Seguridad en Redes Redes WirelessWireless802.11i (2) • Utiliza autenticación 802.1x,...
Transcript of Seguridad en Redes Redes WirelessWireless802.11i (2) • Utiliza autenticación 802.1x,...
Seguridad enSeguridad enggRedes Redes WirelessWireless
Daniel Calzada del FresnoDaniel Calzada del Fresno
1
DesarrolloDesarrollo
• WEP• 802.11i
Fases operacionales de la 802 11i– Fases operacionales de la 802.11i.
– Fase 1: Acuerdo sobre política de seguridad.
Fase 2: Autentificación– Fase 2: Autentificación.
– Fase 3: 4-way-handsake. Group key handsake.
– Fase 4: Cifrado TKIP Cifrado CCMP– Fase 4: Cifrado TKIP. Cifrado CCMP.
– Definiciones :WPA, WPA-PSK, WPA2, WPA2-PSK.
– Debilidades– Debilidades.
2
Posibles configuracionesPosibles configuraciones
Red abierta: sin seguridad.WEP (Wired Equivalent Privacity)WEP (Wired Equivalent Privacity) WPA (Wi-Fi Protected Access)WPA PSK (WPA P h d K )WPA-PSK (WPA con Preshared Key)WPA2 (Wi-Fi Protected Access 2)WPA2-PSK (WPA2 con Preshared Key)
3
Cifrado en WIFICifrado en WIFI
NIVELESS O SNIVELES SUPERIORES
LLC 802 2
NIVELESSUPERIORES
LLC 802.2
CifradoMAC 802.11
LLC 802.2
MAC 802.11
CifradoMAC 802.11
DSSSDSS
DSSSDSS
El cifrado p ede ser considerado como na capa incorporada porEl cifrado puede ser considerado como una capa incorporada y por encima de la capa MAC. Es transparente para las capas superiores.
4
Asociación. Con WEP.Asociación. Con WEP.
Petición de Prueba
Respuesta a Prueba
Petición de autentificación de sistema abierto
WEPWEP
abierto
Aceptación de autentificación de sistema abierto PrePre--asociaciónasociaciónPrePre--asociaciónasociación
Petición de AsociaciónNonce
( l t i l if l t ió )(aleatorio para que lo cifre la estación)
Nonce cifrado con la clave WEP
Aceptación de AsociaciónVerificadoVerificado
AsociaciónAsociaciónA i ióA i ióp
Datos
AsociaciónAsociaciónMACMAC--STA MACSTA MAC--APAP
ID de sesiónID de sesión
AsociaciónAsociaciónMACMAC--STA MACSTA MAC--APAP
ID de sesiónID de sesión
6
Cifrado y Descifrado WEPCifrado y Descifrado WEP
CIFRADO, T: ORX DE M (CIFRADO, T: ORX DE M (mensajemensaje) y K () y K (KeystreamKeystream))M 0 1 1 1 0 0 0 1 1 1 0 0 1 0 1 1 0 0 1 1 0 1 1 0K 1 0 1 0 1 0 0 0 1 1 1 0 1 0 1 0 1 0 0 1 0 0 1 1T 1 1 0 1 1 0 0 1 0 0 1 0 0 0 0 1 1 0 1 0 0 1 0 1
DESCIFRADO M: ORX DE T (DESCIFRADO M: ORX DE T ( j if dj if d ) y K () y K (K tK t ))T 1 1 0 1 1 0 0 1 0 0 1 0 0 0 0 1 1 0 1 0 0 1 0 1
DESCIFRADO, M: ORX DE T (DESCIFRADO, M: ORX DE T (mensaje cifradomensaje cifrado) y K () y K (KeystreamKeystream))
K 1 0 1 0 1 0 0 0 1 1 1 0 1 0 1 0 1 0 0 1 0 0 1 1
M 0 1 1 1 0 0 0 1 1 1 0 0 1 0 1 1 0 0 1 1 0 1 1 0
7
Cifrado WEPCifrado WEP
IV (24 bits)Clave WEP = WEP IV || RC4 key
ConcatenadoClave RC4 (40/104 bits)Clave WEP WEP IV || RC4 key
XOR RC4Keystream
Datos (MPDU) ICV
Trama en claro
Cifrado WEP con 64/128 bits de clave
Cabecera IV / KeyID 4 oct. Datos (MPDU) FCS
4 octICV4 oct.
8
Descifrado WEPDescifrado WEP
IV (24 bits)Clave WEP = WEP IV || RC4 key
ConcatenadoClave RC4 (40/104 bits)Clave WEP WEP IV || RC4 key
XOR RC4Keystream
Datos (MPDU) ICV
Trama cifrada
Descifrado WEP con 64/128 bits de clave
Cabecera IV / KeyID 4 oct. Datos (MPDU) FCS
4 octICV4 oct.
9
WEP y los Initialization VectorsWEP y los Initialization Vectors40/104 bits de clave WEP
}64/128 bits RC4
+ } RC4
24 bits IV
IV: Initialization Vector -> 224= 16777216
Cabecera IV (4 oct) Datos (MPDU) FCSICVCabecera IV (4 oct) Datos (MPDU) FCSICV
claro cifrado claroclaro cifrado claro
IV (24) Rell.(6) ID (2) Identificador de clave
10
Debilidades del WEPDebilidades del WEP
• Las debilidades del WEP son múltiples.Su rotura se produce en unos pocos• Su rotura se produce en unos pocos minutos.NO SE DEBE CONFIGURAR NUNCA• NO SE DEBE CONFIGURAR NUNCA.
11
802.11i (1)802.11i (1)
• Junio de 2004.Ju o de 00• Proporciona autentificación y confidencialidad.• Separa autentificación de usuario del cifrado deSepara autentificación de usuario del cifrado de
mensajes.• Proporciona una arquitectura robusta y escalable.p q y• Útil en redes domésticas y empresariales.• RSN: Robust Security Network.y• TSN: Transitional Security Network. (Etapa
transitoria).
13
802.11i (2)802.11i (2)
• Utiliza autenticación 802.1x, distribución de claves y nuevos mecanismos de integridad y privacidadnuevos mecanismos de integridad y privacidad.
• TKIP (Temporal Key Integrity Protocol). WEP con una clave distinta por cada trama. Dispositivosuna clave distinta por cada trama. Dispositivos antiguos que soportaban WEP, con actualización de firmware.
• CCMP (Counter-mode con Cipher block chainingMesssage authentication code Protocol). AES(128 128) l tAES(128,128) con una clave por trama.
• Soporta redes AdHoc.
14
Redes Modo enterprise y SOHORedes Modo enterprise y SOHO
• Con autentificación. Redes empresariales (Enterprise)Redes empresariales (Enterprise)No se pueden poner todos los identificadores de
usuario y claves en cada uno de los numerosos puntos de acceso.
Es necesario un servidor de autentificación (RADIUS).S d á id d d iSe ponen dos o más servidores, por redundancia.
• Sin autentificación.SOHO (Small Office Home Office).Pequeñas oficinas e instalaciones domésticas.
No es preciso servidor de autentificación. No se utiliza la autentificación (Pre Shared Key == PSK). Los pocos usuarios de la red, utilizan la misma PSK.
15
usuarios de la red, utilizan la misma PSK.
Fases de 802.11i (Enterprise)Fases de 802.11i (Enterprise)
802 1x Clients Authenticator Authentication802.1x Clients AuthenticatorServer
Acuerdo de política de Seguridad Fase 1
Autentificación 802.1x
Distribución MK por RADIUS
Fase 2
Derivación y distribución de clave
Distribución MK por RADIUS
Fase 3
Confidencialidad e integridad de datos RSNA
Fase 4
16
Fases de 802.11i (SOHO)Fases de 802.11i (SOHO)
Clients AuthenticatorClients Authenticator
Acuerdo de política de SeguridadFase 1
Fase 2
Fase 3
NO EXISTENO EXISTE
Derivación y distribución de clave
Fase 3
Confidencialidad e integridad de datos RSNAFase 4
17
SOHOSOHOSOHOSOHO(Small Office Home Office)(Small Office Home Office)(Small Office Home Office)(Small Office Home Office)Redes sin autentificaciónRedes sin autentificación
18
Fases: TerminologíaFases: Terminología
Fase 1: Acuerdo sobre la política de seguridad Tanto el• Fase 1: Acuerdo sobre la política de seguridad. Tanto el suplicante (Estación) como el autenticador (Punto de Acceso) se preasocian estableciendo una negociación de la política de seguridad que posteriormente les va a llevar a una asociaciónseguridad que posteriormente les va a llevar a una asociación completa.
• Fase 2: En redes tipo SOHO, ésta fase no existe.3• Fase 3: 4-Way Handsake. Tanto el suplicante como el
autentificador calculan y derivan unas claves para la confidencialidad. Estas claves sólo son válidas para esta sesión. Si t l i ió l i l lSi es rota la asociación, por cualquier causa, al volver a establecerla se realiza un nuevo cálculo de claves.
• Fase 4: Se establece la RSNA (RSN Association). Se produce el i t bi if d d i f ióintercambio cifrado de información.
19
802.11i: Fase 1 802.11i: Fase 1 (Acuerdo sobre política de Seguridad(Acuerdo sobre política de Seguridad))
802 1x Clients Authenticator802.1x Clients AuthenticatorPetición de sonda
Respuesta sonda +
RSN IE (802.1x, PSK, TKIP, CCMP Ucast CCMP Mcast)
Autentificación de sistema abierto
Autentificación de sistema abierto - Éxito
Petición de asociación +
Respuesta de asociación - Éxito
RSN IE(STA request, 802.1x, PSK, TKIP, CCMP Ucast CCMP Mcast)
p
20
Fase 1: TerminologíaFase 1: Terminología
• RSN IE (Robust Security Network Information Element).RSN IE (Robust Security Network Information Element). – El PA declara en esta trama los parámetros de seguridad para los
que está configurado. Por ejemplo soporta TKIP o CCMP. Utiliza 802 1x o PSK802.1x o PSK.
• La autentificación de sistema abierto es una asociación en las tablas de la estación de su dirección MAC con la del PA. En el PA idé ti E i ióPA es idéntico. Es una preasociación.
• La petición de asociación de la estación incluye en su IE los parámetros con los que se asocia, aceptando los que le indicó el p q , p qPA.
• La respuesta del PA acepta la asociación de la estación.
21
802.11i: Fase 3 802.11i: Fase 3 (4(4--Way Handshake)Way Handshake)
802 1x Clients AuthenticatorPMKPMK
EAPoL-Key: Anonce + AP RSN IEAutenticación de mensaje
802.1x Clients AuthenticatorSnonce Anonce
Calcula la PTK
EAPoL-Key: Snonce + MIC + STA RSN IE
usando la KCKCalcula la PTK
Calcula la PTK inicializa la
EAPoL-Key: MIC + GTK cifrada + AP RSN IE GTK cifrada
usando la KEKSincronización entre
Calcula la PTK, inicializa la GMK y calcula la GTK
EAPoL-Key: ACK + MIC
+
usando la KEKSincronización entre entidades antes de la encriptación
802.1x puerto controlado abiertoInstalación PTK y GTK
Instalación PTK y GTK
802.1x puerto controlado abierto
PTK = PRF-X (PMK, <<expansión de clave por pares>>, Min(AP_Mac, STA_Mac) || Max(AP Mac STA Mac) || Min (ANonce SNonce) || Max (Anonce Snonce))
22
Max(AP_Mac, STA_Mac) || Min (ANonce, SNonce) || Max (Anonce, Snonce))
PRF-X es una Pseudo Random Function que genera X bits de salida
Fase 3: DescripciónFase 3: Descripción• El suplicante y el autenticador tienen ambos la PMK (256 bits) (derivada
de la MK de la fase anterior o de la PSK). En la primera trama el PA envía un Anonce (aleatorio) más una repetición del RSN IE (informaciónenvía un Anonce (aleatorio), más una repetición del RSN IE (información del acuerdo de política de seguridad).
• La estación calcula la PTK (Pairwise Transient Key), por medio de una función pseudoaleatoria. p
– Esta PTK tiene una longitud de 512 bits en el caso de que hayan acordado usar TKIP ó 348 bits en el caso de que el acuerdo sea CCMP.
– Si es TKIP los 512 bits se cortan en 5 trozos o claves. Si CCMP l 348 bit t t t l– Si es CCMP los 348 bits se cortan en tres trozos o claves.
• La estación envía una trama con un Snonce (aleatorio) más su RSN IE y le añade un MIC (Message Integrity Code, código de integridad de mensaje) El MIC es calculado usando los primeros 128 bits de la PTKmensaje). El MIC es calculado usando los primeros 128 bits de la PTK.
• El PA, con el Snonce recibido deriva también la PTK, verifica la validez del MIC de la trama anterior. Calcula y cifra la clave de grupo con los bits 128 a 255 de la PTK y se la envía a la estación.bits 128 a 255 de la PTK y se la envía a la estación.
• La estación verifica el MIC, extrae la clave de grupo y le asiente al PA la trama anterior. A partir de aquí el autenticador abre el puerto 802.1x.
23
802.11i: Fase 3 802.11i: Fase 3 (Jerarquía de claves por parejas)(Jerarquía de claves por parejas)
PSK MKO
PMK =PSK
SOHO Enterprise
PMK – 256 bits (Pairwise Master Key)
PRF (P d R d F ti ) d X bit d lidPMK = PBKDF2(PSK ssid
PMK =PSK si PSK es 64dígitos Hexadecimal Si PSK es 6 a 63 dígitos alfanuméricos
PTK – X bits (Pairwise Transient Key)
PRF (Pseudo Random Function) de X bits de salida
X = 512 (TKIP)
X = 384 (CCMP)
PMK = PBKDF2(PSK, ssid, ssidLengh, 4096, 256)
dígitos alfanuméricos
( )
EAPoL-KEYClave para el primer MIC
EAPoL-KEYCifrado dela clave de grupo
TemporalEncriptado dedatos 128 bits
Temporal APTx MIC Clave 64 bits
Temporal APRx MIC Clave 64 bits
Bits 0-127
KCK (128 bits)
Bits 128-255
KEK (128 bits)
Bits 256-383
TEK (=TK)
Bits 384-447
TMK1
Bits 448-511
TMK2 TKIP
24
PTK = PRF-X (PMK, <<expansión de clave por pares>>, Min(AP_Mac, STA_Mac) || Max(AP_Mac, STA_Mac) || Min (ANonce, SNonce) || Max (Anonce, Snonce))
Fase 3: Jerarquía de claves: descripción 1Fase 3: Jerarquía de claves: descripción 1
• El suplicante y el autenticador tienen ambos la PMK (256 bits) (derivada de la MK de la fase anterior o de(256 bits) (derivada de la MK de la fase anterior o de la PSK).– En el caso de utilizar PSK, si se introducen exactamente 64
dígitos en hexadecimal la PSK da lugar a la PMK. Si se introducen entre 6 y 63 caracteres alfanuméricos, por medio de un hash recursivo se obtiene la PMK de 256 bits.
– Si se utiliza servidor de autentificación éste produce directamente la MK de 256 bits, que pasa a ser la PMK.
P t i t PRF X d l PMK l• Posteriormente, una PRF-X expande la PMK a la PTK.La PTK se trocea y cada trozo es una clave con una• La PTK se trocea y cada trozo es una clave con una funcionalidad distinta.
25
Fase 3: Jerarquía de claves: descripción 2Fase 3: Jerarquía de claves: descripción 2
• KCK (128 bits). Para generar el primer MIC del 4-way Handsake-Handsake.
• KEK (128 bits). Cifra la clave de grupo para distribuirla a las estacionesa las estaciones.
• TEK (128 bits). Cifra los datos.• TMK1 (64 bits) Genera los MIC de las tramas de• TMK1 (64 bits). Genera los MIC de las tramas de
datos, cuando los transmite.• TMK2 (64 bits) Calcula la validez de los MIC de las• TMK2 (64 bits). Calcula la validez de los MIC de las
tramas de datos en los MIC recibidos.• En el caso de utilizar CCMP, estas dos últimas no seEn el caso de utilizar CCMP, estas dos últimas no se
generan porque el cifrador AES genera su propio MIC.
26
Fase 3: Es preciso una clave de grupoFase 3: Es preciso una clave de grupo
• Cada estación mantiene, en su asociación con el AP, un conjunto de claves para cada sesión.
• Obviamente las claves son distintas para cada asociación. Cada estación tiene claves de cifrado (confidencialidad) distintas.
• En el caso de tráfico de difusión:• En el caso de tráfico de difusión: – La estaciones no hacen difusiones por sí solas, nunca.– Envían la trama al AP y éste difunde.
• En las difusiones desde el AP, es preciso usar una clave de grupo, distinta de la clave de sesión de las estaciones. La clave para el MIC, en las tramas de difusión, en TKIP ha de ser p , ,también “clave de grupo”.
• El AP genera una clave de grupo y la distribuye a las estaciones cuando se asocian La distribuye cifrada para que no seacuando se asocian. La distribuye cifrada para que no sea capturable. Cada vez que una estación se desasocia se regenera la clave de grupo, por el AP y la distribuye a las estaciones.
27
802.11i: Fase 3 802.11i: Fase 3 (Jerarquía de claves de grupo)(Jerarquía de claves de grupo)
GMK – 256 bits(Group Master Key)
AP Mac || GNonce Expansión de clave de grupo
(Group Master Key)
GTK – X bits (Group Transient Key)X = 256 (TKIP)
PRF
( p y)X = 128 (CCMP)
Clave Encriptación De Grupo
128 bits
Clave IntegridadDe Grupo
128 bits
Bits 0-127
GEK
Bits 128-255
GIK TKIP
28GTK = PRF-X (GMK, <<Group key expansión>>, (AP_Mac || GNonce))
Fase 3: Claves de grupoFase 3: Claves de grupo
• GMK (256 bits) Group Master Key. Clave maestra de grupo Se reinicializa periódicamente en el AP paragrupo. Se reinicializa periódicamente en el AP, para disminuir la posibilidad de que se comprometa la GTK.
• GTK (256 bits) Group Transient Key. Clave de grupo ( ) p y g ptransitoria.
• GEK (128 bits) Group Encryption Key. Clave de ( ) p yp ycifrado de grupo. Cifra los datos de las tramas de difusión.
• GIK (128 bits) Group Integrity Key. Clave de integridad de grupo. Se utiliza para el cálculo del MIC en las tramas de difusión con TKIP Con CCMP no hacetramas de difusión, con TKIP. Con CCMP no hace falta porque el MIC lo calcula el cifrador AES.
29
802.11i: Fase 3 802.11i: Fase 3 (Group Key Handshake)(Group Key Handshake)
802 1x Clients AuthenticatorPTKPTK 802.1x Clients Authenticator
GMK + GNonce + Cálculo de GTK
EAPoL-Key: MIC + GTK cifrada + GrupoGTK cifrada usando la KEK
Instalación PTK y GTKDescifrado de GTK
EAPoL-Key: Grupo + MIC
+Instalación PTK y GTK
Autentificación de mensaje usando la KCK
GTK = PRF-X (GMK, <<Group key expansión>>, (AP_Mac || GNonce))
30
Fase 4 (1).Trama con TKIP Fase 4 (1).Trama con TKIP
Cabecera IV / KeyID 4 oct. Datos (PDU) >= 1 octeto FCS
4 octICV4 oct.
IV Extendido4 oct.
MIC8 oct.
claro claroCifrado con RC4
WEPSeed TSC 0TSC 1 Rsvd. Ext.IV
KeyID TSC 2 TSC 3 TSC 4 TSC 5TSC 0TSC 1 Rsvd. IV ID
b0 b4 b5 b6 b7
TSC 2 TSC 3 TSC 4 TSC 5
TSC: TKIP Secuence Counter (48 bits): crece monotonamente
WEPSeed: No se usa para construir TSC (8 bits).
Ext. IV: Extensor de IV (1 bit). Cuando es 1 va IV extendido. Cuando es 0 no (WEP clásico)
Key ID: Identificador de la clave (2 bits) (de las cuatro posibles que se pueden poner)y ( ) ( p q p p )
MIC: Message Integrity Code (64 bits).
ICV: Integrity Check Value (32 bits).
31
Fase 4 (2). Cifrado TKIP, una clave por trama. Fase 4 (2). Cifrado TKIP, una clave por trama.
104 bitsFase 1
Mezclado
TA (=SA)
TSC 2-5 TTAK
Clave por trama
24 bits
TSC 0-1
Mezclado de clave Fase 2
Mezclado de clave
TEK (=TK) 80 bits
TSC1 TSC0d
128 bitsd: byte dummy: octeto WEPSeedPara evitar claves débiles
XOR RC4Keystream
Datos ICVMIC
Trama en claro
Cifrado WEP con 128 bits
TSC 0-1 TSC 2-5
Cabecera IV 4 oct. Datos FCS
4 octICV4 oct.
IV Extendido4 oct.
MIC8 oct.
32
Fase 4 (3). Descifrado TKIP Fase 4 (3). Descifrado TKIP
104 bitsFase 1
Mezclado
TA (=SA)
TSC 2-5 TTAK
Clave por trama
24 bits
TSC 0-1
Mezclado de clave Fase 2
Mezclado de clave
TEK (=TK) 80 bits
TSC1 TSC0d
128 bitsd: byte dummy: octeto WEPSeedPara evitar claves débiles
XOR RC4Keystream
Datos ICVMIC
Trama en claro
Descifrado WEP con 128 bits
TSC 0-1 TSC 2-5
Cabecera IV 4 oct. Datos FCS
4 octICV4 oct.
IV Extendido4 oct.
MIC8 oct.
33
Fase 4 (4). Trama con CCMP Fase 4 (4). Trama con CCMP
Cabecera CCMP Header
8 octetos Datos (PDU) >= 1 octeto FCS4 oct.
MIC8 octetos8 octetos 8 octetos
claro claroCifrado con AES
PN1 Rsvd.PN0 Rsvd. Ext.IV
KeyID PN2 PN3 PN4 PN5
b0 b4 b5 b6 b7
PN1PN0 Rsvd. IV ID PN2 PN3 PN4 PN5
CCMP: Counter-mode con Cipher block chaining Messsage authentication code Protocol
Cifrado con AES: 128 bits de clave y 128 bits de tamaño de bloque.
PN: Packet Number (numerador de tramas). Se incrementa en uno para cada trama.
Ext. IV: Extensor de IV (1 bit siempre puesto a 1).( p p )
Key ID: Identificador de la clave (2 bits) (de las cuatro posibles que se pueden poner)
MIC: Message Integrity Code (64 bits).
34
Fase 4 (5). Cifrado CCMP Fase 4 (5). Cifrado CCMP
AAD
CifradorCCMP
TEK (=TK)
Nonce
Datos (MPDU)
Trama en claro
Cabecera CCMP Header Datos (MPDU) FCSMIC
35
Fase 4 (6). Construcción de AAD y Fase 4 (6). Construcción de AAD y NonceNonce
Campo FC (Frame Control)2 octetos 6 6 6 2 octetos 6 2
AAD
Campo FC (Frame Control)(bits 4,5,6,11,12,13=0)
(bit 14=1)A1 A2 A3 Campo SC (Secuence Control)
(bits 4-15=0) A4 QC
1 octeto 6 octetos
Nonce6 octetos
Priority PNA2
Priority
b0 b1 b2 b3
Reserved
b4 b5 b6 b7
PN5 PN4 PN3 PN2 PN1 PN0PN5 PN4 PN3 PN2 PN1 PN0
A1, A2, A3, A4 = Direcciones de la trama.QC = Quality of Service Control Field = Reservado para el futuro, todo a ceros.Priority= Reservado todo a ceros
36
Priority Reservado, todo a ceros.
Fase 4 (7). Descifrado CCMP Fase 4 (7). Descifrado CCMP
AAD
DescifradorTEK (=TK)
Nonce
CCMPDatos (MPDU)
Trama cifradaMIC
Datos (MPDU)Trama en claro
37
ENTERPRISEENTERPRISEENTERPRISEENTERPRISER d t tifi ióR d t tifi ióRedes con autentificaciónRedes con autentificación
38
Fases: TerminologíaFases: Terminología
• Fase 1: Acuerdo sobre la política de seguridad. Tanto el suplicante (Estación) como el autenticador (Punto de Acceso) se p ( ) ( )preasocian estableciendo una negociación de la política de seguridad que posteriormente les va a llevar a una asociación completa.p
• Fase 2: Autentificación. En las redes tipo “enterprise”, donde se utiliza servidor de autentificación se realizará autentificación frente al servidor de autentificación. La forma de realizar la autentificación no está normalizada en la 802.11i.
• Fase 3: 4-Way Handsake. Tanto el suplicante como el autentificador calculan y derivan unas claves para laautentificador calculan y derivan unas claves para la confidencialidad. Estas claves sólo son válidas para esta sesión. Si es rota la asociación, por cualquier causa, al volver a establecerla se realiza un nuevo cálculo de claves.
• Fase 4: Se establece la RSNA (RSN Association). Se produce el intercambio cifrado de información.
39
802.11i: Fase 2 802.11i: Fase 2 (Autenticación 802.1x)(Autenticación 802.1x)
802 1x Clients Authenticator Authentication
EAPoL RADIUS
802.1x Clients AuthenticatorServer
802.1x/EAPoL Petición de identidad
802.1x/EAPoL Respuesta de identidad Acceso RADIUS
Petición de acceso
D i ió d l MK Deri ación de la MK
Mensajes EAPoL específicos del método elegido
Derivación de la MK Derivación de la MK
Aceptación RADIUS (Di t ib ió d l MK V f 3)Éxito 802 1x/EAPoL (Distribución de la MK-Ver fase 3)Éxito 802.1x/EAPoL
40
Fase 2: DescripciónFase 2: Descripción
• Cuando el tipo de red es empresarial en esta fase seCuando el tipo de red es empresarial, en esta fase se produce la autentificación del suplicante frente al servidor de autentificación. El puerto del autentificador(PA) b h t t i l F 3(PA) no se abre hasta que no termina la Fase 3.– En este caso el servidor de autentificación envía un material
(la MK: Master Key o clave maestra al autenticador, que la utilizará en la fase tres)
• En redes SOHO, esta fase no existe.En redes pequeñas o domésticas la Master Key se deriva de– En redes pequeñas o domésticas la Master Key se deriva de una clave introducida a mano en el autenticador (PA) y en las estaciones. Esta clave se denomina PSK (Pre Shared Key).
41
Fase 2: Protocolos de autentificaciónFase 2: Protocolos de autentificación
IEEE
EAP (802.1x)
MD5 LEAP TLS TTLS PEAP FAST(Cisco) (Microsoft) (Fun software) (Cisco) XPsp1 (Cisco)
42
Fase 2: PEAPv0/EAPFase 2: PEAPv0/EAP--MSCHAPv2MSCHAPv2
• Protected EAP.P t CISCO Mi ft RSA• Propuesto por CISCO, Microsoft y RSA.
• Solo requiere certificado en el lado del servidor.• Se realiza la creación de un túnel TLS.• Una vez creado el túnel se autentifica con EAP-
MSCHAP 2 ( i d)MSCHAPv2. (usuario y password).• Se autentifican ambos: el cliente se autentifica ante
el servidor y el servidor ante el clienteel servidor y el servidor ante el cliente.• Simplifica la configuración de los clientes y evita que
estos tengan que tener un certificado propioestos tengan que tener un certificado propio.
43
Fase 2: PEAPv0/EAPFase 2: PEAPv0/EAP--MSCHAPv2MSCHAPv2
802 1x Clients Authenticator Authentication
EAPoL RADIUS
802.1x/EAPoL Petición de identidad
802.1x Clients Authenticator AuthenticationServer
802.1x/EAPoL Respuesta de identidad Acceso RADIUS
Petición de acceso
Mensajes EAP-PEAP
Derivación de la MK Derivación de la MK
Aceptación RADIUS (Distribución de la MK-Ver fase 3)Éxito 802.1x/EAPoL
e ac ó de a
4 –Way-Handsake
44
Fase 2: PEAPv0/EAPFase 2: PEAPv0/EAP--MSCHAPv2 (MSCHAPv2 (fase TLSfase TLS))
802 1 Cli t A th ti t Authentication
EAPoL RADIUS
802.1x Clients Authenticator AuthenticationServerEAP-PEAP start
EAP-TLS Client Hello
EAP-TLS Server Hello
EAP-TLS Certificate
EAP TLS Server Hello DoneEAP-TLS Server Hello Done
EAP-TLS ClientKeyExchange
EAP-TLS ChangeCipherSpecg p p
EAP-TLS Fin
EAP-TLS ChangeCipherSpecMK MK
EAP-TLS Fin
Autentificación por EAP-MSCHAPv2
45
Fase 2: PEAPv0/EAPFase 2: PEAPv0/EAP--MSCHAPv2 (MSCHAPv2 (fase MSCHAPfase MSCHAP))
802 1 Cli t A th ti t Authentication
EAPoL RADIUSUsuarioy clave
Usuarioy clave
802.1x Clients Authenticator AuthenticationServer
Id sesión + SNonce
Nombre Cliente + ANonce + Código ClienteNombre Cliente + ANonce + Código Cliente
Código Cliente = HASH (SNonce||ANonce||Id Sesión||Clave)
Verificado OK
Verificaidentidaddel cliente
HASH(SNonce||ANonce||Código Cliente||Clave)
Verificado OK
Verificaidentidad
del servidor e cado O
Derivación de la MK Derivación de la MK
Aceptación RADIUSÉxito 802.1x/EAPoL
Aceptación RADIUS (Distribución de la MK-fase 3, 802.11i)
46
Fases siguientesFases siguientes
• A continuación vendrían las Fases 3 y 4 SonA continuación vendrían las Fases 3 y 4. Son idénticas al caso ya visto de las redes SOHO.
• La diferencia fundamental radica en que en la fase 3 se utiliza la MK (derivada del túnel TLS) en lugar de la PSK.
47
WPA / WPAWPA / WPA--PSKPSKWPA (Para redes con autentificación):-Con Servidor de Autentificación.Con Servidor de Autentificación.-Cifrado RC4 mejorado con una clave para cada paquete: TKIP
(Temporal Key Integrity Protocol)-Compatible en hardware con dispositivos
anteriores actualizándoles el firmware.WPA PSK (R d i t tifi ió )WPA-PSK (Redes sin autentificación):-Sin Servidor de Autentificación.Cifrado RC4 mejorado con una clave para cada paquete: TKIP-Cifrado RC4 mejorado con una clave para cada paquete: TKIP
(Temporal Key Integrity Protocol)-Compatible en hardware con dispositivosCompatible en hardware con dispositivos
anteriores actualizándoles el firmware.
48
WPA2 / WPA2WPA2 / WPA2--PSKPSKWPA2 (Para redes con autentificación):Con Servidor de Autentificación-Con Servidor de Autentificación.
-Cifrado CCMP: AES con una clave de 128 bits.-No es compatible en hardware con dispositivos anteriores.No es compatible en hardware con dispositivos anteriores.
WPA2-PSK (Redes sin autentificación):( )-Sin Servidor de Autentificación.-Cifrado CCMP: AES con una clave de 128 bits.-No es compatible en hardware con dispositivos anteriores.
49
Debilidades WPA / WPA2Debilidades WPA / WPA2-Cuando se utiliza PSK, y no la autentificación 802.1x.-PSK=PMK, si se conoce PMK se sabe PSK.-Capturando los 4 mensajes de 4-Way-handsake.
-En el primero va el ANonce y en el segundo el SNonce y unMIC calculado con la KCKMIC calculado con la KCK.
-Con un ataque por diccionario se puede ir probando PSK’s,obtener, por cálculo la KCK y regenerar el MIC del segundoobtener, por cálculo la KCK y regenerar el MIC del segundomensaje hasta que, por comparación, le coincida con el que hacapturado. Cuando sea así se obtendrá la clave PSK.
-Si se utiliza 802.1x La MK es distinta para cada sesión, si se averigua una no sirve para las demás sesiones.
Si la fase de autenticación ya ha sido realizada se desasocia al-Si la fase de autenticación ya ha sido realizada se desasocia al cliente con aireplay (o con void11), para que al volver a
asociarse se puedan capturar los mensajes del 4-way-handsake.
50
p p j y
Modos de funcionamiento de la tarjetaModos de funcionamiento de la tarjeta
Distintos modos de funcionamiento:
MODO AP (MASTER), funcionalidad de Punto de Acceso
MODO MANAGED (CLIENTE), en infraestructura
MODO AD HOC redes a medidaMODO AD-HOC, redes a medida
MODO MONITOR (RFMON), Escucha de tramas en d l l i h b id i ltodos los canales, si se hace un barrido secuencial o en
uno en particular.
52
Desasociación falsaDesasociación falsa
Asociada
Petición de desasociación suplantando la dirección MAC del AP.
Se repite n veces por segundo.
I it bl !I it bl !Estación en modo AP (Master)
Si se dirige a la dirección de difusión se deniega de servicio toda la red.¡Inevitable!¡Inevitable!
53
Obtención de ESSID en caso de red cerradaObtención de ESSID en caso de red cerrada
Petición de asociación. Se transmite el SSIDAPAPNo transmite el SSID
Asociada
No transmite el SSID en las balizas
Estación en Modo monitor:se escucha el SSID
Petición de desasociación suplantando la
se escucha el SSID
dirección MAC del AP.
Estación en modo AP (Master)
54
Ataque EAPoLAtaque EAPoL-- StartStart
Un atacante puede bloquear un AP enviando una inundación de tramas EAPOL-Start hasta consumir los recursos del AP.
55
Ataque EAPoLAtaque EAPoL--LogoffLogoff
La trama EAPoL – Logoff no es autenticada. Un atacante envía esta trama simulando ser la estación asociada. Se produce un DoS.
56