Newsgroup: it.comp.reti.wireless
Titolo: Sicurezza rete wireless

Salve
In azienda hanno in mente di installare 3-4 access point, utilizzati
soprattutto per la navigazione e lettura posta elettronica.
Attualmente ho installato un paio di AP di test, come protezione ho
utilizzato:
1) no ssid broadcast
2) WPA PSK (password cambiata settimanalmente)
3) mac filtering
Attualmente la rete wifi viene utilizzata da 2 portatili aziendali da
utenti conosciuti e quindi facilmente gestibili.
Il problema si porrebbe con la nuova rete che verr� utilizzata anche
da personale NON della ditta, gente in visita che dovr� accedere ad
internet.
Come gestire la sicurezza ?
La mia idea era quella di mantenere il SSID nascosto, comunicarlo
ovviamente ai visitatori che, al primo accesso alla rete si
troverebbero davanti una maschera di log in.
Niente pi� mac filtering e niente WPA, per il filtraggio dei siti mi
appoggio ad un firewall gi� presente che richiede gi� login e
password.
Come tiro su la cosa ? Ho sentito vagamente parlare di server RADIUS
ma non ho approfondito. Sarebbero la soluzione ?
-- 
=================================
PSN: DZAUKER
LIVE: D0N ZAUKER
WII: 4682 3687 9632 7866
=================================

 ma non ho approfondito. Sarebbero la soluzione ?
Credo di si, dovresti attivare un server radius (che sarà usato dagli
AP) dove creare le credenziali di accesso, in questo modo ad ogni
accesso se il client viene settato con il ssid corretto, protezione
corretta in modalità peap si visualizza una schermata di login dove
l'utente può inserire nuome utente e password, da quello che ho letto
l'AP inoltra le credenziali al radius che se lo riconosce permette
l'accesso in rete lan come funzione base o caricare l'utente in una
determinata vlan (radius vlan), in alternativa pui far accedere ad una
determinta vlan a seconda del ssid di connessione (ssid vlan).
Mi sto documentando in questi giorni, ho dato un occhiata a questo
manuale che risulta molto dettagliato:
ftp://ftp2.zyxel.com/NWA-3100/user_guide/NWA-3100_3.60.pdf
Ho scaricato winradius come server radius.
Ciao

 password.
La funzionalit� del firewall di cui parli � "captive portal".
Se gestisci adeguatamente il collegamento tra AP e FW,
senza consentire accessi alla LAN sei a posto.
La soluzione pi� professionale ed elegante, secondo me,
prevede un server RADIUS e certificati installati su
chiavette usb da consegnare ai visitatori autorizzati.
Se un visitatore dimentica di riconsegnare la chiavetta usb,
basta annullare la validit� del certificato fino al suo eventuale
rientro.
Se sei del mestiere non avrai difficolt� a reperire informazioni
sul servizio RADIUS all'indirizzo: 
www.zeroshell.net
Sarebbe da verificare che la modalit� di accesso con
certificato non risulti di imbarazzante difficolt� per i
visitatori. Sotto questo punto di vista la scelta del captive
portal � preferibile.
P.S. nascondere l'SSID crea pi� difficolta agli autorizzati
che non ai "ficcanaso" ;)
Wishes,
   Nuke. 

 3) mac filtering
visto che sei "in azienda", perch� usare PSK ?
Ad ogni modo, assicurati di NON usare TKIP ma AES
e, se proprio devi usare PSK assicurati di utilizzare
delle chiavi totalmente random con una lunghezza
superiore ai 20 caratteri; nel caso ti serva qualcosa
per generare le passwords, potresti usare questo
https://www.grc.com/passwords.htm
per ulteriori info, leggiti *attentamente* questo
http://en.wikipedia.org/wiki/Wi-Fi_Protected_Access
ciao

 superiore ai 20 caratteri
Quando la password � condivisa tra decine di utenti
il fattore "senso di responsabilit�" cessa di esistere
e la password verr� comunicata anche a chi non
abilitato e/o previsto.
La contromisura, in questo caso, consiste nel cambiare
quotidianamente la password, in maniera da limitare
eventuali accessi imprevisti.
Nella modalit� RADIUS (o enterprise) ogni utente
ha la sua propria password e ne � responsabile. 

 ha la sua propria password e ne � responsabile.
esatto; e non solo, in una infrastuttura di tale tipo si potrebbero
anche adottare alcune ulteriori misure di sicurezza .. che so,
l'uso di smartcards e/o dispositivi biometrici ecc... la cosa
potrebbe tranquillamente essere implementata in un secondo
momento... a patto che l'infrastuttura sia stata gi� progettata
in modo da essere espandibile e potersi evolvere, cosa che,
con PSK, � impossibile

> Ad ogni modo, assicurati di NON usare TKIP ma AES
oddio... forse neanche AES ...
http://www.schneier.com/blog/archives/2009/07/another_new_aes.html
mettiamola cos�; in ambito *aziendale* (dato che in ambito
domestico non � proponibile) sarebbe MEGLIO adottare
IPSec su wireless, a questo punto per accedere alla rete
wifi i clients dovranno avere un certificato; in pratica avrai
un minimo di protezione (es. usando WPA) per l'accesso
al servizio WiFi e poi un secondo livello che utilizzer� un
sistema di crittografia *forte* come IPSec per l'accesso
vero e proprio alla rete
mi rendo conto che la cosa potrebbe sembrare eccessiva
ma, considerando che la crittografia usata per il WiFi � a
dir poco "un cerottino", direi che se veramente vuoi mettere
al sicuro un'infrastuttura di rete aziendale, � meglio pensare
all'uso di metodi come quello descritto sopra
ciao