L’autenticazione è un meccanismo che permette, solo a chi ha i permessi adeguati, di spedire e ricevere dati sulla rete, e rappresenta il primo passo per un dispositivo che si connetta ad una Wireless LAN. Tutte le stazioni 802.11 devono usare questo meccanismo prima di poter comunicare con un’altra stazione. Una volta che una stazione ha eseguito la scansione e ottenuto le informazioni sulle celle esistenti, dovrà scambiare quelle di autenticazione: tale procedura avviene tra l’Access Point alla portata (l'AP più vicino o, comunque, quello a cui si connette il client secondo le politiche applicate nella rete) e la stazione.
L’802.11 definisce due tipi di autenticazione: a sistema aperto e a chiave condivisa.

L’autenticazione a sistema aperto (Open System Authentication) consiste semplicemente nello scambio delle reciproche identità tra le due parti e non offre alcun vantaggio in termini di sicurezza. In questo sistema, un client invia all’Access Point un frame di controllo MAC, chiamato frame di autenticazione (authentication request). Il frame indica che questo è un tipo di autenticazione a sistema aperto. L’Access Point risponde con il proprio frame di autenticazione (authentication response) e la procedura è completa.

L’autenticazione a chiave condivisa (Shared Key Authentication) assume che ogni stazione abbia ricevuto una chiave segreta condivisa attraverso un canale sicuro indipendente dalla rete 802.11. La procedura di autenticazione che si svolge tra il client e l’Access Point è la seguente:
1. il client invia all’Access Point un frame di richiesta di autenticazione con l’identificazione “Shared Key” e con il proprio identificatore di stazione.
2. l’Access Point risponde con un frame contenente una stringa di testo di prova. Il testo di prova è generato utilizzando un generatore di numeri pseudocasuali.
3. il client copia la stringa di testo in un frame che viene codificato con l’algoritmo di crittografia WEP usando la chiave segreta condivisa, ed inviato all’Access Point.
4. l’Access Point riceve il frame crittografato e lo decodifica utilizzando lo stesso algoritmo WEP e la chiave segreta condivisa con il client, dopodichè confronta il testo di prova in arrivo con il testo inviato nel secondo messaggio. Quindi l’Access Point invia un messaggio di autenticazione al client con il codice di stato che indica il successo o il fallimento della procedura.

Un esempio di quest'ultima tipologia di autenticazione l'abbiamo con lo standard IEEE 802.1x che integra un framework di autenticazione, l'EAP, per fornire al client e all'Access Point un servizio versatile e sicuro, permettendo loro di autenticarsi vicendevolmente e di negoziare l'algoritmo di cifratura.

Lo standard IEEE 802.1x é un “Port-based access control mechanism”, ovvero un sistema in grado di autenticare un utente collegato ad una determinata porta ethernet o ad un Access Point ed applicare di conseguenza il livello di sicurezza necessario.
IEEE 802.1x è nato per l'identificazione e l'autorizzazione dell'utente su reti wireless e più in generale su reti Ethernet, permettendo servizi personalizzati quali il raggruppamento di una classe di utenti in una determinata Virtual LAN.

Il protocollo è basato su Extensive Authentication Protocol Over Lan (EAPOL) che prevede differenti tipologie di autenticazione, tra cui MD5 e TLS. Sebbene questo protocollo sia l'ideale per riconoscere un utente e dare l'accesso alla rete, si possono evidenziare tre sue problematiche.
La prima é che IEEE 802.1x non definisce un sistema di crittografia: questo protocollo si limita ad autenticare l’utente.
Il secondo problema é che molti degli Access Point esistenti non dispongono di 802.1x. Quegli Access Point che non dispongono della possibilità di essere aggiornati via software devono essere sostituiti. Inoltre é probabile che i futuri Access Point a basso costo, tipicamente pensati per l’utenza domestica e piccoli uffici, non disporranno di 802.1x, che necessita comunque di una infrastruttura RADIUS.
Infine, fino a poco tempo fa, solamente alcuni sistemi operativi, ad esempio Windows 2000 e Windows XP, supportavano nativamente IEEE 802.1x. I sistemi Apple con MacOS e chi disponeva di sistemi Windows 95/98/ME/NT dovevano acquistare un client compliant con IEEE 802.1x, assumendosi costi aggiuntivi.

Al fine di poter identificare e autorizzare l’utente finale, IEEE ha scelto di incapsulare su ethernet il protocollo EAP (Extensible Autentication Potocol). Esso é un framework di autenticazione inizialmente pensato per il Point-to-Point Protocol (PPP) che supporta differenti schemi di autenticazione. EAP non definisce uno specifico metodo di autenticazione, bensì permette di negoziare il protocollo di autenticazione tra i due interlocutori, ovvero l’utente e il server di autenticazione (tipicamente un server RADIUS). Attraverso EAP, lo standard IEEE 802.1x permette la distribuzione di chiavi WEP attraverso un frame EAPOL-Key: questo tipo di messaggio EAP permette di inviare una o più chiavi WEP al client. Grazie a EAPOL-Key é possibile, su alcuni Access Point, usare chiavi WEP totalmente differenti per ogni sessione, ridimensionando il problema, affrontato in seguito, relativo alla derivazione delle stesse.
Sono stati definiti alcuni schemi di autenticazione EAP, i più famosi dei quali sono: MD5, TLS, TTLS, LEAP, PEAP, SecurID, SIM e AKA.

Vediamone alcuni in dettaglio.

EAP-MD5 . Si tratta di un’autenticazione basata su MD5 dove un algoritmo di hash one-way viene usato in combinazione ad uno shared secret e un challenge. Il suo uso é sconsigliabile in ambiente Wireless perché gli hash delle password possono essere soggetti ad un attacco di tipo “dictionary attack”. Se un potenziale intruso riesce ad ottenere il challenge e l’hash fornito come risposta, questo può provare a ricavare la password off-line con appositi programmi. Inoltre, EAP-MD5 fornisce solo un’autenticazione del client non verificando la rete a cui ci si sta autenticando. In questo caso è possibile che un potenziale intruso, attraverso l’uso di un falso Access Point, possa redirigere l’utente in una falsa rete e prendere informazioni preziose.

EAP-TLS . Il Transport Layer Security (TLS) offre un’autenticazione sicura, che sostituisce le password con una autenticazione basata sui certificati digitali X.509. Al contrario di EAP-MD5, EAP-TLS supporta la “mutual authentication”, ovvero sia il client che il server vengono verificati, evitando frodi relative all’inserimento di falsi Access Points. EAP-TLS é un’ottima scelta per la sicurezza dell’autenticazione in 802.1x quando una Public Key Infrastructure (PKI) é già stata adottata. Il grosso svantaggio di EAP-TLS é il costo elevato generato dalla manutenzione di una PKI: essa infatti richiede licenze software, personale qualificato e corsi di formazione. Tra i vari meccanismi EAP, il TLS é lo standard più diffuso per l’autenticazione basata su 802.1x.

EAP-LEAP. Light EAP (LEAP), chiamato anche Cisco EAP, é una implementazione proprietaria di Cisco che permette la “mutual authentication” e permette di usare username e password come meccanismo di autenticazione. Anche se una buona politica delle password può fare di LEAP un protocollo sicuro, esso é soggetto ad attacchi di tipo “dictionary attack”, così come EAP-MD5. Nonostante LEAP sia un protocollo proprietario di Cisco Systems, la casa di San Francisco si sta orientando verso i protocolli EAP-TLS e EAP-PEAP.

EAP-TTLS. Tunneled Transport Layer Security (TTLS) é un estensione di EAP-TLS che é stata creata per evitare la necessità di certificati per i client. Come per altri sistemi di autenticazione “tunneling”, TTLS é basato su un autenticazione a due fasi. Nella prima fase un algoritmo asimmetrico basato sulla chiave del server é usato per verificare le credenziali del server e la creazione di un tunnel sicuro. Nella seconda fase, il client viene riconosciuto usando un secondo metodo di autenticazione che verrà fatto passare attraverso il tunnel sicuro creato precedentemente. Può essere usato un qualsiasi schema di autenticazione per la seconda fase.

EAP-PEAP. Il Protected EAP (PEAP) é un protocollo di autenticazione progettato per Internet da Cisco, Microsoft e RSA. PEAP é simile al TTLS, in quanto sono gli unici due protocolli EAP di tipo “tunneling”. Come per TTLS, viene creato un tunnel sicuro tra il server e il client in cui viene incapsulata l’autenticazione del client. Al contrario di TTLS, PEAP non supporta i sistemi legacy.

IEEE 802.1x é un ottimo protocollo, in quanto risolve problematiche relative all’autenticazione degli utenti e al cambio delle chiavi WEP, tuttavia i problemi relativi alla privacy dei dati inviati via Wireless rimangono. Come vedremo in seguito, il WEP ha una crittografia debole ed é possibile comunque derivare le chiavi su una sessione Wireless di lunga durata, pertanto sarebbe comunque necessaria una crittografia aggiuntiva quale IPSec.

Come menzionato precedentemente, EAP-TLS é attualmente lo schema di autenticazione più diffuso per 802.1x/EAP. I componenti che svolgono un ruolo durante l’autenticazione 802.1x sono il supplicant, ovvero il computer dell’utente, l’authenticator (l’Access Point) ed infine l’authentication server, ovvero il RADIUS server. Durante l’autenticazione, sia il supplicant che il RADIUS devono supportare EAP-TLS, mentre l’Access Point deve supportare solamente 802.1x/EAP: l’Access Point non é a conoscenza del tipo di schema di autenticazione EAP.

Nella figura a destra é illustrato come funziona il processo di autenticazione 802.1x con EAP-TLS.

Processo di autenticazione 802.1x con EAP

Sequenza di autenticazione 802.1x con EAP

In dettaglio, durante la conversazione EAP, il RADIUS server manda il proprio certificato al client e richiede il certificato del client. Il client valida il certificato del server e risponde con un messaggio EAP contenente il proprio certificato. Il client inizia contestualmente anche la negoziazione per la crittografia, ovvero algoritmi di cifratura e compressione. Dopo che il certificato del client viene validato, il server risponde con le specifiche crittografiche della sessione.

Nella figura a sinistra viene illustrata in dettaglio questa sequenza.

Durante l’handshake TLS tra client e server, il client genera un pre-master secret che viene crittografato con la chiave pubblica del server e lo manda successivamente al server. Il pre-master secret, dei valori casuali tra client e server e il master secret vengono usati per generare una chiave per la sessione.

La pseudo-random function (PRF), che serve per generare la chiave della sessione é definita nel RFC 2246 (TLS), mentre l’RFC 2716 specifica come derivare la chiave della sessione. Successivamente viene riusata la funzione PRF insieme al master secret, congiuntamente a dei valori casuali (del server e del client) e alla stringa relativa al tipo di crittografia EAP proposta dal client per generare le chiavi di sessione, le chiavi Message Authentication Code (MAC) e il vettore di inizializzazione (IV). É importante sottolineare che, sia il client che il RADIUS server, derivano le chiavi di sessione in modo indipendente anche se la lunghezza della chiave di sessione é determinata dall’Access Point ed é inviata attraverso un messaggio di tipo EAPOL-Key.
La figura a destra riassume le fasi di derivazione della chiave WEP.

Uso della PRF per derivare le chiavi WEP

Per configurare IEEE 802.1x con EAP-TLS é necessario configurare per primo un RADIUS server che fungerà da server di autenticazione. Gli utenti wireless che si collegheranno all’access point verranno autenticati attraverso questo server che, per poter permettere l’accesso, deve supportare l’autenticazione di tipo EAP-TLS.

Il Wired Equivalent Privacy (WEP) è una cifratura opzionale definita dallo standard IEEE 802.11, applicata ai dati trasmessi. Come si evince dal suo acronimo, il WEP è stato inizialmente concepito per dare una protezione all'utente finale simile a quella disponibile attraverso una rete cablata di tipo tradizionale. Recenti studi (il più importante dei quali è “Using the Fluhrer, Mantin, and Shamir Attack to Break WEP” di Stubblefield, Ioannidis e Rubin) hanno dimostrato che si puo' ricavare la chiave di cifratura WEP dall'osservazione del traffico di rete.

Decifratura WEP

Purtroppo, l'uso dell'algoritmo RC4 ha determinato la maggior debolezza del protocollo WEP, dato che esso risulta vulnerabile se vengono utilizzate le chiavi più di una volta.

La configurazione standard delle case produttrici sono uno dei maggiori fattori di rischio per la sicurezza delle Wireless LAN. Gli amministratori di rete, molto spesso per mancanza di tempo, non configurano gli Access Point in maniera dettagliata.

I diversi produttori implementano lo standard IEEE 802.11 con caratteristiche differenti, alcune volte anche con estensioni proprietarie, e quindi con diversa modalità di configurazione. Le password degli Access Point, gli SSID e le chiavi WEP di default sono pertanto facile preda di potenziali aggressori.

Il WPA è integrato in tutti i nuovi prodotti certificati Wi-Fi, mentre la maggior parte dei dispositivi Wi-Fi esistenti possono facilmente essere aggiornati via software per essere compatibili con esso.
Il WPA ha lo scopo di fornire una migliore crittografia dei dati rispetto al WEP e anche un meccanismo per l’autenticazione dell’utente, funzione quest’ultima assente nel WEP.
Per migliorare il criptaggio, WPA utilizza il Temporary Key Integrity Protocol (TKIP) per crittografare i dati, aumentando la chiave dai 40/104-bit di WEP, fino a 128-bit. Esso fornisce importanti ampliamenti di crittografia dei dati: genera periodicamente e automaticamente una nuova chiave per ogni client; implementa un meccanismo di controllo dell’integrità dei dati (MIC) di 8 byte che permette di evitare le alterazioni dei pacchetti trasmessi attraverso la rete wireless, più robusto di quanto non faccia il WEP con ICV (Integrity Check Value, 4 byte). Il MIC viene calcolato separatamente dal client e dall’Access Point e se risultasse differente il pacchetto verrebbe scartato; usa un vettore di inizializzazione IV di 48 bit anziché 24.
Il WEP non ha pressoché nessun meccanismo di autenticazione dell’utente. Per fornire questo servizio, WPA implementa i protocolli 802.1x e EAP, che insieme formano una forte struttura di autenticazione.

L’autenticazione di tipo mutuo evita il rischio che un utente wireless non entri accidentalmente in una rete non sicura, nella quale le sue credenziali di autenticazione presso un’altra rete possano essere rubate da un utente malintenzionato.
WPA supporta 2 metodi: Personal e Enterprise.
Il modo Personal (anche chiamato preshared key mode) è appropriato per piccoli uffici e case che non hanno esistenti infrastrutture di autenticazione. Una password settata manualmente viene inserita nell’AP così come nei client.
Se si ha necessità di gestire più di 10 utenti conviene optare per il WPA Enterprise il quale usa il RADIUS per l’autenticazione. In questo caso si dovrà selezionare l’EAP così come l’802.1x nelle stazioni wireless.
Nella figura sottostante è data una rappresentazione del funzionamento del WPA con TKIP. La chiave cambia dopo un numero prefissato di pacchetti ed è derivata da chiave temporanea + MAC address sorgente + IV di RC4.

Rappresentazione del funzionamento del WPA con TKIP

IEEE 802.1x é la metodologia di autenticazione preferita di WPA, in quanto è proprio grazie a questo protocollo che si ha la migliore resa di autenticazione e cifratura. WPA però necessita che il metodo EAP selezionato dall’amministratore supporti la mutual authentication, ad esempio TLS, TTLS, LEAP e PEAP. Durante il processo di autenticazione un Pairwise Master Key (PMK) viene generato sia sulla stazione che sul RADIUS server. Quest’ultimo manderà il PMK all’Access Point in maniera sicura. Questo processo é simile a quello della pre-WPA authentication, ma la differenza stà nel fatto che il PMK non é mai usato direttamente nelle funzioni di cifratura o di hash, ma viene usato per generare chiavi temporanee che verranno usate in queste funzioni. L’uso di chiavi temporanee é utile al fine di evitare attacchi alla chiave, come succede con WEP dove la chiave viene derivata dall’osservazione dei pacchetti in transito.

Le maggiori modifiche apportate a IEEE 802.1x da parte del WPA sono relative al formato di EAPOL-key. Questo non significa che il processo di autenticazione 802.1x venga stravolto, ma vengono apportate modifiche alla distribuzione delle chiavi WPA che avvengono solamente dopo che un client si sia autenticato correttamente alla rete. Il processo dello scambio delle chiavi viene chiamato 4-way and Group Key Handshake. Il 4-way handshake determina il PMK usato per il traffico unicast, mentre il Group Key handshake determina e distribuisce il PMK usato per il traffico di broadcast. Il processo di creazione delle chiavi é stato struttruato per evitare attacchi di tipo man in the middle, in dettaglio:

1. Gli indirizzi dell’Access Point e del client vengono usati in ogni calcolo del MIC durante il 4-way handshake. Questo restringe il processo di scambio di chiavi ad un determinato authenticator e supplicant.

2. Vengono usati gli nonces (valori usati una volta sola) durante il calcolo del MIC. Nuovi nonces vengono usati durante ogni 4-way handshake per generare le chiavi temporanee, congiuntamente al PMK.

3. Gli nonces assicurano che né il client né l’Access Point siano nella posizione di essere sotto attacchi di tipo replay. Ovvero, quando i nonces sono usati durante il processo di key authentication, il supplicant e l’authenticator devono essere in possesso del nuovo PMK dopo l’autenticazione, in modo da calcolare il valore corretto del MIC.

Un altro cambiamento é l’aggiunta del parametro PortSecure: quando questo valore é impostato, sia l’authenticator che il supplicant sanno che le chiavi per unicast e broadcast sono valide e pertanto possono essere programmate nel firmware della scheda di rete wireless, in modo da non sovraccaricare il processore principale per la cirttografia. Dopo la programmazione della scheda di rete, le successive autenticazioni IEEE 802.1x avvengono in maniera cifrata.

Prima dell’avvento di WPA, ogni autenticazione 802.1x avveniva in chiaro con l’effetto di essere soggetti ad attacchi di tipo EAPOL Logoff messages, con il risultato che il client veniva disconnesso dall’Access Point. Una volta che la scheda wireless ha le chiavi di crittografia inserite, tale tipologia di attacco non é più possibile.

Inoltre WPA definisce anche un frame di tipo EAPOL MIC error. Questo pacchetto permette al client di informare l’Access Point quando é soggetto ad un attacco.

Questo pacchetto é inviato all’AP quando il client ha un errore durante la comparazione del MIC nei dati in transito. Quando il client riceve frequentemente pacchetti con errori, allora desume di essere sotto attacco e apposite contromisure vengono prese dall’Access Point, ad esempio attraverso la notifica ad un amministratore.

Precedentemente si é accennato che il metodo di cifratura preferito da WPA é TKIP. Il Temporary Key Integrity Protocol usa l’algoritmo RC4, lo stesso usato da WEP, ma ne aggiunge tecniche di protezione per evitare i problemi derivati da WEP. Ad esempio, viene aggiunto una funzione di cambio di chiavi ad ogni pacchetto, un vettore di inizializzazione (IV) più lungo e un Message Integrità Code (MIC). La funzione di cambio di chiavi per ogni pacchetto (detta originariamente key mixing) viene usata nel TKIP per evitare gli attacchi su chiavi deboli. Durante la generazione del testo cifrato, la chiave di crittografia non é mai usata direttamente nella funzione RC4, ma viene usata una chiave temporanea per ogni pacchetto spedito. Per ovviare invece all’osservazione dei pacchetti con IV identico, TKIP aumenta la grandezza di IV da 24 a 48 bit. La funzione di hash usata per verificare l’integrità dei dati é detta Message Integrity Code (MIC o per gli addetti Michael), e la sua funzione é quella di verificare che i pacchetti non siano stati modificati da un client non autorizzato che finge di essere il legittimo client.

Oltre al TKIP, WPA supporta anche l’AES come metodo di cifratura, anche se inizialmente non é obbligatorio per la certificazione del consorzio Wi-Fi Alliance.
Anche se AES é nettamente migliore rispetto a TKIP, esso necessita di nuovo hardware che lo supporti. TKIP invece é un buon compromesso che permette di avere una maggiore sicurezza rispetto a WEP, mentre i prodotti che supportano AES verranno immessi sul mercato e adottati dagli utenti.

I rischi descritti precedentemente possono rendere vulnerabile la propria rete ad attacchi. Possiamo evidenziare tre macro tipologie di attacchi: all'apparato radio, alla rete aziendale o interna e al client wireless.

Attacchi agli apparati radio.
Le insicurezze del WEP permettono agli intrusi di eludere la crittografia dei dati trasmessi, così da poter analizzare il traffico wireless e da poter ricavare il contenuto dei dati trasmessi (es: login e password) per futuri attacchi. Inoltre, si possono eseguire attacchi più specifici, come la modifica dei dati in transito, il “replay” di sessioni eseguite dai client e il disturbo del segnale radio (Radio Jamming). Un altro tipo di attacco è l'inserimento di un finto Access Point. Per dirottare la connessione dei dispositivi wireless verso la rete pirata, gli hacker installano un punto di accesso con un segnale più potente nelle loro vicinanze. Gli utenti tenteranno di collegarsi ai falsi server, fornendo nome utente e password e qualsiasi altra informazione riservata.

Attacchi alla rete aziendale o interna.
Il WEP è l'unico protocollo nello standard IEEE 802.11 per autenticare gli utenti, pertanto un aggressore può facilmente entrare nella rete aziendale senza dover preoccuparsi di autenticarsi alla rete. Inoltre, non esiste nessun controllo di accesso verso le risorse della rete interna: un intruso puo' effettuare qualsiasi operazione sulla rete senza nessuna limitazione.

Attacchi ai client wireless.
Molte architetture prevedono che i client wireless vengano visti come risorse interne, anzichè risorse esterne (o untrusted).
Eventuali aggressori possono compromettere i client wireless per ottenere preziose informazioni o per usarli come “ponte” per penetrare nella rete aziendale.

Una corretta configurazione degli apparati è un buon inizio per proteggere la rete wireless. Grazie ad alcuni accorgimenti, è possibile “sviare” un eventuale intruso nascondendo dettagli preziosi e rendendo più difficile l'identificazione della rete su cui si sta collegando.