www.engineering-norge.com
12
'10
Written on Modified on
PROSOFT TECHNOLOGY EMEA
Sikker trådløs kommunikasjon, basert på 802.11-standarder
Samtidig med at antall brukere av industrielle trådløse løsninger øker i hele verden, finnes det fortsatt automasjonsingeniører som er skeptiske når det gjelder sikkerheten rundt trådløse løsninger basert på 802.11 standardene. Det er et viktig tema. Denne pressemeldingen inneholder en del svar og vil forhåpentligvis overbevise skeptikerne om at trådløse løsninger er et godt og sikkert alternativ i automasjon.
En mulighet er å bruke en FHSS-løsning (Frequency Hopping Spread Spectrum). Radioene bruker da en properitær protokoll for kommunikasjon mellom to radioer, dermed kan ingen andre radioer delta fra utsiden av nettverket. De fleste brukere ønsker imidlertid å bruke standardløsninger basert på 802.11-serien (vanligvis kalt ”Wi-Fi/ WLAN”).
Sikkerhet
Det viktigste sikkerhetsaspektet i radioer basert på IEEE-standarder er overholdelse av IEEE 802.11-standarden for sikker trådløs kommunikasjon. I tillegg støtter ProSoft Technologys RadioLinx-løsninger flere andre mekanismer for bedring av sikkerheten.
IEEE 802.11i
I 2004 innførte IEEE standarden IEEE 802.11i for å løse utfordringer rundt på 802.11-kommunikasjon. Denne standarden refereres ofte til som WPA2, et navn som stammer fra Wi-Fi Alliance. Den viktigste forbedringen i 802.11-sikkerhet ved innføringen av 802.11i-standarden, er bruken av AES block cipher som krypteringsmotor. Bruken av AES forbedrer mange av svakhetene i de tidligere 802.11-krypteringsteknikkene, inkludert svakheter i nøkkelalgoritmen. Flere andre viktige forbedringer ble også inkludert i 802.11i-standarden for å løse sikkerhetsutfordringer som adgangsbegrensning, ”replay-angrep” og dataforfalskninger.
AES-kryptering
128-bits AES-krypteringsalgoritmen ble godkjent av USAs regjering i 2003 for kryptering av hemmelig informasjon. I tillegg ble AES godkjent av NSA for ”Top Secret information”. RadioLinx-radioene støtter bruk av 128-bits AES-kryptering for all kommunikasjon, som er det høyeste krypteringsnivået som USA regjering bruker internasjonalt.
AES er en blokkchiffer som enkelt kan implementeres i hardware på en måte som ikke går ut over kommunikasjonshastigheten. RadioLinx ivaretar full datagjennomstrømning mens den utfører 802.11i-kryptering og dekryptering på alle pakker som overføres. En viktig oppgradering i AES sammenlignet med tidligere implementasjoner av 802.11-sikkerhet, er at det er umulig å ekstrapolere krypteringsnøkkelen som brukes av radioene ved å observere den krypterte kommunikasjonen.
Adgangskontroll
En annen viktig forbedring i 802.11i-sikkerheten er forhindring av problemer forårsaket av kommunikasjon med enheter som ikke er tillatt i nettverket. Tidligere versjoner av 802.11-sikkerhet var mottakelig til å tillate 802.11-klienter å kommunisere med aksesspunkter som etterlignet aksesspunktene til nettverket. Når en klient begynte å kommunisere med et av disse falske aksesspunktene, trakk det falske punktet ut informasjon fra klienten, noe som var en stor sikkerhetsrisiko.
802.11i-standarden har en sterkt forbedret adgangskontroll som krever at både aksesspunktet og klientene bekrefter at de har nettverkstillatelse innen kommunikasjon starter. 802.11i-uttrykket for å beskrive denne prosessen er ”the four-way handshake”. Aksesspunktet og klienten utveksler krypterte pakker med en delt nøkkel. Begge enheter må inneholde identiske delte nøkler for at autorisasjonsprosessen skal kunne gjennomføres på en vellykket måte. Når prosessen er gjennomført utveksler de to enhetene en midlertidig nøkkel som brukes for krypteringskommunikasjon. Den midlertidige nøkkelen fornyes jevnlig av de to enhetene for å øke sikkerheten.
Integritetssjekk for beskjeder
Egenskapene i 802.11i beskrevet over, forhindrer uautorisert dekryptering av beskjeder samt at nøkkelen blir stjålet slik at beskjeder kan krypteres og dekrypteres. En tredje forbedring i 802.11i er at fingerte data som kan ha negativ innvirkning på systemet, genereres av en uautorisert bruker.
802.11i-standarden tillater en forbedret integritetssjekk for beskjeder spesifikt for å forhindre replay-angrep og fingerte data. Replay-angrep betyr å sende en beskjed som tidligere ble sendt for å få mottakeren til å la dataene passere gjennom ethernett-nettverket. Fingerte dataangrep betyr å gjøre små endringer på den krypterte datastrømmen for å generere farlige pakker på ethernett. Tidligere 802.11-sikkerhet hadde mangler med hensyn til begge disse temaene. 802.11i bruker en 48-bit initialiseringsvektor i tillegg til MAC IDen til senderen og mottakeren i en nøkkeltransformeringsprosess for å generere en integritetssjekksekvens som brukes for å validere hver beskjed. Den unngår replay-angrep ved å blokkere identiske pakker som har blitt mottatt tidligere. Når en pakke har blitt mottatt, dekryptert og sendt over ethernett på en vellykket måte, blir identiske pakker som kommer senere, slettet. Den unngår også angrep med fingerte data. Dersom flere pakker mottas fra en kilde som ser ut til å forfalske data, vil klienten frakoble seg selv for så å koble seg på igjen for å generere et nytt nøkkelsett.
Sekundære sikkerhetsegenskaper
I tillegg til bruk av 802.11i-sikkerhet støtter RadioLinx-løsningene flere andre mekanismer for å bedre sikkerheten.
MAC-filtrering. RadioLinx gir brukeren tilgang til MAC IDene til radioene som kan tilknytte seg disse med tillatelse. Når dette filteret er implementert, er det bare trafikk fra enheter med disse MAC IDene som tillates. Enhver enhet med andre MAC IDer ignoreres.
Skjult SSID. RadioLinx tillater brukeren å fjerne SSID fra sitt 802.11-beacon. Det gjør det vanskeligere for uautoriserte brukere å finne navnet på nettverket og prøve å koble seg på.
Blokkering av General Probe. RadioLinx støtter en situasjon som forteller radioen at den ikke skal respondere på en 802.11 probe request som ikke er rettet inn mot en spesifikk SSID. Den typiske mekanismen når en klient kobler seg til et aksesspunkt, er at den sender en probe request for å finne ut om det er noen aksesspunkter i området. En generell probe request genererer tilbakemeldinger fra aksesspunktene til enhver SSID. Ved å forhindre dette må klienten som ønsker å koble seg til radioen, vite om SSID på forhånd for å sende en probe request spesielt for den SSIDen.
Overbevist om sikkerheten
Hva med påliteligheten? Hvordan kan jeg være sikker på at nettverket mitt er pålitelig og sikkert nok for overføring av mine kontrolldata? Vel, dette kunne fint vært temaet for nok en artikkel med spesielt fokus på 802.11n-løsninger (se den nye RadioLinx Industrial 802.11n-løsninger fra ProSoft Technology). Denne nye IEEE-standarden tillater sameksistens av flere nettverk i det samme området (22 ikke-overlappende kanaler). Og takket være måten den håndterer multipath (flere refleksjoner), tilbyr den en robust forbindelse og rask dataoverføring (opptil 300 Mbps over luften). Uten å gå for dypt inn i teorien, la oss bare si at industriell 802.11n-teknologi passer utmerket for mange automasjonsapplikasjoner. Enn så lenge kan du jo tenke på at høyhastighetssystemer som tappemaskiner og heisekraner har fått økt pålitelighet og produktivitet takket være....RadioLinx sine industrielle trådløse løsninger.
Sikkerhet
Det viktigste sikkerhetsaspektet i radioer basert på IEEE-standarder er overholdelse av IEEE 802.11-standarden for sikker trådløs kommunikasjon. I tillegg støtter ProSoft Technologys RadioLinx-løsninger flere andre mekanismer for bedring av sikkerheten.
IEEE 802.11i
I 2004 innførte IEEE standarden IEEE 802.11i for å løse utfordringer rundt på 802.11-kommunikasjon. Denne standarden refereres ofte til som WPA2, et navn som stammer fra Wi-Fi Alliance. Den viktigste forbedringen i 802.11-sikkerhet ved innføringen av 802.11i-standarden, er bruken av AES block cipher som krypteringsmotor. Bruken av AES forbedrer mange av svakhetene i de tidligere 802.11-krypteringsteknikkene, inkludert svakheter i nøkkelalgoritmen. Flere andre viktige forbedringer ble også inkludert i 802.11i-standarden for å løse sikkerhetsutfordringer som adgangsbegrensning, ”replay-angrep” og dataforfalskninger.
AES-kryptering
128-bits AES-krypteringsalgoritmen ble godkjent av USAs regjering i 2003 for kryptering av hemmelig informasjon. I tillegg ble AES godkjent av NSA for ”Top Secret information”. RadioLinx-radioene støtter bruk av 128-bits AES-kryptering for all kommunikasjon, som er det høyeste krypteringsnivået som USA regjering bruker internasjonalt.
AES er en blokkchiffer som enkelt kan implementeres i hardware på en måte som ikke går ut over kommunikasjonshastigheten. RadioLinx ivaretar full datagjennomstrømning mens den utfører 802.11i-kryptering og dekryptering på alle pakker som overføres. En viktig oppgradering i AES sammenlignet med tidligere implementasjoner av 802.11-sikkerhet, er at det er umulig å ekstrapolere krypteringsnøkkelen som brukes av radioene ved å observere den krypterte kommunikasjonen.
Adgangskontroll
En annen viktig forbedring i 802.11i-sikkerheten er forhindring av problemer forårsaket av kommunikasjon med enheter som ikke er tillatt i nettverket. Tidligere versjoner av 802.11-sikkerhet var mottakelig til å tillate 802.11-klienter å kommunisere med aksesspunkter som etterlignet aksesspunktene til nettverket. Når en klient begynte å kommunisere med et av disse falske aksesspunktene, trakk det falske punktet ut informasjon fra klienten, noe som var en stor sikkerhetsrisiko.
802.11i-standarden har en sterkt forbedret adgangskontroll som krever at både aksesspunktet og klientene bekrefter at de har nettverkstillatelse innen kommunikasjon starter. 802.11i-uttrykket for å beskrive denne prosessen er ”the four-way handshake”. Aksesspunktet og klienten utveksler krypterte pakker med en delt nøkkel. Begge enheter må inneholde identiske delte nøkler for at autorisasjonsprosessen skal kunne gjennomføres på en vellykket måte. Når prosessen er gjennomført utveksler de to enhetene en midlertidig nøkkel som brukes for krypteringskommunikasjon. Den midlertidige nøkkelen fornyes jevnlig av de to enhetene for å øke sikkerheten.
Integritetssjekk for beskjeder
Egenskapene i 802.11i beskrevet over, forhindrer uautorisert dekryptering av beskjeder samt at nøkkelen blir stjålet slik at beskjeder kan krypteres og dekrypteres. En tredje forbedring i 802.11i er at fingerte data som kan ha negativ innvirkning på systemet, genereres av en uautorisert bruker.
802.11i-standarden tillater en forbedret integritetssjekk for beskjeder spesifikt for å forhindre replay-angrep og fingerte data. Replay-angrep betyr å sende en beskjed som tidligere ble sendt for å få mottakeren til å la dataene passere gjennom ethernett-nettverket. Fingerte dataangrep betyr å gjøre små endringer på den krypterte datastrømmen for å generere farlige pakker på ethernett. Tidligere 802.11-sikkerhet hadde mangler med hensyn til begge disse temaene. 802.11i bruker en 48-bit initialiseringsvektor i tillegg til MAC IDen til senderen og mottakeren i en nøkkeltransformeringsprosess for å generere en integritetssjekksekvens som brukes for å validere hver beskjed. Den unngår replay-angrep ved å blokkere identiske pakker som har blitt mottatt tidligere. Når en pakke har blitt mottatt, dekryptert og sendt over ethernett på en vellykket måte, blir identiske pakker som kommer senere, slettet. Den unngår også angrep med fingerte data. Dersom flere pakker mottas fra en kilde som ser ut til å forfalske data, vil klienten frakoble seg selv for så å koble seg på igjen for å generere et nytt nøkkelsett.
Sekundære sikkerhetsegenskaper
I tillegg til bruk av 802.11i-sikkerhet støtter RadioLinx-løsningene flere andre mekanismer for å bedre sikkerheten.
MAC-filtrering. RadioLinx gir brukeren tilgang til MAC IDene til radioene som kan tilknytte seg disse med tillatelse. Når dette filteret er implementert, er det bare trafikk fra enheter med disse MAC IDene som tillates. Enhver enhet med andre MAC IDer ignoreres.
Skjult SSID. RadioLinx tillater brukeren å fjerne SSID fra sitt 802.11-beacon. Det gjør det vanskeligere for uautoriserte brukere å finne navnet på nettverket og prøve å koble seg på.
Blokkering av General Probe. RadioLinx støtter en situasjon som forteller radioen at den ikke skal respondere på en 802.11 probe request som ikke er rettet inn mot en spesifikk SSID. Den typiske mekanismen når en klient kobler seg til et aksesspunkt, er at den sender en probe request for å finne ut om det er noen aksesspunkter i området. En generell probe request genererer tilbakemeldinger fra aksesspunktene til enhver SSID. Ved å forhindre dette må klienten som ønsker å koble seg til radioen, vite om SSID på forhånd for å sende en probe request spesielt for den SSIDen.
Overbevist om sikkerheten
Hva med påliteligheten? Hvordan kan jeg være sikker på at nettverket mitt er pålitelig og sikkert nok for overføring av mine kontrolldata? Vel, dette kunne fint vært temaet for nok en artikkel med spesielt fokus på 802.11n-løsninger (se den nye RadioLinx Industrial 802.11n-løsninger fra ProSoft Technology). Denne nye IEEE-standarden tillater sameksistens av flere nettverk i det samme området (22 ikke-overlappende kanaler). Og takket være måten den håndterer multipath (flere refleksjoner), tilbyr den en robust forbindelse og rask dataoverføring (opptil 300 Mbps over luften). Uten å gå for dypt inn i teorien, la oss bare si at industriell 802.11n-teknologi passer utmerket for mange automasjonsapplikasjoner. Enn så lenge kan du jo tenke på at høyhastighetssystemer som tappemaskiner og heisekraner har fått økt pålitelighet og produktivitet takket være....RadioLinx sine industrielle trådløse løsninger.
