#"!$% >#? 9@ " $: $A; 4% 6! " # $%!& $'()) $%!& *$$ $%!& *! # +$!",-./0112-+ 3456 $7 -/8 $+.,.,$9:$ ;,<=</.2,0+5;,/22.-...0
$ B & '()* B + **, + B ) *, B$+ B$"*-./011 B ++*) 2 B 3 *,'*+ B 4$% )56 B +7 B 37,+*87 B 7 B *))& $9 B * :+&) B:;+)7* $ B
%C) @$$$.,16// B $$$.,16// D 0= @ #>E 8FG @ E G BH*>CAI * 8 % E;JJKKK6KA@6 G C D1,,+!
" # $
# %
'( )! &
" #$$%&'()) %&'()) %&'())%&'())%&'()) %&'()) %&'()). %&'()) %&'()) * /01)'-. 2 1)'-. #3 ))-. +,-. +,-. *
4 Canal 1 2 3 4 5 6 7 8 9 10 11 12 13 14 Fréquence (GHz) 2.412 2.417 2.422 2.427 2.432 2.437 2.442 2.447 2.452 2.457 2.462 2.467 2.472 2.484 C)EC)G ;JJKKK6KK6 %JKLL@6 +
# ( - (.+/0,
5 $ 6 ( -1 23 23 '( -) 7 0 *'4/ 5 89 )'%.84: 9 1 ; ( 7 4<.! ( 7 = 6 ( 7 )'%.. 7. >? ( 7 / 5 $ 1 (0 4 @ A$( /
5 $1 7 5 $ *( $ * ( < 2;+$5) **+ )++++*8+) = 7 * B 8B 4 C D9 * %&'())( = #0 '= ( 4! 4... ( 7? 4 1%&'())(- 4 5.<. ( 7 / %&'()) 4 4 1%&'()(
C8>*A>*I C@ B C@?C$ B :.,16//5E@!1G % E 5G B @ 3 C$! EM;!?@>G B *%3%? B C @.,16// B?%! B )! F E & G
C;.,16/5J$@ BC) C) ; N.,16/5 *? N $!N *? * O# *$ Client (Supplicant) Access Point (Authenticator) Authentication Server 802.1x EAP!
C; @# *$ B 5# *$EP+,G B$ N$A2 N$A B@$ N $E 8 @8G N$A N$A B $ N A$E$G &* 4
C B.,16//5 C K1,,, <8C K78(/,6+85 B *? C%6 *? @.,16//56 B C@C78(/,6+8 5 %
C B *!.,16// N @! N %? N & &% * B &* %! %? &
@.,16// B C1 B @ ;*@ @!*!1 B @! E :A G$6 B!Q1,,< *?! Q % @$ *
+
$5 @/J1 >$ /...$?,
$5 @1J1 Authentication Type EAP-TLS PEAP-MS-CHAP v2 Certificates on Wireless Client Computer certificates User certificates Root CA certificates for issuers of IAS server computer certificates Root CA certificates for issuers of IAS server computer certificates Certificates on IAS Server Computer certificates Root CA certificates for issuers of wireless client computer and user certificates Computer certificates /
$5 Cisco ACS AAA server 0 0 483 9 WAN 4 43 8 E 5 9 AP2 AP1 Wireless Access Points ))&&F)'&& G+&0
Q ) B ) 5> C$ B 3 *! N C@& * N F C@ *?!E *>* *?& *G
1!
% &' ( $") &*+!"#$$ Application Présentation Session Transport Réseau Liaison Physique 4
,-.*/0+(1*2121--1-- %%,34--254-0' *+6 Internet Firewall DMZ Firewall Serveur sensible Lan %
&
*
#$%&'((! " *7 8 ) 9 8 *++,! -./-0./%1 (&$1 +
:1' ( ; 7 8 7 8 < 0 = 70,
))*"% B? @;! & *#?@& *! &*5! 6 E! R SG *01 $%&'(( 2 003 4 5. *+!/
B (E @!G >;@! N #? % 18<"FT6E@> U68 VG N " @E5;8UG&! *?!!6E * 66G N * *?R5S @6E@8! *UG!
7@8) * @A'3*'*B * : $A"( -./011:, )C$ 0!
))*:*: A) ) A$(:(%!$(D$( A *A(!*+ **7)*'E!" )F(%(%!$(GH 'E!"!I +J *: * )'*:!!
0 A H - 3 3 # 7 8 # $ 9 7 8 "88:!4
C)N % % % CiscoWorks WLSE Si Good AP Good AP WDS Rogue AP Rogue AP!%
&=,! ', ' -1-1-' ( *0!,, ' = 7 67 003 1 1 ' 5. + (&$1 +$%&'((89*0-3:0 ;< 0> = = 6 7 3 # +*< 5 = "!&
:; ( < 1!*
>4.# IJ'& 0*! %&'()). * (#.;. K 0- E5 2 ( 0 11EECCC(&)( E!+
C =01, B!# EG B $$$.,16/>E!)W)XG @% B "6=//8"6=//8 "6=10 A A E G B )% B F @% B B (!AA@K% %!@ EG! B! % @K Y %# F @% EFG B!#8A %8)8 H!,
3 B >& N 8!!! Q> N *@ %!E)8 FG8!!! & > N Z!! E )[1+3!1,,<G;!5>!N +22, B C@;*! * %>! 4/
@ C@ B % E% *&*G 1. 802.1X authentication in wireless today requires 3 end to end transactions with an overall transaction time of >500ms Cisco ACS AAA server WAN 2. 802.1X authentication in wireless today requires a roaming client to reauthenticate, incurring an additional 500+ ms to the roam AP2 AP1 4
@ B % >!EH G Email: Lowest data priority.,16// @! %>! 5C@ Video traffic: Second data priority Voice traffic: Highest data priority 4
B C@*!$5?3 * 6 $5; N! C@ *%! Y! *!! *6 B! %! C@ & @ *.,16//! *! $ 5 4!
44
B T * B T 8% C@ B TC$ B TC!) B! T @ % @ 5 % 4%
%&'()L 4'&&'>#$ $ $ %&'()L ; 1 > 8-9 4 D! M 4 4?>!I& -.E. '))K N8.G+ K N >$ 9( 0 11EEC C C(&)( EE')JJ+%( 4&
A O. PQ 4*
5 4+
# $ ',&&! ',+, )&& 5 )&& 5 ',+,! ',%G+ )&& 5 )& 5 8 ==;;> > > 05 0 ; 4,
*4 #$$$%&'()) 7 +/ 0.+,-. 8G&-.E9.+K N 7 A " 2/- 8" 2 * / 4-9 7 +/ 0.))-. 8L-.E9.',K N 7 A R 8 * R *9 7 %&'())=4 7 %&'())=4 7 +/ 0 = 448@ 0 9 ( * 84 9 7 +/ 0 = 4 #. ( 43 ( 7 +/ 0.8+,-.E 9.',K N4)'E& LE& G( 7 A " 2/- : %&'())( 7 %&'()) /208/* 2* 0 9=8= C 9 4 ( 7 +/ 0 = 4.',K N+ K N(3 5 $( 7 %&'())? 4 %&'()). + K N 7 +/ 0# 4 *3 $ ( 7 # O P O 3 0 P 4 %/
B' ) 1 '@7 A) B' ) 1 '@7 A) ) &)',, ',)' % &)''L ',,I ' &)',) ',)I J &)''G ',+' G &)'GJ ','' )& &)'') ',+I, &)'GL ','I )) &)')J ',L' + &)'G, ',G' )' &)')L ',LI L &)'G) ',GI )G &)'), ',I' I &)''J ',,' ), &)')) ',%, > 4 +/ 0 +/ 0 $ 8 8 8 8/ 0 0 0 9 > +/ 0?; S1 1 > 1 E8G&&&&&&&& E9 1 N %
«Les réseaux sans fil, quelle sécurité?» Intervenant : Jean-Marc CHARTRES (jmchartres@lexsi.com) - CLUSIR LYON Mars 2004 Le modèle OSI Par définition, un projet WiFi, couche 1et 2 est perçu comme un projet LAN 802.11 Application Présentation Session Transport Réseau Liaison Physique Chaque couche a ses propres vulnérabilités Unicité de la chaîne Vulnérabilités statiques pour chaque niveau Scénario de vulnérabilités Infrastructure, Info structure - CLUSIR LYON Mars 2004 1
SCHEMA D INFRASTRUCTURE SECURISEE Périmètre PHYSIQUE ET LOGIQUE d un WLAN? Internet Firewall DMZ Firewall Serveur sensible Lan - CLUSIR LYON Mars 2004 Domaines et niveaux de sécurité (exemple) - CLUSIR LYON Mars 2004 2
- CLUSIR LYON Mars 2004 Déroulement d accès à une cellule ( 802.11) Premier Accès - Ecoute passive - Ecoute active Phase d authentification Phase d association -échange d informations (capacité, position, synchronisation d horloge ) Accès aux ressources : Authentification par password Écoute clandestine : Le WEP (Wired Equivalent Privacy) Echange de données RC4 de RSA (Clé 40bits maintenant 128 bits) - CLUSIR LYON Mars 2004 3
Vulnérabilités & Risques des WiFi Borne, média, poste Liées aux normes : aux produits : à l introduction de ces technologies dans les réseaux d entreprise - CLUSIR LYON Mars 2004 La sécurité dans les WLANs Le problème du sans fil : Le milieu est partout Des prises de votre réseau sont mises à disposition pour toutes personnes disposant d un système sans fil à l intérieur voir à l extérieur de votre site. Cela crée beaucoup de tentations ( bornes visibles et poste «emportable») La Sécurité de base 802.11 (non mise en oeuvre!!!) SSID (nom du réseau par défaut! ) Filtrage d adresse MAC ( fastidieux!!..) Le WEP (pas vraiment gênant! ) - CLUSIR LYON Mars 2004 4
Les attaques : Refus de Service Ou (deni of service) Création de système radio générant du bruit dans la bande des 2,4GHz. (fréquence résonance eau., et donc du micro onde!!) Génération de trafic (ex : ICMP, ) à travers le point d accès vers un serveur. ( comme d habitude..) Installation d un Point d accès «malicieux» pour détourner le trafic. ( en fait, on évite la recherche d une prise ) - CLUSIR LYON Mars 2004 Les attaques : L écoute clandestine Un jeu : Le War Driving Quadrillage d'une ville avec un ordinateur portable ou un PDA, une carte 802.11b et une antenne externe un récepteur GPS pour la localisation. - CLUSIR LYON Mars 2004 5
Conclusions sur la sécurité de base des WLANs. L ensemble des fonctionnalités de sécurité offerte par le 802.11 sont faibles SSID : c est un nom de réseau. Filtrage des @MAC : on capture une @MAC. WEP : on utilise un logiciel pour casser le celui-ci Air--ort et We--rack Avec 500 Mo de données il faut selon la publicité, quelques secondes de calcul pour déchiffrer la clef - CLUSIR LYON Mars 2004 Utiliser la sécurité de base des bornes Désactiver les fonctions non utilisées DHCP, Interface Web, SNMP, TFTP, Diffusion du SSID, Mettre des mots de passe de qualité et du filtrage @MAC pour tous les services utilisés (WEB, TELNET, SNMP, ) Installer le filtrage @MAC Mettre à jour le firmware des bornes et des cartes Régler la puissance des bornes au plus juste - CLUSIR LYON Mars 2004 6
La sécurité WLAN avec le 802.1x Pour palier aux lacunes de sécurité du 802.11, l IEEE propose 802.1x qui est une architecture basée sur EAP (Extensible Authentication Protocol). But : Proposer un système d'authentification sécurisée Proposer une solution de gestion dynamique des clefs Moyens à mettre en œuvre : Serveur d'authentification (type Radius) Point d'accès supportant 802.1x Client spécial sur le poste à authentifier Protocoles existants : LEAP, EAP-TLS, EAP-TTLS, EAP-MD5, PEAP... Utilisation de mots de passe, certificats... - CLUSIR LYON Mars 2004 802.1x: Architecture et Nomenclature Les trois différents rôles dans le IEEE 802.1X: Supplicant, Authenticator et Authentication Server (AAA Server: EAP Server, généralement RADIUS). - CLUSIR LYON Mars 2004 7
Centralisation des @MAC sur un serveur radius Authentification : @MACx secret secret Radius @MAC1 secret @MAC2 secret.. @MAC1 @MAC2 - CLUSIR LYON Mars 2004 802.1x: Déploiement sécurisé Problématique Gérer l'hétérogénéité plate-formes Systèmes exploitations Cartes Authentification des utilisateurs Mots de passe Certificats Adresse Mac Sécuriser les échanges de données Chiffrement - CLUSIR LYON Mars 2004 8
Conclusion sur 802.1x 802.1x propose un meilleur niveau de sécurité mais : Incompatibilité matérielle et logicielle. Complexité de la configuration des postes clients Mots de passe et certificats à gérer Mise en œuvre difficile en environnement hétérogène. WEP => Wifi Protected Access (WPA) - CLUSIR LYON Mars 2004 SECURISER LES WIFI Identifier le projet envisagé En terme de risque sur le système.. En terme de risque sur les données.. Adapter l infra structure Protection physique des équipements et des sites. Configuration experte des solutions changer les paramètres par «défaut», SSID, broadcast balisage.. liste des adresses MAC autorisées Si besoin amélioration de la confidentialité et de l intégrité Activer le service WEP (128 bits) et gérer les clefs (chiffrement) Si besoin amélioration de l authentification Activer protocole EAP/TLS, RADIUS, VPN S appuyer sur une organisation rigoureuse Administration «secrète», Interdire l accès à l administration par le WLAN Maintenance et vigilance, contrôles et repérages - CLUSIR LYON Mars 2004 9
«Les réseaux sans fil, quelle sécurité?» Merci de votre attention - CLUSIR LYON Mars 2004 10