Decisão sobre uma Estratégia de Rede sem Fio Protegida
Nesta página
 | Neste módulo |
| Objetivos |
| Aplicação |
| Como usar este módulo |
| Uma visão comercial da rede sem fio |
| Como realmente proteger sua WLAN |
| Outras soluções |
| Resumo |
| Mais informações |
Neste módulo
Este módulo se concentra na escolha de uma solução para a rede sem fio protegida. A primeira parte do módulo se concentra nos motivos empresariais que conduzem à adoção da tecnologia WLAN (LAN sem Fio) e aos problemas de segurança a serem superados para tornar a opção segura. Considerando a visão predominante de que a segurança da rede sem fio é inerentemente baixa, você poderá se surpreender ao descobrir que existem diversos métodos viáveis para implementá–la com segurança. Ao optar por implantar a rede sem fio, o principal problema que você enfrentará é como selecionar a melhor opção para garantir sua segurança. A segunda parte do módulo aborda este processo de tomada de decisões.
O principal objetivo do módulo é examinar estas opções e decidir sobre a solução mais atraente para empresas de médio a grande porte.
Objetivos
Use este módulo para:
| • | Examinar os prós e contras da rede sem fio para a sua empresa. |
| • | Selecionar uma estratégia que possa proteger sua WLAN. |
| • | Compreender as estratégias alternativas para a segurança da WLAN. |
Aplicação
Este módulo aplica–se aos produtos e tecnologias a seguir:
| • | Microsoft Windows Server™ 2003 |
| • | Sistema operacional Microsoft Windows XP |
| • | Sistema operacional Microsoft Windows 2000 |
| • | Sistema operacional Microsoft Windows NT 4 |
| • | Sistema operacional Microsoft Windows 9x |
| • | Microsoft Pocket PC |
Como usar este módulo
Este módulo contém informações sobre os benefícios que a rede sem fio oferece às empresas e sobre as diferentes maneiras de proteger uma rede sem fio. Você poderá usar as orientações neste módulo para escolher uma estratégia de rede sem fio protegida.
Uma visão comercial da rede sem fio
Esta seção se concentra nos motivos para adoção da tecnologia WLAN e fornece uma visão geral dos problemas de segurança que limitam uma adoção mais difundida.
Benefícios das redes sem fio
Os benefícios da tecnologia WLAN podem parecer óbvios, mas eles podem ser reafirmados. Eles estão em duas categorias principais: benefícios comerciais fundamentais e benefícios operacionais. Os benefícios comerciais fundamentais são coisas que melhoram a produtividade do funcionário, permitem que os processos de negócios aconteçam mais rapidamente ou com mais eficiência ou permitem que novos processos de negócios aconteçam na totalidade. Os benefícios operacionais estão relacionados a coisas como redução dos custos de gerenciamento ou redução de gastos de capital.
Benefícios comerciais fundamentais
A lista a seguir resume os principais benefícios das WLANs. Nem todos eles se aplicam a todas as empresas; poderá variar dependendo da natureza da sua empresa, do tamanho e da distribuição geográfica da mão–de–obra, entre outros fatores.
Provavelmente a principal vantagem e a mais evidente seja a maior flexibilidade e mobilidade proporcionadas à mão–de–obra pelas WLANs. A equipe não fica presa a suas mesas, podendo se movimentar facilmente pelo escritório, sem se desconectar da rede. É muito útil observar alguns exemplos.
| • | Os funcionários que se movimentam entre os escritórios e os funcionários externos que vêm para o escritório economizam tempo e desgaste com a conexão livre com a LAN (Rede Local) da empresa. A conexão é quase instantânea e fica disponível a partir de qualquer local físico com a cobertura sem fio - não ocorre a busca por portas de rede, cabos ou pelo pessoal de TI para vir conectar você. |
| • | Os funcionários da base de conhecimento podem manter contato quando estiverem no prédio. Ao utilizar email, calendários eletrônicos e tecnologias de bate–papo, seu pessoal pode permanecer online mesmo quando estiver em reuniões ou trabalhando fora de suas mesas. |
| • | As informações online estarão sempre disponíveis. As reuniões não precisarão mais ser interrompidas enquanto alguém sai para pegar o relatório dos números do mês anterior ou uma atualização de uma apresentação. Isto poderá melhorar de forma significativa a qualidade e a produtividade das reuniões. |
| • | A flexibilidade organizacional é intensificada. Como o pessoal não tem conexão de cabos em suas mesas, mudanças de mesa rápidas e fáceis ou mesmo de todo o escritório se tornam possíveis à medida que surgirem novas equipes e estruturas de projeto. Isso facilita o trabalho em equipe e torna a equipe mais produtiva. |
| • | A integração de novos dispositivos e aplicativos com o ambiente de TI da empresa muda de forma significativa. Os dispositivos, como PDAs (Assistentes Digitais Pessoais) e Tablet PCs, que até o momento têm sido vistos como "brinquedos" de executivos à margem da TI da empresa, tornam–se muito mais integrados e úteis quando as empresas estão conectadas sem fio. Os funcionários e processos de negócios anteriormente não afetados pela TI, podem agora se beneficiar do fornecimento de computadores, dispositivos e aplicativos sem fio em áreas antes adversas para a TI, como um chão de fábrica de manufatura, alas de hospitais, lojas e restaurantes. |
Benefícios operacionais
Os benefícios operacionais da tecnologia WLAN, recursos que reduzem os custos capitais e operacionais, podem ser resumidos da seguinte maneira:
| • | O custo de fornecimento de acesso à rede aos prédios é substancialmente reduzido. Apesar de a maior parte do espaço do escritório estar cheia de cabos, muitos outros espaços não estão. |
| • | A rede pode ser facilmente escalada para responder a diferentes níveis de demanda à medida que a empresa muda, ou mesmo de um dia para outro; é muito mais fácil implantar uma concentração maior de pontos de acesso (PAs) sem fio em um determinado local do que aumentar o número de portas de rede cabeada. |
| • | O capital não precisará mais ficar vinculado à infra–estrutura do prédio; a infra–estrutura de rede sem fio poderá ser movida para um novo prédio com relativa facilidade, ao passo que o cabeamento volumoso é uma instalação permanente. |
Problemas de segurança com WLANs
Tendo em vista os evidentes benefícios, as falhas de segurança das WLANs precisariam ser muito graves para prejudicar seus atrativos. Infelizmente, isto é muito mais freqüente do que se supõe. Muitas WLANs implantadas até o momento não têm nenhuma segurança ativada. Muitas outras usam o hardware WLAN baseado no que se poderia generosamente chamar de padrão de segurança sem fio de "primeira geração". Para agravar ainda mais a situação, muitos fabricantes de WLAN produziram implementações defeituosas de padrões que já eram ruins.
Os perigos de transmitir os dados desprotegidos da rede da sua empresa para alguém que esteja nas proximidades podem parecer óbvios, mas ainda existe um número surpreendente de instalações de WLAN sem nenhuma segurança ativada. O que não está tão óbvio é que mesmo ativando os recursos de segurança de muitas redes sem fio atuais, a proteção adicional obtida é muito pequena.
O período em que a versão original dos padrões atuais de WLAN - o padrão 802.11 do IEEE (Institute of Electrical and Electronic Engineers)- esteve em funcionamento não favoreceu a criação de um bom modelo de segurança: os restritivos controles do governo americano tornaram pouco atraente o uso da criptografia de alta segurança; certamente segurança não era o assunto mais em voga; e a adoção da tecnologia sem fio estava apenas começando. Portanto, talvez não seja surpreendente que os recursos de segurança do 802.11 sejam inadequados para os padrões atuais.
Existe um número de diferentes ameaças às quais os recursos de segurança básicos do 802.11 são vulneráveis. Certamente, tudo isto também é verdade para as WLANs desprotegidas - com a grande diferença de que os ataques podem ser feitos com mais facilidade e menos conhecimento. No entanto, o conhecimento adicional necessário não é o de um hacker habilidoso. A livre disponibilidade das ferramentas de "auditoria" de rede 802.11, como o Airsnort, significa que atualmente é banal invadir as redes sem fio configuradas com segurança precária.
As principais ameaças são:
| • | Espionagem dos dados transmitidos - pode resultar na revelação de dados confidenciais, revelação de credenciais de usuário desprotegidas e potencial de roubo de identidade. Também permite que habilidosos usuários mal intencionados coletem informações sobre seus sistemas de TI, as quais podem ser usadas para organizar um ataque a outros sistemas ou dados que poderiam não estar vulneráveis. |
| • | Interceptação e modificação de dados transmitidos - caso um invasor obtenha acesso à rede, poderá inserir um computador invasor para interceptar, modificar e retransmitir as comunicações entre duas partes legítimas. |
| • | Spoofing (Falsificação) - o acesso imediato à rede permite que um usuário mal–intencionado envie dados que possam parecer provenientes de um usuário legítimo (por exemplo, uma mensagem de email falsa) de maneiras que não seriam possíveis fora da rede. As pessoas (inclusive os administradores de sistema) tendem a confiar muito mais em itens de origem interna do que em algo que se origina fora das redes da empresa. |
| • | Parasitismo - não há nada mais sinistro do que um intruso usar sua rede como um ponto de acesso livre para a Internet. Apesar de não ser tão danosa quanto algumas das outras ameaças, essa poderá, no mínimo, reduzir o nível de serviço disponível para seus usuários legítimos. |
| • | DoS (Negação de serviço) - aqui existem muitas opções para um usuário mal–intencionado determinado. A interrupção do sinal de rádio pode ser feita usando coisas de tecnologia tão banal quando um microondas. Existem os ataques mais sofisticados que visam os próprios protocolos sem fio de nível inferior e os menos sofisticados que visam as redes, simplesmente inundando a WLAN com tráfego aleatório. |
Existem dois tipos de ameaça incidental que valem a pena mencionar:
| • | Ameaças acidentais - alguns destes recursos das WLANs tornam os ataques não intencionais mais graves. Por exemplo, um visitante legítimo pode iniciar o computador portátil sem intenção de se conectar à sua rede, mas em seguida ele é conectado automaticamente à WLAN da empresa. O computador portátil do visitante é agora um ponto de entrada potencial para vírus em sua rede. Este tipo de ameaça é apenas um dos problemas das WLANs sem proteção. |
| • | WLANs invasoras - mesmo que sua empresa não tenha uma WLAN oficial implantada ou que ela esteja protegida adequadamente, você ainda poderá ter a ameaça de funcionários que instalam WLANs não autorizadas em sua rede. Um AP low–end sem fio e uma placa de WLAN podem ser comprados por cerca de 100 dólares. |
Notícias amplamente divulgadas sobre estes problemas fizeram as empresas de todos os portes ficarem desconfiadas com relação às WLANs; muitas interromperam a implantação ou baniram o uso da tecnologia WLAN. A seguir, serão relacionados alguns fatores que contribuíram para esse consenso geral de que as WLANs e a baixa proteção das redes andam juntas:
| • | Existe confusão sobre o que é seguro e o que não é. As empresas desconfiam de todas as medidas de segurança para WLAN após uma sucessão de falhas descobertas nos recursos de segurança originais do 802.11. A desconcertante lista de padrões oficiais e de soluções proprietárias que alegam resolver os problemas fez muito pouco para esclarecer a confusão. |
| • | O fato de o que é sem fio ser invisível instaura um problema de gerenciamento, bem como um problema psicológico. Ao passo que você pode de fato ver um invasor conectando um cabo em sua rede cabeada, a invasão das WLANs é bem invisível. Assim, você não sabe necessariamente quem está conectado à sua rede. |
| • | Há um conjunto cada vez maior de requisitos reguladores ou legais para as empresas em diferentes setores - por exemplo, requisitos de segurança de governos e de órgãos reguladores no setor financeiro e padrões obrigatórios, como o HIPAA (Health Insurance Portability and Accountability Act) de 1996, que regula o manuseio de dados pessoais de saúde nos Estados Unidos. |
Como realmente proteger sua WLAN
Desde a descoberta da precariedade da segurança descrita anteriormente, fornecedores de rede líderes, órgãos normativos e analistas propuseram uma variedade de soluções para combater esses problemas. As principais opções para corrigir a vulnerabilidade de segurança da WLAN podem ser resumidas da seguinte maneira:
| • | Não implantar a tecnologia WLAN. |
| • | Usar a segurança básica fundamentada no 802.11. |
| • | Utilizar tecnologia VPN (Rede Virtual Privada). |
| • | Usar IPSec (Segurança do Protocolo Internet). |
| • | Utilizar uma solução fundamentada no 802.1X, no protocolo EAP (Extensible Authentication Protocol) e na criptografia Wi–Fi. |
Estes serão relacionados na ordem aproximada das soluções menos satisfatórias até as mais satisfatórias, com base na combinação de segurança, funcionalidade e capacidade de utilização que cada opção oferece. A opção proposta e utilizada por esta solução é a última delas - 802.1X com EAP e criptografia 802.11 com mudança de chaves. Os méritos desta solução serão abordados na seção seguinte. Depois disso, alguns dos principais destaques (e pontos menos importantes) das outras opções serão abordados.
802.1X com EAP e chaves de criptografia dinâmica
Apesar de o título desta opção deixar algo a desejar, ela tem pontos fortes que compensam. Antes de abordar com mais detalhes, serão necessárias algumas palavras para explicar um pouco da terminologia da solução
O 802.1X é uma estrutura baseada nos padrões IEEE para autenticar o acesso a uma rede e, opcionalmente, gerenciar as chaves usadas para proteger o tráfego. Seu uso não está limitado às redes sem fio e, na verdade, é implementado em equipamentos de LAN cabeada high–end de fornecedores líderes. O 802.1X depende de um RADIUS (Remote Authentication Dial–In User Service), uma autenticação de rede e um serviço de autorização para verificar as credenciais do cliente na rede. O 802.1X utiliza o EAP como meio de fazer o pacote de conversação da autenticação entre diversos componentes da solução e gerar as chaves usadas para proteger o tráfego entre os clientes e o hardware de acesso da rede.
O EAP é um padrão IETF (Internet Engineering Taskforce) para efetuar a autenticação. Ele pode ser usado com uma variedade de diferentes métodos de autenticação com base em senhas, certificados de chaves públicas ou outras credenciais.
Como o EAP é um método de autenticação conectável, existe uma variedade de diferentes tipos de EAP a escolher. Os melhores tipos de EAP normalmente utilizam a criptografia para proteger a conversação de autenticação e podem gerar dinamicamente as chaves usadas para a criptografia durante o processo.
As diferentes soluções de segurança para WLAN fundamentadas no 802.1X oferecem tipos diferentes de EAP com níveis variáveis de proteção. Estes incluem tanto soluções baseadas em padrões como soluções proprietárias e estas soluções têm níveis variáveis de suporte entre os fornecedores de sistemas operacionais e de hardware de rede. A autenticação e o acesso à rede fundamentados no 802.1X e no EAP compõem somente parte da solução. Outro recurso significativo de uma solução WLAN é a criptografia do tráfego sem fio.
Atualmente, a segurança Wi–Fi é oferecida em duas principais variedades, WEP (Wired Equivalent Privacy) e WPA (Wi–Fi Protected Access). Ambas incluem métodos para criptografar o tráfego sem fio entre os clientes sem fio e os APs sem fio.
O WEP foi incluído nos produtos baseados no 802.11 por algum tempo e inclui uma estratégia para restringir o acesso à rede e criptografar o tráfego da rede com base em uma chave compartilhada. As desvantagens do WEP incluem a falta de gerenciamento da chave dinâmica e as falhas na implementação da criptografia, que, com o tempo, podem expor as chaves a invasores.
O WPA foi produzido pela Wi–Fi Alliance como estratégia para unificar e aperfeiçoar a segurança usada na rede sem fio. O WPA reúne uma série de recursos de segurança amplamente considerados como sendo os métodos mais seguros disponíveis atualmente para proteger as WLANs. o WPA suporta a criptografia robusta, o que torna a descoberta das chaves de criptografia bem menos viável.
O IEEE também está trabalhando em um novo padrão - o 802.11i (também conhecido como RSN ou Robust Security Network) e os recursos WPA podem ser considerados como uma versão anterior desta funcionalidade com compatibilidade direta. O RSN proporcionará níveis até mais altos de segurança para as WLANs, mas não há previsão de que o 802.11i seja lançado logo, além de provavelmente exigir atualizações de hardware da rede.
Até que haja a ampla disponibilidade de hardware da WLAN compatível com WPA, o melhor método para lidar com a criptografia Wi–Fi é usar a criptografia WEP de alto nível (128 bits) e gerar chaves dinamicamente acionando o EAP e o 802.1X. Isto corrige a principal deficiência do WEP.
Os produtos Microsoft mais recentes suportam o WPA e também oferecem um método para usar o WEP com o a troca de chaves dinâmica para proporcionar alta segurança à WLAN com o uso do hardware de rede existente. Ambas as opções, o WPA e o WEP dinâmico, suportam o uso da autenticação com senha ou certificado usando o 802.1X e o EAP.
802.1X com EAP–TLS
O EAP–TLS usa o TLS (Transport Layer Security) de certificado para autenticar os clientes sem fio mutuamente e os servidores RADIUS, usando métodos de criptografia de alta segurança e gerando chaves de criptografia, usadas para proteger o tráfego sem fio. Este é um dos métodos mais populares e seguros de EAP para usar com o 802.1X. Ele requer certificados de chave pública no cliente e no servidor RADIUS.
A solução descrita neste guia foi desenvolvida com o uso do EAP–TLS com o 802.1X para autenticar clientes e servidores mutuamente e gerar de forma dinâmica as chaves de criptografia WEP com as definições para a troca de chaves WEP. Quando o WPA se tornar amplamente disponível, os recursos 802.1X e EAP–TLS desta solução poderão ser usados para gerar e gerenciar chaves dinamicamente para usar com a criptografia baseada em WPA. Espera–se que a implementação da criptografia WPA apenas exija uma atualização para o firmware da rede WLAN e uma pequena atualização para o Windows XP.
Alguns dos principais benefícios de uma solução baseada nesta opção são:
| • | Oferece controle de acesso com base no computador e no usuário para a rede - isso evita, por exemplo, que um usuários não autorizado se faça logon em um computador não autorizado e obtenha acesso à rede. |
| • | Permite uma experiência transparente do usuário na rede - ou seja, não existem logons adicionais para o usuário preencher, e isso não resulta em partes da rede potencialmente inacessíveis (este pode ser o caso do VPN - e das alternativas baseadas no IPSec abordadas posteriormente. |
| • | Permite que o computador seja autenticado na rede mesmo que nenhum usuário tenha feito logon. Isso é necessário para permitir que um computador em modo autônomo baixe a Diretiva de grupo e seja gerenciado e monitorado remotamente. |
| • | Isso não causará gargalos na rede, visto que o tráfego da rede não está todo canalizado em um servidor ou em pequeno número de servidores centrais (como no caso da solução VPN). |
| • | Não é proprietário do fornecedor; baseia–se nos padrões IEEE e IETF. |
| • | Oferece um amplo suporte nas plataformas do cliente e fornecedores de rede (Windows XP, Windows 2003, Windows 2000, Windows NT versão 4.0, Windows 9x, Pocket PC e hardware de rede com o certificado Wi–Fi). |
| • | Usa o esquema de autenticação de chave pública, que permite um nível muito alto de segurança; a autenticação é transparente para o usuário e não é suscetível aos problemas de compartilhamento de senha ou adivinhação de senha. |
| • | Foi projetado para WPA quando o hardware da rede WPA se torna amplamente disponível. |
Esta abordagem traz com ela alguns requisitos de infra–estrutura, mas eles não são proibitivos para a maioria das empresas.
| • | Comum à maioria das alternativas descritas posteriormente, esta abordagem requer uma infra–estrutura de autenticação de servidores RADIUS e um banco de dados de conta centralizada, como o serviço de diretório Microsoft Active Directory |
| • | Ao contrário da autenticação com senha, este método requer uma PKI (Infra–estrutura de chave pública). Apesar de o Serviço de certificados do Windows 2003 ser simples de implantar, pode ser proibitivo para pequenas empresas. |
Também existem alguns outros benefícios para a solução no fato de grande parte da infra–estrutura necessária poder ser reutilizada para outros aplicativos como o de acesso remoto, a segurança de rede cabeada e, no caso do componente PKI, a criptografia de arquivos, logon com cartão inteligente e outros.
802.1X com PEAP
A Microsoft também oferece suporte para usar o 802.1X com outro tipo de autenticação conhecido como PEAP (EAP Protegido). O PEAP foi projetado para portar os tipos de EAP dentro de um canal protegido por TLS e requer um certificado baseado em servidor. O PEAP também gera chaves dinamicamente para criptografar o tráfego sem fio durante o processo de autenticação. A Microsoft oferece suporte ao Windows para usar o MSCHAPv2 (Microsoft Challenge Authentication Protocol versão 2) para fazer autenticação de senha segura dentro do PEAP.
A autenticação por senha do 802.1X é suficiente para as pequenas empresas que atualmente não têm uma infra–estrutura de certificado e não precisam de certificados para outras finalidades, como o uso do EFS (Encrypting File System), VPN e assim por diante. Como alternativa, a autenticação por senha do 802.1X pode ser vista como uma estratégia provisória para a obtenção do controle de acesso 802.1X à WLAN durante o planejamento de uma futura infra–estrutura de certificado.
No entanto, os custos envolvidos na compra de um ou mais certificados de servidor confiáveis de terceiros devem ser ponderados cuidadosamente na comparação com o valor que uma infra–estrutura de certificado trará à empresa. Este guia foi desenvolvido para ajudar você a obter uma solução de autenticação de cliente baseada em certificado que utilize o EAP–TLS com o mínimo de custo e esforço.
Análise de ameaças de segurança
É importante reavaliar as ameaças às WLANs identificadas anteriormente e compará–las com a solução proposta. A tabela a seguir detalha estas informações.
Tabela 1: Ameaças de segurança avaliadas em comparação com a solução proposta
| Ameaça | Redução dos riscos oferecida pela solução |
Espionagem de dados | A atribuição e alteração dinâmicas das chaves de criptografia em intervalos freqüentes e o fato das chaves serem exclusivas para cada sessão de usuário significa que a recuperação das chaves e o acesso aos dados não serão possíveis por qualquer meio conhecido atualmente. |
Interceptação e modificação de dados | Como a criptografia que usa chaves dinâmicas é usada entre o cliente sem flio e o AP sem fio, não será viável para um usuário mal–intencionado interceptar e modificar os dados. |
Spoofing | A autenticação segura à rede evita que indivíduos não autorizados se conectem a ela e introduzam dados falsificados por dentro dela. |
Parasitismo | O uso não autorizado da rede é evitado pela exigência da autenticação de alta segurança. |
DoS | Os ataques feitos com a inundação da rede com dados são evitados pelo controle de acesso seguro, mas não há método disponível atualmente que defenda contra os ataques de DoS de nível inferior. Isso está sendo corrigido pelo padrão 802.11i em 2004. Em um nível mais fundamental, mesmo este novo padrão não estará imune à interrupção das redes de nível de rádio. |
Ameaças acidentais | As ameaças feitas por visitantes que se conectam acidentalmente à WLAN da empresa são evitadas pela WLAN que requer a autenticação de segurança. |
WLANs invasoras | Apesar de a solução não fazer nada para lidar diretamente com os APs sem fio invasores, com a implementação de uma solução sem fio segura como esta, a motivação para instalar WLANs não oficiais desaparece em grande parte. |
Outras soluções
Algumas das alternativas aos desafios de segurança das WLANs foram relacionados anteriormente. Elas foram analisadas nesta seção. Para recapitular as alternativas:
| • | Não implementar a tecnologia WLAN. |
| • | Usar segurança básica baseada no 802.11. |
| • | Usar tecnologia VPN. |
| • | Usar IPSec. |
| • | Usar uma solução baseada na criptografia 802.1X, EAP e Wi–Fi. |
Não implantar a tecnologia WLAN
Além de não concretizar qualquer benefício da WLAN descrito anteriormente, esta estratégia deve combater o que o Grupo META chama de "Preço do Adiamento". ("Como eu limito minha exposição à ameaça de segurança da WLAN? Novas realidades da proteção das informações da empresa", Grupo META, 18/12/2003).
O preço do adiamento não se baseia apenas nos custos de "oportunidades perdidas", mas em uma análise da maneira não gerenciada com a qual o uso de LANs cabeadas cresceu em muitas empresas, com departamentos centrais de TI sendo forçados a tomar um controle de forma reativa.
Esta é uma ameaça constante às WLANs, especialmente em empresas maiores, onde freqüentemente é difícil ver fisicamente o que está acontecendo em cada local. A implantação de WLANs "populares" não gerenciadas - possibilitada pelo custo extremamente baixo dos componentes - é potencialmente o pior cenário, visto que expõe a empresa a todas as ameaças de segurança descritas anteriormente mas sem o grupo central de TI saber algo a respeito.
Isso reforça o fato de que se sua estratégia for não adotar a tecnologia WLAN, você precisará buscar esta estratégia de uma maneira ativa, e não passiva. Você deverá embasar esta decisão com uma diretiva claramente publicada e assegurar que todos os funcionários estão cientes dela, como também das conseqüências de sua violação. É possível considerar uma verificação no equipamento para detectar o uso de equipamento ilegal sem fio.
Usar segurança básica baseada no 802.11
Este método utiliza a criptografia WEP de tráfego sem fio juntamente com o controle de acesso opcional à rede, baseado nas chaves compartilhadas e nos endereços de hardware de placa de rede. Apesar disso fornecer uma certo nível de segurança em uma WLAN desprotegida, há desvantagens de gerenciamento e falhas de segurança, particularmente para as empresas maiores.
As questões de WEP incluem o seguinte:
| • | As chaves estáticas WEP podem ser descobertas em questão de horas com o uso de um PC com um adaptador WLAN e ferramentas prontamente disponíveis como Airsnort ou WEPCrack. |
| • | A deficiência mais grave de WEP é que suas chaves não são atribuídas ou alteradas de forma dinâmica. (O algoritmo de criptografia RC4 usado pelo WEP será seguro se for usado apropriadamente.) Se as chaves forem estáticas, a rede ficará vulnerável aos ataques, conforme foi descrito anteriormente. |
| • | As chaves estáticas podem ser alteradas mas o processo para fazer isso geralmente é manual e consome tempo. Também existe o problema de distribuição de novas chaves aos clientes. Isso significa que, na prática, elas geralmente são deixadas inalteradas. |
O WEP oferece às WLANs um mecanismo de controle de acesso muito limitado com base no reconhecimento da chave WEP. Se você descobrir o nome da rede (o que é simples de ser feito), e também a chave WEP, você poderá se conectar à rede. Uma maneira de tentar aperfeiçoar isto é configurar os APs sem fio para permitir somente um conjunto predefinido de endereços de adaptador de rede cliente. Isso normalmente é conhecido como filtragem de endereço MAC (Controle de acesso à mídia). (A camada MAC refere–se ao firmware de nível inferior do adaptador de rede.)
A filtragem de endereços de adaptador de rede para o controle de acesso inclui as seguintes questões:
| • | Você possui escalabilidade limitada. A manutenção de uma lista de endereços de hardware para um pequeno número de clientes e a distribuição disso para todos os pontos de acesso é um desafio significativo. |
| • | Os pontos de acesso podem ter um limite de tamanho da tabela de filtros, restringindo assim o número de clientes que você poderá suportar. |
| • | Não há maneira de associar um endereço MAC com um nome de usuário, assim você poderá autenticar somente por meio da identidade do computador e não pela identidade do usuário. |
| • | Um invasor pode falsificar um endereço MAC "permitido". Se um endereço MAC legítimo puder ser descoberto, será simples para um invasor usar este endereço em vez do predefinido gravado no adaptador. |
Usar tecnologia VPN
O uso de tecnologia VPN para proteger o tráfego da WLAN tem sido um método popular para ambientes de alta segurança. Ele depende do controle de acesso e criptografia inerente aos aplicativos VPN. No entanto, ele tem sérias falhas:
| • | Normalmente este método requer que um logon separado do usuário VPN ou RAS (Serviço de acesso remoto) além do logon padrão de domínio ou de rede. |
| • | Como o logon é iniciado somente pelo usuário, um computador ocioso desconectado da rede não pode ser gerenciado ou monitorado remotamente. Uma coisa que afetará os computadores que executam o Windows é que eles não conseguirão receber as definições da Diretiva de grupo (que incluem, por exemplo, todas as definições da diretiva de segurança). |
| • | O servidor VPN pode se tornar um gargalo. Todo o acesso do cliente WLAN será canalizado pelo servidor. Os dispositivos VPN tradicionalmente atendem muitos clientes remotos de baixa velocidade. Ser solicitado a controlar a taxa de transferência de um grande número de clientes que funcionam na velocidade total da LAN significará que muitos dispositivos VPN não conseguirão atender mais de poucas dezenas ou centenas de clientes. |
| • | Para algumas soluções VPN, o custo das licenças de software cliente pode ser proibitivo. |
| • | Este método pressupõe que o método de autenticação VPN seja seguro, mas muitas implementações VPN que dependem de uma autenticação de chave previamente compartilhada (uma senha de grupo) compartilham muitas das falhas de segurança das chaves WEP estáticas. |
O VPN é uma excelente tecnologia para acesso remoto a redes corporativas mas nunca foi projetado para este tipo de aplicação.
Usar segurança de IP (IPSec)
O IPSec é uma solução para autenticar com segurança e criptografar os pacotes IP da rede. Muitas das soluções VPN usam o IPSec, mas o uso do IPSec descrito aqui está dentro de uma rede simples para proteger o tráfego de ponta a ponta entre dois computadores. Como o VPN, o IPSec é uma excelente solução em muitas circunstâncias, apesar de não ser uma substituição direta da proteção nativa da WLAN implementada na camada de hardware da rede.
| • | O IPSec usa somente a autenticação no nível do computador; não há maneira de implementar um esquema de autenticação baseado no usuário. Observação: algumas implementações do IPSec em plataformas que não operam com o Windows utilizam autenticação somente de usuário. |
| • | O gerenciamento das diretivas de IPSec pode ser complexo para uma empresa de grande porte. Ao tentar impor a proteção geral de tráfego IP, você poderá interferir nas utilizações mais especializadas do IPSec onde a proteção de ponta a ponta é realmente necessária. |
| • | A segurança total requer a criptografia de todo o tráfego de ponta a ponta, mas alguns dispositivos podem não ser compatíveis com o IPSec. Isto forçará uma parte do tráfego a aparecer na exclusão. (Isso ocorre porque a proteção IPSec fica no nível de rede em vez de ficar na camada MAC, por isso não é totalmente transparente para os dispositivos de rede.) |
| • | Apesar da sobrecarga do processamento de criptografia IPSec poder ser reduzida com placas de rede especializadas, elas freqüentemente não se encaixam, levando uma parte da carga da CPU, muitas vezes gerada no servidor ou cliente. |
Outras soluções EAP baseadas em 802.1X.
Existem diversas soluções de segurança de WLAN similares à solução proposta. A mais conhecida delas provavelmente é o Cisco LEAP (Light EAP). Embora a segurança do LEAP e outras soluções do fornecedor não estejam em questão, muitos destes esquemas limitarão você ao uso de hardware de um único fornecedor ou de um pequeno número de fornecedores. A resposta de curto prazo a isto é padronizar, quando for possível, as soluções baseadas em IEEE e IETF, visto que praticamente todos os fornecedores de tecnologia sem fio estão convergindo para isto.
Resumo
Este módulo explorou alguns dos motivos comerciais para a adoção da rede sem fio e algumas das ameaças de segurança às implementações desprotegidas ou com proteção precária. A solução proposta para solucionar estas ameaças se baseia no 802.1X, EAP–TLS e na criptografia de alta segurança. Esta solução é direcionada para as necessidades de segurança de empresas de médio e grande portes e corrige todas as principais falhas nas implementações sem fio antigas.
No módulo seguinte, a solução selecionada será descrita com mais detalhes. O resultado será a produção de um projeto lógico para proteger as WLANs e fornecer a base para os módulos de projetos físicos detalhados posteriormente neste Guia de Planejamento.
Mais informações
| • | Para obter mais informações sobre o 802.11, consulte a página do IEEE 802.11 na Web em http://www.ieee802.org/11/ (em inglês). |
| • | Para obter mais informações sobre o 802.1X, consulte a página do IEEE 802.1X na Web em http://www.ieee802.org/1/pages/802.1x.html (em inglês). |
| • | Para obter mais informações sobre o padrão EAP, consulte o RFC 2284, em http://www.ietf.org/rfc/rfc2284.txt?number=2284 (em inglês). |
| • | Para obter uma visão geral sobre o padrão Wi–Fi Alliance WPA, consulte http://www.wi–fialliance.org/OpenSection/pdf/Wi–Fi_Protected_Access_Overview.pdf (em inglês). |