Ασφάλεια Ασύρματων & Κινητών Επικοινωνιών

Transcript

1 Ασφάλεια Ασύρματων & Κινητών Επικοινωνιών Πλαίσιο Μαθήματος και Εισαγωγή Χρήστος Ξενάκης Τμήμα Ψηφιακών Συστημάτων Πανεπιστήμιο Πειραιώς Slide: 1/46

2 Βιβλιογραφία Καμπουράκης Γ., Γκρίτζαλης Σ., & Κάτσικας Σ. (2006): Ασφάλεια Ασύρματων και Κινητών Δικτύων, Παπασωτηρίου Σημειώσεις διδασκόντων Slide: 2/46

3 Ώρες γραφείου Τετάρτη 17:00 18:00 Slide: 3/46

4 Δομή του μαθήματος Θεωρητικές διαλέξεις Παρουσίαση και ανάλυση της απαραίτητης θεωρητικής βάσης Εργαστηριακές διαλέξεις Παρουσίαση και ανάλυση της απαραίτητης τεχνολογίας Ανάλυση και υλοποίηση βασικών λειτουργιών Συνιστάται η χρήση προσωπικών υπολογιστών (laptops) Εκτέλεση 3-4 ατομικών ασκήσεων σχετικά με την υλοποίηση μηχανισμών ασφάλειας και την αξιολόγηση της ασφάλειας ασύρματων δικτύων και εφαρμογών σε κινητές συσκευές. Εξαμηνιαία εργασία Εκπόνηση εξαμηνιαίας εργασίας από τριμελείς ομάδες φοιτητών Slide: 4/46

5 Ι. ΘΕΩΡΗΤΙΚΟ ΜΕΡΟΣ Πλαίσιο μαθήματος /1 Οι βασικές ενότητες, οι οποίες θα αναπτυχθούν στα πλαίσια του μαθήματος, είναι: Ασφάλεια ασύρματων επικοινωνιών WLAN, IEEE Έλεγχος της αυθεντικότητας στο IEEE RADIUS & EAP methods IEEE 802.1x WEP IEEE i, WPA,WPA2 (TKIP, CCMP) Slide: 5/46

6 Πλαίσιο μαθήματος /2 ΙΙ. ΕΡΓΑΣΤΗΡΙΑΚΟ ΜΕΡΟΣ 1. WLAN penetration Testing 2. Android 1. Security in Android mobile devices 2. Security Evaluation of Mobile Applications 3. Forensics in Android mobile devices 3. IΟs 1. Security in IOs mobile devices 2. Security Evaluation of Mobile Applications 3. Forensics in IOs mobile devices Slide: 6/46

7 Πλαίσιο μαθήματος /3 III. ΕΚΠΟΝΗΣΗ ΕΡΓΑΣΙΩΝ Radius: Set up a Radius AAA server using the FREERADIUS framework and develop a simple protocol for users authentication and access control. Diameter: Set up a Diameter AAA server using the DIAMETER framework and develop a simple protocol for users authentication and access control. LDAP: Set up a LDAP server using the openldap framework and develop a simple protocol for users authentication and access control. EAP-TLS/TTLS: Develop an EAP-TLS/TTLS authentication protocol for wireless users authentication Slide: 7/46

8 Πλαίσιο μαθήματος /4 III. ΕΚΠΟΝΗΣΗ ΕΡΓΑΣΙΩΝ EAP-CHAP-PAP: Develop an EAP-CHAP-PAP authentication protocol for wireless users authentication EAP-POTP: Develop an EAP Protected one-time Password authentication protocol for wireless users authentication Lightweight-EAP-: Develop an Light weight EAP (LEAP) authentication protocol for wireless users authentication EAP-kerberos : Develop an EAP-kerberos authentication protocol for wireless users authentication Slide: 8/46

9 Πλαίσιο μαθήματος /5 III. ΕΚΠΟΝΗΣΗ ΕΡΓΑΣΙΩΝ EAP-SIM/AKA : Develop an EAP-SIM or EAP AKA authentication protocol for wireless users authentication Web-based authentication in WLANs: Develop a webbased authentication service for wireless users. Open Wireless Router Firmware: Set up a wireless router using the openwireless.org framework. Set up the basic security functions and evaluate them. Arduino phone: Develop a cellular phone that provides both voice and data services Slide: 9/46

10 Πλαίσιο μαθήματος /6 III. ΕΚΠΟΝΗΣΗ ΕΡΓΑΣΙΩΝ SSO: Design and develop a Single Sing On (SSO) access control protocol that manages access to multiple services. OpenID: Design and develop an identification and access control protocol that uses the OpenID framework. OAuth: Design and develop an OAuth authorization protocol for accessing remote resources. Secure Server: Develop a secure web server that employs ssl and uses Dieffie Helman, RSA DH and Elliptic Curve DH. Slide: 10/46

11 Αξιολόγηση Ομαδική εξαμηνιαία εργασία 50% + Εκτέλεση 2-3 ατομικών εργασιών 50% + Τελική γραπτή εξέταση 100% = Τελικός Βαθμός Απαιτείται η ΒΑΣΗ σε κάθε διαδικασία αξιολόγησης. Slide: 11/46

12 Ασύρματες επικοινωνίες Σύντομη ιστορική αναδρομή. Περιεχόμενα Ασφάλεια ασύρματων επικοινωνιών Σύντομη ιστορική αναδρομή. Βασικές κατηγορίες απειλών Παθητικού και ενεργητικού τύπου επιθέσεις. Επιθέσεις ενδιάμεσου και επιθέσεις μεταβολής πληροφοριών. Επιθέσεις παρεμβολών ή παρακώλυσης επικοινωνιών. Βασικές αρχές ασφαλείας Αρχιτεκτονικές ασφαλείας Slide: 12/46

13 Σύντομα ιστορικά στοιχεία Ασύρματη τεχνολογία 1896 εφεύρεση του ασύρματου τηλέγραφου από τον Ιταλό Μαρκόνι πρώτη ραδιοφωνική μετάδοση από τον Αμερικανό εφευρέτης Reginald Fessenden. 1929, 6 εκατομμύρια ραδιοφωνικές συσκευές (AM radio) στις Η.Π.Α. Slide: 13/46

14 Σύντομα ιστορικά στοιχεία 1970, Ηνωμένες Πολιτείες, τα πρώτα ασύρματα αναλογικά τηλέφωνα πολλούς περιορισμούς συμπεριλαμβανομένης της αδυναμίας περιαγωγής κλήσεων (roaming). Η χρήση κελιών περιορισμένης ακτίνας επέτρεψε τελικά την περιαγωγή των κλήσεων. Tο πρώτο σύστημα αυτού του τύπου αναπτύχθηκε στο Σικάγο το 1979 με το όνομα Advanced Mobile Phone Service (AMPS). Slide: 14/46

15 Σύντομα ιστορικά στοιχεία Τη δεκαετία του 80 έκαναν την εμφάνισή τους παρόμοια συστήματα κινητής τηλεφωνίας στην Ιαπωνία και στην Ευρώπη. Το 1991, τα πρώτα εμπορικά GSM δίκτυα κάνουν την εμφάνισή τους από τις Σκανδιναβικές χώρες, Το 1992 υπογράφηκε η πρώτη συμφωνία περιαγωγής πελατών (roaming agreement) μεταξύ Vodafone και Telecom Φιλανδίας. Slide: 15/46

16 Σύντομα ιστορικά στοιχεία Τη δεκαετία του 90 έχουμε τη διάδοση διαφόρων υπηρεσιών δεδομένων όπως τα συστήματα τηλεειδοποίησης (paging systems). Η τηλεειδοποίηση ως μονόδρομη (one-way) υπηρεσία είναι διαδεδομένη τη δεκαετία του 60, στους τομείς της υγείας και της επιβολής του νόμου. Το 90 εξέλιχθηκαν τα αμφίδρομα (two-way) συστήματα αποστολή αλφαριθμητικών δεδομένων. Slide: 16/46

17 Σύντομα ιστορικά στοιχεία Ασύρματα δίκτυα δεδομένων 1992, Cellular Digital Packet Data (CDPD) TCP/IP based δίκτυο με ρυθμούς μετάδοσης μέχρι 19,2 Kbps Το 2000 πάνω από 10 εκατομμύρια συνδρομητές στις Η.Π.Α την ανάπτυξη και προτυποποίηση ασύρματων τοπικών δικτύων Wireless Local Area Networks, WLAN Ινστιτούτο ηλεκτρολόγων και ηλεκτρονικών μηχανικών (IEEE) Slide: 17/46

18 Σύντομα ιστορικά στοιχεία Λίγα χρόνια αργότερα ξεκίνησε η προσπάθεια σχεδιασμού και υλοποίησης των ασύρματων συστημάτων μικρής εμβέλειας. Το πρότυπο Bluetooth αποτέλεσε προϊόν της ειδικής ομάδας με την ονομασία Bluetooth Special Interest Group (SIG), ιδρύθηκε το 1998 από τις εταιρίες Ericsson, IBM, Intel, Nokia και Toshiba. Το 2001 εμφανίστηκαν στην αγορά οι πρώτες συσκευές Bluetooth Slide: 18/46

19 Σύντομα ιστορικά στοιχεία Το 1995 έχουμε την πρώτη προσπάθεια συνδυασμού της ασύρματης τεχνολογίας με το Διαδίκτυο από την εταιρία Unwired Planet Unwired Planet browser Wireless Application Protocol (WAP) forum. τέλη του 1997, έχουμε τις πρώτες προδιαγραφές, του WAP 1.0. Slide: 19/46

20 Σύντομα ιστορικά στοιχεία Το ασύρματο Διαδίκτυο με τη μορφή του WAP Ήταν πολύ αργό σε ταχύτητες απαιτούσε αλλαγή των υποδομών των παρόχων ανανέωση των φορητών συσκευών των τελικών χρηστών. Το 1999 οι πάροχοι υπηρεσιών άρχισαν να δοκιμάζουν νέες υπηρεσίες βασισμένες στο WAP Το WAP δεν γνώρισε την αναμενόμενη αποδοχή από τους καταναλωτές. στα τέλη του 2000 στις Η.Π.Α. μόνο 1 εκατομμύριο χρήστες ήταν εγγεγραμμένοι σε WAP υπηρεσίες. Slide: 20/46

21 Αντί λοιπόν του SSL Σύντομα ιστορικά στοιχεία το WAP φόρουμ σχεδίασε και υλοποίησε το Wireless Transport Layer Security (WTLS). το WTLS δεν εξασφάλιζε ασφάλεια απ άκρο σε άκρο (end-to-end security) Slide: 21/46

22 Σύντομα ιστορικά στοιχεία Τα πρώτα χρόνια οι τεχνολογίες WLAN και Bluetooth, δεν γνώρισαν γρήγορη και ευρεία αποδοχή Bluetooth Η γκάμα συσκευών ήταν πολύ περιορισμένη η απόκτησή τους κόστιζε πάρα αρκετά Στα WLANs σημαντικές αδυναμίες στην ασφάλεια Slide: 22/46

23 Ασφάλεια σε ασύρματο περιβάλλον Tα ασύρματα δίκτυα καλούνται να αντιμετωπίσουν περισσότερες απειλές σε σχέση με τα αντίστοιχα ενσύρματα. Η βασικότερη διαφορά μεταξύ ενσύρματων και ασύρματων δικτύων στον τομέα της ασφάλειας Η ασύρματη μετάδοση Η απουσία οποιοδήποτε ελέγχου πρόσβασης στην περιοχή κάλυψης του ασύρματου δικτύου Καθολική πρόσβαση / κινητικότητα Slide: 23/46

24 Παθητικού και Ενεργητικού τύπου επιθέσεις Οι συν-ακροάσεις (eavesdrop) είναι πολύ δύσκολο αν όχι αδύνατο να ανιχνευτούν ή να εμποδιστούν στο πρότυπο IEEE ο επιτιθέμενος με τη βοήθεια κατάλληλης κεραίας και πιθανώς ενισχυτών μπορεί να βρίσκεται αρκετά μακρύτερα (ακόμα και 20 χιλιόμετρα) από το στόχο του ο προσαρμογέας δικτύου θα πρέπει να τεθεί σε promiscuous λειτουργία για να ακούσει την κίνηση δεδομένων από τις υπόλοιπες συσκευές. Αποτελεσματική στρατηγική είναι η κρυπτογράφηση όλων των πληροφοριών από το δεύτερο επίπεδο του OSI μοντέλου ή/και πάνω από αυτό. Slide: 24/46

25 Παθητικού και Ενεργητικού τύπου επιθέσεις Η παρακολούθηση του δικτύου αποσκοπεί στην υποκλοπή των δεδομένων που μεταδίδονται, συλλογή διάφορων πληροφοριών, που θα επιτρέψουν στον επιτιθέμενο - αργότερα - να εξαπολύσει την πραγματική (ενεργητική, active) επίθεση Μερικές από τις πληροφορίες που είναι χρήσιμες σε κάθε επιτιθέμενο : ποιος χρησιμοποιεί το δίκτυο, η τοπολογία του δικτύου, οι δυνατότητες και τα χαρακτηριστικά των συσκευών, IP και Media Access Control (MAC) διευθύνσεις, η εμβέλειά του, πρωτόκολλα, κλπ. Slide: 25/46

26 Παθητικού και Ενεργητικού τύπου επιθέσεις Στο χώρο της κινητής τηλεφωνίας η παρακολούθηση συνομιλιών είναι αρκετά απλή και δεν χρειάζεται καν παρακολούθηση του δικτύου. Μπορεί να γίνει αξιοποιώντας φθηνό λογισμικό σε αρκετά μοντέλα κινητών τηλεφώνων. Π.χ., μπορείτε να επισκεφθείτε τους ιστοχώρους των ακόλουθων προϊόντων: Call Magic Pro for Nokia 3230 Bass-Tech Call Magic Spy Phone, Slide: 26/46

27 Παθητικού και Ενεργητικού τύπου επιθέσεις Επιθέσεις ενεργού ωτακουστή (active eavesdropping). Π.χ., ο εισβολέας εκμεταλλεύεται το πρωτόκολλο Address Resolution Protocol (ARP), χρησιμοποιείται από τους σταθμούς του δικτύου για να ανακαλύψουν τη MAC διεύθυνση άλλων σταθμών δεδομένης της IP διεύθυνσής τους. Ο επιτιθέμενος απαντάει στις ARP αιτήσεις διαφόρων σταθμών στέλνοντας τη δική του MAC λαμβάνει πληροφορίες, οι οποίες απευθύνονταν στους σταθμούς «θύματα». Η επίθεση αυτή αναφέρεται συχνά ως ARP poisoning. Slide: 27/46

28 Παθητικού και Ενεργητικού τύπου επιθέσεις Επίθεση τύπου ενδιαμέσου (man-in-the-middle). Πρόσβαση στο δίκτυο χωρίς εξουσιοδότηση (unauthorized access), πλαστογράφηση των δεδομένων, της σηματοδοσίας ή ακόμα και υπόδηση κόμβων του δικτύου (spoofing / masquerading / impersonating), επιθέσεις άρνησης πρόσβασης (Denial of Service, DoS), επιθέσεις πλημμύρας (flooding), εισαγωγή κακόβουλου κώδικα (malware), παρακώλυση επικοινωνιών (jamming), κλπ. Slide: 28/46

29 Παθητικού και Ενεργητικού τύπου επιθέσεις Μια κοινή επίθεση τύπου spoofing / masquerading / impersonating ο επιτιθέμενος είναι σε θέση να χρησιμοποιήσει ένα πλαστό στοιχείο δικτύου (παρουσιάζεται ως απολύτως νόμιμο) Επιθέσεις τύπου man-in-the-midle Έχουν κύριο στόχο να υπονομεύσουν την ακεραιότητα ή / και την εμπιστευτικότητα της συνόδου (session). Slide: 29/46

30 Επιθέσεις παρεμβολών (Jamming) Παρεμπόδιση των επικοινωνιών το σήμα του πομπού, του δέκτη ή του σημείου ασύρματης πρόσβασης παρεμποδίζεται ή αλλοιώνεται εξαιτίας κάποιων παρεμβολών ή θορύβων (noise) που προκαλούνται ηθελημένα ή αθέλητα. Αποτέλεσμα της επίθεσης να καταστεί το κανάλι επικοινωνίας ακατάλληλο. Slide: 30/46

31 Επιθέσεις παρεμβολών (Jamming) Προκειμένου τα ασύρματα δίκτυα να είναι ανθεκτικά σε παρεμβολές, θορύβους και παρακολουθήσεις χρησιμοποιούν τεχνολογίες απλωμένου φάσματος συχνοτήτων ή αναπήδησης συχνοτήτων spread spectrum technology / Frequency hopping spread spectrum Σε αντίθεση με τους πομπούς τύπου narrow band που εκπέμπουν σε μια μοναδική συχνότητα. Slide: 31/46

32 Επιθέσεις παρεμβολών (Jamming) Στο Bluetooth τα δεδομένα τεμαχίζονται σε πακέτα Μεταδίδονται χρησιμοποιώντας έναν αριθμό διαφορετικών συχνοτήτων ή καναλιών 79 στο σύνολο σε διαστήματα 1 MHz ακολουθώντας ένα ψευδοτυχαίο πρότυπο ή μοντέλο Μόνο οι απολύτως συγχρονισμένοι μεταξύ τους πομποί και δέκτες στο ίδιο πρότυπο συχνοτήτων μπορούν να έχουν πρόσβαση στα δεδομένα που μεταδίδονται. Ο πομπός μεταβάλει τη συχνότητά του 1,600 φορές το δευτερόλεπτο προκειμένου να εξασφαλίζει ένα υψηλό επίπεδο ασφαλείας. Slide: 32/46

33 Επιθέσεις παρεμβολών (Jamming) Ορισμένες φορές, οι παρεμβολές δεν διενεργούνται κακοβούλως Αλλά οφείλεται στην παρουσία συσκευών όπως οι φούρνοι μικροκυμάτων, ασύρματα τηλέφωνα, Bluetooth συσκευές, συσκευές εποπτείας βρεφών, κλπ, τυγχάνει να χρησιμοποιούν το ίδιο φάσμα συχνοτήτων με αυτό του ασύρματου δικτύου. Οφείλεται στο γεγονός ότι οι περισσότερες ασύρματες τεχνολογίες WLAN χρησιμοποιούν τη μη αδειοδοτημένη περιοχή συχνοτήτων Τα πρότυπα b & g 2.4 GHz, Tο α 5 GHz. Σε ορισμένα κτίρια οι τοίχοι κατασκευάζονται ή επενδύονται με τέτοιο υλικό ώστε να παρεμποδίζουν το σήμα των κινητών τηλεφώνων. Slide: 33/46

34 Παράδειγμα παρεμβολών συχνοτήτων GHz GHz 2402 WLAN 2402 WLAN Time Time Σποραδικές συγκρούσεις συχνοτήτων μεταξύ Bluetooth και WLAN Αποφυγή συγκρούσεων όταν π.χ. το Bluetooth χρησιμοποιεί την τεχνική Adaptive Frequency Hopping (AFH) Slide: 34/46

35 Επιθέσεις παρεμβολών (Jamming) Ένα AP διαθέτει δύο κεραίες. Η πρώτη (1) καλύπτει την περιοχή αριστερά η δεύτερη (2) την περιοχή δεξιά του AP. Ο Β αλλάζει τη MAC διεύθυνσή του σε αυτή του A Ο Β μέσω ενός ενισχυτή ενισχύει το σήμα του έτσι ώστε να είναι τουλάχιστον ίσο ή (καλύτερα) δυνατότερο από αυτό του Α. Ο Α αποκλείεται από την επικοινωνία με το AP Slide: 35/46

36 Επιθέσεις παρεμβολών (Jamming) Oι περισσότεροι χρήστες δεν έχουν τρόπο να αντιληφθούν ότι μια επίθεση παρακώλυσης είναι σε εξέλιξη. Η επίθεση εμφανίζεται σαν απουσία δικτύου και υπηρεσιών, Οι διαχειριστές είναι πολύ δύσκολο να ανακαλύψουν την πηγή των παρεμβολών Απαιτείται φυσική επιτήρηση του χώρου. H απόκτηση μιας συσκευής παρεμβολών από το Διαδίκτυο για παράδειγμα δεν απαιτεί ιδιαίτερο κόστος Slide: 36/46

37 Βασικές αρχές ασφαλείας /1 Ορισμένες βασικές αρχές ασφαλείας οι οποίες πρέπει να ακολουθούνται από όλους τους εμπλεκόμενους σε οποιοδήποτε δίκτυο. Πολύ περισσότερο στα δίκτυα ασύρματων και κινητών επικοινωνιών Slide: 37/46

38 Βασικές αρχές ασφαλείας /2 Μην επικοινωνείς με αγνώστους!!! πρέπει να είσαι απολύτως βέβαιος (ή τουλάχιστον σχεδόν βέβαιος) για την ταυτότητα μιας συσκευής ή / και ενός χρήστη πριν επικοινωνήσεις μαζί του Όλες οι παραδοσιακές μέθοδοι επικοινωνίας βασίζονται σε κάποιου είδους αναγνώριση της ταυτότητας του συνομιλητή. Π.χ., όταν μιλάμε στο τηλέφωνο αναγνωρίζουμε το συνομιλητή από τη φωνή του αλλά και έμμεσα από το περιεχόμενο των πληροφοριών που μεταδίδει. Στην περίπτωση των ασύρματων ή κινητών δικτύων δεν αρκεί η επαλήθευση της ταυτότητας του συνομιλούντος κάνοντας χρήση κάποιας διαδικασίας αυθεντικοποίησης (authentication). Slide: 38/46

39 Βασικές αρχές ασφαλείας /3 Είναι απαραίτητο να είναι γνωστή η πηγή κάθε μηνύματος Αποδεικνύεται Με τη γνώση ενός μυστικού κλειδιού ή συνθηματικού (password). Η ενσωμάτωση του μυστικού κλειδιού σε κάθε μήνυμα εγγυάται την αυθεντικότητα των μηνυμάτων. Οι επιτιθέμενοι δεν καταφέρουν να αποκτήσουν το μυστικό κλειδί Δεν είναι σε θέση να δημιουργήσουν αυθεντικά μηνύματα Σε αυτή την ιδέα βασίζονται πολλά πρωτόκολλα ή μέθοδοι ασφαλείας των ασύρματων και κινητών επικοινωνιών, όπως ο μηχανισμός αυθεντικοποίησης του GSM, το WEP, κ.ά. Slide: 39/46

40 Βασικές αρχές ασφαλείας /4 Μην αποδέχεσαι τίποτα χωρίς εγγυήσεις εγγύηση αυθεντικότητας. Δηλαδή απόδειξη ότι κάποιο μήνυμα δεν έχει αλλοιωθεί. Από επιθέσεις τύπου man-in-the-middle Είναι απαραίτητη η προστασία της ακεραιότητας των μηνυμάτων που μεταδίδονται Μηχανισμός προστασίας της ακεραιότητας των μηνυμάτων σηματοδοσίας του UMTS. Slide: 40/46

41 Βασικές αρχές ασφαλείας /5 Όλοι πρέπει να αντιμετωπίζονται ως εν δυνάμει εχθροί μέχρι αποδείξεως του εναντίου: Στο ενσύρματο περιβάλλον: γνωρίζουμε το που συνδεόμαστε (π.χ., καλώδιο δικτύου, πρίζα, κτλ). Ασφάλεια σε φυσικό επίπεδο Αντίθετα, σε ένα ασύρματο περιβάλλον: οι σταθμοί των χρηστών αναζητούν τα δίκτυα με τα οποία μπορούν να συνδεθούν. Τα APs ενός WLAN δημοσιοποιούν την ταυτότητά τους και του δικτύου (beacon frames) Είναι εύκολη η εγκατάσταση ένας πλαστού AP θα εκπέμπει την ταυτότητα του γνήσιου δικτύου Αρκετές συσκευές χρηστών θα εξαπατηθούν και θα συνδεθούν τελικά σε αυτό. Slide: 41/46

42 Βασικές αρχές ασφαλείας /6 Μην εμπιστεύεσαι κανέναν και τίποτα για μεγάλο διάστημα Σε κάθε σύνοδο έχουμε εγκαθίδρυση σχέσεων εμπιστοσύνης (trust) μεταξύ των επικοινωνούντων μερών Στην περίπτωση των ασύρματων και κινητών δικτύων απαιτείται η τακτική αναθεώρηση των σχέσεων εμπιστοσύνης είναι απαραίτητη. Όλα τα τεκμήρια ασφαλείας (security tokens) έχουν περιορισμένη διάρκεια ζωής πρέπει να ανανεώνονται τακτικά. Slide: 42/46

43 Βασικές αρχές ασφαλείας /7 Πάντα να χρησιμοποιείς καλά δοκιμασμένες και αποτελεσματικές λύσεις Δυσπιστία για καθετί καινούργιο, όπως μια νέα πολιτική, ένα νέο πρωτόκολλο ή μηχανισμός ασφαλείας. Π.χ., ένας νέος αλγόριθμος κρυπτογράφησης θα πρέπει να τεθεί στη δοκιμασία του χρόνου. οι αλγόριθμοι είναι σχεδιασμένοι ώστε να είναι αποδοτικοί σε φορητές συσκευές περιορισμένων δυνατοτήτων σε επεξεργαστική ισχύ και μνήμη. οι επιτιθέμενοι, έχοντας στη διάθεσή τους ισχυρά συστήματα μπορούν ευκολότερα να ανακαλύψουν εγγενείς αδυναμίες και να τις εκμεταλλευτούν. Slide: 43/46

44 Βασικές αρχές ασφαλείας /8 Οι αλγόριθμοι A5/1, Α5/2, & COMP128 του συστήματος GSM έχουν αποδειχθεί ανεπαρκής. Το πρωτόκολλο ασφάλειας SSL/TLS προσφέρει υψηλής ποιότητας υπηρεσίες ασφαλείας. Αντιθέτως, το WTLS αντιμετώπισε στην πορεία σημαντικά προβλήματα ασφαλείας. Πάντα να βρίσκεσαι σε επιφυλακή Όλα τα συστήματα κατασκευάζονται κάνοντας κάποιες υποθέσεις συνειδητές ή ασυνείδητες. τις υποθέσεις αυτές προσπαθούν οι επιτιθέμενοι να εκμεταλλευτούν Σχεδιαστικά & κατασκευαστικά λάθη Slide: 44/46

45 Βασικές αρχές ασφαλείας / 9 Η δημιουργία νέου ή η παραλλαγή ενός ιομορφικού λογισμικού Τα εγκατεστημένα αντίμετρα δεν μπορούν να ανιχνεύσουν. Νέες απειλές και παραλλαγμένοι τρόποι επίθεσης οι κατασκευαστές των συστημάτων δεν τις έχουν λάβει υπόψη. Κανένα προϊόν, μέθοδος, πρωτόκολλο, μηχανισμός ή πολιτική ασφάλειας δεν μπορεί να θεωρηθεί 100% ασφαλής, ακόμα και αν έχει δοκιμαστεί στην πράξη για μεγάλο χρονικό διάστημα. Slide: 45/46

46 Αρχιτεκτονική ασφαλείας και ασύρματα δίκτυα επικοινωνιών /1 Μια αρχιτεκτονική ασφαλείας περιλαμβάνει δύο διακριτά τμήματα ή ζώνες: Έμπιστη (trusted) ζώνη ασφάλειας περιοχή στην οποία υπάρχει πλήρης έλεγχος ποιος έχει πρόσβαση, σε ποιες υποπεριοχές ακριβώς υπό ποιο καθεστώς (π.χ. τι είδους ενέργειες είναι εξουσιοδοτημένος να κάνει) μια πλήρως εποπτευόμενη και προστατευμένη ζώνη, (π.χ., το σπίτι μας) είναι πολύ δύσκολο να παρεισφρήσουν παρείσακτοι Slide: 46/46

47 Αρχιτεκτονική ασφαλείας και ασύρματα δίκτυα επικοινωνιών /2 Μη έμπιστη (untrusted) ζώνη ασφαλείας. Καραδοκούν κάθε είδους κακόβουλοι χρήστες (π.χ., Διαδίκτυο) τα προβλήματα ανακύπτουν ακριβώς στο σημείο διεπαφής της έμπιστη με την μη έμπιστη ζώνη Τυπικά στο σημείο αυτό οι διαχειριστές του δικτύου τοποθετούν ένα ανάχωμα ασφαλείας (firewall) προκειμένου να προστατέψουν την έμπιστη ζώνη από αυτούς που βρίσκονται εκτός αυτής. Slide: 47/46

48 Αρχιτεκτονική ασφαλείας και ασύρματα δίκτυα επικοινωνιών /3 Ζητήματα ασφαλείας προκύπτουν όταν εξουσιοδοτημένοι χρήστες που βρίσκονται στη μη έμπιστη ζώνη επιθυμούν να προσπελάσουν την έμπιστη. Π.χ. οι αντιπρόσωποι μιας εταιρείας χρειάζεται να επικοινωνούν τακτικά με το εταιρικό (έμπιστο) δίκτυό τους ενώ βρίσκονται μακριά από αυτό (extranet). Μια λύση : ανάπτυξη εικονικών ιδιωτικών δικτύων (Virtual Private Network, VPN) σε επίπεδο δικτύου. Slide: 48/46

49 Αρχιτεκτονική ασφαλείας και ασύρματα δίκτυα επικοινωνιών /4 Ένα ασύρματο δίκτυο πρέπει να θεωρείται ότι ανήκει στη μη έμπιστη ζώνη. τα WLANs αναπτύσσονται σε δημόσιους χώρους όπως αεροδρόμια, σιδηροδρομικούς σταθμούς, ξενοδοχεία Ακόμα και το ασύρματο δίκτυο του σπιτιού ή της επιχείρησής μας μπορεί να θεωρηθεί ότι βρίσκεται στη μη έμπιστη ζώνη το σήμα ταξιδεύει εκτός του κτιρίου εύκολα μπορεί κάποιος να το παρακολουθήσει. τα ασύρματα σημεία πρόσβασης είναι συνδεδεμένα στο ενσύρματο τμήμα του δικτύου μας, δεν υπάρχουν αξιόπιστοι μηχανισμοί ασφαλείας για όλο το δίκτυο Slide: 49/46

50 Αρχιτεκτονική ασφαλείας και ασύρματα δίκτυα επικοινωνιών /5 Slide: 50/46

51 Αρχιτεκτονική ασφαλείας και ασύρματα δίκτυα επικοινωνιών /6 Η προφανής απάντηση σε αυτές τις περιπτώσεις είναι η αντιμετώπιση όλων των χρηστών του ασύρματου τομέα δικτύου ως να ήταν απομακρυσμένοι χρήστες η χρήση VPN Προσοχή: τα APs πρέπει να συνδέονται στο ενσύρματο δίκτυο εκτός της έμπιστης ζώνης Μειονεκτήματα των VPN, αυξημένα διαχειριστικά κόστη, πολυπλοκότητα, μείωση της ταχύτητας του δικτύου, κλπ. Slide: 51/46

52 Αρχιτεκτονική ασφαλείας και ασύρματα δίκτυα επικοινωνιών /7 Δεύτερη επιλογή!!! Η αντιμετώπιση του ασύρματου δικτύου ως αναπόσπαστο τμήμα της έμπιστης ζώνης. η προσέγγιση αυτή γεννά ερωτήματα : είναι οι διάφοροι μηχανισμοί ασφαλείας τόσο αποτελεσματικοί μπορούν να εγγυηθούν υψηλά επίπεδα ασφάλειας Slide: 52/46