A segurança de redes wireless é um excelente exemplo do tipo de raciocínios que a indústria de hardware/software por vezes faz “para facilitar” e cujo resultado inevitável é complicar. Recomenda-se a leitura do artigo “
Os mitos de segurança wireless” por Rogério Vicente como introdução ao tema, visto que não iremos aqui abordar aspectos mais triviais como MAC filtering, SSID escondido e outros, mas focar a nossa atenção nos diversos mecanismos de cifra disponíveis.
Os mecanismos propostos pela indústria (WEP, WAP e mais tarde WPA2) foram pensados para facilitar, garantindo o tipo de segurança que à data “parecia suficiente”.
Porquê desenhar um sistema de cifra baseado em tecnologias maduras e testadas como o SSL se podemos inventar um sistema novo e lançá-lo no mercado testado em cima do joelho?Porquê desenhar um sistema com isolamento entre camadas de rede e de segurança quando se pode misturar tudo no driver e supôr que o código feito por diferentes fabricantes em diversos sistemas operativos irá interoperar sem problemas? Quando se fala de criptografia, segurança ou redes a palavra facilitar deve ser encarada com algumas reservas... Mesmo que facilitar a configuração aos utilizadores finais seja um objectivo legítimo,
é preciso não o fazer detrimento de princípios universais como reutilização de tecnologia certificada, reutilização de software e isolamento entre camadas lógicas.O resultado final deste processo, que claramente subverteu os princípios acima referidos, foi a proliferação de redes inseguras e o desconhecimento geral do que está em causa, com as consequentes complicações para os mesmos utilizadores a quem se pretendia facilitar o acesso à tecnologia. Resumidamente, resultaram das várias fases de desenvolvimento – motivadas pelas sucessivas demonstrações de ineficácia da segurança dos produtos - os seguintes métodos de cifra para redes wireless:
- WPA2-PSK – melhor mas com o inconveniente de se basear numa chave pré-negociada partilhada por todos os clientes da rede, o que impede de revogar selectivamente o acesso
- WPA2-ENTERPRISE – melhor mas de implementação complexa e não universal em equipamentos de entrada
“The protocol is specifically designed to also work with pre-WPA wireless network interface cards that pre-date the protocol (through firmware upgrades), but not necessarily with first generation wireless access points. The WPA2 certification mark indicates compliance with an advanced protocol that implements the full standard. This advanced protocol will not work with some older network cards.[1]”Ou seja, para facilitar
a indústria produziu e introduziu no mercado novos protocolos de segurança de menor qualidade do que outros já existentes, juntamente com o acoplamento forçado entre protocolos e equipamentos. Significa isto que mesmo a segurança sendo satisfatória numa dos protocolos mais recentes não há garantia de compatibilidade com todas as placas wifi que se pretendam ligar à rede. A complexidade aumenta também quando se pretende misturar diferentes sistemas operativos na mesma rede.
O que se procura para solucionar este problema?
- Segurança por design e não por obscuridade
- Sistema de cifra baseado em SSL
- Configuração standard acessível a partir de qualquer equipamento wireless
- Configurável em qualquer sistema operativo
- Desacoplamento entre a camada de rede wireless e a camada de segurança
- Autorização / barramento selectivo por utilizador
- Hardware fiável com administração remota
Na segunda parte deste artigo iremos mostrar como se pode implementar um sistema destes com Linux e
OpenVpn a funcionar sobre hardware
Soekris..
