Newsgroup: it.comp.reti.wireless
Titolo: Hot-spot e sicurezza...

Salve,
mi capita spesso per lavoro, girando per alberghi qua e là nel centro 
Italia, di collegarmi ai vari hotspot forniti dalle strutture ricettive 
e mi è sempre sorto il dubbio della effettiva sicurezza di tali 
connessioni...
Ultimamente la moda è quella di avere una serie di ap singoli o in wds 
con accesso libero per poi, una volta connessi, esssere  ovviamente 
reindirizzati dal captive portal tramite browser ad una schermata di login.
In questa fase in teoria essendo l'ap libero chiunque vi si connetta pur 
non eseguendo il login potrebbe intercettare il traffico dei vari 
accessi quindi le username e le password giusto ?
Sempre in teoria non si dovrebbe far partire la crittografia già a 
livello di AP tipo con un server radius che crea ad esempio direttamente 
password wpa per poi, una volta connessi, esser magari reindirizzati ad 
  un captive portal con username e password ?
Saluti !
GbMax78

 quindi le username e le password giusto ?
Per risolvere questo problema il re indirizzamento verso
il captive portal avviene generalmente su protocollo
https (sicuro/criptato).
Per instaurare correttamente e senza ulteriori interventi
il collegamento https è però necessario disporre di un
certificato rilasciato da un ente emittente riconosciuto.
Tra i più comuni: VeriSign.
:O)
   Nuke.
 

NukeDuke wrote:

Si, ok.
Ma per aggirare questi sistemi non c'e' nessun modo?
Visto che sei gia' collegato alla rete, solo che non puoi navigare, secondo me e' piu' facile scavalcare l'ostacolo. Sono che non ci capisco molto.
A me sembrano dei semplici proxy server. 
Quindi magari se inserisco l'ip invece della pagina web, dovrebbe funzionare?
Oppure se sniffo le varie connessioni e poi mi setto come mac address di un altro PC per collegarmi dovrebbe scavalcare il login?
Dopo il primo login su che base non me lo chiede piu'?
In base al mac address o in base a un cockies che salva sul mio PC?
Se fosse un cockies i programmi di posta elettronica non dovrebbero funzionare.
Che ne pensate?

 Che ne pensate?
Che l'interesse che manifesti è positivo, ma certi argomenti
sono precisamente regolati dalla legge.
Approfondisci e studia tecniche e modalità, ma fallo in ambienti
di tua competenza o con il consenso del proprietario.
:O)
   Nuke. 

   Nuke.
Saluti !
GbMax78

 collegamento sicuro !
Non è necessario: VeriSign, al pari di molti altri enti di emissione
di certificati, è precaricato già a livello di sistema operativo.
Quindi qualsiasi utente che utilizzi SO che lo prevedono
riconosceranno automaticamente il certificato considerandolo
attendibile.
La procedura a cui ti riferisci tu è dedicata ad altri ambiti:
Per rendere attendibile un certificato autoprodotto o
per autenticare automaticamente gli utenti senza far uso
del captive portal.
:O)
   Nuke. 

 di certificati, è precaricato già a livello di sistema operativo.
Ah... non ne ero al corrente, quindi come si potrebbe rendere sicuro un 
accesso da un ap sfruttando VeriSign ? In parole povere cosa dovrebbe 
girare lato server che gestisce l'ap ?
Personalmente conosco "solo" la logica del server radius che genera 
direttamente delle chiavi WPA tali da garantire un ottimo livello di 
sicurezza nell'aggancio dell'AP, successivamente si potrebbe 
reindirizzare l'utente ad un captive portal ed un proxy per "registrare" 
il traffico creato dall'utente...
Saluti !
GbMax78

 creato dall'utente...
Tipicamente, gli accessi protetti con livello enterprise che utilizzano
il servizio RADIUS, consentono l'autenticazione e l'identificazione
del singolo utente rendendo superfluo, se non per specifiche esigenze,
l'utilizzo del captive portal.
Scusa se mi sono dilungato un po' o se sono stato prolisso.
:O)
   Nuke. 

 Scusa se mi sono dilungato un po' o se sono stato prolisso.
No anzi l'argomento mi interessava ! :)
Saluti !
GbMax78

 accessi, tanto vale quindi che usi un server RADIUS !
Per la gestione di un hot-spot è previsto per legge
l'utilizzo di un DB contenente l'anagrafica degli
utenti. A partire da quello l'implementazione del
server radius è ben poca cosa.
I server radius non sono, invece, quasi mai utilizzati
il ambito hot-spot, perchè richiedono un livello
di configurazione al livello client (utente) poco
user friendly.
Per questa ragione, nonostante i vantaggi della
protezione enterprise, si preferisce ricorrere alla
tecnica del captive portal che rende possibile,
tra l'altro, offrire una serie di pagine web,
accessibili da chinque, sulle quali descrivere
la tipologia del servizio o proporre messaggi
di tipo pubblicitario.
L'insieme dei servizi offerti anche senza alcuna
sottoscrizione prende il nome di walled garden
(giardino protetto).
:O)
   Nuke. 

 di tipo pubblicitario.
Ok ma allora la maggior parte degli accessi legati agli hot-spot non ha 
il massimo della sicurezza attualmente disponibile perchï¿œ a parte 
l'iniziale login in https tutto il traffico passa in chiaro da e verso 
l'ap !
A mio avviso sarebbe piu' serio un server radius ed a quel punto nemmeno 
sarebbe necessario un captive portal, pubblicitï¿œ interna a parte !
Saluti !
GbMax78

 sarebbe necessario un captive portal, pubblicitï¿œ interna a parte !
Le opinioni hanno tutte la loro dignitï¿œ.
:O)
   Nuke.