Wireless LAN a Műegyetemen
Jákó András
BME EISzK
Networkshop 2004., Győr
A vezeték nélküli helyi hálózatok a médium alapvető tulajdonságaiból adódóan más biztonsági jellemzokkel bírnak, mint vezetékes társaik. A legfontosabb különbségek e tekintetben abból adódnak, hogy a jel térben hová jut el vezetékes és vezeték nélküli hálózatokban. Mind réz, mind optikai vezetékekben a jelterjedés gyakorlatilag a kábelben – vagy legalábbis a kábel vonalán – történik. Ezzel szemben a vezeték nélküli helyi hálózatokban a rádiófrekvenciás jel minden irányban terjedhet, amerre azt a tereptárgyak lehetővé teszik, illetve a visszaverődések, elhajlások által elősegítik. Természetesen az alkalmazott antennák karakterisztikája is nagy mértékben befolyásolja a jelek terjedését.
A hálózati forgalom – pontosabban az átvitt jelek – lehallgatásának lehetőségét tekintve ez azt jelenti, hogy vezetékes hálózatok esetén mindenképen a kábel közelébe kell jutni ahhoz, hogy lehallgathassuk a hálózatot. Réz kábelek esetén a lehallgatás gyakorlatilag triviális a vezetékekhez történő galvanikus csatlakozással, de rendszerint lehetséges a vezetékekhez való közvetlen hozzáférés nélkül is, az azok körüli elektromágneses tér analizálása alapján. Optikai hálózatok lehallgatásához pedig feltétlenül szükséges a közvetlen hozzáférés az optikai szálakhoz. Szemben ezekkel a vezeték nélküli hálózatok lehallgatásához elegendő, ha a támadó a kommunikáló lokális hálózati eszközöktől távolabb – az adott szituációtól függően akár 50-100 méterre – helyezi el a lehallgatáshoz használt eszközt. Szintén lényeges különbség a lehallgatás bonyolultságát illetően, hogy míg a vezetékeken átvitt jelek lehallgatásához valamilyen többé-kevésbé speciális eszközre van szükség, addig a vezeték nélküli közegen átvitt jelek egy egyszerű hálózati kártyával vehetők sok esetben.
A pusztán passzív lehallgatás mellett a hálózatra aktív állomásként való csatlakozásról hasonlók mondhatók el. Vezetékes hálózatok esetén a csatlakozáshoz szükséges a hálózati vezetékhez való hozzáférés, legyen az akár optikai, akár réz vezeték. Pl. egy csavart érpáros Ethernet LAN esetén praktikusan egy muködő fali csatlakozó aljzatot vagy switch portot kell találnia annak, aki csatlakoztatni akarja a gépét a hálózathoz. Vezeték nélküli hálózat esetén egyéb intézkedés hiányában egyszerűen elég annyi, hogy az állomás a hálózat hatósugarába kerüljön. Ez – a médium korábban említett tulajdonságai miatt – rendszerint nehezen ellenorizhető, és még nehezebben akadályozható meg.
A (passzív) lehallgatás és a hálózathoz való illetéktelen (aktív) hozzáférés problémája tehát egyaránt létezik vezetékes és vezeték nélküli helyi hálózatoknál is, de a vezeték nélküli hálózatok esetén ezek a problémák rendszerint sokkal gyakoribbak. Természetesen mindkét médium fajta esetén lehetőség van ezen problémák kiküszöbölésére vagy a kockázatoknak megfelelő mértékű enyhítésére, adminisztratív és műszaki eljárásokkal, intézkedésekkel.
A Műegyetemen megkezdtük a vezeték nélküli hálózati infrastruktúra kialakítását. A hozzáférést az egyetem olyan területein tettük lehetové, ahol a hallgatók szabadidejüket töltik. A továbbiakban viszont gyakorlatilag az egyetem összes olyan területén tervezzük wireless LAN kiépítését, ahol elképzelhető hordozható számítógép (laptop, tablet PC, PDA) vagy más vezeték nélküli hálózati végberendezés használata, és ami "közterület", azaz ott tartózkodhat az egyetem bármely hallgatója vagy munkatársa.
Ebben a környezetben a lehallgatás és a hálózathoz való illetéktelen hozzáférés különböző természetű problémákként jelentkeznek. A lehallgatás veszélye a felhasználókat fenyegeti, hiszen az esetlegesen lehallgatható hálózati forgalomban a felhasználók által vagy a számukra küldött érzékeny információk szerepelhetnek. Az illetéktelen hozzáférés veszélye viszont az üzemeltetőt, ebben az esetben a BME EISZK-t fenyegeti, hiszen az ő felelossége, hogy a hálózati infrastruktúra szolgáltatásait csak az arra jogosult felhasználók vehessék igénybe. A biztonsági megoldások kiválasztásánál az alábbi feltételeket kell figyelembe vennünk:
A fentiek alapján a lehallgatás problémájára a következőket mondhatjuk el:
Ezen túl elmondható az is, hogy a hálózat üzemeltetőjének több okból érdeke is a felhasználók tájékoztatása a lehallgatás veszélyéről csak úgy, mint a védelem a lehallgatás ellen. Egyrészt ugyanis az érzékeny információk lehallgatásából később adódhatnak más biztonsági incidensek a hálózaton, amivel az üzemeltetőnek is foglalkoznia kell. Másrészt a lehallgatás számtalan olyan esemény forrása lehet, amely a felhasználó megelégedettségét csökkenti, többek közt az üzemeltetővel is.
Sajnos a jelen műszaki lehetőségek mellett a lehallgatás ellen leginkább a felhasználók tudnak csak védekezni, és mi, a hálózat üzemeltetői keveset tudunk ehhez hozzátenni. A felhasználóknak lehetősége van biztonságos, a hálózati forgalmat titkosító protokollokat használniuk (pl. ssh, scp, SFTP, HTTPS, IPSec ESP), amelyek gyakorlatilag minimálisra csökkentik az érzékeny információk lehallgatásának veszélyét. Ezzel szemben az üzemeltetőnek nincs igazán jó lehetősége a lehallgatás elleni védelemre.
A vezeték nélküli szakaszon, az adatkapcsolati rétegben az alábbi lehetőségek vannak a lehallgatás elleni védekezésre:
Lehetőség van arra is, hogy a lehallgatás elleni védelmet remote access IPSec VPN kialakításával valósítsuk meg. Ez lehet szintén központilag kötelezővé tett védelem, amikor a felhasználónak mindenképp IPSec titkosítást kell használnia a teljes hálózati forgalmához. Itt a titkosítás nem az adatkapcsolati, hanem a hálózati rétegben történik.
A "távoli" VPN felhasználók tehát a wireless LAN felhasználói, a "védett" hálózat pedig – ami a VPN gateway mögött található – az Internet. A vezeték nélküli hálózatról csak IPSec forgalmat engedünk a vezetékes hálózatba, és azon belül is csak a VPN gatewayhez, így a felhasználók az Internetet csak úgy tudják elérni, ha a forgalmukat a saját gépüktől eloször IPSec titkosítással a VPN átjáróhoz küldik, ami majd visszafejti a titkosított csomagokat, és továbbítja azokat a tényleges cél cím felé.
Ezt a megoldást azért nem alkalmazzuk a Muegyetem vezeték nélküli hálózatán, mert egyrészt nehéz lenne olyan VPN software-t találni az egyetem számára megfizethető áron, amiben minden számunkra fontos operációs rendszerre van könnyen használható VPN kliens. Másrészt ha egy felhasználó a műegyetemi vezeték nélküli hálózatról VPN kliens segítségével szeretne bejelentkezni valamilyen távoli védett hálózatra, akkor két VPN kliensnek kellene egyszerre működnie a számítógépén úgy, hogy az egyik IPSec tunnel belsejében menjen a másik IPSec tunnel, ami az esetek többségében feltehetőleg problematikus lenne.
A hálózathoz történő illetéktelen csatlakozásokat meg kell akadályoznunk. Egyrészt azért, mert az érvényes felhasználási szabályzatok ezt megkövetelik. Másrészt pedig azért, mert a hálózat üzemeltetője bizonyos felelősséggel tartozik azért, ami a hálózatán történik, és ezek az események igen könnyen kézben tarthatatlanná válnak, ha a hálózatot bárki idegen is használhatja.
A hálózathoz való csatlakozást tehát autentikációnak kell megeloznie, és az azonosításnak lehetoleg személy szerintinek kell lennie.
A vezeték nélküli hálózathoz való illetéktelen hozzáférés megelozésére az IEEE 802.11 szabvány a WEP algoritmuson alapuló osztott kulcsos autentikációt írja le. Ez a módszer sajnos a mi esetünkben nem alkalmazható, hiszen az összes felhasználónk által ismert közös kulcs feltehetoleg a legkisebb mértékben sem maradhatna a Műegyetem titka, így az annak az ismeretén alapuló autentikáció teljesen értelmetlenné válna.
A WLAN access pointok többsége, így az általunk használt típusok is lehetoséget nyújtanak arra, hogy ha egy állomás csatlakozni akar hozzájuk, akkor eloször egy RADIUS servernek küldjék el az állomás MAC címét, és a RADIUS server válasza alapján engedjék vagy ne engedjék az állomást csatlakozni a hálózathoz. Ehhez természetesen szükség van arra, hogy nyilvántartsuk a vezeték nélküli hálózat használatára jogosultak WLAN interface kártyáinak MAC címét.
A módszer nagy elonye, hogy bármilyen operációs rendszerrel és WLAN interface kártyával muködik, hiszen az autentikációban a felhasználó gépe csak teljesen passzívan vesz részt. Azaz a felhasználó gépének semmit sem kell az autentikáció érdekében tennie, mivel az access point a RADIUS server segítségével dönti el annak adatbázisa alapján, hogy beengedi-e a hálózatba az adott gépet.
Hátránya a MAC address alapú autentikációnak viszont, hogy nem annyira biztonságos, hiszen az interface kártyák MAC címe rendszerint software-es úton módosítható. Ha tehát egy amúgy jogosulatlan felhasználó tudomására jut egy regisztrált MAC cím, akkor a saját WLAN interface kártyájába azt a címet programozva megszemélyesítheti a jogosult felhasználót, és így hozzáférést kaphat a vezeték nélküli hálózathoz. Regisztrált MAC címet pedig könnyen megtudhat a támadó, pl. úgy, hogy lehallgatja a vezeték nélküli hálózatot. (Az így lehallgatott címet persze csak akkor használhatja sikeresen, ha az adott helyen a cím jogos tulajdonosa éppen nem használja a hálózatot, hiszen különben a MAC címek ütközése hibát eredményezne.)
Az IEEE 802.1x szabványban leírt EAPoL (Extensible Authentication Protocol over LAN) lehetové teszi, hogy a (mind vezetékes, mind vezeték nélküli) lokális hálózathoz csatlakozni kívánó végberendezések azonosságát ellenőrizzük, mielőtt a hálózathoz való hozzáférésüket engedélyezzük. Az alkalmazott EAP típus többféle lehet, mint ahogy azt a neve is mutatja. Az EAP-TLS, az EAP-TTLS, a LEAP és a PEAP azok az EAP típusok, amelyek lehetővé teszik, hogy a felhasználókat azonosítsuk.
Az EAP-TLS protokollnál a felhasználó azonosítása nyilvános kulcsú tanúsítvány alapján történik. Így minden felhasználó számára külön tanúsítványt kellene készíteni, ami a mi esetünkben túl nagy adminisztrációs feladat lenne.
A PEAP minden egyéb szempontból megfelelne, de sajnos a Windows rendszerekben implementált változata csak az MSCHAPv2 protokollt tudja a második fázisban használni, így a felhasználók jelszavának vagy kódolatlanul, vagy NT hashelt formában kell meglenniük a RADIUS server felhasználói adatbázisában. A mi esetünkben csak a UNIX hashelt változata áll rendelkezésre a felhasználók jelszavainak, ezért nem tudunk PEAP autentikációt használni.
A LEAP nem szabványos, hanem Cisco specifikus megoldás. Ugyan több nem Cisco termékben is implementálták, de ennek ellenére még mindig messze nem olyan széles körben támogatott protokoll, hogy azt használni tudnánk.
Az EAP-TTLS bizonyult a ma létező EAP típusok közül a mi esetünkben a legjobban használhatónak. Ez ugyan az EAP-TLS-szel és a PEAP-vel ellentétben nem része a Windows operációs rendszereknek, de létezik ingyenes EAP-TTLS software Windows 2000 és XP operációs rendszerekre. FreeBSD-re, MacOS X-re és Linuxra szintén van ingyenes, nyílt forráskódú EAP-TTLS software. Az EAP- TTLS autentikáció második fázisában használható PAP, így megfeleloek a nálunk rendelkezésre álló UNIX hashelt felhasználói jelszavak.
A fentiek alapján az EAP-TTLS meg is felelne a céljainknak. De sajnos a tapasztalatok azt mutatják, hogy bizonyos esetekben (Windows XP esetén gyakran, Windows 2000 esetén ritkábban) az EAP-TTLS supplicant, az operációs rendszer, valamint a WLAN interface kártya drivere nem képes megfelelően együttmuködni, ezért a felhasználó nem tud csatlakozni a vezeték nélküli hálózathoz. Továbbá kisebb problémát jelent az is, hogy Pocket PC-re nincs ingyenesen használható EAP-TTLS software.
A vezeték nélküli hálózaton használhatunk PPP over Ethernetet, annak ellenére, hogy az IEEE 802.11 hálózat nem Ethernet. Ebben az esetben a PPPoE célja kizárólag az lenne, hogy a PPP-ben meglévő autentikációs módszerek valamelyikét használjuk a WLAN felhasználók azonosítására. Ehhez az IPSec VPN- hez hasonlóan természetesen arra van szükség, hogy a vezeték nélküli hálózatról csak a PPPoE forgalmat engedjük ki ahhoz a routerhez, amelyik a PPP tunnelt végződteti.
Ennek a megoldásnak nagy előnye, hogy gyakorlatilag minden számunkra lényeges operációs rendszerre létezik PPPoE kliens software, amiely vagy már eleve az operációs rendszer része, vagy ingyenesen letölthető. További előny, hogy a PPPoE használata nem jelent szinte semmi többletterhelést a felhasználó gépén.
A mi esetünkben viszont lényeges hátránya a PPPoE autentikációnak, hogy mivel a felhasználók jelszavának csak a UNIX hashelt változata áll rendelkezésünkre, ezért kénytelenek lennénk a PPP autentikációs eljárásai közül a PAP-et használni. Ez viszont azt eredményezné, hogy a jelszavak kódolatlanul jutnának el a felhasználó gépétől a routerig, így a vezeték nélküli szakaszon igen könnyen lehallgathatók lennének.
A remote access IPSec VPN megoldást – ami már a lehallgatás elleni védekezési lehetőségként is felmerült – természetesen a felhasználók autentikálására is lehetne használni. A problémák az IPSec VPN ilyen célú alkalmazásakor is azonosak a lehallgatás elleni védelemről szóló fejezetben leírtakkal.
Kidolgoztunk egy módszert annak érdekében, hogy a felhasználóinkat a lehető leghatékonyabban tudjuk tájékoztatni a műegyetemi vezeték nélküli hálózat használatához szükséges beállításokról. Így ha valaki "default" WLAN beállításokkal elindítja a számítógépét ott, ahol van vezeték nélküli hálózat, és egy web browserrel megpróbál betölteni bármilyen oldalt, akkor helyette a műegyetemi WLAN használatáról szóló információs oldalra jut, ahol egyrészt részletes útmutatást talál arról, hogy mit kell beállítania a gépén, másrészt megtalálja és letöltheti a WLAN használatához esetlegesen szükséges további programokat.
Ez a rendszer gyakorlatilag 3 fő elemből épül fel:
Az így kapott segítség alapján a felhasználó be tudja állítani a számítógépén a megfelelő paramétereket ahhoz, hogy a másik wireless VLAN-hoz csatlakozhasson, és azon keresztül teljes körű hozzáférést kapjon az Internethez.
A tapasztalatok alapján ez a módszer igen jól muködik Windows 2000, Linux és FreeBSD operációs rendszerekkel, de a Windows XP sajnos túl okosnak hiszi magát, és gyakran felülbírálja a felhasználó által megadott WLAN paramétereket, ezért azzal nem mindig használható a fent leírt rendszer.
Mivel jelenleg nem tudunk a céljainknak megfelelő módszert a forgalom lehallgatása elleni központi védelemre, ezért ezt a feladatot kénytelenek vagyunk a felhasználóinkra bízni.
Az autentikációs módszerek közül a megfelelően biztonságos, és sok egyéb tekintetben is szimpatikus EAP-TTLS protokoll sajnos nem alkalmazható, mert sok esetben felhasználó oldali software problémák miatt nem működik. Ezért kizárásos alapon kénytelenek vagyunk a kevésbé biztonságos MAC address alapú autentikációt használni.
A következő lépés feltehetoleg a WPA és valamilyen jelszavas EAP használata lesz, de erre még várni kell, mivel jelenleg csak nagyon kevés termékben van implementálva ez a funkcionalitás.
A "plug & play" című fejezetben leírt rendszer alkalmazása egyelőre még kétséges, erről a közeljövőben a további tapasztalatok alapján fogunk dönteni.