IT Arkitektur og Sikkerhed Mobil sikkerhed, trådløse teknologier og VPN.

Præsentationer af emnet: "IT Arkitektur og Sikkerhed Mobil sikkerhed, trådløse teknologier og VPN."— Præsentationens transcript:

1 IT Arkitektur og Sikkerhed Mobil sikkerhed, trådløse teknologier og VPN

2 Indhold Trends Feedback på evaluering Mobilitet og krav Wireless WEB problemet Wardriving Hvordan sikrer man så wireless Bluetooth

3 Feedback på evaluering Generel god tilfredshed Ca. samme kommentarer som ved prøveevaluering Mangler opg. besvarelser Kritisk gennemgang af pensum Gruppeopgaver duer ikke? Slide indhold Alternativt med læsning efter forelæsninger

4 Trend – at arbejde overalt, når det passer dig på kontoret fra vejen hos en kunde på hjemme kontoret på rejseni lufthavnen

5 Nye typer af kommunikation… Bluetooth Wireless GPRS 3G Trends - Den mobile verden

6 Nye devices Sikkerhed er ikke længere blot sikring af PC’ere og servere…

7 1.Assigning untrained people to maintain security and providing neither the training nor the time to make it possible to learn and do the job 2.Failing to understand the relationship of information security to the business problem - they understand physical security but do not see the consequences of poor information security 3.Failing to deal with the operational aspects of security: making a few fixes and then not allowing the follow through necessary to ensure the problems stay fixed 4.Relying primarily on a firewall 5.Failing to realize how much money their information and organizational reputations are worth 6.Authorizing reactive, short-term fixes so problems re-emerge rapidly 7.Pretending the problem will go away if they ignore it Kilde: SANS Syv værste fejl…

8 Mobilitet

9 Sikkerhedsissues ved mobile enheder Muligheden for at forbinde samt have virksomhedsdata er en af forcerne ved mobile enheder. Ulempen er at mobile enheder er små og derfor ofte forsvinder/bliver stjålet. Den relativt lave pris på mobile enheder gør det til hver mands eje og folk i virksomheder køber derfor også mobile enheder privat og sætter dem på firmaets netværk. Virksomheder bør derfor tænke på sikkerhed i forbindelse med anskaffelse af mobile enheder og sørge for tilstrækkeligt software til beskyttelse af enhederne.

10 Husk… Det, at have en PDA eller smartphone online, er stadig kun noget få benytter. En PDA’s operativ system er nøjagtigt ligeså sårbart som andre operativsystemer. Der er dog kun stadig relativt få virus, der har PDA’er som mål, og decideret hacking mod PDA’er er stadig ikke helt interessant. Leverandører som F-Secure og Symantec udvikler antivirus produkter til Pocket PC. Leverandører som Bluefire Security Technologies og Check Point VPN-1 SecureClient har udviklet personlige firewall til Pocket PC.

11 Computerworld – 1 år siden

12 Computerworld i dag

13 Sikkerhed på den mobile enhed Antivirus Strong authentication Kryptering Sikker opkobling Pointsec Software

14 Management af sikkerhed Ved valg af sikkerhedsløsninger til PDA er det vigtigt at man tænker management med ind i løsningen. En sikkerhedsløsning (f.eks. kryptering) er ikke meget værd, hvis medarbejderne selv kan vælge, hvad de vil kryptere, og om de overhovedet vil. Det skal derfor være muligt at styre sikkerhedspolitik (kryptering af hvilke data og hvilken form for authentikering) centralt. Produkter, der kan det, er bl.a. iAnywhere, Credant, MS Exchange SP2 og PointSec. Nogle produkter giver endda mulighed for ”Kill Signals”.

15 Mobile sikkerheds krav Enterprise managed og styret PDA eller smartphone Styring af type og mængde data gemt på enheden Kryptering af vigtige data Stærkt password (4 karakteres PIN er ikke sikkert) Data wipe feature Krypteret og sikker synkronisering Logging, logging og logging Firewall og AV Backup

16 Wireless

17 Wireless er for alvor kommet for at blive Næsten alle virksomheder har wireless netværk i en eller anden form Hvad er det lige alt den ”hype” omkring wireless sikkerhed har drejet sig om? Hvad er udfordringen ved wireless?

18 802.11b Halv duplex teknologi Faktisk throughput <= 6Mbps Ingen on-air QoS mekanisme Delt medie link sikkerhedsmekanismen hedder WEP( Wired Equivalent Privacy) 2.4Ghz band 802.11a (54Mbps@5GHz) 802.11g (22/54Mbps@2.4Ghz) 802.11e :QoS, 802.11i: Sikkerhed 802.11h: Freq harmonization IEEE 802.11…

19 WEP står for: Wired Equivalent Privacy Hmm, holder jo ikke helt… Er ikke det samme som “wired privacy” på nogen måde! Hvordan kan du sikre luften? Så hvad er problemet?

20 WEP og RC4 Secret key delt mellem access point og klienter Krypterer alt trafik før transmission Laver integritetscheck efter transmission WEP bruger RC4, en stream cipher [key] XOR [plaintext]  [ciphertext] [ciphertext] XOR [key]  [plaintext]

21 Typiske angreb Bit-flipping (encryption ≠ integrity) Flipping bit n i cipertext flips nøjagtig samme bit i plaintext Statistical attacks Multiple ciphertexts som bruger samme nøgle gør at man kan bestemme plaintext XOR Gør det muligt at lave et “statistisk angreb” for at genskabe plaintext Jo mere ciphertexts des nemmere Airsnort er nok det mest kendte værktøj

22 Wardriving Bærbar Orinoco wireless card NetStumbler software ApSniff Wlan-Expert AirSnare Prism 2 wireless card og Aerosol software USB Wireless Card AirSnort software Kismet Cantenna and wireless MMCX to N type cable

23 Hvor meget fylder det?

24 Cantenna

25 Nå, hvordan gør man?

26 MiniStumbler

27 Alternativ - WiFiFoFum

28 Kortlægning…..

29 Airsnort - Readme To crack a WEP key AirSnort needs a certain number of packets with weak keys. Out of the sixteen million keys which can be generated by WEP cards, about nine thousand are weak (for 128 bit encryption.) Call these packets with weak keys "interesting." Most passwords can be guessed with after about two thousand interesting packets. Some as few as 1200 -1500, others as many as 3500 - 4000. 4 employees Surfing 8 hours per day (bad employees) 16 days to crack WEP key 1000 users – about 30 minutes http://airsnort.shmoo.com/

30 Airsnort

31 Scanning af netværket

32 Snifning af passwords WinSniffer – Passwords HTTP FTP Telnet POP3 ICQ Instant Messaging SMTP IMAP NNTP Standard sniffere (Ethereal) kan se alt data i pakker og ikke kun brugernavne og passwords: Læse dine e-mails Web content Web baseret email

33 Nå, hvor er vi?

34 Wireless behøver ikke at være usikre Forstå: Nøgle beskyttelse: 802.1X Authentication: EAP Nå, men hvordan gør vi så?

35 Løsningen i dag: 802.1X Port-baseret access control mekanisme defineret af IEEE Virker på alle netværk, wired og wireless Access Point skal understøtte 802.1X Tillader brug af EAP for authentikation Access Point er ligeglad med EAP Nøgler bliver styret automatisk

36 Terminologi 802.11 er en specifikation for over-the-air wireless netværk 802.1X er en fysisk uafhængig port-based access control Giver god mening at kombinere dem

37 EAP Link-layer security framework Indkapsuleringsprotokol for authentikering Kører over alle link layer Ingen indbygget sikkerhed Tager ikke udgangspunkt i en sikker fysisk linie Authentication metode må indkoporere deres egen sikkerhed PEAP, TLS etc.

38 802.1x eksempel 802.11 association TLS channel client RADIUS (IAS Server) ActiveDirectory WAP Udregner WEP nøgle… Beregner WEP nøgle… Kontrolleret port port for PC med nøgle nnnn Kommunikation: Kun SYSTEM og maskin account WinLogon Sender global WEP nøgle

39 802.1x eksempel 802.11 association TLS channel client RADIUS (IAS Server) ActiveDirectory WAP WinLogon

40 Udviklet af trådløse leverandører Mål Sikre netværk Løse WEP problemmet Give sikker wireless til SOHO Ingen behov for RADIUS Være kompatibelt med 802.11i Er i alle nyere Access Points Anvender 802.1x Mulighed for PSK hvis ingen Radius WPA: WiFi Protected Access

41 WPA i Windows Authentication Open Shared WPA WPA-PSK Encryption Disabled WEP TKIP AES

42 IEEE har udviklet 802.11i Erstatning for WEP Indkluderer TKIP, 802.1x Tvungen AES (i WPA er det en option) Fremtiden – 802.11i

43 Bluetooth

44 Bluesnaffing – Definition Bluejacking Early adopters abuse 'Name' field to send message Now more commonly send 'Business Card' with message via OBEX Bluesnarfing First publicised by A L Digital, November 2003 'Snarf' - networking slang for 'taking an unauthorised copy' Copying data via Bluetooth, including phonebook, calendar, IMEI and images Bluebugging First publicised by Martin Herfurt, March 2004 (CeBIT Hanover) Create unauthorised connection to serial profile Full access to AT command set - read/write/send SMS, originate calls, set diverts

45 Bluesnaffing – Hvad kan man? Data tyveri Kalender Aftaler Billeder Telefonbog Navne, adresser, telefonnumre PIN koder og andre koder Billeder Læse gemte SMS meddelelser Sende og modtage SMS’er Authentikere Aflytte Aflytte samtaler Udgående gateway (Man in the middle)

46 Bluesnaffing – Hvad kan man? Telefon opkald 900 numre Lang distance Aflytte voicemails Sende SMS’er Takserede SMS’er Udgive sig for at være ofret Authentication Web Portals Location Tracking GPRS (gratis Internet)

47 Bluesnaffing Men hvad med afstanden, det er jo kun 10 meter? Nej, normalt udstyr kan sagtens nå op til 40 meter og Class-1 udstyr op til 100 meter… Men hvilke modeller har på nuværende tidspunk et problem: Nokia: 6310, 6310i, 8910, 8910i Sony Ericsson: T610 …

48 Bluesnaffing

49

50

51 Nå, hvad gør vi så? Det er en ny verden vi lever i… så: Opdater sikkerhedspolitik til at indeholde mobile enheder Smartphones PDA’er Bærbare Standardiser på nogle udvalgte enheder Security awareness og uddannelse…

52 Og så… Til gruppe arbejde