Аутентификация – psk против 802.1x
Как и WPA, WPA2 поддерживает аутентификацию IEEE 802.1X / EAP и PSK..
WPA2-Personal – PSK – это механизм аутентификации, используемый для проверки пользователей WPA2-Personal, устанавливающих соединение Wi-Fi. Это было разработано прежде всего для общего домашнего и офисного использования. PSK не требует настройки сервера аутентификации.
WPA2-Enterprise – Оригинальный стандарт IEEE 802.11 («пригодный к эксплуатации» стандарт для сертификации WiFi) был выпущен в 1997 году. Более поздние версии часто разрабатывались для повышения скорости передачи данных и соответствия новым технологиям безопасности.
Последние версии WPA2-Enterprise соответствуют стандарту 802.11 я. Основной протокол аутентификации 802.1X, что позволяет устройствам Wi-Fi проходить проверку подлинности по имени пользователя и паролю или с использованием сертификата безопасности.
Аутентификация 802.1X развернута на AAA-сервер (обычно RADIUS) обеспечивает централизованную аутентификацию и функциональность управления пользователями. EAP является стандартом, используемым для передачи сообщений и проверки подлинности клиента и сервера проверки подлинности перед доставкой. Эти сообщения защищены с помощью протоколов, таких как SSL, TLS и PEAP.
Уязвимости в WPA\WPA2
При всех своих достоинствах, WPA\WPA2 не лишен уязвимостей. Начнем с того, что еще в 2006 году TKIP-шифрование в WPA было взломано. Эксплоит позволяет прочитать данные, передаваемые от точки доступа клиентской машине, а также передавать поддельную информацию на клиентскую машину. Для реализации этой атаки необходимо, чтобы в сети использовался QoS. Поэтому я также не рекомендую использовать WPA для защиты вашей беспроводной сети. Конечно, взломать его сложнее, нежели WEP, и WPA защитит вас от атаки школьников с Aircrack, однако, он не устоит против целенаправленной атаки на вашу организацию. Для наибольшей защиты я рекомендую использовать WPA2 Однако и WPA2 не лишен уязвимостей. В 2008 году была обнаружена уязвимость, позволяющая провести атаку «человек в центре». Она позволяла участнику сети перехватить и расшифровать данные, передаваемые между другими участниками сети с использованием их Pairwise Transient Key
Поэтому, при работе в такой сети имеет смысл использовать дополнительные средства шифрования передаваемой информации.(ПСКЗИ «Шипка» например) В то же время обратите внимание, что для того, чтобы воспользоваться этой уязвимостью, злоумышленнику необходимо быть авторизованным и подключенным к сети. Однако я бы хотел заострить внимание на «домашней» реализации WPA-PSK
В нем упрощена схема авторизации, таким «узким» местом в нем является сам Pre-Shared Key, поскольку ввод этого ключа дает устройству полный доступ в сеть (если не задействована MAC-фильтрация). Сам ключ хранится в точке доступа. В зависимости от модели и микропрограммного обеспечения устройства, реализуются методы его защиты. В некоторых случаях злоумышленнику достаточно получить доступ в веб-панель управления, и получить Pre-Shared Key, который хранится там открытым текстом. В некоторых случаях, поле с ним защищено, как поле с паролем, но все равно есть возможность его извлечения, если злоумышленник сможет извлечь из устройства микросхему памяти и получить к ней доступ на низком уровне. Поэтому обращайте внимание на физическую защищенность вашего беспроводного оборудования. И наконец, самой последней уязвимостью является возможность перехвата пакетов handshake, в которых передается Pre-Shared Key при подключении устройства к сети. По сколько Pre-Shared key шифруется, у злоумышленника остается только одна возможность – атака грубой силой на захваченные ассоционные пакеты. С одной стороны, это нерационально, но стоит понимать, что для этого совсем не нужно находиться рядом с точкой доступа, и для такой атаки грубой силой(либо словарной) злоумышленник может задействовать большие вычислительные ресурсы. Также стоит обратить внимание, что для того, чтобы перехватить handshake злоумышленнику совсем не обязательно ждать того момента, как к сети будет подключено новое устройство. На некоторых беспроводных адаптерах, при использовании нестандартных драйверов, есть возможность посылки в сеть реассоционных пакетов, которые будут прерывать сетевые соединения и инициировать новый обмен ключами в сети между клиентами и точкой доступа. В таком случае, для того, чтобы захватить требуемые пакеты, необходимо, чтобы к сети был подключен хотя бы один клиент. Также, злоумышленнику необходимо находиться близко от точки доступа, чтобы мощности его адаптера (а такие адаптеры обычно низко чувствительны и маломощны, и сильно перегреваются при работе) хватило для ПОСЫЛКИ пакетов реассоциации (вспомните WEP, где нужно было всего лишь «наловить» достаточный объем трафика). И в конце концов, атака грубой силой занимает много времени, однако использование вычислительного кластера существенно упрощает задачу.
Шифрование – «семена» и пмк
WPA2-Personal – PSK объединяет парольную фразу (предварительный общий ключ) и SSID (который используется в качестве «Семя» и виден всем в радиусе действия) для генерации ключей шифрования. Сгенерированный ключ – это Парный мастер-ключ (PMK) – используется для шифрования данных с использованием TKIP / CCMP.
Несколько слов о семенах и SSID.
- SSIDs – Все имена сетей, которые отображаются в списке точек доступа Wi-Fi на вашем устройстве, являются SSID. Программное обеспечение для анализа сети может сканировать SSID, даже те, которые предположительно скрыты. По словам Стива Райли из Microsoft, «SSID – это имя сети, а не, повторяю, не пароль. Беспроводная сеть имеет SSID, чтобы отличать его от других беспроводных сетей поблизости. SSID никогда не был спроектирован так, чтобы быть скрытым, и поэтому не обеспечит вашей сети никакой защиты, если вы попытаетесь его скрыть. Нарушение спецификации SSID является нарушением спецификации 802.11; поправка к спецификации 802.11i (которая определяет WPA2, обсуждается позже) даже гласит, что компьютер может отказаться от связи с точкой доступа, которая не передает свой SSID ».
- Семена – Длина SSID и SSID манипулируется перед тем, как стать частью генерируемого PMK. SSID и длина SSID используются в качестве начальных чисел, которые инициализируют генератор псевдослучайных чисел, используемый для подсчета парольной фразы, создавая хешированный ключ. Это означает, что пароли хэшируются по-разному в сетях с разными SSID, даже если они используют один и тот же пароль.
Хорошая парольная фраза может снизить потенциальный риск, связанный с использованием SSID в качестве начального числа. Парольную фразу следует генерировать случайным образом и часто менять, особенно после использования точки доступа Wi-Fi и когда сотрудник покидает компанию.
WPA2-Enterprise – После того как сервер RADIUS аутентифицировал клиента, он возвращает случайный 256-битный PMK что CCMP использует для шифрования данных только для текущего сеанса. «Семя» неизвестно, и каждый сеанс требует нового PMK, поэтому атаки методом «грубой силы» – пустая трата времени. WPA2 Enterprise может, но не всегда, использовать PSK.
Типовой алгоритм доступа
Теперь еще несколько слов о системе WPA2-PSK. Что это такое в плане практического применения? Это совмещение нескольких алгоритмов, так сказать, в рабочем режиме. Поясним ситуацию на примере.
В идеале секвенция исполнения процедуры защиты подключения и шифрования передающейся или принимающейся информации сводится к следующему:
WPA2-PSK (WPA-PSK) + TKIP + AES.
При этом здесь главную роль играет общий ключ (PSK) длиной от 8 до 63 символов. В какой именно последовательности будут задействованы алгоритмы (то ли сначала произойдет шифрование, то ли после передачи, то ли в процессе с использованием случайных промежуточных ключей и т
д.), не суть важно
Но даже при наличии защиты и системы шифрования на уровне AES 256 (имеется в виду разрядность ключа шифра) взлом WPA2-PSK для хакеров, сведущих в этом деле, будет задачей хоть и трудной, но возможной.
Использование приложения wpa_gui
Если с командной строкой какие-то проблемы, попробуйте . Это графическая утилита,
которую можно использовать для настройки большинства параметров wpa_supplicant. В зависимости от
вашего дистрибутива Linux, утилита может быть установлена вместе с пакетом wpa_supplicant,
либо из отдельного пакета wpa_gui.
На рисунке 1 показано, как выглядит утилита в Ubuntu. По сути, это графическая оболочка для работы с конфигурационным файлом и командной строкой. Позволяет искать беспроводные сети и сохранять для них профили, есть возможность просмотра состояния сети и истории событий, также можно настроить параметры WPS.
Инкапсуляция
EAP не является проводным протоколом; вместо этого он определяет только форматы сообщений. Каждый протокол, использующий EAP, определяет способ инкапсуляции сообщений EAP в сообщениях этого протокола.
IEEE 802.1X
Инкапсуляция EAP поверх IEEE 802 определен в IEEE 802.1X и известен как «EAP через LAN» или EAPOL. Первоначально EAPOL был разработан для IEEE 802.3 ethernet в 802.1X-2001, но был уточнен для соответствия другим технологиям LAN IEEE 802, таким как IEEE 802.11 беспроводной и Fiber Distributed Data Interface (ISO 9314-2) в 802.1X-2004. Протокол EAPOL также был изменен для использования с IEEE 802.1AE (MACsec) и (исходный идентификатор устройства, IDevID) в 802.1X-2010.
Когда EAP запускается устройством сервера доступа к сети (NAS) с поддержкой 802.1X, например точкой беспроводного доступа (WAP) IEEE 802.11i-2004, современные методы EAP могут обеспечить безопасную механизм аутентификации и согласование безопасного закрытого ключа (парного главного ключа, PMK) между клиентом и NAS, который затем может использоваться для сеанса беспроводного шифрования с использованием TKIP или CCMP (на основе на AES ) шифровании.
PEAP
Protected Extensible Authentication Protocol, также известный как Protected EAP или просто PEAP, — это протокол, который инкапсулирует EAP в потенциально зашифрованный и аутентифицированный транспортный Уровень безопасности (TLS) туннель. Целью было исправить недостатки в EAP; EAP предполагал наличие защищенного канала связи, например, обеспечиваемого физической безопасностью, поэтому средства для защиты разговора EAP не были предоставлены.
Протокол определяет только объединение нескольких механизмов EAP, а не какой-либо конкретный метод. Чаще всего поддерживаются методы EAP-MSCHAPv2 и EAP-GTC.
RADIUS и Diameter
И RADIUS Протоколы и Diameter AAA могут инкапсулировать сообщения EAP. Они часто используются устройствами сервера доступа к сети (NAS) для пересылки пакетов EAP между конечными точками IEEE 802.1X и серверами AAA для упрощения работы IEEE 802.1X.
PANA
Протокол для проведения аутентификации для доступа к сети (PANA) — это протокол на основе IP, который позволяет устройству аутентифицировать себя в сети, чтобы получить доступ. PANA не будет определять никаких новых протоколов аутентификации, распределения ключей, согласования ключей или деривации ключей; для этих целей будет использоваться EAP, а PANA будет нести полезную нагрузку EAP. PANA позволяет динамический выбор поставщика услуг, поддерживает различные методы аутентификации, подходит для пользователей в роуминге и не зависит от механизмов канального уровня.
Использование WEP/WPA/WPA2 на стороне клиента
Когда вы впервые пытаетесь установить соединение с беспроводной сетью с поддержкой безопасности – будь то ваш ноутбуку, настольный компьютер, смартфон и т.д. – вам будет предложено ввести правильный ключ безопасности или фразу-пароль, чтобы получить доступ к сеть.
Этот пароль является кодом WEP/WPA/WPA2, который администратор маршрутизатора ввел в маршрутизатор при настройке безопасности сети. Если вы подключаетесь к бизнес-сети, он, скорее всего, предоставляется сетевым администратором.
В отличие от точки зрения администратора, настраивающего маршрутизатор на использование определенного протокола безопасности, вы, как пользователь, не можете ничего изменить в методе обеспечения безопасности. Когда вы вводите пароль для сети Wi-Fi, вы получаете доступ, используя любой уже активированный протокол.
По этой причине вы должны принять к сведению настройки безопасности сети после подключения, чтобы понять, что безопасно и небезопасно делать в этой конкретной сети.
Какой выбрать тип шифрования и поставить ключ wpa на wifi роутере?
С теорией разобрались — переходим к практике. Поскольку стандартами WiFi 802.11 «B» и «G», у которых максимальная скорость до 54 мбит/с, уже давно никто не пользуется — сегодня нормой является 802.11 «N» или «AC», которые поддерживают скорость до 300 мбит/с и выше, то рассматривать вариант использования защиты WPA/PSK с типом шифрования TKIP нет смысла. Поэтому когда вы настраиваете беспроводную сеть, то выставляйте по умолчанию
WPA2/PSK — AES
Либо, на крайний случай, в качестве типа шифрования указывайте «Авто», чтобы предусмотреть все-таки подключение устройств с устаревшим WiFi модулем.
При этом ключ WPA, или попросту говоря, пароль для подключения к сети, должен иметь от 8 до 32 символов, включая английские строчные и заглавные буквы, а также различные спецсимволы.
От чего защищаемся
Врага надо знать в лицо, поэтому ниже кратко пройдемся по механике возможных атак против сети WPA2-Enterprise с аутентификацией по доменным аккаунтам.
Подключение клиентов к ложной точке доступа. Зная имя сети SSID (ESSID, если сеть построена на нескольких точках доступа) и MAC-адрес точки доступа (BSSID), злоумышленник может развернуть нелегитимную точку доступа.
Чтобы увеличить свои шансы на успех, злоумышленники используют следующие нехитрые приемы:
- нелегитимная точка доступа обладает более мощным сигналом, чем легитимная;
- нелегитимная точка доступа развернута там, куда не доходит сигнал легитимных точек доступа, но где есть клиенты, которые обычно подключаются к этой сети.
Чтобы было куда подключить эту точку доступа, злоумышленник разворачивает свой RADIUS-сервер, к которому будет подключаться нелегетимная точка доступа. У этого RADIUS-сервера нет задачи аутентифицировать клиента и проверить, указал ли он правильный пароль. Главное – получить от клиента авторизационные данные, логин и ответ на предоставленный ложным Radius-сервером challenge. Их злоумышленник будет использовать для оффлайн подбора пароля и последующего подключения к целевой корпоративной беспроводной сети.
Без мониторинга эфира обнаружить местонахождение нелегитимной точки доступа не всегда просто. Злоумышленник вряд ли будет выглядеть, как человек с огромным рюкзаком, кучей антенн и дизель-генератором на тележке.
Например, для своих пентестов коллеги из Digital Security используют портативный бытовой роутер со встроенной батарейкой (типа этого). Перепрошивают с помощью OpenWRT и устанавливают кастомный пакет. На выходе получается точка доступа со встроенным RADIUS-сервером, которая может при необходимости прослушивать эфир и собирать данные. При желании можно и вовсе воспользоваться обычным телефоном.
Места размещения таких точек доступа ограничиваются только изобретательностью взломщика. Если офис жертвы находится в бизнес-центре, то можно развернуть точку доступа в фойе до турникетов или лобби с диванчиками. Удобно разместить такую точку доступа в кабине лифта: она с большой скоростью удаляется от легитимных точек доступа, поэтому клиентское устройство оказывается в ловушке и с большой вероятностью подключится к ложной точке доступа. Злоумышленник может даже кататься с ложной точкой доступа на корпоративном транспорте, который развозит сотрудников до метро после работы.
Принудительная деаутентификация. Если клиент уже подключен к легитимной точке доступа, то его нужно как-то отключить от нее (принудительно деаутентифицировать), чтобы переподключить к ложной. Злоумышленник прослушивает эфир. Для этого он переводит свой wi-fi-адаптер в режим monitor-mode. Обычно для этого используют набор утилит aicrack-ng. С его же помощью злоумышленник начинает рассылать беспроводным клиентам сообщения о том, что легитимная точка доступа, к которой уже подключен клиент, отключается и уходит из эфира. Такой эффект достигается с помощью инъекции фреймов управления wi-fi (Management Frame), а именно: фреймов деассоциации и деаутентификации.
В результате клиент отключается от точки доступа и начинает искать новую точку доступа с таким же ESSID. В этой ситуации как раз пригождается точка доступа с более мощным сигналом. Клиентское устройство пытается к ней подключиться. Если клиент пройдет аутентификацию на ложном RADIUS-сервере, злоумышленник может захватить имя пользователя и аутентификационную MSCHAPv2-сессию.
Подключите ПК с Windows к Wi-Fi с помощью WPA2-Enterprise
Чтобы настроить сеть Wi-Fi с помощью WPA2-Enterprise, нам придется вручную настроить подключение к сети. Мы должны пойти в » Панель управления / Cеть и Центр обмена » раздел. В этом меню мы должны нажать на « Настройка нового подключения или сети ».
В списке доступных опций мы должны нажать на » Подключение к беспроводной сети вручную »И нажмите« Далее ».
Теперь нам нужно будет ввести имя сети Wi-Fi, к которой мы собираемся подключиться, это имя сети или SSID должны быть точно такими же, как в маршрутизаторе. В типе безопасности выбираем «WPA2-Enterprise», тип шифрования обязательно будет AES, изменить его не позволяет. Значок «Охранник key »будет отключен, это нормально.
Теперь нажимаем на « Запускать это соединение автоматически », Чтобы отключить его, и то же самое с опцией« Подключайтесь, даже если сеть не транслирует свое имя ».
При нажатии на «Далее» мы должны нажать » Изменить параметры », Как указано мастером Windows. Мы получим меню со всем, что мы настроили до сих пор.
На вкладке «Безопасность» выбираем опцию «Microsoft: Защищенный EAP (PEAP) »и нажмите« Конфигурация »:
В этом меню нам нужно будет нажать на « Подтвердите идентичность сервера, проверив сертификат », Чтобы отключить эту опцию. Остальные параметры оставляем по умолчанию.
Когда мы подключаемся к беспроводной сети WiFi, теперь он попросит нас войти в систему, нам нужно будет ввести имя пользователя и пароль, которые мы зарегистрировали на сервере, в меню «Пользователи RADIUS».
После ввода учетных данных, если мы не ошиблись при вводе учетных данных пользователя, мы можем прекрасно видеть, что мы вошли в систему и имеем подключение к Интернету без проблем.
После того, как мы успешно настроили ПК с Windows, давайте посмотрим, как подключить смартфон Android.
Troubleshooting
Debugging connection failures
In order to determine why you are unable to connect to an access point you can run wpa_supplicant with the flag for debug messages, wait a couple seconds then look for lines that list SSIDs and the reason they were not connected to. For example:
# wpa_supplicant -i wlan0 -c /etc/wpa_supplicant/example.conf -d
wlan0: Selecting BSS from priority group 0 wlan0: 0: d2:93:5b:b7:5d:d2 ssid= wpa_ie_len=26 rsn_ie_len=24 caps=0x511 level=-54 freq=5180 wlan0: skip - SSID not known wlan0: 1: f2:93:5b:b7:5d:d2 ssid= wpa_ie_len=26 rsn_ie_len=24 caps=0x511 level=-54 freq=5180 wlan0: skip - SSID not known wlan0: 2: b2:93:5b:b7:5d:d2 ssid= wpa_ie_len=26 rsn_ie_len=24 caps=0x511 level=-54 freq=5180 wlan0: skip - SSID not known wlan0: 3: b0:93:5b:b7:5d:d2 ssid='Access Point 1' wpa_ie_len=0 rsn_ie_len=20 caps=0x511 level=-55 freq=5180 wps wlan0: skip - SSID mismatch wlan0: 4: c4:13:e2:33:42:20 ssid='\x00\x00\x00\x00' wpa_ie_len=22 rsn_ie_len=0 caps=0x111 level=-69 freq=5260 wlan0: skip - SSID mismatch wlan0: 5: c4:13:e2:33:42:24 ssid='Home' wpa_ie_len=0 rsn_ie_len=26 caps=0x1111 level=-69 freq=5260 wlan0: skip RSN IE - no mgmt frame protection enabled but AP requires it wlan0: reject due to mismatch with WPA/WPA2 ...
In this case we are trying to connect to an access point with the SSID home. The reason the connection fails is , so we need to add to our configuration file.
nl80211 driver not supported on some hardware
On some (especially old) hardware, wpa_supplicant may fail with the following error:
Successfully initialized wpa_supplicant nl80211: Driver does not support authentication/association or connect commands wlan0: Failed to initialize driver interface
This indicates that the standard driver does not support the given hardware. The deprecated driver might still support the device:
# wpa_supplicant -B -i wlan0 -D wext -c /etc/wpa_supplicant/example.conf
If the command works to connect, and the user wishes to use systemd to manage the wireless connection, it is necessary to the unit provided by the package and modify the line accordingly:
/etc/systemd/system/[email protected]/wext.conf
ExecStart= ExecStart=/usr/bin/wpa_supplicant -c/etc/wpa_supplicant/wpa_supplicant-%I.conf -i%I -Dnl80211,wext
Note: Multiple comma separated driver wrappers in option makes wpa_supplicant use the first driver wrapper that is able to initialize the interface (see ). This is useful when using mutiple or removable (e.g. USB) wireless devices which use different drivers.
/etc/systemd/system/wpa_supplicant.service.d/override.conf
After=dbus.service
Password-related problems
may not work properly if directly passed via stdin particularly long or complex passphrases which include special characters. This may lead to errors such as when launching .
In order to solve this try using here strings or passing a file to the flag instead:
# wpa_supplicant -i <interface> -c /etc/wpa_supplicant/example.conf
Ensure that your configuration uses
phase2="auth=MSCHAPV2"
Connections to pure WPA3-SAE access points
Make sure to define the following within the network block of the configuration to enable connections to pure WPA3 access points:
ssid="network SSID" key_mgmt=SAE sae_password="the.literal.wifi.password" ieee80211w=2
Connections to mixed WPA2-PSK/WPA3-SAE access points
Mixed WPA2-PSK/WPA3-SAE access points will require an alternative setting for key_mgmt as shown below:
ssid="network SSID" key_mgmt=WPA-PSK-SHA256 psk=xxx ieee80211w=2
Hardware 802.11w support
You can check for hardware support of MFP/PMF (Management Frame Protection / Protected Management Frames) on the interface client by running:
$ iw phy phy0 info | grep 00-0f-ac:6
Most WiFi devices support this standard introduced in 2009, except some limited (aka non x86_64 related) or old hardware.
Методы аутентификации в WPA\WPA2
Аутентификация, то есть подтверждение пользователем прав на доступ к ресурсам является обязательным условием работы WPA\WPA2 Для этого в классическую реализацию WAP\WPA2 включена поддержка 802.11 и EAP. Иными словами, для того, чтобы клиентское устройство успешно прошло процесс подключения, необходимо, чтобы оно идентифицировало себя. На практике это выглядит следующим образом: пользователю предлагается ввести логин и пароль для доступа в сеть. Проверка учетных данных выполняется на RADIUS-сервере, который в свою очередь, связывается с сервером аутентификации. В качестве сервера аутентификации используется контроллер домена Windows Server 2008R2, его же используют как RADIUS-сервер. Подобный подход к реализации WPA\WPA2 называется WPA-Enterprise. Он используется в крупных производственных сетях, где уже развернута инфраструктура Active Directory. Однако очевидно, что развертывание Active Directory и RADIUS в условиях малого бизнеса, либо же в домашних условий практически невозможно. Поэтому, чтобы стандарты WPA\WPA2 могли использоваться в домашних условиях, организацией Wi-Fi Alliance была разработана упрощенная реализация, называемая WPA-PSK(Pre-Shared Key). Он использует те же протоколы шифрования, однако схема аутентификации пользователей в нем сильно упрощена. Для того, чтобы устройство получило маркер доступа в сеть, на устройстве необходимо ввести специальную парольную фразу, называемую Pre-Shared Key. Длина должна быть от 8 до 32 символов, притом можно использовать специальные символы, а также символы национальных алфавитов. После ввода парольной фразы она помещается в специальный пакет ассоциации (пакет обмена ключами, handshake), который передается на точку доступа. Если парольная фраза верна, то устройству выдается маркер доступа в сеть. Данный подход в разы проще, чем WPA-Enterprise, и поэтому нашел широкое применение среди малого бизнеса и домашних пользователей.
Найдите и настройте IP-адрес NAS, на котором будет установлен сервер RADIUS.
Первое, что мы должны сделать, это найти NAS-сервер в сети, очень важно знать его частный IP-адрес, потому что в конфигурации беспроводной сети нам нужно будет ввести этот IP-адрес для аутентификации беспроводных клиентов. Настоятельно рекомендуется, чтобы этот частный IP-адрес никогда не менялся, поэтому у нас есть два возможных варианта:
- Поместите фиксированный IP на сервер NAS
- Настройте статический DHCP маршрутизатора и всегда устанавливайте статический IP-адрес.
Таким образом, мы заставим этот NAS-сервер никогда не менять свой частный IP-адрес, что очень важно для правильной работы всего. После того, как мы правильно настроили NAS или маршрутизатор, чтобы сервер NAS никогда не менял свой IP-адрес, мы собираемся настроить сервер
После того, как мы правильно настроили NAS или маршрутизатор, чтобы сервер NAS никогда не менял свой IP-адрес, мы собираемся настроить сервер.
PEAPv1 / EAP-GTC
PEAPv1 / EAP-GTC был создан Cisco как альтернатива PEAPv0 / EAP-MSCHAPv2. Хотя PEAP был совместно разработан Microsoft, Cisco и RSA, Microsoft никогда не интегрировала эту версию PEAP в свою ОС. Поэтому EAP-GTC изначально не присутствует в системах Microsoft. Cisco предпочитает поддерживать свои другие протоколы LEAP или EAP-FAST, а не PEAP. Эта версия PEAP используется очень мало.
Эта версия PEAP определена в draft-josefsson-pppext-eap-tls-eap-05.txt.
Формат кадра
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+ | Code | Identifier | Length | +-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+ | Type | Flags |Ver| Data... +-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
Закодировано:
- 1 — Запрос
- 2 — Ответ
Определить: это однобайтовое поле используется для сопоставления запросов и ответов.
Длина: это поле составляет 2 байта, оно указывает размер пакета EAP.
Тип: 25 — PEAP
Флаги:
0 1 2 3 4 5 +-+-+-+-+-+-+ |L M S R R R| +-+-+-+-+-+-+ L = Length included M = More fragments S = PEAP start R = Réservé, doit être à zéro
Бит L используется для обозначения наличия следующих полей. Бит M равен 1. Бит S равен 1 для сообщений запуска PEAP.
Версия :
0 1 +-+-+ |R 1| +-+-+ R = Réservé, doit être à zéro
Данные : это поле определяется форматом поля кода.
Сценарий
| Клиент | Аутентификатор |
|---|---|
| ← EAP-запрос / идентификация | |
| EAP-Response / Identity (MyID) → | |
| ← EAP-Request / EAP-Type = PEAP (начало PEAP, установлен бит S) | |
| EAP-Response / EAP-Type = PEAP (TLS client_hello) → | |
| ← EAP-Request / EAP-Type = PEAP (TLS server_hello, сертификат TLS, TLS server_hello_done) | |
| EAP-Response / EAP-Type = PEAP ( TLS client_key_exchange, TLS change_cipher_spec, TLS завершен) → | |
| ← EAP-Request / EAP-Type = PEAP (TLS change_cipher_spec, TLS завершен) | |
| Туннель TLS установлен. Оттуда сообщения отправляются через туннель TLS. | |
| EAP-Response / EAP-Type = PEAP → | |
| ← EAP-запрос / идентификация | |
| EAP-Response / Identity (MyID) → | |
| ← Запрос EAP / Тип EAP = X | |
| EAP-Response / EAP-Type = X или NAK → | |
| ← Запрос EAP / Тип EAP = X | |
| EAP-Response / EAP-Type = X → | |
| ← EAP-Успех | |
| Конец туннеля TLS. Оттуда сообщения отправляются в открытом виде. |
В итоге
Какой из вариантов выбрать, каждый админ решает сам на основе того, что он знает о своей инфраструктуре. Я не могу сказать, какой из этих вариантов выбрал бы лично я (все по ситуации). Но меня удивило, что в принципе старый добрый PSK может оказаться безопаснее, чем MGT в рамках Enterprise решений.
Интересно то, что осознание преимущества PSK над стандартным MGT пришло ко мне не после первого теста Wi-Fi, а после почти 2-х лет тестирования, изучения, OSWP, общения с коллегами и прочего. Будучи системным администратором я даже и подумать не мог об этом.
К чему же я все это: периодически необходимо переосмысливать те решения, которые мы внедряем и используем в инфраструктуре. Для этого нужна не только смелость признать свои ошибки и критическое мышление, но и многосторонний взгляд. Если вы защищаетесь — подумайте, как вас будут атаковать. Если вы атакующий, попробуйте представить себе, как мыслят админы. Мне повезло сочетать этот опыт. И на мой взгляд, совмещая такие разные стороны развития технических специалистов, мы сможем усилить общее состояние защиты инфраструктур.
