Oversigt over sikkerhed

Tilbage til Indhold

# Oversigt over sikkerhed

WEP-kryptering

- Åben og delt nøgle-godkendelse

802.1x-godkendelse

- Sådan fungerer 802.1X-godkendelse
- 802.1X-funktioner

WPA*/WPA2*
Koncerntilstand
Personlig tilstand
WPA-koncern og WPA2-koncern
WPA-Personlig og WPA2-Personlig
AES-CCMP
TKIP
TLS
TTLS

- Godkendelsesprotokoller

PEAP

- Godkendelsesprotokoller

Cisco-funktioner

- Cisco LEAP
- Cisco Rogue Access Point sikkerhedsfunktion
- Fast Roaming (CCKM)
- CKIP
- 802.11b- og 802.11g-blandet miljø beskyttelsesprotokol
- EAP-FAST
- Blandet-celle-tilstand
- Radiostyring

# WEP-kryptering

Du kan forhindre ikke-autoriseret modtagelse af dine trådløse data med IEEE 802.11 Wired Equivalent Privacy (WEP). WEP-kryptering indeholder to sikkerhedsniveauer, der bruger en 64 bit-nøgle (omtales somme tider som 40 bit) eller en 128 bit-nøgle (omtales også som 104-bit). For at opnå bedre sikkerhed skal du bruge en 128 bit-nøgle. Hvis du bruger kryptering, skal alle trådløse enheder på dit trådløse netværk bruge de samme krypteringsnøgler.

Wired Equivalent Privacy (WEP)-kryptering og delt godkendelse beskytter dine data på netværket. WEP bruger en krypteringsnøgle til at kryptere data, før de overføres. Kun computere, der bruger den samme krypteringsnøgle, kan få adgang til netværket eller afkryptere de krypterede data, der er overført af andre computere. Godkendelse giver en yderligere valideringsproces fra adapteren til adgangspunktet.

WEP-krypteringsalgoritmen er sårbar over for passive og aktive netværksangreb. TKIP- og CKIP-algoritmer indeholder forbedringer til WEP-protokollen, der afbøder eksisterende netværksangreb udbedrer dens mangler.

### Åben og delt nøgle-godkendelse

IEEE 802.11 understøtter to typer metoder til netværksgodkendelse: Åbent system og delt nøgle.

- Åben godkendelse: Enhver trådløs station kan anmode om godkendelse. Den station, der skal godkende med en anden trådløs station, sender en godkendelsesadministrationsramme, der indeholder identiteten af den afsendende station. Den modtagende station eller adgangspunktet vil tillade enhver anmodning om godkendelse. Åben godkendelse tillader enhver enhed netværksadgang. Hvis der ikke er aktiveret nogen kryptering på netværket, kan enhver enhed, der kender Service Set Identifier'en (SSID'en) for adgangspunktet, få adgang til netværket.
- Delt nøgle godkendelse: Hver trådløs station har modtaget en hemmelig delt nøgle over en sikret kanal, der er uafhængig af det trådløse 802.11-netværk. Delt nøglegodkendelse kræver, at klienten konfigurerer en statisk WEP-nøgle. Klientadgangen gives kun, hvis klienten går gennem en challenge-baseret godkendelse.

# 802.1x-godkendelse

Sådan fungerer 802.1x-godkendelse
802.1x-funktioner

### Oversigt

802.1x-godkendelsen er uafhængig af 802.11-godkendelsesprocessen. 802.1x-standarden indeholder en ramme for forskellige godkendelses- og nøgleadministrationsprotokoller. Der findes forskellige 802.1x-godkendelsestyper, der hver indeholder en forskellig fremgangsmåde til godkendelse, men de bruger alle den samme 802.1x-protokol og ramme til kommunikation mellem en klient og et adgangspunkt. I de fleste protokoller vil den søgende ved fuldførelse af 802.1Xx-godkendelsesprocessen modtage en nøgle, som den bruger til datakryptering. Se Sådan fungerer 802.1x-godkendelse for yderligere oplysninger. Med 802.1x-godkendelse bruges en godkendelsesmetode mellem klienten og en fjern brugerservice for godkendelsesopkald (RADIUS)-server, der er tilsluttet til adgangspunktet. Godkendelsesprocessen bruger legitimationsoplysninger, f.eks. brugeradgangskoder, som ikke transmitteres over det trådløse netværk. De fleste 802.1x-typer understøtter dynamisk pr. bruger-, pr. session-nøgler til at styrke den statiske nøglesikkerhed. 802.1x udnytter brugen af en eksisterende godkendelsesprotokol, der kaldes Extensible Authentication Protocol (EAP).

802.1x-godkendelsen for trådløse netværk består af tre hovedkomponenter:

- Godkenderen (adgangspunktet)
- Ansøgeren (klientsoftwaren)
- Godkendelsesserveren (RADIUS)

802.1x-godkendelsessikkerhed starter en autorisationsanmodning fra den trådløse klient til adgangspunktet, der godkender klienten på en Extensible Authentication Protocol (EAP)-kompatibel RADIUS-server. Denne RADIUS-server kan enten godkende brugeren (med adgangskoder eller certifikater) eller systemet (med MAC-adresse). Teoretisk har den trådløse klient ikke lov til at tilslutte sig netværkene, før transaktionen er fuldført.

Der anvendes flere godkendelsesalgoritmer til 802.1x. Nogle eksempler er: EAP-MD5, EAP-TLS, EAP-TTLS, PEAP og LEAP. De er alle sammen metoder, som den trådløse klient bruger til at identificere sig selv på RADIUS-serveren. Med RADIUS-godkendelse kontrolleres brugeridentiteter i forhold til databaser. RADIUS består af et sæt standarder inden for Godkendelse, Autorisation og Redegørelse (AAA). RADIUS indeholder en proxy-proces til validering af klienter i et multiservermiljø. IEEE 802.1x-standarden er til kontrol og godkendelse af adgang til portbaserede 802.11 trådløse og kabelførte Ethernet-netværk. Portbaseret netværksadgangskontrol minder om en omskiftet LAN-infrastruktur, der godkender enheder, der er forbundet til en LAN-port og forhindrer adgang til den port, hvis godkendelsesprocessen fejler.

#### Hvad er RADIUS?

RADIUS er Remote Authentication Dial-In User Service, en autorisations-, godkendelses- og redegørelses (AAA)-klient-server-protokol, der bruges når en AAA-opkaldsklient logger på eller af en netværksadgangsserver. Typisk bruges en RADIUS-server af internetudbydere (Internet Service Providers (ISP)) til at udføre AAA-opgaver. AAA-faser beskrives som følger:

- Godkendelsesfase: Verificerer et brugernavn og en adgangskode i forhold til en lokal database. Når brugeroplysningerne er kontrollerede, begynder godkendelsesprocessen.
- Autorisationsfase: Fastlægger, om en anmodning tillades adgang til en ressource. En IP-adresse tildeles til opkaldsklienten.
- Redegørelsesfase: Indsamler oplysninger om ressourcebrug med det formål at udføre tendensanalyse, revision, sessionstidsfakturering og omkostningsallokering.

# Sådan fungerer 802.1x-godkendelse

En forenklet beskrivelse af 802.1x-godkendelsen er:

- En klient sender en "anmodning om adgang"-meddelelse til et adgangspunkt. Adgangspunktet anmoder om identiteten af klienten.
- Klienten svarer med dens identitetspakke, der overføres til godkendelsesserveren.
- Godkendelsesserveren sender en "accept"-pakke til adgangspunktet.
- Adgangspunktet placerer klientporten i den godkendte tilstand, og datatrafikken får lov til at fortsætte.

# 802.1x-funktioner

- 802.1x-ansøgerprotokolsupport
- Understøttelse af Extensible Authentication Protocol (EAP) - RFC 2284
- Understøttede godkendelsesmetoder:
  - EAP TLS-godkendelsesprotokol - RFC 2716 og RFC 2246
  - EAP-SIM-godkendelsesprotokol - RFC 4186
  - EAP tunnelført TLS (TTLS)
  - PEAP
- Understøtter Microsoft Windows XP* og Microsoft Windows 2000*

> BEMÆRK: Intel(R) PROSet/Wireless sikkerhedsfunktioner kun til Windows Vista*-support TTLS og EAP-SIM godkendelse.

# WPA* eller WPA2*

Wi-Fi-beskyttet adgang* (WPA* eller WPA2*) er en sikkerhedsforbedring, der forøger databeskyttelsesniveauet og adgangskontrollen til et trådløst netværk betydeligt. WPA fastholder 802.1x-godkendelse og nøgleudveksling og fungerer kun med dynamiske krypteringsnøgler. For at styrke datakryptering bruger WPA dens Temporal Key Integrity Protocol (TKIP). TKIP indeholder vigtige datakrypteringsforbedringer, der inkluderer en pr. pakke-nøgleblandingsfunktion, en meddelelsesintegritetskontrol (MIC) kaldet Michael, en udvidet initialiseringsvektor (IV) med sekvenseringsregler og en mekanisme til omskrivning af nøglen. Ved brug af diise forbedringer beskytter TKIP i mod WEPs kendte svagheder.

Den anden generation af WPA, som overholder IEEE TGi-specifikationen, kaldes WPA2.

Koncerntilstand: Koncerntilstand verificerer netværksbrugere gennem en RADIUS- eller anden godkendelsesserver. WPA anvender 128-bit krypteringsnøgler og dynamiske sessionnøgler til sikring af det trådløse netværks privatliv og koncernsikkerhed. Koncernsikkerhed er målrettet imod større virksomheds- og statslige miljøer.

Personlig tilstand: Personlig tilstand kræver manuel konfiguration af en foruddelt nøgle (PSK) på adgangspunkt og klienter. PSK godkender brugeres adgangskode eller identificeringskode, på både klientstationen og adgangspunktet. Der er ikke behov for en godkendelsesserver. Personlig tilstand er målrettet imod hjemmemiljøer og mindre virksomheder.

WPA-Koncern og WPA2-Koncern: Giver dette sikkerhedsniveau på koncernnetværk med en 802.1x RADIUS-server. Der vælges en godkendelsestype til at matche godkendelsesprotokollen på 802.1x-serveren.

> BEMÆRK: WPA-Koncern og WPA2-Koncern kan bruges på samme måde.

WPA-Personlig og WPA2-Personlig: Giver dette sikkerhedsniveau i mindre netværk eller hjemmenetværk. Det kræver en adgangskode, der også kaldes en foruddelt nøgle (PSK). Jo længere denne adgangskode er, jo mere sikkert er det trådløse netværk. Hvis det trådløse adgangspunkt eller routeren understøtter WPA-Personlig og WPA2-Personlig, skal du aktivere den i adgangspunktet og angive en lang stærk adgangskode. Den samme adgangskode, du angav for adgangspunktet, skal bruges på denne computer og til alle andre trådløse enheder, der har adgang til det trådløse netværk.

> BEMÆRK: WPA-Personlig og WPA2-Personlig kan bruges sammen.

AES-CCMP (Advanced Encryption Standard - Counter CBC-MAC Protocol) Den nye metode til fortrolighedsbeskyttelse i trådløse overførsler, som angivet i IEEE 802.11i-standarden. AES-CCMP er en stærkere krypteringsmetode end TKIP. Vælg AES-CCMP-datakrypteringsmetode, når det er høj databeskyttelse er vigtig.

> BEMÆRK: Visse sikkerhedsløsninger understøttes muligvis ikke af din computers operativsystem og kan kræve ekstra software og/eller bestemt hardware såvel som understøttelse af trådløs LAN-infrastruktur. Henvend dig til din computerproducent for at høre mere.

TKIP (Temporal Key Integrity Protocol) er en forbedring til WEP (Wired Equivalent Privacy)-sikkerhed. TKIP indeholder nøgle-mixing pr. pakke, en meddelelsesintegritetskontrol og re-keying-mekanisme, som sammen retter fejlene i WEP.

## TLS

En type godkendelsesmetode, der bruger Extensible Authentication-protokollen (EAP) og en sikkerhedsprotokol, der kaldes Transport Layer Security (TLS). EAP-TLS bruger certifikater, der bruger adgangskoder. EAP-TLS-godkendelse understøtter dynamisk WEP-nøglestyring. TLS protokollen er beregnet til at sikre og godkende kommunikation via offentlige netværk ved anvendelse af datakryptering. TLS Handshake Protocol giver serveren og klienten mulighed for gensidig godkendelse og forhandling om en krypteringsalgoritme og krypteringsnøgler, før data sendes.

## TTLS

Disse indstillinger definerer protokollen og de legitimationsoplysninger, der bruges til at godkende en bruger. I TTLS bruger klienten EAP-TLS til at validere serveren og oprette en TLS-krypteret kanal mellem klient og server. Klienten kan anvende en anden godkendelsesprotokol. Normalt anvender adgangskodebaserede protokoller challenge over denne krypterede kanal for at muliggøre servervalidering. Challenge- og svarpakker sendes over en ikke-udsat TLS-krypteret kanal. TTLS implementeringerne understøtter i øjeblikket alle de metoder, der fastlægges af EAP, såvel som flere ældre metoder (PAP, CHAP, MS-CHAP og MS-CHAPV2). TTLS kan nemt udvides til at fungere sammen med nye protokoller ved definition af nye egenskaber til understøttelse af nye protokoller.

## EAP-SIM

Extensible Authentication Protocol Method for GSM Subscriber Identity (EAP-SIM) er en mekanisme til godkendelse og distribution af sessionsnøgler. Den anvender Global System for Mobile Communications (GSM) Subscriber Identity Module (SIM). RFC 4186 beskriver EAP-SIM.

### Godkendelsesprotokoller

- PAP: Password Authentication Protocol er en tovejs-handshakeprotokol, designet til brug med PPP. Password Authentication Protocol er en almindelig tekst-adgangskode, der anvendes på ældre SLIP-systemer. Den er ikke sikker.
- CHAP: Challenge Handshake Authentication Protocol er en trevejs-handshakeprotokol, der betragtes som værende mere sikker end PAP-godkendelsesprotokollen.
- MS-CHAP (MD4): Anvender en Microsoft-version af RSA Message Digest 4 challenge-and-reply protokollen. Denne fungerer kun på Microsoft-systemer og muliggør datakryptering. Valg af denne godkendelsesmetode krypterer alle data.
- MS-CHAP-V2: Introducerer yderligere en funktion, der ikke findes i MS-CHAP-V1 eller standard-CHAP-godkendelse, funktionen til ændring af adgangskode. Denne funktion giver klienten mulighed for at ændre kontoadgangskode, hvis RADIUS-serveren rapporterer, at adgangskoden er udløbet.

# PEAP

PEAP er en ny Extensible Authentication Protocol (EAP) IEEE 802.1x-godkendelsestype, der er designet til at drage fordele af EAP-Transport Layer Security (EAP-TLS) på serversiden og til at understøtte forskellige godkendelsesmetoder, herunder brugers adgangskode og engangsadgangskoder og Generic Token Cards.

### Godkendelsesprotokoller

- Generic Token-kort (GTC): Fører brugerspecifikket tokencards til godkendelse. Hovedfunktionen i GTC er Digital Certificate/Token Card-baseret godkendelse. Derudover inkluderer GTC muligheden for at skjule brugernavnsidentiteter, til TLS-krypteret tunnel er oprettet, hvilket yder ekstra fortrolighed for, at brugernavne ikke rundsendes i godkendelsesfasen.
- MS-CHAP-V2: Se MS-CHAP-V2 ovenfor.
- TLS: TLS protokollen er beregnet til at sikre og godkende kommunikation via offentlige netværk ved anvendelse af datakryptering. TLS Handshake Protocol giver serveren og klienten mulighed for gensidig godkendelse og forhandling om en krypteringsalgoritme og krypteringsnøgler, før data sendes. Se TLS ovenfor.

## Cisco-funktioner

> BEMÆRK: Cisco Features understøttes ikke af Windows Vista.

### Cisco LEAP

Cisco LEAP (Cisco Light EAP) er en server- og klient 802.1X-godkendelse via en brugerangivet adgangskode. Når et trådløst adgangspunkt kommunikerer med en Cisco LEAP-aktiveret RADIUS (Cisco Secure Access Control Server [ACS]), indeholder Cisco LEAP adgangskontrol via fælles godkendelse mellem klientens trådløse adaptere og de trådløse netværk og indeholder dynamiske, individuelle brugerkrypteringsnøgler til hjælp til beskyttelse af det private i transmitterede data.

### Cisco Rogue Access Point sikkerhedsfunktion

Cisco Rogue AP-funktionen indeholder sikkerhedsbeskyttelse fra rogue-adgangspunktet, der kunne efterligne et lovligt adgangspunkt på et netværk for at trække oplysninger om brugerlegitimationsoplysninger og godkendelsesprotokoller ud, der kunne sætte sikkerheden i fare. Denne funktion fungerer kun med Ciscos LEAP-godkendelse. Standard 802.11-teknologi beskytter ikke et netværk med introduktion af et rogue-adgangspunkt. Se LEAP-godkendelse for yderligere oplysninger.

### Fast Roaming (CCKM)

Når et trådløst LAN er konfigureret til hurtig gentilslutning, kan en LEAP-aktiveret klientenhed "roame" fra at adgangspunkt til et andet uden at involvere hovedserveren. Ved hjælp af Cisco Centralized Key Management (CCKM), erstatter et adgangspunkt, der er konfigureret til at yde Wireless Domain Services (WDS), RADIUS-serveren og godkender klienten uden mærkbar forsinkelse under tale eller andre tidskritiske anvendelser.

### CKIP

Cisco Key Integrity Protocol (CKIP) er Ciscos egen sikkerhedsprotokol til kryptering i 802.11-medier. CKIP bruger følgende funktioner til at forbedre 802.11-sikkerhed i infrastrukturtilstand:

- Nøgleombytning (KP)
- Meddelelsessekvensnummer

### 802.11b- og 802.11g-blandet miljø beskyttelsesprotokol

Nogle adgangspunkter, f.eks. Cisco 350 eller Cisco 1200, understøtter miljøer, hvor ikke alle klientstationer understøtter WEP-kryptering, og dette kaldes blandet celle-tilstand. Når disse trådløse netværk arbejder i en "valgfri krypteringstilstand", vil klientstationer, som tilmelder sig i WEP-tilstand, sende alle meddelelser krypteret, og stationer, som tilmelder sig i standardtilstand, vil sende alle meddelelser ikke-krypterede. Disse adgangspunkter rundsender, at netværket ikke anvender kryptering, men tillader, at klienterne tilmelder sig i WEP-tilstand. Når Blandet celle er aktiveret i en profil, har du mulighed for at tilslutte dig adgangspunkter, som er konfigureret til "valgfri kryptering".

### EAP-FAST

EAP-FAST bruger som EAP-TTLS og PEAP tunneller til at beskytte trafikken. Hovedforskellen er, at EAP-FAST ikke bruger certifikater til godkendelse. Levering i EAP-FAST forhandles udelukkende med klienten som den første kommunikationsudveksling, når serveren anmoder om EAP-FAST. Hvis klienten ikke har en foruddelt hemmelig PAC (Protected Access Credential), kan den starte tildeling af EAP-FAST for dynamisk at modtage en fra serveren.

EAP-FAST definerer to metoder til tildeling af PAC'en: manuel levering via en sikkerhedsmekanisme uden for båndet, og automatisk tildeling.

- Manuelle leveringsmekanismer er alle leveringsmekanismer, som administratoren af netværket mener er tilstrækkelige til at sikre netværket.
- Automatisk tildeling etablerer en krypteret tunnel til beskyttelse af klientgodkendelsen og levering af PAC'en til klienten. Denne mekanisme er mere sikker end godkendelsesmetoden i LEAP, selvom den ikke er så sikker som en manuel metode.

EAP-FAST-metoden opdeles i to dele: tildeling og godkendelse. Leveringsfasen omfatter den første levering af PAC'en til klienten. Denne fase behøver kun at blive udført én gang pr. klient og bruger.

### Blandet-celle-tilstand

Nogle adgangspunkter, f.eks. Cisco 350 eller Cisco 1200, understøtter miljøer, hvor ikke alle klientstationer understøtter WEP-kryptering, og dette kaldes blandet celle-tilstand. Når disse trådløse netværk arbejder i en "valgfri krypteringstilstand", vil klientstationer, som tilmelder sig i WEP-tilstand, sende alle meddelelser krypteret, og stationer, som tilmelder sig i standardtilstand, vil sende alle meddelelser ikke-krypterede. Disse adgangspunkter rundsender, at netværket ikke anvender kryptering, men tillader, at klienterne tilmelder sig i WEP-tilstand. Når Blandet celle er aktiveret i en profil, har du mulighed for at tilslutte dig adgangspunkter, som er konfigureret til "valgfri kryptering".

### Radiostyring

Når denne funktion er aktiveret, giver din trådløse adapter Cisco infrastrukturen Radio styringsoplysninger. Hvis værktøjet Cisco Radiostyring bruges i infrastrukturen, konfigurerer det radioparametre, registrerer interferens og Rogue-adgangspunkter.

Tilbage til toppen

Tilbage til Indhold

Varemærker og ansvarsfralæggelser