[Wireless & security]

[Verwijderd]

Beste Tweakers

Ik ben mij aan het verdiepen in het beveiligen van een draadloze verbinding. Ik heb al veel informatie vergaard, maar zit nog steeds met een paar vragen die ik niet beantwoord vindt.

Wat mijn besluiten zijn over wireless security van het leeswerk dat ik al verricht heb:

- WEP (Wireless Equivalent Privacy)
Was niet bedoeld voor de volledige beveiliging van een netwerk, maar het beschermen van de gegevens tegen voorbijgangers. Clients die de gedeelde geheime sleutel niet kennen mogen geen deel uitmaken van het netwerk. Maar WEP versleuteld niet de headers, de initialiazation vector (iv), en de ID gedeelten van een 802.11-pakket. Kan veiliger worden gemaakt met AEP (Extensible Authentication Protocol), maar dit is zeer moeilijk voor SOHO gebruikers.

- RADIUS (Remote Authentication Dial-In User Service)
Is een client/server opstelling voor authenticatie, en gebruikt WEP voor data encryptie.

-WPA (Wi-Fi Protected Acces)(psk pre shared key)
Je kan op het netwerk met een wachtwoord maar de sleutel verandert steeds. Dat maakt het onmogelijk om voldoende paketten met een zelfde sleutel te sniffen en zo de key te "kraken". WPA versleutelt ook de initialization vectors (iv's). Maakt gebruik van het TKIP of AES algoritme

- WPA RADIUS
WPA maar de authenticatie gebeurt op een RADIUS server.


- Mac restricties
makkelijk te omzeilen na wat sniff-werk
- uitschakelen DHCP en acces points in en vlan of ander subnet plaatsen
Zo krijg je toch niet meteen een ip in je schoot geworpen, en subnetten of vlans garanderen een gescheiden netwerk

-IPSec of VPN
Wordt gebruikt om de data te versleutelen maar heeft geen invloed op de headers van een 802.11 pakket. Uit die headers kan dus not altijd belangrijke data worden uitgelezen en het wlan kan nog gehackt worden als WEP wordt gebruikt.

- SSID broadcast uitschakelen / Beacon frames uitschakelen / probe reply uitschakelen
Maakt het ongewenste indringers weer een stukje moeilijker. Ze moeten betere tools gaan gebruiken. (Netstumbler werkt al niet meer)


Nu loop ik tegen een aantel beweringen waarvan ik niet weet of ze juist zijn, misschien jullie wel.
1)WEP en VPN / IPSec of andere verbindingen maken het een hacker nog mogelijk om toegang te krijgen tot een wlan omdat VPN geen impact heeft op de 802.11 headers!

2)WEP met AEP, RADIUS, WPA en WPA-Radius zijn de enigen die authenticatie uitvoeren. Dus WEP en WPA voeren geen authenticatie uit! Er is een gebruikersnaam met wachtwoord en een publieke key nodig!

3)SSID's zijn op geen enkele manier echt te onderdrukken

4)WPA-PSK is de beste oplossing voor thuist, Bedrijven kunnen beter investeren in een RADIUS server in combinatie met WPA.


Tot zover mijn kennis van WLAN en Security. Hopelijk kunnen jullie mij verder helpen en zeggen of mijn 4 beweringen al dan niet kloppen.

Mvg
Thomas Smets

[ Voor 3% gewijzigd door Verwijderd op 20-11-2004 20:29 ]

[Verwijderd]

Niet helemaal OT, maar misschien kan je meenemen wat de invloed van de verschillende beveiligingen op de performance is. Ik heb eens gelezen dat WEP 64 bits van 11 mb/s, 8 mb/s maakt en 128 bits zelfs de snelheid naar 2 mb/s laat zakken.

[ Voor 1% gewijzigd door Verwijderd op 20-11-2004 20:34 . Reden: typo ]

[Verwijderd]

Niet helemaal OT inderdaad.

Maar na het leeswerk dat ik heb verricht, ben ik daar niet veel over te weten gekomen. Heb wel ergens gezien dat de performance met 50% zou dalen! Maar ik denk dat als je bij eenzelfde leverancier blijft er weinig problemen zijn.

Maar ik zal er een beetje meer over opzoeken.

[Verwijderd]

Verwijderd schreef op zaterdag 20 november 2004 @ 20:25:

1)WEP en VPN / IPSec of andere verbindingen maken het een hacker nog mogelijk om toegang te krijgen tot een wlan omdat VPN geen impact heeft op de 802.11 headers!

Volgens mij klopt dat idd.. het vpn pakketje zakt in het ethernetpakketje als dataframe

2)WEP met AEP, RADIUS, WPA en WPA-Radius zijn de enigen die authenticatie uitvoeren. Dus WEP en WPA voeren geen authenticatie uit! Er is een gebruikersnaam met wachtwoord en een publieke key nodig!

Klopt ook... het is trouwens EAP

3)SSID's zijn op geen enkele manier echt te onderdrukken

geen idee eigenlijk...

4)WPA-PSK is de beste oplossing voor thuist, Bedrijven kunnen beter investeren in een RADIUS server in combinatie met WPA.

Investeren... op elke windows 200x server kun je IAS installeren en hem "omtoveren" tot radius server...
elke extra controle is er een...

[ Voor 5% gewijzigd door Verwijderd op 20-11-2004 20:48 ]

[Verwijderd]

Bedankt DRG, dat verduidelijkt veel voor mij.

Dat foutje had ik er ingestoken zodat ik kon zie dat diegene die reageerden er werkelijk iets van kenden

[alt-92]

* alt-92 mist 802.1x EAP-TLS met user/machine certificaten en de bijbehorende IKE infrastructuur

[Verwijderd]

Bedankt backslash. Dat zullen we nog eens opzoeken wat dat allemaal inhoud.

[PenguinPower]

BackSlash32 schreef op zondag 21 november 2004 @ 19:01:
* PenguinPower mist 802.1x EAP-TLS met user/machine certificaten en de bijbehorende IKE infrastructuur

Ik mis nog veel meer. Alleen het valt grotendeels onder de noemer EAP. zoals PEAP-TTLS, LEAP maar dit is allemaal bedrijfsmatige toepassingen. Al hoewel ik hier thuis RADIUS EAP-TLS met AES heb draaien.

Je kunt trouwens SSID broadcasts uitzetten bij een fatsoenlijke AP. Alleen de vraag is of je dat wil, want je boet veel compatibiliteit in. Apple pcs kan je vergeten, Pocket PCs zulleen niet meer kunnen connecten enzovoort

[ Voor 22% gewijzigd door PenguinPower op 22-11-2004 02:36 ]

[Maurits van Baerle]

Verwijderd schreef op zaterdag 20 november 2004 @ 20:25:

2)WEP met AEP, RADIUS, WPA en WPA-Radius zijn de enigen die authenticatie uitvoeren. Dus WEP en WPA voeren geen authenticatie uit! Er is een gebruikersnaam met wachtwoord en een publieke key nodig!

Hier spreek je jezelf tegen, eerst voert WPA authenticatie uit en dan weer niet. De waarheid is dat WPA dat wel doet, daar moet bij worden opgemerkt dat specifiek WPA-PSK wel zodanig beperkt is dat het nauwelijks authenticatie te noemen is. WPA doet dus in principe wel aan authenticatie maar het is afhankelijk van de authenticatie methode waar je binnen de WPA-suite voor kiest, WPA met RADIUS is bijvoorbeeld een hele sterke.

3)SSID's zijn op geen enkele manier echt te onderdrukken

Je kunt een SSID wel leeg maken maar je signaal is toch altijd in de lucht en dus te zien en onderscheppen, het is alleen een klein beetje lastiger. Overigens kan zelfs Netstumbler gewoon omgaan met 'hidden' SSID's. Je ziet dan gewoon een connectie zonder naam.

Ik vind het verbergen van de SSID zoiets als je huisnummer van je huis schroeven in de hoop geen slachtoffer van inbraak te worden. Wat mij betreft vallen hidden-SSID en MAC-adres-filter onder dezelfde categorie, ze leveren bij het inbreken een vertraging op van iets tussen de 5 milliseconden en hooguit vijf seconden terwijl ze voor de gewone legitieme gebruiker verdomd irritant zijn.

Je kunt ze dus beter niet gebruiken en je toevlucht nemen tot op zijn minst WPA-PSK met TKIP voor de encryptie en bij voorkeur WPA-Radius met AES als encryptie. Voor het gemak laat ik hier alle (semi)proprietary opties (alle verschillende vendor-specific vormen van EAP bijv.) even achterwege, dat voert wel heel erg ver.

Let er bij WPA-PSK trouwens goed op dat je je key niet te makkelijk maakt! Het is een extreem veilige methode, de enige zwakte is makkelijke keys. WPA-PSK is vatbaar voor dictionary attacks. Zorg dat je sleutel langer is dan 20 karakters en niet bestaat uit één simpel woord. Het allermooiste is natuurlijk 30 karakters uit een password-generator maar dat wordt dan weer zo complex om te onthouden. Ik gebruik zelf vaak hele zinnen in combinatie met een datum bijvoorbeeld.

Heb wel ergens gezien dat de performance met 50% zou dalen! Maar ik denk dat als je bij eenzelfde leverancier blijft er weinig problemen zijn.

Het is heel moeilijk om daar een algemene uitspraak over te doen. Zeker met AES komt het wel eens voor dat de encryptie door speciale hardware wordt uitgevoerd en dus nauwellijks extra belasting oplevert. Aan de andere kant zou het bij een cheapo-cheapo Sweex AP wel eens veel uit kunnen maken. Daar kun je dus niet echt iets zinnigs over zeggen.

[ Voor 24% gewijzigd door Maurits van Baerle op 22-11-2004 03:03 ]

[CyBeR]

PenguinPower schreef op maandag 22 november 2004 @ 02:33:
[...]

Je kunt trouwens SSID broadcasts uitzetten bij een fatsoenlijke AP. Alleen de vraag is of je dat wil, want je boet veel compatibiliteit in. Apple pcs kan je vergeten, Pocket PCs zulleen niet meer kunnen connecten enzovoort

PocketPC's kan ik niets over zeggen, maar 't is onzin dat Apple computers daar moeite mee zouden hebben. Je kunt een Apple Airport Basestation zo instellen en je kunt d.m.v. het 'Other' menu-item een naam ingeven voor een netwerk, al dan niet met paswoord.

----

Over VPN's; De bedoeling is dat het wireless netwerk en de rest geisoleerd zijn. Dat je dus vanaf het wireless netwerk niet op het wired netwerk komt en vice versa. De enige manier om door die isolatie heen te komen is doormiddel van het maken van een VPN verbinding met een server die wel met allebei verbonden is. Zo kun je dus inderdaad wel op het WLAN komen, maar heb je daar betrekkelijk weinig aan omdat je niet verder komt dan het WLAN.

[ Voor 29% gewijzigd door CyBeR op 22-11-2004 03:05 ]

[Verwijderd]

Network Troubleshooting -> Beveiliging & Virussen

We hebben er een apart forum voor

[eborn]

MauritsvanBaerle schreef op maandag 22 november 2004 @ 02:52:
Het is heel moeilijk om daar een algemene uitspraak over te doen. Zeker met AES komt het wel eens voor dat de encryptie door speciale hardware wordt uitgevoerd en dus nauwellijks extra belasting oplevert. Aan de andere kant zou het bij een cheapo-cheapo Sweex AP wel eens veel uit kunnen maken. Daar kun je dus niet echt iets zinnigs over zeggen.

Is het zelfs niet zo dat de meeste AP's (en kaarten) die AES ondersteunen dit via de hardware doen? 'In den beginne' las je namelijk nog wel eens: "will support AES by a firmware upgrade", terwijl andere bedrijven er expliciet bij vermelden: "will not support AES, needs hardware modifications'.

Geen idee hoe zwaar real-time AES nu echt is.

[Maurits van Baerle]

eborn schreef op dinsdag 23 november 2004 @ 17:19:
[...]
Is het zelfs niet zo dat de meeste AP's (en kaarten) die AES ondersteunen dit via de hardware doen? 'In den beginne' las je namelijk nog wel eens: "will support AES by a firmware upgrade", terwijl andere bedrijven er expliciet bij vermelden: "will not support AES, needs hardware modifications'.

Een hardware upgrade kan zowel een aparte encryptie-chip betekenen die de centrale processor van een apparaat ontlast als een zwaardere algemene CPU die naast het gewone werk ook zelf AES uitvoert. In het eerste geval zul je waarschijnlijk dus geen prestatieverlies hebben met AES, in het tweede geval is het wel denkbaar.

Geen idee hoe zwaar real-time AES nu echt is.

Ik weet het ook niet precies, ik weet wel dat toen 'Rijndael' werd uitgekozen om DES op te volgen (en daarmee AES werd) een belangrijke reden was dat Rijndael niet heel zwaar was. Zwaarder dan RC4 (wat WEP nu gebruikt) lijkt het me trouwens wel.