As redes sem fios

As redes sem fios, outrora apenas encontradas em ambientes profissionais, são agora utilizadas em larga escala em ambientes variados, incluindo domiciliários.

A popularidade das redes sem fios, ou wi-fi, deve-se maioritariamente, e tal como o nome indica, ao facto de dispensar cablagem de rede. Há situações onde isso é especialmente interessante, como por exemplo em casa, onde a passagem de cablagem é inconveniente; ou para cobrir áreas alargadas, como por exemplo campus de Universidades, onde a cobertura em cablagem seria demasiado onerosa ou inapropriada; ou ainda em redes temporárias ou de custos controlados, cujos requisitos possam ser satisfeitos apenas com conectividade sem fios. Outro factor que contribuiu para a popularidade das redes sem fios foi a adesão da industria a normas internacionais do IEEE (família 802.11), que proporcionou à partida uma ampla interoperabilidade entre equipamentos, e consequente concorrência entre fabricantes e diminuição dos preços.

As redes sem fios mais habituais, design  as de infra-estruturadas por oposição às adhoc, são constituídas por um conjunto de pontos de acesso, que passaremos a designar de AP (Access Point), que agregam as ligações “ar” dos terminais dos utilizadores, que podem ser, por exemplo, portáteis ou PDAs (Personal Digital Assistant).

Num ambiente domiciliário, como por exemplo num apartamento, uma rede sem fios pode ser constituída simplesmente por um AP e um router de acesso à Internet. Eventualmente estas duas funções podem ser asseguradas pelo mesmo equipamento.

Vulnerabilidades simples – rede aberta

Ao contrário das redes cabladas, as redes sem fios são de transmissão não guiada num meio comum e acessível a todos, dentro do raio de acção das antenas.

Neste cenário, caso a rede não tenha configurados mecanismos mínimos de segurança, o acesso a essa rede fica imediatamente disponível a quem esteja dentro do raio de acção dos APs, com um terminal compatível com a tecnologia utilizada.

A facilidade de utilização e segurança são objectivos difíceis de conciliar. Observa-se na prática que, quanto mais simples de usar, menos seguro, e quanto mais seguro, menos simples de usar. Por tendência de exigência dos consumidores, em especial em situações não-profissionais, os vendedores de equipamentos preferem favorecer a “facilidade de utilização” em detrimento da “segurança”, deixando as configurações de segurança a cargo do utilizador final. Decorre por isto que é habitual os APs virem de fábrica sem quaisquer protecções de segurança.

Uma rede sem as configurações de segurança mínimas nos APs, está no estado que se designa de “rede aberta”. Essas redes podem ser simplesmente acedidas a quem tenha uma placa de rede wi-fi, desde que esteja ao alcance do AP. É possível   conceber um cenário em que um utilizador intruso ingénuo simplesmente ligue o computador e aceda à Internet sem se aperceber que está a usar a ligação à Internet de uma entidade com uma rede sem fios aberta.

Uma rede com as configurações de segurança mínimas nos APs, exige do potêncial intruso uma actividade consciente de “tentativa de furar” a rede.

Riscos

O intruso que consiga entrar numa rede sem fios ficará com acesso privilegiado para lançar ataques aos elementos constituintes dessa rede. É muito mais difícil atacar um sistema a partir de um local remoto da Internet do que lançar esse ataque a partir de dentro da rede, isto porque na situação em que está num local remoto da Internet, interpõem-se entre o atacante e o alvo barreiras de perímetro. Essas barreiras podem ser simplesmente um motor de NAT (Network Address Translation) que esconda o alvo do atacante. O intruso que consiga entrar numa rede sem fios ficará com acesso a partir de dentro da rede, havendo risco acrescido para ocorrência das situações exemplificadas de seguida:

• Furto ou violação de integridade de informação e serviços da rede;
  • Chantagem para não divulgação de informação confidencial ou para repor informação;
• Abuso da ligação à Internet;
  • Utilização dessa ligação às custas do utilizador incauto;
  • Utilização dessa ligação para prática de actos ilícitos, o que, em caso de posterior investigação policial, envolverá o utilizador titular do contrato de ligação à Internet
• Vandalismo – destruição de dados, interferência ao normal funcionamento da
  rede, etc.

Vulnerabilidades da tecnologia

Mesmo os utilizadores conscientes da problemática de segurança, e que, sendo consequentes com isso, façam as configurações de segurança mínimas nos APs, estão sujeitos às vulnerabilidades da tecnologia.

As normas iniciais wi-fi previram um mecanismo denominado de WEP (Wired Equivalent Privacy) para garantir privacidade da informação. Este sistema basea-se num segredo partilhado, só conhecido entre os terminais e os APs. O WEP apresenta deficiências técnicas, sendo possível quebrá-lo em pouco tempo1, recorrendo a recursos computacionais modestos.

A configuração de protecção WEP não deve ser considerada uma medida de segurança suficiente para suster um indivíduo motivado para penetrar a rede, com conhecimentos técnicos de utilizador informático avançado ou melhor.

Estão disponíveis publicamente ferramentas de software para PC para quebrar o WEP, como o por exemplo o WEPCrack ou o AirSnort Windows - Wireless WEP crack.

O intruso que consiga quebrar o WEP ficará com acesso a partir de dentro da rede, expondo-a mais aos riscos exemplificados na secção anterior.

Contra medidas

Medidas simples

A contra medidas simples configuradas em separado ou em conjunto, não devem ser consideradas medidas de segurança suficientes para suster um indivíduo motivado para penetrar a rede, com conhecimentos técnicos ao nível do utilizador informático avançado ou melhor.

As medidas identificadas deverão estar disponíveis por configuração dos APs, mesmo se esses equipamentos tiverem apenas funcionalidades pouco avançadas.

Configurar WEP – apesar das suas vulnerabilidades, ter WEP é melhor do que não ter qualquer protecção. De preferência, a chave deve ser alterada regularmente, em especial quando se pretende revogar as permissões de acesso de um utilizador. Só se deve utilizar o WEP se não for possível actualizar os equipamentos para WPA ou WPA2, descritos mais à frente neste texto.

Esconder o SSID (Service Set Identifier) - com esta medida evita-se que o AP anuncie a rede. O intruso terá portanto mais dificuldade em conhecer o identificador da rede a que se associar.

Filtragem dos endereços MAC – conhecendo-se de antemão os endereços MAC dos computadores que acedem à rede é possível configurar o AP para permitir acesso apenas a esses MACs. Um intruso poderá porém mudar o ser endereço MAC para coincidir com um endereço MAC que saiba ser permitido na rede.

Desligar os APs quando não estiverem em uso – com esta medida reduz-se o tempo de exposição da rede a ataques, sendo também mais provável detectar utilizações anómalas da red   como por exemplo tráfego extraordinário no AP, que se pode detectar pelo piscar mais frequente da luz avisadora de actividade de rede.

Medidas para segurança forte

WPA ou WPA2 - Wi-Fi Protected Access

O WPA foi criado para substituir o WEP que, como foi referido, tem vulnerabilidades de segurança graves.

Sempre que possível deve usar-se WPA2 ou WPA como mecanismo de segurança, exigindo que novos equipamentos tenham capacidade WPA2, ou actualizando os equipamentos existentes para essa tecnologia.

Pode verificar-se se determinado equipamento tem certificação WPA2 no sítio com endereço http://certifications.wi-fi.org/wbcs_certified_products.php

O WPA2 quando configurado e utilizado correctamente, designadamente do que diz respeito a escolha de chaves ou passwords, não apresenta vulnerabilidades de segurança conhecidas actualmente.

O WPA e WPA2 são semelhantes havendo porém excepções, designadamente no algoritmo de cifra, onde o WPA2 apresenta um algortimo mais forte, o AES, do que o WPA.

Em alguns casos é poss  el configurar WPA2 nos dispositivos físicos existentes através de actualização de software, no Sistema Operativo, nos drivers ou no firmware das placas. Noutros casos é necessário substituir os dispositivos físicos.

No modo de configuração pre-shared-key, em que é usada uma chave para todos os utilizadores, também designado pela wi-fi alliance de “WPA2™ - Personal”, que será o modo de configuração mais adequado a redes de pequena dimensão, como por exemplo redes domiliciárias, a escolha das chaves secretas não deve ficar por 6 ou 8 caracteres. Devem escolher-se chaves com mais de 20 caracteres aleatórios. Existem na Internet páginas para disponibilizar chaves aleatórias, como por exemplo em https://www.grc.com/passwords.htm (random alpha-numeric characters). Alternativamente poderá ser escolhida uma chave secreta baseada numa frase longa, como por exemplo um poema. Há informação disponível na Internet que sugere a utilização de 8 palavras de dicionário escolhidas através de mecanismo aleatório – “diceware”. Só é necessário escrever a chave em casos especiais, não sendo preciso escrevê-la cada vez que se usa a rede sem-fios. Tal como o código secreto para entrar num prédio de habitação, a chave do WPA2 deve ser alterada  egularmente, em especial quando se pretende revogar as permissões de acesso de um utilizador, ou seja, quando um utilizador que teve conhecimento da chave deixa de precisar de aceder à rede.

802.1X

O 802.1X, designado pela wi-fi alliance como o modo “WPA2™ - Entreprise”, estabelece uma estrutura de autenticação sofisticada que não padece do problema ser necessário especial cuidado na escolha de chaves secretas para o WPA2, além de resolver o problema da mudança de chaves na rede, que no caso do pre-shared-key tem que ser feito de uma vez só para todos os equipamentos da rede. É também mais flexível e permite autenticação mutua, ou seja, para além de autenticação do utilizador na rede, o próprio utilizador terá garantia que se está a autenticar na rede verdadeira, e não numa rede impostora instalada para captura de credênciais de acesso. O 802.1X está normalmente associado a uma arquitectura com servidores RADIUS e base de dados de suporte.

VPN – Virtual Private Network

Antes do WPA uma solução para contornar as fragilidades de segurança do wi-fi foi a configuração de VPNs. As VPNs, por exemplo baseadas em PPTP ou IPSec, são mecanismos que funcionam por cima do nível rede estabelecendo a sua própria arquitectura de segurança.

Com VPN, a rede sem fios pode funcionar em modo aberto ou com uma chave WEP. Tal rede não tem saídas que possam ser exploradas por eventuais intrusos. A saída da rede é pelo concentrador VPN, que é um equipamento considerado seguro que apenas dá serviço a utilizadores autenticados.

Conclusões

As redes sem fios são populares mas apresentam desafios de segurança importantes, quer devido a configurações iniciais muito permissivas, quer devido a vulnerabilidades tecnologicas que entretanto foram resolvidas. Muitas das redes existentes ainda não foram actualizadas para tirar partido dos novos desenvolvimentos de segurança. Os riscos de segurança em redes mal protegidas incluem o abuso da ligação à Internet; furto ou violação de integridade de informação e serviços da rede; e vandalismo – destruição de dados, interferência ao normal funcionamento da rede, etc.

Há contra medidas simples, que não devem ser consideradas suficientes para suster um indivíduo motivado para penetrar a rede, com conhecimentos técnicos ao nível do utilizador informático avançado ou melhor, e há contra medidas mais eficazes, que em alguns casos precisam de uma estrutura de suporte elaborada.