ieee 802 11 802 11i wireless lan
Uno sguardo approfondito alle funzionalità avanzate dei protocolli di sicurezza di rete: LAN wireless 802.11 e 802.11i e standard di autenticazione 802.1x
Nel nostro tutorial precedente, abbiamo esplorato il protocolli di sicurezza di rete basati su architettura AAA e protocolli standard IEEE 802.1x per l'autenticazione.
c ++ ide con compilatore
In questa parte sequenziale, approfondiremo alcuni più protocolli di sicurezza di rete insieme alle loro funzionalità avanzate.
Lettura suggerita => Serie di esercitazioni sulle basi della rete di computer
Esploriamo !!
Cosa imparerai:
Autenticazione e associazione 802.11
Richiede un dispositivo wireless come una stazione mobile chiamata STA e un punto di accesso (AP).
Il concetto di autenticazione 802.11 si trova tra la creazione dell'identificazione e l'autenticazione tra STA e AP. L'AP può essere un router o uno switch. Non c'è crittografia del messaggio coinvolto in questo processo.
Autenticazione
Esistono due tipi di autenticazione come indicato di seguito:
- Sistema di chiavi aperto
- Sistema a chiave condivisa
Autenticazione con chiave aperta:
La richiesta di autenticazione viene inviata dall'utente client al punto di accesso contenente la chiave WEP (wired equivalent privacy) per l'autenticazione. In risposta, il punto di accesso (AP) invia un messaggio di successo solo se la chiave WEP del client e dell'AP corrispondono tra loro, in caso contrario fa circolare un messaggio di errore.
In questo metodo, l'AP invia un messaggio di testo di prova non crittografato al client che tenta di comunicare con il punto di accesso. Il dispositivo client che richiede l'autenticazione crittografa il messaggio e lo rimanda all'AP.
Se la crittografia del messaggio viene rilevata correttamente, l'AP consente al dispositivo client di autenticarsi. Poiché utilizza la chiave WEP in questo metodo, l'AP è esposto ad attacchi di virus solo valutando la chiave WEP e quindi è meno protetto per il processo di autenticazione.
Metodo chiave WPA (Wi-Fi Protected Access): Questo metodo fornisce il livello avanzato di funzionalità di protezione dei dati per i dispositivi wireless. Questo è anche compatibile con il metodo 802.11i. In WPA-PSK, una chiave precondivisa viene generata prima dell'inizio del processo di autenticazione.
Sia il client che l'AP utilizzano PSK come PMK, chiave master pair-wise per l'autenticazione utilizzando un metodo di autenticazione EAP.
Associazione
Dopo il completamento del processo di autenticazione, il client wireless può associarsi e registrarsi con il punto di accesso che può essere un router o uno switch. Dopo l'associazione, l'AP salva tutte le informazioni necessarie relative al dispositivo a cui è associato in modo che i pacchetti di dati possano essere accuratamente destinati.
Processo di associazione:
- Al termine dell'autenticazione, la STA invia una richiesta di associazione all'AP o al router.
- Quindi l'AP elaborerà la richiesta di associazione e la concederà in base al tipo di richiesta.
- Quando l'AP consente l'associazione, ritorna alla STA con un codice di stato 0, che significa riuscita e con l'AID (ID associazione).
- Se l'associazione non è riuscita, l'AP si ripristina con la risposta alla fine della procedura e con un codice di stato di errore.
Protocollo 802.11i
L'802.11i utilizza un protocollo di autenticazione che è stato utilizzato nell'802.1x con alcune funzionalità avanzate come l'handshake a quattro vie e l'handshake con chiavi di gruppo con chiavi crittografiche adeguate.
Questo protocollo fornisce anche funzionalità di integrità e riservatezza dei dati. L'avvio dell'operazione di protocollo avviene con il processo di autenticazione che è stato fatto dallo scambio EAP con la società del server di autenticazione seguendo le regole del protocollo 802.1x.
Qui, quando viene eseguita l'autenticazione 802.1x, viene evoluta una chiave segreta nota come chiave master pairwise (PMK).
Stretta di mano a quattro vie
Qui l'autenticatore è noto come punto di accesso e il richiedente è il client wireless.
In questa stretta di mano, sia il punto di accesso che il client wireless devono verificare di avere familiarità con PMK, senza rivelarlo. I messaggi tra questi due sono condivisi in forma crittografata e solo questi hanno la chiave per decrittografare i messaggi.
Un'altra chiave nota come PTK (Pairwise Transient Key) viene utilizzata nel processo di autenticazione.
Consiste dei seguenti attributi:
- PMK
- Punto di accesso nonce
- Stazione client nonce (STA nonce)
- Indirizzo MAC del punto di accesso
- Indirizzo MAC STA
L'output viene quindi inserito nella funzione pseudo-casuale. La stretta di mano fa capitolare anche la chiave temporale di gruppo (GTK) per la decrittazione all'estremità dei ricevitori.
miglior downloader video gratuito per Windows
Il processo di handshake è il seguente:
- L'AP fa circolare un access point nonce alla STA in associazione ad un contatore a chiave, il numero utilizza totalmente il messaggio inviato e rifiuta il duplicato di ingresso. STA è ora pronto con gli attributi richiesti per costruire il PTK.
- Ora STA invia STA nonce all'AP insieme al codice di integrità del messaggio (MIC), comprensivo dell'autenticazione e del contatore della chiave, che è lo stesso inviato dall'AP in modo che entrambi corrispondano.
- AP convalida il messaggio esaminando MIC, AP Nonce e il contatore delle chiavi. Se tutto va bene, allora fa circolare la GTK con un altro MIC.
- La STA convalida il messaggio ricevuto esaminando tutti i contatori e infine invia un messaggio di riconoscimento all'AP per conferma.
Stretta di mano chiave di gruppo
Il GTK viene utilizzato ogni volta che una particolare sessione è scaduta ed è necessario l'aggiornamento per iniziare con una nuova sessione nella rete. Il GTK viene utilizzato per proteggere il dispositivo dalla ricezione di messaggi di tipo broadcast da altre risorse di altri AP.
L'handshake dei tasti di gruppo consiste in un processo di handshake a due vie:
- Il punto di accesso fa circolare un nuovo GTK a ogni stazione client presente nella rete. Il GTK viene crittografato utilizzando 16 byte della chiave di crittografia della chiave EAPOL (KEK) allocata a quella particolare stazione client. Inoltre impedisce la manipolazione dei dati utilizzando MIC.
- La stazione client riconosce la nuova GTK ricevuta e quindi inoltra la risposta al punto di accesso.
La stretta di mano a due vie avviene nel modo sopra indicato.
802.1X
È uno standard di base delle porte per il controllo dell'accesso alla rete. Fornisce il processo di autenticazione ai dispositivi che desiderano comunicare in architettura LAN o WLAN.
L'autenticazione 802.1X include tre partecipanti, ovvero un supplicant, un autenticatore e un server di autenticazione. Il richiedente sarà il dispositivo finale come un laptop, PC o tablet che desidera avviare la comunicazione sulla rete. Il richiedente può anche essere un'applicazione basata su software in esecuzione sul PC host del client.
Il richiedente fornisce anche le credenziali all'autenticatore. L'autenticatore è la macchina come uno switch Ethernet o WAP e il server di autenticazione è un dispositivo host finale remoto che esegue il software e supporta i protocolli di autenticazione.
L'autenticatore si comporta come uno scudo di sicurezza per la rete sorvegliata. Al client host che ha avviato la comunicazione non è consentito accedere al lato protetto della rete tramite l'autenticatore a meno che la sua identità non sia stata convalidata e autenticata.
Utilizzando 802.1X, il richiedente fornisce le credenziali come la firma digitale o il nome utente e la password di accesso all'autenticatore e l'autenticatore lo reindirizza al server di autenticazione per l'autenticazione.
Se le credenziali risultano essere in buona fede, il dispositivo host può accedere alle risorse situate sul lato protetto della rete.
Passaggi coinvolti nel processo di autenticazione:
- Inizializzazione: questo è il primo passo. Quando arriva un nuovo richiedente, la porta dell'autenticatore viene impostata come abilitata e posta in uno stato 'non autorizzato'.
- Iniziazione: Per avviare il processo di autenticazione, l'autenticatore trasmetterà i frame di identità della richiesta EAP a intervalli di tempo regolari all'indirizzo MAC del segmento di dati della rete. Il richiedente analizza l'indirizzo e lo ripristina e invia il frame di identità della risposta EAP che consiste in un identificatore del richiedente come una chiave segreta.
- Negoziazione: In questa fase, il server torna con una risposta all'autenticatore, con una richiesta EAP che indica lo schema EAP. La richiesta EAP viene incapsulata nel frame EAPOL dall'autenticatore e la invia al richiedente.
- Autenticazione: Se il server di autenticazione e il richiedente acconsentono sullo stesso metodo EAP, la richiesta EAP e lo scambio di messaggi di risposta EAP avverranno tra il richiedente e il server di autenticazione fino a quando il server di autenticazione non risponde con un messaggio di successo EAP o un messaggio di errore EAP .
- Dopo un'autenticazione riuscita, l'autenticatore pone la porta nello stato 'autorizzato'. Pertanto sono consentiti tutti i tipi di flusso di traffico. Se l'autorizzazione fallisce, la porta verrà mantenuta in uno stato 'non autorizzato'. Ogni volta che il client host si disconnette, invia un messaggio di disconnessione EAPOL all'autenticatore, il che mette nuovamente la porta in uno stato 'non autorizzato'.
Processo di autenticazione 802.1x
Conclusione
Qui, in questo tutorial, abbiamo esplorato il funzionamento dei protocolli di autenticazione 802.11, 802.11i e 802.1x.
Il sistema di rete diventa più sicuro, implementando il metodo EAP per l'autenticazione e utilizzando l'autenticazione reciproca sia sul client che sul punto di accesso utilizzando diversi tipi di metodi di chiave di crittografia.
Tutorial PREV | PROSSIMO Tutorial
Lettura consigliata
- IPv4 vs IPv6: qual è la differenza esatta
- Che cos'è la chiave di sicurezza di rete: come trovarla per router, Windows o Android
- Cos'è la virtualizzazione? Esempi di virtualizzazione di rete, dati, app e storage
- Passaggi e strumenti per la risoluzione dei problemi di rete di base
- Che cos'è la sicurezza di rete: tipi e gestione
- Che cosa sono i protocolli di sicurezza IP Security (IPSec), TACACS e AAA
- Cosa sono i protocolli HTTP (Hypertext Transfer Protocol) e DHCP?
- Importanti protocolli a livello di applicazione: protocolli DNS, FTP, SMTP e MIME