aan het voorkomen of beperken van risico’s en bedreigingen. In de navolgende tabel staan de maatregelen die binnen de 802.11 (a/b/g) groep getroffen kunnen worden. De maatregelen worden na de tabel in meer detail beschreven. De maatregelen in het protocol zijn vooral gericht op vertrouwelijkheid en integriteit. De beschikbaarheid wordt met name verhoogd door aanvullende maatregelen en/of protocollen zoals 802.11ee, wat Quality of Service regelt. SSID verbergen

De Service Set Identifier (SSID) geeft de naam aan het WLAN-netwerk. De netwerknaam is vereist om een verbinding op te kunnen zetten met het netwerk en kan eigenlijk beschouwd worden als een vereenvoudigde vorm van authenticatie. Indien een aanvaller de SSID niet kent, zal deze zich niet kunnen verbinden met het WLAN-netwerk. Bij een standaard configuratie van een WLAN-netwerk wordt de SSID periodiek door het access point niet versleuteld uitgezonden zodat eindgebruikers het netwerk eenvoudig kunnen vinden. Dit wordt ‘SSID broadcast’ genoemd. Door SSID broadcasts uit te schakelen kan het eenvoudig achterhalen van de SSID (door bijvoorbeeld netstumbler) worden voorkomen. Netstumbler is een tool die alleen WLAN-netwerken in kaart brengt door het opvangen en interpreteren van SSID broadcasts. Netstumbler zal dan ook

Opmerkingen Het access point maakt zich niet bekend door middel van broadcasts, maar het WAP is detecteerbaar door te sniffen op alle kanalen ten tijde van het zenden of wanneer wireless clients zich associëren / authenticeren met het WLAN.

MAC-adres filteren

VI

Het MAC-adres van een geauthenticeerde client is te gebruiken en toe te kennen aan de eigen WLAN netwerkkaart. De beheersbaarheid van de lijst van toegestane MAC-adressen is arbeidsintensief.

Encryptie door middel van WEP of WPA

VI

PreSharedKey (PSK)

De sleutel is een vast gegeven en zal bij het ontnemen van toegang tot het WLAN-netwerk gewijzigd en opnieuw gecommuniceerd moeten worden. Daarnaast moet de encryptiesleutel regelmatig worden gewijzigd.

802.11i/WPA2

VI

De sleutel is een vast gegeven en zal bij het ontnemen van toegang tot het WLAN-netwerk gewijzigd en opnieuw gecommuniceerd moeten worden. Daarnaast moet de encryptiesleutel regelmatig worden gewijzigd.

Tabel 2


geen WLAN-netwerken aantreffen indien SSID broadcast niet is geactiveerd. Echter door middel van geavanceerde tools (bijvoorbeeld kismet onder Linux) kan de SSID toch eenvoudig achterhaald worden. Bij bijvoorbeeld het initialiseren van een verbinding met een WLAN-netwerk, wordt door de client altijd de SSID uitgezonden. Deze verbindingsverzoeken zijn ook eenvoudig af te luisteren zodat de SSID alsnog achterhaald kan worden.f Ook is de SSID te herleiden uit de verzonden packets en bij onder andere de volgende WLAN packet typesg: • SSID broadcasts (BEACON); het WLAN-network maakt zich periodiek bekend; • PROBE Requests, een WLAN device zoekt actief naar een ander WLAN device; • PROBE Responses, een WLAN device antwoordt op een probe request met daarin informatie over het WLAN; • ASSOCIATION en REASSOCIATION Requests, na successvolle authenticatie zal een WLAN device zich proberen te verbinden (‘associeren’) met een het access point of ander WLAN device. Het uitschakelen van SSID broadcasts heeft dus alleen een vertragend effect op een aanval. De wijze waarop en het tijdspad waarin dit plaats vindt, kan echter per WLAN-netwerk verschillen. Van enkele seconden, indien het netwerk druk bezet is tot enkele uren in geval van een weinig gebruik netwerk.

Het uitschakelen van SSID broadcasts heeft alleen een vertragend effect op een aanval

welke gebruikmaakt van symmetrische versleuteling op basis van een preshared key. De bezwaren tegen het gebruik van WEP zijn onder andere: • De WEP-sleutel is voor iedere sessie en elke gebruiker van hetzelfde access point gelijk. Dit houdt in dat geauthenticeerde gebruikers van het WLAN-netwerk de mogelijkheid hebben om netwerkverkeer van andere gebruikers af te luisteren. • Een key management protocol voor WEP is momenteel niet in de 802.11 standaard voorzien. Hiertoe dienen aanvullende producten en processen te worden geïmplementeerd. Hierdoor is extra beheerinspanning voor het (periodiek) wijzigen van de sleutel benodigd. • WEP-encryptie is relatief eenvoudig te kraken en daardoor onbetrouwbaar.

MAC-adres filter

Net zoals in regulier LAN-netwerken is het Media Access Control (MAC) adres een belangrijk gegeven. Het MACadres is een hardware code die gebruikt wordt om elke node in een netwerk uniek te identificeren. Het MAC-adres bevindt zich (in 802-netwerken) op laag 2; dit is de ‘Data Link Control Layer’. Het MAC-adres kan binnen een WLAN-netwerk worden gebruikt om connecties toe te staan (white listing) of te weigeren (black listing). De volgende bezwaren zijn van toepassing op het gebruik van een MACadres filter: • Voor zowel de toepassing van white listing als black listing zijn actuele en betrouwbare gegevens over de toegestane of te weigeren MAC-adressen noodzakelijk. Dit vergt een aanvullende beheerinspanning die mogelijk onwenselijk is. • MAC-adressen worden zonder encryptie verstuurd over het WLAN-netwerk, zelfs indien encryptie (bv. WEP of WPA) is toegepast. Met behulp van sniffers kunnen toegestane en/of geweigerde MAC-adressen eenvoudig worden achterhaald. • MAC-adressen kunnen eenvoudig worden gedupliceerd en zodoende voor spoofing aanvallen gebruikt worden. WEP

Binnen de 802.11 standaard is tijdens de ontwikkeling voorzien om encryptie toe te passen. In de oorspronkelijke standaard betrof dit de Wired Equivalent Privacy encryptie,

Wireless Protected Access (WPA)

In 2001 werd aangetoond dat WEP wiskundig te kraken was en al snel volgden diverse proof of concept hacking tools.h Na deze ontdekking (of wellicht al eerder) is de IEEE gestart met het ontwerpen van een nieuwe beveiligingsstandaard genaamd 802.11i. Het zou echter nog een aantal jaren duren voordat deze standaard beschikbaar zou zijn en om deze reden is door de Wi-Fi Alliancei gekozen om een tussenoplossing, de Wireless Protected Access (WPA), beschikbaar te stellen. In WPA is een subset van de vereisten in 802.11i geïmplementeerd en is bedoeld om WEP te vervangen, zonder dat daar de hardware voor vervangen moet worden; in de praktijk gaat dit echt niet altijd op. WPA is ontworpen om in combinatie met een authenticatie server (bv. RADIUSj) geïmplementeerd te worden. De authenticatie server distribueert dan de verschillende sleutels naar de gebruikers van het WLAN-netwerk. Deze mode wordt als de ‘enterprise’ mode aangeduid. In enterprise WPA wordt de authenticatie niet afgehandeld door het access point, maar door de authenticatie server. Hierdoor ontstaat de mogelijkheid om te autoriseren op basis van digitale certificaten, gebruikersnaam/wachtwoordcombinaties of smart cards etc. Het access point fungeert in dit geval als een bridge tussen het LAN en het WLAN-netwerk. WPA kan ook zonder authenticatie server gebruikt worden in de zogenaamde ‘pre-shared key’ mode (PSK) WPA.


Beide modussen in WPA maken gebruiken van nieuwe beveiligingstechnologieën zoals authenticatie, encryptie en diverse integriteitcontroles: • Authenticatie: 802.1Xk • Encryptie: TKIPl en AESm • Integriteitcontroles: MICn 802.11i / WPA2

802.11i is een protocolbeschrijving die door het IEEE is uitgevaardigd. Op basis van de protocolbeschrijving heeft de Wi-Fi Alliance de WPA2 implementatie ontworpen. WPA2 is in de opvolger van WPA, waarbij die aspecten geïmplementeerd zijn, die in het 802.11i protocol verplicht zijn gesteld. In aanvulling op TKIP/AES en MIC in WPA, is in WPA2 een nieuw op AES gebaseerde algoritme toegevoegd. Dit nieuwe algoritme, genaamd Cipher Block Chaining Message Authentication Code (AES-CCMP), wordt momenteel als zeer veilig beschouwd. Aanvullende (technische) maatregelen

De maatregelen voor het verhogen van de waarborgen met betrekking tot de vertrouwelijkheid en integriteit zijn vooral in het communicatieprotocol opgenomen. Voor het verhogen van de waarborgen met betrekking tot de beschikbaarheid zullen aanvullende maatregelen noodzakelijk zijn. Daarnaast kunnen aanvullende maatregelen worden getroffen voor het extra verhogen van de waarborgen met betrekking tot de vertrouwelijkheid en integriteit. De maatregelen zijn niet specifiek voor WLAN, maar kunnen/worden ook ingezet voor algemene netwerkbeveiliging. In de onderstaande tabel is een kort overzicht opgenomen van de belangrijkste aanvullende (technische) maatregelen. End to End encryptie

Bij end-to-end encryptie wordt onafhankelijk van het gebruikte transportmedium (bijvoorbeeld een WLAN) een end-to-end tunnel opgezet tussen de zender en ontvanger.

Dit kan plaats vinden binnen verschillende lagen van het OSI-model. Enkele voorbeelden zijn HTTPS, IPsec en PPTP. Een dergelijke implementatie zal veelal bestaan uit een standaard VPN-verbinding. Wireless intrusion detection / location based authorisation

Door het permanent monitoren van wireless activiteit is het mogelijk de aanwezige wireless clients en AP’s in de omgeving te detecteren en bij een gebeurtenis een alarmmelding te genereren of actie te ondernemen. Er zijn zelfs commerciële producten verkrijgbaar die met behulp van triangulatie de positie van wireless apparatuur kunnen bepalen en zodoende een virtuele ‘veilige zones’ te creëren. Daarbij krijgt men alleen toegang tot een WLAN-netwerk indien zich men in een vooraf ingesteld zone bevind. Dit concept wordt ook wel ‘location based authorisation’ genoemd. Portbased authentication obv 802.1X

Bij portbased authentication op basis van 802.1X wordt pas een actieve netwerkpoort geopend na succesvolle authenticatie van een gebruiker of een device. Met deze maatregel is het onder andere mogelijk dat alleen ‘vertrouwde’ hardware en/of gebruikers toegang krijgen tot het (WLAN) netwerk. Als een onbekende access point of gebruiker connectie krijgt met het LAN zal de switch geen ethernetpoort activeren en dus geen verbinding met het netwerk opzetten. Deze maatregelen kunnen toegepast worden om bijvoorbeeld rogue access points te weren, maar zijn niet specifiek voor wireless LAN ontwikkeld en kunnen ook in reguliere LAN netwerken toegepast worden. 802.1X maakt gebruikt van het Extensible Authentication Protocol (EAP). EAP is een framework voor de definitie van authenticatie mechanismen en kan zowel in LAN als WLANnetwerken toegepast worden. Deze authenticatie-mechanismen worden ‘EAP methods’ genoemd. Er zijn tientallen ‘EAP methods’ beschreven zoals EAP-MD5, EAP-OTP,

Maatregel

VIB

Opmerkingen

End to end encryptie

VI

VPN-verbinding of ander soort tunnel waardoor de waarborg van de vertrouwelijkheid en integriteit door de tunnel worden geregeld.

Wireless intrusion detection / location based

VIB

Monitoren waardoor kan worden ingegrepen.

Portbased authentication

VI

Alleen geauthenticeerde componenten hebben toegang.

Forced path architectuur

VI

Vanaf het WLAN is beperkte toegang tot het bedrijfsnetwerk mogelijk.

DMZ architectuur

VI

Het WLAN is opgenomen in een DMZ.

Client security

VI

De client mag pas na controle het netwerk op.

Outside WLAN access

VIB

WLAN toegang tot het bedrijfsnetwerk vindt plaats over een extern netwerk op basis

authorisation

van hotspot toegang via VPN. Fysieke maatregelen

VIB

Fysieke maatregelen zoals het plaatsen, uitrichten en afschermen van antennes en access point.

Tabel 3


EAP-GTC, EAP-TLS, EAP-IKEv2, EAP-SIM, and EAPAKA. In de WPA2 standaard zijn 5 ‘EAP methods’ opgenomen. EAP kan ook voorzien in de afwikkeling van veilige sleuteluitwisseling voor encryptie van WLAN-verbindingen door middel van TKIP of AES. Ook zijn er fabrikant specifieke EAP-methodes beschikbaar zoals Cisco LEAPo. Voor meer informatie over EAP, zie RFC 3748p. Forced path architectuur

Deze maatregel heeft betrekking op de wijze waarop een WLAN-netwerk in het bedrijfsnetwerk is opgenomen. De toegangspunten van WLAN-netwerken zijn verbonden met het bedrijfsnetwerk via een ‘geforceerd pad’. Dit houdt in dat indien het WLAN gecompromitteerd mocht worden, dat dan slechts beperkt toegang tot het bedrijfsnetwerk mogelijk is.

Fysieke maatregelen

De positie, richting en afscherming en gevoeligheid van antennes in relatie met de zendsterkte van een access point zijn van belang voor zowel de vertrouwelijkheid, integriteit maar met name de beschikbaarheid van een WLAN-netwerk. Zo dient bijvoorbeeld het bereik van het WLAN-netwerk te worden afgestemd op het gebruik, zodat geen radiogolven buiten het gewenste bereik kunnen worden ontvangen (om sniffing aanvallen en verstoringen te beperken). Daarnaast is de fysieke beveiliging van access points van belang.

Nieuwe ontwikkelingen Wireless N Wireless N (802.11n) is een nieuwe ontwikkeling binnen het 802.11

DMZ architectuur

framework. Wireless-N wordt vaak aangeduid als de opvolger van

WLAN-netwerken worden als een non-trusted of semitrusted netwerk beschouwd en als zodanig opgenomen in de beveiligingsarchitectuur. De WLAN toegangspunten bevinden zich dan in de DMZ van een netwerk en de toegang verloopt dan via gecontroleerde netwerktoegangspunten zoals een of meerdere firewalls of proxies.

802.11g. Momenteel is het ratificatieproces van 802.11n versie 1.1 in de afrondingsfase (januari 2007). In theorie moet 802.11n een bandbreedte kunnen leveren van 600Mbps, waarbij meerdere antennes voor zenden en ontvangen gebruikt worden voor optimale communicatie. Momenteel zijn al enkele pre-802.11n producten te koop met een lagere bandbreedte. Deze producten zullen waarschijnlijk echter niet compatibel zijn met de definitieve 802.11n standaard.

Client security

Of de uiteindelijke standaard gebruik gaat maken van 2.4 Ghz

Het beveiligen van de wireless clients zoals laptops is iets dat vaak vergeten worden. Hier zijn verschillende maatregelen mogelijk zoals verificatie van de client door bijvoorbeeld het access point of een network access server. Sommige WLAN access points kunnen controleren of antivirus en/of firewall software van bepaald type of versie geïnstalleerd is. Indien dit niet het geval is, wordt geen toegang tot het WLAN verleend; dit om te voorkomen dat clients met een lager beveiligingsniveau het WLAN binnendringen. Aanvullend dienen wireless clients ook zo geconfigureerd te zijn dat geen verbinding kan worden opgezet met niet-vertrouwde access points. De standaard instellingen van verschillende besturingssystemen veroorzaken namelijk een automatische verbinding naar het access point genaamd ‘default’, indien het vooraf ingesteld access point niet beschikbaar is of een zwak signaal heeft. Het zogenoemde hardening van wireless clients is een belangrijke maatregel.

(zoals bij 802.11b en g) of 5 Ghz (802.11a) is momenteel nog onduidelijk. De 802.11n standaard zal leiden tot WLAN netwerken met een groter bereik en hogere snelheid. Dit houdt echter ook in dat aanvallen op dit soort netwerken efficiënter kunnen worden uitgevoerd (vanwege de hogere snelheid) en dat deze aanvallen ook over een grotere afstand plaats kunnen vinden. FON social router project Het FON social router project is een initiatief van het bedrijf FON (gevestigd in Spanje). De doelstelling van FON is om zoveel mogelijk (gratis) WLAN internet toegang in de wereld te organiseren door het goedkoop aanbieden van Wireless routers aan thuisgebruikers. Daarbij kunnen thuisgebruikers voor een zeer lage prijs een wireless router kopen met de voorwaarde dat zijn het te creeeren WLAN voor andere geregistreerde gebruikers van FON toegankelijk maken. Alle geregistreerde gebruikers kunnen gebruik maken van de FON routers en zo toegang krijgen tot het internet. Ook niet geregistreerde gebruikers kunnen voor

Outside WLAN access

een klein bedrag via FON routers toegang krijgen tot het internet.

WLAN toegang vindt plaats via een aparte internetkoppeling (bv. Een ADSL koppeling). Gebruikers krijgen verbinding met het bedrijfsnetwerk op basis van een RAS toepassing. Deze toepassing wordt vaak gebruikt bij bedrijven die wireless toegang willen geven aan medewerkers of externen tot hun bedrijfsnetwerk, maar geen directe koppeling willen implementeren. In dit geval verbinden wireless clients zich met internet hotspots (bijvoorbeeld via ADSL), die niet gekoppeld zijn met het bedrijfsnetwerk, maar wel binnen het bedrijfspand bereikbaar zijn. Vanaf het internet wordt dan een VPN-verbinding opgezet met het bedrijfsnetwerk, waarbij vaak tweefactor authenticatie wordt gebruikt.

De opbrengsten hiervan gaan voor een gedeelte naar de eigenaar van de FON router. Los van dit goed bedoelde initiatief, vinden wij dat er nogal wat bezwaren aan het FON router project kleven: • Geen toepassing van encryptie van het WLAN verkeer; • Indien onjuist geplaatst kan de FON router toegang geven tot het thuisnetwerk. Indien het FON project een succes wordt, dan zullen meer onbeveiligde netwerken bestaan en ook misbruikt kunnen worden om anonieme aanvallen op andere netwerken uit te voeren.


Lijst van afkortingen en standaarden

Boekverwijzingen:

IEEE 802.1X

Portbased Access Control

Information security management handbook, 5th edition Tipton / Krause

IEEE 802.3

Wired LAN

Real 802.11 security Wifi protected Access and 802.11i Jon Edney / William A. Arbaugh

IEEE 802.11

originele specificatie van WLAN

Wi-FOO the secrets of wireless hacking A. Vladimirov / V. Gavrilenko / A. Mikhailovsky

IEEE 802.11e

WLAN met Quality of Service (QoS)

802.11i part 11, amendment 6 WLAN MAC and physical layer specifications IEEE

IEEE 802.11i

WLAN beveiliging

FON Social router project (www.fon.com)

IEEE 802.11a

WLAN, 5 Ghz (tot 54 Mbps)

IEEE 802.11b

WLAN, 2.4 Ghz (tot 11 Mbps)

Links

IEEE 802.11g

WLAN, 2.4 Ghz (tot 54 Mbps)

http://csrc.nist.gov/publications/drafts/Draft-SP800-97.pdf

EAP

Extensible Authentication Protocol

http://iase.disa.mil/stigs/checklist/

MIC

Message Integrity Check

http://iase.disa.mil/stigs/stig/index.html

RC4

Rivest Cipher 4

http://cisr.nps.edu/downloads/theses/02thesis_morrison.pdf

AES

Advanced Encryption Standard

http://standards.ieee.org/getieee802/download/802.11i-2004.pdf

TKIP

Temporal Key Integrity Protocol

http://tools.ietf.org/html/rfc3748

Conclusie

l TKIP (Temporal Key Integrity Protocol) is een protocol voor encryptie.

In dit artikel hebben we een overzicht gegeven van de risico’s en bedreigingen die samenhangen met het gebruik van draadloze netwerken. In het 802.11 protocol zijn diverse maatregelen opgenomen die bijdragen aan het voorkomen of beperken van deze risico’s. We concluderen dat de vertrouwelijkheid en integriteit van WLAN-netwerken met behulp van diverse maatregelen in het 802.11 protocol in redelijke mate kunnen worden gegarandeerd. De beschikbaarheid van WLAN-netwerken is echter minder goed te waarborgen, omdat gebruik wordt gemaakt van meerdere licentie vrije frequenties. De verwachting is dat deze frequenties door steeds meer uiteenlopende apparatuur wordt gebruikt, wat beschikbaarheidsproblemen kan veroorzaken. Wanneer een hoger niveau van beveiliging noodzakelijk is, zullen aanvullende technische maatregelen, zoals bijvoorbeeld een VPN over het WLANnetwerk, getroffen moeten worden. ■

TKIP is onderdeel van de IEEE 802.11i standaard ten behoeve van WPA en bedoeld om de zwakheden in WEP op te lossen. TKIP is een verzameling van algoritmes die gebruikt worden als toevoeging aan het WEP protocol, zodat ook legacy WLAN-toepassingen kunnen upgraden naar TKIP zonder de hardware te vervangen. TKIP maakt gebruik van RC4 encryptie (net als WEP). In aanvulling hierop zijn de volgende algoritmes toegevoegd: • een message integrity check; • de initialisatie vector wordt gehashed (bij WEP werd deze onversleuteld verstuurd); • elk packet wordt apart versleuteld; • elke 10.000 packets wordt een nieuw sleutelgeneratieproces gestart. m Advanced Encryption Standard is ook een protocol voor encryptie en ook onderdeel van de 802.11i standaard. AES biedt een hoger niveau van beveiliging, maar is vereist vaker een hardware upgrade. Naar verwachting zal AES de standaard worden voor encryptie binnen WLAN-netwerken. n Message Integrity Check. o Het gebruik van Cisco LEAP raden wij af; zie ons vorig artikel.

Noten

p http://tools.ietf.org/html/rfc3748

a EDP auditor nr. 4 2004. b EDP auditor nr. 3 2005. c http://standards.iso.org/ittf/PubliclyAvailableStandards/s020269_ISO_ IEC_7498-1_1994(E).zip. d Gebaseerd op de definities in NOREA geschrift nr.1, blz. 49/50. e 802.11e valt buiten de scope van dit artikel. f Een aantal fabrikanten leveren afwijkende oplossingen om het SSID te versleutelen of regelmatig automatisch te wijzigen. Dit concept valt formeel niet onder de 802.11 specificatie en valt buiten de scope van dit artikel. g Een overzicht van WLAN packet types is hier te vinden: http://www.wildpackets.com/support/compendium/manual_appendices/nxG1_WLAN h Bijvoorbeeld ‘airsnort’, zoals in het vorige artikel is genoemd. i Wi-Fi Alliance is een samenwerkingsverband van verschillende fabrikanten, zoals Agere, Motorola, Philips en Microsoft etc. die gezamenlijk eigenaar zijn van de handelsnaam ‘Wi-Fi’, wat staat voor Wireless Fidelity. j Remote Authentication Dial In User Service. k Is de IEEE standard voor port-based network access control.


Artikel. Wireless LAN-netwerken: Risico s en maatregelen

Recommend Documents