Powrót do Spisu treści

# Przegląd zabezpieczeń

Szyfrowanie WEP

- Uwierzytelnianie kluczy otwartych i udostępnianych

Uwierzytelnianie 802.1X

- Jak działa uwierzytelnianie 802.1X
- Funkcje w standardzie 802.1X

WPA*/WPA2*
Tryb korporacyjny
Tryb indywidualny
WPA-Korporacyjne i WPA2-Korporacyjne
WPA-Indywidualne i WPA2-Indywidualne
AES-CCMP
TKIP
TLS
TTLS

- Protokoły uwierzytelniania

PEAP

- Protokoły uwierzytelniania

Funkcje Cisco

- Protokół uwierzytelniania LEAP (Cisco)
- Funkcja zabezpieczeń Cisco Rogue Access Point
- Szybka mobilność (CCKM)
- CKIP
- Protokół zabezpieczeń w środowisku mieszanym 802.11b i 802.11g
- EAP-FAST
- Tryb mieszanej sieci komórkowej
- Zarządzanie łącznością radiową

# Szyfrowanie WEP

Korzystanie z szyfrowania WEP (Wired Equivalent Privacy) w standardzie IEEE 802.11 może zapobiec nieuprawnionemu przechwyceniu danych przekazywanych bezprzewodowo. Szyfrowanie WEP zapewnia bezpieczeństwo na dwóch poziomach: za pomocą klucza 64-bitowego (czasami określanego jako klucz 40-bitowy) lub klucza 128-bitowego (określanego również jako 104-bitowy). Wyższy poziom bezpieczeństwa zapewnia klucz 128-bitowy. Jeśli używane jest szyfrowanie, wszystkie urządzenia bezprzewodowe w sieci bezprzewodowej muszą korzystać z tych samych kluczy szyfrowania.

Szyfrowanie WEP i udostępniane uwierzytelnianie służy do zabezpieczania danych w sieci. W szyfrowaniu WEP dane są przed wysyłaniem szyfrowane za pomocą klucza szyfrowania. Uzyskiwanie dostępu do sieci oraz odszyfrowywanie zaszyfrowanych danych jest możliwe tylko w przypadku komputerów z tym samym kluczem szyfrowania. Uwierzytelnianie jest dodatkowym procesem sprawdzania połączenia między kartą i punktem dostępu.

Algorytm szyfrowania WEP jest podatny na pasywne i aktywne ataki sieciowe. Algorytmy TKIP i CKIP zawierają ulepszenia protokołu WEP, które zmniejszają niebezpieczeństwo ataków i eliminują niektóre niedociągnięcia.

### Uwierzytelnianie kluczy otwartych i udostępnianych

Istnieją dwie metody uwierzytelniania w sieci IEEE 802.11: system otwarty i klucz udostępniany.

- Uwierzytelnianie otwarte: Żądania uwierzytelniania mogą być wysyłane przez dowolną stację sieci bezprzewodowej. Stacja, która ma zostać uwierzytelniona, wysyła żądanie zarządzania uwierzytelnianiem, zawierający jej tożsamość. Stacja odbierająca lub punkt dostępu akceptuje każde żądanie uwierzytelniania. W przypadku otwartego uwierzytelniania dowolne urządzenie może uzyskać dostęp do sieci. Jeśli sieć nie jest szyfrowana, dostęp do sieci może uzyskać dowolne urządzenie dysponujące identyfikatorem SSID punktu dostępu.
- Uwierzytelnianie z użyciem kluczy udostępnianych: Zakłada, że każda stacja sieci bezprzewodowej uzyskała tajny klucz udostępniany (bezpiecznym kanałem, niezależnym od kanału komunikacyjnego sieci bezprzewodowej 802.11). W przypadku uwierzytelniania przy użyciu klucza udostępnianego, dla klienta należy skonfigurować statyczny klucz WEP. Klient może uzyskać dostęp do sieci pod warunkiem, że zostanie uwierzytelniony.

# Uwierzytelnianie 802.1X

Jak działa uwierzytelnianie 802.1X
Funkcje w standardzie 802.1X

### Przegląd

Uwierzytelnianie w standardzie 802.1X jest niezależne od procesu uwierzytelniania, w standardzie 802.11. Standard 802.1X zapewnia strukturę dla różnych protokołów uwierzytelniania i zarządzania kluczami. Istnieją różne typy uwierzytelniania w standardzie 802.1X, a każdy z nich zapewnia inny sposób uwierzytelniania przy zastosowaniu tego samego protokołu 802.1X i struktury komunikacji między klientem i punktem dostępu. W przypadku większości protokołów, bezpośrednio po zakończeniu procesu uwierzytelniania w standardzie 802.1X komputer, który jest uwierzytelniany, otrzymuje klucz szyfrowania danych. Więcej informacji na ten temat można znaleźć w sekcji Jak działa uwierzytelnianie 802.1X. W przypadku uwierzytelniania, w standardzie 802.1X stosuje się metodę uwierzytelniania, między klientem i serwerem RADIUS (Remote Authentication Dial-In User Service), podłączonym do punktu dostępu. W procesie uwierzytelniania używane są poświadczenia (np. hasło użytkownika), które nie są przesyłane w sieci bezprzewodowej. Większość typów sieci, w standardzie 802.1X obsługuje dynamiczne klucze, przydzielane określonym użytkownikom, dla określonych sesji, dzięki czemu klucze statyczne zapewniają wyższy poziom zabezpieczeń. W protokole 802.1X stosowany jest istniejący protokół uwierzytelniania EAP (Extensible Authentication Protocol).

Uwierzytelnianie w standardzie 802.1X, dla sieci bezprzewodowych, odbywa się z udziałem trzech elementów:

- Strona uwierzytelniająca (punkt dostępu)
- Strona uwierzytelniana (oprogramowanie klienta)
- Serwer uwierzytelniania (RADIUS)

Żądanie uwierzytelnienia jest inicjowane przez funkcję uwierzytelniania 802.1X, w punkcie dostępu, w którym następnie klient sieci bezprzewodowej jest uwierzytelniany na serwerze RADIUS (zgodnym z protokołem EAP). Na serwerze RADIUS może być uwierzytelniany użytkownik (za pomocą haseł lub certyfikatów) lub komputer (za pomocą adresu MAC). Teoretycznie klient sieci bezprzewodowej nie może uzyskać połączenia z siecią przed zakończeniem transakcji.

W standardzie 802.1X używanych jest kilka algorytmów uwierzytelniania. Niektóre przykłady: EAP-TLS, EAP-TTLS i PEAP. Wszystkie te metody służą do identyfikacji klienta sieci bezprzewodowej na serwerze RADIUS. W przypadku uwierzytelniania na serwerze RADIUS tożsamość użytkowników jest sprawdzana w oparciu o bazy danych. RADIUS stanowi zestaw standardów dotyczących uwierzytelniania, autoryzacji i obsługi kont (AAA). W skład usługi RADIUS wchodzi proces pośredni stosowany do sprawdzania klientów w środowisku wielu serwerów. Standard IEEE 802.1X jest używany do kontroli dostępu i uwierzytelniania, podczas uzyskiwania dostępu do sieci bezprzewodowych korzystających z portów 802.11 oraz sieci przewodowych Ethernet. Kontrola dostępu do sieci na podstawie portów jest podobna do infrastruktury sieci lokalnej (LAN), gdzie uwierzytelniane są urządzenia przyłączane do portów LAN, a jeśli potwierdzanie nie powiedzie się, dostęp do portów jest blokowany.

#### Co to jest RADIUS?

Usługa RADIUS to protokół klient-serwer używany do autoryzacji, uwierzytelniania i zarządzania kontami (AAA) podczas logowania i wylogowywania klientów dial-up z serwera dostępu do sieci. Zwykle serwer RADIUS stosowany jest przez dostawców usług internetowych do zadań związanych z autoryzacją, uwierzytelnianiem i zarządzaniem kontami. Fazy uwierzytelniania, autoryzacji i zarządzania kontem wyglądają następująco:

- Faza uwierzytelniania: weryfikacja nazwy użytkownika i hasła w oparciu o lokalną bazę danych. Po sprawdzeniu poświadczeń rozpoczyna się proces autoryzacji.
- Faza autoryzacji: sprawdzenie, czy na podstawie żądania uzyskany zostanie dostęp do zasobu. Klientowi dial-up przypisany zostaje adres IP.
- Faza zarządzania kontem: zbieranie informacji dotyczących użytkowania zasobu, w celach analizy trendów, audytu, rozliczania czasu sesji lub alokacji kosztów.

# Jak działa uwierzytelnianie 802.1X

Uproszczony opis uwierzytelniania w standardzie 802.1X:

- Klient wysyła żądanie dostępu do punktu dostępu. Punkt dostępu żąda od klienta podania tożsamości.
- Klient odpowiada, podając pakiet określający tożsamość, który zostaje następnie przekazany do serwera uwierzytelniania.
- Serwer uwierzytelniania wysyła pakiet akceptacji do punktu dostępu.
- Klient zostaje uwierzytelniony w punkcie dostępu i przepływ danych zostaje udostępniony.

# Funkcje w standardzie 802.1X

- Komputer uwierzytelniany — obsługa protokołu w standardzie 802.1X
- Obsługa protokołu EAP — RFC 2284
- Obsługiwane metody uwierzytelniania:
  - Protokół uwierzytelniania EAP TLS — RFC 2716 i RFC 2246
  - Protokół uwierzytelniania EAP-SIM — RFC 4186
  - Protokół EAP Tunneled TLS (TTLS)
  - PEAP
- Obsługa systemów operacyjnych Microsoft Windows XP* i Microsoft Windows 2000*

> UWAGA: Dla funkcji zabezpieczeń programu Intel(R) PROSet/Wireless w systemie Windows Vista* obsługiwane jest tylko uwierzytelnianie TTLS i EAP-SIM.

# WPA* i WPA2*

Dostęp zabezpieczony Wi-Fi* (WPA* i WPA2*) to udoskonalenie zabezpieczeń, znacznie zwiększające poziom ochrony danych i kontrolę dostępu do sieci bezprzewodowej. Tryb WPA wymusza uwierzytelnianie i wymianę kluczy w standardzie 802.1X oraz działa tylko z użyciem dynamicznych kluczy szyfrowania. Aby podnieść poziom szyfrowania danych, w trybie WPA używany jest protokół TKIP (Temporal Key Integrity Protocol). W protokole TKIP zastosowano ważne ulepszenia dotyczące szyfrowania danych —na przykład funkcję mieszania kluczy dla poszczególnych pakietów, kontrolę integralności wiadomości (Message Integrity Check) nazywaną Michael, rozszerzony wektor inicjujący (IV) z regułami sekwencji oraz mechanizm ponownego wprowadzania klucza. Dzięki tym ulepszeniom protokół TKIP zabezpiecza znane słabe punkty szyfrowania WEP.

Standard WPA drugiej generacji, zgodny ze specyfikacją IEEE TGi, jest znany jako WPA2.

Tryb korporacyjny: W trybie korporacyjnym użytkownicy sieci są weryfikowani przez serwer RADIUS lub inny serwer uwierzytelniania. W szyfrowaniu WPA używane są 128-bitowe klucze szyfrowania i dynamiczne klucze sesji, zapewniające bezpieczeństwo w sieci bezprzewodowej firmy. Tryb korporacyjny jest przeznaczony dla środowisk korporacyjnych i rządowych.

Tryb indywidualny: Dla trybu indywidualnego wymagane jest ręczne skonfigurowanie klucza wstępnego (PSK) w punktach dostępu i na klientach. Klucz PSK służy do uwierzytelniania przy użyciu hasła lub kodu identyfikacyjnego w stacji klienta i punkcie dostępu. Serwer uwierzytelniania nie jest potrzebny. Tryb indywidualny jest przeznaczony dla środowisk domowych i małych firm.

WPA-Korporacyjne i WPA2-Korporacyjne: Zapewnia ten poziom bezpieczeństwa w sieciach korporacyjnych z serwerem RADIUS 802.1X. Wybierany typ uwierzytelniania musi być zgodny z protokołem uwierzytelniania serwera 802.1X.

> UWAGA: Tryby WPA-Korporacyjne i WPA2-Korporacyjne mogą być stosowane łącznie.

WPA-Indywidualne i WPA2-Indywidualne: Zapewnia ten poziom zabezpieczeń w małych sieciach lub środowisku domowym. W tym trybie używane jest hasło zwane również kluczem wstępnym (PSK). Im dłuższe jest to hasło, tym lepiej zabezpieczona zostaje sieć bezprzewodowa. Jeśli tryb WPA-Indywidualne i WPA2-Indywidualne jest obsługiwany przez punkt dostępu lub router sieci bezprzewodowej, należy go włączyć i ustawić długie, silne hasło. Hasło wprowadzone dla punktu dostępu musi być używane również na danym komputerze i wszystkich urządzeniach bezprzewodowych, uzyskujących dostęp do danej sieci.

> UWAGA: Tryby WPA-Indywidualne i WPA2-Indywidualne mogą być stosowane łącznie.

AES-CCMP (Advanced Encryption Standard - Counter CBC-MAC Protocol) Nowa metoda ochrony prywatności transmisji bezprzewodowej określona w normie IEEE 802.11i. AES-CCMP zapewnia skuteczniejszą metodę szyfrowania niż TKIP. AES-CCMP należy wybrać jako metodę szyfrowania danych, gdy istotny jest wysoki poziom ochrony danych.

> UWAGA: Niektóre rozwiązania zabezpieczeń mogą nie być obsługiwane przez zainstalowany system operacyjny i mogą wymagać instalacji dodatkowego oprogramowania i/lub pewnych urządzeń, a także wsparcia infrastruktury sieci bezprzewodowej LAN. Szczegóły można uzyskać u producenta komputera.

TKIP (Temporal Key Integrity Protocol) jest udoskonaleniem zabezpieczeń WEP (Wired Equivalent Privacy). TKIP udostępnia mieszanie kluczy przed wysłaniem pakietu, kontrolę integralności wiadomości i mechanizm ponownego wprowadzania klucza, w ten sposób eliminując wszelkie wady protokołu WEP.

## TLS

Typ metody uwierzytelniania, w którym używany jest protokół EAP i protokół zabezpieczeń TLS (Transport Layer Security). W metodzie EAP-TLS używane są certyfikaty z hasłami. W Uwierzytelnianiu EAP-TLS obsługiwane jest zarządzanie kluczami dynamicznymi WEP. Protokół TLS jest przeznaczony do zabezpieczania i uwierzytelniania komunikacji w sieciach publicznych przez szyfrowanie danych. Protokół uzgadniania TLS pozwala serwerowi i klientowi na wzajemne uwierzytelnianie i negocjowanie algorytmu szyfrowania oraz kluczy kryptograficznych przed rozpoczęciem transmisji danych.

## TTLS

Te ustawienia określają protokół i poświadczenia używane do uwierzytelniania użytkownika. W przypadku usługi TTLS klient korzysta z usługi EAP-TLS w celu sprawdzenia serwera i utworzenia między klientem a serwerem kanału zaszyfrowanego metodą TLS. Klient może korzystać z innego protokołu uwierzytelniania. Zazwyczaj protokoły z hasłem wysyłają wyzwanie tym kanałem szyfrowanym w celu włączenia sprawdzania poprawności serwera. Pakiety żądania i odpowiedzi wysyłane są przez ukryty kanał zaszyfrowany metodą TLS. Aktualne implementacje TTLS obsługują wszystkie metody określone w protokole EAP oraz kilka starszych metod (PAP, CHAP, MS-CHAP i MS-CHAP-V2). TTLS można łatwo rozszerzyć do współpracy z nowymi protokołami poprzez zdefiniowanie nowych atrybutów obsługujących nowe protokoły.

## EAP-SIM

EAP-SIM stanowi mechanizm uwierzytelniania i dystrybucji klucza sesji. Jest w nim używany moduł SIM systemu komunikacji GSM. Mechanizm EAP-SIM jest opisany w dokumencie RFC 4186.

### Protokoły uwierzytelniania

- PAP: Dwukierunkowy protokół uzgadniania PAP został opracowany do użytku z protokołem PPP. W protokole PAP używane jest hasło tekstowe używane w starszych systemach SLIP. Protokół ten nie jest bezpieczny.
- CHAP: Trójkierunkowy protokół uzgadniania CHAP jest uznawany za bezpieczniejszy od protokołu uwierzytelniania PAP.
- MS-CHAP (MD4): Wersja protokołu RSA Message Digest 4 opracowana przez firmę Microsoft. Ten tryb działa tylko w systemach firmy Microsoft i umożliwia szyfrowanie danych. Po wybraniu tej metody uwierzytelniania wszystkie dane są szyfrowane.
- MS-CHAP-V2: Wprowadza dodatkową funkcję, niedostępną w przypadku uwierzytelniania MS-CHAP-V1 ani standardowego uwierzytelniania CHAP — funkcję zmiany hasła. Funkcja ta umożliwia klientowi zmianę hasła, jeśli z serwera RADIUS odebrane zostanie zgłoszenie wygaśnięcia hasła.

# Protokół uwierzytelniania PEAP

PEAP to nowy typ uwierzytelniania, przy użyciu protokołu EAP IEEE 802.1X, zaprojektowany w celu wykorzystania usługi EAP-TLS, po stronie serwera i obsługi różnych metod uwierzytelniania (np. przy użyciu haseł użytkownika, haseł jednorazowych lub kart GTC).

### Protokoły uwierzytelniania

- GTC: Używa do uwierzytelniania kart tokenu specyficznych dla użytkownika. Główną funkcją w przypadku uwierzytelniania GTC jest uwierzytelnianie na podstawie certyfikatu cyfrowego lub karty tokenu. Dodatkowo uwierzytelnianie GTC zapewnia możliwość ukrywania tożsamości nazwy użytkownika do momentu ustanowienia zaszyfrowanego tunelu TLS, dzięki czemu zyskuje się dodatkową pewność, że nazwy użytkownika nie są emitowane w fazie uwierzytelniania.
- MS-CHAP-V2: Zobacz MS-CHAP-V2 powyżej.
- TLS: Protokół TLS jest przeznaczony do zabezpieczania i uwierzytelniania komunikacji w sieciach publicznych przez szyfrowanie danych. Protokół uzgadniania TLS pozwala serwerowi i klientowi na wzajemne uwierzytelnianie i negocjowanie algorytmu szyfrowania oraz kluczy kryptograficznych przed rozpoczęciem transmisji danych. Zobacz TLS powyżej.

## Funkcje Cisco

> UWAGA: Funkcje Cisco nie są obsługiwane w systemie Windows Vista.

### Protokół uwierzytelniania LEAP (Cisco)

Protokół Cisco LEAP (Cisco Light EAP) umożliwia uwierzytelnianie serwera i klienta w standardzie 802.1X za pomocą podawanego przez użytkownika hasła logowania. Kiedy punkt dostępu do sieci bezprzewodowej łączy się z serwerem RADIUS z włączoną obsługą protokołu LEAP (Cisco), protokół ten zapewnia kontrolę dostępu przez wzajemne uwierzytelnianie między kartami sieci bezprzewodowej klienta i siecią bezprzewodową, a także indywidualne dynamiczne klucze szyfrowania, umożliwiające zachowanie prywatności przesyłanych danych.

### Funkcja zabezpieczeń Cisco Rogue Access Point

Funkcja Cisco Rogue AP zapewnia zabezpieczenie przeciwko wprowadzeniu nielegalnego punktu dostępu, imitującego działanie punktu uprawnionego w celu złamania zabezpieczeń przez przejęcie informacji dotyczących poświadczeń użytkownika i protokołów uwierzytelniania. Funkcja ta działa tylko wtedy, gdy używany jest protokół LEAP (Cisco). Standardowa technologia 802.11 nie zabezpiecza sieci przed wprowadzeniem nielegalnego punktu dostępu. Informacje na ten temat można znaleźć w sekcji Uwierzytelnianie LEAP.

### Szybka mobilność (CCKM)

Po skonfigurowaniu sieci bezprzewodowej LAN na potrzeby szybkiego ponownego łączenia urządzenie klienta z obsługą protokołu LEAP może być przemieszczane między punktami dostępu bez konieczności angażowania serwera głównego. Punkt dostępu skonfigurowany do udostępniania usług WDS i korzystający ze scentralizowanego zarządzania kluczami Cisco (CCKM), zastępuje serwer RADIUS — i umożliwia uwierzytelnianie klienta, bez widocznego opóźnienia, w przypadku aplikacji głosowych i innych, w których ważny jest czas.

### CKIP

Protokół Cisco Key Integrity Protocol (CKIP) to własny protokół zabezpieczeń firmy Cisco, stosowany do szyfrowania w standardzie 802.11. W protokole CKIP używane są następujące funkcje zwiększające bezpieczeństwo sieci 802.11 w trybie Infrastruktura:

- Permutacja klucza
- Liczba porządkowa wiadomości

### Protokół zabezpieczeń w środowisku mieszanym 802.11b i 802.11g

W niektórych punktach dostępu (np. Cisco 350 lub Cisco 1200) obsługiwane są środowiska, w których nie wszystkie stacje klientów obsługują szyfrowanie WEP. Jest to tzw. tryb mieszanej sieci komórkowej. Gdy sieć bezprzewodowa działa w trybie szyfrowania opcjonalnego, stacje klientów dołączane do sieci w trybie WEP wysyłają wszystkie komunikaty w postaci zaszyfrowanej, a stacje w trybie standardowym wysyłają wszystkie komunikaty w postaci niezaszyfrowanej. Punkty dostępu emitują sygnały o braku szyfrowania, ale klienci mogą być dołączani w trybie szyfrowania WEP. Jeśli w profilu włączono opcję mieszanej sieci komórkowej, można podłączać komputery do punktów dostępu skonfigurowanych do szyfrowania opcjonalnego.

### EAP-FAST

W przypadku trybu EAP-FAST (tak jak w przypadku trybów EAP-TTLS i PEAP) ruch w sieci jest zabezpieczany przy użyciu tunelowania. Główna różnica polega na tym, że w przypadku trybu EAP-FAST do uwierzytelniania nie używa się certyfikatów. Podawanie poświadczeń EAP-FAST jest negocjowane wyłącznie przez klienta podczas pierwszej wymiany danych, gdy tryb EAP-FAST jest żądany na serwerze. Jeśli klient nie dysponuje tajnymi wstępnymi poświadczeniami dostępu zabezpieczonego (PAC), może zainicjować wymianę EAP-FAST i uzyskać je z serwera w trybie dynamicznym.

Istnieją dwie metody podawania poświadczeń dostępu zabezpieczonego w trybie EAP-FAST: podawanie ręczne (przez pozapasmowy mechanizm zabezpieczeń) i podawanie automatyczne.

- Mechanizm podawania ręcznego to dowolny mechanizm uznany przez administratora sieci, za wystarczająco bezpieczny.
- W przypadku podawania ręcznego ustanawiany jest tunel szyfrowany, w celu zabezpieczenia uwierzytelniania klienta i dostarczenia do niego poświadczeń dostępu zabezpieczonego. Choć nie tak bezpieczny jak metoda ręczna, mechanizm ten jest bezpieczniejszy od metody uwierzytelniania używanej w trybie LEAP.

Metoda EAP-FAST składa się z dwóch etapów: podanie poświadczeń i uwierzytelnienie. Etap pierwszy polega na dostarczeniu poświadczeń dostępu zabezpieczonego do klienta. Przeprowadzenie tej czynności jest wymagane tylko raz dla klienta i użytkownika.

### Tryb mieszanej sieci komórkowej

W niektórych punktach dostępu (np. Cisco 350 lub Cisco 1200) obsługiwane są środowiska, w których nie wszystkie stacje klientów obsługują szyfrowanie WEP. Jest to tzw. tryb mieszanej sieci komórkowej. Gdy sieci bezprzewodowe działają w trybie szyfrowania opcjonalnego, stacje klientów dołączane do sieci w trybie WEP wysyłają wszystkie komunikaty w postaci zaszyfrowanej, a stacje w trybie standardowym wysyłają wszystkie komunikaty w postaci niezaszyfrowanej. Punkty dostępu emitują sygnały o braku szyfrowania, ale klienci mogą być dołączani w trybie szyfrowania WEP. Jeśli w profilu włączono opcję mieszanej sieci komórkowej, można podłączać komputery do punktów dostępu skonfigurowanych do szyfrowania opcjonalnego.

### Zarządzanie łącznością radiową

Po włączeniu tej funkcji za pomocą karty sieci bezprzewodowej można uzyskiwać informacje o zarządzaniu łącznością radiową infrastruktury Cisco. Jeśli dla infrastruktury używane jest narzędzie do zarządzania łącznością radiową Cisco, służy ono do konfigurowania parametrów łączności radiowej, a także do wykrywania zakłóceń i nielegalnych punktów dostępu.

Powrót do początku

Powrót do Spisu treści

Znaki towarowe i zastrzeżenia