Angående den sista länken så skulle jag vilja göra några kommentarer på lite olika ställen.
"The basic problem is that anyone with a $200 Linux box, a $60 wireless card, and AirSnort (free) can hack into a generic_ encrypted WLAN. If encryption is 40 bit and network traffic is veryheavy, this takes about 30-60 minutes. Heavy traffic and 128 bit takes 1-6 days to crack. Light traffic (home use) and 128 bit takes 6-12 months for enough packets to pass through (and who would bother?)."
Kanske det, men man ska tänka på att räckvidden ofta är MYCKET begränsad för en sådan här utrustning. Men, visst sitter det en potentiell hacker inom den räckvidden så okej för det då!
'AirSnort requires approximately 5-10 million encrypted packets to be gathered. Once enough packets have been gathered, AirSnort can guess the encryption password in under a second."
Huruvida det tar unbder en sekund eller inte är irrelevant, men det är rätt att det måste till ytterligare säkerhetsåtgärder för att man ska få till ett godtagbart skydd.
"Effective Strategy I"
"Buy a proprietary solution that provides better security. The most standard of these "non-standard" solutions basically use Public Key standards (Kerberos) to update the WEP clients with new 128 bit WEP encryption passwords every few minutes."
För en normal Svensson håller jag inte med, gör istället allt du kan göra så kan du få en hyfsad säkerhet som säkert är tillräcklig för dom flesta.
"Generally Effective Strategy II"
"Enable WEP, and insist on 128-bit WEP capability._ Nearly all Wi-Fi certified product ships with at least basic (crummy, 40 bit) encryption capabilities, but they're disabled by default. You need 128 bit."
Det är rätt
"Only purchase access points that have flashable firmware -- in case fixes ever emerge."
Irrelevant, alla basstationer går att nollställa om man så skulle vilja (hårt)
"Don't do backups over a WLAN, in fact, don't do heavy traffic. (WLAN's are too slow for heavy traffic anyway.)"
Irrelevant, står man ut med att det tar tid så kör för det. Antar att han syftar på att det skulle kunna gen material för att knäcka nyckeln. Om man är orolig för det, byt nyckel efter backuptagning....
"Change your WEP passwords every 2-3 months (so traffic sampling won't build up enough data)"
Okej för det även om det för en vanlig Svensson kanske är lite häftigt, men okej för det då.
"Tighten up all your shares with solid passwords and don't use any software that would pass those passwords over the LAN. Assume, in other words, that your LAN is public"
Riktigt, vill man skydda känslig information på nätet kan man alltid textskydda det med tex ett filkrypto (tex. PGP).
"Change the default password on your access point or wireless router."
JA, viktigt, alltför många låter admin med lösenord "1234" ligga kvar. Ren katastrof säkerhetsmässigt.
"Consider moving your WAP into a "DMZ" or limiting WAP access to Internet services only. This makes the WAP less useful (can't access wired LAN assets from your wireless client), but it's much safer."
Det är ju väldigt säkert men det finns ju också den lite enklare möjligheten att slå till brandväggar på alla klienter bakom basstationen samt med inloggning. Då blir det genast svårare att göra något även om man skulle komma in på det lokala nätet.
"Known Ineffective Strategies"
"These probably only work against a very naive attacker, and they'd be defeated by the WEP encryption anyway."
"You need to change the WLAN_ SSID to something distinctive to enable users to easily move between WLANs. Since WAPs usually broadcast the SSID, others will see it - so don't give it a name you don't want others to see. If your access point can disable SSID broadcast (mine cannot) you can make it a kind of cheap, crummy, easily defeated password. If you want to do that don't change the SSID to reflect your company's main names, divisions, or products. Don't change the SSID to your street address. If you try this feeble method, the client SSID must be manually set to match the WLAN SSID. I don't think it's worthwhile."
Rätt, detta här vi beskrivit tidigare i tråden.
"Many access points allow you to control access based on the MAC address of the client NIC attempting to associate with it. Enable this. (But packet analysis will pick up MAC addresses, so this is probably pointless unless one doesn't even use WEP. It's probably more bother than it's worth."
Helt fel, det höjer ribban lite till och är väldigt enkelt att implementera. Kan vara tillräckligt för att en hackare inte ska orka bry sig utan fortsätter leta efter en vidöppen basstation istället.
"If you're deploying a wireless router, think about assigning static IP addresses for your wireless NICs and turn off DHCP"
Ja, fungerar bra så länge det är statiskt läge vad gäller klienter. Är det så att klienter kommer och går så är det ett pyssel att hålla på med hela tiden.
"If you're using a wireless router and have decided to turn off DHCP, also consider changing the IP subnet. Many wireless routers default to the 192.168.1.0 network and use 192.168.1.1 as the default router, if hackers guess this configuration they can connect with a fixed IP"
De enda serier man ska använda är dom som inte få användas på nätet för att undvika fölrvirring, dessa är 192.168.X.X, 169.X.X.X och 10.10.X.X. Sistnämnda är inget bra att använda då telia av någon outgrundlig anledning använder denna.
"Consider using an additional level of authentication, such as RADIUS, before you permit an association with your access points, or if you need only one AP (home) disable association if possible. Orinoco access points, for example, can enforce RADIUS authentication of MAC addresses to an external RADIUS server. Intermec access points include a built-in RADIUS server for up to 128 MAC addresses."
Få basstationer i hemmiljöer har möjligheter liknande RADIUS.
"Look for products that support additional security features that are either not defined by the 802.11b standard, or not mandated by the standard. For example Agere Systems' Orinoco access points include a feature called "closed network". With Orinoco's closed network, the AP doesn't broadcast the SSID, so someone using NetStumbler won't see it. The client workstation must be configured with a matching SSID to associate with the AP. The default "ANY" configuration wouldn't associate with a closed network."
Då måste man kolla noga så att man verkligen vet att dessa specialfunktioner verkligen funkar på våra Macar. Skulle kunna vara VPN eller WPA tex.
"Locate access points toward the center of your building rather than near the windows to reduce external emissions."
Man kan ofta inte välja var basstationen ska sitta då det ofta hamnar i anslutning till första uttag i ADSL eller kabeluttag eller motsv. Men visst ligger det lite i det. Men om man placerar basstationen så den ger sämre mottagning (lägre kvalitet) sjunker också hastigheten, detta gäller även för alla säkerhetsfunktioner du lägger på. Med max. säkerhet sjunker den praktiska nyttolasten i ett nät ner till cirka hälften mot angiven standard.
