TP 6 : Wifi Sécurité

Transcription

1 TP 6 : Wifi Sécurité Ce TP fait appel à plusieurs outils logiciels et documents, la plupart d'entre eux sont déjà installés avec l'icône sur le bureau. Dans le cas contraire, vérifiez que le programme soit bien installé, sinon vous le trouverez dans le répertoire "Outils d'analyse" ou sur le serveur ftp de l école ( ). Le rapport du TP, donnera une synthèse de tous les éléments abordés et en particulier à l étape 3. Veuillez indiquer les informations suivantes : Binôme Nom Station ou PC Page 1 sur 7

2 Etape 1. Points d'accès Configurez le routeur et les deux PA conformément au schéma ci-dessus. L'adresse d entrée Internet du routeur est en mode DHCP fournie par la liaison Internet. Serveur Active directory Serveur DNS Serveur radius Serveur de certificats Accès internet (école) Routeur dlink PA Routeur Linksys PA PC carte linnkys PC carte orinoco Matériels : 2 routeurs Wifi Linksys WRT54G et un DLINK Une machine serveur windows 2003 en partie pré-installée. 1 postes PC Windows XP avec carte WiFi Lynksys 1 poste PC Windows XP avec carte Proxim Orinoco Seul le routeur PA1 est utilisé avec une connexion Internet, l autres routeur est utilisés comme simple point d accès et raccordé au PA1 sur la connexion LAN. Les adresses IP de connexion à Internet sont : Passerelle DNS Page 2 sur 7

3 Voir le document joint pour la configuration du routeur. Le proxy http-proxy.efrei.fr port 3128 Les adresses IP LAN des PA 1 et PA2 sont fixes pour PA pour PA2 DHCP des clients radio dans les premières étapes. SSID : EFREI1, EFREI2 Canal 6/11 (respectivement pour chaque PA) Pas de cryptage de données Diffusion SSID autorisée. Test : Sans mise en place sécurité Poste 1 Carte Orinoco (Antenne extérieure): Vérifiez la connectivité wifi, et la connexion Internet sur l école. Poste 2 Carte Linksys: Vérifiez la connectivité wifi, et la connexion Internet. Identifiez le SSID avec Netstumbler, relevez les canaux, et le niveau de chacun des signaux Avec Superscan4, recherchez dans l'adresse IP qui vous a été affectée, l'adresse IP du poste confiant en scannant la plage du sous-réseau pour trouver son adresse IP (vérifiez ensuite avec ipconfig) Avec l'option Tools de Superscan4, trouvez son nom et "Pingez "son adresse IP Lancer ethereal pour analyser l activité réseau. Test : Sécurisation de la voie radio du PA Filtrage MAC Trouvez la fonctionnalité qui permet de filtrer les adresses MAC : Autorisez l'adresse MAC d une carte réseau, et interdire l adresse de l autre poste. Page 3 sur 7

4 Vérifiez le fonctionnement. Puis supprimer ce filtrage relativement facilement contrable. Cryptage de la liaison radio WEP WAP Reprenez la configuration d un point 'accès. Restez en DHCP et installez une clé WEP 40 bits hexadécimaux à inscrire directement, ou en utilisant le générateur automatique de clé. Faire les essais de connexion. La seule parade à cette protection est un analyseur décrypteur de clé WEP, (Airsnort, WEP-Cracker). Les versions proposées pour Windows ne sont pas convaincantes, par contre ces outils fonctionnent parfaitement bien avec Linux. Vous pourrez les essayer ultérieurement, sur votre matériel personnel. Mettez cette protection en place sur le poste confiant avec une clé partagée avec le PA, acceptez les paramètres par défaut et validez la connexion. Puis faire des essais de sécurisation par WPA PSK. WPA avec Authentification EAP. Vous allez mettre en place, un procédé d authentification utilisateur avec un serveur RADIUS. Plusieurs types de serveurs sont possibles, on pourra par exemple utiliser : serveur 2003 (IAS). Serveur FreeRadius sous Linux Serveur ODYSSEY sous Windows 2000 Dans le cadre de ce TP, on utilisera un serveur radius dans un contexte windows, pour cela on suivra la méthode donnée en cours, avec un serveur Active Directory. Pour mettre en place de type de solution Il y a quatre étapes principales à respecter : Installation du serveur (Déjà fait) Installation d un autorité de certification, ou récupération d un certificat serveur et certificat client (clé privée et clé publique) (Déjà fait) Configuration de la base de données client ( Afaire configuration d un client voir la procédure donnée en annexe) Configuration de l adaptateur client et du point d accès ( Voir le document donné en annexe). La procédure complète est donnée en annexe. Page 4 sur 7

5 Le serveur 2003 aura ces composants pré-installés, faire une vérification de ces composants et ajouter/configurer éventuellement les éléments complémentaires. Le document SecuriteWifiImplementation.pdf donner la procédure complète pour mettre en place cette dernière partie. Configuration du poste client Voir le document donné en annexe. Point d accés Le point d accès à utiliser est le router linksys, le configurer en WPA (tkip) avec serveur radius On effectuera une capture des trames qui transitent, on fera en particulier une étude sur les trames radius. TEST : Analyse de réseau ou d audit Etudes des faiblesses des postes : Installer puis lancer MBSA sur le poste serveur, le logiciel de microsoft qui permet de faire scanning de sécurité, d autre logiciels existe en particulier nessus sous windows et linux. Lorsque vous Lancer MBSA, dans les options inhiber la recherche des mises à jour de sécurité. Ces outils peuvent être utilisés à distance pour observer et attaquer votre poste. Pour prévenir de telles attaques pouvant venir aussi bien du réseau sans fil que du réseau câblé, un pare-feu local et un antivirus sont la protection minimale, qui s'impose Installer la version de nessus pour windows (TenableNeWT). On lancera ses divers outils pour faire une analyse des points faibles, on regardera en particulier nessus en lançant dans un premier temps avec toutes les options puis en activant les recherches mais de façon plus pertinantes. Page 5 sur 7

6 Annexes Configuration des Points d accès Dans le menu Configuration de base de PA1 : Automatic Configuration DHCP Exemple de configuration attribuée par le serveur (DNS/DHCP) du laboratoire au PA1 pour le port WAN. IP Address locale DNS Configuration locale du PA1 Host Name PA1 Domain Name MTU IP Address Start IP Address End IP Address Configuration de base de PA2 : Static IP Internet IP Address Exemple Default Gateway DNS DNS IP Address Start IP Address End IP Address Page 6 sur 7

7 Configuration pour la partie EAP. Partie I Le point d accès Vérifier que vous avez bien enlever le filtre sur l adresse mac, puis configurer le point d accès (sécurité wifi) en WPA, et mettre dans l adresse du serveur radius l adresse du serveur 2003 ( ), avec la clé «lavie». Vous pouvez dans la console sur le serveur 2003, reconfigurer la clé dans la partie radius. Partie II Côté serveur 2003 Sur le poste serveur 2003, en utilisant la console1.msc du bureau, créer un utilisateur à votre nom. Puis cliquez droit sur l utilisateur pour avoir les propriétés de l utilisateur, puis cliquez sur l onglet «Appel entrant», cocher la case autoriser l accès. Puis le faire appartenir au groupe groupewifi. Partie III Côté client. Sur le poste équipé de la carte Orinoco, le connecter en filaire sur le port Lan du PA, lui faire rejoindre le domaine si cela n est pas déjà effectué ( dans la configuration de la carte réseau ne pas oublier de changer l adresse du DNS et mettre l adresse du serveur de domaine, le serveur 2003, adresse à vérifier). Puis rebooter. Partie IV Côté client Configurer la carte réseau wifi (orinoco), conformément au document wifiimplémentation.pdf Partie V Côté client Se loger sur le domaine avec le nom d utilisateur créé. Puis effectuer la partie côté client, partie données d authentification, voir le document wifiimplementation.pdf ou mis à disposition sur le table. Partie VI Côté client Se déloger, déconnecter le câble, se reloger avec le nom utilisateur du domaine la connexion de la carte sans fil va s effectuer avec authentification, et à partir de la vous êtes sur le domaine. Si vous ne pouvez accéder au contrôleur de domaine et vous avez un message d erreur laisser se terminer le login, essayer une connexion manuelle. Page 7 sur 7