WPA2-Enterprise, या वाई-फाई नेटवर्क सुरक्षा के लिए सही दृष्टिकोण

हाल ही में, वहाँ एक और प्रोटोकॉल या प्रौद्योगिकी है कि वायरलेस नेटवर्क की सुरक्षा समझौता करता है में तोड़ने के बारे में कई "खुलासा" प्रकाशन किया गया है। क्या वास्तव में ऐसा है, आपको किस चीज से डरना चाहिए और अपने नेटवर्क तक पहुंच कैसे संभव हो सके? WEP, WPA, 802.1x, EAP, PKI का मतलब आपके लिए कम है? यह छोटी समीक्षा रेडियो एक्सेस के लिए सभी लागू एन्क्रिप्शन और प्राधिकरण प्रौद्योगिकियों को एक साथ लाने में मदद करेगी। मैं यह दिखाने की कोशिश करूंगा कि एक ठीक से कॉन्फ़िगर किया गया वायरलेस नेटवर्क एक हमलावर के लिए एक निश्चित बाधा का प्रतिनिधित्व करता है (एक निश्चित सीमा तक, निश्चित रूप से)।

मूल बातें

एक्सेस पॉइंट (नेटवर्क) और वायरलेस क्लाइंट के बीच कोई भी इंटरैक्शन निम्न पर बनाया गया है:

• प्रमाणीकरण - क्लाइंट और एक्सेस प्वाइंट दोनों को एक-दूसरे से परिचित कराया जाता है और पुष्टि की जाती है कि उन्हें एक-दूसरे के साथ संवाद करने का अधिकार है;
• एन्क्रिप्शन - जो ट्रांसमिट किए गए डेटा के एल्गोरिथ्म को स्क्रैच करता है, एन्क्रिप्शन कुंजी कैसे उत्पन्न होती है, और जब यह बदलता है।

वायरलेस नेटवर्क पैरामीटर, मुख्य रूप से इसका नाम (SSID), नियमित रूप से प्रसारण बीकन पैकेट में एक्सेस प्वाइंट द्वारा घोषित किया जाता है। अपेक्षित सुरक्षा सेटिंग्स के अलावा, इच्छाओं को 802.11 एन मापदंडों, समर्थित गति, अन्य पड़ोसियों के बारे में जानकारी, और अधिक पर क्यूओएस पर प्रेषित किया जाता है। प्रमाणीकरण निर्धारित करता है कि ग्राहक बिंदु पर कैसे प्रस्तुत करता है। संभावित विकल्प:

• ओपन - तथाकथित ओपन नेटवर्क जिसमें सभी जुड़े हुए उपकरण तुरंत अधिकृत होते हैं
• साझा किया गया - कनेक्टेड डिवाइस की प्रामाणिकता को कुंजी / पासवर्ड से सत्यापित किया जाना चाहिए
• ईएपी - कनेक्टेड डिवाइस की प्रामाणिकता को बाहरी सर्वर द्वारा ईएपी के माध्यम से सत्यापित किया जाना चाहिए

नेटवर्क के खुलेपन का मतलब यह नहीं है कि कोई भी इसके साथ काम कर सकता है। ऐसे नेटवर्क में डेटा संचारित करने के लिए, उपयोग किए गए एन्क्रिप्शन एल्गोरिथ्म का मिलान करना आवश्यक है, और तदनुसार, एन्क्रिप्टेड कनेक्शन की सही स्थापना। एन्क्रिप्शन एल्गोरिदम इस प्रकार हैं:

• कोई नहीं - एन्क्रिप्शन की कमी, डेटा स्पष्ट रूप में प्रेषित होता है
• WEP - RC4- आधारित सिफर अलग-अलग लंबाई की स्थिर या गतिशील कुंजियों (64 या 128 बिट्स) के साथ
• CKIP - सिस्को के मालिकाना WEP प्रतिस्थापन, TKIP का प्रारंभिक संस्करण
• TKIP - उन्नत मान्यता और संरक्षण के साथ उन्नत WEP प्रतिस्थापन
• एईएस / सीसीएमपी - अतिरिक्त जांच और सुरक्षा के साथ एईएस 256 पर आधारित सबसे उन्नत एल्गोरिदम

ओपन ऑथेंटिकेशन, नो एनक्रिप्शन का संयोजन एक कैफे या होटल में इंटरनेट जैसे अतिथि एक्सेस सिस्टम में व्यापक रूप से उपयोग किया जाता है। कनेक्ट करने के लिए, आपको केवल वायरलेस नेटवर्क का नाम जानना होगा। अक्सर, इस तरह के एक कनेक्शन को एक अतिरिक्त पृष्ठ पर कस्टम HTTP अनुरोध को पुनर्निर्देशित करके कैप्टिव पोर्टल पर अतिरिक्त सत्यापन के साथ जोड़ा जाता है, जिस पर आप पुष्टि (लॉगिन पासवर्ड, नियमों के साथ समझौता, आदि) का अनुरोध कर सकते हैं।

WEP एन्क्रिप्शन समझौता किया है और इसका इस्तेमाल नहीं किया जा सकता है (यहां तक ​​कि गतिशील कुंजी के साथ)।

व्यापक रूप से उपयोग किए जाने वाले शब्द WPA और WPA2 परिभाषित करते हैं, वास्तव में, एन्क्रिप्शन एल्गोरिथ्म (TKIP या AES)। इस तथ्य के कारण कि कुछ समय के लिए क्लाइंट एडेप्टर WPA2 (AES) का समर्थन करते हैं, यह TKIP एन्क्रिप्शन का उपयोग करने का कोई मतलब नहीं है।

WPA2 व्यक्तिगत और WPA2 एंटरप्राइज़ के बीच का अंतर वह है जहां AES एल्गोरिथ्म के यांत्रिकी में उपयोग की जाने वाली एन्क्रिप्शन कुंजी है। निजी (घर, छोटे) अनुप्रयोगों के लिए, एक स्थिर कुंजी (पासवर्ड, कोडवर्ड, PSK (प्री-शेयर्ड की)) जिसकी न्यूनतम लंबाई 8 वर्ण है, का उपयोग किया जाता है, जो एक्सेस प्वाइंट की सेटिंग में सेट किया गया है और इस वायरलेस नेटवर्क के सभी क्लाइंट के लिए समान है। इस तरह की कुंजी का समझौता (एक पड़ोसी ने चैट किया, एक कर्मचारी को बर्खास्त कर दिया गया था, एक लैपटॉप चोरी हो गया था) सभी शेष उपयोगकर्ताओं के लिए तत्काल पासवर्ड परिवर्तन की आवश्यकता है, जो कि उनमें से एक छोटी संख्या के मामले में केवल यथार्थवादी है। कॉर्पोरेट अनुप्रयोगों के लिए, जैसा कि नाम का अर्थ है, एक गतिशील कुंजी का उपयोग किया जाता है, इस समय प्रत्येक काम करने वाले ग्राहक के लिए अलग-अलग। यह कुंजी समय-समय पर अपडेट की जा सकती है क्योंकि यह कनेक्शन को तोड़ने के बिना काम करती है, और एक अतिरिक्त घटक, प्राधिकरण सर्वर, इसकी पीढ़ी के लिए जिम्मेदार है, और लगभग हमेशा यह एक RADIUS सर्वर है।

सभी संभावित सुरक्षा मानकों को इस लेबल में संक्षेपित किया गया है:

संपत्ति	स्टेटिक WEP	गतिशील WEP	WPA	WPA 2 (एंटरप्राइज़)
पहचान	उपयोगकर्ता, कंप्यूटर, WLAN कार्ड	उपयोगकर्ता कंप्यूटर	उपयोगकर्ता कंप्यूटर	उपयोगकर्ता कंप्यूटर
प्राधिकरण	साझा की	ईएपी	ईएपी या साझा कुंजी	ईएपी या साझा कुंजी
ईमानदारी	32-बिट इंटीग्रिटी चेक वैल्यू (ICV)	32-बिट आईसीवी	64-बिट संदेश अखंडता कोड (एमआईसी)	CRT / CBC-MAC (काउंटर मोड सिफर ब्लॉक चेनिंग प्रामाणिक कोड - CCM) एईएस का हिस्सा
एन्क्रिप्शन	स्थैतिक कुंजी	सत्र की कुंजी	TKIP के माध्यम से पैकेज कुंजी	CCMP (AES)
कुंजी वितरण	एकल, मैनुअल	जोड़ी-वार मास्टर कुंजी (PMK) खंड	पीएमके से व्युत्पन्न	पीएमके से व्युत्पन्न
प्रारंभिक वेक्टर	पाठ, 24 बिट्स	पाठ, 24 बिट्स	विस्तारित वेक्टर, 65 बिट्स	48-बिट पैकेट नंबर (PN)
एल्गोरिथ्म	RC4	RC4	RC4	एईएस
कुंजी लंबाई, बिट	64/128	64/128	128	256 तक
आवश्यक बुनियादी ढाँचा	नहीं	RADIUS	RADIUS	RADIUS

यदि WPA2 व्यक्तिगत (WPA2 PSK) के साथ सब कुछ स्पष्ट है, तो उद्यम समाधान के लिए अतिरिक्त विचार की आवश्यकता होती है।

WPA2 एंटरप्राइज

यहां हम विभिन्न प्रोटोकॉल के अतिरिक्त सेट के साथ काम कर रहे हैं। क्लाइंट साइड पर, एक विशेष सॉफ्टवेयर घटक, सहायक (आमतौर पर ओएस का हिस्सा) अधिकृत भाग, एएए सर्वर के साथ बातचीत करता है। यह उदाहरण हल्के पहुंच बिंदुओं और नियंत्रक पर निर्मित एकीकृत रेडियो नेटवर्क के संचालन को दर्शाता है। दिमाग के साथ पहुंच बिंदुओं का उपयोग करने के मामले में, क्लाइंट और सर्वर के बीच मध्यस्थ की पूरी भूमिका को बिंदु द्वारा ही ग्रहण किया जा सकता है। उसी समय, क्लाइंट सप्लीमेंट का डेटा 802.1x प्रोटोकॉल (EAPOL) में उत्पन्न रेडियो के माध्यम से प्रसारित होता है, और नियंत्रक पक्ष पर इसे RADIUS पैकेट में लपेटा जाता है।

अपने नेटवर्क पर ईएपी प्राधिकरण तंत्र का उपयोग, सफल (लगभग निश्चित रूप से खुला) के बाद क्लाइंट ऑथेंटिकेशन एक्सेस प्वाइंट (कंट्रोलर के साथ, यदि कोई हो) द्वारा, उत्तरार्द्ध क्लाइंट को इन्फ्रास्ट्रक्चर RADIUS सर्वर से अधिकृत (इसकी साख की पुष्टि) करने के लिए कहता है।



WPA2 एंटरप्राइज़ का उपयोग करने के लिए आपके नेटवर्क पर RADIUS सर्वर की आवश्यकता होती है। वर्तमान में, निम्नलिखित उत्पाद सबसे कुशल हैं:

• Microsoft नेटवर्क नीति सर्वर (NPS), पूर्व IAS - जिसे MMC के माध्यम से कॉन्फ़िगर किया गया है, मुफ्त, लेकिन आपको विंडोज खरीदने की आवश्यकता है
• सिस्को सिक्योर एक्सेस कंट्रोल सर्वर (एसीएस) 4.2, 5.3 - वेब इंटरफेस के माध्यम से कॉन्फ़िगर करने योग्य, कार्यक्षमता में परिष्कृत, आपको वितरित और दोष-सहिष्णु सिस्टम बनाने की अनुमति देता है, महंगा है
• FreeRADIUS - मुक्त, पाठ विन्यास द्वारा विन्यास, प्रबंधन और निगरानी के लिए सुविधाजनक नहीं है

इस मामले में, नियंत्रक जानकारी के चल रहे आदान-प्रदान की सावधानीपूर्वक निगरानी करता है, और एक सफल प्राधिकरण, या इससे इनकार करने की प्रतीक्षा करता है। यदि सफल होता है, तो RADIUS सर्वर अतिरिक्त मापदंडों को एक्सेस प्वाइंट (उदाहरण के लिए, जिसमें वीएलएन को सब्सक्राइबर, जिसे आईपी एड्रेस, क्यूओएस प्रोफाइल, आदि) रखने के लिए संचारित करने में सक्षम है। एक्सचेंज के अंत में, RADIUS सर्वर क्लाइंट और एक्सेस प्वाइंट जेनरेट करने और एक्सचेंज कीज को बदलने में सक्षम बनाता है (व्यक्तिगत, केवल इस सत्र के लिए वैध):

ईएपी

ईएपी प्रोटोकॉल खुद को कंटेनरीकृत किया गया है, अर्थात, आंतरिक प्रोटोकॉल की दया पर वास्तविक प्राधिकरण तंत्र है। फिलहाल, निम्नलिखित किसी महत्वपूर्ण वितरण के हैं:

• ईएपी-फास्ट (सुरक्षित सुरंग के माध्यम से लचीले प्रमाणीकरण) - सिस्को द्वारा विकसित; अनुमतिकर्ता और RADIUS सर्वर के बीच टीएलएस सुरंग के अंदर संचारित लॉगिन-पासवर्ड द्वारा प्राधिकरण की अनुमति देता है
• ईएपी-टीएलएस (ट्रांसपोर्ट लेयर सिक्योरिटी)। यह एक विश्वसनीय प्रमाणीकरण प्राधिकारी (CA) द्वारा जारी किए गए प्रमाण पत्र के माध्यम से क्लाइंट और सर्वर (दमनकारी और RADIUS सर्वर) को अधिकृत करने के लिए सार्वजनिक कुंजी अवसंरचना (PKI) का उपयोग करता है। प्रत्येक वायरलेस डिवाइस पर क्लाइंट प्रमाणपत्र जारी करने और स्थापित करने की आवश्यकता होती है, इसलिए यह केवल एक नियंत्रित कॉर्पोरेट वातावरण के लिए उपयुक्त है। विंडोज सर्टिफिकेट सर्वर में ऐसे उपकरण होते हैं जो क्लाइंट को स्वतंत्र रूप से एक प्रमाण पत्र उत्पन्न करने की अनुमति देते हैं यदि क्लाइंट किसी डोमेन का सदस्य है। क्लाइंट को ब्लॉक करना उसके प्रमाणपत्र (या खातों के माध्यम से) को रद्द करके आसानी से किया जाता है।
• ईएपी-टीटीएलएस (टनलड ट्रांसपोर्ट लेयर सिक्योरिटी) ईएपी-टीएलएस के समान है, लेकिन सुरंग बनाते समय क्लाइंट सर्टिफिकेट की आवश्यकता नहीं होती है। ऐसी सुरंग में, ब्राउज़र के एसएसएल कनेक्शन के समान, अतिरिक्त प्राधिकरण किया जाता है (पासवर्ड या किसी भी तरह)।
• PEAP-MSCHAPv2 (संरक्षित ईएपी) एक क्लाइंट और सर्वर के बीच एक एन्क्रिप्टेड टीएलएस सुरंग की प्रारंभिक स्थापना के संदर्भ में ईएपी-टीटीएलएस के समान है जिसमें सर्वर प्रमाणपत्र की आवश्यकता होती है। इसके बाद, प्रसिद्ध MSCHAPv2 प्रोटोकॉल का उपयोग करके प्राधिकरण ऐसी सुरंग में जगह लेता है।
• PEAP-GTC (जेनेरिक टोकन कार्ड) - पिछले एक के समान है, लेकिन इसके लिए वन-टाइम पासवर्ड कार्ड की आवश्यकता होती है (और संबंधित बुनियादी ढांचे)

इन सभी विधियों (EAP-FAST को छोड़कर) को प्रमाणीकरण प्राधिकारी (CA) द्वारा जारी एक सर्वर प्रमाणपत्र (एक RADIUS सर्वर पर) की आवश्यकता होती है। इस स्थिति में, CA प्रमाण पत्र स्वयं विश्वसनीय समूह में क्लाइंट डिवाइस पर मौजूद होना चाहिए (जो कि Windows में समूह नीति का उपयोग करके लागू करना आसान है)। इसके अतिरिक्त, ईएपी-टीएलएस को एक व्यक्तिगत ग्राहक प्रमाणपत्र की आवश्यकता होती है। क्लाइंट प्रमाणीकरण डिजिटल हस्ताक्षर और (वैकल्पिक रूप से) दोनों द्वारा क्लाइंट द्वारा प्रदान किए गए प्रमाण पत्र की तुलना इस तथ्य के साथ किया जाता है कि सर्वर ने पीकेआई बुनियादी ढांचे (सक्रिय निर्देशिका) से इसे निकाला है।

ईएपी विधियों में से किसी के लिए समर्थन क्लाइंट-साइड सप्लीमेंट द्वारा प्रदान किया जाना चाहिए। मानक निर्मित विंडोज एक्सपी / विस्टा / 7, आईओएस, एंड्रॉइड कम से कम ईएपी-टीएलएस और ईएपी-एमएससीएपीवी 2 प्रदान करता है, जो इन तरीकों को लोकप्रिय बनाता है। विंडोज के लिए इंटेल क्लाइंट एडेप्टर के साथ, प्रोसेट उपलब्ध सूची का विस्तार करने के लिए उपलब्ध है। सिस्को AnyConnect ग्राहक ही करता है।

कितना विश्वसनीय है

आखिर एक हमलावर को आपके नेटवर्क में सेंध लगाने की क्या जरूरत है?

ओपन प्रमाणीकरण के लिए, कोई एन्क्रिप्शन कुछ भी नहीं है। नेटवर्क से जुड़ा, और यह बात है। चूंकि रेडियो वातावरण खुला है, संकेत विभिन्न दिशाओं में फैलता है, इसे रोकना आसान नहीं है। यदि आपके पास उपयुक्त क्लाइंट एडेप्टर हैं जो आपको ईथर को सुनने की अनुमति देते हैं, तो नेटवर्क ट्रैफ़िक दिखाई देता है जैसे हमलावर वायर से, हब से, स्विच स्पैन पोर्ट से जुड़ा था।
WEP- आधारित एन्क्रिप्शन को केवल IV के लिए खोज करने के लिए समय की आवश्यकता होती है, और कई स्वतंत्र रूप से उपलब्ध स्कैनिंग उपयोगिताओं में से एक।
TKIP या AES पर आधारित एन्क्रिप्शन के लिए, सिद्धांत में प्रत्यक्ष डिक्रिप्शन संभव है, लेकिन व्यवहार में कोई हैकिंग नहीं हुई है।

बेशक, आप पीएसके कुंजी, या ईएपी विधियों में से एक के लिए एक पासवर्ड लेने की कोशिश कर सकते हैं। इन तरीकों पर आम हमलों का पता नहीं चलता है। आप सोशल इंजीनियरिंग या थर्मोरेक्टल क्रिप्टानालिसिस के तरीकों को लागू करने का प्रयास कर सकते हैं।

आप EAP-FAST, EAP-TTLS, PEAP-MSCHAPv2 द्वारा संरक्षित नेटवर्क का उपयोग केवल उपयोगकर्ता के लॉगिन और पासवर्ड को जानकर कर सकते हैं (हैकिंग ऐसा संभव नहीं है)। पासवर्ड क्रैकिंग, या MSCHAP में कमजोरियों के उद्देश्य से किए गए हमलों को इस तथ्य के कारण भी संभव या मुश्किल नहीं है कि ईएपी चैनल "क्लाइंट-सर्वर" एक एन्क्रिप्टेड सुरंग द्वारा संरक्षित है।

PEAP-GTC द्वारा बंद किए गए नेटवर्क तक पहुंच संभव है, जब एक टोकन सर्वर हैक हो जाता है, या जब एक पासवर्ड इसके पासवर्ड के साथ चोरी हो जाता है।

ईएपी-टीएलएस द्वारा बंद किए गए नेटवर्क तक पहुंच संभव है जब उपयोगकर्ता प्रमाणपत्र चोरी हो जाता है (अपनी निजी कुंजी के साथ, निश्चित रूप से), या जब एक वैध लेकिन धोखाधड़ी प्रमाणपत्र जारी किया जाता है। यह केवल तभी संभव है जब प्रमाणन केंद्र से समझौता किया जाता है, जो सामान्य कंपनियों में सबसे मूल्यवान आईटी संसाधन के रूप में पोषित होता है।

चूँकि उपरोक्त सभी विधियाँ (PEAP-GTC को छोड़कर) पासवर्ड / सर्टिफिकेट के भंडारण / कैशिंग की अनुमति देती हैं, तब जब मोबाइल डिवाइस चुराया जाता है, तो एक हमलावर नेटवर्क से अनावश्यक प्रश्नों के बिना पूरी पहुँच प्राप्त कर लेता है। एक निवारक उपाय के रूप में, डिवाइस को चालू करने पर पासवर्ड अनुरोध के साथ हार्ड डिस्क का पूर्ण एन्क्रिप्शन।

याद रखें: उचित डिजाइन के साथ, एक वायरलेस नेटवर्क को बहुत अच्छी तरह से संरक्षित किया जा सकता है; ऐसे नेटवर्क को हैक करने के साधन मौजूद नहीं हैं (एक निश्चित सीमा तक)