Cours Sécurité des Réseaux WiFi
S écurité des Réseaux WiFi
Présenté par :
?Ould Mohamed Lamine
?Ousmane Diouf
Table des matières
? Présentation du réseau WiFi
? Configuration d'un réseau WiFi
? Risques liés aux réseaux WiFi
? Règles de base de Sécurité WiFi
? Sécurisation avancée
Norme 802.11
? Adoption en 1997
? Bande 2.4 GHZ
? Bande 5 GHZ
? Debit allant de 1 Mbps à 54 Mbps
? Téchniques de modulation différentes
? 1999 WiFi Alliance
? 802.11a
8 canaux de la Bande 5 Debit de 54 Mbps modulation OFDM Portée 35m
? 802.11b
1113 canaux de la Bande 2.4 Debit de 11 Mbps modulation DSSS Portée 70m
? 802.11g
1113 canaux de la Bande 2.4 Debit de 54 Mbps modulation OFDM Portée 35 m
? 802.11n
Attendu courant 2008
Probalement 2.4 et 5 GHZ Debit de 248*2 Mbps modulation MIMO OFDM
Portée 200 m
? 802.11i
Porte sur la sécurité
Authentification
Chiffrement des transmissions pour les normes 802.11a,802.11b,802.11g.
Gestiopn et échange des clés
Modes de fonctionnement du WiFi
? Mode adhoc (ISS)
? Mode infrastructure (BSS, ESS)
? Autres modes
C onfiguration d'un réseau WiFi
? Configuration d'un point d'accès
Risques liés aux réseaux WiFi
? Interception des données
? Intrusion réseau
? Brouillage radio
? Dénis de Service
Sécurisation
Règles de base de sécurité WiFi
? Bon positionnement des équipements
? Eviter les valeurs par défaut
? Activation d'un cryptage (WEP ou WPA)
? Filtrage par adresse MAC
? Désactiver le DHCP,utilisation d'adresses fixes. ? Utilisation d'un parefeu
Cryptage des données
? WEP (Wired Equivalent Privacy)
Clé symétrique (64 bits ou 128 bits)
Algorithme de cryptage RC4
Possibilité d'avoir jusqu'à 4 clés en rotation.
Cryptage des données
? WPA (Wireless Protected Access)
Adopté en 2003, WPA2 en 2004
Algorithme TKIP, AES
Clé de 256 et de 512 bits
Mode Personnel
? Convient à l' utlisation privée
? TKIP comme algorithme
? PSK(preshared Key) de 64 à 504 bits !!
Mode Entreprise
? Convient à l' utlisation professionnelle
? Basée sur la norme 802.1x et EAP
? AES comme algorithme
? Gestion dynamique des clés de 256 ou de 512 bits
Sécurisation
Outils de piratage
? Airodump
Outil d'ecoute qui nous permet l'obtention :
ESSID et BSSID des APs
Adresses Mac de clients (à utiliser pour usurpation )
Mode de cryptage utilisé
Canaux de fréquence utilisés
Paquets IVs
Outils de piratage
? Airodump
Aircrack
Pour décrypter la clé WEP Aircrack utilise les Ivs :
? E nviron 300 000 IVs pour une clé de 64 bits
? E nviron 1 000 000 IVs pour une clé de 128 bits
? Fausse authentification par adresse MAC
? Injection de paquets pour augmenter le trafic ? Fausse authentification par adresse MAC
? Injection de paquets pour augmenter le trafic
Fausse Assiociation avec un BSSID obtenu avec Airodump
Outils de piratage
? Les informations recueillies après écoute sont utilisées pour cracker une clé avec aircrack(par exemple).
? Ethereal est utile pour obtenir l'adresse IP d'un
AP
? Faire des attaques de dictionnaire sur différents types de protocoles.
Sécurisation avancée
Méthodes d'authentification
?Portail captif
Le portail captif est composé de plusieurs fonctionnalités
Une passerelle entre plusieurs réseaux, équipée d'un filtre « firewall », pilotée par le portail http.
Un portail http permettant la saisie de l'identité de l'utilisateur.
Une base d'authentification contenant la liste des utilisateurs
E xemple portail captif(C hilliS pot)
? Toute requête http est redirigée vers une page d'authentification.
802.1x et EAP
? Standard mis en place en 2001
? Authentification dès l'accès physique au réseau.
? 802.1x s'appuie sur le protocole
EAP(Extensible Authentification Protocol).
802.1x et EAP
? Principe général basé sur 3 entités:
système à authentifier(en général poste de travail)
système authentificateur(système relais:point d'accès en WiFi)
serveur authentificateur(determine les services accessibles au demandeur:en général Serveur
Mécanismes d'authentification avec E AP
? Méthodes avec mots de passe
? Méthodes avec certificats
? Méthodes avec cartes à puce
Méthodes avec mots de passe
? LEAP(lightweight Extensible Authentification Protocol): A la base solution propriétaire Cisco,gère dynamiquement les clés WEP.
? EAPMD5 utilise MD5 ,authentification par login et mot de passe du client seul(pas d'authentification du serveur)
? EAPSKE(EAPShared Key Exchange): permet une authentification mutuelle entre le client et le serveur.
? EAP(EAP Secure Remote Password)
sécurise la communication des mots de passe.
Méthodes avec certificats
? EAPTLS(EAPTransport Layer Security) basée sur SSL(Secure Socket Layer),authentification mutuelle entre le client et le serveur à travers des certifiats. Le serveur possède une copie du certificat du client et visversat.
? EAPTTLS(EAPTunneled TLS) extension de EAPTLS génère des clés aléatoires protégées par un tunnel IPSec.
Méthodes avec certificats
? PEAP(Protected Extensible Authentification Protocol) crée d'abord un tunnel TLS, authentification par certificat niveau du serveur et par login/mot de passe pour le client.
Il éxiste d'autres méthodes d'authentification par certificats mais celles citées sont les plus utilisées.
Méthodes avec cartes à puce
? EAPSIM(Subscriber Identity Module) utilise la carte SIM du GSM.
? EAPAKA(Authentification and Key
Agreement)utilise la carte USIM de l'UMTS.
? la norme 802.1x effectue l'authentification sur un serveur qui est en général un serveur RADIUS.
? Un serveur RADIUS(Remote Authentification Dial In User Service) est un serveur
AAA(Authentification Autorization Accounting) fonctionnant en mode client/serveur.
? Le serveur AAA est chargé de 3 tâches:
Vérifier l'identité des clients stockés ans un fichier texte,une base de données ,un annuaire LDAP,.... (authentification)
Définir les droits du client(authorization)
Archiver l'utilisation des ressources réseau du client
? L'authentification entre le serveur et le NAS(Network Access Server):le point d'accès en WiFi se fait grâce à un mot de passe partagé qui n'est jamais envoyé sur le réseau.
? Le mot de passe partagé sert à crypter les échanges entre le serveur et le point d'accès.
Exemple Serveur RADIUS:Freeradius
? Freeradius est gratuit et libre,tourne sous Linux.
? supporte de nombreux EAP et permet d'authentifier les utilisateurs selon plusieurs moyens :mots de passe UNIX,bases de données,annuaires LDAP ou Active
Directory....
? Utilise le port UDP 1812 pour l'authentification et le port 1813 pour la gestion des comptes.
choisir ?
? Côté cryptage des données:
le WEP a montré ses faiblesses et ne résiste pas aux attaques.
le WPA/TKIP est une solution acceptable en mode personnel,en évitant des mots de passe courts,se trouvant dans un dictionnaire....
WPA2 avec AES pour les entreprises.
choisir ?
? Côté authentification:
le portail captif serait une solution pour un campus,un cyber espace libre mais protégé par un minimum d'authentification afin de ne pas surcharger le réseau.
Un serveur d'authentification avec 802.1x/EAP sera nécessaire pour les entreprises,notament avec les certificats(PEAP,EAPTLS,TTLS...)
choisir ?
? Ces solutions sont évoquées à titre d'orientation mais il est évident que chaque cas nécessite une étude spécifique tenant compte de la sensibilité des applications,des moyens disponibles,des contraintes....