Segurana em Redes Wi-Fi

(um Estudo de Caso)

Ewerton L. Madruga (PUC-Rio)
Seminrio de Capacitao e Inovao Rede Nacional de Pesquisa - RNP Recife PE, Dezembro 2004
1

Tpicos
n n n n n n n

Redes Wi-Fi (IEEE 802.11) Problemas criptogrficos do WEP Infra-Estrutura de Chaves Pblicas (PKI) Certificados Digitais IEEE 802.1x EAP/TLS A Rede da PUC-Rio Concluso
2

Redes Wi-Fi
n

Redes Wireless:
n n n

WiFi (IEEE 802.11) Bluetooth WiMAX (IEEE 802.16) 2.4 GHz at 11 Mbps direct sequence spread spectrum (DSSS) na camada fsica.
3

Redes Wi-Fi
n n n

Redes Wi-Fi
n

Usurio se conecta atravs de um AP (infraestrutura) ou de outro usurio (adhoc)

n

Estao de Base = Access Point (AP) Laptops e iPAQs de usurios Access point (AP): estao de base

Basic Service Set (BSS)

n n

BSSs agrupadas para formar um Sistema de Distribuio (DS)

4

Modos de Operao
Modo Infra-Estrutura Modo Ad-Hoc

Tpicos
n n n n n n n

Redes Wi-Fi (IEEE 802.11) Problemas criptogrficos do WEP Infra-Estrutura de Chaves Pblicas (PKI) Certificados Digitais IEEE 802.1x EAP/TLS A Rede da PUC-Rio Concluso
6

WEP
n

Criptografia com WEP (Wired Equivalent Privacy) Objetivos do Protocolo:

n n

Confidencialidade: ningum espia dados Controle de Acesso: apenas usurios autorizados. Integridade de Dados: evitar modificao

Infelizmente, WEP no atinge objetivos

7

Modelo da Rede

Internet

Criptografando com WEP

Mensagem CRC(M)

RC4(k,IV)

IV

Cifrado

Problemas WEP
n

Previsibilidade dos elementos do algoritmo Cartes PCMCIA comuns iniciam IVs com Zero e incrementam seu valor por 1 a cada pacote. IV tem apenas 24 bits: APs com alto trfego permitem que este espao se acabe em algumas dezenas de minutos.
10

Tpicos
n n n

n n n n

Redes Wi-Fi (IEEE 802.11) Problemas criptogrficos do WEP Infra-Estrutura de Chaves Pblicas (PKI) Certificados Digitais IEEE 802.1x EAP/TLS A Rede da PUC-Rio Concluso
11

Infra-Estrutura de Chaves Pblicas

n

Uso do par de chaves <pblica/privada> uma tima soluo para:

n n

Distribuio de chaves Assinatura digital

Entretanto, o problema de administrar e gerenciar chaves uma dor-de-cabea

12

Infra-Estrutura de Chaves Pblicas

n

Para enviar mensagem para cliente, usase a chave pblica dele. Para verificar assinatura de cliente, tambm usa-se a chave pblica dele. Problema: como saber se a chave pblica realmente do cliente ? Crtico: confiana entre partes.
13

Tpicos
n n n n n n n

Redes Wi-Fi (IEEE 802.11) Problemas criptogrficos do WEP Infra-Estrutura de Chaves Pblicas (PKI) Certificados Digitais IEEE 802.1x EAP/TLS A Rede da PUC-Rio Concluso
14

Certificados Digitais
n

Certificado = Chave Pblica + Assinatura entidade idnea. Autoridade Certificadora (CA): assina certificados digitalmente (SERPRO, Caixa, CertSign) Assume-se:
n n

CA verificou identidade do cliente. CA instituio idnea.

15

Aplicaes
n

Certificados emitidos para:

n n n n n

Indivduos Servidores (SSL) Aplicativos ( ActiveX, Java jars) Certificados para Concentradores de VPNs Listas de Revogao de Certificados.

16

Tpicos
n n n n n n n

Redes Wi-Fi (IEEE 802.11) Problemas criptogrficos do WEP Infra-Estrutura de Chaves Pblicas (PKI) Certificados Digitais IEEE 802.1x EAP/TLS A Rede da PUC-Rio Concluso
17

IEEE 802.1x - EAP

Internet

Servidor de Autenticao

18

Autenticao Extensvel
n

IEEE 802.1X
n n

Autenticao Mtua de Cliente e Servidor Chave WEP por sesso, e derivada dinamicamente. Diferentes mtodos (PEAP, MD5, TLS) Uso de Certificado Digital para autenticar Cliente e Servidor
19

EAP-TLS
n

EAP-TLS (1)
Cliente EAP Request <Identity> EAP Response <Identity (MyID)> EAP Request, type = EAP-TLS <TLS Start> EAP Response, type = EAP-TLS <TLS Client Hello> EAP Request, type = EAP-TLS <TLS Server Hello, TLS Certificate, TLS Certificate Request, TLS Server Done>
20

Autenticador

EAP-TLS (2)
Cliente EAP Response, type = EAP-TLS <TLS Certificate, TLS Client Key Exchange, TLS CCS, Certificate verify, TLS FIN> EAP Request, type = EAP-TLS <TLS CCS, TLS FIN> EAP Response, type = EAP-TLS Autenticador

EAP Success / EAP Failure

21

Tpicos
n n n n n n n

Redes Wi-Fi (IEEE 802.11) Problemas criptogrficos do WEP Infra-Estrutura de Chaves Pblicas (PKI) Certificados Digitais IEEE 802.1x EAP/TLS A Rede da PUC-Rio Concluso
22

Rede da PUC-Rio
n n n

n n

Total de 10.500 alunos de graduao Total de 8 APs Professores, Alunos e Funcionrios recebem certificado digital Servidor de Certificados (OpenSSL) Servidor de Autenticao: FreeRADIUS

23

Topologia

APs

24

Concluses
n

Uso de Certificados Digitais tem auxiliado no controle de acesso rede. Usurios no precisam se preocupar com espies de trfego sem-fio. Escolha e implementao de mecanismos de segurana do muito trabalho !

25