Wifi 2

506 vues

Publié le

0 commentaire
0 j’aime
Statistiques
Remarques
  • Soyez le premier à commenter

  • Soyez le premier à aimer ceci

Aucun téléchargement
Vues
Nombre de vues
506
Sur SlideShare
0
Issues des intégrations
0
Intégrations
9
Actions
Partages
0
Téléchargements
23
Commentaires
0
J’aime
0
Intégrations 0
Aucune incorporation

Aucune remarque pour cette diapositive

Wifi 2

  1. 1. S´curit´ des r´seaux sans fil e e e Matthieu Herrb CNRS-LAAS matthieu.herrb@laas.fr Septembre 2003 SIARS Toulouse 2003
  2. 2. Plan– La technologie sans fils– Faiblesses et Attaques– Architecture– S´curisation des postes clients e– S´curisation des points d’acc`s e e– Authentification des clients– S´curisation des ´changes e eSIARS Toulouse 2003 1
  3. 3. Introduction au Wifi Wireless Fidelity.Nouvelles familles de technologies pour la couche physique.Utilisent les ondes radio pour transporter le signal. Nom D´bit Max. e Fr´q. e Modulation Remarques IEEE802.11 2Mb/s 2.4 GHz FH IEEE802.11b 11Mb/s 2.4GHz DSSS IEEE802.11g 54Mb/s 2.4GHz OFDM IEEE802.11a 54Mb/s 5GHz OFDM Interdit en Europe HomeRF 2Mb/s ? ? Utilise le DECT HyperLAN 54Mb/s 5GHz OFDM Standard Europ´en e Bluetooth (IEEE802.15) 1Mb/s 2.4GHz ? Pas IPTechnique d’acc`s : CSMA/CA (Collision Avoidance) eSIARS Toulouse 2003 2
  4. 4. Principe d’un r´seau Wifi e station mobile Point d’acces Reseau local filaireSIARS Toulouse 2003 3
  5. 5. IEEE802.11b : canaux 5MHz Europe Etats−Unis, Canada Japon 1 2 3 4 5 6 7 8 9 10 11 12 13 14 2.400GHz 2.480GHz 2.455GHzEn France : r´glementation mise ` jour en juillet 2003 : e ahttp://www.art-telecom.fr/communiques/communiques/2003/index-c220703.htmhttp://www.art-telecom.fr/dossiers/rlan/puissances-2-4.htmSIARS Toulouse 2003 4
  6. 6. IEEE802.11b : BSSBasic Service SetUn ensemble de points d’acc`s et les stations mobiles associ´es. e eSSID : identificateur de r´seau - chaˆne de caract`res. e ı ePour joindre un r´seau Wifi, une station doit connaˆtre le BSSID du r´seau. e ı eFacile : il peut ˆtre broadcast´ p´riodiquement par les points d’acc`s. e e e e→ il suffit d’´couter pour d´couvrir les r´seaux disponibles. e e eWar Driving : cartographie des r´seaux Wifi accessibles. (Avec un portable et un eGPS).http://www.stumbler.net/index.php?cat=5http://www.dachb0den.com/projects/dstumbler.htmlUn point d’acc`s se comporte comme un HUB → ´coute du trafic possible. e eSIARS Toulouse 2003 5
  7. 7. WEPWired Equivalent Privacy.M´canisme de chiffrement du contenu des paquets Wifi. eAlgorithme ` cl´ secr`te : RC4 (40 ou 128 bits). a e ePrincipe : un mot de passe est positionn´ sur les points d’acc`s et les stations mobiles. e eSans le mot de passe, pas de communication.Probl`mes : e– interop´rabilit´ difficile entre impl´mentations de Web (correspondance mot de e e e passe / cl´, longueur des cl´s). e e– gestion des cl´s : comment diffuser la cl´ WEP ` tous les utilisateurs / visiteurs. e e a Comment la changer p´riodiquement sur plusieurs points d’acc`s et plusieurs e e stations ?– faiblesses dans l’impl´mentation : crackage de la cl´ possible en quelques minutes e e avec suffisamment de paquets captur´s. ehttp://www.dachb0den.com/projects/bsd-airtools.htmlSIARS Toulouse 2003 6
  8. 8. Attaques et risques (1/2) Internet Attaquant routeur Point stations mobiles d’acces Reseau local filaireSIARS Toulouse 2003 7
  9. 9. Attaques et risques (2/2)Point d’acc`s Wifi : ´norme prise RJ 45 de 50m de diam`tre. e e e– d´borde du p´rim`tre de s´curit´ physique e e e e e– en libre-serviceAttaques :– D´nis de service e – bande passante partag´e et limit´e e e – d´bit utile limit´ par la station la plus faible e e – point(s) d’acc`s parasite(s) e– Interception du trafic m´dia partag´ → attaque facile. e e – sniffer passif – arp poisoning– Utilisation non autoris´e e – Voir war-driving ci-dessus,... – installation de bornes non autoris´es : renforcent l’impact des probl`mes ci-dessus. e eSIARS Toulouse 2003 8
  10. 10. S´curisation : architecture e Internet routeur Point stations mobiles d’acces Reseau local filaireSIARS Toulouse 2003 9
  11. 11. S´curisation des postes sans fil eButs :– empˆcher les acc`s non autoris´s e e e– s´curiser les connexions eMoyens :– outils pour la s´curit´ locale : mises ` jour, anti-virus, configuration rigoureuse, e e a filtre de paquets, etc.– protocoles de transport s´curis´s : SSH, SSL, IPsec e eSi le mobile ne change jamais de r´seau : e– fixer le SSID (´viter l’utilisation de ’ANY’) e– utiliser une entr´e statique dans la table ARP pour le routeur eSIARS Toulouse 2003 10
  12. 12. S´curit´ des points d’acc`s e e eRestreindre l’acc`s aux interfaces d’administration : e– autoriser l’administration uniquement depuis le r´seau filaire e– positionner un mot de passe d’administration– restreindre les acc`s SNMP eActiver les logs :– utiliser la possibilit´ d’envoyer les logs vers un syslog ext´rieur e e– utiliser les trap SNMP– surveiller les connexions - rep´rer les connexions non autoris´es e eAutres (pas tr`s efficace mais augmente un peu la s´curit´ malgr´ tout) : e e e e– activer le WEP– filtrage par adresse MAC– supprimer les broadcast SSIDSIARS Toulouse 2003 11
  13. 13. Authentification : portailSolution la plus simple ` mettre en oeuvre aPrincipe : affecter aux utilisateurs non authentifi´s une adresse IP dans un r´seau non e eroutable ou une passerelle sp´cifique. eApr`s authentification, param`tres normaux. e eExemples d’impl´mentation : e– NoCatAuth http://nocat.net/– OpenBSD authpf http://www.openbsd.org/faq/pf/authpf.htmlProbl`mes : e– ne g`re pas le chiffrement e– potentiellement contournable (car bas´ uniquement sur les adresses IP). ePossibilit´ de compl´ter par IPsec entre le routeur et les stations mobiles. e eSIARS Toulouse 2003 12
  14. 14. Authentification et chiffrement niveau 2Solution g´n´rale aux probl`mes de s´curit´ sur les r´seaux publics : e e e e e eauthentification et chiffrement au niveau 2 : IEEE 802.1X & Co.Domaine qui ´volue vite en ce moment (2003) : e– Portail HTTP / SSH– LEAP (Cisco + Microsoft)– IEEE 802.1X– WPA (Wifi Protected Access)– IEEE 802.11i (int´gr´ dans 802.11g) e ePrincipe :– Syst`mes de niveau 2. Authentification entre le point d’acc`s et le client. e e– bas´s sur le protocole d’authentification EAP e– utilisent un serveur Radius– permettent la n´gociation des cl´s WEP e eImpl´mentation de IEEE802.1X pour Unix : Open1x ehttp://open1x.sourceforge.net/SIARS Toulouse 2003 13
  15. 15. Authentification : LEAP, 802.1X, WPA, 802.11i Point 1 d’acces 4 2 3 5 serveur radius1. Le poste non authentifi´ arrive sur un point d’acc`s. Pr´sente sa demande e e e d’authentification2. Le point d’acc`s v´rifie l’authentification vis-`-vis d’un serveur (EAP) e e a3. Le serveur valide l’authentification.4. Le point d’acc`s « ouvre » le r´seau au niveau 2. e e5. La station mobile peut communiquer ` travers le point d’acc`s. a eSIARS Toulouse 2003 14
  16. 16. ConclusionLes r´seaux sans fil sont l` pour durer. e aIls sont d´j` largement d´ploy´s. ea e eLa technologie ´volue rapidement. eIl faut les prendre en compte pour assurer la s´curit´ de nos syst`mes. e e eSIARS Toulouse 2003 15
  17. 17. Bibliographie– 802.11 Security, B.Potter & B. Fleck, O’Reilly, D´cembre 2002. e– S´curit´ des r´seaux sans file 802.11b, Herv´ Schauer, mars 2002 e e e e http: //www.hsc.fr/ressources/presentations/asprom02/index.html.en– S´curit´ Informatique num´ro 40, Juin 2002, e e e http://www.cnrs.fr/Infosecu/num40-sansFond.pdf– D´ploiement & s´curit´ des r´seaux sans fil (802.11b), D. Azuelos, Mai 2003 e e e e http: //www.urec.cnrs.fr/securite/CNRS/vCARS/DOCUMENTS/Azuelos.pdf– Recommandation du CERT-A, aout 2002 ˆ http://www.certa.ssi.gouv.fr/site/CERTA-2002-REC-002.pdfSIARS Toulouse 2003 16

×