www.industria-online.com
12
'10
Written on Modified on
PROSOFT TECHNOLOGY EMEA
Una soluzione wireless sicura basata sugli standard 802.11
Mentre il numero degli utilizzatori di wireless industriale sta crescendo rapidamente in tutto il mondo, alcuni tecnici di automazione rimangono scettici circa la sicurezza. Questo è un argomento importante e nessuno può considerare illegittimi questi dubbi. Il presente articolo fornirà delle risposte e, speriamo, contribuirà a convincerli che la sicurezza non dovrebbe rappresentare un motivo per rallentare il loro percorso verso il wireless.
Un’opzione è usare una soluzione FHSS (Frequency Hopping Spread Spectrum). Le radio usano un protocollo wireless proprietario e nessuna radio può intromettersi dall’esterno della rete. Tuttavia, la maggior parte degli utenti preferisce adottare soluzioni standard, basate sulla serie IEEE 802.11 (quella delle soluzioni normalmente dette “Wi-Fi”).
Sicurezza!
Il metodo principale di sicurezza nelle radio basate su standard IEEE è l’aderenza allo standard IEEE 802.11i per le comunicazioni wireless sicure. In più, le soluzioni RadioLinx di ProSoft Technology supportano numerosi altri meccanismi per migliorare l’offerta di sicurezza.
IEEE 802.11i
Nel 2004, IEEE ha pubblicato lo standard IEEE 802.11i per risolvere i problemi di sicurezza riguardanti le comunicazioni 802.11. Questo standard viene spesso chiamato WPA2, un termine che è stato coniato dalla Wi-Fi Alliance.
Il fondamentale miglioramento apportato alla sicurezza 802.11 dall’adozione dello standard 802.11i è l’uso della cifratura a blocchi AES come motore crittografico. L’uso dell’AES ha risolto molti dei punti deboli delle precedenti tecniche crittografiche dell’802.11, incluse le debolezze nell’algoritmo di schedulazione delle chiavi.
Nell’802.11i sono stati incorporati anche numerosi altri miglioramenti per risolvere problemi di sicurezza, inclusi aspetti di autenticazione, attacchi di risposta e data forgery.
Crittazione AES
L’algoritmo crittografico AES con chiave a 128 bit è stato approvato dal governo USA nel 2003 per l’uso nella crittazione di informazioni classificate. Inoltre, l’AES è stato approvato dalla NSA per le informazioni Top Secret. Le radio RadioLinx supportano l’uso della crittazione AES a 128 bit per tutte le comunicazioni, che è il livello di crittazione più alto ammesso per l’esportazione dal governo USA.
L’AES è una cifratura a blocchi efficiente da implementare in hardware, che quindi non degrada la velocità delle comunicazioni. RadioLinx è in grado di mantenere il pieno throughput dei dati mentre esegue la crittazione e decrittazione 802.11i su tutti i pacchetti trasferiti.
Un miglioramento significativo dell’AES rispetto a precedenti implementazioni della sicurezza 802.11 è che non è possibile estrapolare la chiave di crittazione utilizzata dalle radio osservando le comunicazioni crittate.
Autenticazione
Un secondo miglioramento fondamentale nell’implementazione della sicurezza 802.11i è la prevenzione dei problemi causati dalla comunicazione con dispositivi che non avrebbero dovuto essere ammessi sulla rete. La precedente sicurezza 802.11 non era suscettibile ad ammettere che i dispositivi client 802.11 comunicassero con punti di accesso che emulassero punti di accesso alla rete. Quando un client iniziava a comunicare con uno di questi punti di accesso fasulli, il punto d’accesso fasullo poteva estrarre informazioni dal dispositivo client, presentando un’importante falla nella sicurezza.
Lo standard 802.11i ha un’autenticazione molto potenziata. Essa richiede che sia il punto di accesso che i client autentichino che sono ammessi nella rete prima che abbiano inizio le comunicazioni. Il termine 802.11i per descrivere questo processo è handshake a quattro vie. In questo processo, i paccheeti scambiati fra punto di accesso e client sono crittati con una chiave condivisa. Affinché l’autenticazione si completi con successo, entrambe le unità devono contenere chiavi condivise comuni.
Quando l’autenticazione è terminata, le due unità scambiano una chiave temporale che verrà utilizzata per crittare le comunicazioni. La chiave temporale viene rinfrescata periodicamente dalle due unità come mezzo aggiunto di sicurezza.
Controllo integrità dei messaggi
I meccanismi nell’802.11i descritti sopra prevengono la decrittazione non autorizzata dei messaggi ed impediscono che la chiave venga rubata in modo da potere crittare e decrittare i messaggi. Un terzo miglioramento nell’802.11i è impedire la generazione di dati fittizi da parte di un utente non autorizzato che potrebbero avere un impatto negativo sul sistema.
Lo standard 802.11i ha aggiunto un controllo migliorato di integrità dei messaggi specificamente per impedire attacchi di risposta e forged data. Gli attacchi di risposta consistono nel rispondere via etere a un messaggio che è stato precedentemente trasmesso con l’intento di fare in modo che il ricevente passasse i dati alla rete Ethernet. Gli attacchi forged data consistono nell’apportare piccoli cambiamenti al flusso di dati crittati in modo da generare pacchetti errati su Ethernet. La precedente sicurezza dell’802.11 era suscettibile a entrambi questi elementi.
Il meccanismo dell’802.11i utilizza un vettore di inizializzazione a 48 bit, oltre al MAC ID del trasmettitore e del ricevitore in un meccanismo di hashing per generare una sequenza di controllo integrità impiegata per validare ciascun messaggio. Esso evita gli attacchi di risposta bloccando i pacchetti identici che sono stati ricevuti in precedenza. Quando un pacchetto è stato ricevuto, decrittato e passato all’Ethernet con successo, i successivi pacchetti identici vengono scartati. Il meccanismo è efficace anche nell’evitare attacchi forged data. Inoltre, se vengono ricevuti più pacchetti da una sorgente che sembra eseguire il forging dei dati, un client si disassocia e riassocia per generare un nuovo set sicuro di chiavi.
Meccanismi di sicurezza secondari
Oltre a utilizzare la sicurezza 802.11i, le soluzioni RadioLinx supportano molti altri meccanismi per potenziare la sicurezza.
MAC Filtering. RadioLinx permette all’utente di immettere i MAC ID delle radio che possono esservi associate. Quando viene implementato questo filtro, viene ammesso solo il traffico dai dispositivi con questi MAC ID. Tutti i dispositivi con altri MAC ID vengono ignorati.
Hidden SSID. RadioLinx permette all’utente di rimuovere l’SSID dal suo beacon 802.11. Ciò rende più difficile agli utenti non autorizzati il rilevamento del nome della rete e il tentativo di associazione.
Block General Probe.RadioLinx supporta un’impostazione che dice alla radio di non rispondere a richieste di sondaggio 802.11 non dirette per uno specifico SSID. Il tipico meccanismo con il quale un client si associa ad un punto di accesso prevede che esso invii una richiesta di sondaggio per determinare se vi sono punti di accesso nell’area. Una generica richiesta di sondaggio sollecita risposte dai punti di accesso di qualsiasi SSID. Evitando ciò, il client che desidera associarsi con la radio deve essere a conoscenza dell’SSID in anticipo per inviare una richiesta di sondaggio specificamente per quell’SSID.
Convinti della sicurezza!
E che cosa dire dell’affidabilità? Come posso essere sicuro che la mia rete è abbastanza affidabile e sicura per trasmettere i miei dati di controllo? Questo potrebbe essere l’argomento di un altro articolo specificamente centrato sulle soluzioni 802.11n (si vedano le nuove soluzioni RadioLinx Industrial 802.11n di ProSoft Technology). Questo nuovo standard IEEE permette a più reti di coesistere nello stesso luogo (22 canali non sovrapposti); e, grazie al modo con il quale gestisce i percorsi multipli (i riflessi multipli), esso offre una robusta connettività e permette elevate velocità di trasferimento dati (fino a 300 Mbps nell’etere). Senza approfondire troppo la teoria, diciamo che la tecnologia industriale 802.11n è una buona soluzione per molte applicazioni di automazione. Intanto, considerate che i sistemi ad alta velocità come le macchine di imbottigliamento o i paranchi-gru hanno fatto progressi in termini di affidabilità e produttività grazie a... il wireless industriale RadioLinx.
Sicurezza!
Il metodo principale di sicurezza nelle radio basate su standard IEEE è l’aderenza allo standard IEEE 802.11i per le comunicazioni wireless sicure. In più, le soluzioni RadioLinx di ProSoft Technology supportano numerosi altri meccanismi per migliorare l’offerta di sicurezza.
IEEE 802.11i
Nel 2004, IEEE ha pubblicato lo standard IEEE 802.11i per risolvere i problemi di sicurezza riguardanti le comunicazioni 802.11. Questo standard viene spesso chiamato WPA2, un termine che è stato coniato dalla Wi-Fi Alliance.
Il fondamentale miglioramento apportato alla sicurezza 802.11 dall’adozione dello standard 802.11i è l’uso della cifratura a blocchi AES come motore crittografico. L’uso dell’AES ha risolto molti dei punti deboli delle precedenti tecniche crittografiche dell’802.11, incluse le debolezze nell’algoritmo di schedulazione delle chiavi.
Nell’802.11i sono stati incorporati anche numerosi altri miglioramenti per risolvere problemi di sicurezza, inclusi aspetti di autenticazione, attacchi di risposta e data forgery.
Crittazione AES
L’algoritmo crittografico AES con chiave a 128 bit è stato approvato dal governo USA nel 2003 per l’uso nella crittazione di informazioni classificate. Inoltre, l’AES è stato approvato dalla NSA per le informazioni Top Secret. Le radio RadioLinx supportano l’uso della crittazione AES a 128 bit per tutte le comunicazioni, che è il livello di crittazione più alto ammesso per l’esportazione dal governo USA.
L’AES è una cifratura a blocchi efficiente da implementare in hardware, che quindi non degrada la velocità delle comunicazioni. RadioLinx è in grado di mantenere il pieno throughput dei dati mentre esegue la crittazione e decrittazione 802.11i su tutti i pacchetti trasferiti.
Un miglioramento significativo dell’AES rispetto a precedenti implementazioni della sicurezza 802.11 è che non è possibile estrapolare la chiave di crittazione utilizzata dalle radio osservando le comunicazioni crittate.
Autenticazione
Un secondo miglioramento fondamentale nell’implementazione della sicurezza 802.11i è la prevenzione dei problemi causati dalla comunicazione con dispositivi che non avrebbero dovuto essere ammessi sulla rete. La precedente sicurezza 802.11 non era suscettibile ad ammettere che i dispositivi client 802.11 comunicassero con punti di accesso che emulassero punti di accesso alla rete. Quando un client iniziava a comunicare con uno di questi punti di accesso fasulli, il punto d’accesso fasullo poteva estrarre informazioni dal dispositivo client, presentando un’importante falla nella sicurezza.
Lo standard 802.11i ha un’autenticazione molto potenziata. Essa richiede che sia il punto di accesso che i client autentichino che sono ammessi nella rete prima che abbiano inizio le comunicazioni. Il termine 802.11i per descrivere questo processo è handshake a quattro vie. In questo processo, i paccheeti scambiati fra punto di accesso e client sono crittati con una chiave condivisa. Affinché l’autenticazione si completi con successo, entrambe le unità devono contenere chiavi condivise comuni.
Quando l’autenticazione è terminata, le due unità scambiano una chiave temporale che verrà utilizzata per crittare le comunicazioni. La chiave temporale viene rinfrescata periodicamente dalle due unità come mezzo aggiunto di sicurezza.
Controllo integrità dei messaggi
I meccanismi nell’802.11i descritti sopra prevengono la decrittazione non autorizzata dei messaggi ed impediscono che la chiave venga rubata in modo da potere crittare e decrittare i messaggi. Un terzo miglioramento nell’802.11i è impedire la generazione di dati fittizi da parte di un utente non autorizzato che potrebbero avere un impatto negativo sul sistema.
Lo standard 802.11i ha aggiunto un controllo migliorato di integrità dei messaggi specificamente per impedire attacchi di risposta e forged data. Gli attacchi di risposta consistono nel rispondere via etere a un messaggio che è stato precedentemente trasmesso con l’intento di fare in modo che il ricevente passasse i dati alla rete Ethernet. Gli attacchi forged data consistono nell’apportare piccoli cambiamenti al flusso di dati crittati in modo da generare pacchetti errati su Ethernet. La precedente sicurezza dell’802.11 era suscettibile a entrambi questi elementi.
Il meccanismo dell’802.11i utilizza un vettore di inizializzazione a 48 bit, oltre al MAC ID del trasmettitore e del ricevitore in un meccanismo di hashing per generare una sequenza di controllo integrità impiegata per validare ciascun messaggio. Esso evita gli attacchi di risposta bloccando i pacchetti identici che sono stati ricevuti in precedenza. Quando un pacchetto è stato ricevuto, decrittato e passato all’Ethernet con successo, i successivi pacchetti identici vengono scartati. Il meccanismo è efficace anche nell’evitare attacchi forged data. Inoltre, se vengono ricevuti più pacchetti da una sorgente che sembra eseguire il forging dei dati, un client si disassocia e riassocia per generare un nuovo set sicuro di chiavi.
Meccanismi di sicurezza secondari
Oltre a utilizzare la sicurezza 802.11i, le soluzioni RadioLinx supportano molti altri meccanismi per potenziare la sicurezza.
MAC Filtering. RadioLinx permette all’utente di immettere i MAC ID delle radio che possono esservi associate. Quando viene implementato questo filtro, viene ammesso solo il traffico dai dispositivi con questi MAC ID. Tutti i dispositivi con altri MAC ID vengono ignorati.
Hidden SSID. RadioLinx permette all’utente di rimuovere l’SSID dal suo beacon 802.11. Ciò rende più difficile agli utenti non autorizzati il rilevamento del nome della rete e il tentativo di associazione.
Block General Probe.RadioLinx supporta un’impostazione che dice alla radio di non rispondere a richieste di sondaggio 802.11 non dirette per uno specifico SSID. Il tipico meccanismo con il quale un client si associa ad un punto di accesso prevede che esso invii una richiesta di sondaggio per determinare se vi sono punti di accesso nell’area. Una generica richiesta di sondaggio sollecita risposte dai punti di accesso di qualsiasi SSID. Evitando ciò, il client che desidera associarsi con la radio deve essere a conoscenza dell’SSID in anticipo per inviare una richiesta di sondaggio specificamente per quell’SSID.
Convinti della sicurezza!
E che cosa dire dell’affidabilità? Come posso essere sicuro che la mia rete è abbastanza affidabile e sicura per trasmettere i miei dati di controllo? Questo potrebbe essere l’argomento di un altro articolo specificamente centrato sulle soluzioni 802.11n (si vedano le nuove soluzioni RadioLinx Industrial 802.11n di ProSoft Technology). Questo nuovo standard IEEE permette a più reti di coesistere nello stesso luogo (22 canali non sovrapposti); e, grazie al modo con il quale gestisce i percorsi multipli (i riflessi multipli), esso offre una robusta connettività e permette elevate velocità di trasferimento dati (fino a 300 Mbps nell’etere). Senza approfondire troppo la teoria, diciamo che la tecnologia industriale 802.11n è una buona soluzione per molte applicazioni di automazione. Intanto, considerate che i sistemi ad alta velocità come le macchine di imbottigliamento o i paranchi-gru hanno fatto progressi in termini di affidabilità e produttività grazie a... il wireless industriale RadioLinx.
Richiedi maggiori informazioni…
