PDF de programación - Autenticación e Integridad en redes Wireless

Autenticación e Integridad

en redes Wireless

Campus-Party 2003

Valencia 14 de Agosto'03

Toni dlF. Diaz

[email protected]

http://madridwireless.net

http://blyx.com

http://vklab.sinroot.net

1

Contenido (I)

1.- Conceptos.
2.- Buenos hábitos.
3.- FakeAP: Evasion y ¿victoria?
4.- Monitorización y control.
5.- Necesidades.



Autenticando accesos.

6.- ¿Qué es 802.11i?
7.- Entendiendo 802.1X
8.- Implementación de 802.1X

Autenticación e Integridad en redes Wireless [[email protected]]

Contenido (II)

9.- Software

9.1.- Captive portal
9.2.- Otros
9.3.- NoCat Auth

9.3.1.- Características
9.3.2.- Modos de funcionamiento
9.3.3.- Componentes
9.3.4.- Estructura y funcionamiento
9.3.5.- Implementaciones del gateway
9.3.6.- Gestión del ancho de banda
9.3.7.- Análisis
9.3.8.- El cliente
9.3.9.- Servicios y Software necesario
9.3.10.- Warchalking + NoCatAuth

Referencias

Autenticación e Integridad en redes Wireless [[email protected]]

1-Conceptos (I)

Redes wireless: comunicación sin cables
Redes Wi-Fi: 802.11*

La diferencia entre las redes inalámbricas y otras está en los niveles
mas bajos de la pila OSI, nivel físico y nivel de enlace. Se definen
en el estandar 802.11 del IEEE

Tipos:
802.11a: 54 Mbps estandarizado, y hasta 72 y 108 Mbps con
tecnologías de desdoblamiento no estandarizado.5 Ghz. En teoría
hasta 64 usuarios por AP. Dispositivos caros.

802.11b: 11 Mbps estandarizado, y hasta 22 Mbps por
desdoblamiento de la velocidad no estandarizado. 2.4 Ghz. En
teoría hasta 32 usuarios por AP.

802.11g: 54 Mbps, compatible con 802.11b. 2.4 Ghz.

Autenticación e Integridad en redes Wireless [[email protected]]

1-Conceptos (II)

Deficiencias:

-Seguridad
-No integra QoS
-2.4Ghz es una frecuencia muy concurrida.
-Dispositivos de 5 Ghz son caros.

Componentes principales: Cliente (STA) y punto de acceso (AP)

Topologías de red:

Ad-Hoc (iBSS): Cliente – Cliente
Infraestructura (BSS): Cliente – AP – Cliente

Modos de actuación de los dispositivos.

Ad-Hoc: dispositivo cliente en una red Ad-Hoc
Managed: dispositivo cliente en una red tipo Infraestructura
Master: capacidad de algunos interfaces wi-fi para hacer de AP

Autenticación e Integridad en redes Wireless [[email protected]]

1-Conceptos (III)

Terminología usada en redes wireless:
WEP: Significa Wired Equivalet Privacy, puede ser WEP64 (40 bits reales) WEP128
(104 bits reales) y hasta 256 que usan algunas marcas

OSA: (Open System Authentication), cualquiera puede formar parte de la red.

SKA: Shared Key Authentication.

ACL: significa Access Control List, y es el método mediante el cual sólo se permite
unirse a la red a aquellas direcciones MAC.

CNAC: significa Closed Network Access Control, no permite el enlace si no se
conoce el SSID.

SSID: significa Service Set IDentifier, cadena de 32 caracteres como máximo,
necesario conocer para unir un cliente a la red.

SOHO: small office/home office networks

Beacon Frames: paquetes que transmite un AP para anunciar su disponibilidad y
características.

Autenticación e Integridad en redes Wireless [[email protected]]

1-Conceptos (IV)

Estándares: (sindominio.net/suburbia/article.php3?id_article=22)
802.11a (5 Ghz)
802.11b (2.4 Ghz)

802.11c Define carateristicas de AP como bridges.

802.11d Permite el uso de 802.11 en paises restringidos por el uso de las frecuencias.

802.11e Define el uso de QoS.

802.11f Define el enlace entre STA y AP. Roaming

802.11g (2.4 Ghz a más velocidad que 802.11b)

802.11h Superior al 802.11a permite asignación dinámica de canales (coexistencia con el
HyperLAN). Regula la potencia en función de la distancia.

802.11i Estándar que define la encriptación y la autentificación para complementar completar y
mejorar el WEP. Es un estándar que mejorará la seguridad de las comunicaciones mediante el uso
del WPA con su Temporal Key Integrity Protocol (TKIP).

802.11j Estándar que permitirá la armonización entre el IEEE, el ETSI HyperLAN2, ARIB e
HISWANa.

802.11m Propuesto para mantenimiento de redes inalámbricas.

Autenticación e Integridad en redes Wireless [[email protected]]

2-Buenos hábitos (I)

Uso de protocolos seguros en las comunicaciones:

Ssh en lugar de Telnet
Smtps en lugar de Smtp
Pop-ssl en lugar de Pop
Imap-ssl en lugar de Imap
Https en lugar de http (al menos para páginas con autenticación)

Uso de Redes Privadas Virtuales (VPN):

OpenVPN
vtund
vpnd
Freeswan
CIPE
IPSec (no soporta enrutamiento dinámico)

Autenticación e Integridad en redes Wireless [[email protected]]

2-Buenos hábitos (II)

Uso de WEP:

Es mejor que no usar nada, necesitamos al menos 200Mb de

tráfico o 500.000 paquetes encriptados para reventar la
encriptación.

Uso de un firewall para separar las diferentes redes.

¡¡Cuidado con los bridges!!

Usar QoS

Usar AP redundantes para solventar ataques DoS

Disponer de un falso Punto de Acceso: FakeAP

Autenticación e Integridad en redes Wireless [[email protected]]

3-FakeAP: Evasión y ¿victoria?

Un falso punto de acceso wireless que molesta (I)



FakeAP es un script en perl que envia beacons con diferentes ESSID y
diferentes direcciones MAC a la red con o sin wep utilizando el driver
hostap.

No es un AP válido sino uno falso que no sirve para dar servicio.

Probado en RedHat Linux y OpenBSD (port)

Requisitos: Tener una máquina con hostap al menos del 31/7/2002
instalado y funcionando.

Autenticación e Integridad en redes Wireless [[email protected]]

3-FakeAP: Evasión y ¿victoria?

Un falso punto de acceso wireless que molesta (II)



1-Descargar, descomprimir y desempaquetar.
Http://www.blackalchemy.to/project/fakeap/

2-Instalar los siguientes modulos de perl:
Getopt::Long, Time::HiRes, (# perl -MCPAN -e shell
cpan> install nombre::modulo)

3-Añadir a fakeap.pl la primera linea con el path de donde este el binario
de perl (#!/usr/bin/perl) y hacerlo ejecutable.

Autenticación e Integridad en redes Wireless [[email protected]]

3-FakeAP: Evasión y ¿victoria?

Un falso punto de acceso wireless que molesta (III)



4-Ejecución:

[root@moon fakeap-0.3.1]# ./fakeap.pl --interface wlan0 --channel 10 --words
lists/stefan-wordlist.txt --sleep 2 –vendors lists/stefan-maclist.txt --power
15
fakeap 0.3.1 - Wardrivring countermeasures
Copyright (c) 2002 Black Alchemy Enterprises. All rights reserved

Using interface wlan0:
Sleeping 2 sec
Static channel 10
Generating ESSIDs from lists/stefan-wordlist.txt
Vary Tx power up to 15
Using 53068 words for ESSID generation
Using 20 vendors for MAC generation
-------------------------------------------------------------------------
3: ESSID=pompey chan=10 Pwr=12 WEP=N MAC=00:04:E2:39:31:F3
4: ESSID=straub chan=10 Pwr=1 WEP=N MAC=00:02:2D:C0:B2:35
7: ESSID=galois chan=10 Pwr=14 WEP=N MAC=00:80:0F:5F:B7:1E
-------------------------------------------------------------------------
Run complete

5-Conclusion: FakeAP no es la panacea pero molesta

Autenticación e Integridad en redes Wireless [[email protected]]

3-FakeAP: Evasión y ¿victoria?

Un falso punto de acceso wireless que molesta (IV)



Sniffer, kismet:

Autenticación e Integridad en redes Wireless [[email protected]]

4-Monitorización y control (I)

Linux: Airtraf, Kismet, Ethereal + parche 802.11
FreeBSD: wicontrol, bsd-airtools (dstumbler)

Software de control basado en sondas distribuidas:

-Supervisar correcto uso de WPA, WEP, LEAP, PEAP, 802.1x

así como VPNs.

-Detectar otros AP o redes ad-hoc para evitar Man In The Middle

attacks o comunicación Peer-to-peer.

-Evita asociaciones accidentales con redes similares.

Software disponible: AirMagnet, RogueGuard, AirDefense

IDS:

-Snort, Demarc, Ntop (red)
-Tripwire, logcheck, logwatch, cops, portsentry (host)



Autenticación e Integridad en redes Wireless [[email protected]]

4-Monitorización y control (II)

Airtraf 1.1: IDS de redes wireless

-Captura y analiza el tráfico 802.11b

-Controla el uso de ancho de banda

-Monitoriza la potencia de la señal del AP

-Busca APs y sus correspondientes SSID, canal, tráfico, etc.

-Almacena toda la información para ser procesada.

-Interpreta métodos de autenticación y asociación

-Añadiendo otras características IDS.

Web: http://www.elixar.com

Autenticación e Integridad en redes Wireless [[email protected]]

4-Monitorización y control (III)


Autenticación e Integridad en redes Wireless [[email protected]]

4-Monitorización y control (IV)

Drivers HostAP:
/proc/net/hostap/wlanN/

ap_control – Access Control List

Ejemplos de instalación de ACLs con HostAP


# allow policy

iwpriv wlan0 maccmd 1
iwpriv wlan0 addmac 00:11:22:33:44:55
iwpriv wlan0 addmac 00:12:34:56:78:9a

# deny policy
iwpriv wlan0 maccmd 2
iwpriv wlan0 addmac 00:11:22:33:44:56
iwpriv wlan0 addmac 00:12:34:56:78:9b

Autenticación e Integridad en redes Wireless [[email protected]]

5-Necesidades

Autenticación.

Privacidad y encriptación (Confidencialidad).

-Es posible capturar el tráfico.

Integridad:

-Alteración del tráfico.

QoS: gestión del ancho de banda.

Escalabilidad.

Alta disponibilidad de servicio.

Q

Autenticación e Integridad en redes Wireless [[email protected]]



Autenticando accesos

Autenticación e Integridad en redes Wireless [[email protected]]

6-¿Qué es 802.11i? (I)

Standard de seguridad para redes 802.11

Surgió a raiz de las vulnerabilidades del 802.11b y sera aplicable a
redes 802.11a (54Mbps), 802.11b (11Mbps) y 802.11g (22Mbps).

Actualmente es un borrador de la IEEE (Institute of Electrical and
Electronics Engineers). Se prevee que sea definitivo a finales del
2003.

Lo desarrolla (comite): Cisco, VDG, Trapeze, Agere, IBM, Intersil y
otros.

Ya se han extraido partes que se han desarrollado completamente:
-Se prevee que use parte del estandard IEEE 802.1X (EAPoL).
-WPA (Wi-Fi Protected Access) y TKIP (Temporal Key Integrity
Protocol).

Autenticación e Integridad en redes Wireless [[email protected]]

6-¿Qué es 802.11i? (II)

TKIP (Temporal Key Integrity Protocol), codifica las claves mediante
un algoritmo de "hashing", con verificaciones de in