Praktikum IT-Sicherheit WLAN

Transkript

1 Praktikum IT-Sicherheit - Versuchshandbuch - Angriffe auf geschützte WLAN-Topologien WLAN In diesem Versuch sammeln Sie praktische Erfahrung auf dem Gebiet der WLAN-Sicherheit, indem verschiedene Sicherheitsprotokolle und ihre Schwächen aufgezeigt werden. Nach Standard 802.1x wird die sichere Authentifizierung des Clients mit dem RADIUS-Server eingerichtet. B.Sc. BG 24 M.Sc. AI MN 1 M.Sc. EB 10 IT-Sicherheit

2 Vorbereitung Um sich an den, zum Versuch gehörenden, virtuellen Maschinen anmelden zu können, müssen sie folgende Benutzerdaten verwenden. Login: root Passwort: itsec Aufgabe 1 - WEP Aus technischen Gründen kann das Abhören einer WLAN-Verbindung in dieser Labor-Übung nicht praktisch erfolgen. Die betreffenden WLAN Daten stehen in den folgenden Versuchen bereits als Datei zur Verfügung. a) Welche Daten werden benötigt, um in ein fremdes WLAN einzudringen? b) Wie viele Pakete werden benötigt, um einen WEP-Schlüssel zügig zu ermitteln? 2

3 c) Auf der VM WEP_WPA befinden sich im Ordner WEP 2 Mitschnitte von WLAN Kommunikationen. Mit Hilfe des Tools aircrack-ng (in Konsole aircrack-ng aufrufen) können diese Mitschnitte zur Kompromitierung des geheimen Schlüssels verwendet werden. Die Dateien versuch_a*.ivs gehören zu der ersten Kommunikation, die Dateien versuch_b*.ivs gehören zur zweiten Kommunikation. Warum kann bei der ersten Kommunikation der Schlüssel nicht ermittelt werden? Wie ist der Schlüssel der zweiten Kommunikation? Aufgabe 2 - WPA a) Durch welchen Fehler vieler Administratoren sind WPA verschlüsselte Netzwerke angreifbar? b) Nennen und beschreiben Sie die bekannteste Methode, um in ein mit WPA gesichertes Netzwerk einzudringen. 3

4 c) Führen Sie eine Wörterbuchattacke auf das mit WPA gesicherte Netz aus und nennen Sie den Schlüssel. Benutzen Sie dazu die Datei versuch_a-01.cap mit dem Standardwörterbuch dict1. d) Führen Sie erneut eine Wörterbuchattacke aus. Diesmal nutzen Sie aber ein dafür speziell angelegtes Wörterbuch dict2 und die Anmeldedaten aus versuch_b-01.cap. 4

5 Aufgabe 3 EAP-TLS Zum Bearbeiten dieser Aufgabe starten Sie zuerst die Virtuelle Maschine Server. Konfigurieren sie nun die Authentifizierung nach Standard 802.1x. Hierfür werden ein RADIUS Server und benötigte Zertifikate eingerichtet. Gehen sie wie folgt vor: Root-Zertifikat erstellen Server-Zertifikat erstellen Client-Zertifikat erstellen Zufallszahlen generieren Verbindung zum Access-Point am RADIUS-Server konfigurieren Konfiguration des RadiusServer zur Client-Authentifizierung Konfiguriere den RadiusServer für die Verwendung von EAP-TLS Zertifikate verteilen Starten des RADIUS-Server Konfigurationsdatei für den Client erstellen Führen Sie einen Authentifizierungsversuch durch 5

6 a) Root-Zertifikat erstellen democa (Pfad: /root/certs/democa) muss leer sein. Daher sollte vor Beginn dieses Verzeichnis gelöscht und neu erstellt werden. 1. Wechsel, mit cd certs, das Verzeichnis 2. Mit dem folgenden Befehl wird ein neues Zertifikat erzeugt. Die gefragten Informationen können beliebig angegeben werden, da sie im weiteren Übungsablauf nicht wichtig sind. Als PEM pass phrase sollte itsec00 verwendet werden. # openssl req -new -x509 -keyout newroot.pem -out newroot.pem -days 1000 Bedeutung der Parameter: req: Auswahl der Zertifizierungsanfrage -new: neues Zertifikat erstellen -x509: Format des Zertifikats -keyout: Dateiname für die Speicherung den privaten Key -out: Dateiname für die Speicherung des Zertifikats -days: Gültigkeit in Tagen Mit more newroot.pem kann man sich den Inhalt der erstellten Datei ansehen. 3. Nun wird eine Certification-Authority erzeugt. Diese wird im Ordner democa angelegt. # echo newroot.pem /usr/lib/ssl/misc/ca.pl newca 4. Nun wird das soeben erstellte Root-Zertifikat exportiert. # openssl pkcs12 -export -in democa/cacert.pem inkey newroot.pem -out root.p12 cacerts als Passphrase für newroot.pem muss das Passwort von Punkt 2 eingegeben werden (itsec00) für den Export ist es sinnvoll ein anderes Passwort zu wählen (z.b. itsec11). 6

7 Nun muss die Datei zur weiteren Verwendung nochmal exportiert werden: # openssl pkcs12 -in root.p12 -out root.pem (Als Passwort wird wieder itsec11 verwendet) 5. Jetzt muss eine Datei erstellt werden, die eine beliebig gewählte zweistellige Zahl enthält. Dies ist zum Betrieb des Radius-Servers nötig. # echo 33 > democa/serial 7

8 b) Server-Zertifikat erstellen. 1. Nun wird das Server Zertifikat erstellt. Bei den abgefragten Informationen muss unter Common name: server (der Name der Virtuellen Maschine) angegeben werden. Als PEM-Passwort sollte itsec22 verwendet werden die übrigen Informationen sind für die Übung belanglos. # openssl req -new -keyout newserver.pem -out newserver.pem -days Als nächstes wird die CA Policy festgelegt und signiert. # openssl ca -policy policy_anything -out newcert.pem -infiles newserver.pem (Das Passwort für cakey.pem lautet itsec00 ) (mit y bestätigen) Bedeutung der Parameter: -ca: Certificate Authority Managment -policy: legt die Policy die benutzt werden soll fest 3. Nun wird das Server Zertifikat (wie oben) exportiert. # openssl pkcs12 -export -in newcert.pem -inkey newserver.pem -out certsrv.p12 -clcerts (Als Passwort wird itsec22 verwendet) 4. Jetzt wird die Datei cert-srv.p12 zur weiteren Verwendung in die Datei certsrv.pem exportiert. # openssl pkcs12 -in cert-srv.p12 -out cert-srv.pem (auch hier lautet das Passwort itsec22 ) 8

9 c) Client-Zertifikat erstellen 1. Nun wird das Client Zertifikat erstellt. Bei den angeforderten Informationen muss unter Common name client angegeben werden. # openssl req -new -keyout newclient.pem -out newclient.pem (hier verwenden wir ein neues Passwort, itsec33 ) 2. Auch hier wird das Zertifikat signiert und die Policy festlegt. # openssl ca -policy policy_anything -out newclientcert.pem -infiles newclient.pem (Das Passwort für cakey.pem lautet itsec00 ) 3. Nun wird das Client-Zertifikat exportiert. # openssl pkcs12 -export -in newclientcert.pem inkey newclient.pem -out cert-client.p12 -clcerts (Passwort itsec33 ) # openssl pkcs12 -in cert-client.p12 -out cert-client.pem (Passwort itsec33 ) Zum Betrieb des Radius-Servers, genauer zur Verschlüsselung, werden Dateien mit Zufallszahlenbenötigt. Diese werden mit den folgenden Befehlen erstellt. d) Zufallszahlen generieren 1. Wechsel in das Verzeichnis # cd../certs 2. Geben Sie # openssl gendh >> dh ein. 3. Führen Sie folgenden Befehl aus: # dd if=/dev/urandom of=random count=2 9

10 Nachdem die erforderlichen Zertifikate erzeugt wurden, muss nun noch der Radiusserver konfiguriert werden. e) Verbindung zum Access-Point am RADIUS-Server konfigurieren 1. Wechsele in home-verzeichnis # cd 2. Gehe in das Verzeichnis # cd radiusconfig 3. Öffne die Datei clients.conf mit einem zur Verfügung stehenden Editor (z.b. vi oder pico) # vi clients.conf 4. Die folgenden Zeilen müssen am Ende der Datei angefügt werden. client { secret=clientap shortname=access-point } 5. Das Dokument speichern und den Editor verlassen (bei vi: :x Enter eingeben) f) Konfiguration des RadiusServer zur Client-Authentifizierung 1. Öffne mit einem Editor die Datei users # vi users 2. Am Ende müssen nun die Namen der Clients in eine neue Zeile eingefügt werden. In unserem Falle ist dies client (ohne ) 10

11 3. Das Dokument speichern und den Editor verlassen (bei vi: :x Enter eingeben) Nachdem Access-Point und Client eingestellt wurden, ist nun noch die Konfiguration der eigentlichen Authentifizierungsmethode nötig. Hierbei muss man sehr sorgfältig vorgehen, da bei falschen Angaben oder fehlenden bzw. überschüssigen Kommentarzeichen der Server nicht korrekt startet. g) Konfiguration des RadiusServer für die Verwendung von EAP-TLS öffne die Datei eap.conf in einem Editor 1. Das Authentifizierungsverfahren aktivieren (Zeile 22 : von md5 auf tls ändern) default_eap_type = tls 2. Nun müssen folgende Zeilen zur Konfiguration von EAP-TLS geändert werden. Außerdem muss die # vor jeder Zeile des Abschnitts entfernt werden (Kommentarzeichen entfernen). (dieser Abschnitt befindet sich zwischen Zeile 123 und 197) tls{ private_key_password = itsec22 private_key_file = ${raddbdir}/certs/cert-srv.pem certificate_file = ${raddbdir}/certs/cert-srv.pem CA_file = ${raddbdir}/certs/democa/cacert.pem dh_file = ${raddbdir}/certs/dh random_file = ${raddbdir}/certs/random fragment_size = 1024 include_length = yes } Datei speichern und schließen. 11

12 Nun ist der Radiusserver für den Betrieb mit EAP-TLS fertig konfiguriert. h) Zertifikate verteilen Starten Sie zuerst die Virtuelle Maschine Client. Jetzt wechseln sie wieder zur Virtuellen Maschine Server. 1. Wechsel in Verzeichnis. # cd certs 2. Nun werden alle Dateien, welche auf der Client-Maschine benötigt werden auf diesen kopiert (Dateien beginnen mit cert-client) # scp cert-client.* root@ :~/cert (Das Passwort lautet: itsec) Jetzt wird noch die Datei der CA auf den Client kopiert. # scp democa/cacert.pem root@ :~/cert i) Starten des RADIUS-Server Mit # radiusd -X wird der Radius-Server gestartet. Der Server kann mit Strg+c beendet werden. Sollte der Server nicht starten, kann dies an einem Schreibfehler in den Konfigurationsdateien liegen, diese sollten zuerst kontrolliert werden. Um den Client zu konfigurieren und eine Authentifizierung zu starten, muss nun auf die Virtuelle Maschine Client gewechselt werden. 12

13 j) Konfigurationsdatei für den Client erstellen 1. Wechsele das Verzeichnis. # cd wpaconfig 2. öffne die Datei test.conf in einem Editor, z.b.: # vi test.conf 3. In der Datei müssen die Zeilen wie folgt angepasst werden: network={ ssid="itsicherheit" key_mgmt=wpa-eap proto=wpa RSN pairwise=ccmp TKIP eap=tls identity="client" ca_cert="/root/cert/cacert.pem" private_key="/root/cert/cert-client.p12" private_key_passwd="itsec33" } k) Durchführung eines Authentifizierungsversuchs 1. Wechsel zum Root-Verzeichnis # cd 2. Starte den Test mit folgendem Befehl. #./eapol_test -c wpaconfig/test.conf -a s clientap Mit -c wird die Konfigurationsdatei angegeben, -a legt den Authentifizierungsserver fest, also in unserem Fall den Radiusserver, mit -s wird das Passwort am Access-Point eingegeben. 13

14 Der Test simuliert eine Verbindung von einem Access-Point zu unserem RADIUS- Server. Durch die Angabe einer Konfiguration eines WLAN-Clients wird eine Authentifizierung von einem WLAN-Client (z.b. einem Notebook) simuliert. Wenn alles korrekt eingestellt wurde, erscheint nach der detaillierten Protokollierung der Authentifizierung der Eintrag SUCCESS auf der Konsole. l) Wozu wird das erstellte Root-Zertifikat benötigt? m) Warum benötigt der Client das Zertifikat des Radius-Servers? 14