移动安全 安全管理 应用案例 网络威胁 系统安全应用安全 数据安全 云安全
当前位置: 主页 > 信息安全 > 应用安全 >

802.1X认证用于WLAN访问控制是否合适?

时间:2013-03-11 14:59来源: 点击:
Lisa Phifer是Core Competence公司的副总裁,该公司是一家专注于领先网络技术的咨询公司。只要这些隧道使用正确,攻击者就没法拦截MS-CHAPv2握手来破解密码,这就使以前的CHAP 破解和新的ChapCrack难
Tags802.1X认证(2)应(24)访问控制(6)WLAN(12)  

  Lisa Phifer是Core Competence公司的副总裁,该公司是一家专注于领先网络技术的咨询公司。她从事网络和安全产品的设计、实施和评估工作长达25年之久。在Core Competence工作期间,她在客户需求、产品评估、新技术的使用和最佳等方面,为众多大中小公司提出了合理建议。在加盟Core Competence之前,Phifer在贝尔研究所工作,并在网络管理方面获总统奖。她在许多行业会议和在线研讨会上做过学术报告,内容涉及、移动安全、NAC和等领域的问题。同时,她为多家专业媒体撰写有关网络架构和安全技术方面的文章,这些媒体包括SearchSecurity.com、《安全信息》、 Planet、-Planet、《商业通信回顾》和《网络世界》等。Phifer每月一次的技巧文章将定期发布在SearchNetworking.com 和 SearchMobileComputing.com网站上。

  今年DEFCON大会上展示了一个新的Wi-Fi攻击:ChapCrack。是否不该在认证和访问控制上使用CHAP密码的802.1X认证?

  当然要继续对WLAN用户使用802.1X认证方法。802.1X仍然为企业WLAN提供最强有力的访问控制,而且它可以灵活地为许多认证方法。包括被ChapCrack攻击的MS-CHAPv2哈希密码。

  在DEFCON大会上展示的攻击用,早在1999年就有一个的利用MS-CHAPv2漏洞进行攻击的技术。之前,MS-CHAPv2主要是通过密码对点到点隧道协议(PPTP)的VPN用户进行身份验证。虽然有漏洞,MS-CHAPv2仍被用在其他安全协议中,因为密码认证实在太容易了。而新的协议如802.1X PEAP(受保护的可扩展的身份验证协议)通过 TLS-加密隧道发送MS-CHAPv2。只要这些隧道使用正确,攻击者就没法拦截MS-CHAPv2握手来破解密码,这就使以前的CHAP 破解和新的ChapCrack难以威胁Wi-Fi安全。

  然而,如果你当前WLAN所支持的Wi-Fi客户端是通过MS-CHAPv2 (例如 PEAP/MS-CHAPv2、EAP-TTLS/MS-CHAPv2)进行密码认证的话,要确保所有Wi-Fi客户端登录802.1X时是配置成通过证书进行认证。服务器证书认证对于防止Wi-Fi客户端连上假的AP(又叫做邪恶的双胞胎)非常重要,ChapCrack使这一步变得更加重要。为什么呢?如果一台客户端连上一台假的AP,TLS隧道提供的保护将无效,MS-CHAPv2也将暴露给攻击者。攻击者就可以运行旧的CHAP 破解或新的ChapCrack工具来盗取Wi-Fi客户端的密码。ChapCrack的输出甚至可以提交给CloudCracker来迅速找出其中密码。

  最后,你最好的措施是用802.1X认证方式结合不只密码的认证。例如,TLS和客户端(用户或机器)的证书,EAP-和嵌入在中的智能卡。但是有很多很好的理由来不使用密码认证——例如,密码会分享给其他人;很多密码太容易猜到。ChapCrack所带来的风险正好是不使用密码认证的一个很好的理由。

------分隔线----------------------------

推荐内容