Draadloos zinloos of geweldig?

Er wordt gezegd dat Erasmus de laatste persoon ter wereld was die alles wist wat er te weten was. Sindsdien is de hoeveelheid beschikbare kennis zo sterk toegenomen dat het niet meer mogelijk is alles te weten. We moeten dus vertrouwen op anderen voor het delen van relevante informatie. Dit heeft invloed op ons werk, maar ook het leven van alledag, onze vrijetijdsbesteding.

Doordat kennis steeds belangrijker is, is het delen van kennis één van de belangrijkste onderdelen van een succesvolle maatschappij, een succesvol bedrijf of een succesvolle vereniging. Kennis is de grondstof waarop onze huidige economie draait. Het beschermen van de beschikbaarheid, integriteit en vertrouwelijkheid van al deze gegevens neemt in belang toe naarmate meer kennis wordt gedeeld. Als communicatiemiddel gebruiken we netwerken, en steeds vaker draadloze netwerken. Maar hoe veilig zijn die netwerken eigenlijk? Wat zijn de risico’s van draadloos werken, en hoe kunnen deze risico’s tot beheersbare proporties worden terug gebracht?

In dit artikel (waarvan gedeeltes eerder zijn gepubliceerd in het Informatiebeveiliging Jaarboek 2002) wordt ingegaan op de ontwikkeling van draadloze standaarden, de risico’s die draadloze communicatie met zich meebrengt en de maatregelen die daartegen te nemen zijn. Als laatste wordt gekeken naar de praktijk: hoe kan een draadloos netwerk werkelijk veilig worden ingezet.

Draadloos

De uitvinding van de radio door Marconi in 1896 was een eerste stap op weg naar een eenvoudigere manier om contact te leggen tussen twee punten. In het begin van de afgelopen eeuw werd nog wel gediscussieerd over de naam. Want was het nu Radio of was het Wireless? In een artikel in Radio News uit januari 1925 gaf Edward C. Hubert de volgende verklaring: ,,I hate to disappoint and disillusion some of you who have counted so much on a "big difference." But just brace yourselves and prepare for the shock: THERE IS NO DIFFERENCE BETWEEN RADIO AND WIRELESS EXCEPT THE SPELLING.”

Het voordeel van radio technieken is dat je niet meer plaatsgebonden bent om te kunnen communiceren. Het enorme voordeel van deze vrijheid van communiceren heeft geleid tot een diversiteit aan technologische toepassingen. Iedereen heeft een radio, iedereen heeft een TV. In grote delen van de westerse maatschappij beschikt 70-90% van de mensen over een mobiele telefoon. Draadloos communiceren is een vast onderdeel van ons leven geworden. En voor bedrijven wordt draadloze communicatie steeds belangrijker, onder andere vanwege de snelheid waarmee het kan worden ingezet en de kostenbesparingen die er mee kunnen worden bereikt.

Technieken en standaarden

Iedereen heeft wel eens gehoord van GPRS (General Packet Radio Service, een techniek waarbij data over een GSM netwerk kan verstuurd met snelheden tot aan 172Kb/seconde), Bluetooth (een standaard voor draadloze communicatie voor de korte afstand, met een maximale snelheid van 721Kb/sec) of UMTS (Universal Mobile Telecommunications System met een maximum snelheid van 1Mb/sec).

figuur 1. snelheden van verschillende communicatie technieken [ref1]

Sinds een paar jaar bestaat de mogelijkheid computers draadloos met elkaar te laten communiceren. Deze techniek, bekend onder de namen Wi-Fi (een afkorting voor Wireless Fidelity), WaveLAN of IEEE 802.11b, is ongeveer 8 tot 10 maal sneller dan UMTS. Nog steeds niets vergeleken bij een LAN van 100Mb/seconde, maar een enorme verbetering ten opzichte van GSM, dat met haar snelheid van 9,6Kb/seconde de begintijden van de modemtechnologie deed herleven.

De draadloze standaarden worden voornamelijk ontwikkeld door consortia van commerciële organisaties, met mobiele telefonie bedrijven als Nokia en Ericsson en door werkgroepen die door de IEEE zijn opgericht. Verder wordt er op universiteiten over de gehele wereld actief onderzoek verricht naar nieuwe technieken om de snelheid en betrouwbaarheid van draadloze communicatie te verbeteren.

Het draadloze netwerk

In het bedrijfsleven neemt de inzet van radio technieken hand-over-hand toe. Hiervoor worden in het netwerk een of meerdere zogenaamde basestations of Access Points (AP) opgenomen die uiteindelijk fungeren als brug tussen het ethernet en het WaveLAN. Het werkstation wordt voorzien van een IEEE 802.11b NIC (Network Interface Controller) en bijbehorende drivers, waarna er draadloos gecommuniceerd kan worden met een maximale snelheid van 11Mb/s.

Deze oplossing is natuurlijk ideaal voor gebruikers van PDA's (Personal Didigtal Assistance zoals de Palmtop en de iPaq) en laptop computers. Men verwacht dat in de komende jaren de verkopen van PDA’s die van laptops zullen overtreffen. Waarmee draadloze communicatie een must wordt voor elk bedrijf.

De medewerker hoeft het systeem alleen maar aan te zetten en voor de rest gaat alles automatisch. Zelfs de werkplek is door het gebruik van roaming volledig vrij te kiezen, aangezien elke NIC uiteindelijk een keuze zal maken voor de cel met het sterkste signaal en de minste belasting. Om maar te zwijgen over de wirwar van draden die normaal naar het systeem of het dockingstation liepen, deze zijn namelijk (bijna) overbodig geworden.

Toepassingen te over dus. De manager die even tijdens een meeting de laatste cijfers van een netwerkserver wil halen kan dit eenvoudig doen. Ook de opzichter kan middels een, van een IEEE 802.11b interface voorziene, PDA snel en efficient nagaan of er afwijkingen zijn van de planning, mits het netwerk op de site voorzien is van een basestation. Zelfs magazijnpersoneel kan met een relatief kosteneffectieve oplossing toegang krijgen tot computersystemen om nieuwe bestellingen in te voeren zodat de voorraad JIT up-to-date kan worden gehouden.

Inmiddels wordt WLAN ook genoemd als een mogelijke vervanger voor het dure, maar relatief langzame UMTS (zie ook figuur 1). In Leiden wordt door een groep enthousiastelingen gebouwd aan een draadloos netwerk dat de volledige stad moet bestrijken [ref2]. Ook in andere steden zijn dergelijke initiatieven gestart.

De werkgroep die al deze zegens mogelijk heeft gemaakt heet IEEE 802.11 WG [ref3]. Zij houden zich bezig met de specifikatie van "Wireless LAN" technologie en de huidige generatie WaveLAN is slechts het begin als we de nieuwe ontwikkelingen mogen geloven.

De Risico’s

Elke technologie heeft positieve en negatieve aspekten, WLAN is daar geen uitzondering op. Onder de noemer gemak dient de mens wordt WLAN door de huidige leveranciers geleverd als een plug-and-play oplossing. Niet voor niets wordt dit wel eens synoniem gesteld aan plug-and-pray: het koppelen van een WLAN aan een vast bedrijfsnetwerk zonder extra beveiligingsmaatregelen te nemen is hetzelfde als de aanmeldprocedure van het bedrijfsnetwerk uitschakelen.

De risico’s van een WLAN met een standaard configuratie op een rij [ref4]:

1. Ongeautoriseerde computers die aan het bedrijfsnetwerk worden gekoppeld
2. Monitoren door onbevoegden van het draadloze netwerk (“sniffen”) en het overnemen van geautoriseerde sessies (“interceptie”)
3. Foutieve configuraties
4. Denial Of Service (DOS) aanvallen op het netwerk
5. Aanvallen door aangesloten computers op elkaar

De gevolgen van deze risico’s zijn onder andere:

1. Aansprakelijkheidsproblemen als via het bedrijfsnetwerk inbraakpogingen op netwerken van derden worden gepleegd.
2. Vertrouwelijkheid van bedrijfsgegevens komt in gevaar als het IP verkeer kan worden gemonitord.
3. De beschikbaarheid van het bedrijfsnetwerk en haar aangesloten computers kan nadelig worden beïnvloed.

Wi-Fi valt te vergelijken met het ongeautoriseerde gebruik van modems binnen een organisatie. Dat was een van de grote problemen die pak weg een jaar of zeven geleden speelde. Door deze modems was het relatief eenvoudig voor onbevoegden om in te bellen op het netwerk, waardoor de firewall configuratie door deze "intruders" volledig werd omzeild. Vandaar dat verschillende Amerikaanse bedrijven ontslag op staande voet als repercussie oplegde bij medewerkers bij wie een ongeautoriseerd modem werd aangetroffen.

Ook bij het toepassen van een onvoldoende geconfigureerd WaveLAN binnen een organisatie kunnen deze problemen optreden. Iedereen kan gebruik maken van het WaveLAN en krijgt daardoor direkt toegang tot het interne netwerk. De voordeur (firewall) staat stevig op slot, maar de achterdeur (WaveLAN) staat wagenwijd open (zie figuur 2).

Op dit moment word al gewerkt aan wetgeving die een grotere aansprakelijkheid legt bij een bedrijf dat haar WLAN netwerk niet heeft beveiligd en dat als gevolg daarvan ruimte heeft geboden aan criminelen die het bedrijfsnetwerk hebben misbruikt voor hun activiteiten. Verder hoeft het geen betoog dat ook de accountability nadelig beïnvloed wordt door een WLAN foutief in te zetten. En ruzie met de interne accountant is iets waar geen enkele systeembeheerder op zit te wachten.

figuur 2. een WLAN configuratie

De maatregelen

In de specificaties voor WLAN is specifiek aandacht gegeven aan een drietal zaken die de veiligheid van een wireless netwerk moeten verhogen. Deze maatregelen zijn:

1. Netwerk identificatie (en autorisatie) door middel van een SSID (Server Set ID)
2. Client identificatie en autorisatie op MAC adres nivo
3. Gebruik van WEP (Wired Equivalent Privacy) met vaste sleutels

Door deze maatregelen op een goede manier door te voeren bij het opleveren van een WLAN netwerk kan een WLAN netwerk relatief veilig worden gemaakt. De stappen die minimaal dienen te worden uitgevoerd bij het in gebruik nemen van een Wi-Fi oplossing zijn achtereenvolgens:

1. Het instellen van de SSID zodat deze niet meer de default waarde heeft. Dit in combinatie met het definieeren van een gesloten netwerk maakt het wat moeilijker om toegang te verkrijgen tot het WaveLAN. Default SSIDs zijn bijvoorbeeld: tsunami, AirWave, WaveLAN Network, WLAN, linksys, default, TEKLOGIX, AirPort Nework en ANY.
2. Van alle Wi-Fi kaarten die toegang mogen krijgen tot het WaveLAN de MAC adressen opnemen in de daarvoor aanwezige Access Control List (ACL) van het access point. IEEE 802.11b kaarten waarvan het MAC adres niet is opgenomen in de ACL zullen geen toegang krijgen tot het netwerk. Bij sommige interfaces kan het MAC adres gewijzigd worden, maar het blijft een stap in de goede richting.
3. Het gebruiken van WEP in combinatie met een moeilijk te raden sleutel. WEP kan gebruikt worden om het Wi-Fi verkeer met een 40-bits of 128-bits sleutel te coderen, waardoor het moeilijker wordt om deze gegevens af te luisteren en toegang te krijgen tot het netwerk, aangezien daarvoor de ingestelde sleutel achterhaald dient te worden.

Maar daar stopt het zeker niet. Want eigenlijk zijn al deze zaken slechts lapmiddelen. Intruders met enige kennis van zaken kunnen al deze beveiligingsmaatregelen omzeilen. In de volgende paragraaf wordt aan de hand van wat praktijkvoorbeelden ingegaan op de beveiliging van draadloze netwerken en hoe deze te verbeteren valt.

De praktijk

Met 120 kilometer per uur rijden we op de A12 vanaf Utrecht richting Gouda. Zelfs met deze snelheid worden er nog een aantal SSIDs van netwerken in de log opgenomen. Natuurlijk gaat dit veel te snel om ondertussen ook nog na te gaan of er werkelijk eenvoudig ge- of misbruik van gemaakt kan worden, maar de positie is in elk geval door middel van een GPS ontvanger vastgelegd.

Naast de SSID van het ontdekte wireless netwerk wordt tevens het MAC adres van het ontvangen AP, de sterkte van het signaal, het gebruikte kanaal en de GPS positie vastgelegd in een logfile. Deze informatie kan uiteindelijk gebruikt worden om het netwerk te positioneren op een kaart. Op het moment dat er wat meer tijd is kunnen we eenvoudig terugkeren naar deze positie om het ontvangen signaal aan een nader onderzoek te onderwerpen.

Voor een paar duizend euro is de apparatuur te kopen waarmee bovenstaand voorbeeld in de praktijk is uitgevoerd. Hoe gaat het een en ander in zijn werk? In een niet gesloten netwerk configuratie (de default instelling) stuurt het Access Point (AP) een zogenaamd beacon signaal uit met daarin opgenomen het SSID. De Wi-Fi NIC wordt zodanig ingesteld dat deze alleen scant naar dit beacon signaal op de daarvoor beschikbare kanalen en de informatie daarvan doorgeeft aan de applicatie die voor logging zorgdraagt.

Een default instelling van een basestation is zoals het bovenstaande duidelijk probeert weer te geven te vergelijken met een vuurtoren die aangeeft dat op dat punt een netwerk waarschijnlijk open staat voor gebruik. Alleen de combinatie van een niet default SSID (zie maatregelen) en de definitie van een gesloten netwerk zorgt ervoor dat het netwerk niet zo eenvoudig gedetecteerd kan worden als hierboven staat beschreven.

In het geval dat een intruder verwacht dat er een wireless netwerk beschikbaar is, maar het niet opgevangen kan worden door een programma als dstumbler zal allereerst een scan uitgevoerd worden waarin alle bekende default SSIDs en andere waarschijnlijke SSIDs (denk hierbij bijvoorbeeld aan de naam van de firma of bedrijfsonderdeel) worden nagelopen. Indien het netwerk voorzien is van een van deze SSIDs zal dan alsnog contact gemaakt kunnen worden met het betreffende netwerk en kan additioneel onderzoek worden verricht.

Als deze stap ook faalt kan de intruder altijd nog proberen om, middels een speciale NIC (Prism2), IEEE 802.11b frames op te vangen van normaal netwerkverkeer. Deze bevatten namelijk in een van de velden het SSID waarmee met het base station wordt gecommuniceerd.

Op het moment dat het normale netwerk verkeer afgeluisterd (gesnift) kan worden kan additionele informatie worden verkregen over de apparaten die gebruik maken van het wireless netwerk. Indien het uiteindelijke doel is om werkelijk gebruik te maken van het netwerk zijn hierbij vooral de MAC adressen van deze apparatuur van belang. De beveiliging van een WLAN netwerk dat een ACL (Access Control List) heeft met de MAC adressen die toegang krijgen kan door een intruder worden omzeild door een MAC adres van een geautoriseerd apparaat over te nemen (MAC spoofing).

WEP encryptie

De hoogste vorm van beveiliging die in de IEEE 802.11b specificaties is opgenomen is WEP encryptie. Hierdoor wordt het gehele datagedeelte van de netwerk paketten met behulp van het RC4 algoritme en een gedeeld geheim (shared secret ofwel symmetrical key) versleuteld. Het doel hiervan was, volgens de ontwikkelaars, een vergelijkbare bescherming te bieden als onversleuteld verkeer over een normaal, dus niet geswitched, ethernet. De originele WEP specificatie maakte gebruik van 40 bit sleutels, maar tegenwoordig kunnen verschillende leveranciers 128 bit sleutels ondersteunen.

Maar zelfs als deze laatste sleutellengte gebruikt wordt is WEP niet veilig. Verschillende onderzoeken en projecten hebben duidelijk aangetoont dat de huidige implementatie van het WEP protocol geen voldoende veiligheid kan bieden. Met behulp van programma's zoals "airsnort" en het gebruik van een op de Prism2 gebaseerde Wi-Fi NIC kan WEP relatief eenvoudig gebroken worden, mits voldoende data vanaf het netwerk kan worden gelezen. Bij een netwerk met voldoende dataverkeer is dit zeker binnen 24 uur te realiseren.

Veiligheid voorop

Hoe kan men een wavelan dan wel op een veilige manier in de ICT infrastructuur opnemen?

Indien de systemen die gekoppeld zijn aan het wavelan toegang moeten kunnen krijgen tot systemen op het interne netwerk dan is de enige veilige oplossing het gebruik van sterke cryptografie over het wavelan. Verder is het aan te raden de verschillende APs in een DMZ te plaatsen, aangezien verkeer van deze systemen niet vanzelfsprekend vertrouwd mag worden. Hierdoor kan niet geautoriseerd verkeer geblokkeerd worden door de firewall.

Verder zal ook aandacht gegeven moeten worden aan de lokatie van de verschillende basestations. Door een goede positionering en juiste instelling van de verschillende APs binnen het gebouw kan er, in principe, voor gezorgd worden dat alleen toegang verkregen kan worden tot het wavelan binnen de betreffende kantooromgeving.

De radiogolven mogen in dat geval dus niet buiten de gecontroleerde omgeving komen. Maar er hoeft meestal maar erg weinig te gebeuren aan de lokatie of instelling van deze access points om de initiele planning volledig in de war te gooien. Experimenten hebben duidelijk gemaakt dat Wi-Fi netwerken kunnen worden opgevangen met behulp van relatief gevoelige (24dB schotel) antennes over een afstand van meer dan 30 kilometer. De intruder is met het blote oog niet eens meer zichtbaar, en toch heeft deze toegang tot het interne netwerk.

Dat draadloos synoniem staat aan oncontroleerbaar is niet juist. Dat echter het bedrijfsnetwerk dankzij draadloze technieken zich uitstrekt van de naburige gemeente tot de volgende is een gegeven. Ga dus zorgvuldig om met het inzetten van deze technieken.

Hans van de Looy & Leon Kuunders

Referenties
[ref1] – Onderzoeksgroep naar draadloze telecommunicatie van de technische universiteit Wenen. Een overzicht van hun projecten is hier te vinden.

[ref2] – Wireless Leiden bouwt aan de toekomst. Een overzicht van het dekkingsgebied van het draadloze netwerk in Leiden is hier te vinden. Het nieuwsbericht waarin de eerste proeven worden aangekondigd staat op NU.nl.

[ref3] IEEE P802.11, The Working Group for Wireless LANs

[ref4] De Wireless LAN FAQ