Newsgroup: it.comp.reti.locali
Titolo: wireless lan e sicurezza

Scenario:
piccola azienda con Access point aziendale con (in)sicurezza WEP.
Due-tre pc portatili, con windows XP,  usati solo all'interno dei
locali, si collegano all'AP con la rete wireless di windows.
Uno degli utenti ha ammesso candidamente
di aver usato un non meglio identificato programma (forse
scaricato da chissa' dove) ed aver recuperato la chiave di accesso
 alla rete wireless per collegare il suo telefonino ad internet
tramite il router aziendale.
Problema:
Rimanendo coi piedi per terra, incrementare la sicurezza della rete wireless
 per evitare altri accessi non desiderati.
Penso che come minimo bisogna disattivare il server DHCP
e portare  la sicurezza dell'AP  a WPA o WPA2.
Da cio'....  le seguenti domande al  NG:
1) Sostituendo window XP con windows 7,
migliora la sicurezza ovvero la possibilità che
sia ricavata la chiave?
2) Oppure e' meglio utilizzare un client sofware che
sappia nascondere questi dati riservati?
Ad esempio, il cliente  software per VPN della Thegreenbow
(usato solo per le connessioni da remoto)  credo
nasconda abbastanza bene i dati di configurazione.
3) meglio un certificato o una chiave di adeguata lunghezza? (64bit?)
4) il filtro MAC e' utile in questi casi?
3) Vs  suggerimenti?
Thanks in advance
fm 

 Ad esempio, il cliente  software per VPN della Thegreenbow
E perdere in prestazioni installando un s/w aggiuntivo quando
ti basterebbe usare WPA2 ? Certo, tutto dipende da quello che
vuoi/devi proteggere e, certo, il DoD richiede l'uso di IPSec
sulle connessioni Wireless... ma per una normale azienda l'uso
di WPA2, ben configurato dovrebbe essere sufficiente (almeno
ad oggi)

> NO, l'OS non c'entra un tubo, � proprio WEB ad essere insicuro
WEP ... scusa

 3) Vs  suggerimenti?
wpa2 e password non banale
filtro MAC
Se possibile disattivare l'interfaccia amministrativa da wireless (e 
buona password di accesso, anche da cavo)
niente dhcp
Adriano
p.s. ma e' cosi' impossibile cablare 2 o 3 pc e spegnere la parte 
wireless?


Grazie per la risposta.
Scusa se approfitto della tua  disponibilità  ma vorrei capire bene.
Se implemetassi la sicurezza con WPA2...
Esiste ancora la possibilità
 che l'utente smanettone,
 a cui e' stato assegnato  il pc,
con tutto il tempo che vuole a sua disposizione,
con qualche software,
"razzolando" nel  windows xp ...
riesca a trovare ancora una volta la password?
Se si,  sarei al punto di partenza.
ciao
fm


il router e l'access point sono protetti da password non nota agli utenti.
Quindi gli utenti non possono modificare le configurazione.
Il punto debole mi e' sembrato il Windows Xp....dove
l'utente interno dell'azienda ha installato qualcosa che gli ha
permesso di leggere la chiave WEP
I  pc si collegano appunto con il software di  rete di windows
 e non con altri software.
ciao
fm 

  e non con altri software.
onestamente non saprei dirti come sia memorizzata la password.
A questo punto il filtro sul mac address diventa una buona soluzione.
Nulla che non sia esplicitamente dichiarato nella configurazione verra' 
accettato. Come ulteriore misura di sicurezza, cambierei il nome della 
rete e non farei trasmettere il ssid.
Adriano

"adriano" <invalid@invalid> ha scritto nel messaggio 
news:mn.14cb7db2ad6aa32c.90087@invalid...

In quella lan c'e' un router firewall ma e' solo perimetrale, posso 
escludere
da intenet gli IP diversi da quelli assegnati ai pc della rete.
Lo switch centrale e' unmanaged, se fosse managed potrei escludere gli ip
e mac address non desiderati dallo switch centrale...?
ciao
fm

 da intenet gli IP diversi da quelli assegnati ai pc della rete.
ma in fondo un filtro sul mac address e' una sorta di firewall.
Se poi nascondi il ssid, rendi ancora piu' diffile giocherellare, 
specie se agisci anche sui pc a livello di policy e previeni la 
curiosita' di certi utenti.
Adriano

"adriano" <invalid@invalid> ha scritto nel messaggio 
news:mn.14f77db2695b7788.90087@invalid...

eh...ma quest'utente e' uno stronzetto, oltre che un "copertone"...
l'utente normale non va a cercare password che non gli interessano,
gli basta di poter navigare su internette in cerca di chissa' che...
(che poi son le solite cose: porno, musica,  calcio,  gossip...)
Sappiamo  bene che dai "nemici" interni non c'e' scampo...
pero'  il wep vorrei eliminarlo comunque.
Grazie
ciao
fm

> ma in fondo un filtro sul mac address e' una sorta di firewall.
OMMADONNA

 pero'  il wep vorrei eliminarlo comunque.
tutto come ti hanno giï¿œ consigliato e sei abbastanza tranquillo, se vuoi 
aggiungere qualcosa indaga su radius e/o soluzioni del tipo IPCop et 
similia.

 Thanks in advance
prego.

 OMMADONNA
me lo sentivo che sarebbe apparso il professorino di turno.
Su', un po' di elasticita' mentale: ho anche scritto "una sorta di 
firewall" nel senso che puoi creare una regola che escluda un 
indirizzo.
Dato il tenore della discussione non credevo di dover scrivere un 
trattato di informatica
Adriano

 riesca a trovare ancora una volta la password?
quale password, scusa :) ?
Ti servir� una CA, utilizzerai quest'ultima per generare
delle coppie di certificati che verranno poi utilizzati per
i clients; ciascun client avr� il proprio certificato e tali
certificati potranno essere  revocati se necessario
Ovvio che l'utente potr� "ritrovare" il certificato ma
non credo che questo sia un problema :)


non è una questione di pignoleria, è un concetto proprio incredibile da 
leggere.

 Adriano
Adriano, non per tener su la scorta a nessuno eh, ma quello che hai
scritto non sta in piedi, comunque tu la giri.....
Una black o una White List non hanno niente a che vedere con un Firewall
se non per il fatto che in un firewall spesso si possono definire delle
liste di IP abiliati o bloccati, ma la funzione dello stesso � ben diversa
e pi� complessa.
-- 
questo articolo e` stato inviato via web dal servizio gratuito 
http://www.newsland.it/news
 segnala gli abusi ad 
ab...@newsland.it


ah quindi non hanno inserito "un filtro su mac address è come un 
firewall" nello standard ISO/IEC 17799 ??
azz :)
dai adriano, ammettilo, hai scritto un po' troppo frettolosamente e stop :)

 e più complessa.
e in quel senso andava inteso. Come ho detto, non mi sembrava di dover 
scrivere un trattato di informatica e rispondevo semplicemente a fm che 
diceva "In quella lan c'e' un router firewall ma e' solo perimetrale, 
posso escludere da intenet gli IP diversi da quelli assegnati ai pc 
della rete."
Anche specificando "e' una sorta di..." volevo intendere che la frase 
era molto tirata.
Adriano

 dai adriano, ammettilo, hai scritto un po' troppo frettolosamente e stop :)
piu' che frettolosamente direi che ho scritto in tono colloquiale, un 
po' come (facendo le debite proporzioni) si storpiano i congiuntivi 
quasi senza accorgersene.
Ti assicuro che so benissimo cosa sia un firewall; Mr Greco ha inteso 
quello che intendvo dire.
Scrivere che "il filtro sul mac address agisce a livello di indirizzo 
fisico come il firewall lo fa a livello IP" mi sembrava inutilmente 
arzigogolato. Tutto li'...mai avrei pensato di scatenare tanta 
polemica; ne' ne avevo l'intenzione
Adriano


Adriano non ti preoccupare avevo capito benissimo   e ti ringrazio.
Non sono un esperto di firewall ma ne so qualcosa avendone
configurati diversi, anche con VPN, sito web interno alla lan, accesso
da remoto a determinati server interni alla lan, etc etc.
ciao
fm 


Ok, vedo di studiare i certificati....
grazie
ciao
fm

 prego.
ciao
fm 

> Ok, vedo di studiare i certificati....
Ottimo, per quanto poi riguarda gli accessi "ad internet", valuta
l'adozione di un proxy che richieda autenticazione o comunque
di un meccanismo tipo "captive portal" che, di nuovo richieda
l'autenticazione, quindi fai circolare un documento che chiarisca
che il traffico effettuato viene monitorato onde evitare abusi della
connessione internet che, tutto sommato è un bene aziendale :)


farň dei test anche sulle prestazioni, ho il timore che
una WPA2 Enterprise sia piuttosto avida di risorse,
visto che sia l'hardware
sia dei portatili sia dell'AP non e' che sia un  mostro di potenza....
ciao
fm