RSF AULA 4

Esta é uma pré-visualização de arquivo. Entre para ver o arquivo original

*
Tecnologia em Redes de Computadores
Redes Sem Fio
Leandro de Faria Freitas
leandro.freitas@live.estacio.br
leandrodefariafreitas@gmail.com
*
!!!
!!!
*
RSF – WLAN – Site Survey
Softwares - iPad
*
RSF – WLAN
Testes de desempenho
Padrões e mercado
802.11
Wi-Fi
Arquitetura 802.11
Componentes, antenas e acessórios
Site survey
Testes de desempenho
802.11n
Segurança
*
RSF – WLAN
Testes de desempenho
Assim que a rede estiver operacional, é interessante que seja observado o desempenho da mesma.
É importante estar atento a:
Manutenção de histórico (geração de gráficos)
Variações do tempo de resposta
Variações no throughput máximo
Variações na “qualidade do sinal” (SNR ou RSSI)
*
RSF – WLAN
Testes de desempenho
Ferramentas:
Conectividade e variação do tempo de resposta:
ping (multiping, pingplotter, colasoft ping, konst pinger...)
MTR (traceroute gráfico)
MRTG/CACTI
Throughput:
Netpersec com transferência de arquivos (FTP)
Jperf (iperf)
Qualidade do sinal:
inSSIDer
Netstumbler
*
RSF – WLAN
Testes de desempenho
Prática com o Jperf
*
RSF – WLAN
802.11n
Padrões e mercado
802.11
Wi-Fi
Arquitetura 802.11
Componentes, antenas e acessórios
Site survey
Testes de desempenho
802.11n
Segurança
*
RSF – WLAN
802.11n
Objetivos:
Melhorar significativamente o desempenho em relação as versões anteriores, atingindo pelo menos 100 Mbps
Manter compatibilidade com 802.11 a/b/g
*
RSF – WLAN – 802.11n
Histórico
Um dos padrões com processo de desenvolvimento mais longo 
Recorde de aplicações de sugestões
Histórico
Início dos trabalhos: setembro de 2002
Draft 1.0: maio de 2006
Draft 2.0: março de 2007
....
Draft 8.0: março de 2009
...
Draft 11.0: junho de 2009
Publicação oficial: outubro de 2009
*
RSF – WLAN – 802.11n Comparação de padrões 
*
RSF – WLAN – 802.11n
Melhorias
MIMO
Channel Bonding
Melhorias na camanda MAC
RIFS
Frame Agregation
Nova base de Codificação + Modulação
*
Número de Antenas
# RX sempre maior ou igual # TX
a x b : c
a = # máx de antenas transmitindo
b = # máx de antenas recebendo
c = número máximo de “fluxos espaciais” (spatial stream) que podem ser utilizados
Produtos no mercado: 
2 x 2 : 2
2 x 3 : 2
...
4 x 4 : 4 (máximo)
RSF – WLAN – 802.11n
MIMO
MIMO – Multiple Input Multiple Output
*
RSF – WLAN – 802.11n
MIMO
*
RSF – WLAN – 802.11n MIMO
*
RSF – WLAN – 802.11n
Channel Bonding
*
RSF – WLAN – 802.11n
Melhorias na Camada MAC
*
RSF – WLAN – 802.11n
Nova Codificação + Modulação
*
RSF – WLAN
Segurança
Padrões e mercado
802.11
Wi-Fi
Arquitetura 802.11
Componentes, antenas e acessórios
Site survey
Testes de desempenho
802.11n
Segurança
*
RSF – WLAN
Segurança
Defesa do equipamento de rede sem fio
Defesa dos equipamentos clientes
Filtros por endereço MAC
Autenticação
WEP
802.11i
802.1x
WPA, WPA2
VPN
*
RSF – WLAN – Segurança
Defesa do Equip. Rede sem Fio 
Modificar SSID padrão
Escolher um nome que não possibilite a identificação fácil da rede 
Desabilitar o envio de SSID
Não muito efetivo, pois o SSID pode ser “escutado” em capturas
Pode ser encarado como um 1º nível de segurança (fraco)
Substituição de endereço MAC
Algumas AP´s permitem a troca do endereços MAC do próprio dispositivo de forma que o equipamento não possa ser identificado pelo OUI do fabricante
http://www.ouilookup.com/
http://www.wireshark.org/tools/oui-lookup.html
*
RSF – WLAN – Segurança
Defesa do Equip. Rede sem Fio 
Desabilitar acesso ao dispositivo através da rede sem fio 
Remover IP do dispositivo
Atenção aos dispositivos em localidades distantes
Ignorar clientes que enviam SSID igual a “ANY” – “escaneamento” ativo
*
RSF – WLAN – Segurança
Defesa do Equip. Cliente 
Habilitar firewall local
Fixar a associação de IP/MAC da Access Point
Desabilitar comunicação entre clientes
Executado na AP
*
RSF – WLAN – Segurança
Filtros por Endereço MAC
Funcionalidade presente em praticamente todas as AP´s
Existe também filtragem em modo inverso
Filtra apenas determinados endereços MAC e permite todos os outros
Pode ser facilmente burlado por dispositivo que permita alteração de endereço MAC
*
RSF – WLAN – Segurança
Autenticação
Aberta
Open Sytem
Apenas com o conhecimento do SSID é possível efetuar a autenticação
Utilizada com todos os métodos
Client
Access Point
*
Fechada
Shared Key
Utilizada com WEP
RSF – WLAN – Segurança
Autenticação
Client
Access Point
Authentication Request
*
RSF – WLAN – Segurança
WEP
Criado pelo 802.11 para prover confidencialidade no mesmo nível da rede cabeada
Protocolo de segurança padrão do 802.11
Serviços:
Privacidade (confidencialidade)– previne contra eavesdropping (escuta)
Integridade – dados recebidos são os transmitidos, ou seja, não há alteração no meio
Autenticação – acesso restrito
*
RSF – WLAN – Segurança
WEP
A partir de 2001 foram descobertas falhas que permitiam que a chave fosse recuperada
Utiliza algoritmo de RC4 de cifragem com chaves de 40 ou 104 bits
Fácil administração
Não provê segurança fim-a-fim
*
Chaves: 
 Padrão - 24 + 40 = 64 bit RC4
 Modificado pelos fabricantes - 24 + 104 = 128 bit RC4
RSF – WLAN – Segurança
WEP – Chave
IV – Vetor de Inicialização
*
Sem IV
Com IV
RSF – WLAN – Segurança
WEP – IV + Chave
*
RSF – WLAN – Segurança
WEP – Stream Cipher
*
Encrypted
Unencrypted
O IV que é enviado contém dois campos: 
 IV
 KeyID
ICV é o CRC-32 checksum sobre o payload (dados) e cabeçalho 802
RSF – WLAN – Segurança
WEP
Identificação de uma das 4 chaves configuradas na AP
*
RC4
Shared
Secret key
Original 
text
CRC32
Encrypted text
IV clear
IV
Initialization vector
RC4
Original text
Shared Secret key
IV
Initialization vector
CRC
40 bits
64 bits
24 bits
IV used
IV used
40 bits
64 bits
RSF – WLAN – Segurança
WEP
*
RSF – WLAN – Segurança
WEP
seed

Integrity Check Value (ICV) 
RC4 PRNG
CRC-32
Key Stream
Message

IV
Ciphertext
Plaintext 

Initialization Vector (IV)
WEP Key
*
RSF – WLAN – Segurança
WEP
Seed
ICV’
ICV' = ICV? 
ICV
Plaintext
CRC-32

RC4 PRNG

IV
Ciphertext
Message
Key stream
WEP Key
*
RSF – WLAN – Segurança
802.11i
802.11i – 2004
Especifica mecanismos de segurança para redes sem fio.
Até o 802.11i ser ratificado, a Wi-Fi Alliance criou o WPA (2002)
*
RSF – WLAN – Segurança
802.11i
Permite dois tipos de autenticação:
PSK – Pre-shared Key
Chave configurada manualmente pelo administrador
Utilizado em instalações residenciais e SOHO
802.1X + EAP
*
RSF – WLAN – Segurança
EAP
Framework de autenticação universal
Muito utilizado em redes sem fio e ponto a ponto, mas também sendo adotado em redes cabeadas
Flexível, utilizado para carregar informações de autenticação
Implementado sobre outros protocolos, como o 802.1X
*
RSF – WLAN – Segurança
EAP
Possui vários métodos: 
LEAP (proprietário Cisco)
EAP-PEAP
EAP-MD5
EAP-PSK
EAP-TLS
EAP-TTLS 
EAP-FAST (proprietário Cisco)
...
*
RSF – WLAN – Segurança
EAP
*
RSF – WLAN – Segurança
802.1X
Provê autenticação na camada de enlace de dados
802.1X (IEEE) define o encapsulamento do EAP (IETF) sobre LAN 
EAP over LAN = EAPoL
EAP over Wireless = EAPoW
	WEP autentica máquinas
802.1X permite a autenticação de usuários
*
RSF – WLAN – Segurança
802.1X
Não existe 802.11x
*
RSF – WLAN – Segurança
802.1X - Arquitetura
*
RSF – WLAN – Segurança
802.1X em Wireless
Passo 8:
Troca de chaves 
+
DHCP
Mais de um 
método pode ser 
Utilizado.
*
RSF – WLAN – Segurança
802.1X – EAP-LEAP
Proprietário, desenvolvido pela Cisco
Lightweight Extensible Authentication Protocol
Utiliza chaves dinâmicas no WEP
Considerado fraco hoje em dia
Foi substituído pelo EAP-FAST, que pode utilizar TLS
*
RSF – WLAN – Segurança
802.1X – EAP-TLS
Usuário e servidor de autenticação devem possuir certificados digitais para mútua autenticação
Por necessitar de uma infra-estrutura de PKI completa, não é muito
utilizado
*
RSF – WLAN – Segurança
802.1X – EAP-TTLS
Certificado do servidor enviado para o cliente após a solicitação de autenticação
O certificado do servidor é utilizado para o estabelecimento de um túnel (TLS) entre o cliente e o servidor
Uma vez que o túnel é estabelecido, credenciais podem ser trocadas de forma segura entre o servidor e o usuário
*
RSF – WLAN – Segurança
802.1X – EAP-TTLS
Outros tipos de autenticação podem ser utilizados na autenticação que passa através do túnel estabelecido, como LDAP, Active Directory, SQL, Tokens, ...
Vantagem: não é necessário criar uma infra-estrutura completa de certificados (PKI). Apenas o certificado do servidor é utilizado, como no HTTPS.
EAP
MS-CHAP
PAP
`
*
RSF – WLAN – Segurança
802.1X – EAP-PEAP
Muito parecido com o EAP-TTLS, mas permite apenas autenticação EAP sobre o túnel
EAP
`
*
EAP MD5-Challenge
Primeiro método EAP
Básico, de fácil implementação, semelhante ao CHAP
Funciona com um desafio enviado pelo servidor e que é “criptografado” pelo cliente junto com sua chave e enviado para o servidor
EAP MS-CHAP-v2
É o encapsulamento do MS-CHAP-v2 diretamente no EAP 
Permite autenticação em Domínios NT e Active Directory
Outros
Diversos outros tipos de autenticação existem e provavelmente muitos serão criados no futuro
O 802.1X e EAP suportam novas adições
RSF – WLAN – Segurança
802.1X – EAP-MD5 e MS-CHAP
*
RSF – WLAN – Segurança
802.1X – EAP - Arquitetura
*
RSF – WLAN – Segurança
802.11i – TKIP e CCMP
Utiliza dois novos protocolos de segurança de camada de enlace, TKIP e CCMP:
TKIP
Também utiliza o RC4 (aproveita o HW existente)
“WEP reescrito”
Dobra o tamanho do IV – 24 → 48 bits
Troca chaves constantemente, derivadas da chave “mestre”
Possui número de sequência para evitar ataques de replay
Retirado do 3º draft do 802.11i e incluido no WPA
Integridade de mensagens mais robusto
*
RSF – WLAN – Segurança
802.1i - TKIP
*
RSF – WLAN – Segurança
802.1i - CCMP
Utiliza dois novos protocolos de segurança de camada de enlace , TKIP e CCMP :
CCMP
Protocolo Counter Mode with CBC-MAC Protocol 
Basicamente inseriu o novo algoritimo de criptografia: AES
*
RSF – WLAN – Segurança
802.1i - CCMP
AES
*
RSF – WLAN – Segurança
802.11i – Comparação Criptografia
*
RSF – WLAN – Segurança
802.1i - RSN
Robust Security Networks (RSNs)
Define como as chaves são derivadas e distribuídas a partir da chave mestre
WPA2
*
RSF – WLAN – Segurança
WPA2 802.11i
	Nível de segurança, do menos para o mais seguro:
Nenhuma
WEP
WPA-TKIP
WPA-AES = WPA-CCMP
WPA2-TKIP
WPA2-AES = WPA2-CCMP
*
RSF – WLAN – Segurança
WPA
Nome dado pela Wi-Fi Alliance à certificação emitida pela entidade para equipamentos que se aderiam o primeiro “padrão” de segurança que substituiu o WEP
Inicialmente foi chamado de WEP2, mas em função das falhas do WEP, foi renomeado para WPA
Incluiu a maioria das melhorias trazidas pelo 802.11i, ou seja, um subconjunto deste padrão
*
RSF – WLAN – Segurança
WPA2
Nome dado pela Wi-Fi Alliance à certificação emitida pela entidade para os equipamentos que se aderem ao padrão 802.11i
A principal mudança foi incluir o AES como algoritmo de criptografia
*
RSF – WLAN – Segurança
VPN
Estabelecimento de túnel fim-a-fim de forma a garantir:
Integridade
Autenticação
Confidencialidade
*
RSF – WLAN – Segurança
WEP
Quebrando senha WEP com aircrack-ng
*
*
*
*
*
*
*
*
*
*
*
*
*
*
*
*
*
*
*
*
*
*
*
*
*
*
*
*
*
802.11 & WEP
*
802.11 & WEP
*
IV משמש לשינוי ה- key stream.
בציור השמאלי (ללא IV) – כל פעם שנחזור על ההצפנה, נקבל אותה תוצאה.
בציור הימני (עם IV) – אם נחזור על ההצפנה של אותו טקסט, שינוי ה-IV יגרום לשינוי ה- key stream וזה יגרום לשינוי התוצאה (cipher).
802.11 ממליץ על שינוי ה-IV לכל חבילה, כך שאם חבילה משודרת פעמיים, ה-cipher לא יחזור על עצמו.
ה-IV נשלח בגלוי, כך שהצד המקבל יכול לפענח.
*
802.11 & WEP
*
הסטנדרט לא מגדיר כיצד צריך להיות מיוצר ה-IV. בפועל, בד"כ זה מספר סדרתי 0,1,2...
*
802.11 & WEP
*
ההצפנה ב-WEP משתמשת במפתח סודי k, משותף ל-access point ולקודקוד הנייד (mobile node).
בסטנדרט לא מפורט כיצד מיוצר המפתח (establishing the key), בפרקטיקה - המימושים משתמשים במפתח אחד לכל התחנות וה-APs.
חישוב ה-farme שיישלח נעשה באופן הבא:
	ה-paintext data משורשר עם ה-checksum שלו.
	ה-per packet initialization vector (IV) משורשר עם המפתח הסודי k 
		ויחד הם מהווים את ה- Packet-Key	
	ה- RC4 Stream Cipher מאותחל עם ה-Packet-Key הזה
	הפלט של ה-cipher וההודעה המשורשרת עם ה-checksum שלה עוברים XOR 
		וזהו ה-ciphertext (C).
	ה-frame שנשלח הוא ה-ciphertext הזה, וה-IV.
בהרצאה הבאה תראו איך השילוב של checksum, שנעשה על-ידי CRC-32, יחד עם RC4 הוא קטלני (כלומר, לא בטוח). 
החולשה של מנגנון ה-integrity כאן, מאפשרת למשתמש שאינו מורשה, לשנות, להחדיר (inject), ולקבל packets מבלי שיתגלה, כלומר – גישה מלאה לרשת ה-WLAN (פרטים על ההתקפות – בהרצאה הבאה, רועי).
עוד מעט ניזכר קצת בשני אבני הבניין הללו.
802.11 & WEP
*
*
*
*
*
*
*
*
*
*
*
*
*
*
*
*
*
*
*
*
*
*
*
*
*
*
*
*
*