Wireless LAN (WLAN) Security

Transkript

1 Fraunhofer SIT Wireless LAN (WLAN) Security Gefahren erkennen Risiken minimieren Michael Epah

2 Agenda - Ziel: Versachlichung der Diskussion! Ursprüngliche IEEE Security Wired Equivalent Privacy (WEP)! Worüber lohnt es sich zu diskussion! - Sicherheit von IEEE i WLANs! Funktionsweise von IEEE i WLANs! Schwachstellen erkennen und Risiken minimieren - Es geht also nicht um Hackertools Page 2

3 IEEE Sicherheit Wired Equivalent Privacy (WEP) " Ziel: Gleiche Sicherheitsstufe wie im drahtgebundenenlans ermöglichen Hub Si Access Point Si STA3 STA1 STA2 STA3 STA4 STA1 STA2 STA4 Bild 1: Drahtgebundenes LAN innerhalb eines Gebaüdes Bild 2: Wireless LAN innerhalb eines Gebäudes Drahtgebundenes LANs : Wireless LANs : WEP encryption soft Wall: Access control: erreicht durch Mauern und Türe Confidentiality: Nur angeschlossene Stationen sehen Daten Data integrity: Nur eine angeschlossene Statione kann benutzt werden in Man-in-the-Middle attacks # Sicherheitsstufe ist abhängig von der Schwierigkeit einen Anschluss zu dem LAN zu bekommen. erfordert Kenntnis eines shared key # Access control. Verschlüsselung der Daten mittels RC4 # Confidentiality Cyclic Redundancy Check (CRC-32) # Data integrity # Sicherheitsstufe abhängig von der Schwierigkeit in Besitz des shared secret key zu gelangen Page 3

4 Die grundsätzlichen Sicherheitsaspekten - Grundfrage bleibt: Wie erreiche ich mindestens die gleiche Sicherheitsstufe wie im drahtgebundenen LANs?! Damit ist das Ziel Wired Equivalent Privacy immer noch aktuell! Ursprüngliche Mechanismus auf Basis von RC4-Algorithmus ist unbrauchbar - Die Grundsätzlichen Fragen sind:! Kann ich Verfügbarkeit guarantieren? - Nein!! Kann ich Authentizität der Kommunikationspartner guarantieren? - Eine Frage der Authentifizierungsmethode und der Implementierung.! Kann ich man-in-middle-attacks vermeiden? - Eine Frage der Authentifizierungsmethode und der Implementierung.! Kann ich Vertraulichkeit der Daten guarantieren? - Eine Frage der Verschlüsselungsmethode und der Implementierung. Page 4

5 IEEE i als Ersatz für WEP Definiert neuen Satz von Algorithmen! Robust Security Network Association (RSNA) algorithms Bestandteile von RSNA:! Temporal Key Integrity Protocol (TKIP), bietet - Datenverschlüsselung mittels RC4 # Wie das alte WEP. - Integrität der Daten durch Message Integrity Code statt CRC.! Advanced encryption standard (AES) Counter mode (CTR) with cipher block chaining (CBC) with message authentication code (MAC) Protocol (CCMP). - CCMP ist der eigentliche echte Ersatz für das alte WEP. - CCMP ermöglicht Verschlüsselung und Schutz der Integrität der Daten.! IEEE 802.1x with Extensible Authentication Protocol (EAP) für Authentisierung.! Schlüsselverwaltung Page 5

6 Components of IEEE 802.1x with EAP as expected by IEEE i IEEE Client Access Point Authentication Server (AS) Supplicant Controlled port Uncontrolled port Authenticator Controlled port Uncontrolled port 1 2 S 1 2 S EAP-Type X EAP-Type X, Y, Z Protocol Layers EAP IEEE 802.1x EAP RADIUS IEEE UDP/IP WLAN Secure channel Page 6

7 Block diagram of RSNA establishment Listen to RSNA capable Station (802.1x Supplicant) RSNA capable Access Point (AP) (802.1x Authenticator) Beacon or Probe Response frames: I am RSNA-capable Authentication Server (Proxy) Identify the Access Point as RSNA-capable - Do open system authentication same as in Pre-RSNA Networks. - Negotiate cipher suites (PSK, IEEE 802.1x with EAP, TKIP, CCMP) Do IEEE 802.1x with EAP mutual Authentication Generate Pairwise Master Key (PMK) This Part is missing when using a PSK, in which case, the PMK := PSK Generate PMK Send PMK to AP PMK PSK = preshared key PMK Page 7

8 Block diagram of RSNA establishment (continued) MAC-Addr. = SPA PMK RSNA capable Station (802.1x Supplicant) RSNA capable Access Point (AP) (802.1x Authenticator) MAC-Addr. = AA PMK Authentication Server SNonce = Random Message 1: EAPOL-Key (ANonce, Key counter N, ) ANonce = Random Calculate PTK using PMK, AA SPA, SNonce and ANonce Message 2: EAPOL-Key (SNonce, Key counter N, MIC, ) Message 3: EAPOL-Key (SNonce, Key counter N+1, GTK[keyID], MIC, ) Calculate PTK using PMK, AA SPA, SNonce and ANonce PTK gen. Message 4: EAPOL-Key (Key counter N+1, MIC, ) Set Temporal encryption Key (TK) and TKIP MIC keys Set GTK for KeyID Set Temporal encryption Key (TK) and TKIP MIC keys, if TKIP was negotiated Normal data traffic now possible Page 8

9 Generation of the Pairwise Transient Key (PTK) from the PMK Pairwise Master Key (PMK) PRF-X(PMK, pairwise key expansion Min(AA,SPA) Max(AA,SPA) Min(ANonce,SNonce) Max(ANonce,SNonce)) where X = 512 for TKIP and 384 for CCMP; = concatenation Pairwise Transient Key (PTK) Key Confirmation Key (KCK) Bits Key Encryption Key (KEK) Bits CCMP: - TK: Bits TKIP: - TK: Bits MIC Key 1: Bits MIC Key 2: Bits TK = Temporal encryption Key Page 9 Back

10 Computation of the other keys from the PTK PTK: KCK KEK TK TKIP MIC Key TKIP MIC Key 1. Key Confirmation Key (KCK) present in PTK of both TKIP and CCMP. KCK! Used in calculating the MIC of messages from the supplicant to the authenticator during the 4-way handshake. 2. Key Encryption Key (KEK) present in PTK of both TKIP and CCMP. KEK! Used to provide confidentiality in the 4-way handshake and Group key handshake messages from the Authenticator. 3. Temporal Key (TK) present in PTK of both TKIP and CCMP.! CCMP uses TK for confidentiality and integrity! TKIP uses TK only for confidentiality - TKIP per Frame secret Key for WEP is derived from the TK TK Page 10

11 Computation of the other keys from the PTK (continued) PTK: KCK KEK TK TKIP MIC Key TKIP MIC Key 4. TKIP MIC Key - present only in a TKIP PTK. TKIP MIC Key! for frames from the Authenticator to the Supplicant 5. TKIP MIC Key - present only in a TKIP PTK. TKIP MIC Key! for frames from the Supplicant to the Authenticator. Page 11

12 TKIP Encapsulation by the Transmitter TSC TA TK TSC5.. TSC2 TSC1, TSC0 Phase 1 Key mixing TSC5.. TSC0 TTAK Phase 2 Key mixing WEP Seed = (WEP IV + Key K) IV Secret Key K WEP Encapsulation TSC + Ciphertext MPDU(s) DA + SA + Priority + Plaintext MSDU TKIP MIC Key Michael MIC Fragment(s) Decap. 1. The secret Key K for WEP Encapsulation is new for each Paket 2. TKIP Sequence Counter (TSC) is used to detect replay attacks. 3. MIC derived through Michael algorithm detects alterations of the : MAC service data unit (MSDU) Destination MAC Address (DA) and Source MAC Address (SA) for the MSDU MAC Heade TKIP frame Page 12

13 CCMP encapsulation at the Transmitter Plaintext MPDU TK MAC header TA, Priority Data Construct AAD Construct Nonce CCM Encryption (Originator Processing) Encrypted Data Encrypted MIC Header, Encrypted MPDU PN KeyID Increment PN Construct CCMP header Decap. 1. CCM Encryption does not have the Weaknesses of RC4 Encryption $ TK can be used directly 2. Packet Number (PN) is used to detect replay attacks. 3. MIC derived through CCM algorithm detects alterations of the : Data Destination MAC Address (DA) and Source MAC Address (SA) MAC Heade CCMP frame Page 13

14 Wie sollte man IEEE 802.1x im Enterprise-Umfeld nicht einsetzen? Passphrase basierte PSKs - Besonders schlecht gewählte Passphrase basierte PSKs sind anfällig gegen dictionary attacks! PTK = PF-X(PMK, known values from 4-way-Handshake authentication ) - Sicherheit basiert darauf, dass PMK nur beiden Partnern bekannt ist.! Bei Passphrase basierte PSKs - PMK = PSK = PBKDF2( passphrase PSK, SSID, ssid-length, 4096, 256) - Dictionary attack möglich! Sichere WLANs im Enterprise Umfeld nur mit IEEE802.1x TKIP RC4 benutzt # modifizierte WEP-Angriffe auch gegen TKIP erfolgreich. Nur CCMP (AES) benutzen, da keine erfolgreiche Angriffe bekannt Page 14

15 EAP Authentication Mit wem rede ich eigentlich? oder Legitimer Client rogue Client oder Legitimer Access Point rogue Access Point Authentication Server Listen to Beacon or Probe Response frames: I am RSNA-capable (Proxy) Identify the Access Point as RSNA-capable - Do open system authentication same as in Pre-RSNA Networks. - Negotiate cipher suites (PSK, IEEE 802.1x with EAP, TKIP, CCMP) Do IEEE 802.1x with EAP mutual Authentication Generate Pairwise Master Key (PMK) This Part is missing when using a PSK, in which case, the PMK := PSK Generate PMK Send PMK to AP PMK PSK = preshared key PMK Page 15

16 Gefahren beim Einsatz von PEAP / EAP-TTLS / EAP-TLS Client <- Rogue AP/Client -> MitM AP AAA Server EAP/Identity Request EAP/Identity Request EAP/Identity Response (anonymous@realm) Tunnel establishment Tunnel Keys Derived Tunnel Keys Derived EAP/Identity Response (anonymous@realm) Tunnel establishment Tunnel Keys Derived Tunnel Keys Derived EAP-Method in Tunnel EAP/Identity Request EAP-Method in Tunnel EAP/Identity Request EAP/Identity Response (user id@realm) EAP/ Request / Method Challenge EAP/ Request / Method Challenge EAP/Response/ Method Response EAP/ Success EAP/ Success Inner Method Keys Derived Inner EAP Method Keys Derived From Tunnel keys WLAN Session Stolen Inner EAP Method Keys Derived From Tunnel keys Page 16

17 Risiken Minimieren PKI einsetzen! Bei PEAP / EAP-TTLS - Servername entsprechend auf Clients eintragen» D.h. nicht nur Gültigkeit des Zertifikats überprüfen» Wegen man MitM durch Insider oder gestohlene Insider Zertifikate! Bei EAP-TLS - Servername entsprechend auf Clients eintragen» D.h. nicht nur Gültigkeit des Zertifikats überprüfen» Wegen man MitM durch Insider oder gestohlene Insider Zertifikate Smartcards einsetzen! Gestohlene Smartcards sind leichter zu bemerken als gestohlene Soft-Zertifikate! Keine langfristig (> 10 Jahre?) sensitive Daten über WLANs übertragen Page 17

18 Fazit Darf man WLANs einsetzen? Ja Wenn man es richtig macht! Page 18

19 Thanks for your Attention Any Questions? Page 19