Det har förekommit lite felaktigheter och missförstånd tidigare i denna tråd (upptäckte den när jag letade efter WPA nu när Apple äntligen stöder det).
Standardsäkerhetsmekanismerna i 802.11b-nätverk (av Apple kallat Airport) är som nämnt MAC-adresspärrlistor och WEP-kryptering.
Ingen av dessa ger någon säkerhet mot målmedvetna attacker (dvs någon som verkligen vill ta sig in).
De MAC-adresser som är godkända kommer att skickas i luften helt okrypterat. Så det är busenkelt att detektera om man har en protokolanalysator, typ AiroPeek, EtherPeek eller Ethereal.
WEP-mekanismen har mycket riktigt blivit knäckt. Detta främst pga svaga så kallade initialiseringsvektorer (IV), som används vid generering av kryptonyckeln. Dessa IV går i klartext i etern. Med hjälp av program såsom AirSnort kan man med hjälp av tillräckligt mycket insamlat data knäcka WEP-nyckeln pga att en IV återanvänds (den är bara 24 bitar, så efter 16,7 miljoner måste någon återanvändas).
Det finns mekanismer vid namn WEP+ som undviker dessa svaga IV utan att på något sätt bli inkompatibel med andra tillverkare (IV-bytet är enkelriktat, sändaren avgör vad man vill använda). Proxim Orinoco (fd Lucent och Agere Orinoco) använder detta. Dock är jag osäker på om Apples Airport-produkter, som ju egentligen är Agere-kort med Agerechipset, använder WEP+. Orinocoprodukterna kräver nämligen uppdatering för att få WEP+. Vet inte om Apple anammat detta.
En tredje metod som nämns är att stänga av annonsering av SSID (nätverksnamn) för att kräva vetskap om nätverksnamnet för anslutande klienter. Detta är ett extremt svagt skydd. Det enda det skyddar mot är att vanliga klienter inte får upp nätet i sin lista över tillgängliga nätverk. Med en protokollanalysator kan man se att namnet skickas åtskilliga gånger i klartext....
Denna funktion hittades på av Lucent, och ingår inte i specifikationen för 802.11b. Men mig veterligen fungerar alla klienter med det.
Förbättring av säkerheten kan nås på flera sätt. Att aktivera ovanstående mekanismer är definitivt en mycket bra start. Men ska man skydda sig mot industrispionage är starkare skydd att rekommendera.
VPN är ett bra alternativ om man vill skydda specifik trafik mellan datorn och ett givet nätverk eller en given dator. Men inte för att skydda kommunikationen mot hela internet. (jag vet, man kan teoretiskt sett skydda bara det trådlösa nätet med VPN ut mot Internet, men det går jag inte in i detalj på här och nu.) Däremot finns applikationer som kräver en viss säkerhet som har en inbyggd mekanism för att säkra just den applikationen. HTTPS är ett sådant exempel. SSH ett annat.
För att förbättra säkerheten i 802.11-nät och för att ta bort den osäkerhetsstämpel som 802.11 fått lite grann pga svagheterna i WEP så har IEEE en arbetsgrupp (TGi, Task Group i) som håller på att ta fram 802.11i, en säkerhetsstandard för 802.11-nät. 802.11i är dock inte färdig standard idag (kommer nästa år). Alla komponenter är inte mogna än.
Men eftersom aktörerna på 802.11-marknaden (som i regel ingår i Wi-Fi-Alliance) är ivriga med att öka säkerheten har man föregått IEEE och skapat en egen "standard" som man kallat WiFi Protected Access (förkortat WPA). Denna bygger på 802.11i-skissen med avsaknad av de "omogna" komponenterna.
WPA finns i två varianter. En som bygger på att man använder en gemensam nätverksnyckel (WPA-PSK, Pre-Share Key), och en som använder 802.1x för användarautenticering. 802.1x är en generell standard för autenticering på portnivå (layer-2-port, inte TCP/UDP-port). Den kan användas i en vanlig switch för att tillåta en dator att skicka ethernettrafik, per fysisk port. Klienten skickar en 802.1x-autenticeringsförfrågan till accesspunkten för att få ansluta och "öppna porten". Förfrågan skickas vidare av AP:n till en RADIUS-server (Remote Dial-In User Service) som skapar den verkliga autenticeringssessionen med klienten via EAP (Extensible Authentication Protocol).
EAP är ett ramverk för autenticering och har i sin tur flera undertyper:
MD5 (Message Digest 5)
TLS (Transport Layer Security, samma princip som för SSL där certifikat används av både server och klient för dubbelriktad autenticering)
TTLS (Tunneled TLS, samma som med SSL men där klienten autenticerar sig med namn och lösen istället för certifikat)
PEAP (Protected EAP, en Microsoftvariant liknande TTLS som använder MS-CHAPv2 (Microsoft Challenge Handshake Authentication Protocol Version 2))
LEAP (Lightweight EAP (en EAP-variant uppfunnen av Cisco på ett tidigt stadium. Dock ingen dubbelriktad autenticering. Har kända svagheter dock.))
MacOS X 10.3, även utan den senaste uppdateringen för WPA, har stöd för 802.1x. Detta gäller även vanliga AirPort-kort med 802.11b. Stöd finns för TLS och PEAP bland annat. Sedan tidigare finns LEAP-stöd också.
Med 802.1x får man inte bara en autenticering per användare (till skillnad mot med WEP där alla i nätverket har samma lösen, WEP-nyckeln), man får även en dynamisk WEP-nyckel som byts vid varje 802.1x-autenticering. Samma WEP-mekanism används dock. Men säkerheten är avsevärt förbättrad.
Med WPA genereras en ny nyckel för varje enskilt paket som skickas. Detta med en 48-bitars IV. (Fortfarande RC4-algorithmen som används i WEP dock.) 802.11i ger möjlighet att byta denna till AES istället.) Dessutom används en förbättrad integritetskontroll. Denna dynamiska nyckelhantering sköts av protokollet TKIP (Temporal Key Integration Protocol), och integritetskontrollen sker med MIC, Message Integrity Check.
Med WPA-PSK används fortfarande TKIP och MIC, men inte 802.1x eller EAP. Således ingen användarautenticering.
Både 802.11i och WPA kan användas med samtliga 802.11-standarder (11a, 11b och 11g). MEN, Apple har inte släppt stöd för det i 802.11b. Det kan bero på begränsningar i hårdvaran. MEN, troligen beror det på att Ageres (chip/kort-tillverkaren för 11b-korten) drivrutiner för 11b-chipsettet med stöd för WPA bara är i betaversion än så länge, så Apple har inget att bygga på. Kanske kommer det stöd senare. Detta kan dock vara på bekostnad av prestanda. Det vet jag inte.
AirPort-extreme-produkterna (11g) är dock byggda med WPA i medvetande. Chipsettillverkaren för 11g är Broadcom.
Jag har själv inte kört WPA än. Jag testade Panther-betan men konstaterade att något WPA-stöd inte fanns trots att det nämns i hjälpfiler. 802.1x fungerade dock redan då, vilket var glädjande. Denna nya patch var grädden på moset kan man säga.
Jag har dock fortfarande inte listat ut om man behöver konfigurera klienten på något sätt för att köra WPA eller om den känner av att nätet använder WPA.
