WPA2-Enterpriseについて

WPA2-Enterpriseについて 第 5 回 共 通 分 科 会 ( 実 態 把 握 情 報 共 有 分 科 会 ) 第 8 回 サイバー 攻 撃 対 策 分 科 会 合 同 分 科 会 2016/03/01 Ishimoto Katsuichi ishimoto@ginzado.co.jp

本 日 は WPA2-Enterpriseに 特 化 して 規 格 や 基 準 についての 確 認 認 証 の 流 れの 簡 単 な 確 認 検 証 方 法 製 品 選 定 の 範 囲 等 のご 紹 介 ができればと 思 っております

について 三 条 市 に 本 社 を 置 くインターネットサービスプロバイダ インターネット 接 続 サービス(フレッツ Ginzado 光 ) サーバホスティング( 共 用 サーバ 仮 想 サーバ) システム 開 発 クラウド 管 理 型 iphoneアプリ クラウド 型 従 事 者 業 務 評 価 支 援 システム 販 売 価 格 追 尾 システム 要 介 護 者 アクティブロガー 会 員 ポイントカード 連 動 POSレジ メール 警 報 通 知 グラフレポート 発 行 機 能 付 き 温 湿 度 監 視 システム ソフトウェアルータへのコマンド 機 能 追 加 実 装 (p2pフィルタ routeサーバ 機 能 ASAMAP) 大 手 キャリア 大 学 等 の 研 究 検 証 開 発 の 受 託 ハードディスクデータリカバリ (BIOS 不 認 識 モータ 不 良 に 対 応 します) 等 役 員 3 名 従 業 員 4 名

セキュリティ 基 準 について IEEE 802.11 規 格 のセキュリティ 部 分 WEP (Wired Equivalent Privacy) 暗 号 化 アルゴリズム RC4 WPA (Wi-Fi Protected Access) 暗 号 化 アルゴリズム RC4(TKIP) 暗 号 化 アルゴリズム AES(CCMP) (WEPの 見 直 し 版 TKIP を 採 用 過 渡 期 の 基 準 ) WPA2 (Wi-Fi Protected Access 2) 暗 号 化 アルゴリズム AES(CCMP) 暗 号 化 アルゴリズム RC4(TKIP) (WPAの 見 直 し 版 AESを 採 用 ) TKIP : Temporal Key Integrity Protocol ( 暗 号 化 アルゴリズム RC4) AES : Adanced Encryption Standard ( 暗 号 化 アルゴリズムCCMP) CCMP : Counter mode with Cipher-block chaining Message authentication code Protocol ( 一 番 強 い 暗 号 化 )

WEPはなぜ 問 題 なのか? WEPキー ( 共 通 鍵 )が 小 さい (40bit or 104bit) 両 端 の 共 有 鍵 が 不 変 WEPキーに 付 加 される24bitの 乱 数 IV(Initialization Vector)が パケットヘッダ 内 に 平 文 で 流 れる 数 時 間 で 乱 数 は 一 巡 する ことで 解 析 ヒントとなる WEPにとって 実 際 に 暗 号 化 を 行 うRC4アルゴリズムには 問 題 は ないが 現 在 では 脆 弱 性 が 見 つかっている

認 証 方 式 WPA/WPA2 PSK (Pre Shared Key 共 有 鍵 ) WPA/WPA2 Enterprise 802.1x EAP (Extensible Authentication Protocol) 拡 張 認 証 EAP-TLS (Transport Layer Security) 認 証 サーバに 証 明 書 無 線 端 末 にクライアント 証 明 書 が 必 要 EAP-TTLS (Tunneled Transport Layer Security) 認 証 サーバに 証 明 書 無 線 端 末 にIDとPWが 必 要 Windows8 以 降 で 利 用 可 能 EAP-PEAP (Protected Extensible Authentication) 認 証 サーバに 証 明 書 無 線 端 末 にIDとPWが 必 要 主 にCisco Microsoft RSASecurityで 策 定 認 証 サーバとの 認 証 プロトコル : PAP CHAP MSCHAPv2

WPA2 Enterpriseの 認 証 の 流 れ (EAP-PEAP MSCHAPv2の 場 合 ) 端 末 (サプリカント) アクセスポイント (オーセンティケータ) RADIUSサーバ ( 認 証 サーバ) 1EAPoL(EAP over LAN) 認 証 要 求 2EAP 認 証 要 求 (RADIUS) 3EAP-PEAPによる 認 証 を 要 求 4EAP-PEAPによる 認 証 を 受 諾 し SSL 通 信 を 要 求 5SSL 通 信 用 の サーバ 証 明 書 を 送 信 6SSLトンネル 内 で MSCHAPでの 認 証 8EAPoL(EAP over LAN) 認 証 返 答 7EAP 認 証 許 可 (RADIUS) 9AES 暗 号 化 通 信 開 始

WPA2 Enterpriseの 利 点 と 欠 点 利 点 アカウントとして1 人 ずつ あるいは1 台 ずつに 発 行 可 能 誰 が 接 続 したかのログ 管 理 が 可 能 認 証 側 の 証 明 書 を 端 末 に 通 知 する 事 によってアクセスポイントの なりすましを 防 止 できる 共 有 キーは 漏 れてしまうと だれでもつながってしまうので 不 正 接 続 の 防 止 対 策 になる アカウント 発 行 システムと 認 証 サーバを 連 携 することによって 公 衆 無 線 LANサービスなどの 基 盤 を 構 築 する 事 ができる 欠 点 管 理 コストがかかる ( 認 証 サーバの 準 備 対 応 機 器 の 価 格 運 用 )

検 証 環 境 認 証 サーバ MacBookPRO 上 のVirtualBoxで daloradius を 動 作 オーセンティケータ WPA2 Enterpriseの 機 能 を 実 装 しているアクセスポイント ASUS 社 RT-AC1200HP サプリカント Windows10 端 末 iphone (IOS9.2.1)

検 証 環 境 端 末 (サプリカント) Windows10 iphone6 アクセスポイント (オーセンティケータ) RADIUSサーバ ( 認 証 サーバ) daloradius 192.168.1.1/24 192.168.1.100/24 radiussecret : radiustest 無 線 設 定 SSID: test1 WPA2-Enterprise RADIUSサーバ: 192.168.1.100 RADIUSポート :1812 radiussecret : radiustest アカウント 作 成 ID:test01 PW:test01 ID:test02 PW:test02

認 証 サーバ (RADIUSサーバ) daloradius ( http://www.daloradius.com/ ) 難 しいインストール 作 業 を 必 要 としない VMイメージを 提 供 している そのままでは802.1xでの 認 証 ができないため 以 下 を 参 照 して EAP-PEAPに 対 応 ( Steven England's Weblog ) http://steven-england.info/2014/11/06/providing-802-1x-authentication-freeradius-peapv0eap-mschapv2-support-raspberry-pi/ Oracle VirtualBoxにて 検 証 Web Basic admin:admin Web I/F administrator:radius Console root:daloradius

認 証 サーバ 側 の 基 本 設 定 NAS(NetworkAccessServerの 意 味?)の 登 録 オーセンティケータ(アクセスポイント)の IPアドレス ( 192.168.1.1) radius secret (radiustest) ユーザアカウントの 作 成 ID : test01 ID : test02 PW : test01 PW : test02 割 愛 部 分 として SSL 証 明 書 のインストール /etc/freeradius/sites-enabled/inner-tunnel の 編 集 /etc/freeradius/eap.conf の 編 集 /etc/freeradius/modules/mschap の 編 集 等 が 必 要 です

認 証 サーバ 側 の 基 本 設 定

オーセンティケータ 側 の 基 本 設 定 LAN I/F の 設 定 IPアドレス (192.168.1.1) 無 線 セキュリティの 設 定 認 証 方 式 (WPA2-Enterprise) 暗 号 化 (AES) RADIUSサーバ (192.168.1.100) RADIUSサーバポート (1812) RADIUS Secret (radiustest)

オーセンティケータ 側 の 基 本 設 定

iphoneでの 接 続 状 況 daloradiusのインストールそのままのオレオレssl 証 明 書 を 使 っているため 信 頼 されずに 警 告 が 出 る パスフレーズだけでなく ユーザ 名 とパスワードを 聞 いてくる

Windows10での 接 続 状 況 接 続 を 続 けますか?の 旨 の 警 告 が 出 る

WPA2 Enterpriseに 対 応 したアクセスポイント 民 生 品 まわりでは 最 近 は 速 度 重 視 や 利 便 機 能 (フィルタリングやウイルスゲート)に 特 化 したものが 多 く WPA/WPA2 Enterpriseに 対 応 したものは 少 ない ( 数 年 前 は 結 構 ありました) 概 ねどこのメーカーも 法 人 向 け とうたっているものが 該 当 し 30,000 円 以 上 の 価 格 帯 となる 20,000 円 を 切 る 低 価 格 帯 ではNETGEAR 社 最 安 価 ではASUS 社 で6,000 円 以 下 (2016/02 銀 座 堂 調 べ) 大 規 模 導 入 や 低 予 算 を 強 いる 場 合 は RaspberryPi + USB 無 線 ユニット 等 で 自 作 もありますが 長 期 の 安 定 稼 働 には 相 当 の ノウハウが 必 要 です

RADIUSサーバ アプライアンス 製 品 大 手 メーカ 各 社 よりラインナップあり 利 用 アカウント 数 によりライセンス 料 金 が 変 化 するものが 多 い 数 百 万 円 ~ 数 万 円 WindowsServer2008 以 降 サーバ 機 能 の ネットワークポリシーサーバー(NPS) を 利 用 することにより RADIUSサーバとして 利 用 可 能 既 存 のWindowsServer 環 境 を 活 用 できる 場 合 あり アカウントをActiveDirectoryと 連 動 させる 場 合 には 便 利 各 種 NAS 製 品 QNAP 社 やSynology 社 のNAS(ネットワークアタッチドストレージ)の 一 機 能 として 実 装 されているので 安 価 に 構 築 可 能 簡 易 RADIUSサーバ 機 能 YAMAHA 社 のアクセスポイント WLX302 に 実 装 されているため 小 規 模 であれば RADIUSサーバを 別 途 準 備 する 必 要 がない FreeRADIUSやOpenSSLの 利 用 各 種 UNIXライクOS 上 にインストールし 構 築 できる ソフトウェア 部 分 の 費 用 発 生 がない