Dalla puntata numero 9 del
Podcast di
Wireless-Italia estrapoliamo
alcune importanti regole da seguire per proteggere le reti
Wireless che
molto spesso vengono installate ma non messe in sicurezza. Grazie a
queste semplicissime pratiche è possibile dare filo da torcere ad
eventuali aggressori. E' importantissimo evitare accessi abusivi al
proprio
Access Point o wireless
Router, sia per questioni legate alla
sicurezza dei dati presenti sulle macchine collegate, sia per una
questione legata agli accessi alla rete che verrebbero effettuati sotto
la responsabilità diretta dell'abbonato alla linea
ADSL. Fate tesoro di questa mini guida, ed imparatela a memoria, in quanto costituisce una conoscenza di base nell'installazione di una rete wireless. Scaricate, ascoltate attentamente, e diffondete la puntata n.9 del Podcast: la sicurezza è una competenza fondamentale per chiunque abbia messo in funzione una rete wireless.
Ricordiamo che i files audio di tutte le puntate del nostro Podcast sono
cedute al pubblico dominio, puoi utilizzarle o diffonderle come ti pare senza
limitazioni e senza chiederci il permesso.
-
tenete sempre presente che una rete senza fili è per sua stessa natura sempre intercettabile e vulnerabile. Le onde radio irradiate dalle vostre antenne vengono diffuse nell'
Etere e possono arrivare ovunque, anche dove non vorremmo. Non sentitevi mai al sicuro al 100%, non è detto che un sistema di sicurezza considerato inespugnabile oggi non possa venire bucato domani.
-
spegnete l'ADSL Wireless Router o l'Access Point quando non viene utilizzato: a prescindere dal fatto sia protetto o meno, eviterete di metterlo in balia di malintenzionati anche quando non lo utilizzate. Alcuni dispositivi, purtroppo non tutti, hanno inoltre la possibilità di limitare la connessione per fasce orarie, potreste quindi restringere l’accesso solamente durante le ore lavorative. Inoltre su molti Access Point è possibile impostare la potenza di trasmissione. Riducetela al minimo possibile, riducendo così all'indispensabile il campo d'azione. Se riuscirete ad abbassare la potenza senza che vengano penalizzate le prestazioni della rete wireless eviterete ulteriori connessioni abusive.
-
disattivate l'SSID broadcast: in questo modo eviterete connessioni occasionali da parte di chi si trova nel raggio d'azione della vostra rete. Naturalmente i vostri
Client dovranno aver prima impostato e salvato una connessione predefinita col nome (cioè l'SSID) dell'Access Point altrimenti neppure loro potranno più connettersi.
-
modificate la password di accesso al pannello amministrativo del vostro Access Point. Molti dispositivi nuovi hanno una password di default conosciuta dai vari tools di attacco, o addirittura disattivata. Questo per evitare l'accesso al pannello amministrativo da parte di possibili intrusi.
-
attivate il filtro sui MAC Address delle schede wireless che si vanno a connettere, infatti ogni scheda wireless unisce ai pacchetti trasmessi nell'etere un codice univoco identificativo della scheda stessa, che viene rilevato dall'access point e può essere trattato, in modo da concedere o negare la connessione ai vari client. Attenzione però, non consideratevi al sicuro una volta impostata questa lista, infatti il MAC Address, con un po di conoscenze informatiche può essere facilmente falsificato, quindi un eventuale intruso potrebbe effettuare un'incursione nella vostra rete semplicemente presentandosi sotto mentite spoglie ed avere accesso al sistema.
-
disattivate il Server DHCP dell'Access Point (o Wireless Router) e modificare l’indirizzo
IP di default del dispositivo, anzi, cambiate numerazione a tutta la rete locale, se potete, e nelle impostazioni di rete dei PC che si dovranno connettere andrete ad inserire i dati manualmente, infatti, il server DHCP è quel meccanismo che permette di assegnare automaticamente gli IP a tutti i computers che si connettono. Il sistema è molto comodo per voi ma lo è anche per chi si vuole connettere abusivamente. Per quanto riguarda l'impostazione degli IP statici sull'intera rete locale utilizzate indirizzi del tipo 10.0.0.0 e netmask 255.0.0.0, in modo da rendere il più difficoltoso possibile la ricerca degli IP corretti.
-
installate un Firewall hardware che permetta, fra le altre funzioni, di effettuare un controllo granulare su tutto quanto passa in rete, ed essere eventualmente avvisati via email attraverso una serie di alert (per esempio lo Zyxel ZyWALL 5 UTM, ma ce ne sono molti altri).
Se avete pochi soldi da spendere e un pc vecchio da recuperare, potreste installarvi una distribuzione di linux fatta apposta per creare un Firewall di ottima potenza. Esistono due distribuzioni che vi posso segnalare, una si chiama IPCOP (reperibile all'indirizzo www.ipcop.org), e l'altra si chiama Endian Firewall (reperibile all'indirizzo www.efw.it). Una volta installato e configurato secondo le vostre esigenze uno di questi due sistemi operativi, avrete trasformato il pc in un potente e versatilissimo firewall. Fra le due distribuzioni Endian Firewall, pur essendo un software gratuito, è commercialmente supportato dall'azienda produttrice (che oltretutto è in provincia di Bolzano) ed offre un supporto professionale al prodotto.
-
attivate i sistemi di trasmissione crittografica. I sistemi disponibili al momento sono il
WEP, il
WPA, ed il
WPA2. Questi sistemi si basano su delle chiavi condivise da impostare sia sull'Access Point (e naturalmente anche sul Wireless Router) che sul PC client. Evitate accuratamente il WEP (Wired Equivalent Protocol), è il sistema più vecchio ed è già stato craccato. Il WPA (
Wi-Fi Protected Access), è invece un protocollo transitorio, introdotto per arginare le falle del precedente, si basa su un sottoinsieme delle specifiche 802.11i e condivide col WEP l'algoritmo di crittazione RC4. Per utilizzo casalingo o di piccolo ufficio si implementa il WPA-PSK.
Da consigliare, sempre che tutti i dispositivi della rete lo supportino, è il WPA2. E' cronologicamente il più recente, è sviluppato specificamente per fornire uno strato di sicurezza alle comunicazioni basate sullo standard 802.11, ed utilizza come algoritmo crittografico AES, che sta per Standard Avanzato di Crittazione. Ricordate di impostare sempre la chiave di crittazione più lunga e complicata possibile, senza l'esclusione di caratteri speciali e particolari.
SICUREZZA: Identificazione e blocco delle intrusioni:
(free e commerciali)
http://it.wikipedia.org/wiki/IDS
http://gpaterno.free.fr/../GPaterno-Sicurezza_Nelle_Wireless_LAN.pdf
http://www.attivissimo.net/howto/wlan/miniguida_al_wireless.htm
http://corsi.citicord.uniroma1.it/modules/mydownloads/cache/files/teoriasicurezza.pdf
http://download.microsoft.com/.../SeminariSecurity3.ppt
http://download.microsoft.com/.../Sicurezza_Wireless.ppt
http://www.pandasoftware.com/download/...
http://dmoz.org/Computers/Security/Intrusion_Detection_Systems
http://www.iopus.com/ipig/?ref=padipig
http://us.mcafee.com/root/wsc/default.asp
http://www.airespace.com/technology/intrusion_detection.php
http://www.singleclicksystems.com/products/sws/
http://www.airdefense.net/products/adpersonal/index.php
http://www.airmagnet.com/products/enterprise.htm
http://www.networkmagic.com/product/
http://www.gfi.com/lannetscan/
http://www.airmagnet.com/products/laptop.htm
http://www.bluesocket.com
http://www.red-m.com
http://it.mcafee.com/root/package.asp?pkgid=254
http://www.airosafe.com/products/ice-smb.aspx
http://www.highwalltech.com/products.cfm?page=hwsent
http://www.jiwire.com/spotlock.htm
http://www.mywifizone.com/
http://www.snort.org/
http://www.monkey.org/~dugsong/fragroute/
http://www.lids.org/
http://ettercap.sourceforge.net/
Firewall Software (free):
http://www.redwall-firewall.com/
http://www.ipcop.org
http://www.efw.it
http://www.devil-linux.org/home/index.php
http://www.censornet.com/download/
http://www.coyotelinux.com/products.php?Product=coyote
http://euronode.org/download.epl
http://www.wifi.com.ar/cdrouter.html
http://www.m0n0.ch/wall/downloads.php
http://www.pfsense.com/
http://www.sentryfirewall.com/
http://smoothwall.org/get/
FAQ sul Wireless 
