Istruttore: In questa lezione
parleremo di come proteggere le reti
wireless da alcune minacce.
Le reti wireless offrono una grande comodità, ma comportano
anche molti rischi per la sicurezza perché, a differenza di
una rete cablata, finché mi trovo nel raggio d'azione
del segnale wireless, posso connettermi con il mio smartphone,
il mio tablet o il mio computer portatile.
Per proteggere la vostra rete, dovete assicurarvi
di sapere a cosa si connettono i vostri dispositivi
e, una volta connessi, dovete assicurarvi
che i dati inviati siano crittografati.
La prima cosa che vogliamo fare è assicurarci
che qualsiasi cosa stiamo trasmettendo sia fatta privatamente per
aumentare la sicurezza delle nostre reti.
Uno dei modi per farlo
è la cosiddetta chiave pre-condivisa.
Ora, una chiave pre-condivisa è quella in cui entrambi
i punti finali, sia il punto di accesso che il client sul laptop
o sullo smartphone, hanno la stessa chiave di crittografia.
Se utilizzo una password da una parte e la stessa password
dall'altra e queste corrispondono, si utilizza la stessa
chiave precondivisa per creare il tunnel di crittografia.
L'utilizzo di una chiave pre-condivisa
presenta però un paio di problemi.
In primo luogo, la scalabilità diventa un grosso problema per noi.
Supponiamo di avere un ufficio con 50 utenti diversi,
tutti connessi alla rete wireless e tutti
con la stessa chiave pre-condivisa.
Ma diciamo che domani vado al lavoro
e licenzio uno dei dipendenti.
Ora, quel dipendente conosce la chiave pre-condivisa, quindi
indovinate cosa dobbiamo fare?
Dobbiamo cambiare la chiave pre-condivisa
e, poiché io devo cambiare la chiave pre-condivisa,
tutti gli altri 50 dipendenti devono sapere qual è la nuova
chiave per poterla cambiare.
È come cambiare la chiave della porta di casa.
Se avete 10 membri della famiglia,
ora dovete fare 10 copie di quella chiave.
Dal momento che tutti i clienti utilizzano la
stessa password e la stessa chiave, per noi è molto
difficile cambiare e gestire correttamente le chiavi.
Questo è uno dei motivi principali per
cui non utilizziamo le chiavi pre-condivise in ambienti di grandi dimensioni.
Ma se si tratta di un piccolo ufficio o di un ambiente domestico,
come la vostra casa, o di un piccolo ufficio di 10 dipendenti
o meno, potete utilizzare una chiave pre-condivisa perché è
davvero facile configurare le reti in questo modo, dato
che avete solo un paio di dispositivi.
Per quanto riguarda la sicurezza
wireless, esistono tre metodi principali.
Il primo è il WEP, poi ci sono il WPA e il WPA2.
Quando si parla di WEP,
si parla di Wired Equivalent Privacy.
Si tratta della sicurezza wireless originale,
che è stata inventata con la prima
versione del wifi con l'802. 11.
Ora, la società sostiene di essere sicura come le reti cablate,
da cui il nome di "privacy equivalente cablata". Ma la verità è che non è sicuro e
al giorno d'oggi non si dovrebbe
mai usare il WEP perché è un protocollo
molto insicuro.
Il funzionamento del WEP prevede l'utilizzo di una chiave pre-condivisa.
Tutti hanno la stessa chiave ed è una chiave statica a 40
bit, molto piccola e facile da forzare
o indovinare con un computer potente.
Nel corso del tempo, per rendere il WEP
più sicuro, la chiave è passata da 40 a 64 bit e poi ancora
a 128 bit, risolvendo il problema della lunghezza della
chiave, ma non risolvendo un altro
problema, noto come vettore di inizializzazione.
Il funzionamento del WEP prevede
l'utilizzo di un vettore di inizializzazione a 24 bit,
ovvero una serie di 24 uni e zeri che verranno chiamati
vettore di inizializzazione.
Questo viene inviato in chiaro e se si cattura un numero sufficiente
di questi vettori di inizializzazione è possibile
decifrare la chiave di crittografia e indovinare a ritroso la chiave pre-condivisa
utilizzata per la password WEP.
In effetti, utilizzando Aircrack NG, è possibile farlo in circa
due o tre minuti con la maggior parte dei computer portatili moderni.
Il prossimo argomento di cui vogliamo parlare è il WPA.
WPA o Wifi Protected Access è stato il sostituto del WEP a causa
della debolezza di questo
vettore di inizializzazione a 24 bit.
Per ovviare a questo problema, è stato introdotto
il cosiddetto TKIP, il protocollo di integrità a chiave temporale.
Ora TKIP sostituisce il vettore di inizializzazione
a 24 bit con un nuovo vettore a 48 bit.
Questo ha raddoppiato la sua forza,
ma è ancora considerato piuttosto
debole quando si parla di informatica moderna.
L'altra cosa che hanno fatto è stata
l'aggiunta di un nuovo tipo di crittografia chiamato
RC4, o Rivest Cipher 4, ed è abbastanza buono, ma ancora una volta, per
gli standard odierni è considerato debole.
Il WPA voleva anche aggiungere una certa integrità ai dispositivi e lo
ha fatto assicurandosi che nessuno potesse condurre
un attacco man in the middle e modificare le informazioni.
Per farlo, si usava una cosa chiamata MIC, message integrity
check, che è una forma di hashing dei dati
prima del loro invio e in questo modo si
poteva verificare che non venissero modificati
durante il transito nella rete.
Ora, anche WPA si è accorto che c'è un difetto con questa
chiave pre-condivisa e che è in grado di
inviare nuove chiavi molto rapidamente, quindi ha aggiunto
una cosa nota come modalità enterprise all'interno di WPA.
Con la modalità enterprise, l'utente
può effettivamente autenticarsi prima di scambiare
le chiavi e creare temporaneamente
nuove chiavi tra il client e l'access point.
In questo modo si è cercato di risolvere il problema della scalabilità
della chiave pre-condivisa, ma alla fine dei conti WPA è ancora
considerato debole per gli standard
odierni ed è stato sostituito da una versione più moderna nota
come WPA2 o Wifi Protected Access 2.
Ora, WPA2 è lo standard attuale e sono stati creati
nell'ambito dell'802. Standard 11i.
La prima implementazione è stata
Wireless G, poi Wireless N e Wireless AC.
Richiede un'autenticazione più forte
e controlli di crittografia e integrità più rigorosi.
Il controllo dell'integrità viene effettuato utilizzando CCMP.
Ora, CCMP è l'acronimo di Counter Mode with
Cipher Blockchaining Message
Authentication Code Protocol, che
è una parola che non dovrete memorizzare
per l'esame o il suo significato.
È necessario ricordare che ogni volta che si vede
CCMP si deve pensare che questo fa parte della sicurezza WPA2.
La seconda cosa che hanno fatto è stata
quella di sostituire il vecchio meccanismo di crittografia
RC4 attraverso il VES Cipher 4 con il nuovo meccanismo
noto come Advanced Encryption Standard o AES.
Attualmente AES utilizza una chiave a 128 bit e alcuni modelli
più recenti possono utilizzare una chiave a 256 bit o più.
Questo garantisce una maggiore sicurezza e riservatezza
dei dati che transitano su questa rete wireless.
Al momento di questa particolare registrazione,
l'AES non è ancora stato violato e il WPA2, l'algoritmo stesso,
non è stato violato, quindi è una buona
cosa da usare se si dispone
di una password lunga e forte.
Attualmente, l'unico modo in cui le persone sono
in grado di penetrare in queste reti è l'utilizzo di attacchi alle password,
il che significa che cercano di indovinare le password
indovinando tutte le opzioni possibili utilizzando
un attacco a forza bruta o un attacco a dizionario.
Quindi, se volete proteggere le
vostre reti, assicuratevi di utilizzare una password buona, lunga e forte.
WPA2 supporta inoltre due modalità diverse a seconda della
rete su cui si intende utilizzarlo.
Se lo si utilizza in un ambiente domestico o in un piccolo ufficio,
si utilizzerà una chiave pre-condivisa in cui
tutti hanno la stessa password.
Si tratta della cosiddetta modalità personale.
L'altro modo è quello di utilizzarlo in un ambiente
di grandi dimensioni in cui si utilizza
la modalità enterprise, in
cui ogni singolo utente riceve un nome utente e una password
unici e utilizza un server di autenticazione
centrale utilizzando il WPA2 nativo o scaricandolo su un
801. 1x.
Per l'esame, voglio che
ricordiate quattro cose sulla sicurezza wireless e se ricorderete
le quattro cose di questa
tabella andrete alla grande.
In primo luogo, ogni volta che si vede la parola
"aperto" in riferimento a una rete
wireless, significa che non c'è sicurezza, né protezione, né password.
Se sentite parlare di WEP, voglio
che lo associate ai vettori di inizializzazione.
Questo è il difetto del WEP ed è quello
di cui si parlerà durante il test.
Il WEP è debole, il WEP è cattivo.
WEP utilizza vettori di inizializzazione.
Se vedete WPA, voglio che pensiate
a TKIP e RC4 perché TKIP è stato utilizzato per sostituire
i vettori di inizializzazione e RC4 è stata
la sua forma di crittografia.
Ancora una volta, il WPA è considerato debole, non usatelo.
Se poi vedete WPA2, dovreste pensare
agli acronimi di CCMP e AES.
CCMP è un protocollo di integrità e AES
è il meccanismo di crittografia utilizzato.
Questa è la chiave per rispondere alle domande wireless
per la sicurezza il giorno dell'esame.
Parliamo poi un po' del filtraggio degli indirizzi MAC.
Possiamo configurare i nostri punti di accesso con una ACL
e questa sarà in grado di esaminare questi indirizzi
e di consentire o negare a determinati indirizzi MAC di
connettersi alla rete.
Ad esempio, se il mio iPhone tenta di connettersi alla
rete e non è autorizzato o è nell'elenco dei rifiuti, non
sarà in grado di effettuare l'handshake
e non potrà comunicare.
Ora, il problema del filtraggio dei Mac risiede
ancora nel fatto che è molto facile cambiare il
proprio indirizzo MAC e creare uno spoofing.
Gli utenti esperti possono cambiare l'indirizzo
del proprio Mac in modo molto rapido, utilizzando strumenti
liberamente disponibili e impiegando circa cinque secondi.
Questo fermerà alcune persone,
ma non è infallibile e non fermerà tutti.
Se volete cambiare l'indirizzo
del vostro Mac e utilizzate strumenti come Mac Address
Changer per Windows, Mac Daddy X per i sistemi OSX e MAC,
o Mac changer per Linux, sono tutti
strumenti molto semplici da utilizzare.
Gli indirizzi Mac non saranno una fonte
di grande protezione per voi, ma secondo l'esame, è una protezione che potete utilizzare
per formare una parte della vostra strategia
di difesa e profondità.
Quindi, nel mondo reale, non preoccupatevi troppo
del filtraggio dei Mac, ma per l'esame lo considerano
una buona misura di sicurezza.
Poi, abbiamo la disattivazione della trasmissione dell'SSID,
che è considerata un aiuto minore alla sicurezza
per proteggere le reti.
Ora, secondo l'esame, proprio come il filtraggio
MAC, questa è una buona cosa da fare.
Nel mondo reale, tuttavia,
non ci vuole molto per trovare un SSID nascosto.
Che cos'è esattamente un SSID?
È l'acronimo di server set identifier
ed è il nome della rete wireless.
Ad esempio, se si va da Starbucks,
ne hanno uno chiamato "Starbucks Guest" o
se si va a casa mia, ne ho uno chiamato "Dion" e in questo modo
si può vedere che il server impostato
esce e dice: "Ehi, Dion è qui, devo connettermi? E se si cerca una rete, si vede tutto l'elenco
di nomi che ci sono
intorno a noi, giusto?
Se si disattiva la trasmissione dell'ID del set di server,
il sistema non lo trasmetterà
e non apparirà nelle reti disponibili.
In questo modo, l'utente deve digitare manualmente
il nome per connettersi alla rete, quindi
deve sapere che esiste.
Il problema è che, utilizzando
tecniche di penetrazione wireless, è molto facile
trovarli e ci si può comunque connettere.
Se l'unica cosa che si fa è disabilitare la trasmissione,
non è molto sicuro.
Ma se lo si fa in combinazione con il filtraggio MAC e con
una password lunga e forte, si inizia a stratificare
la sicurezza e si ottiene una migliore
postura di sicurezza.