Sikkerhetsoversikt

Tilbake til Innhold

# Sikkerhetsoversikt

WEP-kryptering

- Åpen og delt nøkkelgodkjenning

802.1x-autentifikasjon

- Slik virker 802.1x-godkjenning
- 802.1x-funksjoner

WPA*/WPA2
Foretaksmodus
Personlig modus
WPA-Foretak og WPA2-Foretak
WPA-Personlig og WPA2-Personlig
AES-CCMP
TKIP
TLS
TTLS

- Godkjenningsprotokoller

PEAP

- Godkjenningsprotokoller

Cisco-funksjoner

- Cisco LEAP
- Ciscos svindlertilgangspunktsikkerhetsfunksjon
- Hurtigstreifing (CCKM)
- CKIP
- 802.11b eller 802.11g mikset miljø beskyttelsesprotokoll
- EAP-FAST
- Mikset cellemodus
- Radiostyring

# WEP-kryptering

Du kan forhindre uautorisert mottak av de trådløse dataene ved hjelp av IEEE 802.11 WEP (Wired Equivalent Privacy). WEP-kryptering inneholder to sikkerhetsnivåer som bruker en 64-biters nøkkel (også omtalt som 40-biters) eller en 128-biters nøkkel (også kjent som 104-biters). Den beste sikkerheten får du ved bruk av en 128-biters nøkkel. Hvis du bruker kryptering, må alle trådløse enheter på trådløsnettverket bruke de samme krypteringsnøklene.

WEP-kryptering (Wired Equivalent Privacy) og delt godkjenning beskytter dataene på nettverket. WEP bruker en krypteringsnøkkel til å kryptere dataene før sending. Bare datamaskiner som bruker samme krypteringsnøkkel, får tilgang til nettverket eller kan dekryptere de krypterte dataene som overføres av andre datamaskiner. Godkjenning utgjør en ekstra valideringsprosess fra kortet til tilgangspunktet.

WEP-krypteringsalgoritmen er sårbar overfor passive og aktive nettverksangrep. TKIP- og CKIP-algoritmer inkluderer utvidelser til WEP-protokollen som demper eksisterende nettverksangrep og tar for seg manglene ved dem

### Åpen og delt nøkkelgodkjenning

IEEE 802.11 støtter to typer nettverksgodkjenningsmetoder: Åpent system og Delt nøkkel.

- Åpen godkjenning: Enhver trådløs stasjon kan be om godkjenning. Stasjonen som behøver å bli godkjent med en annen trådløs stasjon, sender en godkjenningsadministrasjonsforespørsel som inneholder identiteten til stasjonen som sender. Mottaksstasjonen eller tilgangspunktet (AP) vil innvilge enhver forespørsel om godkjenning. Åpen godkjenning gir enhver enhet nettverkstilgang. Dersom det ikke er aktivert noen kryptering på nettverket, kan enhver innretning som kjenner til tilgangspunktets SSID, få tilgang til nettverket.
- Delt nøkkel-autentifikasjon: Enhver trådløs stasjon antas å ha mottatt en hemmelig delt nøkkel via en sikker kanal som er uavhengig av 802.11-nettverkskommunikasjonskanalen. Delt nøkkelgodkjenning krever at klienten konfigurerer en statisk WEP-nøkkel. Klientens tilgang vil bli innvilget bare dersom den passerte en utfordringsbasert godkjenning.

# 802.1x-autentifikasjon

Slik virker 802.1x-godkjenning
802.1x-funksjoner

### Oversikt

802.1X-godkjenningen er uavhengig av 802.11-godkjenningsprosessen. 802.1X-standarden gir et rammeverk for flere godkjennings- og nøkkeladministrasjonsprotokoller. Det finnes forskjellige 802.1x-godkjenningstyper, og hver gir forskjellige innfallsvinkler til godkjenningen, men alle tar i bruk den samme 802.1x-protokollen og det samme rammeverk for kommunikasjonen mellom en klient og et tilgangspunkt. I de fleste protokollene, når 802.1x-godkjenningsprosessen er ferdig, mottar søkeren en nøkkel som den benytter til datakryptering. Se Slik virker 802.1x-godkjenning for å få mer informasjon. Med 802.1X-godkjenning brukes en godkjenningsmetode mellom klienten og en RADIUS-server (Remote Authentication Dial-In User Service) som er koblet til tilgangspunktet. Godkjenningsprosessen benytter legitimasjonsbeskrivelsene, slik som en brukers passord, som ikke sendes over det trådløse nettverket. De fleste 802.1X-typene støtter dynamisk per-bruker, per økt-nøkler for å styrke den statiske nøkkelsikkerheten. 802.1X tjener på bruken av eksisterende godkjenningsprotokoll kjent som EAP (Extensible Authentication Protocol).

802.1x-autentifikasjon for trådløse nettverk har tre hovedkomponenter:

- Godkjenner (tilgangspunktet)
- Søkeren (klientprogramvaren)
- Godkjenningsserveren (RADIUS)

802.1x-godkjenningssikkerhet starter en godkjenningsforespørsel fra trådløsklienten til tilgangspunktet som godkjenner klienten til en EAP-kompatibel (Extensible Authentication Protocol) RADIUS-server. RADIUS-serveren kan godkjenne brukeren (via passord eller sertifikater) eller systemet (ved MAC-adressen). Teoretisk sett får ikke den trådløse klienten lov til å bli med i nettverkene før transaksjonen er fullført.

Det brukes mange godkjenningsalgoritmer for 802.1X. Noen eksempler er: EAP-TLS, EAP-TTLS og Protected EAP (PEAP). Dette er alle metoder for trådløsklienten for å identifisere seg selv overfor RADIUS-serveren. Med RADIUS-godkjenning kontrolleres brukeridentitetene mot databaser. RADIUS utgjør et sett med standarder som omhandler AAA (Authentication, Authorization, Accounting). RADIUS inkluderer en proxy-prosess for validering av klienter i et flerservermiljø. Standarden IEEE 802.1X er for å kontrollere og godkjenne tilgang til portbasert 802.11 trådløst og ledningssammenbundet Ethernet nettverk. Portbasert nettverkstilgangskontroll er lik en svitsjet LAN-infrastruktur som godkjenner innretninger som er festet til en LAN-port og hindrer tilgang til den porten dersom godkjenningsprosessen mislykkes.

#### Hva er en RADIUS?

RADIUS står for Remote Authentication Dial-In User Service, og er en AAA-klientserverprotokoll (Authorization, Authentication, Accounting) for en ekstern AAA-klientserver som logger inn på eller ut av en nettverkstilgangsserver. Vanligvis brukes en RADIUS-server av Internett-leverandører (ISP - Internet Service Providers) til å utføre AAA-oppgaver. AAA-fasene beskrives som følger:

- Godkjenningsfasen: Kontrollerer et brukernavn og passord mot en lokal database. Når legitimasjonsbeskrivelsene er kontrollert, begynner autoriseringsprosessen.
- Autoriseringsfasen: Fastsetter om en forespørsel får innvilget tilgang til en ressurs. En IP-adresse tilordnes for den eksterne klienten.
- Regnskapsfasen: Samler informasjon om ressursforbruk med det formål å analysere trender, overvåke, fakturere økttid eller fordele kostnader.

# Slik virker 802.1x-godkjenning

En forenklet beskrivelse av 802.1x-godkjenningen er:

- En klient sender en melding med "forespørsel om tilgang" til et tilgangspunkt. Tilgangspunktet ber om klientens identitet.
- Klienten svarer med identitetspakken som er sendt til godkjenningsserveren.
- Godkjenningsserveren sender en "godta"-pakke til tilgangspunktet.
- Tilgangspunktet plasserer klientporten i autorisert tilstand, og datatrafikken får tillatelse til å bli behandlet.

# 802.1x-funksjoner

- 802.1x-søkerprotokollstøtte
- Støtte for Extensible Authentication Protocol (EAP) - RFC 2284
- Støttede godkjenningsmetoder:
  - EAP TLS-godkjenningsprotokoll - RFC 2716 og RFC 2246
  - EAP-SIM autentifikasjonsprotokoll - RFC 4186
  - EAP Tunneled TLS (TTLS)
  - PEAP
- Støtter Microsoft Windows XP*, Microsoft Windows 2000*

> OBS: Intel(R) PROSet/Wireless-sikkerhetsfunksjonene på Windows Vista* støtter kun TTLS- og EAP-SIM-autentifikasjon.

# WPA* eller WPA2*

Wi-Fi-Protected Access* (WPA* eller WPA2*) er en sikkerhetsutvidelse som kraftig øker databeskyttelsesnivået og tilgangskontrollen til et trådløsnettverk. WCA tvinger frem 802.1X-godkjenning og nøkkelutveksling og virker bare med dynamiske krypteringsnøkler. For å styrke datakrypteringen bruker WPA sin Midlertidige Nøkkelintegritetsprotokoll (TKIP). TKIP sørger for viktig datakrypteringsutvidelser som omfatter en nøkkelblandingsfunksjon per pakke, en beskjedintegritetssjekk(MIC) som heter "Michael", en utvidet initialiseringsvektor (IV) med sekvensregler og også en gjen-nøkkelmekanisme. Ved hjelp av disse forbedringene beskytter TKIP mot WEPs kjente svakheter.

Den andre generasjonen WPA som oppfyller IEEE TGi-spesifikasjonen, er kjent som WPA2.

Foretaksmodus: Foretaksmodus bekrefter nettverksbrukerne gjennom en RADIUS eller annen godkjenningsserver. WPA bruker 128-bits kryptering og dynamiske øktnøkler for å sikre personvern og foretakssikkerhet på trådløsnettverket. Foretaksmodus er rettet inn mot bedriftsmiljøer eller offentlige miljøer.

Personlig modus: Personlig modus krever manuell konfigurasjon av forhåndsdelt nøkkel (PSK) på tilgangspunktet og klienter. PSK godkjenner brukere via et passord eller en identifikasjonskode både på klientstasjonen og tilgangspunktet. Det trengs ingen godkjenningsserver. Personlig modus er rettet mot hjem og mindre bedriftsmiljøer.

WPA-Foretak og WPA2-Foretak: Sørger for dette sikkerhetsnivået på foretaksnettverk med en 802.1x RADIUS-server. En godkjenningstype velges for å passe til godkjenningsprotokollen for 802.1x-serveren.

> OBS: WPA-Foretak og WPA2-Foretak er interoperative.

WPA - Personlig og WPA2 - Personlig: Sørge for dette sikkerhetsnivået i mindre nettverk eller i hjemmemiljøer. Det bruker et passord som også kalles forhåndsdelt nøkkel (PESK). Jo lengre dette passordet er, jo kraftigere er sikkerheten i trådløsnettverket. Hvis trådløstilgangspunktet eller ruteren støtter WPA-Personlig og WPA2-personlig, da må du aktivere det på tilgangspunktet og besørge et langt, kraftig passord. Det samme passordet som er satt inn i tilgangspunktet, må brukes på denne datamaskinen og alle andre trådløsenheter som får tilgang til trådløsnettverket.

> OBS: WCA-Personlig og WPA2-Personlig er interoperative.

AES-CCMP (Advanced Encryption Standard - Counter CBC-MAC Protocol) Den nye metoden for å beskytte personvernet i trådløse overføringer som er angitt i IEEE 802.11i-standarden. AKES-CAMP sørger for en sterkere krypteringsmetode enn TEIP. Velg AKES-CAMP som datakrypteringsmetode når det er viktig med kraftig beskyttelse av data.

> OBS: Enkelte sikkerhetsløsninger kan hende ikke støttes av operativsystemet i datamaskinen din og kan hende krever ekstra programvare samt visse maskinvarer samt støtte for trådløs LAN-infrastruktur. Sjekk nærmere med produsenten av datamaskinen din.

TKIP (Temporal Key Integrity Protocol) er en utvidelse av WEP-sikkerhet (Wired Equivalent Privacy). KIP gir nøkkelmiksing per pakke, en beskjedintegritetssjekk og en omnøklingsmekanisme, som således sammen fikser feilene i WEP.

## TLS

En godkjenningsmetode som bruker Extensible Authentication Protocol (EAP) og en sikkerhetsprotokoll som kalles Transport Layer Security (TLS). EAP-TLS bruker sertifikater som benytter passord. EAP-TLS-godkjenning støtter dynamisk WEP-nøkkeladministrasjon. TLS-protokollen er ment å sikre og godkjenne kommunikasjon gjennom et offentlig nettverk ved bruk av datakryptering. TLS Handshake Protocol lar serveren og klienten gi gjensidig godkjenning og forhandle en krypteringsalgoritme og kryptografiske nøkler før data blir sendt.

## TTLS

Disse innstillingene definerer protokollen og legitimasjonsbeskrivelsene som brukes for å godkjenne en bruker. I TTLS (Tunneled Transport Layer Security) benytter klienten EAP-TLS for å bekrefte serveren og lage en TLS-kryptert kanal mellom klienten og serveren. Klienten kan bruke en annen autentifikasjonsprotokoll. Normalt utfordrer passordbaserte protokoller denne krypterte kanalen for å aktivere servergodkjenning. Utfordrings- og responspakker sendes over en ikke-utsatt TLS-kryptert kanal. TTLS-implementeringer støtter i dag alle metoder definert av EAP samt mange andre eldre metoder (PAP,CHAP, MS-CHAP og MS-CHAP-V2). TTLS kan lett utvides til å virke sammen med nye protokoller ved å definere nye attributter for å støtte nye protokoller.

## EAP-SIM

Extensible Authentication Protocol Method for GSM Subscriber Identity (EAP-SIM) er en mekanisme for autentifisering og øktnøkkeldistribuering. Det bruker Global System for Mobile Communications (GSM) Subscriber Identity Module (SIM). RFC 4186 beskriver EAP-SIM.

### Godkjenningsprotokoller

- PAP: Password Authentication Protocol er en toveis håndktrykksprotokoll utformet for bruk med PPP. Password Authentication Protocol er et rent tekstpassord brukt på eldre SLIP-systemer. Det er ikke sikkert.
- CHAP: Challenge Handshake Authentication Protocol er en treveis håndtrykksprotokoll som anses mer sikker enn PAP-autentifikasjonsprotokollen.
- MS-CHAP (MD4): Bruker en Microsoft-versjon av RSA Message Digest 4 utfordre-og-svar-protokoll. Denne virker kun på Microsoft-systemer og aktiverer datakryptering. Velges denne godkjenningsmetoden, blir alle data kryptert.
- MS-CHAP-V2: Innfører en tilleggsfunksjon som ikke er tilgjengelig med MS-CHAPV1- eller standard CHAP-godkjenning; funksjonen for endring av passord. Denne funksjonen lar klienten endre kontopassord hvis RADIUS-serveren rapporterer at passordet er utløpt.

# PEAP

PEAP er en ny Extensible Authentication Protocol (EAP) IEEE 802.1x-godkjenningstype lagd for å trekke fordeler fra serversidens EAP-Transport Layer Security (EAP-TLS) og for å støtte forskjellige godkjenningsmetoder, herunder brukerens passord og engangspassord og Generic Token Cards.

### Godkjenningsprotokoller

- Generic Token Card (GTC): Inneholder brukerspesifikke kodekort for godkjenning. Hovedfunksjonen i GTC er godkjenning basert på digitale sertifikater / kodekort. I tillegg gir GTC mulighet til å skjule brukernavn til det er opprettet en TLS-kryptert tunnel. Dette gir bedre konfidensialitet og kringkaster ikke brukernavn under godkjenningsfasen.
- MS-CHAP-V2: Se MS-CHAP-V2 ovenfor.
- TLS: TLS-protokollen er ment å sikre og godkjenne kommunikasjon gjennom et offentlig nettverk ved bruk av datakryptering. TLS Handshake Protocol lar serveren og klienten gi gjensidig godkjenning og forhandle en krypteringsalgoritme og kryptografiske nøkler før data blir sendt. Se TLS foran.

## Cisco-funksjoner

> OBS: Cisco-egenskaper støttes ikke på Windows Vista.

### Cisco LEAP

Cisco LEAP (Cisco Light EAP) er en 802.1x-godkjenning for server og klient via brukerdefinert påloggingspassord. Når et trådløst tilgangspunkt kommuniserer med en Cisco LEAP-aktivert RADIUS (Cisco-sikker tilgangskontrollserver [ACS]-server), gir Cisco LEAP tilgangskontroll via gjensidig godkjenning mellom klientens trådløskort og det trådløse nettverket og gir dynamiske, individuelle brukerkrypteringsnøkler for å hjelpe til med å beskytte personvernet i de overførte dataene.

### Ciscos svindlertilgangspunktsikkerhetsfunksjon

Cisco Rogue AP-funksjonen gir sikkerhetsbeskyttelse fra en innføring av et svindlertilgangspunkt som kan etterape et legitimt tilgangspunkt på et nettverk for å få ut informasjon om brukerlegitimasjonsbeskrivelsene og autentifikasjonsprotokoller som kan sette sikkerheten i fare. Funksjonen virker bare med Ciscos LEAP-godkjenning. Standard 802.11-teknologi beskytter ikke et nettverk mot innføringen av et uautorisert tilgangspunkt. Se LEAP-autentifikasjon hvis du vil ha mer informasjon.

### Hurtigstreifing (CCKM)

Når et trådløst LAN er konfigurert for hurtiggjenkjenning, kan en LEAP-aktivert klientenhet streife fra et tilgangspunkt til et annet uten å involvere hovedserveren. Ved bruk av CCKM (Cisco Centralized Key Management) tar et tilgangspunkt som er konfigurert for å gi Wireless Domain Services (WDS), plassen til RADIUS-serveren og godkjenner klienten uten merkbar forsinkelse i stemme eller andre tidssensitive programmer.

### CKIP

Cisco Key Integrity Protocol (CKIP) er Ciscos egen sikkerhetsprotokoll for kryptering i 802.11-medier. CKIP bruker følgende egenskaper for å forbedre 802.11-sikkerheten i nettverks(infrastruktur)modus:

- Nøkkelpermutasjon (KP)
- Meldingssekvensnummer

### Beskyttelsesprotokoll for blandet 802.11b- og 802.11g-miljø

Enkelte tilgangspunkter, for eksempel Cisco 350 eller Cisco 1200, støtter omgivelser der ikke alle klientstasjoner støtter WEP-kryptering, dette kalle en mikset-celle-modus. Når disse trådløse nettverkene virker i "alternativ krypterings?-modus, sender klientstasjonene som slutter seg til WEP-modus alle meldingene kryptert, og stasjoner som bruker standardmodus, sender alle meldingene ukryptert. Disse tilgangspunktene kringkaster at nettverket ikke bruker kryptering, men tillater at klientene slutter seg til ved hjelp av WEP-modus. Når Mikset celle er aktivert i en profil, lar den deg koble til tilgangspunktene som er konfigurert for "valgfri kryptering".

### EAP-FAST

EAP-FAST, på samme vis som EAP-TTLS og PEAP, bruker tunnelering for å beskytte trafikken. Hovedforskjellen er at EAP-FAST ikke bruker sertifikat for å godkjenne. Tilrettelegging i EAP-FAST forhandles alene av klienten som den første kommunikasjonsutvekslingen når det anmodes om EAP-FAST fra serveren. Hvis klienten ikke har en forhåndsdelt hemmelig Protected Access Credential (PAC), kan den be om å starte en EAP-FAST-utveksling for dynamisk å bli tildelt en fra serveren.

EAP-FAST-dokumenterer to metoder for å levere PAC: manuell levering gjennom en sikker mekanisme utenfor båndet, og automatisk tilrettelegging .

- Manuelle leveringsmekanismer kan være enhver leveringsmekanisme som administratoren av nettverket synes er tilstrekkelig sikker for sitt nettverk.
- Automatisk klargjøring etablerer en kryptert tunnel for å beskytte godkjenningen av klienten og leveringen av PAC til klienten. Selv om den ikke er like sikker som en manuell metode, vil denne mekanismen være mer sikker enn godkjenningsmetoden som er brukt i LEAP.

EAP-FAST-metoden kan deles inn i to deler: klargjøring og godkjenning. Besørgelsesfasen involverer den første leveringen av PAC til klienten. Denne fasen trenger man å utføre kun én gang per klient og bruker.

### Mikset cellemodus

Enkelte tilgangspunkter, for eksempel Cisco 350 eller Cisco 1200, støtter omgivelser der ikke alle klientstasjoner støtter WEP-kryptering, dette kalle en mikset-celle-modus. Når disse trådløse nettverkene virker i "alternativ krypterings?-modus, sender klientstasjonene som slutter seg til WEP-modus alle meldingene kryptert, og stasjoner som bruker standardmodus, sender alle meldingene ukryptert. Disse tilgangspunktene kringkaster at nettverket ikke bruker kryptering, men tillater klienter som slutter seg til ved hjelp av WEP-modus. Når "Mikset celle" er aktivert i en profil, lar den deg koble til tilgangspunktene som er konfigurert for "valgfri kryptering".

### Radiostyring

Når denne funksjonen er aktivert, gir trådløskortet radiostyringsinformasjon til Cisco-infrastrukturen. Hvis Cisco-radiostyringsverktøyet brukes på infrastrukturen, vil det konfigurere radioparametre, oppdage interferens og Rogue-tilgangspunkter.

Tilbake til toppen

Tilbake til Innhold

Varemerker og frasigelser