Informazioni generali sulla protezione

Torna al Sommario

# Informazioni generali sulla protezione

Crittografia WEP

- Autenticazione con chiave aperta e condivisa

Autenticazione 802.1X

- Come funziona l'autenticazione 802.1X
- Funzioni 802.1X

WPA*/WPA2*
Modalità enterprise
Modalità personale
WPA-Enterprise e WPA2-Enterprise
WPA-Personal e WPA2-Personal
AES-CCMP
TKIP
TLS
TTLS

- Protocolli di autenticazione

PEAP

- Protocolli di autenticazione

Funzioni Cisco

- Cisco LEAP
- Funzione di protezione Cisco dai punti di accesso non autorizzati
- Roaming veloce (CCKM)
- CKIP
- Protocollo di protezione 802.11b e 802.11g per ambienti misti
- EAP-FAST
- Modalità cella mista
- Gestione della radio

# Crittografia WEP

Usare la crittografia WEP (Wired Equivalent Privacy) di IEEE 802.11 per impedire la ricezione non autorizzata dei dati wireless. la crittografia WEP offre due livelli di protezione, uno che utilizza una chiave a 64 bit (talvolta chiamata a 40 bit) e l'altro che usa una chiave a 128 bit (chiamata anche a 104 bit). Per ottenere un livello di protezione maggiore, utilizzare la chiave a 128 bit. Quando si usa la crittografia, tutte le periferiche wireless della rete wireless devono utilizzare le stesse chiavi di crittografia.

La crittografia WEP (Wired Equivalent Privacy) e l'autenticazione condivisa offrono la protezione dei dati sulla rete. Quando si utilizza la crittografia WEP i dati vengono codificati tramite una chiave di crittografia prima di essere trasmessi. Solo i computer che usano la stessa chiave di crittografia possono accedere alla rete o decodificare i dati crittografati trasmessi da altri computer. L'autenticazione offre un ulteriore processo di convalida a partire dalla scheda di rete verso il punto di accesso.

L'algoritmo crittografato WEP è vulnerabile agli attacchi attivi e passivi della rete. Gli algoritmi TKIP e CKIP includono dei miglioramenti al protocollo WEP che mitigano gli attacchi alla rete esistente cercando di risolverne i punti deboli.

### Autenticazione con chiave aperta e condivisa

L'autenticazione IEEE 802.11 supporta due tipi di metodi per l'autenticazione di rete: a sistema aperto e a chiave condivisa.

- Autenticazione aperta: in questa modalità qualsiasi stazione wireless può richiedere l'autenticazione. La stazione che richiede l'autenticazione presso un'altra stazione wireless invia una richiesta di gestione dell'autenticazione contenente l'identità della stazione mittente. La stazione o il punto di accesso ricevente concede qualsiasi richiesta di autenticazione. L'autenticazione aperta consente l'accesso alla rete a qualunque periferica. Se sulla rete non è attivata la crittografia, qualunque periferica che conosce l'SSID (Service Set Identifier) del punto di accesso può ottenere l'accesso alla rete.
- Autenticazione a chiave condivisa: Si presume che ciascuna stazione wireless abbia ricevuto una chiave condivisa segreta tramite un canale protetto e indipendente dal canale di comunicazioni di rete wireless 802.11. L'autenticazione a chiave condivisa richiede che il client configuri una chiave WEP statica. Al client viene consentito l'accesso solo se risponde correttamente alla richiesta su cui è basata la procedura di autenticazione.

# Autenticazione 802.1X

Come funziona l'autenticazione 802.1X
Funzioni 802.1X

### Panoramica

L'autenticazione 802.1X è indipendente dal processo di autenticazione 802.11. Lo standard 802.1X offre una struttura per vari protocolli di autenticazione e di gestione delle chiavi. Esistono autenticazioni 802.1X di tipo diverso; ciascuna offre un approccio differente all'autenticazione ma tutte impiegano lo stesso protocollo 802.1X e struttura per la comunicazione tra un client e un punto di accesso. Nella maggior parte dei protocolli, al completamento del processo di autenticazione 802.1X il richiedente riceve una chiave che utilizza per crittografare i dati. Per ulteriori informazioni, vedere Come funziona l'autenticazione 802.1X. L'autenticazione 802.1X prevede l'uso di un metodo di autenticazione tra il client e un server RADIUS (Remote Authentication Dial-In User Service) connesso al punto di accesso. Il processo di autenticazione usa credenziali, come le password dell'utente che non sono trasmesse sulla rete wireless. La maggior parte dei tipi 802.1X supportano chiavi dinamiche per utente e per sessione, che rafforzano la protezione della chiave statica. 802.1X si avvantaggia dell'utilizzo di un protocollo di autenticazione esistente conosciuto come l'Extensible Authentication Protocol (EAP).

L'autenticazione 802.1X per le reti wireless è costituita da tre principali componenti:

- L'autenticatore (il punto di accesso)
- Il richiedente (il software del client)
- Il server di autenticazione (RADIUS).

Il client wireless dà inizio a una richiesta di autenticazione 802.1X presso un punto di accesso, il quale esegue l'autenticazione del client a un server RADIUS compatibile con EAP. Il server RADIUS può autenticare l'utente (tramite password o certificati) o il sistema (tramite l'indirizzo MAC). In teoria, al client wireless non è consentito far parte della rete finché la transazione non è completata.

Per 802.1X sono usati svariati algoritmi di autenticazione. Alcuni esempi sono: EAP-TLS, EAP-TTLS e EAP protetto (PEAP). Sono tutti metodi utilizzati dai client wireless per identificare se stessi presso il server RADIUS. Con l'autenticazione RADIUS, le identità degli utenti sono controllate confrontandole con i dati contenuti nei database. RADIUS è costituito da un insieme di standard di autenticazione, autorizzazione e accounting (AAA). RADIUS dispone di un processo proxy per convalidare i client in un ambiente multiserver. Lo standard IEEE 802.1X serve per controllare e autenticare l'accesso alle reti Ethernet basate su cavo e a quelle wireless 802.11 basate su porta. Il controllo dell'accesso alle reti basate su porta è simile a un'infrastruttura LAN con tecnologia switch che autentica le periferiche collegate a una porta LAN e impedisce l'accesso a tale porta se il processo di autenticazione non riesce.

#### Cos'è RADIUS?

RADIUS (Remote Authentication Dial-In User Service) è un protocollo client-server AAA (Authorization, Authentication, Accounting) utilizzato quando un client AAA remoto esegue la procedura di accesso o di chiusura della sessione da un server di accesso alla rete (NAS). I server RADIUS sono in genere utilizzati dai provider di servizi Internet (ISP) per eseguire operazioni di tipo AAA. Le fasi AAA sono le seguenti:

- Fase di autenticazione: consente di verificare il nome utente e la password confrontandoli con le informazioni contenute in un database locale. Completata la verifica delle credenziali, ha inizio il processo di autorizzazione.
- Fase di autorizzazione: consente di determinare se viene concessa la richiesta di accesso a una risorsa. Al client remoto viene assegnato un indirizzo IP.
- Fase di registrazione: consente la raccolta di informazioni sull'utilizzo delle risorse allo scopo di effettuare analisi di tendenza, controlli, riepiloghi delle prestazioni orarie della sessione e allocazioni dei costi

# Come funziona l'autenticazione 802.1X

La procedura di autenticazione 802.1X può essere semplicemente descritta nel modo seguente:

- Un client invia a un punto di accesso un messaggio di "richiesta di accesso". Il punto di accesso richiede l'identità del client.
- Il client risponde inviando il pacchetto contenente la propria identità, che viene quindi trasmesso al server di autenticazione.
- Il server di autenticazione invia al punto di accesso un pacchetto di "accettazione".
- Il punto di accesso cambia lo stato della porta del client che viene autorizzata a far passare il traffico di dati.

# Funzioni 802.1X

- Supporto del protocollo 802.1X del richiedente
- Supporto per l'Extensible Authentication Protocol (EAP) - RFC 2284
- Metodi di autenticazione supportati:
  - Protocollo di autenticazione EAP TLS - RFC 2716 e RFC 2246
  - Protocollo di autenticazione EAP-SIM - RFC 4186
  - EAP TLS di tunneling (TTLS)
  - PEAP
- Supporta Microsoft Windows XP* e Microsoft Windows 2000*

> NOTA: le funzioni di protezione della scheda Intel(R) PROSet/Wireless su Windows Vista* supportano soltanto l'autenticazione TTLS e EAP-SIM.

# WPA* o WPA2*

L'accesso protetto Wi-Fi* (WPA* o WPA2*) rappresenta una funzione di protezione potenziata che aumenta significativamente il livello di protezione dei dati e il controllo dell'accesso alla rete wireless. WPA impone l'autenticazione 802.1X e lo scambio di chiavi e funziona solo con le chiavi di crittografia dinamiche. Per rendere ancora più sicura la crittografia dei dati, WPA utilizza TKIP (Temporal Key Integrity Protocol). TKIP offre importanti miglioramenti per la crittografia dei dati, che includono una funzione di utilizzo misto di chiavi per pacchetto, il controllo dell'integrità dei messaggi (MIC) chiamato Michael, un vettore di inizializzazione (IV) esteso con regole di sequenza e un meccanismo di rigenerazione delle chiavi. Questi miglioramenti di TKIP offrono una protezione maggiore dai punti deboli di WEP.

La seconda generazione di WPA che è compatibile con la specifica IEEE TGi si chiama WPA2.

Modalità enterprise: la modalità enterprise verifica gli utenti della rete tramite un server RADIUS o un altro server di autenticazione. WPA utilizza chiavi di crittografia da 128 bit e chiavi dinamiche di sessione per assicurare la privacy della rete wireless e la protezione dell'azienda. La modalità enterprise è destinata agli ambienti aziendali o governativi.

Modalità personale: la modalità personale richiede la configurazione manuale di una chiave precondivisa (PSK) sul punto di accesso e sui client. PSK autentica l'utente tramite una password o un codice di identificazione, sia sulla stazione client che sul punto di accesso. Non è necessario un server di autenticazione. La modalità personale è destinata agli ambienti delle reti domestiche e delle aziende di piccole dimensioni.

WPA-Enterprise e WPA2-Enterprise: offre questo livello di protezione sulle reti aziendali con un server RADIUS 802.1X. Viene selezionato un tipo di autenticazione che corrisponda al protocollo di autenticazione del server 802.1X.

> NOTA: WPA-Enterprise e WPA2-Enterprise sono interoperabili.

WPA - Personale e WPA2 - Personale: offre questo tipo di protezione nelle reti di piccole dimensioni o in un ambiente di utilizzo domestico. Utilizza una password chiamata anche chiave precondivisa (PSK). Maggiore è la lunghezza di questa password e maggiore è la protezione della rete wireless. Se il punto di accesso o il router wireless supporta la funzione WPA-Personale o WPA2-Personale allora è necessario attivarla nel punto di accesso e fornire una password lunga e sicura. La stessa password immessa nel punto di accesso deve essere usata sul computer e su tutte le altre periferiche wireless che accedono alla rete wireless.

> NOTA: WPA-Personale e WPA2-Personale sono interoperabili.

AES-CCMP (Advanced Encryption Standard - Counter CBC-MAC Protocol): il nuovo metodo che protegge la riservatezza dei dati delle trasmissioni wireless specificate nello standard IEEE 802.11i. AES-CCMP garantisce un livello di crittografia più avanzato rispetto a TKIP. È consigliabile selezionare la modalità AES-CCMP come metodo di crittografia ogni volta che è necessario garantire una protezione elevata dei dati.

> NOTA: è possibile che il sistema operativo del sistema in uso non supporti alcuni metodi di protezione. In questo caso, è necessario aggiungere altre applicazioni o componenti hardware nonché verificare che il sistema supporti l'infrastruttura LAN wireless. Per ulteriori informazioni, rivolgersi al produttore.

TKIP (Temporal Key Integrity Protocol) è una versione avanzata della protezione WEP (Wired Equivalent Privacy). TKIP consente di definire le chiavi per pacchetto, controlla l'integrità del messaggio ed ha un meccanismo di riassegnazione delle chiavi che risolve la maggior parte dei problemi del metodo WEP.

## TLS

Un metodo di autenticazione che usa il protocollo EAP (Extensible Authentication Protocol) e un protocollo di protezione chiamato TLS (Transport Layer Security). EAP-TLS si serve di certificati che usano password. L'autenticazione EAP-TLS supporta la gestione di chiavi WEP dinamiche. Il protocollo TLS ha l'obiettivo di proteggere e autenticare le comunicazioni sulle reti pubbliche usando la crittografia dei dati. Il protocollo di handshake TLS consente al server e al client di effettuare un'autenticazione reciproca e di negoziare l'uso di un algoritmo di crittografia e di chiavi crittografiche prima della trasmissione dei dati.

## TTLS

Queste impostazioni definiscono il protocollo e le credenziali usate per autenticare un utente. In TTLS (Tunneled Transport Layer Security), il client usa EAP-TLS per convalidare il server e creare un canale crittografato TLS tra il client e il server. Il client può utilizzare un altro protocollo di autenticazione. In genere un protocollo basato su password utiliza questo canale crittografato per abilitare la convalida del server. I pacchetti di richiesta e di risposta sono inviati su un canale TLS crittografato e non esposto. Le implementazioni di TTLS correntemente supportano tutti i metodi definiti da EAP, come pure numerosi metodi meno recenti (PAP, CHAP, MS-CHAP e MS-CHAP-V2). È possibile estendere le capacità operative di TTLS per farlo funzionare con i nuovi protocolli definendo semplicemente nuovi attributi per il supporto dei nuovi protocolli.

## EAP-SIM

Extensible Authentication Protocol Method for GSM Subscriber Identity (EAP-SIM) è un meccanismo di autenticazione e distribuzione delle chiavi di sessione. Utilizza una scheda Subscriber Identity Module (SIM) per reti Global System for Mobile Communications (GSM). RFC 4186 descrive EAP-SIM.

### Protocolli di autenticazione

- PAP: Password Authentication Protocol è un protocollo handshake a due vie destinato all'uso con PPP. Il protocollo PPP è costituito da una password di testo normale ed è usato sui vecchi sistemi SLIP. Non è protetto.
- CHAP: il Challenge Handshake Authentication Protocol è un protocollo handshake a tre vie che offre una protezione maggiore del protocollo di autenticazione PAP.
- MS-CHAP (MD4): usa una versione Microsoft del protocollo challenge-and-reply RSA Message Digest 4. Funziona solo sui sistemi Microsoft e attiva la crittografia dei dati. Selezionando questo metodo di autenticazione tutti i dati saranno crittografati.
- MS-CHAP-V2: introduce una funzione aggiuntiva, quella della modifica della password, che non è disponibile con l'autenticazione MS-CHAP-V1 o CHAP standard. Grazie a questa funzione il client può cambiare la password dell'account quando il server RADIUS riporta che la password è scaduta.

# PEAP

PEAP è un nuovo tipo di autenticazione IEEE 802.1X EAP (Extensible Authentication Protocol) che utilizza il livello di trasporto EAP-TLS sul lato del server e supporta svariati metodi di autenticazione, incluse le password dell'utente, le password per una singola sessione e le Generic Token Card.

### Protocolli di autenticazione

- Generic Token Card (GTC): contiene le token card specifiche dell'utente da usare per l'autenticazione. La funzione principale della GTC è l'autenticazione basata su certificato digitale/token card. La GTC è in grado inoltre di nascondere le identità dei nomi utente finché non viene stabilito il tunnel crittografato TLS, offrendo così una maggiore riservatezza perché i nomi utente non sono trasmessi durante la fase di autenticazione.
- MS-CHAP-V2: vedere MS-CHAP-V2 qui sopra.
- TLS: Il protocollo TLS ha l'obiettivo di proteggere e autenticare le comunicazioni sulle reti pubbliche usando la crittografia dei dati. Il protocollo di handshake TLS consente al server e al client di effettuare un'autenticazione reciproca e di negoziare l'uso di un algoritmo di crittografia e di chiavi crittografiche prima della trasmissione dei dati. Vedere TLS qui sopra.

## Funzioni Cisco

> NOTA: Funzioni Cisco non è disponibile su Windows Vista.

### Cisco LEAP

Cisco LEAP (Cisco Light EAP) è un metodo di autenticazione 802.1X per server e client realizzata tramite una password di accesso fornita dall'utente. Quando un punto di accesso wireless comunica con un server Cisco RADIUS compatibile con LEAP (server Cisco Secure Access Control Server (ACS)), Cisco LEAP offre il controllo dell'accesso tramite l'autenticazione reciproca delle schede di rete wireless dei client e delle reti wireless, realizzata con chiavi di crittografia per utente singolo che facilitano la salvaguardia della privacy dei dati trasmessi.

### Funzione di protezione Cisco dai punti di accesso non autorizzati

La funzione di protezione Cisco per i punti di accesso non autorizzati consente di proteggersi dall'introduzione sulla rete di punti di accesso non autorizzati che, presentandosi come punti di accesso legittimi, potrebbero estrarre le informazioni riguardanti le credenziali degli utenti e i protocolli di autenticazione, compromettendo la sicurezza. Questa funzione è operativa solo con l'autenticazione LEAP di Cisco. La tecnologia dello standard 802.11 non protegge la rete dall'introduzione di punti di accesso non autorizzati. Per ulteriori informazioni, vedere Autenticazione LEAP.

### Roaming veloce (CCKM)

Quando una LAN wireless è configurata per la riconnessione veloce, alle periferiche client abilitate LEAP è consentito di passare in roaming da un punto di accesso all'altro senza coinvolgere il server principale. L'uso di CCKM (Cisco Centralized Key Management) consente a un punto di accesso configurato per fornire i servizi WDS (Wireless Domain Services) di sostituire il server RADIUS e autenticare il client senza introdurre ritardi percepibili nella trasmissione della voce o nell'esecuzione di altre applicazioni che dipendono dal tempo.

### CKIP

Cisco Key Integrity Protocol (CKIP) è il protocollo di protezione proprietario di Cisco per la crittografia su supporti 802.11. CKIP usa le seguenti funzioni per migliorare la protezione di 802.11 nella modalità infrastruttura:

- La permutazione delle chiavi (KP)
- Il numero di sequenza dei messaggi

### Protocollo di protezione 802.11b e 802.11g per ambienti misti

Alcuni punti di accesso, come i Cisco 350 o Cisco 1200, supportano gli ambienti in cui non tutte le stazioni client adottano la crittografia WEP, ovvero supportano il funzionamento cosiddetto in modalità cella mista. Quando queste reti wireless operano in modalità "crittografia opzionale", le stazioni client che partecipano alla rete in modalità WEP inviano tutti i messaggi crittografati, mentre le stazioni che funzionano in modalità standard inviano tutti i messaggi senza crittografarli. I punti di accesso di questo tipo annunciano che sulla rete non è usata la crittografia, ma consentono ai client di usare la modalità WEP. Quando in un profilo viene attivata la cella mista è possibile connettersi ai punti di accesso configurati per il funzionamento con la “crittografia opzionale”.

### EAP-FAST

EAP-FAST, come EAP-TTLS e PEAP, utilizza il tunneling per proteggere il traffico. La differenza principale risiede nel fatto che EAP-FAST non utilizza certificati per l'autenticazione. La spedizione in EAP-FAST viene effettuata solo dal client al momento in cui viene richiesto il primo scambio di informazioni EAP-FAST dal server. Se il client non ha una credenziale di accesso protetto (PAC) segreta e precondivisa, può richiedere di iniziare uno scambio di preparazione EAP-FAST per ottenerne dinamicamente una dal server.

EAP-FAST dispone di due metodi per consegnare la PAC: la consegna manuale attraverso un meccanismo protetto fuori banda e la preparazione automatica.

- Il meccanismo di consegna manuale può essere costituito da un meccanismo di consegna qualsiasi che l'amministratore della rete ritiene sufficientemente sicuro da usare per la rete.
- La preparazione automatica comporta la creazione di un tunnel crittografato per proteggere l'autenticazione del client e la consegna della PAC al client. Pur non essendo sicuro quando il metodo manuale, questo metodo è molto più sicuro del metodo di autenticazione usato in LEAP.

Il metodo EAP-FAST può essere diviso in due parti: la preparazione e l'autenticazione. La fase di spedizione comprende l'invio iniziale dell'autorizzazione di accesso protetto (PAC) al client. Questa fase deve essere effettuata una sola volta per ciascun client ed utente.

### Modalità cella mista

Alcuni punti di accesso, come i Cisco 350 o Cisco 1200, supportano gli ambienti in cui non tutte le stazioni client adottano la crittografia WEP, ovvero supportano il funzionamento cosiddetto in modalità cella mista. Quando queste reti wireless operano in modalità "crittografia opzionale", le stazioni client che partecipano alla rete in modalità WEP inviano tutti i messaggi crittografati, mentre le stazioni che funzionano in modalità standard inviano tutti i messaggi senza crittografarli. I punti di accesso di questo tipo annunciano che sulla rete non è usata la crittografia, ma consentono ai client che usano la modalità WEP di parteciparvi. Quando in un profilo viene attivata la cella mista è possibile connettersi ai punti di accesso configurati per il funzionamento con la “crittografia opzionale”.

### Gestione della radio

L'attivazione di questa opzione consente alla scheda di rete wireless di fornire le informazioni di gestione della radio all'infrastruttura Cisco. Se nell'infrastruttura è usata l'utilità di gestione della radio Cisco, vengono configurati i parametri radio e rilevate le interferenze e i punti di accesso non autorizzati.

Torna all'inizio

Torna al Sommario

Marchi di fabbrica e Dichiarazioni di non responsabilità