Проверка подлинности по стандарту wpa 802.11

Мы рассмотрели использование инфраструктуры сертификатов и службы RADIUS для защиты беспроводных коммуникаций за счет проверки подлинности пользователей и устройств, и теперь пришло время обсудить, как осуществляется защита данных, передаваемых между беспроводными устройствами, от зондирования и других угроз.

Использование радиопередатчиков всегда считалось менее защищенным способом коммуникации в сравнении с кабельными каналами связи, потому что перехватить данные, передаваемые через эфир, гораздо легче, чем подключиться к кабелю или коммутационной панели, особенно если используются средства обеспечения безопасности на уровне портов. Для решения проблем, связанных с самой сутью беспроводной связи, нужно шифровать данные, чтобы даже при их перехвате нельзя было легко получить исходную информацию в понятной форме.

Первоначальные спецификации WEP, определяющие механизм шифрования данных в беспроводных сетях, плохо справлялись со своей задачей, и для исправления ситуации в качестве временной меры был разработан стандарт WPA, являющийся подмножеством спецификации 802.11i, которая в то время еще не была утверждена. Несколько позднее был разработан стандарт WPA2 — полная реализация ставшего к тому времени официальным стандарта 802.11i. Главное различие между стандартами WPA и WPA2 — метод шифрования данных. В стандарте WPA используется протокол TKIP, а в WPA2 — стандарт AES-CCMP, обеспечивающий более надежную защиту.

Несмотря на то, что в описываемом решении можно использовать и WEP, и WPA, при наличии возможности рекомендуется выбирать стандарт WPA2 — самый надежный способ обеспечения безопасности беспроводной передачи данных. Если это невозможно, используйте стандарт WPA, который в сочетании с изложенным в данном руководстве решением также позволяет добиться достаточно высокого уровня безопасности.

Требования к клиентским системам

Описанное в этом руководстве решение было разработано для клиентских компьютеров со средствами беспроводной связи, работающих под управлением ОС Windows XP Professional с пакетом обновления 2 (SP2) или ОС Windows XP Tablet Edition. В ОС Windows этих версий интегрирована поддержка стандарта 802.1X и беспроводных сетей. Кроме того, клиенты, работающие под управлением ОС Windows XP, поддерживают автоматическую подачу заявок на сертификаты и автоматическое обновление сертификатов, что делает такое решение, основанное на сертификатах, особенно выгодным с экономической точки зрения, если оно связано с инфраструктурой сертификатов.

В ОС Windows XP с пакетом обновления 2 (SP2) также интегрирована поддержка протокола WPA, но для обеспечения поддержки протокола IEEE 802.11i WPA2 на клиентах, работающих под управлением ОС Windows XP с пакетом обновления 2, нужно установить дополнительное обновление. Информацию об этом обновлении и инструкции по его загрузке можно найти в документе «Обновление протокола WPA2 и информационного элемента службы обеспечения беспроводной связи для Windows XP с пакетом обновления 2», который находится по адресу http://support.microsoft.com/default.aspx?scid=kb;en-us;893357 (эта ссылка может указывать на содержимое полностью или частично на английском языке).

Требования к серверной инфраструктуре

Как уже было сказано, в рассматриваемом решении используются входящие в ОС Windows Server 2003 службы сертификации и служба проверки подлинности в Интернете. Эти компоненты Windows Server 2003 поддерживают некоторые функции, специфичные для беспроводных сетей стандарта 802.1X. Данное руководство написано специально для среды Windows Server 2003 Active Directory, но службы сертификации и служба проверки подлинности в Интернете могут быть развернуты и под управлением более старых версий ОС Windows.

Требования к точкам беспроводного доступа

Это руководство посвящено защите беспроводной сети, поэтому размещение точек беспроводного доступа, их установка, выбор каналов и другие подобные темы в нем не рассматриваются. Для получения сведений о конфигурировании и размещении точек доступа, а также о проблемах, которые могу возникнуть при их использовании, обратитесь к инструкции производителя или материалам на его веб-узле.

Описываемое решение будет защищено максимально надежно, если использовать точки доступа, сертифицированные в соответствии со стандартом IEEE 802.11i WPA2 и оснащенные встроенными функциями перемещения при сбое и отказовозвращения. Кроме того, его можно реализовать, используя оборудование, сертифицированное в соответствии со стандартом WPA, при этом сильно отступать от данного руководства не придется, а степень защиты тоже будет очень высокой. Это решение можно также реализовать на основе стандарта WEP, но делать это не рекомендуется, и рассматриваться этот вариант не будет.

Развертывание и управление

Хотя этот раздел содержит пошаговые инструкции по установке и конфигурированию используемых в решении серверов и служб, в нем не описываются сами действия по установке и конфигурированию, которые необходимо выполнить при использовании ОС Windows Server 2003 или Windows XP Professional. Предполагается, что в большинстве компаний уже реализованы процессы настройки среды и утверждены принципы укрепления ее защиты.

Сертификаты

Этот раздел включает подробные инструкции по созданию инфраструктуры открытого ключа, но не содержит никакой информации о настройке и укреплению защиты сервера: предполагается, что эти процедуры уже стандартизированы.

Кроме того, предполагается, что перед началом этого этапа развертывания решения серверы центров сертификации уже сконфигурированы с использованием основного образа и защищены в соответствии со стандартным процессом, принятым в организации.

Примечание.   Помните, что корневой центр сертификации никогда не будет подключен к сети, поэтому все этапы конфигурирования и защиты серверов, выполняемые с подключением к сети, нужно изменить соответствующим образом.

Конфигурационные данные, задаваемые пользователем

В следующей таблице приведены специфичные для организации параметры, которые следует определить перед началом развертывания решения, описываемого далее. Во многих местах при этом будут использоваться заполнители, характеризующие параметры в формате, похожем на формат их имен. Например, DNS-имя корневого домена леса Active Directory может быть отображено как ИмяДомена.ru. Значения, набранные курсивом, следует заменить конкретными параметрами корпоративной среды, собранными в процессе развертывания.

Таблица 7. Конфигурационные параметры, задаваемые пользователем

Параметр	Ссылка	Значение
DNS-имя леса Active Directory
Различающееся имя корня леса	Pkiparams.vbs
NetBIOS-имя домена
NetBIOS-имя рабочей группы корневого центра сертификации
Имя сервера корневого центра сертификации
Имя сервера выдающего центра сертификации
Общее имя X.500 корневого центра сертификации
Общее имя X.500 выдающего центра сертификации
Полное имя веб-сервера, используемого для публикации сертификатов центров сертификации	Pkiparams.vbs

Конфигурационные параметры, определяемые решением

Параметры, указанные в следующей таблице, не следует изменять, если нет уверенности в правильности запланированных действий. Перед их изменением нужно полностью разобраться с любыми последствиями этого и всеми зависимостями, которые могут быть при этом нарушены.

Таблица 8. Конфигурационные параметры, определяемые решением

Параметр	Ссылка	Значение
Группы безопасности административных ролей
Администраторы контейнера конфигурации службы открытых ключей.	ca_setup.wsf	Enterprise PKI Admins
Группа администраторов с правом публикации списков отзыва сертификатов и сертификатов центров сертификации в корпоративном контейнере конфигурации.	ca_setup.wsf	Enterprise PKI Publishers
Группа администраторов, которые конфигурируют и обслуживают центры сертификации, а также контролируют возможность назначения всех остальных ролей центра сертификации и обновления сертификата центра сертификации.	ca_setup.wsf	CA Admins
Группа администраторов, утверждающих заявки на сертификаты и запросы отзыва сертификатов (роль должностного лица центра сертификации).	ca_setup.wsf	Certificate Managers
Группа администраторов, управляющих журналами аудита и безопасности центров сертификации.	ca_setup.wsf	CA Auditors
Группа администраторов, управляющих резервным копированием данных центров сертификации.	ca_setup.wsf	CA Backup Operators
Конфигурация служб IIS
Имя виртуального каталога IIS, используемого для публикации сертификата центра сертификации и списка отзыва сертификатов.	Pkiparams.vbs	pki
Физический путь в выдающем центре сертификации, сопоставленный с виртуальным каталогом IIS.	C:\CAWWWPub	Pkiparams.vbs
Общие параметры центра сертификации
Имя диска, на котором хранятся файлы запросов служб сертификации, и путь к этим файлам.	C:\CAConfig	Pkiparams.vbs
Имя диска, на котором хранятся журналы баз данных служб сертификации, и путь к этим журналам.		%windir%\System32\CertLog
Конфигурация корневого центра сертификации
Длина ключа корневого центра сертификации (см. примечание)	4096
Срок действия сертификата корневого центра сертификации (в годах)	Pkiparams.vbs	16
Максимальный срок действия сертификатов, выданных корневым центром сертификации (в годах)	Pkiparams.vbs	8
Интервал публикации списка отзыва сертификатов корневым центром сертификации (в месяцах)	Pkiparams.vbs	6
Период перекрытия списков отзыва сертификатов (в днях)	Pkiparams.vbs	10
Период публикации разностных списков отзыва сертификатов корневым центром сертификации (в часах, 0=отключить)	Pkiparams.vbs	0
Конфигурация выдающего центра сертификации
Имя диска, на котором хранится база данных служб сертификации, и путь к ней		D:\CertLog
Длина ключа выдающего центра сертификации		2048
Срок действия сертификата выдающего центра сертификации (в годах)	Pkiparams.vbs	8
Максимальный срок действия сертификатов выдающего центра сертификации (в годах)	Pkiparams.vbs	4
Интервал публикации списка отзыва сертификатов выдающим центром сертификации (в днях)	Pkiparams.vbs	7
Период перекрытия списков отзыва сертификатов (в днях)	Pkiparams.vbs	4
Период публикации разностных списков отзыва сертификатов выдающим центром сертификации (в днях, 0=отключить)	Pkiparams.vbs	1
Период перекрытия разностных списков отзыва сертификатов (в днях)	Pkiparams.vbs	1
Прочие параметры
Путь к сценариям установки		C:\MSSScripts

Примечание.   Использование ключей длиной 4096 бит некоторыми устройствами или старыми приложениями других компаний может привести к проблемам с совместимостью. Все приложения, которые, возможно, будут использовать сертификаты, выдаваемые корневым центром сертификации, следует протестировать с ключами сертификатов этого размера. Если возникнут сомнения в совместимости длины ключа корневого центра сертификации, ее можно уменьшить до 2048 бит.

Установка конфигурационных сценариев на серверы центров сертификации

Сценарии, прилагаемые к этому руководству, облегчают установку решения, описанную в следующих разделах. Эти сценарии должны быть установлены на каждом сервере центра сертификации. Удалять их после использования не следует — это поможет управлять серверами. Чтобы установить эти сценарии, сначала создайте папку C:\MSSScripts, после чего скопируйте их в нее.

Установка и конфигурирование служб IIS на сервере выдающего центра сертификации

Службы IIS (Internet Information Services) используются клиентами, работающими под управлением ОС, отличных от Windows, для получения сертификатов центров сертификации и списков отзыва сертификатов. Корневой центр сертификации может не предоставлять доступ к этим службам, потому что он не будет подключен к сети, но выдающий центр сертификации должен иметь доступ к ним.

Службы IIS можно также использовать для размещения страниц службы подачи заявок на сертификат через Интернет, но в рассматриваемом решении это не используется. Если страницы подачи заявок на сертификаты через Интернет установлены на сервере, отличном от сервера выдающего центра сертификации, нужно установить для этого сервера отметку «Делегирование разрешено» в объекте сервера в службе Active Directory.

Службы IIS можно установить с помощью диспетчера дополнительных компонентов Windows, доступ к которому осуществляется через панель управления (элемент «Установка и удаление компонентов»). В следующем списке указаны компоненты, которые необходимо установить.

• Сервер приложений

• Модуль поддержки сетевого доступа COM+

• Службы Internet Information Services

• Общие файлы

• Диспетчер служб Internet Information Services

• Служба WWW