Newsgroup: it.comp.reti.wireless
Titolo: Sicurezza maggiore WPA-PSK

Nel router wi-fi in mio possesso, ci sono varie possibilità di 
cifratura wi-fi. Premesso che la periferica wi-fi che si aggancia al 
router debba essere compatibile con la cifratura selezionata, mi dite 
ad oggi quale può considerarsi inviolata?
L'elenco:
1) WPA-PSK
2) WPA2-PSK (Wi-fi protected access 2 with pre-shared key)
3) WPA-PSK+WPA2+PSK
4) WPA-802.1x
5) WPA2-802.1x
6) WPA-802.1x+WPA2-802.1x
Il terzo e il sesto sono soltanto compresi due protocolli, 
probabilmente per permettere di utilizzare quello più sicuro se 
supportato dalla periferica.
In rete si trovano, volendo, programmini che servono proprio per 
cifrare i codici e sfruttare le connessioni ADSL altrui. Quale 
attualmente offre maggiori possibilità di protezione?
a presto :-)


Tra WPA e WPA2 la migliore è WPA2, poi sia su WPA che su WPA2 puoi
modificare su alcuni apparati la crittografia che può essere impostata
sulla tipica TKIP o la meno diffusa ma più sicura da quello che ho
letto AES, AES non è supportata da tutte le scheda wireless WPA2 o
WPA.
Quelle con 802.1x le puoi usare solo in accoppiata con un server
radius quindi non credo che ti vadano bene
Io ti consiglio di usare la 3) WPA-PSK+WPA2+PSK, con questa se la
scheda del client supporta WPA2 il router userà quella altrimenti
permetterà anche l'accesso ad apparati con schede più datate che
possono usare solo WPA.
Anche se imposti questa config. ma non usi nessun client WPA non
aumenti il rischio inquanto non essendoci traffico evventuali
malintenzionati non possono catturare i pacchetti (vettori) necessari
per crackare la rete.
Per aumentare la sicurezza puoi disabilitare il SSID broadcast (cioè
non trasmetti il nome della rete e lo devi digitare manualmente quando
associ un novo client) e abilitare il controllo di accesso per mac
address.
Ciao

Scriveva Camaleonte giovedì, 05/03/2009:

aggiungo che nelle proprietà della scheda wi-fi atheros, ci sono altre 
due voci che non capisco a cosa si riferiscono, una è WPA2-Personal
e l'alra WPA2-Enterprise

 6) WPA-802.1x+WPA2-802.1x
WPA2 è più sicuro di WPA e 802.1x meglio di PSK.
L'inviolabilità di tutti dipende fortemente dalla scelta
e gestione dei codici di accesso.
Con una buona password sarei ben sicuro anche con WPA-PSK.
:O)
   Nuke. 

 Ciao
a presto :-)

Scriveva NukeDuke giovedì, 05/03/2009:

ottimo, ma che intendi come puona password? nel post precedente facevo 
notare che i programmini che vedono i dati trasmessi dal wi-fi, la 
passord la vedono in chiaro, quindi a cosa mi serve mettere una 
password del tipo a7w9c544b?

 del tipo a7w9c544b?
Aspetta, per quanto riguarda crittografia WEP qualsiasi sia la chiave 
anche del tipo "dasokjnswohew" data la vulnerabilità intrinseca del 
protocollo verrà prima o poi sbeccata dagli appositi tool.
Per quanto concerne il WPA/WPA2, se non erro, gli attacchi per ora noti 
riguardano le password dizionario per chi usa come chiave ad esempio 
"alberocasa" mentre usando una password di 63 caratteri composta da 
"eltlwkkw..." almeno per ora non dovrebbe essere possibile trovarla !
GbMax78

 GbMax78
grazie GbMax, quindi 63 caratteri che non siano parole di vocabolario, 
ssid invisibile, mac autorizzato e chiave WPA2-PSK mi sembra di aver 
capito che per il momento è il massimo che si può fare... :-)

 capito che per il momento è il massimo che si può fare... :-)
No,il massimo e' spegnere il wifi .

 capito che per il momento è il massimo che si può fare... :-)
63 mi sembrano un po' troppe ;O)
diciamo che una dozzina tra maiuscole, minuscole, cifre e caratteri
speciali possono essere più che sufficienti.
SSID invisibile (no broadcast) e filtri mac contribuiscono in misura
irrisoria alla sicurezza.
:O)
   Nuke.
 

 No,il massimo e' spegnere il wifi .
Retrogrado ;O) 

 e l'alra WPA2-Enterprise
WPA2 Personal fa uso di algoritmi di criptazione basati su:
AES
TKIP
WPA2 Enterprise è un protocollo che consente la connessione di un server 
RADIUS per la gestione dei codici di accesso:
Il server radius apre un canale protetto con l'AP utilizzando una
così detta "shared secret" e utilizza questo canale protetto per
la verifica delle credenziali di accesso.
Ogni utente che accede alla rete è dotato di credenziali personali
facilmente gestibili dai responsabili della sicurezza.
:O)
   Nuke. 

 capito che per il momento è il massimo che si può fare... :-)
Considera che:
l'attaccante non conosce il SSID perchè non viene trasmesso in chiaro
se hai disabilitato il broadcast.
non conosce e deve ricavare un mac address presente nel controllo di
accesso del router.
deve riuscire a ricavare l'hash (chiave pre condivisa ma criptata) e
per farlo non è proprio semplice
deve riuscire a convertire l'hash nella chiave in chiaro e già con
password oltre gli 8 caratteri i tempi si allungano in maniera
impressionante.
a quel punto può accedere ma tu te ne accorgi subito perchè si crea un
conflitto di mac address nella rete appena accede il vero pc
autorizzato e in pratica questo non può navigare.
Io credo che una rete così si può definire molto sicura, tutto si può
fare ma ne varrebbe la pena? è inlegale, fanno prima ad accedere alla
prima connessione wireless completamente aperta.
Già una WEP per configurazioni casalinghe se impostata con controllo
di accesso e ssid broadcast disabilitato per me è sufficentemente
protetta.
Poi come sempre la cosa importante è la gestione delle password,
lunghe più di 8 caratteri, complesse (lettere minusole e maiuscole,
numeri, simboli), e andrebbero cambiate ogni tanto.
Ciao

 numeri, simboli), e andrebbero cambiate ogni tanto.
ok, io la password l'ho generata con pasgen, 63 caratteri copiati in un file 
txt da copiare al momento della prima connessione, WPA2-PSK+WPA-PSK, controllo 
MAC, SSID invisibile. Vorrei dire che non è tanto per evitare che qualcuno 
navighi con la rete aziendale, ma la condivisione dei file in rete, non fatta 
con criteri che prevedevano questo tipo di situazione.
grazie a tutti e ciao, alla prossima :-)

 grazie a tutti e ciao, alla prossima :-)
In questo caso se hai problemi di sicurezza seri (dati sensibili,
ecc...) forse devi valutare la possibilità di isolare la wireless su
una vlan o una subnet isolata connessa direttamente al gateway
aziendale.
Se poi devi permettere anche l'accesso a qualche server della rete per
i client wireless lo devresti fare dal firewall aziendale.
Ciao

 grazie a tutti e ciao, alla prossima :-)
Come già ti hanno detto ad esempio usando firewall come ipcop la rete 
wi-fi ha un'altra classe di indirizzi ed è chiamata se non erro blu il 
tutto per aumentare la sicurezza...
Saluti !
GbMax78

 GbMax78
anche a te, pace e serenità :-)

 anche a te, pace e serenità :-)
Saluti !
GbMax78

 protetta.
ho una rete composta da due ap più bridge per portare internet da casa allo 
studio, wep + airsnare e dormo più che tranquillo

 studio, wep + airsnare e dormo più che tranquillo
airsnare che fa?


Infatti ma spesso mi prendono per pazzo quando lo scrivo.
Ciao

 qualche help da suggerirmi, qualcosa di semplice ok?
ipcop è semplice ma a me non piace perchè non fa da firewall appena
installato, tocca aggiunger pluin tipo blockouttraffic o una cosa del
genere,
oltre a ipcop c'è pfsense e altri ancora.
Io però farei con un apparato hardware così può rimanere acceso,
altrimenti per uso pro una appliance del genere la installerei su un
server e i più piccoli di HP costano come 10 router wireless che
potrebbero fare la stessa funzione.
Io metterei un router con wan ethernet con un minimo di firewall,
imposti il firewall per fare in modo che i client possano raggiungere
solo il gateway e stai tranquillo.
Ciao

 airsnare che fa?
ti segnala se qualche sconosciuto si attacca alla rete
ma io lo uso anche per vedere chi dei conosciuti si sta collegando 

Scriveva l'orsoYoghi sabato, 07/03/2009:

scusami orso, forse ne avevo già sentito parlare in qualche altro 
threads, ma non l'ho mai installato. Oltre a dirti chi si attacca 
abusivamente, ti dice anche l'ip e il mac registrando il log?
se fa questo forse mi converrebbe installarlo... :-)
by ;o)

 Ciao

 che intendi con un minimo di firewall, impostati dal setup del router?
per minimo di firewall intendo dire che ti permetta di creare regole
manuali sia in ingresso che in uscita per poter limitare l'accesso
alla rete locale, ad esempio se il router wireless assegna un ip
192.168.1.2 ad un client, il tuo gateway aziendale è 192.168.0.1 e tu
hai un server 192.168.0.5 che non deve essere raggiunto dai client
wireless devi creare una regola del tipo  source ip ALL port ALL to
destination ip 192.168.0.5 port ALL blocca, in questo modo nessun
client wireless potrà accedere a quel server ma magari potrà stampare
con la stampante di rete locale.
Ciao

 Ciao
a presto :-) buona notte

 a presto :-) buona notte
Ciao

 WAN internet).
un ripasso non fa male :-)
Ciao


esatto, ip e mac 

 esatto, ip e mac
sto scaricando la 1.5
dove mi converrebbe installarlo? su quale pc intendo, su quello dove 
solitamente ho accesso al router? li ho win2000. Chiedo anche se devo 
togliere il controllo mac al router, se lo fa AirSnare, altrimenti ho 
un doppio controllo. Oppure airSnare mi dice quali sono i mac 
sconosciuti, ma non li blocca?
ciao

Scriveva Camaleonte domenica, 08/03/2009:

scusami, ma forse mi ha già risposto Omero implicitamente ;-) se lui 
utilizza wep e AirSnare allora lascia tutto in mano sua :-)

 esatto, ip e mac
allora, faccio il riapilogo dei fallimenti serali :-)
ho installato sul mio notebook AirSnare 1.5 su vista home premium, ecco 
il messaggio quando avvio:
component "COMDLG32.OCX" or one its dependecies not correctly 
registered: a file is missing or invalid
Il pacchetto installa anche Ethereal, che funziona, ma chi ci capisce 
di quello che cattura. Sono le stringhe dei protocolli e forse anche 
del contenuto, ma per capire qualcosa ci vorrebbe un corso sui 
protocolli e sul software. Io mi accontenterei di AirSnare funzionante 
:-)
WinPcap da quello che ho capito è utilizzato da Ethereal e AirSnare per 
catturare i protocolli che passano attraverso windows.
Ma è compatibile con windows vista AirSnare?


Sinceramente non so quanto serva, se uno si collega per saltare il
controllo di accesso ha già clonato il mac address e quindi questo
viene rilevato come attendibile, se ai portatili non viene impostato
un ip statico anche questo venendo assegnato dal server dhcp del
router viene segnalato come attendibile.
Provo a scaricarli anche io non lo mai provato.
Ciao

Scriveva Omero lunedì, 09/03/2009:

dunque mi consigli di tenere ip statico sui pc wi-fi?
proprio stamattina avevo pensato di mettere gli indirizzi necessari ai 
pc wi-fi in dhcp in questo modo. Impostare la regola firewall di 
chiusura totale da esempio: 192.168.0.2 a 192.168.0.250 e lasciare in 
dhcp i soli 3 indirizzi in dhcp, cioè il 251 il 252, 253. Il 254 è il 
router wi-fi :-) il router di uscita WAN è 1 :-)
Però da quello che mi dici, mi conviene fare comunque la regola per il 
range indicato, ma lasciare impostati gli ip in modo statico.
Per AirSnare, se leggi il post precedente, su winVista non gira, provo 
stamane in ufficio su win2000.
ciao

 ciao
dimenticavo la domanda... perché ip statico è più sicuro? per il fatto 
che chi tenta di violare la rete non può sapere quale ip è libero? se 
ha un programmino che vede il transito tra me e il router, non vede 
anche il mio ip? quando io spengo il pc, tenta di entrare con quell'ip, 
e la sicurezza è comunque vanificata... :/

 Ma č compatibile con windows vista AirSnare?
con vista non lo so, w2000 ed xp sě, ma anche con loro ho avuto problemi che 
ho risolto installando una versione piů vecchia, mi pare la 1.2 

 router viene segnalato come attendibile.
airsnare serve solo per monitorare chi si collega, poi sta a te.
la mia rete wifi ha la wep attiva e niente altro, quindi nel lmomento in cui 
tu ti agganci (penso anche solo per sniffare i pacchetti) doresti essere 
rilevato e segnalato, se poi a quel mac viene assegnato un ip vuol dire che 
è entrato.
ammettiamo che non mi accorga che sei entrato, ora puoi anche clonare un mac 
ed ip di un pc autorizzato, ma ti colleghi quando quel pc è spento, ma se io 
so che quel pc è spento capisco comunque che sei un intruso

 ciao
Non stare ad impazire, configura tutto bene e stai tranquillo, se sei
WPA puoi lasciarlo sempre acceso, verifica ogni tanto i log della
regola che blocca tutto e magari imposta una regola anche con gli
orari di connessione così di notte non può passare niente e del router
wifi te ne puoi quasi dimenticare.
Ciao

 ho risolto installando una versione più vecchia, mi pare la 1.2
la 1.2 mi sembra ci siano più versioni, tu forse l'hai disistallata... 
proverò, grazie. Anche se stamattina, non sono riuscito più a 
connettermi in wi-fi, non vorrei che la installazione di AirSnare ha 
combinatto qualcosa :/

 wifi te ne puoi quasi dimenticare.
anche la regola dell'orario devo tenerla presente, thanks :-)

 so che quel pc è spento capisco comunque che sei un intruso
e come faccio con 150 pc? di solito ne sono spenti una cinquantina, non 
posso fare questo tipo di controllo :-)

 posso fare questo tipo di controllo :-)
il thread era iniziato per una rete casalinga o poco più, con 150 pc il 
discorso cambia, io lascerei la rete aperta, niente protezione, ma con un 
bel server radius a atenticare ogni singolo accesso 

Scriveva l'orsoYoghi lunedì, 09/03/2009:

150 pc in lan non wi-fi :-)

 anche la regola dell'orario devo tenerla presente, thanks :-)
Mi sa che abbiamo fatto un po di confusione, dg834 come router per
andare in interent o lo usi compe AP? (Sempre che sia un g altrimenti
lo usi per internet)
Se lo usi come AP tutta la parte del firewall non la puoi più usare,
se lo usi come router per internet con un AP connesso le regole del
firewall non intercettano il traffico tra lan e lan e quindi non puoi
usarle per impedire l'accesso ai server della lan.
Airsnare non può aver fatto pasticci con il dhcp perchè non
interagisce con la rete fa solo monitoraggio. Attento a non abilitare
più di un dhcp nella rete senza averli configurati correttamente.
Ciao

 Ciao
sto scaricando una versione che sia compatibile con vista, ma dimmi un 
po', perché hanno messo nel pacchetto anche Ethereal e winipcop?

 perché hanno messo nel pacchetto anche Ethereal e winipcop?
If AirSnare detects an unfriendly MAC address you have the option of 
tracking the MAC address's access to IP addresses and ports or by 
launching Ethereal upon a detection.
che significa? posso tracciare che cosa? tu lo usi?