CBPF-NT-002/04

Bruno Marques Amaral brunoma@cbpf.br Marita Maestrelli marita@cbpf.br

Segurana em Redes Wireless 802.11

Segurana em Redes Wireless 802.11

1 de 38

CBPF-NT-002/04

Resumo
Esta nota tcnica aborda as principais caractersticas da segurana em redes wireless do padro IEEE 802.11 . Sero apontadas as principais fragilidades, assim como os mtodos de segurana e tipos de ataques. Alm disso, sero tratadas alternativas conhecidas que garantem segurana a estas redes.

2 de 38

Segurana em Redes Wireless 802.11

CBPF-NT-002/04

ndice
RESUMO.........................................................................................................................2 NDICE.............................................................................................................................3 1 INTRODUO.............................................................................................................4 2 IEEE 802.11: O PAD RO DE REDES WIRELESS ....................................................4 2.1 A ARQUITETURA 802.11 .................................................................................. 5 2.2 COMPONENTES ............................................................................................... 7 2.3 REA DE COBERTURA ...................................................................................... 7 2.4 BENEFCIOS ..................................................................................................... 8 3 WEP: O PADRO DE SEGURANA DE WLANS 802.11 ........................................9 3.1 3.2 3.3 3.4 3.5 AUTENTICAO ............................................................................................. 10 PRIVACIDADE ................................................................................................. 11 INTEGRIDADE................................................................................................. 12 PROBLEMAS COM O PADRO DE S EGURANA DO IEEE 802.11b ................... 13 POR QUE O WEP FOI ESCOLHIDO E IMPLEMENTADO NO PADRO 802.11? ...... 15

4 TRATAMENTO DA SEGURANA E TIPOS DE ATA QUES ...................................15 4.1 PERDA DE PRIVACIDADE ................................................................................ 16 4.2 PERDA DE INTEGRIDADE ................................................................................ 18 4.3 PERDA DA CAPACIDADE DA REDE .................................................................. 18 4.4 OUTROS R ISCOS ........................................................................................... 19 5 IEEE 802.11i: UM NOVO MODELO DE SEGURANA...........................................19 5.1 CRIPTOGRAFIA AES ...................................................................................... 20 5.2 CRIPTOGRAFIA TKIP ..................................................................................... 21 5.3 AUTENTICAO 802.1X................................................................................. 21 5.4 ALTERNATIVAS A UTILIZAO DO 802.11i ...................................................... 23 5.4.1 LEAP EAP Cisco Wireless ................................................................ 23 5.4.2 WPA Wi-Fi Protected Access ............................................................ 23 6 FILTROS: AUMENTANDO A SEGURANA EM WLA NS ......................................24 6.1 F ILTRO DE SSID............................................................................................ 24 6.2 F ILTRO DE ENDEREO MAC .......................................................................... 24 6.3 F ILTRO DE PROTOCOLOS ............................................................................... 25 7 VPN: APLICANDO TNEIS A WLANS....................................................................26 8 CONCLUSO ............................................................................................................28 ANEXO A CONFIGURAES DE SEGURANA...................................................30 A.1 CONFIGURAES DE S EGURANA EM ESTAES CLIENTES .......................... 30 A.2 CONFIGURAES DE S EGURANA EM ACCESS POINT ................................... 31 GLOSSRIO .................................................................................................................35 REFERNCI AS BIBLIOGRFICAS ............................................................................38

Segurana em Redes Wireless 802.11

3 de 38

CBPF-NT-002/04

1 Introduo
O avano da tecnologia nos ltimos anos tem permitido o rpido crescimento do seguimento das comunicaes. A necessidade de velocidade nas transmisses vem sendo fator primordial na disputa dos mercados pela informao. Neste contexto inspito de intensas transformaes, surge a possibilidade da concretizao das redes wireless (sem fio), um projeto que por algum tempo no pde ser efetivado, por causa da tecnologia que somente nos dias atuais tem possibilitado a difuso deste tipo de sistema. Neste tipo de rede, um usurio, portando um notebook, poder se mover dentro do ambiente de trabalho sem perder a conexo. As principais vantagens deste sistema so: a mobilidade que supera indiscutivelmente das redes a cabo; o rpido retorno financeiro devido ao baixo custo de instalao (j que dispensa os cabos); alm da facilidade de adaptao de uma rede wireless a uma rede a cabo j existente. Por essas razes, alguns centros de pesquisa j apontam um crescimento anual de pelo menos 42% at 2007. Contrariamente ao processo de comercializao de novas tecnologias, o crescimento das redes wireless tem demonstrado uma grande vontade de consumo no mercado de usurios domsticos, que normalmente procuram um amadurecimento da nova tecnologia para depois usufru-la. Certamente, este mercado no tem tantas preocupaes quanto s implicaes associadas segurana deste tipo de rede. Por outro lado, empresas de grande e mdio porte ainda esto bastante preocupadas com o fato de transmitir dados confidenciais pelo ar. Os riscos so inerentes a qualquer tecnologia wireless, porm alguns destes riscos so semelhantes aos das redes a cabo, outros so mais significativos em redes wireless e outros so novos. Neste caso, alguns ataques podem ser feitos, por exemplo, lanando um vrus na rede, paralisando a rede ou at mesmo visualizando dados confidenciais.

2 IEEE 802.11: O Padro de Redes Wireless

WLANs (Wireless Local Area Network ) so baseadas no padro IEEE 802.11, que comeou a ser desenvolvido em 1997. Este padro foi projetado para suprir aplicaes com altas taxas de transmisso de dados, como as redes Ethernet. 802.11 o padro original das WLANs, projetado para transmitir de 1Mbps a 2Mbps de largura de banda sem fio. Este padro foi seguido em 1999 pelo IEEE 802.11a, que estabelecia uma transmisso de alta velocidade, na faixa de 5GHz e que chega a 54 Mbps. Ainda em 1999, o padro IEEE 802.11b foi criado, porm este operando na faixa de 2,4 - 2,48GHz e que suporta 11Mbps. Atualmente, este padro

4 de 38

Segurana em Redes Wireless 802.11

CBPF-NT-002/04 o mais utilizado por atender as aplicaes em geral. Outro padro criado depois e que vem se popularizando o IEEE 802.11g que corrige e melhora algumas limitaes do 802.11b, e por operar na mesma faixa de freqncia, inteiramente compatvel com este padro. Ou seja, na prtica uma WLAN implementada com padro 802.11b no perdida caso queira-se introduzir o 802.11g nesta rede. Outros dois padres importantes para WLAN so o IEEE 802.1X e o IEEE 802.11i. O primeiro, um protocolo de controle de acesso (autenticao), o segundo um protocolo especfico para as funes de segurana e que opera com o 802.1X. As caractersticas do IEEE 802.11i sero discutidas em uma seo posterior.

2.1 A Arquitetura 802.11

Esta seo ser dedicada a uma breve explicao das caractersticas gerais das redes wireless. Na tabela abaixo, verificamos algumas destas caractersticas.

Caracterstica
Camada Fsica Faixa de Freqncia Largura de Banda Segurana de informao

Descrio
Direct Sequence Spread Spectrum(DSSS), Frequency Hopping Spread Spectrum (FHSS) e infravermelho (IR). 2,4GHz (11b, 11g) e 5GHz (11a) 1Mbps, 2Mbps, 5.5Mbps, 11Mbps (11b), 54Mbps (11a, 11g) Autenticao, confidencialidade e integridade baseada no algoritmo de encriptao RC4, porm com gerenciamento da chave limitado.

Aproximadamente 50m (ambientes fechados) e 400m Distncia de Operao (ambientes abertos). Throughput Aspectos Positivos Aproximadamente 5.5Mbps (11Mbps) e 25 - 30Mbps (54Mbps). Velocidade de rede Ethernet, porm sem cabo, muitos produtos diferentes de empresas diferentes. Access Points e Wireless Client Cards esto diminuindo de preo. Segurana baixa na configurao padro, o throughput cai muito com a distncia e a carga.

Aspectos Negativos

Tabela 2.1-1: Caractersticas do Padro 802.11 O padro 802.11b permite que dispositivos estabeleam uma ligao ponto-aponto (P2P) ou redes baseadas em pontos de acesso (access points - AP) fixos no qual aparelhos mveis podem se comunicar. Este padro estabelece duas topologias bsicas de rede: a rede estruturada e a rede ad hoc. A rede estruturada permite estender a rea de comunicao de uma rede cabeada com uma clula wireless. Um laptop ou outro dispositivo mvel de comunicao precisa passar de clula para clula (de AP para AP) para manter a

Segurana em Redes Wireless 802.11

5 de 38

CBPF-NT-002/04 conexo com a rede. Uma clula a rea coberta por um AP e chamado de BSS (basic service set). A unio de vrios BSSs que formam a infraestrutura de uma rede chamada de ESS ( extended service set). Esta topologia til para prover acesso em uma regio como um prdio ou o campus de uma universidade. Um ambiente WLAN possui estaes clientes que usam modems de comunicao via rdio. As estaes clientes geralmente utilizam NIC (network interface card) que consiste em um modem wireless com lgica para interagir com a mquina cliente e o software. Um AP um dispositivo que consiste essencialmente em um hub do lado wireless e uma bridge do lado cabeado. Logo, todas as comunicaes entre estaes clientes e redes cabeadas passam pelo AP. A topologia bsica de uma rede wireless mostrada abaixo.

Figura 2.1-1: Topologia Fundamental de uma LAN Wireless Apesar da maioria das WLANs operarem no modo de rede estruturada, como descrito anteriormente, uma outra topologia tambm pode ser utilizada. Este segundo tipo de topologia, conhecida como redes ad hoc , permite interconectar facilmente dispositivos que estiverem na mesma rea. Nesta arquitetura, estaes clientes so agrupadas dentro de uma nica rea geogrfica para que possam se comunicar, porm estas no tero acesso a LAN cabeada. Os dispositivos interconectados no

6 de 38

Segurana em Redes Wireless 802.11

CBPF-NT-002/04 modo ad hoc funcionam como um IBSS (independent basic service set). Um esquema da topologia ad hoc pode ser visto na figura abaixo.

Figura 2.1-2: Topologia Fundamental de uma LAN Ad hoc A configurao ad hoc similar a uma rede ponto-a-ponto, na qual nenhum ponto funciona como servidor. Em uma rede ad hoc, cada ponto (laptops, desktops e outros dispositivos) pode compartilhar arquivos sem a necessidade de um AP.

2.2 Componentes
Uma WLAN compreende de dois tipos de equipamentos: uma estao cliente e um ponto de acesso (AP). Uma estao cliente normalmente um laptop , notebook ou um PC (computador pessoal) co m um NIC wireless ou placa de rede wireless . O NIC normalmente inserido em uma porta PCMCIA ( Personal Computer Memory Card International Association ) ou em uma porta USB (Universal Serial Bus). Um AP funciona como uma estao base para a rede wireless , podendo agregar vrias estaes wireless a rede cabeada.

2.3 rea de Cobertura

A rea de cobertura para redes wireless baseadas no padro 802.11b depende de vrios fatores como a taxa de dados necessria, a capacidade, as fontes de interferncias de RF (rdio-freqncia) e a rea fsica, alm das caractersticas de potncia, conectividade e o tipo de antena. Teoricamente, a rea compreendida dentro de um crculo de raio igual a 29m (vinte e nove metros) a 11Mbps em reas fechadas e 400m (quatrocentos metros) a 1Mbps em reas abertas. Contudo, na prtica verifica-se que para reas fechadas consegue-se conectividade a 50m (cinqenta metros) de distncia do AP mais prximo. J para reas abertas, com a

Segurana em Redes Wireless 802.11

7 de 38

CBPF-NT-002/04 utilizao de antenas de alto ganho pode-se conseguir conectividade a 1000m (mil metros) de distncia.

Figura 2.3-1: rea de Cobertura Tpica de LAN Wireless

2.4 Benefcios
O mtodo de comunicao mvel que as WLANs possibilitam, fazem dela um recurso muito atrativo nos dias atuais, que podem diminuir custos e aumentar a eficincia paralelamente. WLANs oferecem quatro principais benefcios aos usurios: Mobilidade ao usurio Usurios podem acessar arquivos, recursos da rede e a Internet sem estarem fisicamente conectados atravs de cabos. Alm disso, usurios podem ser mveis e ter alta velocidade de transmisso com acesso instantneo a rede. Rpida Instalao O tempo necessrio para a instalao reduzido porque conexes podem ser feitas sem mover ou adicionar cabos, tendo que pass-los por paredes ou tetos. Flexibilidade Testes com diversos cenrios podem ser executados, trocando de lugar as reas de acesso conforme a necessidade. Escalabilidade Redes do tipo WLAN, podem ser configuradas para serem usadas em pequenas redes como ponto-a-ponto ou em grandes redes de teste, que sofrem constantes alteraes. Por causa destas facilidades, WLANs esto se tornando solues viveis se comparadas s redes cabeadas, com isso, hospitais, aeroportos, hotis e lojas especializadas esto oferecendo acesso por WLAN Internet.

8 de 38

Segurana em Redes Wireless 802.11

CBPF-NT-002/04

3 WEP: O Padro de Segurana de WLANs 802.11

Esta seo ajudar o leitor a compreender as caractersticas relativas a segurana em ambientes providos de redes baseadas no padro 802.11b. A especificao do IEEE 802.11b aborda vrios servios para levar segurana ao ambiente operacional. A maior parte da segurana colocada no protocolo WEP (wired equivalent privacy) para proteger a camada de enlace de dados durante a transmisso de um cliente com os APs. Ou seja, o WEP s control a a parte sem fio da rede, logo a parte cabeada ter sua segurana feita por outros meios, como na figura a seguir.

Figura 3-1: Segurana de uma WLAN 802.11b em uma Rede Tpica Os trs servios bsicos de segurana para redes wireless so os seguintes: Autenticao Esta primeira caracterstica tenta assegurar que somente clientes pertencentes a rede podero acessar a prpria. Ou seja, ela verifica a identidade do cliente e avalia se esta estao cliente poder ou no acessar a rede. Privacidade Este servio pretende assegurar a privacidade dos dados disponveis na rede. Isto , ele avalia se os dados podero ser vistos por clientes que tiverem autorizao. Integridade Um outro quesito presente no protocolo WEP, promete garantir que os dados que sejam transmitidos no sejam modificados no caminho de ida e volta entre os clientes e os APs. importante notar que o protocolo WEP dispe somente dos trs servios acima descritos, os quais sero explicados com maiores detalhes.

Segurana em Redes Wireless 802.11

9 de 38

CBPF-NT-002/04

3.1 Autenticao
O IEEE 802.11b define duas maneiras para validar um cliente wireless que queira obter acesso a rede. Uma maneira envolve a utilizao de criptografia e a outra no. Para o acesso de clientes sem o uso de criptografia, existem essencialmente duas maneiras de verificar se um cliente wireless deseja acessar a rede. As duas maneiras so chamadas de Sistema Fechado de Autenticao e Sistema Aberto de Autenticao. A estrutura de autenticao est descrita no esquema abaixo.

Figura 3.1-1: Tcnicas de Autenticao do 802.11b Uma estao que faz uma requisio de acesso a rede, simplesmente responde com um SSID (service set identifier). No sistema aberto, um cliente autenticado mesmo se ele simplesmente responder com uma string vazia para o SSID, esta autenticao conhecida como NULL Authentication. Com o segundo mtodo, Sistema Fechado de Autenticao, clientes wireless precisam responder

obrigatoriamente com o SSID atual da rede wireless . O que significa que a cada cliente permitido o acesso se ele responder com a string correta de 0 a 32 bytes, identificando o BSS da rede wireless . Na prtica, nenhum deste dois mtodos garante uma segurana eficiente contra acessos no autorizados. Novamente, tanto o Sistema Aberto quanto o Sistema Fechado de Autentic ao so extremamente vulnerveis a ataques, e se no aprimorados, praticamente convidam ataques rede. A autenticao por chave compartilhada (shared key) uma tcnica que envolve a criptografia para a autenticao. Nela, um simples desafio travado entre a estao cliente e o dispositivo (como um AP), na qual o cliente deve conhecer o

10 de 38

Segurana em Redes Wireless 802.11

CBPF-NT-002/04 segredo compartilhado ( shared secret). Primeiro, o AP gera um desafio aleatrio que enviado a estao cliente. O cliente usando uma chave criptogrfica (chave WEP) que compartilhada com o AP, criptografa o desafio e retorna o resultado para o AP. O AP descriptografa o resultado computado pelo cliente e s permitir o acesso rede caso o valor encontrado seja o mesmo que foi enviado inicialmente pelo AP. O algoritmo usado para fazer a criptografia o cdigo RC4, criado por Ron Rivest do MIT. importante notar que a tcnica de criptografia descrita acima rudimentar e no prov autenticao mtua. Logo, o cliente no autentica o AP e ento no h segurana se a estao cliente estar se comunicando com um AP legitimo da rede. tambm conhecido que a autenticao feita por somente uma das partes considerada um mtodo fraco e que sofre constantes ataques.

Figura 3.1-2: Processo de Autenticao por Chave Compartilhada

3.2 Privacidade
O padro 802.11b tambm suporta o servio de privacidade atravs do uso de tcnicas de criptografia para a interface wireless . Esta tcnica de criptografia WEP para privacidade tambm utiliza o algoritmo RC4 para gerar uma pseudo-seqncia de dados aleatria. Atravs desta tcnica, o WEP pode impedir a descoberta dos dados durante a transmisso pela rede wireless . O WEP aplicado em todo o trfego da rede para proteger o TCP/IP (Transmission Control Protocol / Internet Protocol ), IPX (Internet Packet Exchange ), HTTP (Hyper Text Transfer Protocol). O WEP suporta chaves criptogrficas de 40 bits a 104 bits. A chave WEP de 104 bits, por exemplo, com 24 bits para o vetor de inicializao (IV) torna-se uma chave RC4 de 128 b its. Em geral, o aumento do tamanho da chave criptogrfica, aumenta o nvel de segurana. Algumas pesquisas tm mostrado que chaves com

Segurana em Redes Wireless 802.11

11 de 38

CBPF-NT-002/04 tamanho maior que 80 bits, faz com que a quebra do cdigo torne-se praticamente impossvel. No entanto, a maioria das WLAN conta com chaves criptogrficas de at 40 bits. Uma ilustrao esquemtica a seguir mostra como feito o servio de privacidade.

Figura 3.2-1: Privacidade WEP Utilizando Algoritmo RC4

3.3 Integridade
O padro IEEE 802.11b tambm especifica uma maneira de garantir integridade dos dados transmitidos entre clientes e APs. Este servio de segurana foi criado para rejeitar qualquer mensagem que tenha sido alterada durante a transmisso. Esta tcnica utiliza um simples CRC (Cyclic Redunda ncy Check ). Como descrito na ilustrao anterior, o CRC, ou seqncia de checagem de quadro, calculado em cada pacote a ser transmitido. A integridade do pacote ento criptografada utilizando uma chave RC4 para gerar o texto cifrado da mensagem. No receptor, feita a descriptografia e o CRC ento recalculado na mensagem recebida. Depois, o CRC calculado comparado com o CRC da mensagem original. Caso, os CRCs calculados sejam diferentes, indicar que a mensagem teve sua integridade violada e o receptor ir descart-la. Infelizmente, como no servio de privacidade, a integridade vulnervel a certos ataques, sem levar em considerao o tamanho da chave. Um aspecto importante que no , muitas vezes, levado em considerao refere-se quanto ao gerenciamento das chaves de criptografia, ou seja, por quanto tempo deve-se utilizar a mesma chave criptogrfica em uma WLAN. O resultado da falta de preocupao com gerenciamento da chave criptogrfica pode trazer inmeras vulnerabilidades s WLANs. Estas vulnerabilidades incluem as chaves WEP que

12 de 38

Segurana em Redes Wireless 802.11

CBPF-NT-002/04 quase nunca so trocadas ou so mantidas com o valor padro ou so chaves fracas (s zeros, s uns, baseados em senhas fracas ou outro padro trivial similar). Outro problema a dificuldade de se trocar esta chave WEP constantemente, em um amplo ambiente WLAN. Em um ambiente grande que pode ter 15.000 APs, trocar as chaves WEP torna-se um desafio.

3.4 Problemas com o Padro de Segurana do IEEE 802.11b

Nesta seo sero abordados vrios problemas encontrados em redes wireless IEEE 802.11b. Entre fatores causadores de problemas na segurana encontram-se: ataques passivos, para decodificar o trfego na rede baseada em anlises estatsticas; ataques ativos para inserir novos trfegos a partir de estaes mveis desautorizadas, entre outros. Com isso, vrias falhas podem ser encontradas no WEP, como descrito abaixo: O Uso de Chaves WEP estticas Vrios usurios wireless utilizando uma chave idntica, durante muito tempo, um fator de risco. Se um computador, como um laptop, fosse roubado, a chave poderia tornar-se comprometida deixando todos os computadores que compartilham a mesma chave tambm comprometidos. O IV (initialization vector ) do WEP tem o campo com 24 bits na parte vazia da mensagem enviada. Esse campo de 24 bits, utilizado para iniciar a gerao da chave pelo algoritmo RC4 considerado pequeno para a criptografia. A reutilizao do mesmo IV produz uma chave idntica para a proteo dos dados e o tamanho pequeno, garante que ele repetir com uma freqncia relativamente alta em uma rede ocupada. Mais ainda, o padro 802.11 no especifica como os IVs so ajustados ou trocados, ento dispositivos wireless de mesma marca podem gerar todos a mesma seqncia do IV e outros podem ter um IV constante. Como resultado, invasores podem gravar o trfego da rede, determinar a chave e us-la para decodificar os dados. O Conhecimento Prvio O fato de um curioso saber que o IV de cada chave possui 24 bits, combinada com a fraqueza da chave RC4, leva a um ataque que recupera a chave aps interceptar e analisar uma pequena quantidade de pacotes do trfego. A Integridade No Criptografada O WEP no prov proteo de integridade criptografada. No entanto, o protocolo 802.11 MAC usa uma CRC no-criptografada para checar a integridade dos pacotes com a

Segurana em Redes Wireless 802.11

13 de 38

CBPF-NT-002/04 correta soma de verificao (checksum). Essa combinao

considerada perigosa e freqentemente leva a ataques no intencionais de side channel. Existe ainda um ataque ativo que permite ao atacante decodificar qualquer pacote por uma modificao sistemtica dos pacotes e seus CRCs enviados para o AP. Esses tipos de ataques normalmente so sbitos e considera-se arriscado projetar protocolos de criptografia que no incluam proteo de integridade criptografada, por causa da possibilidade de interao com outros nveis de protocolo que podem deixar vazar informaes sobre o texto cifrado. Note que somente um dos problemas apontados acima depende da fraqueza do algoritmo de criptografia. Ento, os outros problemas no seriam resolvidos, utilizando-se um mtodo mais forte. O terceiro problema listado , em parte, uma conseqncia da fraqueza do RC4, mas que s exposta quando utilizado um protocolo com um projeto pobre. Vulnerabilidades Caractersticas

Normalmente, as configuraes de 1. As caractersticas de segurana no so postas em prtica. Porm segurana normalmente no so segurana fraca ainda melhor que no ter utilizadas. segurana. IVs de 24 bits permitem que a gerao de 2. IVs so pequenas ou chaves possa se repetir com uma certa estticas. freqncia. Esta repetio facilitar o trabalho de um invasor mais sofisticado. Chaves de 40 bits so inadequadas para 3. As chaves de criptografia so qualquer sistema. Normalmente, s considerado pequenas. aceitvel chaves maiores que 80 bits. Chaves que so compartilhadas podem comprometer o sistema. Um fator fundamental de 4. As chaves de criptografia so segurana atravs de criptografia especifica que compartilhadas. o segredo das chaves criptogrficas um ponto primordial para a segurana da rede. 5. As chaves de criptografia no As chaves de criptografia devem ser podem ser atualizadas substitudas freqentemente para evitar ataques automaticamente. do tipo fora bruta. A combinao de revelar a chave de 24 bits 6. RC4 tem uma chave fraca e no IV e a fraqueza nos primeiros bytes da utilizado inapropriadamente no codificao RC4 pode levar a um ataque eficiente WEP. que recupera a chave. CRC ou outro cdigo linear de verificao 7. A integridade do pacote de integridade so inadequados. A modificao fraca. da mensagem possvel, logo a criptografia dos dados indicada. Somente o dispositivo autenticado. Ento 8. No ocorre autenticao do um dispositivo roubado poder acessar a rede. usurio.

14 de 38

Segurana em Redes Wireless 802.11

CBPF-NT-002/04 9. A Autenticao no habilitada, somente uma verificao de SSID feita. 10. A autenticao do dispositivo muito simples. Segurana atravs da identificao do SSID so altamente vulnerveis principalmente em sistemas wireless. Resposta ao desafio em uma s direo para autenticao vulnervel a ataques do tipo man-in-the-middle. Autenticao mtua mais indicada para verificar que o usurio e a rede so legtimos.

Tabela 3.4-1: Principais Problemas Existentes na Segurana do 802.11

3.5 Por que o WEP foi escolhido e implementado no padro 802.11?

No momento em que o padro 802.11 foi aprovado e finalizado, as indstrias de equipamentos para WLANs logo colocaram seus produtos no mercado. O padro 802.11 especificava que fossem atendidos os seguintes critrios para segurana: Exportvel; Razoavelmente forte; Auto sincronizvel; Computacionalmente eficiente; Opcional.

O WEP responde a estes quesitos. Ento, quando o WEP foi implementado, cabia a este assegurar algumas caractersticas de privacidade, controle de acesso, e integridade dos dados. Ou seja, no seria o WEP um responsvel muito confivel para prover segurana efetiva a WLANs. Felizmente para as indstrias de equipamentos de WLAN, o mtodo de comunicao wireless ganhou imensa popularidade, o que obrigou estas mesmas indstrias a procurarem solues mais confiveis para a segurana.

4 Tratamento da Segurana e Tipos de Ataques

A figura abaixo mostra um esquema de distribuio dos possveis ataques a uma rede wireless .

Figura 4-1: Tipos de Ataques

Segurana em Redes Wireless 802.11

15 de 38

CBPF-NT-002/04 Como a figura mostra, os ataques so classificados em ataques passivos e ataques ativos. Esses dois grandes grupos so divididos em vrios tipos de ataques. Todos definidos abaixo. Ataque Passivo um ataque no qual uma pessoa desautorizada obtm acesso a uma rede, mas no altera o contedo dos dados. Ataque passivo pode ser apenas a anlise do trfego da rede. Os dois tipos de ataques passivos so descritos abaixo. Escuta: o atacante simplesmente monitora a transmisso para obter o contedo do que est sendo transmitido. Anlise do Trfego: o atacante monitora a transmisso para entender os padres de comunicao. Ataque Ativo um ataque no qual uma pessoa desautorizada obtm acesso a rede e modifica o contedo da mensagem que est sendo transmitida. Ataques ativos podem ser detectados, mas nem sempre impedidos. Um ataque deste tipo necessita que o atacante utilize algum dos recursos (ou a combinao deles) como: disfarce, repetio, modificao da mensagem ou negao de servio. Disfarce: o atacante personifica um usurio e com isso obtm alguns recursos desautorizados da rede. Repetio: o atacante intercepta a transmisso e envia como se fosse o usurio legtimo. Modificao de Mensagem: o atacante altera uma mensagem legtima, apagando, adicionando, editando ou reordenando a prpria mensagem. Negao de Servio: o atacante dificulta o uso normal ou o gerenciamento dos dispositivos da rede. Todos os riscos contra as WLAN 802.11 so resultados destes tipos de ataques. As conseqncias destes ataques incluem: perdas de informaes proprietrias e perda dos servios da rede, principalmente.

4.1 Perda de Privacidade

Privacidade propriamente aquele tipo de informao da qual no se deseja que pessoas ou entidades desautorizadas tenham acesso ao contedo. Isto , em geral, o fundamento bsico de segurana requerido pelas organizaes. Por causa da natureza dos sistemas wireless , privacidade tipicamente um fator de dificuldade, por

16 de 38

Segurana em Redes Wireless 802.11

CBPF-NT-002/04 que neste caso no possvel saber com preciso os limites da rea em que a transmisso ocorre. Logo, um adversrio pode estar ouvindo o trfego e com isso, obter informaes sensveis rede como informaes proprietrias, IDs da rede, senhas e configuraes. Este risco est presente, pois o sinal do 802.11b pode alcanar espaos alm do permetro do prdio, facilitando o invasor. Portanto, intrusos podem potencialmente detectar transmisses estando no estacionamento ou em locais prximos. Esse tipo de ataque, com a utilizao de analisadores de redes wireless que popularmente conhecido como sniffer, particularmente fcil por duas razes: 1) freqentemente, caractersticas confidenciais de dispositivos utilizados na rede no esto bem guardadas e 2) conhecendo as inmeras vulnerabilidades do 802.11b, o adversrio conseguir comprometer o sistema. Analisadores de rede wireless (sniffers) como AirSnort e WEPcrack , so facilmente encontradas na Internet. O AirSnort foi uma das primeiras ferramentas criadas para automatizar o processo de anlise das redes. Infelizmente, ela tambm utilizada com o intuito de prejudicar as redes. O AirSnort pode tirar vantagem das falhas na marcao das chaves do algoritmo RC4, que parte do padro WEP. Para completar, esta ferramenta requer apenas um computador com o Linux instalado e uma placa de rede wireless. O programa monitora passivamente as informaes transmitidas e calcula o valor da chave com pelo menos 100MB de pacotes colhidos na rede. Em uma rede bastante saturada, coletar esta quantidade de informao pode levar apenas 3 a 4 horas, j se o volume de informaes for baixo, esta coleta dever levar alguns dias. Depois dos pacotes serem colhidos, o programa demora aproximadamente um segundo para calcular o valor da chave fundamental. Uma vez que o invasor conhea a chave do administrador da rede, ele poder ter acesso a qualquer pacote que esteja trafegando na rede. Pela facilidade com que se pode conseguir estes programas e utiliz -los, as implementaes de segurana devem ser levadas bastante a srio. Uma outra maneira na qual se pode perder privacidade ser quando o invasor estiver monitorando a rede com um laptop e o AP ao invs de estar conectado a um switch estiver conectado a um hub. Hubs , normalmente, enviam todos os pacotes que chegam a ele por todas as suas portas (este processo conhecido como broadcast ), deixando o trfego vulnervel a monitoramento desautorizado. Por exemplo, se um AP estiver conectado a um hub algum poderia pegar informaes endereadas aos clientes wireless . Conseqentemente, vivel imaginar que ser mais seguro utilizar APs conectados a switches.

Segurana em Redes Wireless 802.11

17 de 38

CBPF-NT-002/04 WLANs tambm esto expostas a ataques ativos atravs da perda de privacidade. Os programas citados anteriormente podem coletar dados como: nomes de usurios e senhas, com isso, o atacante poder se fingir de usurio legtimo e ter acesso a dados da rede cabeada a partir da rede wireless. Por ltimo, um usurio malicioso poderia fisicamente inserir um AP qualquer dentro de um armrio ou em baixo de uma mesa de conferncia, por exemplo, e obter acesso rede. Colocando este AP prximo ao usurio, ele poderia interceptar o trfego entre o AP legtimo e o cliente, apenas colocando o sinal de seu AP mais forte que do AP legtimo. Ele tambm poderia ganhar acesso atravs do AP em redes que no necessitam de autorizao de APs para se conectar a rede.

4.2 Perda de Integridade

As questes relacionadas a integridade dos dados em redes wireless so similares s de redes cabeadas. Freqentemente, organizaes implementam comunicaes sem fio e com fio sem a proteo criptogrfica adequada dos dados. Um invasor, por exemplo, pode comprometer a integridade dos dados, apagando ou modificando o contedo de um email em um sistema wireless . Dependendo da importncia do e-mail e como esse e-mail ser distribudo, o impacto pode ser bastante danoso a organizao. As caractersticas de segurana existentes no 802.11 no asseguram um controle rigoroso sobre a integridade dos dados. Como abordado anteriormente, a base do mecanismo de integridade do WEP simplesmente um CRC linear. Ataques que modificam as informaes transmitidas so possveis sem o uso de mecanismos de verificao criptogrfica.

4.3 Perda da Capacidade da Rede

A perda de capacidade da rede envolve normalmente uma forma de ataque conhecida como DoS (Denial of Service) ou Jamming. Este tipo de ataque ocorre quando um usurio malicioso envia um sinal deliberadamente a partir de um dispositivo wireless no intuito de sobrecarregar sinais legtimos. Isto resulta na quebra de conexo, por que os sinais legtimos estaro impedidos de se comunicar com a rede. s vezes, usurios no maliciosos podem causar este tipo de ataque. Suponha que, por um instante, um usurio monopolize o sinal fazendo download de grandes arquivos, ento ele estar efetivamente impedindo outros usurios de acessar a rede.

18 de 38

Segurana em Redes Wireless 802.11

CBPF-NT-002/04

4.4 Outros Riscos

Com o aumento das redes wireless, usurios esto podendo se conectar a suas organizaes atravs dessas redes. comum ter em centros de conferncias servios de acesso a Internet atravs de WLANs. Desta forma, torna-se possvel um usurio tambm se conectar a sua organizao. Aeroportos tambm esto comeando a oferecer este tipo de servio. Porm, esta comodidade tem trs riscos bsicos: 1) por serem redes pblicas, qualquer um pode ter acesso, at mesmo usurios maliciosos; 2) estas redes funcionam como bridge para uma rede do prprio usurio, assim, estas WLANs, potencialmente, permitem a qualquer um na rede pblica ganhar acesso ou atacar a rede do prprio usurio e 3) elas utilizam altas potncias de transmisso na faixa de RF (Radiofreqncia) para que todos possam alcanar o sinal. Todavia, isto tambm favorece que usurios maliciosos invadam a rede com mais facilidade. Quando um usurio conecta-se a sua prpria rede atravs de uma rede no confivel, esse pode gerar vulnerabilidades a rede de sua prpria companhia. A no ser que esta companhia crie maneiras de proteger o usurio e a ela mesma. Como o usurio freqentemente necessita acessar dados pblicos ou privados de suas organizaes aconselhvel que se ut ilize protocolos de proteo da camada de aplicao como o TLS (Transport Layer Security) e o SSL (Secure Sockets Layer ). Para recursos privados a utilizao de VPNs (Virtual Private Network ) mais adequada.

5 IEEE 802.11i: Um Novo Modelo de Segurana

Por causa das diversas falhas j apontadas sobre o WEP, um grupo foi formado para a elaborao do IEEE 802.11i, na tentativa de estabelecer uma soluo mais efetiva para o problema de segurana em WLANs. Este grupo criou um padro chamado de RSN (Robust Security Network). Este padro inclui duas partes: o AES (Advanced Encryption Standard) para criptografia do trfego nas WLANs; e o IEEE 802.1X (Padro de Autenticao baseado em Portas na Rede) para autenticao de usurio e gerenciamento da chave criptogrfica. Este mesmo grupo, tambm recomendou uma srie de mudanas para o WEP com o intuito de compatibilizar produtos 802.11b que no suportam as atualizaes do AES pela suas limitaes de projeto. Estas modificaes constituem o TKIP (Temporal Key Integrity Protocol).

Segurana em Redes Wireless 802.11

19 de 38

CBPF-NT-002/04

Figura 5-1: Os Diferentes Tipos de Criptografia importante citar, que para acomodar uma mistura de vrios mtodos de criptografia na mesma WLAN, a especificao 802.11i requer que dispositivos avisem aos APs e estaes associadas a WLAN sobre suas capacidades de criptografia. Os APs e as estaes ento escolhero a criptografia apropriada com base na capacidade mtua entre eles.

5.1 Criptografia AES

A comunidade internacional de criptografia participou intensamente nas pesquisas do IEEE 802.11i para a elaborao de um algoritmo de criptografia e selecionou o AES, pois ele resiste a todas as tcnicas conhecidas de anlises criptogrficas. De fato, o AES considerado por profissionais de criptografia como o substituto do DES (Data Encryption Standard) que comumente utilizado em VPN, solues de bancos e uma variedade de outras aplicaes sensveis segurana. Este padro pode ter chaves dos seguintes tamanhos:

128 bits; 192 bits; 256 bits.

20 de 38

Segurana em Redes Wireless 802.11

CBPF-NT-002/04

5.2 Criptografia TKIP

Como apresentado anteriormente, o grupo de elaborao do IEEE 802.11i sugeriu vrias modificaes para as deficincias do WEP para que ele pudesse suportar os produtos j existentes com padro 802.11b. Uma considerao importante para a maioria dos produtos 802.11b que eles normalment e utilizam processamento de baixa velocidade e limitaes para grandes processamentos computacionais de segurana. Trabalhando dentro destas condies, o grupo formulou o TKIP como uma soluo de criptografia que oferece um razovel compromisso entre a adio de segurana e as limitaes de processamento dos produtos 802.11b. O TKIP conserta quatro partes do algoritmo WEP: Uma Mensagem de Checagem de Integridade (MIC) referida em especificaes como Michael; Uma contagem que apaga a autenticao existente e a chave de criptografia quando um ataque detectado; Uma funo de mistura de chave por pacote; Proteo de Reviso.

importante notar que o TKIP no prov o mesmo nvel de segurana do AES. Mesmo assim, a especificao do 802.11i coloca claramente: Por causa da fraqueza, o IEEE 802.11 recomenda a no utilizao do TKIP exceto como uma atualizao para o equipamento pr-RSN.

5.3 Autenticao 802.1X

Para complementar o AES do RSN na criptografia dos dados, o grupo do IEEE 802.11i especificou o 802.1X para autenticao do usurio. O 802.1X um padro aberto para autenticao de estaes wireless com o Servidor de Autenticao na rede cabeada por meio de um AP. O Servidor de Autenticao geralmente o mesmo utilizado por corporaes para autenticar usurios remotos, ou seja, o RADIUS (Remote Authentication Dial-In User Service ). O 802.1X baseado no EAPoL (Extensible Authentication Protocol over LAN) do IETF (Internet Engineering Task Force ) e h um nmero grande de algoritmos de autenticao do EAPoL que podem ser utilizados. Os tipos mais comuns de autenticao implementadas incluem o EAP-MD5, EAP-TLS, EAP-TTLS, LEAP e PEAP.

Segurana em Redes Wireless 802.11

21 de 38

CBPF-NT-002/04 Tipo de Autenticao EAP EAP-MD5 (Message Digest 5) Comentrio EAP-MD5 um mtodo de autenticao baseado em senha, que raramente utilizado, pois no garante um mecanismo eficaz para a troca de chaves novas. EAP-TLS pode ser um pouco complicado de se configurar, mas no tem tantas fraquezas em sua segurana. Ele requer o uso de um servidor RADIUS e certificado digital tanto na estao quanto no servidor. LEAP fornece uma boa maneira para assegurar redes wireless enquanto ainda utiliza dispositivos do WEP. Ele consiste em uma autenticao mtua baseada em senha com um servidor RADIUS e constantemente modifica as chaves WEP para impedir invasores de descobrirem a chave. No entanto, apesar de muitas estaes suportarem o LEAP, o AP necessita ser da Cisco Systems . EAP-TTLS e PEAP so similares ao tipo de autenticao EAP e so suportados por vrias marcas de produtos WLAN. Estes protocolos utilizam certificados digitais assim como o EAP-TLS, porm requerem autenticao apenas no servidor RADIUS. A estao autentica o servidor RADIUS e um tnel seguro ento estabelecido entre a estao e o servidor atravs do qual o servidor RADIUS poder autenticar a estao.

EAP-TLS (Transport Layer Security)

LEAP (EAP Cisco Wireless)

EAP-TTLS (Tunneled TLS)

PEAP ( Protected EAP)

Tabela 5.3-1: Os Vrios Tipos de Algoritmos de Criptografia EAP Quando uma estao tenta se conectar a uma WLAN com 802.1X, o AP autoriza a estao a se conectar, porm fora a estao a um estado no autorizado no qual somente o trfego do EAP passado pelo servidor RADIUS. Utilizando mensagens EAP ou mesmo senhas ou chaves pblicas/privadas de criptografia, o servi dor RADIUS autentica a estao. O servidor RADIUS ento envia ao AP uma chave inicial de criptografia, que veio da estao atravs do processo de autenticao. O AP gera ento uma segunda chave para o uso na comunicao com a estao, faz a criptografia da segunda chave com a chave inicial advinda do servidor RADIUS e envia de volta a estao. Em seguida, o AP envia novas chaves a estao com intervalos de tempo pr-definidos para assegurar que a segurana no foi quebrada. Pr-supondo que no se conhecem t cnicas para quebrar a criptografia AES, no se sabe quando ser necessrio atualizar as sesses de chaves AES em bases regulares. No entanto, a gerao automtica das sesses de chaves no elimina a necessidade de configurar manualmente cada estao com uma chave e no elimina a necessidade de se ter certeza de que cada AP tem uma lista atualizada das chaves individuais de cada usurio.

22 de 38

Segurana em Redes Wireless 802.11

CBPF-NT-002/04

5.4 Alternativas a Utilizao do 802.11i

Por causa dos interesses conflitantes no mercado de WLANs, ocorreu um atraso para a finalizao do IEEE 802.11i. Como resultado, muitas empresas se adiantaram para elaborar sistemas de proteo mais eficientes que o WEP. As duas alternativas mais promissoras foram da Cisco Systems e da Wi-Fi Alliance (formalmente conhecido como Wireless Ethernet CompatibilityAlliance ou WECA).

5.4.1 LEAP EAP Cisco Wireless

Em dezembro de 2000, a Cisco Systems introduziu o LEAP para compensar os problemas de segurana do WEP. O LEAP ainda confia na criptografia do WEP, porm adiciona a autenticao do usurio e a funcionalidade da atualizao das chaves. Com este modelo, o usurio ser autenticado atravs de um servidor RADIUS da Cisco e as chaves sero atualizadas com bases regulares. Por causa da grande presso sobre as falhas do WEP e a confiabilidade no nome Cisco, o LEAP teve um grande sucesso no mercado de WLANs. No entanto, o protocolo LEAP compatvel somente com APs da prpria Cisco . Outra caracterstica importante refere-se ao fato de com o LEAP, as estaes necessitam de senhas para serem autenticadas. Isto recai em possveis ataques de dicionrio, em que o invasor tenta descobrir a chave WEP gravando uma srie de quadros e ento com um programa ele tenta descobrir senhas atravs de tentativas. Esta possibilidade obriga que se tenham senhas muito grandes e complexas para diminuir o risco.

5.4.2 WPA Wi-Fi Protected Access

A Wi-Fi Alliance tem elaborado um novo padro chamado de Wi-Fi Protected Access (WPA). Este novo padro sugerido para equipamentos pr-802.11i, porm no requerido como parte do padro 802.11i. Os produtos que implementaram o WPA tm suporte para WEP, TKIP e autenticao de usurios 802.1X. No caso de usurios domsticos que no possuem um servidor de autenticao RADIUS, o WPA oferece um mecanismo de Pr-Shared Key (PSK). Para utilizar o PSK, colocada uma expresso de passe tanto no AP, quanto na estao. Esta expresso usada para autenticar qualquer estao que tente se conectar. Em seguida, a estao recebe do AP uma chave para aquela sesso. Esta chave atualizada em intervalos regulares. Diferentemente do WEP, o WPA utiliza um vetor de inicializao (IV) de 48bits, alm de regras de seqncia. No entanto, algumas caractersticas devem ser observadas, como: o suporte para o WPA em estaes e APs 802.11b requer uma atualizao por software. Porm,

Segurana em Redes Wireless 802.11

23 de 38

CBPF-NT-002/04 estas atualizaes so evitadas por serem difceis e pelo risco que h de estragar o aparelho. Finalmente, a capacidade de negociao cifrada do WPA permite que clientes baseados no WEP possam operar em uma rede misturada WEP/ WPA.

6 Filtros: Aumentando a Segurana em WLANs

A utilizao de filtros pode ser utilizada como adio a segurana com o WEP e/ou AES. Filtrar significa manter de fora quem no for autorizado e permitir quem for autorizado, atravs do mtodo de filtragem. Existem trs tipos bsicos de filtros: Filtro de SSID; Filtro de Endereo MAC; Filtro de Protocolos.

As prximas sees faro a explicao de cada um dos mtodos de filtragem listados.

6.1 Filtro de SSID

Filtro do SSID um mtodo rudimentar de filtragem, e que somente dever ser utilizado como mtodo bsico de controle de acesso. O SSID apenas um termo que caracteriza o nome da rede. Logo, um dispositivo que deseja se comunicar com uma determinada rede dever conhecer o nome da rede para ter acesso. Porm, com a utilizao de um sniffer muito fcil descobrir o SSID de uma rede, visto que os APs enviam de tempos em tempos este SSID para que seus clientes possam se comunicar. Por isso, este mtodo considerado fraco quando se deseja manter usurios no-autorizados fora da rede. Em determinados casos, possvel fazer com que os APs no enviem o SSID, contudo os clientes devero ter os SSIDs configurados manualmente.

6.2 Filtro de Endereo MAC

WLANs podem filtrar estaes clientes baseadas no endereo MAC destas estaes. Neste caso, quando uma estao cliente tentar se conectar a rede, seu endereo MAC ser verificado na lista dos endereos permitidos pelo AP e se coincidir com alguma das entradas, ser permitido o acesso, por outro lado se no houver coincidncia, esta estao estar impedida de se comunicar com a rede. Obviamente, a insero dos endereos MAC que podero acessar a rede ter que ser feita manualmente em cada AP, desta forma este mtodo impraticvel

24 de 38

Segurana em Redes Wireless 802.11

CBPF-NT-002/04 quando tratamos de grandes redes ou redes na qual no temos certeza sobre quais sero os usurios. Filtro de endereo MAC tambm tem seus defeitos. Suponha que um funcionrio de uma empresa que possua um laptop e que tenha acesso a WLAN da empresa fosse roubado. Se este laptop for utilizado por um invasor, ele ter acesso a rede da empresa. Portanto, ser necessrio que os funcionrios avisem quando houver a perda de um componente da rede. Outro problema acontecer se um invasor forjar um endereo MAC vlido para a rede, depois de utilizar um sniffer.

Figura 6.2-1: Funcionamento do Filtro MAC

6.3 Filtro de Protocolos

WLANs podem filtrar pacotes que atravessam a rede com base no protocolo. Suponha uma rede que tenha com funo nica fornecer acesso a internet para seus usurios. Logo, filtrar os pacote e deixar que somente os protocolos SMTP, POP3, HTTP, HTTPS, FTP possam ser utilizados ser a soluo mais eficaz para proteger os servidores internos da empresa, por exemplo.

Figura 6.3-1: Funcionamento do Filtro de Protocolos

Segurana em Redes Wireless 802.11

25 de 38

CBPF-NT-002/04

7 VPN: Aplicando Tneis a WLANs

A VPN (virtual private network ) uma tecnologia que vem crescendo rapidamente para garantir a segurana dos dados transmitidos atravs de redes pblicas. Atualmente, as VPNs tem sido utilizada em trs diferentes cenrios: para acesso de usurio remoto, para conectividade de LAN com LAN e para as chamadas extranets. VPNs empregam a tcnica de criptografia para proteger as informaes do IP enquanto ele passa de uma rede para outra. A informao que est dentro do tnel VPN (o encapsulamento de um protocolo dentro de outro) criptografada e isolada de outro trfego da rede.

Figura 7-1: Uso Tpico de VPN para Segurana da Comunicao via Internet A maioria das VPNs utilizam o protocolo IPsec (Internet Protocol Security). Este protocolo, desenvolvido pelo IETF, prov os seguintes tipos de proteo: Privacidade; Integridade sem conexo; Autenticao da informao de origem; Proteo de reviso;

26 de 38

Segurana em Redes Wireless 802.11

CBPF-NT-002/04 Proteo pela anlise do trfego.

Privacidade assegura que outros no possam ler as informaes contidas nas mensagens enviadas. A integridade sem conexo garante que a mensagem recebida no foi alterada em relao a mensagem original. Autenticao da informao de origem garante que a mensagem recebida foi realmente enviada pelo remetente de origem e no por algum que tenha personificado o remetente de origem. A proteo de reviso prov a certeza de que a mensagem no tenha sido enviada vrias vezes e que no esteja fora de ordem ao chegar ao destino. A proteo pela anlise do trfego assegura que um atacante utilizando a tcnica de escuta no possa determinar quem est se comunicando ou a freqncia ou o volume das comunicaes. O IPsec complementa ainda a tarefa de roteamento das mensagens atravs de um tnel criptografado por dois cabealhos IPsec inseridos imediatamente depois do cabealho IP de cada mensagem. O cabealho do ESP (Encapsulating Security Protocol) garante privacidade e proteo contra modificaes maliciosas. O protocolo IKE (Internet Key Exchange) um mecanismo que permite que chaves secretas e outros parmetros de proteo sejam trocados previamente a comunicao sem a interveno do usurio. A utilizao do IPsec em WLANs mostrada na figura a seguir.

Figura 7-2: Segurana VPN em Adio ao WEP O tnel IPsec formado pelo cliente wireless atravs do AP para um dispositivo VPN da rede. Com o IPsec, os servios de segurana passam a ser feitos na camada de rede. Isto significa que todos os protocolos de camada superior passaro a ser protegidos pelo IPsec. Porm, o servio de segurana da camada de enlace, o WEP, ser independente do IPsec. Portanto, ser possvel a utilizao conjunta do WEP com o IPsec. A prxima figura ilustra um outro exemplo de uma rede wireless com a utilizao de VPN. Como mostrado, com a utilizao de dispositivos wireless e VPNs, clientes podem se conectar a rede de forma segura atravs de um gateway VPN em adio ou substituio ao WEP. Note que o cliente wireless no necessita de nenhum

Segurana em Redes Wireless 802.11

27 de 38

CBPF-NT-002/04 hardware especial, ele s precisa do software cliente IPsec/VPN. O gateway VPN pode utilizar chaves de criptografia pr-compartilhada ou certificados digitais para a autenticao do usurio wireless . Adicionalmente, a autenticao do cliente wireless pode ser feita atravs de um servidor RADIUS.

Figura 7-3: Diagrama Simplificado de uma VPN em uma WLAN importante notar que apesar das VPNs representarem uma significante melhoria quanto segurana na parte wireless da rede, ela no pode ser considerada soluo nica, capaz de resolver todos os problemas relativos segurana.

8 Concluso
A crescente necessidade de mobilidade tem possibilitado o aumento na procura por dispositivos de comunicao sem fio. Por conta disto, aumenta-se tambm a preocupao com a segurana do contedo que transmitido pelo ar. Conseqentemente, muitas empresas e institutos de pesquisas vm procurando aperfeioar os mtodos de transmisso e recepo tanto para torn-los mais eficientes quanto mais seguros. O IEEE, principal responsvel pela padronizao do sistema de comunicao, quem estabelece as caractersticas para a compatibilidade e segurana da comunicao entre dispositivos. Contudo, o aspecto relativo segurana sempre causou dvidas quanto a sua eficcia neste tipo de comunicao. Sabe-se atualmente que o WEP, primeiro padro de segurana criado para este tipo de rede, no prov uma garantia real de que os dados transmitidos no possam ser descobertos, o que gera dvidas quanto a sua utilizao.

28 de 38

Segurana em Redes Wireless 802.11

CBPF-NT-002/04 Por causa disso, muitas empresas se anteciparam em criar mtodos mais seguros e assim surgiu o WPA, um padro que vem sendo a soluo para muitos casos enquanto produtos com suporte completo ao padro IEEE 802.11i no so comercializados. Portanto, importante notar que o futuro deste tipo de rede est relacionado diretamente necessidade e confiana das pessoas em se comunicarem aonde quer que elas estejam, de forma instantnea e com a segurana de que seus dados estaro protegidos de pessoas maliciosas.

Segurana em Redes Wireless 802.11

29 de 38

CBPF-NT-002/04

Anexo A Configuraes de Segurana

Este anexo tem o intuito de aplicar os conceitos descritos e explicar de que forma pode-se implementar a teoria apresentada na prtica. Inicialmente, dividiremos o processo em duas partes: a primeira relativa s configuraes de segurana em estaes clientes que possuam acesso a rede wireless ; a segunda far referncia s configuraes gerais em um AP.

A.1 Configuraes de Segurana em Estaes Clientes

Normalmente, as configuraes relativas segurana em estaes so coordenadas pelo software de instalao da placa de rede wireless . As configuraes podem variar dependendo da marca do fabricante ou modelo da placa. A figura A.1-1 mostra a tela do software de configurao de uma placa PCI wireless da SMC, modelo SMC2802W.

Figura A.1-1: Configurao de Estao Cliente No campo SSID, deve-se colocar o SSID atual da rede, ou seja, o mesmo nome que estiver configurado no AP. O campo Channel especifica qual o canal de comunicao que dever estar ativo para a comunicao da estao com o AP. O campo Transmit Rate mostra a taxa de transmisso escolhida. Auto significa que a estao e o AP estabelecero automaticamente qual ser a taxa de transmisso. Operating Mode permite duas opes: Infra-estrutura ou Ad-hoc.

30 de 38

Segurana em Redes Wireless 802.11

CBPF-NT-002/04 Encryption refere-se ao nvel de encriptao do WEP. O campo Passphrase permite que se crie chaves (Key 1, Key 2, Key 3, Key 4) a partir de uma palavra e que pode conter tambm nmeros e smbolos. Tambm possvel se inserir manualmente as chaves.

A.2 Configuraes de Segurana em Access Point

As configuraes de segurana em um AP podem variar dependendo do modelo ou marca do dispositivo. Sendo assim, alguns modelos possuem opes de configurao que outros no possuem. Porm, algumas caractersticas podero ser apontadas, pois so consideradas bsicas para segurana em qualquer AP de qualquer marca. As figuras que viro a seguir foram capturadas a partir das telas de configurao de um AP da marca SMC, modelo SMC2804WBR. Atravs delas ser possvel mostrar com mais clareza as configuraes de segurana em um AP. A configurao do SSID, por exemplo, pr-requisito para o funcionamento adequado de qualquer rede wireless .

Figura A.2-1: Canal e SSID O primeiro campo da figura A.2-1, especifica o SSID (um nome para a rede), o campo logo abaixo se refere a opo do possvel broadcast do SSID para os clientes da rede wireless. Esta opo deve ser avaliada com cautela antes de se optar por deix -la habilitada conforme o padro. Caso, a rede wireless tenha clientes (estaes) fixos e previamente conhecidos, ser interessante desabilitar a opo e configurar todos os clientes manualmente, pois o conhecimento do SSID, apesar de no ser um fator primordial para uma invaso, um primeiro passo para se invadir este tipo de rede. Contudo, existem situaes em que ser indicado habilitar esta funo, como em redes pblicas em geral. Neste caso, como no se conhece o cliente que estar acessando a rede, o envio automtico do SSID facilitar o gerenciamento da rede.

Segurana em Redes Wireless 802.11

31 de 38

CBPF-NT-002/04 O campo Wireless Mode indica que este AP est preparado para se associar a estaes que sejam do padro 802.11b ou 802.11g. Dentro desta opo pode-se ainda escolher por apenas um dos padres. O campo Transmission Rate determina que a taxa de transmisso est configurada para ser automtica, ento o AP e a estao conectada estabelecero a que taxa iro transmitir. Opo bastante razovel, visto que este AP pode associar-se com os padres 802.11b (taxa mxima 11Mbps) e 802.11g (taxa mxima 54Mbps) ao mesmo tempo. O campo Channel especifica qual ser o canal de freqncia para transmisso. importante lembrar que o mesmo canal que estiver configurado o AP ter que estar configurada as estaes. Atualmente existem softwares que buscam automaticamente os canais disponveis para as estaes se conectarem. Contudo, se existirem redes que estejam disponveis em canais diferentes, ter que ser feita a escolha de um canal para quela interface de rede.

Figura A.2-2: WEP O primeiro campo da figura A.2-2 especifica o nvel de criptografia se o WEP for ativado. Recomenda-se o uso de 128 bits, pois dificultar um ataque passivo de escuta. Deve-se lembrar que as estaes tero que estar configuradas com o mesmo nvel de criptografia dos APs, caso contrrio, as estaes no conseguiro se associar aos APs. O campo passphrase responsvel por gerar as chaves: Key 1, Key 2, Key 3 e Key 4 atravs de uma palavra que colocada no prprio campo. A insero das

32 de 38

Segurana em Redes Wireless 802.11

CBPF-NT-002/04 chaves tambm poder ser manual. Novamente, com o WEP ativado, as chaves tero que ser idnticas no AP e nas estaes.

Figura A.2-3: WPA Quando se deseja aumentar o nvel de segurana, o WPA uma boa opo. O campo Cypher suite da figura A.2-3 especifica o TKIP como opo de segurana, que certamente mais indicado do que WEP. O campo Authentication mostra duas opes: 802.1X e chave prcompartilhada. A primeira opo necessita de um servidor de autenticao como o RADIUS, j a segunda no. Assim como no WEP, neste caso, pode-se colocar a chave pr-compartilhada atravs do passphrase ou em dgitos hexadecimais. O campo Group Key Re_Keying especifica o tempo em que ser mantida a mesma chave: por segundo, por quantidade de dados (pacotes) ou nunca mudar a chave.

Figura A.2-4: Tabela do Filtro de Endereo MAC

Segurana em Redes Wireless 802.11

33 de 38

CBPF-NT-002/04 Uma opo importante que tambm poder ser utilizada como complemento a segurana o Filtro de Endereo MAC. Na tabela, mostrada pela figura A.2-4 so colocados os endereos MAC de estaes que podero se conectar a rede, ento somente os endereos MAC relacionados na lista podero associar-se ao AP. O nmero mximo de estaes na lista do filtro de endereo MAC varia dependendo do AP. Assim como no caso do SSID, em uma rede pblica, o filtro de endereo MAC dificilmente ser uma soluo.

Figura A.2-4: 802.1X A configurao que assegura a autenticao das estaes, ou seja, a que afirma que as estaes que esto conectadas possam estar conectadas tratada pelo 802.1X. Este mtodo o mais comum para este tipo de autenticao e feito atravs de um Servidor RADIUS. Na figura A.2-4, o campo Session Idle Timeout especifica o tempo que uma sesso ser colocada como inativa antes de ser terminada. O campo Re-Authentication Period estabelece por quanto tempo uma estao ficar autenticada at que tenha que fazer uma nova autenticao. O campo Quiet Period estabelece o tempo que o AP ir esperar aps a falha de uma autenticao at uma nova tentativa. Os parmetros do Servidor RADIUS se referem ao IP do servidor e a porta de comunicao do AP com o servidor para a autenticao das estaes clientes.

34 de 38

Segurana em Redes Wireless 802.11

CBPF-NT-002/04

Glossrio
AES Advanced Encryption Algoritmo de criptografia selecionado pelo grupo Standard elaborador do IEEE 802.11i para fornecer uma segurana robusta em redes wireless . AP Access Point Atacante Dispositivo que garante um ponto de acesso a rede cabeada para estaes da rede wireless . Pessoa mal intencionada que lana ataques a uma rede com o intuito de invadi-la ou simplesmente causar a paralisao da prpria rede. Dispositivo de rede que filtra os dados que interessam ao segmento de rede em que a bridge estiver instalada. Envio de mensagem para todas as estaes de uma rede. Topologia mais bsica de uma rede wireless. Consiste de vrios hosts com um access point interligando-os. Mensagem eletrnica que verifica a identidade do usurio e que pode ser utilizado para codificar dados transmitidos. A mensagem enviada codificada com uma chave privada, o receptor decodifica a mensagem com a chave pblica enviada. A chave de codificao pblica/privada assimtrica, logo o dado codificado com a chave privada s poder ser decodificado com a chave pblica e viceversa. Tcnica de embaralhar os dados transmitidos no intuito de manter a privacidade. Algoritmo de criptografia utilizado para proteger os dados quando transmitido atravs de redes inseguras. Ataque de negao de servio. O atacante tenta paralisar o funcionamento da rede. Este ataque tambm conhecido como Jamming. Um dos dois tipos de spread spectrum , uma tecnologia de transmisso. O sinal espalhado pelo espectro, adicionando-se bits de dados redundantes chamados chips . Protocolo geral para autenticao, podendo utilizar inmeros mtodos de autenticao, como servidores RADIUS. Protocolo de Segurana no Encapsulamento, prov privacidade e proteo contra modificaes maliciosas.

Bridge Broadcast BSS Basic Service Set Certificado Digital

Criptografia DES Data Encrytion Standard DoS Denial of Service

DSSS Direct- Sequence Spread Spectrum

EAP E xtensible Authentication Protocol ESP Encapsulating Security Protocol

ESS E xtended Service Set Conjunto de BSSs, que normalmente so interligados por uma rede cabeada.

Segurana em Redes Wireless 802.11

35 de 38

CBPF-NT-002/04

FHSS Frequency- Hopping Um dos dois tipos de spread spectrum , uma tecnologia Spread Spectrum de transmisso. O sinal modulado por uma portadora que oscila sua freqncia de forma aleatria mais previsvel. Gateway VPN Hub IEEE Institute of Electrical and Electronics Engineers Porta de comunicao com um dispositivo VPN. Dispositivo de rede semelhante a um repetidor, porm com mais de uma porta de sada. Instituto formado em 1884, composto por engenheiros, estudantes e pesquisadores. Tem como principal funo desenvolver padres nas reas de engenharia e informtica. Protocolo de Segurana da Internet, suporta troca segura de pacotes. Sua utilizao comum em aplicaes de VPN. Ver DoS. Endereo fsico de um dispositivo de rede. Instituto de Tecnologia de Massachusetts. Placa com circuito impresso ou carto que instalada ao computador para fornecer conectividade entre o computador e a rede. Computador compacto e porttil. Autenticao na qual o cliente no precisa conhecer a identidade da rede (SSID) para se conectar. Associao responsvel pela criao de dispositivos pequenos e finos chamados de PC Cards, normalmente utilizados em laptops. Dispositivo porttil que une caractersticas de PC, Internet e rede. Protocolo utilizado para comunicao entre dispositivo de acesso remoto e um servidor de autenticao. Um servidor rodando autenticao RADIUS usualmente chamado de Servidor RADIUS. Algoritmo de criptografia que utiliza um vetor de inicializao de 28 bits e uma chave secreta compartilhada de 40 ou 104 bits. Software que coleta dados do trfego da rede para posterior anlise.

IPsec Internet Protocol Security Jamming MAC Media Access Control MIT Massachusetts Institute of Technology NIC Network Interface Card Notebook NULL Authentication PCMCIA Personal Computer Memory Card International A ssociation PDA Personal Digital Assistant RADIUS Remote A ccess Dial-in User Service

RC4

Sniffer

36 de 38

Segurana em Redes Wireless 802.11

CBPF-NT-002/04

SSID Service Set Identifier Identificador de at 32 caracteres presente no cabealho de cada pacote transmitido na rede wireless , que funciona como senha quando um cliente tenta se conectar a um BSS. String TKIP T emporal Key Integrity Protocol VPN V irtual Private Network WEP W ired Equivalent Privacy Wi-fi Wireless Fidelity WLAN W ireless Local Area Network WPA W i-Fi Protected Access Varivel que armazena caracteres. Tipo de protocolo de segurana que utiliza chaves temporrias de criptografia. Rede Privada Virtual. Rede de comunicao privada estabelecida sobre uma rede pblica. Protocolo de segurana definido no padro 802.11 que tem como finalidade fornecer o mesmo nvel de segurana presente em redes cabeadas. Sigla que faz uma referncia genrica a rede wireless do padro 802.11. Tipo de rede local que utiliza ondas eletromagnticas de alta freqncia para comunicao entre estaes. Padro desenvolvido pela Wi-Fi Alliance para melhorar a segurana do WEP. Foi criado para funcionar em redes existentes que utilizem o WEP, sendo necessrio somente uma atualizao de software.

Segurana em Redes Wireless 802.11

37 de 38

CBPF-NT-002/04

Referncias Bibliogrficas
[1] Karygiannis, T. e Owens, L. Wireless Network Security. 802.11, Bluetooth TM and Handheld Devices , Special Publication 800-48. NIST National Institute of Standards and Technology. [2] CWNA - Certified Wireless Network AdministratorT M. Official Study Guide. [3] Building Secure Wireless Networks. How Atheros Defines Wireless Network , Security Today And In The Future. Atheros Communications. [4] Barcelos, J.P.M. e Gonalves, R.G. e Alves Jr., N. O Padro 802.11. Nota Tcnica CBPF-NT-003/03. [5] Klein, M. Wireless Network Security. Executive Briefing. Interlink Networks. [6] Alves Jr., N. e da Silva, S. L. P. Introduo s Redes Wireless. Nota Tcnica CBPF-NT-003/02. [7] Maxim, M. e Pollino, D. Wireless Security. Captulo 2 Wireless Threats. McGrawHill Companies.

38 de 38

Segurana em Redes Wireless 802.11