I.U.T. Le Creusot Service Informatique Déploiement dun réseau sans fil avec authentification RADIUS En collaboration avec le CRI de lUniversité de Bourgogne

I.U.T. Le CreusotService Informatique

Déploiement d’un réseau sans fil avec authentification RADIUS

En collaboration avec le CRI de l’Université de Bourgogne

Plan de la Présentation:

Jérôme PERNOT, Octobre2003

Les usages du réseau sans fil,

Exigences fonctionnelles,

Déploiement – Mise en œuvre,

Évolutions des normes de sécurisation des réseaux sans fil,

État d’avancement du projet,

Le réseau sans fil dans le cadre du projet d’établissement,

Conclusion.

Technologies et normes des réseaux sans fil,

Sécurité des réseaux Wi-Fi – 802.11b,

Le réseau sans fil dans le cadre du projet d’établissement:


Mise œuvre à l’IUT du Creusot d’un programme de développement des systèmes d’information:

Développement d’une politique d’acquisition de matériel,

- Centralisation des annuaires utilisateurs,

- Maîtrise du réseau filaire,

- Mise en place d’un firewall,

- Authentification pour l’accès à internet (étudiants),

- Lutte contre les virus:

* Antivirus centralisé,

* Protection des serveurs, en particulier le courrier électronique,

- Administration des systèmes et des réseaux,

Sécurisation du système d’information: mise en oeuvre d ’une politique de sécurité

Création de salles en libre accès pour les étudiants (Terminaux légers),

Développement d’un Environnement Numérique de Travail,

Remise a niveau des réseaux informatiques du site (câblage, séparation des flux…),

Mise en œuvre d’un réseau sans fil.

Les usages du réseau sans fil:


Utilisation des technologies sans fil dans la cadre des projets de recherche,

Multiplication des équipements mobiles (PDA, portables…),

Nomadisme des enseignants, étudiants, personnels administratifs:

Disponibilité des ressources sur l’ensemble du campus universitaire,

Appréhender les technologies utilisées dans les réseaux sans fil,

Sensibiliser les utilisateurs à l’utilisation des équipements sans fil.

Souplesse et facilité d’utilisation,

Exigences fonctionnelles:


Gestion centralisée des utilisateurs:

- Authentification des utilisateurs par un serveur RADIUS,

- Utilisation de l’annuaire utilisateurs de l’établissement,

- VLAN,

- Accès différenciés aux ressources,

Création de communautés d’utilisateurs sans fil:

Isolement des communautés (étudiants et invités),

Protection des contenus,

Outils de gestion et d’administration du réseau sans fil,

Assurer le roaming (itinérance),

- Mise à jour firmware des équipements,

- Adaptation aux nouvelles normes.

Évolutivité des solutions mises en œuvre:

Sécurité:

Technologies et normes des réseaux sans fil:


Standards de transmission

802.11 Débit théorique 2 Mbit/s - fréquences 2,4 GHz (1997)

802.11a Débit théorique 54 Mbit/s - fréquences 5 GHz sur 8 canaux (1999) Non compatible 802.11b et g

802.11b Débit théorique 11 Mbit/s - fréquences 2,4 GHz sur 14 canaux (1999) 13 canaux en France

802.11g Débit théorique 54 Mbit/s - fréquences 2;4 GHz (Juillet 2003) compatible 802.11b

802.11n Débit théorique maximum 320 Mbit/s - fréquences 5 GHz (fin 2005)

Bluetooth, Hiperlan …

- le label Wi-Fi (Wireless Fidelity),

- les normes 802.11.

Les travaux du groupe 802.11 de l’IEEE:

Standards connexes:

802.11e Gestion de la qualité de service - 802.11a, b et g Norme de qualité de service pour les applications multimédia

802.11f Interopérabilité constructeurs

802.11i Gestion de la sécurité (2 volets)

802.1Q Gestion des VLAN (1998)

802.1x Gestion de la sécurité par port (2001)

Sécurité des réseaux WiFi – 802.11b: les mécanismes


Les mécanismes de sécurité des réseaux 802.11b sont peu efficaces:

Technique de cryptage WEP ( Wired Equivalent Privacy):

- Ne remplit pas les garanties de sécurité attendues,

- Clef de chiffrement statique,

- Texte en clair et son correspondant chiffrés sont accessibles,

- Faiblesse de l’algorithme de chiffrement RC4,

- Outils libres sur Internet pour contourner le WEP (Airsnort …),

- Non chiffré,

- SSID constructeurs (tsunami, any …),

- Possibilité de supprimer la diffusion du SSID (beacons),

SSID – identificateur de réseau:

- Lourd à gérer,

- Écoute possible du trafic pour repérer les adresses MAC valides,

- Génération de trames falsifiées (adresse MAC valide),

- Outils disponibles sur Internet (Linux),

Filtrage des adresses MAC (adresse Ethernet):

- Aucune sécurité mise en œuvre sur un point d’accès utilisé avec une configuration par défaut,

- Risques de réseaux sauvages.

Points importants:

Sécurité des réseaux WiFi – 802.11b: les contrôles d’accès


La norme IEEE 802.1x:

- 802.1x est un protocole de contrôle d’accès réseau par port destiné aux équipements d’interconnexion,

- Utilisation de EAP (Extensible Authentification Protocol): Protocole de transport pour l’authentification,

- 801.1x et EAP forme le socle du système d’authentification.

Authentifications par noms d’utilisateurs / mots de passe:

a) LEAP (Lightweight EAP) - (Solution technique retenue):

- Solution CISCO,- Authentification de type « challenge-response » basée sur un serveur RADIUS (Remote Access Dial-In User Service),- Authentification mutuelle (utilisateur – point d’accès),- Gestion de clés WEP dynamiques par session et par utilisateur,

SYSTEMES D’AUTHENTIFICATION (protocoles):

b) EAP-MD5 :

- Méthode simple de challenge/réponse,- Pas d’authentification mutuelle,- Protocole non adapté aux réseaux sans fil, - Attaque par dictionnaire possible.

Sécurité des réseaux WiFi – 802.11b: les contrôles d’accès


a) PEAP (Protected EAP):- Authentification mutuelle,- Utilisation d’un serveur RADIUS supportant TLS, - Authentification utilisateur par login/mot de passe, - Gestion des clés WEP dynamiques,

b) EAP-TLS (Transport Layer Security):- Authentification mutuelle,- Basé sur SSL/TLS,- Utilisation d’un serveur de certificats,- Implémentation de certificats pour les clients,- Gestion des clés WEP dynamiques,

EAP-SIM (Subscriber Identity Module):

- Utilisation de la carte à puce SIM de type GSM,- Protocole EAP intégré à la carte,- Facturation possible (Hotspot).

Ces systèmes d’authentification requièrent l’utilisation d’un serveur de type RADIUS pour l’authentification des utilisateurs.

SYSTEMES D’AUTHENTIFICATION (suite):

Authentifications par cartes à puces sécurisées:

Authentifications basées sur des certificats:

Déploiement – mise en œuvre: choix des équipements


Solutions techniques retenues:

Point d’Accès (borne ou AP) CISCO Aironet 1100:- Supporte jusqu’ à 16 VLANs,- Utilise l’IOS,- Support du protocole LEAP,- Prise en compte de la QoS,- Évolution 802.11g,

- Support du protocole LEAP,Carte réseau 802.11b et g:

- Niveaux 2 et 3,Architecture commutée CISCO:

- Support 802.1q,- DHCP serveur,- Fonctions de NAT,- Filtrage – administration,

Firewall (FreeBSD):

- Authentification,- Support du protocole LEAP,- Support de l’Active Directory,- Support LDAP (v3),

Serveur RADIUS ACS 3.2 – CISCO:

Réseau d’établissement

INTERNET

Annuaire Utilisateurs

RADIUSAuthentification

Commutateur N3Routage

ACL

FirewallFiltrage

NATDHCPAuth

DMZ WiFi

Déploiement – mise en œuvre: principes d’utilisation


Communautés d’utilisateurs WiFi : - WVLAN Recherche- WVLAN Gestion- WVLAN Pédagogie (étudiants)- WVLAN Invité

RADIUSAuthentification

Les utilisateurs de la communauté Invité sont authentifiés par le Firewall.

Les utilisateurs des communautés Recherche, Gestion, et Pédagogie sont authentifiés par le serveur RADIUS (AAA), qui utilise l’annuaire (Active Directory) de l’établissement. Implémentation de LEAP pour ces communautés.

Les communautés Pédagogie et Invité utilisent des classes d’adresses spécifiques. La Translation d’adresses et le filtrage sont assurées par le Firewall. Ces communautés sont connectées a une interface (DMZ) supportant le protocole 802.1q: ce modèle met l’accent sur la sécurité.

Les communautés Recherche et Gestion utilisent des classes d’adresses spécifiques, le routage et le filtrage (ACL) sont confiés au commutateur de niveau 3: ce modèle favorise les performances (routage).

Chaque communauté est associée à un SSID

Réseau d’établissementINTERNET

Annuaire Utilisateurs

SRV Données ETUDIANTS

RADIUS

Authentification

SRV Données RECHERCHE

Commutateur N3Routage, ACL

FirewallFiltrage

NATDHCPAuth

LEAP support

Déploiement – mise en œuvre:


SSID: Recherche

SSID: Recherche

SSID: Gestion

SSID:Pédagogie

LEAP Client

SSID:Invité

Open/DHCP - Auth FW - Limit. BP

Schéma de fonctionnement

LEAP Client

LEAP Client

LEAP Client

État d’avancement du projet:


Étude radio et mise en service des points d’accès (terminée): phase primordiale:

- Gestion des canaux - éviter les interférences,

- Sécurité - gérer la couverture radio des points d’accès,

- Implantation de points d’accès en fonction des zones d’utilisation,

Mise à disposition des utilisateurs (fin novembre 2003):

- Enseignement, recherche, administratifs et techniques,

- Étudiants et invités.

Audit sécurité de l’architecture sans fil déployée (fin octobre 2003):

Intégration du réseau sans fil dans le réseau de l’établissement (finalisation):

- Configuration des éléments actifs:* VLAN,* Routage,* Règles de sécurité (firewall et commutateur),

- Implémentation LEAP, RADIUS, ACTIVE DIRECTORY,

Déploiement:



Communautés Enseignement, Recherche:

- 35 équipements seront connectés dès la mise en service du réseau,

- Assistance du Service Informatique pour l’installation des cartes,

- Aide à l’installation des équipements accessible sur l’intranet de l’IUT,

Communauté Étudiants:

- 30 cartes seront prêtées aux étudiants disposant de portables,

- Chèque de caution de 150 € (renouvelable chaque année),

- Assistance du Service Informatique pour l’installation des cartes,

- Aide en ligne accessible depuis l’Environnement Numérique de Travail,

Communauté Invités:

- Accès disponible dès la fin de l’année,

- Mise en œuvre de l’authentification Firewall ou portail HTTP (NoCatAuth),

Mise à disposition des utilisateurs:



Faire bénéficier à l’ensemble des composantes de l’université de Bourgogne de l’expérience acquise.

Extension sur l’ensemble des établissements du site du Creusot:

- Centre Universitaire Condorcet,

- Bibliothèque Universitaire,

Extension à la Cité Universitaire:

- Cité distante du Site Universitaire (2 kilomètres), Projet technique à développer,

Extensions:


Évolutions des normes de sécurisation des réseaux sans fil:

Solution de transition compatible avec le matériel existant (WPA):

- Utilisation de TKIP – nouveau protocole de gestion des clés,* Clés WEP dynamiques,* Vérification de séquence des paquets,* MIC vérifie l’intégrité de chaque trame en remplacement de

l’algorithme CRC,

- Génération et distribution automatique des clefs,

- Intégration de 802.1x pour le contrôle d’accès:* Utilisation du protocole EAP,* Choix des méthodes d’authentification,* Utilisation de RADIUS pour l’authentification utilisateurs,

- Mise à jour possible des équipements (firmware),

La norme IEEE 802.11i : Norme à 2 volets

Solution définitive incompatible avec le matériel existant:

- Nouveau système de sécurité autour d’AES (Advanced Encryption Standard) AES remplacera RC4,

- Incompatibilité avec les équipements 802.11 actuels (certains constructeurs annoncent déjà une compatibilité matérielle),

- La norme 802.11i ne sera pas finalisée avant la l’été 2004.

Conclusion:


Intégrer les réseaux sans fil dans la politique de sécurité de l’établissement,

Le réseau sans fil offre une disponibilité des ressources sur l’ensemble du campus universitaire (Environnement Numérique de Travail),

Auditer et surveiller régulièrement l’espace radio:

- Netstumbler (Windows),

- WifiScanner (Linux),

- Kismet (PDA),

Implémenter les nouvelles normes sur les équipements en fonctionnement:

- WPA, EAS,

Faire bénéficier à l’ensemble des composantes de l’université de Bourgogne de l’expérience acquise.

Associer à tout déploiement de réseau sans fil un système d’authentification ou utiliser une solution de tunnels VPN basés sur IPSec,

Questions – Réponses:

Jérôme PERNOT, Octobre 2003

Merci de votre attention.

Documents

I.U.T. Le Creusot Service Informatique Déploiement dun réseau sans fil avec authentification RADIUS En collaboration avec le CRI de lUniversité de Bourgogne