Visão geral sobre a segurança

Voltar ao Índice

# Visão geral sobre a segurança

Criptografia WEP

- Autenticação aberta e de chave compartilhada

Autenticação do 802.1X

- Como funciona a autenticação do 802.1X
- Recursos do 802.1X

WPA*/WPA2*
Modo Empresa
Modo Pessoal
WPA-Empresa e WPA2-Empresa
WPA-Pessoal e WPA2-Pessoal
AES-CCMP
TKIP
TLS
TTLS

- Protocolos de autenticação

PEAP

- Protocolos de autenticação

Recursos Cisco

- Cisco LEAP
- Recurso Segurança de pontos de acesso desconhecidos da Cisco
- Roaming rápida (CCKM)
- CKIP
- Protocolo de proteção de ambiente misto do 802.11b e 802.11g
- EAP-FAST
- Modo célula mista
- Gerenciamento de rádio

# Criptografia WEP

Usando a criptografia WEP (Wired Equivalent Privacy) da IEEE 802.11, você pode impedir a recepção não autorizada de dados de conexões sem fio. A criptografia WEP contém dois níveis de segurança que usam uma chave de 64 bits (às vezes chamada de 40 bits) ou uma chave de 128 bits (também chamada de 104 bits). Para obter mais segurança, use uma chave de 128 bits. Se você usar criptografia, todos os dispositivos sem fio precisarão ter as mesmas chaves de criptografia.

A criptografia e autenticação compartilhada WEP (Wired Equivalent Privacy) se destinam a proteger os dados da rede. A WEP usa uma chave de criptografia para codificar os dados antes de transmiti-los. Apenas os computadores que usarem a mesma chave de criptografia podem acessar a rede ou decodificar os dados transmitidos por outros computadores. A autenticação é um processo adicional de validação entre o adaptador e o ponto de acesso.

O algoritmo de criptografia WEP é vulnerável a ataques passivos e ativos à rede. Os algoritmos TKIP e CKIP contêm avanços em relação ao protocolo WEP para suprimir os ataques existentes à rede e para resolver os problemas causados por esses ataques.

### Autenticação aberta e de chave compartilhada

O protocolo 802.11 suporta dois tipos de métodos de autenticação de rede: Sistema aberto e Chave compartilhada.

- Autenticação aberta: Qualquer estação sem fio pode solicitar autenticação. A estação que precisa se autenticar junto a outra estação sem fio envia uma solicitação de gerenciamento de autenticação que contém a identidade da estação emissora. A estação receptora ou ponto de acesso aceita todas as solicitações de autenticação. A autenticação aberta permite que qualquer dispositivo acesse a rede. Se não houver nenhuma criptografia ativada na rede, qualquer dispositivo que conhecer o SSID do ponto de acesso poderá entrar na rede.
- Autenticação de Chave compartilhada: Presume-se que cada estação sem fio tenha recebido uma chave compartilhada secreta por um canal seguro que é independente do canal de comunicação da rede sem fio 802.11. A autenticação por chave compartilhada exige que o cliente configure uma chave WEP estática. O acesso do cliente só será concedido se ele passar por uma autenticação baseada em desafios.

# Autenticação do 802.1X

Como funciona a autenticação 802.1X
Recursos do 802.1X

### Visão geral

A autenticação do 802.1X é independente do processo de autenticação do 802.11. O padrão 802.1X oferece uma gama de vários protocolos de autenticação e de gerenciamento de chaves. Existem diferentes tipos de autenticação 802.1X, cada qual com uma abordagem diferente da autenticação mas todos eles usam o mesmo protocolo e estrutura 802.1X para a comunicação entre um cliente e um ponto de acesso. Na maioria dos protocolos, quando o processo de autenticação do 802.1X termina, o requerente recebe uma chave que será usada para a criptografia de dados. Consulte Como funciona a autenticação do 802.1X, para obter mais informações. Com a autenticação do 802.1X, é usado um método de autenticação entre o cliente e um servidor RADIUS (Remote Authentication Dial-In User Service) conectado ao ponto de acesso. O processo de autenticação usa credenciais, como senhas de usuário, que não são transmitidas através da rede sem fio. A maioria dos tipos 802.1X suporta chaves por usuário e por sessão para aumentar a segurança de chave estática. O 802.1X usa um protocolo de autenticação já existente, chamado EAP (Extensible Authentication Protocol).

A autenticação da 802.1X para redes sem fio tem três componentes principais:

- O autenticador (o ponto de acesso)
- O requerente (o software cliente)
- O servidor de autenticação (RADIUS).

A segurança da autenticação 802.1X inicia com uma solicitação de autorização do cliente sem fio para o ponto de acesso, que autentica o cliente junto a um servidor RADIUS compatível com o EAP (Extensible Authentication Protocol). O servidor RADIUS pode autenticar tanto o usuário (por senhas ou certificados) como o sistema (por endereço MAC). Teoricamente, o cliente sem fio não tem permissão para entrar na rede até que a transação se complete.

Há alguns algoritmos de autenticação usados para o 802.1X. Alguns exemplos: EAP-TLS, EAP-TTLS e Protected EAP (PEAP). Todos esses são métodos que o cliente sem fio usa para se identificar para o servidor RADIUS. Com a autenticação Radius, as identidades dos usuários são comparadas com as existentes em bancos de dados. RADIUS é um conjunto de padrões que trata da AAA (Authentication, Authorization and Accounting). O RADIUS usa um processo proxy para validar clientes em um ambiente de vários servidores. O padrão IEEE 802.1X se destina ao controle e autenticação do acesso a redes Ethernet 802.11, com e sem fio, baseadas em portas. O controle de acesso a redes baseadas em portas é similar à infra-estrutura de redes LAN chaveadas que autentica dispositivos conectados a uma porta da LAN e impede o acesso a essa porta se o processo de autenticação falhar.

#### O que é RADIUS?

RADIUS é o Serviço ao usuário para autenticação remota por discagem, é um protocolo AAA (Authorization, Authentication e Accounting) de cliente-servidor para uso quando um cliente de AAA por discagem faz login ou logoff de um servidor de acesso à rede. Geralmente, o servidor RADIUS é usado por provedores de serviços de Internet (ISP — Internet Service Providers) para executar tarefas de AAA. As fases de AAA (Authorization, Authentication e Accounting) são:

- Fase de autenticação: Verifica o nome e senha de usuário em relação ao banco de dados local. Depois que as credenciais são confirmadas, o processo de autorização é iniciado.
- Fase de autorização: Determina se a solicitação de acesso ao recurso será aceita ou não. Um endereço IP é atribuído ao cliente de discagem.
- Fase de contabilidade: Coleta informações sobre o uso do recurso para análise de tendências, auditoria, cobrança por tempo da sessão ou alocação de custos.

# Como funciona a autenticação do 802.1X

Uma descrição simplificada da autenticação 802.1X é:

- O cliente envia uma mensagem de "solicitação de acesso" ao ponto de acesso. O ponto de acesso pede a identidade do cliente.
- O cliente responde com seu pacote de identidade que é, então, passado ao servidor de autenticação.
- O servidor de autenticação envia um "pacote de aceitação" ao ponto de acesso.
- O ponto de acesso coloca a porta do cliente no estado "autorizado" e o tráfego de dados é permitido.

# Recursos do 802.1X

- Suporte para o protocolo de requerente do 802.1X
- Suporte para EAP (Extensible Authentication Protocol) - RFC 2284
- Métodos de autenticação suportados:
  - Protocolo de autenticação TLS EAP - RFC 2716 e RFC 2246
  - Protocolo de autenticação EAP-SIM - RFC 4186
  - EAP Tunneled TLS (TTLS)
  - PEAP
- Suporte para o Microsoft Windows XP* e Microsoft Windows 2000*

> NOTA: Os recursos de segurança do Intel(R) PROSet/Wireless no Windows Vista* só têm suporte para a autenticação TTLS e EAP-SIM.

# WPA* ou WPA2*

O Wi-Fi Protected Access* (WPA* ou WPA2*) é uma melhoria de segurança que aumenta significativamente o nível de proteção de dados e de controle de acesso a uma rede sem fio. O modo WPA usa a autenticação 802.1X e a troca de chaves e só funciona com chaves de criptografia dinâmicas. Para fortalecer a criptografia de dados, o WPA utiliza seu TKIP (Temporal Key Integrity Protocol). O TKIP propicia melhorias importantes à criptografia de dados, o que inclui uma função de combinação de chaves por pacote, um recurso MIC (message integrity check — verificação de integridade da mensagem) denominado "Michael", um recurso de vetor de inicialização estendida (IV — initialization vector) com regras de seqüenciamento e um mecanismo de rechaveamento. Com essas otimizações, o TKIP se protege contra os pontos fracos conhecidos do protocolo WEP.

A segunda geração do WPA, compatível com a especificação IEEE TGi, é conhecida como WPA2.

Modo Empresa: O Modo Empresa verifica os usuários da rede através de um servidor RADIUS ou outro servidor de autenticação. O protocolo WPA utiliza chaves de criptografia de 128 bits e chaves de sessão dinâmicas para garantir a privacidade da rede sem fio e a segurança corporativa. O Modo Empresa é destinado aos ambientes corporativos ou governamentais.

Modo Pessoal: O Modo Pessoal exige a configuração manual de uma chave pré-compartilhada (PSK) no ponto de acesso e nos clientes. A PSK autentica os usuários por senha ou código de identificação, na estação do cliente e no ponto de acesso. Não é necessário um servidor de autenticação. O Modo pessoal é destinado aos ambientes residenciais e de pequenas empresas.

WPA-Empresa e WPA2-Empresa: Forneça este nível de segurança em redes corporativas com um servidor RADIUS 802.1X. É selecionado um Tipo de Autenticação correspondente ao protocolo de autenticação do servidor do 801.1X.

> NOTA: WPA-Empresa e WPA2-Empresa são interoperáveis.

WPA-Pessoal e WPA2-Pessoal: Forneça esse nível de segurança na rede pequena ou no ambiente doméstico. Utiliza uma senha também chamada Chave pré-compartilhada (PSK). Quanto mais longa for a senha, tanto mais confiável será a segurança da rede sem fio. Se o ponto de acesso sem fio ou o roteador suportar os tipos WPA-Pessoal e WPA2-Pessoal, você deverá ativá-los no ponto de acesso e fornecer uma senha longa e de alta segurança. É necessário usar a mesma senha inserida no ponto de acesso, neste computador e em todos os outros dispositivos sem fio que acessam a rede sem fio.

> NOTA: WPA-Pessoal e WPA2-Pessoal são interoperáveis.

AES-CCMP - (Advanced Encryption Standard - Counter CBC-MAC Protocol) é o novo método de proteção da privacidade das transmissão sem fio especificadas no padrão IEEE 802.11i. AES-CCMP fornece um método de criptografia mais seguro do que o TKIP. Escolha AES-CCMP como método de criptografia de dados sempre que a proteção de dados de alta segurança for importante.

> NOTA: É possível que algumas soluções de segurança não sejam suportadas pelo sistema operacional do computador e exijam software ou itens de hardware adicionais, além de suporte para infra-estrutura de LAN sem fio. Consulte o fabricante de seu computador para obter detalhes.

TKIP (Temporal Key Integrity Protocol) é uma otimização para a segurança WEP (Wired Equivalent Privacy). O TKIP dispõe de uma combinação de chaves por pacote, uma verificação de integridade da mensagem e um mecanismo de rechaveamento que, juntos, corrigem as deficiências da WEP.

## TLS

Um tipo de método de autenticação que usa o EPA (Extensible Authentication Protocol) e um protocolo de segurança chamado TLS (Transport Layer Security). O EAP-TLS usa certificados que utilizam senhas. A autenticação EAP-TLS suporta o gerenciamento dinâmico de chaves WEP. O protocolo TLS foi elaborado para proteger e autenticar as comunicações através de uma rede pública, por meio da criptografia de dados. O Protocolo de Handshake do TLS permite que o servidor e o cliente forneçam autenticação mútua e negociem um algoritmo de criptografia e chaves criptográficas antes da transmissão dos dados.

## TTLS

Estas configurações definem o protocolo e as credenciais usadas para autenticar o usuário. No TTLS (Tunneled Transport Layer Security), o cliente usa o EAP-TLS para validar o servidor e criar um canal encriptografado por TLS entre o cliente e o servidor. O cliente pode usar outro protocolo de autenticação. Geralmente, os protocolos baseados em senhas desafiam neste canal codificado para permitir a validação do servidor. Os pacotes de desafio e resposta são enviados por um canal TLS não exposto e encriptografado. Atualmente, as implementações do TTLS aceitam todos os métodos definidos pelo protocolo EAP, assim como vários métodos mais antigos (PAP, CHAP, MS-CHAP e MS-CHAPV2). O TTLS pode ser facilmente estendido para trabalhar com novos protocolos, definindo novos atributos para oferecer suporte para novos protocolos.

## EAP-SIM

O EAP-SIM (Extensible Authentication Protocol Method for GSM Subscriber Identity) é um mecanismo de autenticação e de distribuição de chaves de sessão. Ele utiliza o SIM (Subscriber Identity Module — Mòdulod de Identificação de Assinante) do GSM (Global System for Mobile Communications). O RFC 4186 descreve o EAP-SIM.

### Protocolos de autenticação

- PAP: O PAP (Password Authentication Protocol - Protocolo de Autenticação por Senha) é um protocolo de handshake bidirecional, elaborado para uso com o PPP. O PAP (Password Authentication Protocol) é uma senha de texto simples usada nos sistemas SLIP mais antigos. Não é um método seguro.
- CHAP: O CHAP (Challenge Handshake Authentication Protocol) é um protocolo de handshake tridirecional, considerado mais seguro do que o Protocolo de Autenticação PAP.
- MS-CHAP (MD4): Usa uma versão Microsoft do protocolo de desafio-e-resposta do RSA Message Digest 4. Isso só funciona nos sistemas Microsoft e permite a criptografia de dados. Ao selecionar esse método de autenticação, todos os dados serão codificados.
- MS-CHAP-V2: Introduz um recurso adicional não disponível na autenticação MS-CHAP-V1 ou CHAP padrão, o recurso de alteração de senha. Este recurso permite que o cliente altere a senha da conta se o servidor RADIUS informar que a senha expirou.

# PEAP

PEAP é um novo tipo de autenticação de EAP (Extensible Authentication Protocol) do IEEE 802.1X, criado para tirar proveito das vantagens do EAP-TLS (EAP-Transport Layer Security) do lado servidor e para suportar vários métodos de autenticação, inclusive as senhas de usuário, as senhas ocasionais e Generic Token Cards.

### Protocolos de autenticação

- Generic Token Card (GTC): Contém token cards específicos do usuário para fins de autenticação. O principal recurso no GTC é a autenticação baseada em Certificado Digital/Token Card. Além disso, o GTC pode ocultar identidades de nome de usuário até que o túnel encriptografado TLS seja estabelecido, o que propicia uma confidencialidade adicional no sentido de que os nomes dos usuários não sejam revelados na fase de autenticação.
- MS-CHAP-V2: Consulte MS-CHAP-V2 acima.
- TLS: O protocolo TLS foi elaborado para proteger e autenticar as comunicações através de uma rede pública, por meio da criptografia de dados. O Protocolo de Handshake do TLS permite que o servidor e o cliente forneçam autenticação mútua e negociem um algoritmo de criptografia e chaves criptográficas antes da transmissão dos dados. Consulte TLS acima.

## Recursos Cisco

> NOTA: Não há suporte para os Recursos Cisco no Windows Vista.

### Cisco LEAP

Cisco LEAP (Cisco Light EAP) é uma autenticação 802.1X de cliente e servidor através de uma senha de login fornecida pelo usuário. Quando um ponto de acesso sem fio se comunica com um RADIUS habilitado para Cisco LEAP (servidor ACS [Cisco Secure Access Control Server]), o Cisco LEAP fornece o controle de acesso através de autenticação mútua entre os adaptadores sem fio do cliente e as redes sem fio, e disponibiliza chaves dinâmicas de criptografia de usuário individual para ajudar a proteger a privacidade dos dados transmitidos.

### Recurso Segurança de pontos de acesso desconhecidos da Cisco

O recurso Cisco Rogue AP fornece proteção de segurança a partir da introdução de um ponto de acesso não autorizado, que pode simular um ponto de acesso legítimo de uma rede para extrair informações sobre credenciais de usuários e protocolos de autenticação que possam comprometer a segurança. Este recurso só funciona com a autenticação LEAP da Cisco. A tecnologia do padrão 802.11 não protege uma rede contra a introdução de um ponto de acesso não autorizado. Consulte Autenticação LEAP para obter mais informações.

### Roaming rápida (CCKM)

Quando uma LAN sem fio é configurada para reconexão rápida, um dispositivo cliente ativado por LEAP pode fazer roaming de um ponto de acesso para outro, sem a interferência do servidor principal. Com o CCKM (Cisco Centralized Key Management), um ponto de acesso configurado para fornecer WDS (Wireless Domain Services — Serviços de Domínio Sem Fio) substitui o servidor RADIUS e autentica o cliente sem um retardo perceptível de voz ou de outras aplicações sensíveis ao tempo.

### CKIP

O CKIP (Cisco Key Integrity Protocol) é um protocolo de segurança de propriedade da Cisco para criptografia em mídia 802.11. O CKIP usa os recursos abaixo para melhorar a segurança do 802.11 no modo de infra-estrutura:

- KP (Key Permutation) - Permutação de Chaves
- Número de seqüência da mensagem

### Protocolo de proteção de ambiente misto do 802.11b e 802.11g

Alguns pontos de acesso, como o Cisco 350 ou Cisco 1200, aceitam ambientes em que nem todas as estações cliente têm suporte para a criptografia WEP; este é chamado modo de Célula mista. Quando essas redes sem fio operam no modo “criptografia opcional”, as estações cliente que entram no modo WEP enviam todas as mensagens codificadas, e as estações que usam o modo padrão enviam todas as mensagens decodificadas. Esses pontos de acesso difundem que a rede não está usando criptografia, mas permitem a entrada de clientes usando o modo WEP. Quando a opção Célula mista é ativada em um perfil, permite a conexão com os pontos de acesso configurados para “criptografia opcional”.

### EAP-FAST

O EAP-FAST, como o EAP-TTLS e o PEAP, usa o tunelamento para proteger o tráfego. A principal diferença é que o EAP-FAST não usa certificados para autenticar. O fornecimento do EAP-FAST é negociado unicamente pelo cliente na primeira troca de comunicações, quando o EAP-FAST é solicitado no servidor. Se o cliente não tiver uma PAC (Protected Access Credential) secreta pré-compartilhada, poderá iniciar um intercâmbio de fornecimento EAP-FAST para obter uma PAC dinamicamente do servidor.

O EAP-FAST documenta dois métodos de liberação da PAC: entrega manual através de um mecanismo seguro fora da faixa, e o fornecimento automático.

- Os mecanismos de entrega manual podem ser quaisquer mecanismos de saída considerados pelo administrador suficientemente seguros para a rede.
- O fornecimento automático cria um túnel encriptografado para proteger a autenticação do cliente e a liberação da PAC para o cliente. Esse mecanismo, mesmo que não seja seguro como um método manual, é mais seguro que o método de autenticação usado no LEAP.

O método EAP-FAST é dividido em duas partes: fornecimento e autenticação. A fase do fornecimento abrange a liberação inicial da PAC para o cliente. Só é necessário realizar essa fase uma única vez por cliente e usuário.

### Modo de célula mista

Alguns pontos de acesso, como o Cisco 350 ou Cisco 1200, aceitam ambientes em que nem todas as estações cliente têm suporte para a criptografia WEP; este é chamado modo de Célula mista. Quando essas redes sem fio operam no modo “criptografia opcional”, as estações cliente que entram no modo WEP enviam todas as mensagens codificadas, e as estações que usam o modo padrão enviam todas as mensagens decodificadas. Esses pontos de acesso difundem que a rede não está usando criptografia, mas permite a entrada de clientes usando o modo WEP. Quando a opção de “Célula mista” é ativada em um perfil, permite a conexão com os pontos de acesso configurados para “criptografia opcional”.

### Gerenciamento de rádio

Quando esse recurso for ativado, o adaptador sem fio fornece gerenciamento de rádio para a infra-estrutura Cisco. Se usado na infra-estrutura, o utilitário de gerenciamento de rádio Cisco configurará os parâmetros de rádio, detectará interferência e pontos de acesso não autorizados.

Voltar ao Início

Voltar ao Índice

Marcas comerciais e isenções de responsabilidade