Dotaz: vyber autentizacniho serveru pro WiFi sit

[Bob & Bobek]

Chtel bych trochu zabezpecit bezdratovou sit. AP bezi na Linuxu s kartama Z-COM XI-626 nebo novejsima Atheros. Nasel jsem demona hostapd, neco pro klienty (wpa_supplicant) a ted zbyva vybrat autentizacni server. Vsude se nabizi Radius, nic proti nemu nemam, ale slysel jsem i neco o Kerberosu. Nevite, jestli se da taky pouzit? A jaky jsou rozdily a vyhody oproti Radiusu? Kupodivu jsem k tomu nic moc nenasel.

Odpovědi

[Pavel_K]

ja mam tedy jen WEP klic, ale na to prece neni potreba autentizacni server, staci pres iwconfig zadat klic napr "iwconfig wlan0 key s:12345 [1]" a sit je zabezpecena (v tomto pripade 64bitovym klicem) ... pokud jsem timto na omylu, tak se omlouvam a rad bych se o tom bliz dozvedel

Pavel_K

[jm]

No, to jste opravdu na omylu, protoze ten WEP klic kdokoliv rozlouskne v radu hodin.

[Pavel_K]

on pise TROCHU zabezpecil...a to ste nekde cetl? nebo je to vase praxe? ja to zkousel osobne a trvalo mi to nekolik dni nez sem nazbiral dostatecny pocet packetu(mam 128bit key) a WPA pracuje jen tak ze meni po urcitem case hodnotu klice

Pavel_K

[jm]

WEP proste nefunguje. To neni zabezpeceni, ale parodie.

[Bob & Bobek]

Aha, tak ja to upresnim. Kdyz jsem napsal trochu zabezpecil, tak jsem opravdu nemel na mysli WEP. Je ovsem otazka, jestli ma v dobe WPA smysl pouzivat autentizacni server. Co to prinese? Kdyz existoval jen WEP, dalo se sifrovani zajistit na aplikacni vrstve, takze to me ani netrapilo. Problemem ale bylo zajistit, aby se do site nedostal nikdo nepovolany (tzn. autentizaci uzivatelu), prave tady mely autentizacni servery misto.

[OldFrog {Ondra Nemecek}]

Zabezpeceni skrze klic je velmi chabe, protoze lze trivialnim zpusobem prolomit behem nekolika nenejvyse hodin, wpa by mel nabizet o uroven vetsi zabezpeceni, jaka je vsak skutecnost nevim. I zakladni zabezpeceni dava ovsem velky naskok pred konkurencnimi sitemi, ktere jsou casto zcela nezabezpecene, nejrychlejsi cestou jak provest minimalni zabezpeceni u karet xi626 s ovladacem hostap na linuxu je provest nasledujici kroky:

1. zakazat broadcast essid
2. zakazat interakci s klienty s essid 'ANY'
3. nastavit wep klic
4. povolit jen dane MAC

Prikazy pro xi626 s hostap na linuxu:

# nebroadcastovat essid (tzv. skryti site) a nevsimat si 'ANY':
prism2_param wlan0 enh_sec 3;
# v ACL budou povolene MAC, zbytek bude zakazany:
iwpriv wlan0 maccmd 1;
# smazeme ACL seznam:
iwpriv wlan0 maccmd 3;
# vyhodime vsechny associovane:
iwpriv wlan0 maccmd 4;
# nastavime klic (13 znaku)
iwconfig wlan0 key s:ABCDEFGHIJKLM restricted;
# pridame jednotlive klienty do ACL:
iwpriv wlan0 addmac XX:XX:XX:XX:XX:XX;

Toto by melo byt standardni nastaveni u siti, ktere potrebuji alespon nejakou bezpecnost. Pokud autor prvniho prospevku rozbehne WPA necht o tom napise strucnou noticku, z dostupnych informaci jsem prilis nepochopil jak to funguje (je to jiz drive, co jsem to zjistoval).

[Pavel_K]

fajn, takhle nejak krome bodu 1 a 2 to mam :) ...a k cemu tedy slouzi ten utentizacni server Radius? to uz neni zabezpeceni na fyzicke vrstve, ale nekde vys?

Pavel_K

[Jan Martinek]

Prosím vás, lidé zlatí, nezakazujte vysílání essid. Já vím, že pak člověk může mít pocit falešného bezpečí, ale tím se bortí jedna z myšlenek WiFi. Byl bych velmi rád, kdyby se pro zabezpečení používaly raději jiné metody. Kvůli tomuto hloupému zvyku člověk netuší, komu patří ta či ona nalezená síť. Není možné nakázat, aby essid byl vždy k dispozici, je to pouze jakási slušnost.

Napadá mě paralela s ICMP pakety. Tím, že můj počítač odpovídá na PING, dávám ostatním jakousi možnost diagnostikovat síť, ačkoli já sám z toho nic nemám. Ale když to tak dělají všichni, je to fajn. Druhou stránkou věci je, že Micro$oft, prase, houfně ICMP zakazuje ...

[OldFrog {Ondra Nemecek}]

Rozumim uvedene vytce a prijimam ji. Soucasti mikrovlnne etikety by melo asi byt dobre volene essid, stejne tak jako regulace vykonu a pouzivani vhodnych anten. V praxi je to trochu slozitejsi... Shrnul bych to tim, ze zalezi na urovni wifi komunity v dane lokalite.

[Zdeněk Štěpánek]

Zdravim

Sahl bych spis po radiusu, valna vetsina wifi s nim dokaze spolupracovat, i treba takoevj dlink 900. Ale vic o tom bohuzel nevim.

Ale hlavne pisu kvuli bodu 1 viz . vyse. Zakazat ESSID broadcast muze jen ten nejvetsi trouba (bez prominuti). Je to proste stejne tak normalni vec jako ze si clovek napise na domovni zvonek svoje jmeno. Skutecne takovce lidi bych tahal za usi az by je meli jak osli, kterymi jsou stejne. Nevim nakolik ma smysl vysvetlovat duvody proc si tohle nyslim, ale snad bude stacit kdyz budete zkouset lovitr ve vzduchu nejake AP a najdete tam 10 bezejmennych, to pak budete hodne nadavat.

Zdenek

[OldFrog {Ondra Nemecek}]

Dobre, v tom pripade je dobre o moznosti zakazat vysilani essid alespon vedet. V tomto duchu bych tedy upravil svuj prispevek, kdyby to slo.