Přehled zabezpečení

Zpět na obsah

# Přehled zabezpečení

Šifrování WEP

- Otevřené ověřování a ověřování pomocí sdíleného klíče

Ověřování 802.1X

- Jak funguje ověřování 802.1X
- Funkce ověřování 802.1X

WPA* nebo WPA2*
Podnikový režim
Osobní režim
WPA - podniky a WPA2 - podniky
WPA - osobní a WPA2 - osobní
AES-CCMP
TKIP
TLS
TTLS

- Protokoly pro ověřování

PEAP

- Protokoly pro ověřování

Funkce Cisco

- Cisco LEAP
- Funkce Zabezpečení nebezpečného přístupového bodu Cisco
- Rychlý roaming (CCKM)
- CKIP
- Protokol ochrany smíšeného prostředí 802.11b a 802.11g
- EAP-FAST
- Režim smíšených buněk
- Správa bezdrátové komunikace

# Šifrování WEP

Použitím šifrování IEEE 802.11 Wired Equivalent Privacy (WEP) může zabránit neoprávněnému přijímání bezdrátových dat. Šifrování WEP poskytuje dva stupně zabezpečení pomocí 64bitového klíče (rovněž označován jako 40bitový) nebo 128bitového klíče (rovněž označován jako 104bitový). K zajištění vyššího zabezpečení používejte 128bitový klíč. Pokud použijete šifrování, všechna bezdrátová zařízení v bezdrátové síti musí používat stejné nastavení šifrování.

Šifrování WEP (Wired Equivalent Privacy) a sdílené ověřovaní chrání data v síti. Technologie WEP používá šifrovací klíč k zašifrování dat před jejich odesláním. K síti nebo k datům, která byla zašifrována a odeslána jinými počítači, mají přístup pouze počítače se stejným šifrovacím klíčem. Ověřování představuje další proces mezi adaptérem a přístupovým bodem.

Šifrovací algoritmus WEP může být vystaven pasivním a aktivním útokům na síť. Algoritmy TKIP a CKIP obsahují zlepšení protokolu WEP, která snižuje možnost útoku na síť a řeší příslušné nedostatky.

### Otevřené ověřování a ověřování pomocí sdíleného klíče

Ověřování IEEE 802.11 podporuje dva typy metod ověřování v síti: otevřený systém a sdílený klíč.

- Otevřené ověřování: O ověření může požádat libovolná bezdrátová stanice. Stanice, která potřebuje ověření od jiné bezdrátové stanice, zašle ověřovací požadavek, který obsahuje identitu vysílací stanice. Přijímací stanice nebo přístupový bod vyhoví požadavku o ověření. Otevřené ověřování dovoluje přístup na síť jakémukoli zařízení. V případě, že na síti není zapnuto šifrování, může přístup do sítě získat jakékoli zařízení, které zná název SSID (Service Set Identifier) přístupového bodu.
- Ověřování pomocí sdíleného klíče: Předpokládá se, že každá bezdrátová stanice obdržela tajný sdílený kód prostřednictvím zabezpečeného kanálu nezávislého na bezdrátovém komunikačním kanálu 802.11. Ověřování pomocí sdíleného klíče vyžaduje, aby klient nakonfiguroval statický klíč WEP. Přístup je klientovi udělen pouze tehdy, pokud splní podmínky ověřování.

# Ověřování 802.1X

Jak funguje ověřování 802.1X
Funkce ověřování 802.1X

### Přehled

Ověřování 802.1X závisí na ověřovacím procesu 802.11. Standard 802.1X poskytuje rámec pro různé ověřovací protokoly a protokoly správy klíčů. Existují různé druhy ověřování 802.1X, každý z nich poskytuje jiný přístup k ověřování, ale všechny používají stejný protokol a rámec 802.1X pro komunikaci mezi klientem a přístupovým bodem. Ve většině protokolů po ukončení ověřovacího procesu 802.1X dostane žadatel klíč, který používá pro šifrování dat. Další informace najdete v části Jak funguje ověřování 802.1X. Při ověřování 802.1X se ověřovací metoda používá mezi klientem a serverem RADIUS (Remote Authentication Dial-In User Service), který je připojen k přístupovému bodu. V procesu ověřování se ověřují informace, jako například hesla uživatelů, které se nevysílají po celé bezdrátové síti. Většina druhů ověřování 802.1X podporuje dynamické klíče pro jednoho uživatele a jednu relaci ke zlepšení bezpečnosti statického klíče. Ověřování 802.1X používá stávající ověřovací protokol EAP (Extensible Authentication Protocol).

Ověřování 802.1X pro bezdrátové sítě má tři hlavní součásti:

- ověřovatel (přístupový bod),
- žadatel (klientský software),
- ověřovací server (RADIUS).

Ověřování 802.1X inicializuje autorizační požadavek od klienta o schválení přístupu na přístupový bod, který ověří totožnost klienta na serveru RADIUS kompatibilním s protokolem EAP (Extensible Authentication Protocol). Tento server RADIUS může ověřit buď uživatele (prostřednictvím hesel nebo certifikátů), nebo systém (podle adresy MAC). Teoreticky není bezdrátovému klientu povolen přístup na síť před ukončením transakce.

Existuje řada ověřovacích algoritmů používaných pro ověřování 802.1X. Mezi některé příklady patří: algoritmy EAP-TLS, EAP-TTLS a PEAP (Protected EAP). Jedná se o metody, jakými se klient identifikuje serveru RADIUS. Ověřovací server RADIUS prověřuje identitu uživatelů v databázích. Ověřování RADIUS představuje sadu standardů týkajících se ověření, schválení a evidence (AAA – Authentication, Authorization and Accounting). Server RADIUS obsahuje proces proxy k ověřování klientů v prostředí několika serverů. Standard IEEE 802.1X se používá k řízení a schvalování přístupu na bezdrátové a kabelové sítě Ethernet 802.11 založené na portech. Kontrola přístupu na síť založené na portech je podobná jako u infrastruktury přepínané sítě LAN, která ověřuje přístroje připojené na port LAN a brání přístupu k tomuto portu v případě selhání procesu ověřování.

#### Co je RADIUS?

RADIUS (Remote Authentication Dial-In User Service) je protokol klient-server pro ověřování, schvalování a evidenci (Authorization, Authentication, Accounting – AAA) používaný při přihlášení klienta AAA na síťový přístupový server a jeho odhlášení z tohoto serveru. Obvykle servery RADIUS používají poskytovatelé Internetu k provádění úkolů AAA. Níže uvádíme popis fází AAA:

- Ověřovací fáze: Ověřuje uživatelské jméno a heslo v místní databázi. Po ověření těchto údajů začíná proces schvalování.
- Schvalovací fáze: Stanoví, zda bude povolen přístup k prostředku. Přihlašujícímu se klientovi bude přiřazena adresa IP.
- Evidenční fáze: Sbírá informace o použití zdroje pro účely analýzy trendů, auditu, fakturace za čas relace nebo přiřazování nákladů.

# Jak funguje ověřování 802.1X

Níže uvádíme zjednodušený popis ověřování 802.1X:

- Klient pošle na přístupový bod zprávu „žádost o přístup“. Přístupový bod požádá o identitu klienta.
- Klient odpoví identifikačním paketem, který je předán na ověřovací server.
- Ověřovací server vyšle paket „přijmout“ na přístupový bod.
- Přístupový bod uvede klientský port do schváleného stavu a dovolí výměnu dat.

# Funkce ověřování 802.1X

- Podpora protokolu žadatele 802.1X
- Podpora protokolu EAP (Extensible Authentication Protocol) – RFC 2284
- Podporované metody ověřování:
  - Ověřovací protokol EAP TLS – RFC 2716 a RFC 2246
  - Ověřovací protokol EAP-SIM – RFC 4186
  - TTLS (EAP Tunneled TLS)
  - PEAP
- Podporuje systémy Microsoft Windows XP* a Microsoft Windows 2000*

> POZNÁMKA: Funkce zabezpečení aplikace Intel(R) PROSet/Wireless v systému Windows Vista* podporují jen ověřování TTLS a EAP-SIM.

# WPA* a WPA2*

Šifrování Wi-Fi Protected Access* (WPA* nebo WPA2*) představuje rozšíření zabezpečení, které podstatně zvyšuje ochranu dat a kontrolu přístupu do bezdrátové sítě. Toto šifrování vyžaduje ověření 802.1X a výměnu klíčů a funguje pouze s dynamickými šifrovacími klíči. K posílení šifrování dat používá technologie WPA protokol TKIP (Temporal Key Integrity Protocol). Protokol TKIP přináší podstatné zlepšení šifrování dat, například funkci míchání klíčů v paketech, kontrolu integrity zpráv (MIC) pod názvem Michael, rozšířený inicializační vektor (IV) s pravidly pro sekvencování a mechanismus opětovného vytvoření klíčů. Díky těmto rozšířením chrání protokol TKIP známá slabá místa technologie WEP.

Druhá generace šifrování WPA, která splňuje specifikace IEEE TGi, se nazývá WPA2.

Podnikový režim: V podnikovém režimu jsou uživatelé sítě ověřováni prostřednictvím serveru RADIUS nebo jiného ověřovacího serveru. Šifrování WPA používá 128bitové šifrovací klíče a dynamické klíče relací k zajištění ochrany důvěrných informací v bezdrátové síti a zabezpečení podniku. Podnikový režim je určen pro podniková a vládní prostředí.

Osobní režim: Osobní režim vyžaduje ruční konfiguraci předsdíleného klíče (PSK) na přístupovém bodu a klientech. Klíč PSK ověřuje uživatele pomocí hesla nebo identifikačního kódu, a to na klientské stanici i na přístupovém bodu. Ověřovací server není vyžadován. Osobní režim je určen pro domácí a malé podnikové prostředí.

WPA - podniky a WPA2 - podniky: Tento stupeň zabezpečení je určen podnikovým sítím se serverem 802.1X RADIUS. Je vybrán typ ověřování, který odpovídá ověřovacímu protokolu serveru 802.1X.

> POZNÁMKA: Šifrování WPA – podniky a WPA2 – podniky mohou vzájemně spolupracovat.

WPA - osobní a WPA2 - osobní: Tento stupeň zabezpečení je určen malým sítím nebo do domácího prostředí. Používá heslo, které se rovněž nazývá předsdílený klíč (PSK). Čím delší je toto heslo, tím je bezdrátová síť lépe zabezpečena. Pokud bezdrátový přístupový bod nebo směrovač podporuje šifrování WPA – osobní a WPA2 – osobní, je třeba jej povolit na přístupovém bodu a zadat dlouhé a bezpečné heslo. Stejné heslo, které zadáte na přístupovém bodu, musíte použít v tomto počítači a ve všech ostatních bezdrátových zařízeních, která přistupují k bezdrátové síti.

> POZNÁMKA: Šifrování WPA – osobní a WPA2 – osobní mohou vzájemně spolupracovat.

AES-CCMP (Advanced Encryption Standard – Counter CBC-MAC Protocol): Nová metoda ochrany důvěrných informací při bezdrátovém přenosu specifikovaná standardem IEEE 802.11i. Protokol AES-CCMP poskytuje silnější metodu šifrování než protokol TKIP. Metodu ochrany dat AES-CCMP zvolte vždy, když je zapotřebí silná ochrana dat.

> POZNÁMKA: Některá řešení zabezpečení nemusí být podporována konkrétními operačními systémy a pravděpodobně bude zapotřebí dodatečný software nebo hardware a také podpora bezdrátové síťové infrastruktury. Podrobné informace získáte od výrobce počítače.

TKIP (Temporal Key Integrity Protocol) představuje rozšíření zabezpečení WEP (Wired Equivalent Privacy). Protokol TKIP poskytuje kombinování klíčů v paketech, zprávy o kontrole integrity (MIC) a mechanismus vystavování nových klíčů; tyto funkce společně odstraňují nedostatky protokolu WEP.

## TLS

Metoda ověřování, která využívá protokol EAP (Extensible Authentication Protocol) a bezpečnostní protokol TLS (Transport Layer Security). Metoda EAP-TLS používá certifikáty, které používají hesla. Ověřování EAP-TLS podporuje dynamickou správu klíčů WEP. Protokol TLS je určen pro zabezpečení a ověření komunikace ve veřejné síti prostřednictvím šifrování dat. Signalizační protokol TLS umožňuje serveru a klientovi, aby se vzájemně ověřili a dohodli algoritmus šifrování a kryptografické klíče ještě před přenášením dat.

## TTLS

Tato nastavení definují protokol a pověření používané k ověření uživatele. V ověřování TTLS (Tunneled Transport Layer Security) používá klient metodu EAP-TLS k ověření serveru a vytvoření kanálu šifrovaného protokolem TLS mezi klientem a serverem. Klient může použít jiný ověřovací protokol. Protokoly založené na heslu typicky odesílají dotazy tímto šifrovaným kanálem a umožňují tak ověření serveru. Balíčky s dotazem a odpovědí jsou odesílány šifrovaným neveřejným kanálem TLS. Současné implementace ověřování TTLS podporují všechny metody definované protokolem EAP a také řadu dalších starších metod (PAP, CHAP, MS-CHAP a MS-CHAP-V2). Ověřování TTLS lze snadno rozšířit pro spolupráci s novými protokoly definováním atributů, které tyto nové protokoly podporují.

## EAP-SIM

Protokol EAP-SIM (Extensible Authentication Protocol Method for GSM Subscriber Identity) je mechanismus ověřování a distribuce klíče relace. Používá modul SIM (Subscriber Identity Module) systému GSM (Global System for Mobile Communications). Protokol EAP-SIM je popsán v dokumentu RFC 4186.

### Ověřovací protokoly

- PAP: Password Authentication Protocol – dvoucestný signalizační protokol navržený k použití s protokolem PPP. Protokol PAP využívá prosté textové heslo používané ve starších systémech SLIP. Tento protokol není zabezpečený.
- CHAP: Challenge Handshake Authentication Protocol – třícestný signalizační protokol, který je považován za bezpečnější než protokol PAP.
- MS-CHAP (MD4): Využívá protokol RSA Message Digest 4 Challenge-and-Reply ve verzi společnosti Microsoft. Tato metoda funguje jen v systémech Microsoft a umožňuje šifrování dat. Při výběru této metody ověřování budou všechna data šifrována.
- MS-CHAP-V2: Zavádí další funkci, která není k dispozici v protokolu MS-CHAP-V1 nebo při standardním ověřování CHAP – funkci změny hesla. Tato funkce umožňuje klientovi změnit heslo účtu, pokud server RADIUS oznámí, že platnost hesla vypršela.

# PEAP

Protokol PEAP je nový druh ověřování EAP (Extensible Authentication Protocol) IEEE 802.1X navržený tak, aby využíval zabezpečení EAP-TLS (EAP-Transport Layer Security) na straně serveru a podporoval různé ověřovací metody včetně uživatelských hesel a jednorázových hesel a karty Generic Token Cards.

### Ověřovací protokoly

- GTC (Generic Token Card): Přenáší uživatelské karty tokenu určené k ověřování. Hlavní funkcí protokolu GTC je ověřování založené na digitálním certifikátu/kartě tokenu. Protokol GTC také umožňuje skrýt identifikační uživatelské jméno, dokud není vytvořen šifrovaný tunel TLS. Tím je dále zvýšena ochrana důvěrných údajů, protože uživatelská jména nejsou přenášena během fáze ověřování.
- MS-CHAP-V2: Viz oddíl MS-CHAP-V2 výše.
- TLS: Protokol TLS je určen pro zabezpečení a ověření komunikace ve veřejné síti prostřednictvím šifrování dat. Signalizační protokol TLS umožňuje serveru a klientovi, aby se vzájemně ověřili a dohodli algoritmus šifrování a kryptografické klíče ještě před přenášením dat. Viz oddíl TLS výše.

## Funkce Cisco

> POZNÁMKA: Funkce Cisco nejsou podporovány v systému Windows Vista.

### Cisco LEAP

Cisco LEAP (Cisco Light EAP) je ověření server-klient 802.1X prostřednictvím přihlašovacího hesla předloženého uživatelem. Při komunikaci mezi bezdrátovým přístupovým bodem a serverem RADIUS se zapnutým protokolem Cisco LEAP (Cisco Secure Access Control Server [ACS] server) protokol Cisco LEAP poskytuje kontrolu přístupu prostřednictvím vzájemného ověřování mezi klientskými bezdrátovými adaptery a bezdrátovými sítěmi a poskytuje dynamické šifrovací klíče pro jednotlivé uživatele ke zlepšení ochrany přenášených dat.

### Funkce Zabezpečení nebezpečného přístupového bodu Cisco

Funkce Zabezpečení nebezpečného přístupového bodu Cisco poskytuje ochranu před zavedením nebezpečného přístupového bodu, který by napodoboval legitimní přístupový bod v síti a získával informace o uživatelských pověřeních a ověřovacích protokolech, které by mohly ohrozit zabezpečení. Tato funkce funguje pouze s ověřováním Cisco LEAP. Standardní technologie 802.11 nechrání síť před zřízením nebezpečného přístupového bodu. Další informace najdete v části Ověřování LEAP.

### Rychlý roaming (CCKM)

Pokud je bezdrátová síť LAN nakonfigurována na rychlé opakované připojování, může klientské zařízení s povoleným ověřováním LEAP provádět roaming z jednoho přístupového bodu na druhý bez hlavního serveru. V případě použití centralizované správy klíčů CCKM (Cisco Centralized Key Management) přístupový bod nakonfigurovaný pro poskytování služeb WDS (Wireless Domain Services) nahrazuje server RADIUS a ověřuje klienta bez zpoždění v hlasových nebo jiných aplikacích s časovým počitadlem.

### CKIP

Protokol CKIP (Cisco Key Integrity Protocol) je bezpečnostní protokol pro šifrování v médiích 802.11 vlastněný společností Cisco. Protokol CKIP používá ke zlepšení zabezpečení 802.11 v režimu Infrastruktura tyto funkce:

- permutace klíče (KP),
- pořadové číslo zprávy.

### Protokol ochrany smíšeného prostředí 802.11b a 802.11g

Některé přístupové body, například Cisco 350 nebo Cisco 1200, podporují prostředí, v nichž ne všechny klientské stanice podporují šifrování WEP; tento režim se nazývá režim smíšených buněk. Jestliže tyto bezdrátové sítě pracují v režimu „volitelného šifrování“, klientské stanice, které se připojí do režimu WEP, posílají všechny zprávy šifrované a stanice, které se připojí ve standardním režimu, posílají všechny zprávy nezašifrované. Tyto přístupové body vysílají informaci, že síť nepoužívá šifrování, ale umožňují klientům používat režim WEP. Je-li v profilu povolen režim smíšených buněk, dovoluje připojení k přístupovým bodům, které jsou nakonfigurovány na „volitelné šifrování“.

### EAP-FAST

Protokol EAP-FAST, podobně jako protokoly EAP-TTLS a PEAP, chrání provoz tunelovým propojením. Hlavním rozdílem je, že protokol EAP-FAST nepoužívá k ověřování certifikáty. Zjišťování v protokolu EAP-FAST je vyjednáváno výhradně klientem, protože první výměna komunikace při požadavku na protokol EAP-FAST je požadována serverem. Pokud klient nemá předsdílené pověření pro zabezpečený přístup (PAC), může požádat o zahájení zjišťovací výměny EAP-FAST za účelem dynamického získání pověření ze serveru.

Protokol EAP-FAST dokumentuje dva způsoby doručení pověření PAC: ruční doručení prostřednictvím zabezpečeného mechanismu mimo pásmo a automatické zajišťování.

- Mechanismus ručního doručení je každý mechanismus doručení, který správce sítě považuje za dostatečně bezpečný pro danou síť.
- Automatické zajišťování vytváří šifrovaný tunel na ochranu ověřování klienta a doručení pověření PAC klientovi. Ačkoli tento mechanismus není tak bezpečný jako ruční doručení, je bezpečnější než metoda ověřování použitá protokolem LEAP.

Metoda EAP-FAST je rozdělena na dvě části: zajišťování a ověřování. Fáze zajišťování zahrnuje výchozí doručení pověření PAC klientovi. Tuto fázi je třeba provést u každého klienta a uživatele pouze jednou.

### Režim smíšených buněk

Některé přístupové body, například Cisco 350 nebo Cisco 1200, podporují prostředí, v nichž ne všechny klientské stanice podporují šifrování WEP; tento režim se nazývá režim smíšených buněk. Jestliže tyto bezdrátové sítě pracují v režimu „volitelného šifrování“, klientské stanice, které se připojí do režimu WEP, posílají všechny zprávy šifrované a stanice, které se připojí ve standardním režimu, posílají všechny zprávy nezašifrované. Tyto přístupové body vysílají informaci, že síť nepoužívá šifrování, ale umožňují klientům používat režim WEP k připojení. Je-li v profilu povolen režim smíšených buněk, dovoluje připojení k přístupovým bodům, které jsou nakonfigurovány na „volitelné šifrování“.

### Správa bezdrátové komunikace

Je-li tato funkce povolena, bezdrátový adaptér poskytuje infrastruktuře Cisco informace pro správu bezdrátové komunikace. Pokud se v infrastruktuře používá nástroj Cisco Radio Management, konfiguruje parametry bezdrátové komunikace, zjišťuje rušení a neověřené přístupové body.

Zpět na začátek

Zpět na obsah

Ochranné známky a právní dodatky