VPN VPN VPN. Resumo do seminário Próxima apresentação. ESP Encapsulation Security Payload

Transcrição

1 Referências ibliográficas Segurança em redes sem fio Parte IV Tópicos Especiais em Redes Integradas Faixa Larga Orientador: Prof. Luís Felipe M. de Moraes luno: 1. Stallings, W Cryptography and Network Security. 2 nd ed. New Jersey: Prantice-Hall. pp ; ; 2. Stubblefield,., Ioannidis, J. and Rubin,.D Using the Fluhrer, Mantin, and Shamir ttack to reak WEP. TT&T Labs Technical Report TD- 4ZCPZZ. Rev. 2. ug. 21, 2001; 3. Mariano, I. Da S IPSec e DDos, spectos de Segurança em Redes TCP/IP. Seminário de Tópicos Especiais em Redes Integradas Faixa Larga. COPPE/Sistemas. 4. Meredith, G Securing the Wireless LN. Packet magazine. vol 13. no 3. Pp Orman, H. K. The OKLEY Key Determination Protocol. Last ccess: 06-Dec Sumário Revisão 1. Revisão; 2. Soluções CISCO para segurança em Wireless; 3. Troca de chaves; 4. IPSec; 5.. RC4 foi quebrado; WEP é frágil e mesmo assim é pouco utilizado; Existem dois softwares Netstumbler e WEPCracker, capazes de quebrar o WEP; Rivest diz que o RC4 não é tão frágil, mas o WEP implementou o algoritmo de modo frágil. 3 4 Revisão Soluções CISCO Sugestões para criar segurança Habilitar o WEP; lterar o SSID e senhas defaults; Evitar colocar o ponto de acesso perto da janelas. Instale-o próximo ao centro do prédio; Criar uma tabela de endereços MC nos Ps; Instalar sistema de autenticação extra (Ex. RDIUS); Criar sub-redes independentes para a rede sem fio. Desabilitar DHCP; Vários fabricantes comercializam soluções proprietárias com camada adicional de segurança sobre o b. utenticação Mutua Evita que alguém se posicione no meio de uma comunicação depois que um cliente verdadeiro já tenha se autenticado; Utiliza o protocolo criado pela CISCO, baseado no EP (Extensible uthentication Protocol); Utiliza um servidor RDIUS

2 Soluções CISCO Solução CISCO Chave dinâmica no WEP Diminui a probabilidade de se encontrar duas cadeias RC4(k,v) iguais; Uma chave é disponibilizada no ato da autenticação e sua vida dura enquanto durar a sessão. Política de Reautenticação Obriga uma autenticação a cada período de tempo (30 minutos); Força que uma outra chave seja atribuída a essa sessão. 7 8 Solução CISCO Troca de Vetor de Inicialização lterar o IV a cada emissão de pacote, como a maioria das implementações; cada sessão começa com um valor para o IV, aleatoriamente escolhido, e não com 0, como na maioria das implementações. lgoritmo Diffie-Hellman para troca de chave Utilizados em algoritmos de criptografia simétricos para intercâmbio de chaves Diffie-Hellman Key Exchange Diffie-Hellman Key Exchange q é primo i α < q b, i Ι, b = α mod q i D é chamada de raiz primitiva Y é único = α mod q Y = α mod q 11 para cada b K ( Y ) = mod q K = ( Y ) mod q K = ( Y) mod q= ( α mod q) ( α ) mod q= ( α ) mod q= ( α mod q) mod q = ( Y ) mod q 12 mod q= 2

3 Diffie-Hellman Key Exchange ( q ) = log α. δ + Y Uma vez que é um número primo e é grande, fica computacionalmente inviável calcular o logaritmo discreto IPSec Desenvolvido pelo IETF (Internet Engineering Task Force) plicações de IPSec enefícios do IPSec Tornam (Virtual private network) seguras; Conexões seguras com Provedor de cesso à Internet; Extranet; Segurança em e-commerce. O IPSec pode ser instalado no Firewall ou no roteador e ser aplicado em todo tráfego que cruza o perímetro da rede, fortalecendo o firewall, caso todo tráfego que venha de fora seja IP; IPSec está abaixo da camada de transporte (TCP, UDP) e também é transparente para a camada de aplicação. IPSec é transparente para os usuários finais. Não há necessidade de treinamento. Pode dar segurança para um único cliente. Próprio para funcionários que atuam fora do escritório Vantagens do IPSec Componentes Controle de acesso; Integridade de pacotes; utenticação da origem; Privacidade dos pacotes; Privacidade em fluxo de pacotes; Proteção contra replays. O IPSec é dividido em 3 protocolos: H (uthentication Header) Provê serviços de autenticação, integridade e anti-replay; ESP (Encapsulating Security Payload) Provê os serviços de criptografia dos dados e, opcionalmente autenticação e anti-replay; IKE (Internet Key Exchange) É um protocolo híbrido, formado pelo ISKMP (Internet Key Management Protocol) e pelo Oakley. É responsável por gerar um meio seguro para troca de chaves pela rede

4 Security ssociations Security ssociations Relação unidirecional entre a origem e o destino que presta serviços de segurança para o tráfego entre os dois pontos; Se o tráfego é dual, então duas Ss devem ser estabelecidas; Várias Ss podem ser estabelecidas entre dois nós; É uma estrutura dinâmica. Só existe enquanto houver a sessão. Uma S é identificada por 3 parâmetros: SPI (Security Parameters Index) Uma cadeia de bits associada à S, que só tem significado local. É transportada no cabeçalho do H ou ESP para habilitar o sistema destinatário a selecionar a S sob o qual o pacote recebido será processado. Endereço IP destino Endereço destino do pacote. Identificador de Protocolo de Segurança H ou ESP Parâmetros do S Parâmetros do S Contador Sequencial Numérico Um valor de 32 bits usado para gerar o campo de Número Seqüencial do cabeçalho H ou ESP; Estouro do Contador de Seqüencial Flag que indicando se o overflow no SNC deve gerar um log para auditoria e prevenir contra futuras transmissões nessa S; Janela nti-replay Usado para identificar pacotes de replay; Informação de H lgoritmo de autenticação, chaves, tempo de vida das chaves, e outros parâmetros relativos ao H. 21 Informação de ESP lgoritmo de criptografia e autenticação, chaves, vetor de inicialização, tempo de vida das chaves, e outros parâmetros ligados ao ESP; Tempo de vida dessa S Tempo ou Número de bytes; Modo do Protocolo IPSec Tunelamento ou transporte 22 Modos Túnel e Transporte Modos Túnel e Transporte O modo de transporte é utilizado para prover segurança nas camadas mais altas do protocolo, para comunicações do tipo fim-a-fim (cliente-servidor ou entre duas estações). ESP em modo de transporte cifra e opcionalmente autentica o payload do IP mas não o cabeçalho do IP. O H em modo de transporte autentica o payload do IP e partes do cabeçalho do IP. O modo de túnel provê proteção para pacote IP inteiro. O pacote inteiro é cifrado e um novo cabeçalho é inserido, aumentando o tamanho do pacote. O modo túnel é utilizado quando tanto o nó origem, quanto o destino são gateways; O endereço real da origem e do destino ficou cifrada

5 ESP Encapsulation Security Payload Funciona com vários algoritmos de criptografia: DES RC5 IDE CST lowfish Criptografia campos payload, padding, tamanho do padding e o próximo cabeçalho Virtual Private Networks; é um tempo genérico utilizado para qualquer tecnologia que garanta comunicação segura sobre a internet pública; Ela cria um túnel entre os gateways para proteger os dados privados enquanto navegando na internet; O tunelamento, em, é o processo de cifrar todo o pacote IP em pacotes IPSec. Intenet Túnel pode ser utilizado para os seguinte tipos de conexões: Cliente-Rede Utilizado por trabalhadores que não trabalham em um lugar fixo e necessitam de mobilidade. Um túnel para cada cliente; Rede-Rede s s ligam duas redes usando um único túnel que cuida de todo tráfego entre as duas redes; Intranet s permitem que escritórios acessem, com segurança, aplicações TCP/IP na intranet corporativa; Extranet s viabilizam o acesso à extranet corporativa por vendedores, parceiros comerciais e clientes Resumo do seminário Próxima apresentação Pouco foi estudado sobre o tema de Segurança, porém bastantes coisas novas para mim foram vistas; Introdução ao tema de segurança; Tecnologias de rede sem fio; WEP; lgoritmos de Criptografia, Hash, utenticação; Quebra do algoritmo RC4; Quebra do WEP; IPSec; E outros 29 5