In den vorherigen Beiträgen habe ich die Sicherung drahtgebundener Netzwerke behandelt. Während drahtgebundene Netzwerke möglicherweise nicht so „spaßig“ wie drahtlose Netzwerke sind, sind sie entscheidend, um über die Adresse nachzudenken, wenn wir das GESAMTE Netzwerk sichern wollen, nicht nur das oder die Teile, die Menschen sehen und mit denen sie interagieren. Daher werden wir zu einem Gespräch über die Sicherung drahtloser Netzwerke wechseln.
Wir stellen vor: 802.11i
Lange bevor die Wi-Fi Alliance die Marketingbedingungen von Wi-Fi 5, Wi-Fi 6 und Wi-Fi 6E erstellte, führten sie uns einen weiteren Marketingbegriff ein, auch wenn die meisten es damals nicht erkannten. Dieser Marketingbegriff ist WPA oder Wi-Fi Protected Access. WPA ist kein offizieller IEEE-Standard, sondern eine Wi-Fi Alliance-Zertifizierung. WPA ist zwar der Eckpfeiler der drahtlosen Sicherheit, aber es ist kein IEEE-Standard oder eine Änderung, sondern hängt stark von der IEEE ab, um zu funktionieren.
Die ursprüngliche Verschlüsselung, die in Wi-Fi verwendet wurde, war Wired Equivalent Privacy (WEP), und hoffentlich weiß und versteht jeder, dass WEP in den frühen 2000er Jahren mit Tools wie aircrack.ng und John the Ripper kompromittiert wurde. WEP enthält einige tödliche Fehler, die es ermöglichen, innerhalb von Sekunden brute-forciert gehackt zu werden, was dazu führte, dass es in 2004 Jahren „offiziell zurückgezogen“ wurde. Ich sage „offiziell im Ruhestand“, denn obwohl die Probleme mit WEP immer noch bestehen, gibt es Netzwerke, die in freier Wildbahn zu finden sind und die WEP dank Client-Geräten, die keine neuere Verschlüsselung unterstützen, immer noch verwenden.
Im Jahr 2003, nachdem WEP kompromittiert worden war, aber bevor die IEEE die Änderung 802.11i offiziell einführen konnte, veröffentlichte die Wi-Fi Alliance WPA als Stop-Gap-Lösung für Netzwerke, die von WEP migriert werden mussten, aber ohne dass 802.11i offiziell ratifiziert wurde, war es immer als eine Stop-Gap-Lösung gedacht.
Zugegeben, es war eine kritische Stop-Lücke, aber als 802.11i in 2004 ratifiziert wurde, wurde es durch Wi-Fi Protected Access 2 oder das WPA2-Protokoll auf der Grundlage der Änderung 802.11i „ersetzt“, mit der wir alle vertraut sind. Hier wurde WEP offiziell in den Ruhestand getreten. WPA2 führte einige Verbesserungen ein, die es ihm ermöglichten, die Wi-Fi-Welt zwei 14 Jahre lang bewundernswert zu bedienen, bevor sein Ersatz durch WPA32018 in drei Jahren eingeführt wurde.
In späteren Beiträgen werden wir etwas tiefer in die Funktionsweise dieser Protokolle eintauchen und herausfinden, was erforderlich ist, um sie funktionsfähig zu machen, aber vorerst möchte ich in dieser Einführung einige grundlegende Informationen behandeln, damit wir in Zukunft darauf zurückgreifen können.
Einschränkungen bei früheren Generationen
WEP-Crackable, da es jemals nur einen Schlüssel während des Verschlüsselungsprozesses verwendet hat, und wenn dieser Schlüssel erfasst wurde, war es ein einfacher Prozess, diesen Schlüssel einfach wiederzuverwenden. Es war auch in der Anzahl der in der Verschlüsselung verwendeten Bits sehr begrenzt.
Denken Sie daran! Weniger Bits = weniger Komplexität zu knacken = schnellere Zeiten, um die Verschlüsselung zu knacken.
WPA führte ein Konzept ein, das als Temporal Key Integrity Protocol (TKIP) bekannt ist und Angreifer daran hinderte, einfach den Schlüssel zu kopieren, den sie über die Luft übertragen sahen. TKIP hat einen Nachteil, der erst 202,11n eingeführt wurde2007. Wie Sie sehen, hat TKIP eine Begrenzung, die die WLAN-Geschwindigkeit auf 54 Mbit/s begrenzt. Vor 802.11n waren 54 Mbit/s der schnellste, den Sie erreichen konnten, sodass die TKIP-Beschränkung der PHY-Ratenbegrenzung entsprach. Keine Probleme.
Zum Glück war 802.11n, das leicht 54 Mbit/s überstieg, WPA2 mit AES-CCMP-Verschlüsselung bereits aus. AES-CCMP hat diese Geschwindigkeitsbegrenzung entfernt und den gesamten Verschlüsselungsalgorithmus verbessert.
Warum decken wir ältere Sicherheitsverschlüsselung ab, fragen Sie? Zu oft werden wir in der WLAN-Welt gebeten, Geräte zu unterstützen, die aus technologischer Sicht weit über ihre Spitzenleistung hinausgehen, aber aus funktionaler Sicht ihre Arbeit immer noch wie erwartet ausführen.
Ein perfektes Beispiel dafür sind Barcode-Scanner, die in Lagerumgebungen verwendet werden. Diese Geräte müssen robust sein, über langlebige Batterien verfügen, Barcodes scannen und eine relativ einfache Zahl eingeben und diese Informationen dann an einen Server übertragen. Selbst wenn der Mensch 1 Tag pro Sekunde scannen könnte, wird der Durchsatzbedarf für dieses Gerät nicht einmal in Megabit pro Sekunde gemessen; selbst 802.11b ist aus Geschwindigkeitssicht in Ordnung.
Netzwerkdesigner und -administratoren sind verrückt und versuchen, den Support für diese Legacy-Clients aufrechtzuerhalten und gleichzeitig Manager und ihre neuesten Tablet- und Anwendungsanforderungen zu unterstützen. Ein Gerät schätzt Robustheit und Stabilität, während das andere nach Geschwindigkeit und Flexibilität sucht. Und was noch wichtiger für diese Diskussion ist, ist, dass man sehr alte Sicherheit verwendet, während ein anderer eher in der Nähe der neuesten Verschlüsselungsfunktionen ist.
Bewährte und getestete WPA2
WPA2 ist seit 2004 unser vertrauenswürdiger Freund und dient uns zum größten Teil gut. Sicher, es gab hier und da einen Schluckauf (erinnern Sie sich an KRACK?), aber wenn es verantwortungsvoll eingesetzt und verwaltet wurde, war und ist es sehr sicher. Dies gilt insbesondere, wenn wir die beiden Versionen von WPA2 – Personal und Enterprise – vergleichen und uns WPA2-Enterprise ansehen. WPA2-Enterprise, das einen robusten EAP-Typ (EAP ist ein erweiterbares Authentifizierungsprotokoll) verwendet, ist immer noch eine sehr solide Methode zur Sicherung drahtloser Netzwerke. Basierend auf den 802.1X-Protokollen ist WPA2-Enterprise mit EAP-TLS auch heute noch sehr sicher.
Wenn wir uns WPA2-Personal mit vorab freigegebenen Schlüsseln (PSK) ansehen, sehen wir einige Probleme, die zur Einführung von WPA3-SAE geführt haben. WPA2-Personal ist die übliche Art von Netzwerk, die in Wohngebäuden und in öffentlichen Bereichen wie Cafés zu sehen ist, wo sie das WLAN-Passwort auf einem Schild in einem öffentlichen Bereich veröffentlichen. Die inhärenten Probleme, wie WAP2-Personal die Verschlüsselungsschlüssel erstellt, erforderten die Umstellung auf einen Standard wie WPA3-SAE, den wir in einem späteren Beitrag ausführlicher behandeln werden.
Wenn WPA2 gut ist, warum haben wir WPA3 benötigt?
Wie bei allen technologischen Aspekten unterstützt der Fortschritt die Angreifer eines Netzwerks genauso sehr, wenn nicht sogar mehr als die legitimen Netzwerkbetreiber und Benutzer. Da die Prozessorgeschwindigkeiten und -fähigkeiten zunahmen, um Menschen dabei zu helfen, mehr auf ihren Mobilgeräten zu tun, konnten Angreifer Passwörter und Anmeldedaten schneller brute erzwingen, die in freier Wildbahn erfasst wurden. Cloud-Computing und allgegenwärtige Internetverbindungen machten es für Unternehmen schneller und einfacher, ihre Arbeitslast zu verteilen, wie es für Angreifer der Fall war.
Was früher Monate bis zum Brute-Kraftriss gedauert hat, kann jetzt in Tagen gemacht werden; was früher Wochen gedauert hat, kann jetzt in Stunden, wenn nicht Minuten, gesprungen werden. Mit der Möglichkeit der Angreifer, Verschlüsselungsschlüssel in freier Wildbahn zu sammeln und sie dann entweder an eine Cloud-Computing-Instanz oder zurück an einen zentralen Cracking-Server zu senden, um daran zu arbeiten, sind die Kosten für das Cracken eines Verschlüsselungsschlüssels viel günstiger als früher.
WPA3-SAE (Simultaneous Authentication of Equals) führte neue Verschlüsselungsmethoden ein, die den 802.1X-Standards ähnlicher sind, was es viel schwieriger macht, entweder in der Wildnis oder offline zu knacken, indem ein Brute-Force-Verschlüsselungs-Cracker-Server verwendet wird, der speziell für die jeweilige Aufgabe entwickelt wurde.
In den nachfolgenden Beiträgen werde ich mehr darüber besprechen, um den Mitarbeitern zu helfen, zu verstehen, was genau die Schwachstellen sind, mit welchen Risiken Sie konfrontiert sein könnten und welche Hindernisse Sie bei der Aktualisierung auf die neueren Standards behindern könnten.
Fazit
In einer Welt, in der wir uns unter Druck gesetzt fühlen, immer die „neuesten und größten“ zu haben, können einige der Details im Shuffle verloren gehen. WPA3-Enterprise ist zwar der Ort, an dem wir anstreben sollten, aber es ist in Ordnung, wenn nicht jedes Gerät in diesem Netzwerk landet. Obwohl WPA2-Personal möglicherweise nicht das „Beste“ ist, denken Sie daran, dass es bei einigen bewährten Verfahren ausreichen kann. Während WEP von einem kompetenten Angreifer in Sekundenschnelle gerissen werden kann, kann es ausreichen, wenn das Gerät alles unterstützt. Ich würde dringend empfehlen, auf fast alles aufzurüsten, um WEP zu eliminieren, aber das ist ein Gespräch für einen anderen Tag.
Bleiben Sie dran für die nächsten Raten, in denen ich noch ein wenig mehr über die zwei wichtigsten Methoden zur Sicherung von drahtlosen Netzwerken erfahren werde – Personal/SAE und Enterprise.
