Toni Pérez toni.perez (at) uib.es

Transcripción

1 Toni Pérez toni.perez (at) uib.es

2

3 Introducción Puede ser segura la wifi? Segura si! Alta disponibilidad nunca! Disponibilidad vulnerable a nivel 1 y 2 Seguridad equivalente al cableado Necesario acceso 802.1x/TLS y cifrado AES Pero podremos ser tan estrictos? Os suena: Este cacharro tiene wifi y sólo soporta wep Estos invitados necesitan wifi inmediatamente

4 Qué estamos securizando? Introducción Un servicio complementario no crítico Complementa al cableado existente, no lo substituye Movilidad en un entorno heterogéneo Simplificar el servicio 802.1X es lo más cómodo una vez configurado Gran diversidad de terminales y versiones Usuarios con diferentes necesidades

5 Arquitectura segura wifi Despliegue de APs Prevenir el robo de APs Definir vlan de gestión Recomendable sistema centralizado Gestión óptima de canales y potencia Facilidad de despliegue de vlans y ssids Autenticar el AP Certificado del AP Punto protegido con 802.1X

6 Arquitectura segura wifi Despliegue de APs

7 Configuraciones extra Arquitectura segura wifi Obligatorio DHCP El controler bloquea IPs estáticas No permitir tráfico entre los usuarios wifi Juegos en red, propagación de bichos varios, etc Problemas: VoIP (streams udp directos) y otros P2P Opcional: Autenticar las tramas de gestión Evitar Deauth Floods Problema de compatibilidad

8 Arquitectura segura wifi Despliegue de APs

9 Despliegue de SSIDs Arquitectura segura wifi Minimizar el número de SSIDs: Uno por acceso Vlans dedicadas únicamente a wifi SSID Open-Auth: Portal cautivo Eventos Intranet y manuales de configuración eduroam SSID Eduroam: 802.1x Único para todos los usuarios Segmentar vlans PDI,ALU,etc vía atributos RADIUS Aprovechar los atributos para vpn, lan-802.1x, etc

10 Autenticar usuarios Arquitectura segura wifi Evitar el uso de PSK: si podemos Un secreto compartido no es un secreto Con wep estamos perdidos Con tkip es más teórico que práctico Fuerza bruta contra la PMK (AES/TKIP)

11 Autenticar usuarios Arquitectura segura wifi

12 Autenticar usuarios Arquitectura segura wifi 802.1x-Enterprise Una vez configurado es lo mas práctico Problemas: Gestión y distribución de credenciales El cliente decide si verifica el certificado del servidor Quién se atreve con TLS?

13 Autenticar usuarios Arquitectura segura wifi Portal cautivo Necesario Eventos Acceso a Intranet y manuales para activar servicio eduroam Terminales no compatibles eduroam Cómo ciframos? Nivel 3: VPN/SSL-VPN? VPN? Ojo! DNS-Tunneling

14 Arquitectura segura wifi DNS-Tunneling DNS DNS micasa.es Petición DNS: [..]..03.micasa.es Internet Respuesta en el campo de TXT: [..]..e6e5 Paquetes IP!!!

15 Arquitectura segura wifi DNS-Tunneling

16 NAC Control de admisión NAC Arquitectura segura wifi Difícil con la diversidad de terminales Alguna experiencia:

17

18

19

20

21

22

23 Capas de análisis/filtrado Arquitectura segura wifi Análisis/bloqueo de anomalías wifi (IDS/IDP) Políticas 802.1x vía atributos Radius Filtros de visibilidad: Firewall Análisis/bloqueo de anomalías IP (IDS/IDP) Gestión de ancho de banda LAN/Internet WIFI

24 Arquitectura segura wifi Red de Sensores Los APs y los clientes: son sensores Podemos construir sensores (Kismet+OpenWRT) Podemos comprar sensores

25 Amenazas Localización de amenazas

26 Amenazas Identificación de usuarios

27 Amenazas Rouge APs Rouge AP en vlan cableada Bridge: Un AP en la LAN Router: Un router-wifi en la LAN PC de usuario en modo bridge/router router eduroam OpenAuth MiDespacho OpenAuth VLAN cableada

28 Amenazas Usuario Bridge/Router

29 Suplantación del Portal cautivo Amenazas Robo de credenciales Usuarios que no verifican el certificado Gran problema: unificar servicios/credenciales (SIR) Captura de tráfico

30 Amenazas Suplantación de SSIDs

31 Amenazas Suplantación de SSIDs

32 Amenazas Suplantación de AP/Radius Robo de credenciales (TTLS/PAP) El usuario decide si verifica o no el certificado Robo de sesiones Es más teórico que práctico

33 Robo de sesión/credenciales Amenazas Client MitM <- Rogue AP/Client -> AP TTLS Server AAA-H Server EAP/Identity Request EAP/Identity Response Tunnel establishment Tunnel Keys Derived Tunnel Keys Derived EAP-Method in Tunnel EAP/Identity Request EAP/Identity Response (user EAP/ Request / Method Challenge EAP/Response/ Method Response EAP/ Success WLAN Session Stolen Tunnel Keys Inner EAP Method Keys Derived & Not used

34 Amenazas Conexión a vecinos Terminales cableados conectados a vecinos wifi

35 Amenazas Cifra tráfico hacia el portal Confidencialidad en los accesos vía portal Solución de nivel 3: VPN/SSL-VPN Compatibilidad con todos los terminales?

36 Amenazas DoS nivel 2 Disponibilidad: nivel 2 DoS a nivel 2: Deauth floods MFP: Management Frame Protection Queremos asegurar la compatibilidad?

37 Amenazas DoS nivel 1 Disponibilidad: nivel 1 DoS a nivel 1: Jammers o fuentes de ruido 34 APs!!!

38 Amenazas Localizar fuentes de ruido

39 Amenazas Localizar fuentes de ruido

40 Amenazas Localizar fuentes de ruido

41 Amenazas Consultar/correlar Logs Si estamos aburridos: podemos mirar logs (IDS) Deautenticaciones Inyecciones de tráfico NetStumblers, etc IPS-wifi Activamos la protección activa?

42 Conclusión Seamos realistas Todo este trabajo Para virtualizar un cable!! Hay frentes más vulnerables y fructíferos Puertas blindadas en paredes de pladur Ojalá la LAN tuviera esta gestión de acceso Exportar la experiencia 802.1x a la LAN

43 Toni Pérez Sánchez toni.perez (at) uib.es