Fechando o círculo: Levando a segurança de LAN sem fios às impressoras móveis. RELATÓRIO INFORMATIVO SOBRE APLICAÇÃO

Fechando o círculo: Levando a segurança de LAN sem fios às impressoras móveis. RELATÓRIO INFORMATIVO SOBRE APLICAÇÃO

Direitos autorais 2005 ZIH Corp. ZebraNet e todos os números e nomes de produtos, inclusive QL são marcas comerciais da Zebra, e Zebra, ZPL e ZebraNet são marcas comerciais registradas da ZIH Corp. Todos os direitos reservados. Microsoft e Windows são marcas comerciais registradas da Microsoft Corporation. Cisco é marca comercial registrada da Cisco Systems, Inc. Symbol é marca comercial registrada da Symbol Technologies, Corporation. Todas as demais marcas pertencem a seus respectivos proprietários.

R esumo executivo A segurança de redes sem fios está melhorando e evoluindo cada vez mais, e a proteção disponível para impressoras móveis acompanha de perto esse progresso. Muitas opções eficazes têm sido desenvolvidas para proteger as LANs sem fios desde que os primeiros problemas surgiram há alguns anos atrás. Falhas no padrão sem fios original, o IEEE 802.11b, foram sanadas, e novos esquemas de segurança foram desenvolvidos para proteção contra outras ameaças. A Zebra Technologies levou essa proteção às suas impressoras sem fios, móveis e estacionárias, para que os clientes usuários de impressoras Zebra possam se beneficiar da mesma segurança usada para proteger seus pontos de acesso e computadores móveis. As empresas não devem ignorar as impressoras sem fios quando estiverem avaliando a segurança da rede. Mesmo que os trabalhos de impressão e fluxos de dados enviados a uma impressora móvel não incluam informações empresariais sensíveis, uma impressora desprotegida, ou pouco protegida, pode fornecer aos hackers uma porta dos fundos para a rede da empresa. Esse relatório informativo delineará os pontos básicos da segurança sem fios e descreverá como a Zebra suporta os padrões e protocolos mais populares. Os métodos de segurança aqui discutidos se referem ao protocolo de comunicações 802.11, salvo indicação em contrário. A Zebra oferece conectividade para redes sem fios já integrada em várias impressoras móveis de sua linha de produtos. Além disso, comunicação sem fios e segurança para impressoras estacionárias tabletop e desktop, podem ser viabilizadas através do plug-in ZebraNet Wireless Print Server. P ontos básicos da segurança sem fios Há três requisitos para assegurar a segurança de uma rede sem fios: dispositivos não autorizados devem ter o acesso à rede bloqueado; dispositivos autorizados devem ser protegidos contra a possibilidade de serem usados para transmitir a um dispositivo não autorizado (autenticação); e o tráfego da rede deve ser protegido durante a transmissão de dados (criptografia). Criptografia protege os dados em transmissão. Os dados são codificados com um algoritmo e mais tarde decodificados com uma chave. Chaves compatíveis são armazenadas em cada dispositivo e ponto de acesso ao longo da rede. As chaves de criptografia podem ser mudadas freqüentemente. Uma análise de ataques bem sucedidos a LANs sem fios constatou que os usuários aumentam a vulnerabilidade de suas redes quando ignoram a mudança regular das chaves, ou quando deixam de ativá-las. Autenticação evita que dispositivos maliciosos obtenham acesso à rede, e evita que pontos de acesso suspeitos coletem transmissões dos dispositivos da rede. Autenticação pode ser implementada com uma simples senha ou por meio de algoritmos mais sofisticados. As redes mais seguras empregam autenticação mútua, exigindo que o dispositivo móvel e o ponto de acesso se autentiquem um com o outro antes que qualquer transmissão de rede seja realizada. Alguns padrões e métodos de segurança combinam autenticação e criptografia. Por exemplo, os padrões IEEE 802.1x e 802.11i exigem ambos autenticação e criptografia, e definem uma gama de protocolos aceitos para cada um. Redes virtuais privadas (VPNs na sigla em inglês) também combinam criptografia e autenticação. Há dezenas de protocolos de criptografia e autenticação, padrões, técnicas e produtos disponíveis para proteger LANs sem fios, e várias formas de combinar tudo isso, o que acaba resultando em um leque de opções bastante confuso. A melhor forma de navegar essas opções é determinar o nível necessário de segurança e em seguida identificar a solução que melhor atenda as necessidades da empresa. 1

A Zebra classifica o panorama de segurança para LANs sem fios em diferentes níveis, partindo de Nível 0 (sem segurança ou praticamente desprotegido) até o Nível 4, considerado o mais seguro. A maioria das empresas considera os níveis de segurança 2 e 3 (veja tabela abaixo) suficientemente seguros para suas LANs sem fios. Infelizmente, muitos sistemas estão protegidos apenas pelo WEP (sigla em inglês para Privacidade equivalente à de redes com fios), o nível padrão para equipamento compatível com o protocolo 802.11b. O WEP já demonstrou ser vulnerável aos hackers, e foi explorado em várias das quebras de segurança de LANs amplamente divulgadas, criando uma falsa impressão de que a tecnologia de LAN sem fios é insegura por natureza. Uma descrição geral dos níveis de segurança para LANs sem fios é apresentada na figura 1 abaixo: Fig. 1 Níveis de segurança para LANs sem fios Nível Tipo de proteção Protocolos comuns 0 SSID (sigla em inglês para Jogo Sem segurança identificador para serviços secretos) 1 WEP (Sigla em inglês para Criptografia básica de 40 a 128 bits Privacidade equivalente à das redes com fios) criptografia apenas 2 WPA (sigla em inglês para Autenticação 802.1x EAP-TLS, EAP-LEAP, Acesso protegido para Wi-Fi) EAP-TTLS, EAP-PEAP. Protocolos de criptografia + autenticação criptografia suportados incluem TKIP, MIC 3 VPN (sigla em inglês para Protocolos avançados de autenticação e Rede virtual privada) criptografia criptografia + autenticação 4 Criptografia e autenticação Protocolos avançados de criptografia AES e para 802.11i autenticação 802.1x As próximas sessões oferecem uma síntese das técnicas e métodos de implementação mais comuns usados na segurança de redes, e descrevem como podem ser implementados nas impressoras Zebra. Criptografia Os protocolos de criptografia mais comuns incluem o WEP (sigla em inglês para Privacidade equivalente à das redes sem fios), AES (sigla em inglês para Padrão avançado de criptografia), DES triplo (3DES), TKIP (sigla em inglês para Protocolo de integridade de chave temporal) e SSL (sigla em inglês para Camada de conexão segura). O padrão 802.11b originalmente oferecia criptografia WEP, visando proporcionar o mesmo nível de proteção encontrado em uma rede Ethernet com fios. Em muitos casos os usuários negligenciavam a ativação do protocolo de criptografia ao configurar a rede pela primeira vez. O WEP oferece recursos de criptografia de até 128 bits, mas muitas empresas, quando ativam o WEP, geralmente o deixam na configuração padrão de 40 bits. A comissão de padrões 802.11 voltou a trabalhar no fechamento das brechas de segurança identificadas no padrão 802.11b original. Um dos resultados foi a criação do WPA (sigla em inglês para Acesso protegido de Wi-Fi), um padrão compatível com prévias versões de hardware 802.11b e compatível com o novo padrão 802.11i. O WPA fortalece significantemente o nível de segurança ao criptografar o WEP com o protocolo de chave temporal TKIP. O WPA também adiciona proteção com autenticação para equipamento 802.11b. 2

Zebra Suporte para protocolos de criptografia Todas as impressoras Zebra sem fios compatíveis com o protocolo 802.11b, vêm de fábrica com suporte para criptografia WEP de 40 a 128 bits. As impressoras móveis das séries Zebra QL e RW também, oferecem suporte para criptografia WPA com chave temporal TKIP. A Zebra também suporta VPNs (sigla em inglês para Redes virtuais privadas) para oferecer uma camada adicional de criptografia. Fig. 2: Suporte de criptografia para impressoras Zebra em LANs sem fios Modelo 40-bit WEP 128-bit WEP WPA-TKIP AES Outros (Observe abaixo) Série QL Q4 05 Suporte para VPN Série RW Q4 05 Suporte para VPN PS 2100 em desenvolvimento XiIIIPlus 105SL Z4Mplus Z6Mplus Série PAX4 Nota: WPA-TKIP não pode ser encomendado separadamente. É incluído com o protocolo de autenticação WPA-PSK ou o WPA-LEAP. Autenticação Há inúmeros protocolos disponíveis para dispositivos e pontos de acesso sem fios cuja função é autenticar e assegurar que se comuniquem apenas com dispositivos autorizados. Um dos protocolos de autenticação mais importantes e populares que surgiram ultimamente é o 802.1x, criado pelo comitê de padrões IEEE. Vale observar que o protocolo 802.1x não define um formato específico de identificação; na verdade, é uma estrutura padronizada que suporta múltiplos métodos de autenticação em nível de porta. O 802.1x exige o uso do EAP (sigla em inglês para Protocolo de autenticação extensível). Existem diversas variações deste protocolo. Dentre os mais conhecidos encontram-se: EAP-LEAP (sigla em inglês para Protocolo de autenticação extensível peso-leve), que foi desenvolvido pela Cisco Systems e é usado em seu equipamento para redes sem fios; EAP-TLS (sigla em inglês para Segurança de camada de transporte); EAP-PEAP (sigla em inglês para Protocolo protegido de autenticação extensível), suportado pelo sistema operacional Microsoft Windows ; e o EAP-TTLS (Segurança em túnel de camada de transporte). Os vários tipos diferentes de EAP não são interoperáveis. Isso significa que todos os periféricos usados na rede têm que usar o mesmo formato de EAP. Suporte Zebra para protocolos de autenticação AZebra suporta múltiplos protocolos EAP permitindo que suas impressoras sejam facilmente integradas em sistemas de segurança 802.1x. Suporte para LEAP é disponível em toda a linha de produtos estacionários e móveis Zebra, permitindo que as impressoras Zebra sejam incluídas e protegidas em redes sem fios Cisco. Suporte para EAP-TLS e PEAP estão atualmente sendo desenvolvidos para as impressoras da série RW. Suporte para PEAP irá facilitar a integração em sistemas Windows, os quais suportam segurança PEAP. WPA oferece autenticação e criptografia e é oferecido para impressoras das séries QL e RW. A Zebra suporta também a implementação de VPN, o qual oferece suas próprias formas de autenticação. Isso será descrito com detalhes mais à frente. 3

A Symbol Technologies inclui segurança Kerberos nos cartões de rádio que fabrica, portanto, as impressoras Zebra móveis e estacionárias com rádios Symbol suportam Kerberos e podem ser usadas em redes sem fios Symbol. Fig. 3: Suporte de autenticação para impressoras Zebra em LANs sem fios Modelo Kerberos LEAP WPA-PSK WPA-LEAP PEAP Compatível Outros com 802.1x Série QL Suporte para VPN Série RW Em Suporte desenvolvim ento para VPN Série PS 2100 Em desenvolvimento XiIIIPlus 105SL Z4Mplus Z6Mplus Série PAX4 802.1x O protocolo 802.1x é uma estrutura de autenticação flexível que exige a utilização de um servidor RADIUS, criptografia aprimorada, e autenticação baseada em EAP. Os servidores RADIUS proporcionam autenticação mútua e evitam que o tráfego de dispositivos não autorizados entre na rede com fios. O padrão 802.1x permite o uso de múltiplas formas de EAP, mas todos os dispositivos da rede devem usar o mesmo formato. Quando foi criado, o padrão 802.1x reparou todas as brechas de segurança associadas com o padrão 802.11b. O padrão de segurança 802.11i, que oferece proteção ainda maior, exige o uso de autenticação 802.1x. Suporte Zebra para protocolos 802.1x As impressoras das séries QL e RW atendem todos os critérios para uso em redes protegidas pelo protocolo 802.1x. A figura 3 contém uma lista dos produtos Zebra compatíveis com o protocolo 802.1x. VPNs (Redes virtuais privadas) As VPNs foram criadas para oferecer um conexão segura e privada através de uma rede pública (como a Internet) e foram adaptados para proporcionar comunicações super seguras em uma LAN sem fios. VPNs de LANs sem fios incorporam criptografia e autenticação mútua em um único sistema. VPNs são geralmente descritas como túneis seguros através dos quais o tráfego de rede pode viajar sem perigo de intercepção. Depois de tudo ter sido autenticado, a comunicação é criptografada e roteada através do túnel virtual criado pela VPN. VPNs é um tipo de segurança, não um protocolo específico, portanto não há interoperabilidade entre marcas diferentes. Redes virtuais privadas podem ser baseadas em padrões ou empregar métodos proprietários de 4

criptografia e autenticação. VPNs proprietárias são otimizadas para proteger um ambiente específico de infraestrutura de rede. VPNs baseadas em padrões funcionam tipicamente com protocolos padronizados de criptografia e autenticação, mas não asseguram, necessariamente, compatibilidade ou interoperabilidade entre todo o equipamento sem fios que compartilha o protocolo. VPNs podem usar SSL, IPSec, ou outros tipos de criptografia. Implementações SSL viabilizam apenas comunicações com aplicações codificadas para SSL, inclusive navegadores da Web. VPNs IPSec suportam todas as aplicações e recursos de rede. Suporte Zebra para VPN A Zebra oferece atualmente um cliente Zebra VPN baseado em TTLS para impressoras móveis das séries QL e RW que funciona com AirBEAM Safe VPN da Symbol Technologies. Um cliente VPN IPSec se encontra em desenvolvimento para uso em redes sem fios Cisco e outras baseadas no padrão 802.11. 802.11i O padrão IEEE 802.11i foi sancionado em julho de 2004, e oferece segurança para redes 802.11. O padrão 802.11i representa um avanço sobre o padrão WPA e exige o uso de autenticação 802.1x. Uma característica chave do 802.11i é que ele exige o uso de AES (sigla em inglês para Padrão de criptografia avançada), um algoritmo de codificação super poderoso. AES torna o padrão 802.11i bastante seguro, mas cria alguns problemas em instalações empresariais. A maioria dos rádios 802.11b atualmente instalados em computadores e impressoras móveis não têm potência suficiente para lidar com a criptografia AES. O resultado é um desempenho lento inaceitável para aplicações empresariais móveis. Os rádios de última geração que suportam redes sem fios de alta velocidade padrão 802.11g (retrocompatíveis com o padrão 802.11b) incluirão novos processadores potentes o suficiente para lidar com a criptografia AES e, assim, viabilizar a implementação do novo padrão 802.11i. O padrão 802.11i foi desenvolvido para alta segurança em ambientes ultra sensíveis. A maioria das empresas exige segurança básica. Por isso, as limitações de hardware iniciais do 802.11i afetam apenas um pequeno segmento de usuários de LANs sem fios. Suporte Zebra para protocolos 802.11i A Zebra não oferece suporte para 802.11i em suas configurações de produto padrão atuais. A Zebra planeja oferecer suporte para 802.11i em futuras impressoras móveis compatíveis com o padrão de rede sem fios 802.11g. Gestão de segurança em impressoras Zebra A segurança para sistemas sem fios é dinâmica, com novos padrões e protocolos sendo continuamente desenvolvidos e obtendo suporte dos fabricantes de equipamento líderes. Há poucos anos, o WEP era o protocolo de segurança número um para redes 802.11, e a criptografia AES se destinava a aplicações governamentais e militares super secretas. Hoje, a segurança de várias redes sem fios domésticas vai além da proteção WEP, e AES faz parte do padrão 802.11i destinado para uso empresarial. Infra-estruturas sem fios, inclusive impressoras e suas ferramentas de gestão, têm que ser flexíveis o suficiente para facilitar mudanças, permitindo que os usuários implementem facilmente as últimas atualizações e opções para otimizar a segurança da rede. 5

A Zebra oferece poderosas opções de gestão que simplificam o processo de implantação, monitoramento, configuração e atualização de protocolos de segurança em suas impressoras. O ZebraNet Bridge pode ser usado para gerenciar, monitorar e configurar remotamente impressoras Zebra tabletop e desktop através de toda a empresa. O software Label Vista da Zebra pode ser usado para configurar impressoras móveis Zebra. Certas impressoras móveis Zebra podem ser gerenciadas com o software Avalanche da Wavelink Crop. o qual oferece um ambiente de gestão completo para vários tipos de dispositivos sem fios de diferentes fabricantes. Usando o Wavelink Avalanche os administradores de sistema podem remotamente implementar atualizações de software e de segurança, configurar periféricos e modificar parâmetros em impressoras móveis das séries QL e RW, computadores móveis e outros dispositivos sem fios. Impressoras móveis Zebra prontas para Wavelink permitem aos administradores de TI manter completa visibilidade e controle sobre todos os dispositivos da rede a partir de um único terminal remoto sem ter que fisicamente tocar as impressoras. A capacidade de gerenciar e proteger eficazmente todos os tipos de dispositivos móveis a partir de um único ponto reduz significantemente os custos de suporte ao longo de toda a rede de uma empresa. O ZebraNet Bridge oferece também os benefícios de gestão centralizada e custos de suporte reduzidos. Ele pode ser usado para monitorar impressoras Zebra usando Zebranet 10/100 e servidores de impressão sem fios. O ZebraNet Bridge se destina a impressoras Zebra compatíveis com a linguagem de comando ZPL. Suporte expandido para impressoras e novas ferramentas de gerenciamento serão incluídas em futuros lançamentos. O ZebraNet Bridge conta com vário novos recursos para facilitar ainda mais a gestão de segurança. Parâmetros, alertas e objetos podem ser copiados e colados de impressora a impressora, agilizando implantações de grande escala, configuração de servidores de impressão e instalação de novos dispositivos. Os downloads de firmware podem ser realizados remotamente, economizando tempo nas implementações e atualizações de segurança. O ZebraNet Bridge também monitora atividade e desempenho de impressoras, além de oferecer ao cliente visibilidade para uma impressora que tenha desaparecido da rede ou que esteja se comunicando durante horários de inatividade, o que poderia indicar uma quebra de segurança. Conclusão Não há porque a impressora tenha que ser o elo mais fraco na segurança de sua rede sem fios. Administradores de sistema não devem abrir mão da segurança de impressoras e devem optar por modelos que suportem os protocolos de segurança padrão preferidos pela empresa. As empresas devem insistir em impressoras e ferramentas de gestão que ofereçam conveniência de gerenciamento e atualizações. A Zebra suporta inúmeras implementações líderes de criptografia, autenticação e VPN, para que os usuários possam levar às suas impressoras a mesma segurança que aplicam em toda a infra-estrutura sem fios. Desenvolvimento customizado para suportar protocolos adicionais também é oferecido. As ferramentas de gestão Zebra para instalação e configuração de impressoras, monitoramento de condições, e gerenciamento de downloads e atualizações, ajuda a reduzir o custo total de propriedade do sistema de impressão e reduz custos nos processo de atualização das impressoras com os mais novos protocolos de segurança. Para mais informações sobre o suporte Zebra para protocolos de segurança, impressoras e soluções de conectividade e gerenciamento, visite www.zebra.com. Nota: Nem toda medida de segurança é perfeita. 6

Notas 7

Notas 8

Notas 9

333 Corporate Woods Parkway Vernon Hills, IL 60061-3109 U.S.A. Fone: +1 847 793 2600 Fax: +1 847 913 8766 www.zebra.com GSA#: GS-35F-0268N 2005 ZIH Corp. 13897L-P-003 (7/05)