Korzystanie z szyfrowania WEP (ang. Wired Equivalent Privacy) w standardzie IEEE 802.11 może zapobiec nieuprawnionemu przechwyceniu danych przekazywanych bezprzewodowo. Szyfrowanie WEP zapewnia zabezpieczenia na dwóch poziomach: za pomocą klucza 64-bitowego (czasami określanego jako klucz 40-bitowy) lub klucza 128-bitowego (określanego również jako 104-bitowy). Wyższy poziom bezpieczeństwa zapewnia klucz 128-bitowy. Jeśli używane jest szyfrowanie, wszystkie urządzenia bezprzewodowe w sieci bezprzewodowej muszą korzystać z tych samych kluczy szyfrowania.
Szyfrowanie WEP (Wired Equivalent Privacy) i udostępniane uwierzytelnianie służy do zabezpieczania danych w sieci. W szyfrowaniu WEP dane są przed wysyłaniem szyfrowane za pomocą klucza szyfrowania. Uzyskiwanie dostępu do sieci oraz odszyfrowywanie zaszyfrowanych danych jest możliwe tylko w przypadku komputerów z tym samym kluczem szyfrowania. Uwierzytelnianie jest dodatkowym procesem sprawdzania połączenia między kartą i punktem dostępu.
Algorytm szyfrowania WEP jest podatny na pasywne i aktywne ataki sieciowe. Algorytmy TKIP i CKIP zawierają ulepszenia protokołu WEP, które zmniejszają niebezpieczeństwo ataków i eliminują niektóre niedociągnięcia.
Istnieją dwie metody uwierzytelniania w sieci IEEE 802.11: system otwarty i klucz udostępniany.
Jak działa uwierzytelnianie w standardzie 802.1x
Funkcje 802.1x
Uwierzytelnianie w standardzie 802.1x jest niezależne od procesu uwierzytelniania, w standardzie 802.11. Standard 802.1x zapewnia strukturę dla różnych protokołów uwierzytelniania i zarządzania kluczami. Istnieją różne typy uwierzytelniania w standardzie 802.1x, a każdy z nich zapewnia inny sposób uwierzytelniania przy zastosowaniu tego samego protokołu 802.1x i struktury komunikacji między klientem i punktem dostępu. W przypadku większości protokołów, bezpośrednio po zakończeniu procesu uwierzytelniania, w standardzie 802.1x komputer uwierzytelniany otrzymuje klucz szyfrowania danych. Więcej informacji na ten temat można znaleźć w sekcji Jak działa uwierzytelnianie w standardzie 802.1x. W przypadku uwierzytelniania, w standardzie 802.1x stosuje się metodę uwierzytelniania, między klientem i serwerem RADIUS (Remote Authentication Dial-In User Service), podłączonym do punktu dostępu. W procesie uwierzytelniania używane są poświadczenia (np. hasło użytkownika), które nie są przesyłane w sieci bezprzewodowej. Większość typów sieci, w standardzie 802.1x obsługuje dynamiczne klucze, przydzielane określonym użytkownikom, dla określonych sesji, dzięki czemu klucze statyczne zapewniają wyższy poziom zabezpieczeń. W protokole 802.1x stosowany jest istniejący protokół uwierzytelniania EAP (Extensible Authentication Protocol).
Uwierzytelnianie w standardzie 802.1x, dla bezprzewodowych sieci LAN, odbywa się z udziałem trzech elementów:
Żądanie uwierzytelnienia jest inicjowane przez funkcję uwierzytelniania 802.1x, w punkcie dostępu, w którym następnie klient sieci bezprzewodowej jest uwierzytelniany na serwerze RADIUS (zgodnym z protokołem EAP). Na serwerze RADIUS może być uwierzytelniany użytkownik (za pomocą haseł lub certyfikatów) lub komputer (za pomocą adresu MAC). Teoretycznie klient sieci bezprzewodowej nie może uzyskać połączenia z siecią przed zakończeniem transakcji.
W standardzie 802.1x używanych jest kilka algorytmów uwierzytelniania. Niektóre przykłady: EAP-TLS, EAP-TTLS i PEAP. Wszystkie te metody służą do identyfikacji klienta sieci bezprzewodowej na serwerze RADIUS. W przypadku uwierzytelniania na serwerze RADIUS tożsamość użytkowników jest sprawdzana w oparciu o bazy danych. RADIUS stanowi zestaw standardów dotyczących uwierzytelniania, autoryzacji i obsługi kont (AAA). W skład usługi RADIUS wchodzi proces pośredni stosowany do sprawdzania klientów w środowisku wielu serwerów. Standard IEEE 802.1x jest używany do kontroli dostępu i uwierzytelniania, podczas uzyskiwania dostępu do sieci bezprzewodowych korzystających z portów 802.11 oraz sieci przewodowych Ethernet. Kontrola dostępu do sieci w oparciu o porty jest podobna do infrastruktury sieci lokalnej (LAN), gdzie uwierzytelniane są urządzenia przyłączane do portów LAN, a jeśli uwierzytelnianie nie powiedzie się, dostęp do portów jest blokowany.
Usługa RADIUS to protokół klient-serwer używany do autoryzacji, uwierzytelniania i zarządzania kontami (AAA) podczas logowania i wylogowywania klientów dial-up z serwera dostępu do sieci. Zwykle serwer RADIUS stosowany jest przez dostawców usług internetowych do zadań związanych z autoryzacją, uwierzytelnianiem i zarządzaniem kontami. Fazy uwierzytelniania, autoryzacji i zarządzania kontem wyglądają następująco:
Uproszczony opis uwierzytelniania w standardzie 802.1x:
Dostęp zabezpieczony Wi-Fi (WPA i WPA2) to udoskonalenie zabezpieczeń, znacznie zwiększające poziom ochrony danych i kontrolę dostępu do sieci bezprzewodowej. Tryb WPA wymusza uwierzytelnianie i wymianę kluczy w standardzie 802.1x oraz działa tylko z użyciem dynamicznych kluczy szyfrowania. Aby podnieść poziom szyfrowania danych, w trybie WPA używany jest protokół TKIP (Temporal Key Integrity Protocol). W protokole TKIP zastosowano ważne ulepszenia dotyczące szyfrowania danych —na przykład funkcję mieszania kluczy dla poszczególnych pakietów, kontrolę integralności wiadomości (ang. message integrity check, MIC) nazywaną Michael, rozszerzony wektor inicjujący (IV) z regułami sekwencji oraz mechanizm ponownego wprowadzania klucza. Dzięki tym ulepszeniom protokół TKIP zabezpiecza znane słabe punkty szyfrowania WEP.
Standard WPA drugiej generacji, zgodny ze specyfikacją IEEE TGi, jest znany jako WPA2.
Tryb korporacyjny: W trybie korporacyjnym użytkownicy sieci są weryfikowani przez serwer RADIUS lub inny serwer uwierzytelniania. W szyfrowaniu WPA używane są 128-bitowe klucze szyfrowania i dynamiczne klucze sesji, zapewniające bezpieczeństwo w sieci bezprzewodowej firmy. Tryb korporacyjny jest przeznaczony dla środowisk korporacyjnych i rządowych.
Tryb indywidualny: Dla trybu indywidualnego wymagane jest ręczne skonfigurowanie klucza wstępnego (PSK) w punktach dostępu i na klientach. Klucz PSK służy do uwierzytelniania przy użyciu hasła lub kodu identyfikacyjnego w stacji klienta i punkcie dostępu. Serwer uwierzytelniania nie jest potrzebny. Tryb indywidualny jest przeznaczony dla środowisk domowych i małych firm.
WPA (korporacyjne) i WPA2 (korporacyjne): Zapewnia ten poziom bezpieczeństwa w sieciach korporacyjnych z serwerem RADIUS 802.1x. Wybierany typ uwierzytelniania musi być zgodny z protokołem uwierzytelniania serwera 802.1x.
WPA (indywidualne) i WPA2 (indywidualne): Zapewnia ten poziom zabezpieczeń w małych sieciach lub środowisku domowym. W tym trybie używane jest hasło zwane również kluczem wstępnym (PSK). Im dłuższe jest to hasło, tym lepiej zabezpieczona zostaje sieć bezprzewodowa. Jeśli tryb WPA (indywidualne) i WPA2 (indywidualne) jest obsługiwany przez punkt dostępu lub router sieci bezprzewodowej, należy go włączyć i ustawić długie, silne hasło. Hasło wprowadzone dla punktu dostępu musi być używane również na danym komputerze i wszystkich urządzeniach bezprzewodowych, uzyskujących dostęp do danej sieci.
UWAGA: Tryby WPA (indywidualne) i WPA2 (indywidualne) nie współdziałają ze sobą.
AES-CCMP - (Advanced Encryption Standard - Counter CBC-MAC Protocol) Jest to nowa metoda ochrony prywatności transmisji bezprzewodowej określona w normie IEEE 802.11i. AES-CCMP zapewnia skuteczniejszą metodę szyfrowania niż TKIP. AES-CCMP należy wybrać jako metodę szyfrowania danych, gdy istotny jest wysoki poziom ochrony danych.
UWAGA: Niektóre rozwiązania zabezpieczeń mogą nie być obsługiwane przez zainstalowany system operacyjny i mogą wymagać instalacji dodatkowego oprogramowania i/lub pewnych urządzeń, a także wsparcia infrastruktury sieci bezprzewodowej LAN. Szczegóły można uzyskać u producenta komputera.
TKIP (Temporal Key Integrity Protocol) jest udoskonaleniem zabezpieczeń WEP (Wired Equivalent Privacy). TKIP udostępnia mieszanie kluczy przed wysłaniem pakietu, kontrolę integralności wiadomości i mechanizm ponownego wprowadzania klucza, w ten sposób eliminując wszelkie wady protokołu WEP.
MD5 (Message Digest 5) to metoda jednokierunkowego uwierzytelniania przy użyciu nazw użytkowników i haseł. Metoda ta nie obsługuje zarządzania kluczami, niemniej do szyfrowania danych wymagany jest prekonfigurowany klucz. Metodę tę można bezpiecznie wdrażać w przypadku uwierzytelniania bezprzewodowego dla metod tunelowych EAP.
Typ metody uwierzytelniania, w którym używany jest protokół EAP i protokół zabezpieczeń TLS (Transport Layer Security). W metodzie EAP-TLS używane są certyfikaty z hasłami. W Uwierzytelnianiu EAP-TLS obsługiwane jest zarządzanie kluczami dynamicznymi WEP. Protokół TLS jest przeznaczony do zabezpieczania i uwierzytelniania komunikacji w sieciach publicznych przez szyfrowanie danych. Protokół uzgadniania TLS pozwala serwerowi i klientowi na wzajemne uwierzytelnianie i negocjowanie algorytmu szyfrowania oraz kluczy kryptograficznych przed rozpoczęciem transmisji danych.
Te ustawienia określają protokół i poświadczenia używane do uwierzytelniania użytkownika. W przypadku usługi TTLS klient korzysta z usługi EAP-TLS w celu sprawdzenia serwera i utworzenia między klientem a serwerem kanału zaszyfrowanego metodą TLS. Aby możliwe było sprawdzanie serwera, klient może w odniesieniu do tego kanału korzystać z innych protokołów uwierzytelniania (zwykle protokołów obsługujących hasła, np. MD5 Challenge). Pakiety żądania i odpowiedzi wysyłane są przez ukryty kanał zaszyfrowany metodą TLS. Aktualne implementacje TTLS obsługują wszystkie metody określone w protokole EAP oraz kilka starszych metod (PAP, CHAP, MS-CHAP i MS-CHAPv2). TTLS można łatwo rozszerzyć do współpracy z nowymi protokołami poprzez zdefiniowanie nowych atrybutów obsługujących nowe protokoły.
PEAP to nowy typ uwierzytelniania, przy użyciu protokołu EAP IEEE 802.1x, zaprojektowany w celu wykorzystania usługi EAP-TLS, po stronie serwera i obsługi różnych metod uwierzytelniania (np. przy użyciu haseł użytkownika, haseł jednorazowych lub kart GTC).
Protokół Cisco LEAP (Cisco Light EAP) umożliwia uwierzytelnianie serwera i klienta w standardzie 802.1x, za pomocą podawanego przez użytkownika hasła logowania. Kiedy punkt dostępu do sieci bezprzewodowej łączy się z serwerem RADIUS z włączoną obsługą protokołu LEAP (Cisco), protokół ten zapewnia kontrolę dostępu przez wzajemne uwierzytelnianie między kartami sieci bezprzewodowej klienta i siecią bezprzewodową, a także indywidualne dynamiczne klucze szyfrowania, umożliwiające zachowanie prywatności przesyłanych danych.
Funkcja Cisco Rogue AP zapewnia zabezpieczenie przeciwko wprowadzeniu nielegalnego punktu dostępu, imitującego działanie punktu uprawnionego w celu złamania zabezpieczeń przez przejęcie informacji dotyczących poświadczeń użytkownika i protokołów uwierzytelniania. Funkcja ta działa tylko wtedy, gdy używany jest protokół LEAP (Cisco). Standardowa technologia 802.11 nie zabezpiecza sieci przed wprowadzeniem nielegalnego punktu dostępu. Więcej informacji na ten temat można znaleźć w rozdziale Uwierzytelnianie LEAP.
Po skonfigurowaniu sieci bezprzewodowej LAN na potrzeby szybkiego ponownego łączenia urządzenie klienta z obsługą protokołu LEAP może być przemieszczane między punktami dostępu bez konieczności angażowania serwera głównego. Punkt dostępu skonfigurowany do udostępniania usług WDS i korzystający ze scentralizowanego zarządzania kluczami Cisco (CCKM), zastępuje serwer RADIUS — i umożliwia uwierzytelnianie klienta, bez widocznego opóźnienia, w przypadku aplikacji głosowych i innych, w których ważny jest czas.
Protokół Cisco Key Integrity Protocol (CKIP) to własny protokół zabezpieczeń firmy Cisco, stosowany do szyfrowania w standardzie 802.11. W protokole CKIP używane są następujące funkcje zwiększające bezpieczeństwo sieci 802.11 w trybie Infrastruktura:
W niektórych punktach dostępu (np. Cisco 350 lub Cisco 1200) obsługiwane są środowiska, w których nie wszystkie stacje klientów obsługują szyfrowanie WEP. Jest to tzw. tryb mieszanej sieci komórkowej. Gdy sieć bezprzewodowa działa w trybie szyfrowania opcjonalnego, stacje klientów dołączane do sieci w trybie WEP wysyłają wszystkie komunikaty w postaci zaszyfrowanej, a stacje w trybie standardowym wysyłają wszystkie komunikaty w postaci niezaszyfrowanej. Punkty dostępu emitują sygnały o braku szyfrowania, ale klienci mogą być dołączani w trybie szyfrowania WEP. Jeśli w profilu włączono opcję mieszanej sieci komórkowej, można podłączać komputery do punktów dostępu skonfigurowanych do szyfrowania opcjonalnego.
W przypadku trybu EAP-FAST (tak jak w przypadku trybów EAP-TTLS i PEAP) ruch w sieci jest zabezpieczany przy użyciu tunelowania. Główna różnica polega na tym, że w przypadku trybu EAP-FAST do uwierzytelniania nie używa się certyfikatów. Podawanie poświadczeń EAP-FAST jest negocjowane wyłącznie przez klienta podczas pierwszej wymiany danych, gdy tryb EAP-FAST jest żądany na serwerze. Jeśli klient nie dysponuje tajnymi wstępnymi poświadczeniami dostępu zabezpieczonego (PAC), może zainicjować wymianę EAP-FAST i uzyskać je z serwera w trybie dynamicznym.
Istnieją dwie metody podawania poświadczeń dostępu zabezpieczonego w trybie EAP-FAST: podawanie ręczne (przez pozapasmowy mechanizm zabezpieczeń) i podawanie automatyczne.
Metoda EAP-FAST składa się z dwóch etapów: podanie poświadczeń i uwierzytelnienie. Etap pierwszy polega na dostarczeniu poświadczeń dostępu zabezpieczonego do klienta. Przeprowadzenie tej czynności jest wymagane tylko raz dla klienta i użytkownika.
W niektórych punktach dostępu (np. Cisco 350 lub Cisco 1200) obsługiwane są środowiska, w których nie wszystkie stacje klientów obsługują szyfrowanie WEP. Jest to tzw. tryb mieszanej sieci komórkowej. Gdy sieć bezprzewodowa działa w trybie szyfrowania opcjonalnego, stacje klientów dołączane do sieci w trybie WEP wysyłają wszystkie komunikaty w postaci zaszyfrowanej, a stacje w trybie standardowym wysyłają wszystkie komunikaty w postaci niezaszyfrowanej. Punkty dostępu emitują sygnały o braku szyfrowania, ale klienci mogą być dołączani w trybie szyfrowania WEP. Jeśli w profilu włączono opcję mieszanej sieci komórkowej, można podłączać komputery do punktów dostępu skonfigurowanych do szyfrowania opcjonalnego.
Po włączeniu tej funkcji za pomocą karty sieci bezprzewodowej można uzyskiwać informacje o zarządzaniu łącznością radiową infrastruktury Cisco. Jeśli dla infrastruktury używane jest narzędzie do zarządzania łącznością radiową Cisco, służy ono do konfigurowania parametrów łączności radiowej, a także do wykrywania zakłóceń i nielegalnych punktów dostępu.