[Win10] WiFi connection NPS certificate

[Urk]

Ik vraag me dit al heel lang af en kan via Google niet zo snel een antwoord vinden.
Wanneer ik naar een WPA2 Enterprise Wifi netwerk verbind met een Windows 10 client en de autorisatie verloopt via een NPS/RADIUS server dan vraagt de Windows 10 WiFi connector (rechtsonder) of je het certificaat wil vertrouwen. ECHTER laat Windows 10 alleen de thumbprint van het certificaat zien en niet de mogelijkheid gewoon het certificaat te tonen. Aan een thumbprint heeft een gebruiker toch echt geen ene HOL....

[Urk]

Kickje, anyone?

[mash_man02]

maar als je zeker weet dat je op je eigen netwerk zit toch wel, dan krijg je namelijk ook deze melding weer als je tegen een radius van een gespoofed ssid authenticeerd.

[Urk]

Die snap ik niet helemaal...
Als je het certificaat niet kan inzien kan je toch ook nooit de garantie krijgen dat je met het juiste netwerk verbind?
Ook binnen je eigen netwerk kan je toch met een gespoofed netwerk verbinden? Juist dat kan dat interessant zijn voor een hacker toch?

[LanTao]

Dat klopt. Je zou kunnen switchen naar een computer van Apple, die doen dit wel goed.

[Urk]

Ja, haha I know. Een iOS device laat netjes het hele certificaat zien waarop je op "vertrouw" moet tikken voordat hij verbinding maakt. Jij ervaart dit probleem dus ook? Toch bizar dat Microsoft dit zo slecht heeft geïmplementeerd? Of is dit wellicht bij Windows 10 1903/1909 al verbeterd?

[mash_man02]

Urk schreef op zaterdag 16 november 2019 @ 21:19:
Die snap ik niet helemaal...
Als je het certificaat niet kan inzien kan je toch ook nooit de garantie krijgen dat je met het juiste netwerk verbind?
Ook binnen je eigen netwerk kan je toch met een gespoofed netwerk verbinden? Juist dat kan dat interessant zijn voor een hacker toch?

Een beetje wlan implementatie lijkt zelf ook naar gespoofte SSID's en wet welke BSSID's bij je eigen wlan horen. De gemiddelde gebruiker klikt even goed wel, als het daarna maar werkt.

[Pakjebakmeel]

WPA2 Enterprise is een zakelijke oplossing. Dit werkt normaliter doordat alle PC's in beheer zijn van de IT afdeling die het certificaat van het interne WiFi uitrollen op alle apparatuur. Je krijgt dan een profiel mee uit policy om het SSID al bekend te maken.

Gevolg, je laptop connect automatisch doordat het SSID bekend is. Het certificaat komt uit een root die jouw PC vertrouwd, geen waarschuwing dus en authenticatie gaat seamless middels MSChapv2 of certificaten en dergelijke methodes die geen interactie vereisen. Seamless WiFi/LAN roaming zonder password of username prompts.

Op de thuis PC heb je geen certificaten geimporteerd waardoor je deze melding krijgt, je computer geeft aan het certificaat niet te vertrouwen en vraagt of jij dat wel doet om alsnog verder te gaan. Op een zakelijke PC mag je als het goed is geen verbinding maken als het certificaat niet wordt vertrouwd om AP spoofing/cloning tegen te gaan. Het geclonede AP beschikt hopelijk niet over de private key van het certificaat en kan geen geldige uitwisseling produceren met dezelfde signature. De Enterprise PC zal dit uiteraard opmerken met de juiste configuratie. In principe doet MS dus prima zijn werk met deze melding, de uitleg had blijkbaar beter gekund.

https://docs.microsoft.co...-and-wireless-deployments

https://docs.microsoft.co...ireless-access-deployment

https://docs.microsoft.co...nd-2012/hh831740(v=ws.11)

Kleine aanvulling, de techniek om netwerk apparatuur in een universeel formaat door te laten sturen is 'EAP':

Wikipedia: Extensible Authentication Protocol

Het nut is dat bij een nieuw authenticatie protocol geen firmware update van de apparatuur nodig is. Binnen EAP kun je gebruik maken van MSChap(v1/2) of andere protocollen. Deze passen allen binnen de EAP container samen met toekomstige protocollen omdat de specificaties van de 'container' reeds bekend zijn.

Echter is EAP zelf niet versleutelt waardoor de zwakkere (bijvoorbeeld) MSChap uitwisseling kan worden gecaptured om offline aan te vallen. Om te zorgen dat dit niet mogelijk is kun je gebruik maken van PEAP, dit protocol voegt een TLS laag toe aan het EAP protocol waardoor de payload niet meer is te lezen. Voor een enkelzijdige TLS uitwisseling wordt gebruik gemaakt van een [EC](R/D)SA sleutelpaar; opgeslagen in X509 formaat beter bekend als een certificaat. Dit certificaat wordt door de RADIUS/NPS server aangeboden aan de client die vervolgens verkeer kan beveiligen met de public key van de server. De server kan dit decrypten met de private key. Naast dat dit nodig is voor de initiele key-exchange verifieert men hiermee de identiteit van de server wat precies is waar dit alles over gaat.

Wikipedia: Protected Extensible Authentication Protocol

Wikipedia: MS-CHAP

Wikipedia: RADIUS

Wikipedia: RSA (cryptosystem)

Wikipedia: X.509

Wikipedia: Diffie–Hellman key exchange

[ Voor 76% gewijzigd door Pakjebakmeel op 19-11-2019 22:16 . Reden: Sorry lang verhaal ]