Instructeur: In deze les gaan we het hebben
over hoe je draadloze netwerken kunt beveiligen
tegen een aantal bedreigingen.
Draadloze netwerken bieden ons veel gemak, maar brengen
ook veel veiligheidsrisico's met zich mee, want in tegenstelling
tot een draadnetwerk kan ik, zolang ik binnen het bereik
van dat draadloze signaal ben, er verbinding mee maken
met mijn smartphone, tablet of laptop.
Om je netwerk te beschermen, moet je er echt voor zorgen
dat je weet waar je apparaten verbinding mee maken
en als ze eenmaal verbonden zijn, wil je er zeker
van zijn dat de gegevens die worden verzonden versleuteld zijn.
Het eerste wat we willen doen is ervoor zorgen
dat alles wat we verzenden privé gebeurt om de veiligheid
van onze netwerken te vergroten.
Een van de manieren waarop
we dit doen is een zogenaamde vooraf gedeelde sleutel.
Bij een vooraf gedeelde sleutel hebben beide
eindpunten, zowel je toegangspunt als je client
op je laptop of smartphone, dezelfde coderingssleutel.
Als ik een wachtwoord gebruik aan de ene kant en hetzelfde wachtwoord
aan de andere kant en ze komen overeen, dan wordt dezelfde vooraf gedeelde
sleutel gebruikt om die versleutelingstunnel te maken.
Er zijn echter een paar problemen
wanneer je een vooraf gedeelde sleutel gebruikt.
Ten eerste wordt schaalbaarheid een groot probleem voor ons.
Stel dat ik een kantoor heb met 50 verschillende gebruikers die allemaal
verbonden zijn met het draadloze netwerk en allemaal
dezelfde vooraf gedeelde sleutel gebruiken.
Maar stel dat ik morgen aan het werk ga
en een van de werknemers ontsla.
Nu kent die werknemer de vooraf gedeelde sleutel,
dus raad eens wat we moeten doen?
We moeten de vooraf gedeelde sleutel wijzigen
en omdat ik die vooraf gedeelde sleutel moet wijzigen,
moeten alle 50 andere werknemers nu weten wat die nieuwe sleutel
is en zodat we hem allemaal kunnen wijzigen.
Het is alsof je de sleutel van de voordeur van je huis verwisselt.
Als je 10 familieleden hebt,
moet je nu 10 kopieën van die sleutel maken.
Omdat al je klanten hetzelfde wachtwoord en dezelfde
sleutel gebruiken, wordt het voor ons erg moeilijk om sleutels
te wijzigen en goed sleutelbeheer uit te voeren.
Dat is een van de belangrijkste redenen
waarom we geen vooraf gedeelde sleutels gebruiken in grote omgevingen.
Maar als je een klein kantoor hebt of een thuiskantoor zoals je
huis of een klein kantoor met 10 werknemers of minder, dan
kun je een vooraf gedeelde sleutel gebruiken omdat het heel makkelijk
is om netwerken op die manier te configureren omdat je
maar een paar apparaten hebt.
Als we nu kijken naar draadloze beveiliging,
dan zijn er drie belangrijke methodes die we hiervoor kunnen gebruiken.
De eerste is WEP en dan hebben we WPA en WPA2.
Als we het over WEP hebben,
hebben we het over Wired Equivalent Privacy.
Dit was de oorspronkelijke draadloze beveiliging
die helemaal terug werd uitgevonden met
de eerste versie van wifi met 802. 11.
Nu beweerde het dat het net zo veilig was als bekabelde netwerken,
vandaar de naam "bekabelde gelijkwaardige privacy". Maar de waarheid is dat het niet veilig
is en tegenwoordig zou je WEP nooit
meer moeten gebruiken omdat het een erg
onveilig protocol is.
WEP werkt met een vooraf gedeelde sleutel.
Iedereen heeft dezelfde sleutel en het is een statische 40 bits
sleutel die erg klein is en makkelijk te brute-forcen
of te raden met een sterke computer.
Om WEP veiliger te maken, hebben ze in de
loop der tijd de sleutel geüpgraded van 40 bits naar 64
bits en daarna weer naar 128 bits en dat loste het sleutellengteprobleem
op, maar niet een ander probleem dat
bekend staat als de initialisatievector.
WEP werkt met een 24-bits
initialisatievector, een reeks van 24
enen en nullen die deze initialisatievector
wordt genoemd.
Dit wordt in duidelijke tekst verzonden en als je genoeg
van deze initialisatievectoren opvangt,
kun je in feite de coderingssleutel kraken en de vooraf gedeelde sleutel
achterwaarts raden die je hebt gebruikt voor je WEP-wachtwoord.
Met Aircrack NG kun je dit met de meeste moderne
laptops in ongeveer twee tot drie minuten doen.
De volgende waar we het over willen hebben is WPA.
WPA of Wifi Protected Access was de vervanger van WEP
vanwege de zwakte van deze
24-bits initialisatievector.
Om dit te voorkomen introduceerden
ze TKIP, het temporal key integrity protocol.
Nu vervangt TKIP die 24-bits initialisatievector door
een nieuwe vector die 48 bits lang is.
Dit verdubbelde de kracht ervan, maar
dat wordt nog steeds als vrij zwak beschouwd
als het aankomt op moderne computers.
Het andere dat ze deden was het toevoegen
van een nieuw type encryptie genaamd RC4, of Rivest
Cipher 4 en het is vrij goed, maar nogmaals, naar hedendaagse maatstaven
wordt dit als zwak beschouwd.
WPA wilde ook wat integriteit toevoegen aan je apparaten en dat deden
ze door ervoor te zorgen dat niemand een man in the middle-aanval
kan uitvoeren en de informatie kan veranderen.
Om dat te doen, gebruikten ze iets dat de MIC heette, de message
integrity check, wat een vorm is van hashing van
de gegevens voordat ze werden verzonden en op
die manier kon je controleren of ze niet werden gewijzigd
terwijl ze onderweg waren door het netwerk.
WPA zag ook dat er een fout zat in deze vooraf gedeelde
sleutel en de mogelijkheid om heel snel
nieuwe sleutels te versturen, dus voegden ze iets toe
dat bekend staat als ondernemingsmodus binnen WPA.
Met de enterprise modus kon een gebruiker zich
authenticeren voordat sleutels werden uitgewisseld
en ze moesten dan tijdelijk nieuwe sleutels
kunnen aanmaken tussen de client en het toegangspunt.
Dit probeerde het probleem van de schaalbaarheid van de vooraf gedeelde
sleutel op te lossen, maar uiteindelijk wordt WPA nog steeds als
zwak beschouwd volgens de huidige standaarden
en wordt het vervangen door een modernere versie die bekend staat
als WPA2 of Wifi Protected Access 2.
Nu is WPA2 de huidige standaard en die zijn gemaakt
als onderdeel van de 802. 11i-standaard.
Het werd voor het eerst geïmplementeerd, het
was Wireless G, en daarna in Wireless N en Wireless AC.
Het vereist sterkere authenticatie
en sterkere encryptie- en integriteitscontroles.
De integriteitscontrole wordt uitgevoerd met behulp van CCMP.
CCMP staat voor Counter Mode with Cipher
Blockchaining Message Authentication
Code Protocol, wat een hele mond vol
is die je niet hoeft te onthouden voor
het examen of wat het betekent.
Wat je wel moet onthouden is dat elke keer dat je CCMP ziet
je moet denken aan dit is een onderdeel van WPA2-beveiliging.
Het tweede wat ze deden was het
oudere encryptiemechanisme van RC4 via VES Cipher
4 vervangen door het nieuwe mechanisme dat bekend
staat als Advanced Encryption Standard of AES.
Nu gebruikt AES een 128-bits sleutel en sommige nieuwere modellen
kunnen zelfs een 256-bits sleutel of meer gebruiken.
Dit geeft je extra beveiliging en vertrouwelijkheid
van je gegevens die over dit draadloze netwerk gaan.
Op het moment van deze opname is AES
nog steeds niet gebroken en WPA2, het algoritme zelf is nog
niet gebroken dus het is een goed ding
om te gebruiken als je een
lang, sterk wachtwoord hebt.
De enige manier waarop mensen deze netwerken
op dit moment kunnen kraken is door middel van wachtwoordaanvallen en
dat betekent dat ze de wachtwoorden proberen
te raden door elke mogelijke optie te raden met
behulp van een brute force aanval of een woordenboekaanval.
Dus als je je netwerken wilt beschermen,
zorg er dan voor dat je een goed, lang, sterk wachtwoord gebruikt.
WPA2 ondersteunt ook twee verschillende modi, afhankelijk van het
netwerk waarop je het gaat gebruiken.
Als je het in een thuisomgeving of een klein kantoor gebruikt, zul je een
vooraf gedeelde sleutel gebruiken waarbij iedereen
hetzelfde wachtwoord heeft.
Dit staat bekend als de persoonlijke modus.
De andere manier is door het te gebruiken in een grote
omgeving waar u de bedrijfsmodus gebruikt
en dat is waar elke gebruiker een
enkele gebruikersnaam en wachtwoord krijgt die uniek voor hen
zijn en ze zullen een centrale authenticatieserver
gebruiken met behulp van native WPA2 of dat overdragen naar een
801. 1x authenticatieserver.
Voor het examen wil ik dat
je vier dingen onthoudt over draadloze beveiliging en als
je de vier dingen op deze
grafiek onthoudt, zul je het geweldig doen.
Ten eerste, altijd als je het woord open ziet
in verband met een draadloos netwerk,
betekent dat geen beveiliging, geen bescherming, geen wachtwoord.
Als je WEP hoort, wil ik dat
je dit associeert met initialisatievectoren.
Dat is de fout in WEP en dat is waar
je over zult horen tijdens de test.
WEP is zwak, WEP is slecht.
WEP gebruikt initialisatievectoren.
Als je WPA ziet, wil ik dat je denkt
aan TKIP en RC4 omdat TKIP allemaal werd gebruikt om de initialisatievectoren
te vervangen en RC4 was de vorm van versleuteling.
Nogmaals, WPA wordt als zwak beschouwd, gebruik het niet.
Als je vervolgens WPA2 ziet, moet je
denken aan de acroniemen CCMP en AES.
CCMP is een Integrity Protocol en AES
is het encryptiemechanisme dat we gebruiken.
Dit is je sleutel tot het beantwoorden van draadloze
vragen voor de veiligheid op de examendag.
Laten we het nu eens hebben over het filteren van MAC-adressen.
We kunnen onze toegangspunten configureren met een ACL
en deze kan naar deze adressen kijken en bepaalde
MAC-adressen toestaan of weigeren om verbinding te
maken met het netwerk.
Als mijn iPhone bijvoorbeeld verbinding probeert te maken met
het netwerk en het is niet geautoriseerd of het staat op de Deny-lijst,
dan kan het die handdruk niet maken en kan
het niet communiceren.
Het probleem met Mac-filtering is nog
steeds dat het heel gemakkelijk is om je
MAC-adres te veranderen en te vervalsen.
Gebruikers met kennis van zaken kunnen hun Mac-adres
heel snel wijzigen met behulp van vrij verkrijgbare hulpprogramma's
en het duurt echt zo'n vijf seconden om het te doen.
Dit zal sommige mensen tegenhouden,
maar het is niet waterdicht en het zal niet iedereen tegenhouden.
Als je je Mac-adres wilt wijzigen
en je gebruikt tools zoals Mac Address Changer voor Windows,
Mac Daddy X voor OSX- en MAC-systemen of Mac changer voor
Linux, dan zijn dit allemaal heel
eenvoudige tools om te gebruiken.
Mac adressen zullen je geen geweldige
bescherming bieden, maar volgens het examen is het een bescherming die je
kunt gebruiken als onderdeel van je verdedigings-
en dieptestrategie.
In de echte wereld hoef je je dus niet al te veel zorgen te maken
over het filteren van de Mac, maar voor het examen beschouwen
ze het wel als een goede beveiligingsmaatregel.
Vervolgens hebben we het uitschakelen van je SSID broadcast,
wat wordt beschouwd als een kleine beveiligingshulp
om je netwerken te beschermen.
Volgens het examen is dit, net als MAC-filtering,
goed om te doen.
In de echte wereld duurt het
echter niet lang om een verborgen SSID te vinden.
Wat is nu precies een SSID?
Nou, het staat voor de server set identifier en
het is hoe je draadloze netwerk eigenlijk heet.
Als je bijvoorbeeld naar Starbucks gaat,
hebben ze er een met de naam "Starbucks Guest" of als
je naar mijn huis gaat, heb ik er een met de naam "Dion" en op die manier kun
je zien dat de serverset naar buiten gaat en
zegt: "Hé, Dion is hier, moet ik er verbinding mee maken? En als je naar een netwerk zoekt, zie
je al die lijsten
met namen om je heen, toch?
Als je het uitzenden van de Server Set ID uitschakelt, wordt deze
niet uitgezonden en zal deze niet
verschijnen in de beschikbare netwerken.
Op deze manier moet de gebruiker handmatig de naam
intypen om verbinding te maken met je netwerk,
zodat ze echt moeten weten dat het er is.
Het probleem hiermee is dat het met behulp
van draadloze penetratietechnieken heel eenvoudig is om deze te
vinden en je er nog steeds verbinding mee kunt maken.
Als je alleen je uitzending uitschakelt,
is dat niet erg veilig.
Maar als je dit doet in combinatie met MAC-filtering en
een goed, lang en sterk wachtwoord, begin
je de beveiliging te gelagen en krijg
je een betere beveiligingshouding.