1 / 49

Rappels

Rappels. Questions : frjms@microsoft.com Présentations : http://www.microsoft.com/france/securite. Sécurisation des réseaux sans fil. Pascal Sauliere Consultant Principal Sécurité, CISSP Microsoft France. Wi-Fi pour tout le monde !. 802.11-1999. WEP : Wired Equivalent Privacy (!)

tierra
Download Presentation

Rappels

An Image/Link below is provided (as is) to download presentation Download Policy: Content on the Website is provided to you AS IS for your information and personal use and may not be sold / licensed / shared on other websites without getting consent from its author. Content is provided to you AS IS for your information and personal use only. Download presentation by click this link. While downloading, if for some reason you are not able to download a presentation, the publisher may have deleted the file from their server. During download, if you can't get a presentation, the file might be deleted by the publisher.

E N D

Presentation Transcript

  1. Rappels • Questions :frjms@microsoft.com • Présentations :http://www.microsoft.com/france/securite

  2. Sécurisation desréseaux sans fil Pascal Sauliere Consultant Principal Sécurité, CISSP Microsoft France

  3. Wi-Fi pour tout le monde !

  4. 802.11-1999 • WEP : Wired Equivalent Privacy (!) • Une clé de 40 ou 104 bits • Chiffrement : RC4 (IV+clé) • Pas de gestion des clés • IV trop petit (24 bits) • Intégrité : CRC32 non approprié • Configurations par défaut « ouvertes »

  5. Et dans la pratique ? (à but éducatif uniquement…)

  6. Wi-fi sécurisé ? • Ne pas déployer de réseau sans fil • Risque = points d’accès pirates • Sécurité 802.11 d’origine (WEP) • Risque associé à la faiblesse de WEP • Utiliser un VPN • Non transparent pour le client, introduit un goulot d’étranglement • Utiliser IPsec • Pas d’authentification utilisateur, complexe • Utiliser 802.1x, EAP-TLS ou PEAP • État de l’art actuel pour l’authentification • Utiliser 802.11i (WPA/WPA2) • État de l’art actuel pour la confidentialité et l’intégrité des données

  7. 802.11 d’origine Authentification 802.11 native Chiffrement WEP statique 1999 802.1x avec WEP Authentification 802.1x Gestion des clés 802.1x Protection des données dynamique 2001 WPA Authentification 802.1x Gestion des clés 802.1x améliorée Protection des données TKIP 2003 802.11i (WPA2) Authentification 802.1x Gestion des clés 802.1x améliorée Protection des données AES-CCMP Pré-authentification 2004

  8. Sommaire • Faiblesse des protocoles 802.11 d’origine • 802.1x – EAP-TLS, PEAP • 802.11i, WPA, WPA2 • Mise en œuvre dans Windows • Scénarios de déploiement • Synthèse

  9. IEEE 802.1x (2001)Port-based Network Access Control • Protocole indépendant du support physique (Ethernet, WiFi) • Point d’accès (AP) compatible 802.1x • Pas de contrainte sur les cartes réseau sans fil • Authentification avec EAP (RFC 3748) • Extensible Authentication Protocol – IETF • Choix du protocole d’authentification (méthode EAP) • L’AP ne s’occupe pas des méthodes EAP • Autorisations avec RADIUS (RFC 2865) • Chiffrement du trafic : • Gestion dynamique des clés 802.11 WEP

  10. 802.1x – Vocabulaire Authentificateur Serveur d’authentification Supplicant

  11. 802.1xPort contrôlé et port non contrôlé Authentificateur Serveur d’authentification Supplicant Port non contrôlé Port contrôlé État non authentifié État authentifié Autres ressources Accès autorisé Accès bloqué

  12. RADIUS –Remote Authentication Dial-In User ServiceAAA – Authentification, Autorisations, AccountingRFC 2865 Clients Point d’accès sans fil Serveur VPN Serveurs d’accès Clients RADIUS Serveur de modem = Proxy RADIUS Protocole RADIUS Base de comptes d’utilisateurs Serveur RADIUS

  13. EAPExtensible Authentication ProtocolRFC 3748 • Extension de PPP pour des mécanismes arbitraires d’authentification d’accès réseau • Plug-in d’authentification sur le client et le serveur RADIUS Serveur RADIUS Point d’accès Client Wi-Fi Messages RADIUS Messages EAP Dialogue EAP

  14. Authentification 802.11 association EAPOL-start EAP-request/identity RADIUS-access-request (EAP) EAP-response/identity RADIUS-access-challenge (EAP) EAP-request RADIUS-access-request (EAP) EAP-response (credentials) RADIUS-access-accept (EAP) EAP-success EAPOW-key (WEP) Access allowed RADIUS authentication server Client supplicant Point d’accès authenticator Access blocked

  15. Clés de chiffrement • Le client et le serveur RADIUS génèrent des clés de session WEP par utilisateur • Jamais transmises dans l’air • RADIUS envoie la clé à l’AP, chiffrée avec le secret partagé • Le point d’accès a une clé WEP globale • Utilisée pendant l’authentification de l’AP au client • Envoyée dans un message EAPOW-key • Chiffrée avec la clé de session • Les clés de session sont re-générées quand… • Durée de vie expirée (60 minutes par défaut) • Le client se déplace vers un nouvel AP

  16. Architecture EAP MS CHAP v2 TLS SecurID GSS_API Kerberos Méthode TLS PEAP IKE MD5 EAP EAP Media … 802.11 PPP 802.3 802.5

  17. Méthodes EAPRFC 4017 : Critères de conformité des méthodes EAP pour les réseaux sans fil • EAP-MD5-Challenge • Obligatoire dans toute implémentation de EAP selon RFC 3748 • Utilise CHAP pour authentifier l’utilisateur • Non conforme pour le sans fil : hashes transmis en clair, pas d’authentification mutuelle • EAP-TLS (RFC 2716) • Authentification TLS • Certificats serveur et clients : nécessite une PKI • Détermination des clés 802.11 • PEAP (Protected EAP) : • Protège le protocole d’authentification, même faible (MS CHAP v2) • Certificat Serveur uniquement • Détermination des clés 802.11

  18. PEAPMicrosoft, Cisco, RSA • Crée un tunnel TLS avec le certificat du serveur RADIUS uniquement • Authentifie le client dans ce tunnel • Le protocole d’authentification est protégé EAP RADIUS-EAP Certificat Serveur TLS EAP Authentification

  19. PEAP • PEAP-EAP-MS-CHAP v2 • MS-CHAP v2 utilise un mot de passe (utilisateur et/ou machine) • Pas de certificat client • Solution si pas de PKI • PEAP-EAP-TLS • Nécessite un certificat client, donc une PKI • Protège l’identité du client • Plus lent que EAP-TLS

  20. 802.1x : est-ce suffisant ? • Non • Il résout : • La découverte des clés – changement fréquent et clés distinctes par client • Les points d’accès pirates et attaques « man in the middle » – authentification mutuelle • Accès non autorisés – authentification des utilisateurs et des machines • Il ne résout pas les problèmes liés à WEP en terme de confidentialité, intégrité

  21. Sommaire • Faiblesse des protocoles 802.11 d’origine • 802.1x – EAP-TLS, PEAP • 802.11i, WPA, WPA2 • Mise en œuvre dans Windows • Scénarios de déploiement • Synthèse

  22. 802.11i • Ratifié par l’IEEE en juillet 2004disponible : http://standards.ieee.org/getieee802/802.11.html • WPA (Wi-fi Protected Access) : depuis 2003, norme intermédiaire de fait (Wi-Fi Alliance), sous-ensemble de 802.11i • Obligatoire pour le logo Wi-fi depuis août 2003 • WPA2 : certification des équipements compatibles 802.11i (Wi-Fi Alliance) • Premiers produits certifiés en septembre 2004 www.wi-fi.org

  23. 802.11i Authentication Session Key distribution 802.11i key management Data protection : TKIP and CCMP Security Capabilities Discovery(IE = Information Element) Security Negociation AuthenticationServer AccessPoint Station

  24. 802.11iConcepts • AES-CCMP – nouveau protocole fondé sur AES-128 en mode CCM • TKIP – conçu comme un patch logiciel de WEP pour les environnements existants • RSNA State Machines – automate 802.11i • PRF – Pseudo-Random Function, pour la construction des clés de session • PMK – Pairwise Master Key – jeton d’autorisation de la session • KCK – Key Confirmation Key – clé d’authentification de la session • KEK – Key Encryption Key – clé de chiffrement des clés • TK – Temporal Key – clé de chiffrement de la session • 4-Way Handshake – Protocole 802.11i de gestion des clés • RSN IE – Structure de donnée pour l’annonce et la négociation des capacités de sécurité Composants externes à 802.11i : • 802.1x – protocole, ports contrôlé et non contrôlé, authentificateur/supplicant • Serveur d’authentification (AS) – RADIUS

  25. TKIP – Temporal Key Integrity Protocol • Solution temporaire, court terme (patch WEP  TKIP, interopérabilité) • Corrige les problèmes connus de WEP : • Empêche de « forger » des trames • Empêche de « rejouer » (replay) • Corrige la mauvaise implémentation du chiffrement dans WEP • Ne réutilise jamais les clés

  26. TKIP – Temporal Key Integrity Protocol • Clés : • 1 clé 128 bits pour le chiffrement RC4 • 2 clés 64 bits pour l’intégrité (AP et STA utilisent une clé différente) • Michael • Code d’intégrité de message (MIC), utilise deux clés 64 bits • Contre-mesures • IV 48 bits (24 dans WEP) – mécanisme anti-replay

  27. AES-CCMP128 bit AES in Counter Mode with CBC-MAC Protocol • Conception nouvelle, nécessite du nouveau matériel • Solution long terme • État de l’art cryptographique • AES peut être remplacé par tout algorithme de chiffrement par bloc de 128 bits • CCM : confidentialité et intégrité • Résout les problèmes de WEP

  28. Modes WPA/WPA2 • Mode Entreprise (802.1x, RADIUS) • Nécessite un serveur d’authentification • RADIUS pour authentification et distribution des clés • Gestion centralisée des utilisateurs • Mode Personnel : clé partagée – pre-shared key (PSK) • Ne nécessite pas de serveur d’authentification • « Secret partagé » pour l’authentification sur le point d’accès – 256 bits • Génération de la clé depuis une passphrase : algorithme imposé

  29. Comparaison

  30. Sommaire • Faiblesse des protocoles 802.11 d’origine • 802.1x – EAP-TLS, PEAP • 802.11i, WPA, WPA2 • Mise en œuvre dans Windows • Scénarios de déploiement • Synthèse

  31. Windows XP Gold : • 802.1x EAP-TLS • Wireless Zero Configuration Service • SP1 : PEAP • 802.1x PEAP-EAP-MS-CHAPv2 • 802.1x PEAP-EAP-TLS • SP2 : WPA (authentification, TKIP, AES optionnel) • Ou SP1+KB.826942 http://support.microsoft.com/kb/826942info : http://support.microsoft.com/kb/815485 • SP2+KB.893357 : WPA2 (29 avril 2005) • http://support.microsoft.com/kb/893357

  32. Authentification • Open • Shared • WPA • WPA-PSK • WPA2 • WPA2-PSK • Chiffrement • Désactivé • WEP • TKIP • AES

  33. 802.1x • EAP-TLS : « carte à puce ou autre certificat » • PEAP • MS-CHAP v2 • EAP-TLS

  34. Authentification 802.1x avec Windows • Phase 1 – logon machine • Association 802.11 (Open) • Authentification de l’AP (secret RADIUS) • Authentification du serveur RADIUS (certificat) • Authentification de la machine • Connexion du « Controlled Port » - pour l’accès de la machine aux ressources autorisées • Phase 2 – logon utilisateur • Authentification de l’utilisateur • Connexion du « Controlled Port » - pour l’accès de l’utilisateur aux ressources autorisées

  35. Pourquoi authentifier la machine ? • Logon de la machine dans le domaine nécessaire: • Group Policies • Scripts de logon machine • Management : inventaire, déploiement d’application par GPO/SMS/autres • Expiration du mot de passe de l’utilisateur : • Connexion et logon machine nécessaires pour la notification de l’utilisateur le changement de mot de passe

  36. EAP-TLS avec carte à puce • Correctif 890937 (21/1/2005)http://support.microsoft.com/kb/890937 • Permet d’authentifier : • la machine avec son certificat logiciel • L’utilisateur avec sa carte à puce HKLM\SYSTEM\CurrentControlSet\Services\RasMan\PPP\EAP\13UseSoftTokenWithMachineAuthentication = 1

  37. WPA2 Windows XP SP2 et http://support.microsoft.com/kb/893357 • Disponible le 29 avril 2005 • Inclut les fonctions obligatoires supplémentaires de 802.11i

  38. Internet Authentication Server (IAS) • Serveur RADIUS de Microsoft • Remote Access Policies • EAP-TLS, PEAP (MS-CHAP v2, EAP-TLS) • Certificate Services • PKI avec auto-enrôlement des machines et des utilisateurs • Active Directory • Gestion centralisée des machines et utilisateurs • Configuration centralisée des clients Wi-Fi (Group Policies) [WPA : SP1]

  39. Mise en œuvre • Construire le serveur IAS Windows Server 2003 • Joindre le domaine • Obtenir un certificat pour le serveur • Enregistrer le serveur IAS dans l’AD • Configurer le logging RADIUS • Ajouter l’AP comme client RADIUS • Configurer l’AP pour RADIUS et 802.1x • Créer la « stratégie d’accès distant » • Configurer les clients (ne pas oublier d’importer le certificat de l’autorité racine)

  40. Sommaire • Faiblesse des protocoles 802.11 d’origine • 802.1x – EAP-TLS, PEAP • 802.11i, WPA, WPA2 • Mise en œuvre dans Windows • Scénarios de déploiement • Synthèse

  41. Réseau Wi-Fi de Microsoft • Un des plus importants déploiements d’entreprise • 42 000 utilisateurs dans 42 pays • 150+ bâtiments dans le monde • 4360+ points d’accès • 420 000 m2 couverts • 10 000+ utilisateurs simultanés sur le campus • Sécurisé par 802.1x avec EAP-TLS et PEAP

  42. Securing Wireless LANs - A Windows Server 2003 Certificate Services Solution • http://www.microsoft.com/technet/security/prodtech/win2003/pkiwire/SWLAN.mspx • http://go.microsoft.com/fwlink/?LinkId=14844

  43. Securing wireless LANs with PEAP and passwords • http://www.microsoft.com/technet/security/guidance/peap_0.mspx • http://go.microsoft.com/fwlink/?LinkId=23481

  44. Sommaire • Faiblesse des protocoles 802.11 d’origine • 802.1x – EAP-TLS, PEAP • 802.11i, WPA, WPA2 • Mise en œuvre dans Windows • Scénarios de déploiement • Synthèse

  45. Synthèse • Aujourd’hui • Entreprises : 802.1x • EAP-TLS si vous avez une PKI • PEAP-EAP-MS-CHAP v2 sinon • WPA ou WPA2 si possible (matériels récents) • Particuliers et petites entreprises : • WPA ou WPA2 (PSK) si possible (matériels récents)

  46. Références • The Unofficial 802.11 Security Web PageBernard Aboba, Network Architect, Windowshttp://www.drizzle.com/~aboba/IEEE/ • Wi-Fihttp://www.microsoft.com/wifihttp://www.wi-fi.org • Guides Solutions Microsoft • Securing Wireless LANs - A Windows Server 2003 Certificate Services Solution http://www.microsoft.com/technet/security/prodtech/win2003/pkiwire/SWLAN.mspxhttp://go.microsoft.com/fwlink/?LinkId=14844 • Securing wireless LANs with PEAP and passwordshttp://www.microsoft.com/technet/security/guidance/peap_0.mspxhttp://go.microsoft.com/fwlink/?LinkId=23481

  47. Références • The Cable Guy - March 2003Wi-Fi Protected Access (WPA) Overviewhttp://www.microsoft.com/technet/community/columns/cableguy/cg0303.mspx • The Cable Guy – November 2004Wi-Fi Protected Access Data Encryption and Integrityhttp://www.microsoft.com/technet/community/columns/cableguy/cg1104.mspx • The Cable Guy - May 2005Wi-Fi Protected Access 2 (WPA2) Overviewhttp://www.microsoft.com/technet/community/columns/cableguy/cg0505.mspx

  48. Microsoft France 18, avenue du Québec 91 957 Courtaboeuf Cedex www.microsoft.com/france 0 825 827 829 msfrance@microsoft.com

More Related