WPA2-Enterprise, или правильный подход к безопасности Wi-Fi сети / Хабр

Что дальше

В последнем разделе мы собрали собственный небольшой биллинг! Остается для полноты картины привернуть какой-нибудь WEB-интерфейс управления Базой Данных, добавить обязательное изменение пароля раз в месяц по крону. А если еще разориться сертификат и контроллер Wi-Fi точек доступа, то у вас в руках есть полноценная корпоративная беспроводная сеть.

Основы

Любое взаимодействие точки доступа (сети), и беспроводного клиента, построено на:

Параметры беспроводной сети, в первую очередь ее имя (SSID), регулярно анонсируются точкой доступа в широковещательных beacon пакетах. Помимо ожидаемых настроек безопасности, передаются пожелания по QoS, по параметрам 802.11n, поддерживаемых скорости, сведения о других соседях и прочее. Аутентификация определяет, как клиент представляется точке. Возможные варианты:

Открытость сети не означает, что любой желающий сможет безнаказанно с ней работать. Чтобы передавать в такой сети данные, необходимо совпадение применяющегося алгоритма шифрования, и соответственно ему корректное установление шифрованного соединения.

Что такое wpa2-psk — personal или enterprise?

WPA2 — усовершенствованный вариант предыдущего типа. Взлом WPA2 практически невозможен, он обеспечивает максимальную степень безопасности, поэтому в своих статьях я всегда без объяснений говорю о том, что нужно устанавливать именно его — теперь вы знаете, почему.

У стандартов защиты WiFi WPA2 и WPA есть еще две разновидности:

Что такое wi-fi шифрование

Прежде чем ознакомиться с основными разновидностями шифрования, необходимо разобраться с общими особенностями защиты сети Wi-Fi.

При использовании беспроводной сети пользователь должен придумать уникальный код. Он будет использоваться для блокировки или предоставления доступа к его личной сети. В данном случае главным будет не сам пользовательский пароль, а особенности шифрования придуманного кода и информации, которая будет передаваться между роутером и другими подколоченными устройствами.

Исходя из этого можно сделать вывод, что Wi-Fi шифрование — это технология, которая отвечает за защиту беспроводного подключения к интернету и сохранность пользовательских данных.

Дополнительная информация! Безопасность роутера Wi-Fi во многом зависит от того, какой вид шифра используется для защиты передаваемой информации. Именно поэтому к выбору используемого типа шифрования нужно отнестись очень серьезно.

Что такое wpa3-psk?

Стандарт шифрования WPA3-PSK появился совсем недавно и пришел на смену WPA2. И хоть последний отличается очень высокой степенью надежности, WPA3 вообще не подвержен взлому. Все современные устройства уже имеют поддержку данного типа — роутеры, точки доступа, wifi адаптеры и другие.

Что такое wep защита wifi?

WEP (Wired Equivalent Privacy) — это самый первый появившийся стандарт, который по надежности уже не отвечает современным требованиям. Все программы, настроенные на взлом сети wifi методом перебора символов, направлены в большей степени именно на подбор WEP-ключа шифрования.

Что такое ключ wpa или пароль?

WPA (Wi-Fi Protected Access) — более современный стандарт аутентификации, который позволяет достаточно надежно оградить локальную сеть и интернет от нелегального проникновения.

Radius-сервер

Зайдем на наш компьютер с Linux и установим RADIUS-сервер. Я брал freeradius, и ставил я его на gentoo. К моему удивлению, в рунете нет материалов, относящихся к настройке Freeradius 2 для наших целей. Все статьи довольно стары, относятся к старым версиям этого програмного обеспечения.

root@localhost ~ # emerge -v freeradius

Все:) RADIUS-сервер уже может работать:) Вы можете проверить это так:

root@localhost ~ # radiusd -fX

Это debug-mode. Вся информация вываливается на консоль. Приступем к его настройке.

Как это водится в Linux, настройка выполняется через конфигурационные файлы. Конфигурационные файлы хранятся в /etc/raddb. Сделаем подготовительные действия — скопируем исходные конфиги, почистим конфигурация от всякого мусора.

root@localhost ~ # cp -r /etc/raddb /etc/raddb.olg
root@localhost ~ # find /etc/raddb -type f -exec file {} ;  | grep 'text' | cut -d':' -f1 | xargs sed -i '/^ *t* *#/d;/^$/d'

Далее добавим клиента — точку доступа. Добавляем в файлик /etc/raddb/clients следующие строки:

root@localhost ~ # cat /etc/raddb/clients.conf | sed '/client test-wifi/,/}/!d'
client test-wifi {
        ipaddr = 192.168.0.1 #IP адрес точки, которая будет обращаться к радиусу
        secret = secret_key #Секретный ключик. Такой же надо будет поставить на Wi-Fi точке.
        require_message_authenticator = no  #Лучше так, с каким-то D-Linkом у меня не получилось иначе
}

Далее добавляем домен для пользователей. Сделаем дефолтовый.

root@localhost ~ # cat /etc/raddb/proxy.conf | sed '/realm DEFAULT/, /^}/!d'
realm DEFAULT {
        type = radius
        authhost = LOCAL
        acchost = LOCAL
}

Wep (wired equivalent privacy)

Еще 15-20 лет назад мало кто думал над тем, какое шифрование выбрать для Wi-Fi. Дело в том, что в конце 90-х и начале 2000-х годов активно использовалась технология WEP, которая на тот момент времени не имела достойных конкурентов.

Сейчас WEP уже не пользуется такой популярностью и считается одним из наиболее слабых способов защиты данных. В большинстве современных роутеров отсутствует поддержка этой технологии. Если же в маршрутизаторе можно использовать WEP, то делать этого не стоит. Этот режим защиты очень слабый и его очень легко взломать, даже если установлен сложный пароль.

У данной технологии есть несколько недостатков, из-за которых ее перестали использовать:

• Короткая комбинация паролей. При использовании WEP пароли не могут быть больше 104 бит. Скорость взлома этой технологии поражает. Расшифровать такой код можно в течение нескольких секунд.
• Ошибки в проектировании технологии. Каждый пакет данных, который передается через WEP, содержит в себе несколько байт ключа. Именно поэтому данный тип безопасности Wi-Fi перестали использовать для защиты маршрутизаторов.

Wpa и wpa2 (wi-fi protected access)

Людям, которые не знают какой тип шифрования Wi-Fi выбрать сейчас, следует обратить внимание на WPA и WPA2. Сегодня это один из наиболее современных и надежных типов сетевой защиты, который поддерживается большинством моделей роутеров.

Первая версия WPA появилась в начале 2000-х годов и разрабатывалась для смены малоэффективной технологии WEP. Среди основных достоинств этой защиты можно выделить то, что она поддерживает комбинацию паролей до 63 байт. Поэтому людям понадобится потратить немало времени перед тем как узнать пароль для Wi-Fi с типом защиты WPA.

Дополнительная информация! Сейчас большинство пользователей используют для шифрования данных беспроводной сети технологию WPA2. Главная ее особенность — поддержка двух режимов аутентификации. Это позволяет в разы улучшить защиту домашней сети вай-фай.

Wpa2 enterprise

Здесь мы имеем дело с дополнительным набором различных протоколов. На стороне клиента специальный компонент программного обеспечения, supplicant (обычно часть ОС) взаимодействует с авторизующей частью, AAA сервером. В данном примере отображена работа унифицированной радиосети, построенной на легковесных точках доступа и контроллере.

В случае использования точек доступа «с мозгами» всю роль посредника между клиентов и сервером может на себя взять сама точка. При этом данные клиентского суппликанта по радио передаются сформированными в протокол 802.1x (EAPOL), а на стороне контроллера они оборачиваются в RADIUS-пакеты.

Применение механизма авторизации EAP в вашей сети приводит к тому, что после успешной (почти наверняка открытой) аутентификации клиента точкой доступа (совместно с контроллером, если он есть) последняя просит клиента авторизоваться (подтвердить свои полномочия) у инфраструктурного RADIUS-сервера:

Использование WPA2 Enterprise требует наличия в вашей сети RADIUS-сервера. На сегодняшний момент наиболее работоспособными являются следующие продукты:

• Microsoft Network Policy Server (NPS), бывший IAS — конфигурируется через MMC, бесплатен, но надо купить винду
• Cisco Secure Access Control Server (ACS) 4.2, 5.3 — конфигурируется через веб-интерфейс, наворочен по функционалу, позволяет создавать распределенные и отказоустойчивые системы, стоит дорого
• FreeRADIUS — бесплатен, конфигурируется текстовыми конфигами, в управлении и мониторинге не удобен

При этом контроллер внимательно наблюдает за происходящим обменом информацией, и дожидается успешной авторизации, либо отказа в ней. При успехе RADIUS-сервер способен передать точке доступа дополнительные параметры (например, в какой VLAN поместить абонента, какой ему присвоить IP-адрес, QoS профиль и т.п.).

Wps/qss

Многие пользователи не знают, какой метод проверки подлинности Wi-Fi лучше для ноутбуков Asus или техники от других производителей. Чаще всего выбирают технологию WPA. Однако есть люди, использующие WPS.

Этот вид шифрования позволяет подключаться к точке доступа при помощи пароля, состоящего из восьми символов. Однако при разработке этого стандарта была допущена ошибка, благодаря которой подключаться к вай-фай сети можно используя всего четыре символа.

Базовая настройка

В этой статье нас будут интересовать в первую очередь WPA2-EAP/TLS способ авторизации.

Практически все современные точки доступа Wi-Fi стоимостью больше 3 тыс. рублей поддерживают нужную нам технологию. Клиентские устройства поддерживают и подавно.

В статье я буду использовать следующее оборудование и програмное обеспечение:

Для чего нужно шифровать wifi?

Отмечу, что защищать свой WiFi паролем нужно обязательно, не важно, какой тип шифрования вы при этом выберете. Даже самая простая аутентификация позволит избежать в будущем довольно серьезных проблем.

Почему я так говорю? Тут даже дело не в том, что подключение множества левых клиентов будет тормозить вашу сеть — это только цветочки. Главная причина в том, что если ваша сеть незапаролена, то к ней может присосаться злоумышленник, который из-под вашего роутера будет производить противоправные действия, а потом за его действия придется отвечать вам, так что отнеситесь к защите wifi со всей серьезностью.

Защита беспроводного режима на маршрутизаторе tp-link

На приведенных выше скринах показана панель управления современным роутером TP-Link в новой версии прошивки. Настройка шифрования сети здесь находится в разделе «Дополнительные настройки — Беспроводной режим».

В старой «зеленой» версии интересующие нас конфигурации WiFi сети расположены в меню «Беспроводной режим — Защита». Сделаете все, как на изображении — будет супер!

Если заметили, здесь еще есть такой пункт, как «Период обновления группового ключа WPA». Дело в том, что для обеспечения большей защиты реальный цифровой ключ WPA для шифрования подключения динамически меняется. Здесь задается значение в секундах, после которого происходит смена. Я рекомендую не трогать его и оставлять по умолчанию — в разных моделях интервал обновления отличается.

Защита сети wi-fi: какую выбрать

Выделяют четыре основных вида защиты беспроводных сетей. Каждый из них имеет определенные особенности, с которыми надо ознакомиться. Это поможет подобрать наиболее походящий способ защиты.

Защита сети через руотер zyxel keenetic

Аналогично и у Zyxel Keenetic — раздел «Сеть WiFi — Точка доступа»

В роутерах Keenetic без приставки «Zyxel» смена типа шифрования производится в разделе «Домашняя сеть».

Какую защиту ставить на wi-fi роутере?

Используйте WPA2 – Personal с шифрованием AES. На сегодняшний день, это лучший и самый безопасный способ. Вот так настройки защиты беспроводной сети выглядит на маршрутизаторах ASUS:

Подробнее в статье: как установить пароль на Wi-Fi роутере Asus.

А вот так эти настройки безопасности выглядят на роутерах от TP-Link (со старой прошивкой).

Более подробную инструкцию для TP-Link можете посмотреть здесь.

Инструкции для других маршрутизаторов:

Если вы не знаете где найти все эти настройки на своем маршрутизаторе, то напишите в комментариях, постараюсь подсказать. Только не забудьте указать модель.

Так как WPA2 – Personal (AES) старые устройства (Wi-Fi адаптеры, телефоны, планшеты и т. д.) могут не поддерживать, то в случае проблем с подключением устанавливайте смешанный режим (Авто).

Не редко замечаю, что после смены пароля, или других параметров защиты, устройства не хотят подключаться к сети. На компьютерах может быть ошибка “Параметры сети, сохраненные на этом компьютере, не соответствуют требованиям этой сети”. Попробуйте удалить (забыть) сеть на устройстве и подключится заново. Как это сделать на Windows 7, я писал здесь. А в Windows 10 нужно забыть сеть.

Метод проверки подлинности на роутере asus

На маршрутизаторах ASUS все параметры WiFi расположены на одной странице «Беспроводная сеть»

Насколько это надежно

В конце концов, что нужно злоумышленнику, чтобы взломать вашу сеть?

Для Open Authentication, No Encryption — ничего. Подключился к сети, и всё. Поскольку радиосреда открыта, сигнал распространяется в разные стороны, заблокировать его непросто. При наличии соответствующих клиентских адаптеров, позволяющих прослушивать эфир, сетевой трафик виден так же, будто атакующий подключился в провод, в хаб, в SPAN-порт коммутатора.

Для шифрования, основанного на WEP, требуется только время на перебор IV, и одна из многих свободно доступных утилит сканирования.Для шифрования, основанного на TKIP либо AES прямое дешифрование возможно в теории, но на практике случаи взлома не встречались.

Конечно, можно попробовать подобрать ключ PSK, либо пароль к одному из EAP-методов. Распространенные атаки на данные методы не известны. Можно пробовать применить методы социальной инженерии, либо терморектальный криптоанализ.

Настройка безопасности роутера d-link

На D-Link ищем раздел «Wi-Fi — Безопасность»

Настройка клиентов

Пробежимся по настройке основных пользовательских устройств. У наших сотрудников есть клиенты, работающие на Android, iOS и Windows 7. Оговоримся сразу: так как мы используем самосозданные сертификаты, то нам нужно несколько раз вносить всевозможные исключения и подтверждать действия. Если бы мы пользовали купленные сертификаты, возможно, все было бы проще.

Настройка точки доступа

Главное, чтоб точка поддерживала нужный способ аутентификации. Оно может называться по разному в разных устройствах: WPA-EAP, WPA2 Enterprise и т.д. Во всяком случае выбираем аутентификацию, устанавливаем IP-адрес и порт RADIUS-сервера и ключ, который мы вводили в clients.conf при настройке Freeradius.

Приведу картинку с настроенной точки Ubiquiti. Помечено галкой то, что нужно менять.

Немного теории

Когда-то давно инженерами IEEE был придуман стандарт 802.1x. Этот стандарт отвечает за возможность авторизации пользователя сразу при подключении к среде передачи данных. Иными словами, если для соединения, например, PPPoE, вы подключаетесь к среде(коммутатору), и уже можете осуществлять передачу данных, авторизация нужна для выхода в интернет.

В случае же 802.1x вы не сможете делать ничего, пока не авторизуетесь. Само конечное устройство вас не допустит. Аналогичная ситуация с Wi-Fi точками доступа. Решение же о допуске вас принимается на внешнем сервере авторизации. Это может быть RADIUS, TACACS, TACACS и т.д.

Общая схема сети

Для наглядного понимания приведем общую схему работы нашей будущей схемы:

Пароль (ключ) wpa psk

Какой бы тип безопасности и метод шифрования вы не выбрали, необходимо установить пароль. Он же ключ WPA, Wireless Password, ключ безопасности сети Wi-Fi и т. д.

Длина пароля от 8 до 32 символов. Можно использовать буквы латинского алфавита и цифры. Так же специальные знаки:  – @ $ # ! и т. д. Без пробелов! Пароль чувствительный к регистру! Это значит, что “z” и “Z” это разные символы.

Не советую ставить простые пароли. Лучше создать надежный пароль, который точно никто не сможет подобрать, даже если хорошо постарается.

Вряд ли получится запомнить такой сложный пароль. Хорошо бы его где-то записать. Не редко пароль от Wi-Fi просто забывают. Что делать в таких ситуациях, я писал в статье: как узнать свой пароль от Wi-Fi.

Создание профиля с помощью общего ключа аутентификации wep

1. Откройте окно «Центр управления сетями и общим доступом».
2. Щелкните Настроить новое подключение или сеть.
3. Выберите Подключение вручную к беспроводной сети и нажмите кнопку Далее.
4. На странице Введите информацию о беспроводной сети, которую нужно добавить под заголовком Тип защиты выберите WEP.
5. Заполните остальные страницы и нажмите кнопку Далее.
6. Щелкните Настройка подключения.
7. Перейдите на вкладку Безопасность, в списке Тип защиты выберите Общий.
8. Нажмите кнопку ОК.

Терминология

Вообще авторизация пользователя на точке может быть следующих видов:

А теперь рассмотрим варианты того, как точка доступа узнает сама, можно ли предоставлять пользователю доступ к сети или нет:

Также существует довольно большое количество способов соедининея конечного устройства к серверу авторизации (PEAP, TLS, TTLS…). Я не буду их здесь описывать.

Технология защищенного доступа wi-fi (wpa и wpa2)

Для подключения с помощью WPA и WPA2 необходимо иметь ключ безопасности. После проверки ключа все данные, пересылаемые между компьютером или устройством и точкой доступа, будет зашифровано.

Существуют два типа аутентификации WPA: WPA и WPA2. По возможности используйте WPA2, поскольку он самый безопасный. Почти все новые беспроводные адаптеры поддерживают WPA и WPA2, но существуют некоторые старые модели, которые их не пидтримують.

У WPA-Personal и WPA2-Personal пользователям предоставляется одинаковая парольная фраза. Эти типы рекомендованы для использования в домашних сетях. WPA-Enterprise и WPA2-Enterprise предназначены для использования с сервером аутентификации 802.1х, который создает различные ключи для каждого пользователя. Этот тип обычно используется в рабочих сетях.

Типы шифрования wpa — tkip или aes?

Итак, мы определились, что оптимальным выбором для обеспечения безопасности сети будет WPA2/PSK (Personal), однако у него есть еще два типа шифрования данных для аутентификации.

• TKIP — сегодня это уже устаревший тип, однако он все еще широко употребляется, поскольку многие девайсы энное количество лет выпуска поддерживают только его. Не работает с технологией WPA2/PSK и не поддерживает WiFi стандарта 802.11n.
• AES — последний на данный момент и самый надежный тип шифрования WiFi.

Шифрование wifi данных и типы аутентификации

Итак, в необходимости шифрования сети wifi мы убедились, теперь посмотрим, какие бывают типы:

Шифрование беспроводной сети

Есть два способа TKIP и AES.

Рекомендуется использовать AES. Если у вас в сети есть старые устройства, которые не поддерживают шифрование AES (а только TKIP) и будут проблемы с их подключением к беспроводной сети, то установите “Авто”. Тип шифрования TKIP не поддерживается в режиме 802.11n.

В любом случае, если вы устанавливаете строго WPA2 – Personal (рекомендуется), то будет доступно только шифрование по AES.