Appunti Sicurezza della rete

Corso di "Sicurezza dei sistemi informatici in Internet"

Corso tenuto nell’A.A. 2021/2022 dal prof. Massimo Carnevali presso l’Università degli Studi di Ferrara. Licenza Creative Commons 4.0 International: BY-SA. Documento derivato dall’elaborazione del materiale didattico fornito dal prof. Massimo Carnevali per il corso "Sicurezza dei sistemi informatici in Internet" presso l’Università degli Studi di Ferrara.

Sicurezza della rete

Created: December 9, 2021 10:14 PM
Last edit: December 20, 2021 7:31 AM
Slide: 18

Indice

• Proteggere l'accesso alla rete Ethernet
• 802.1x: Port Authentication
• Autenticazione tramite 802.1X
• EAP
• WEP e WPA
• Authentication server
• Attacchi all'infrastruttura di rete
• Rogue Access Point
• Rogue Cell Phone Base Station
• Attacchi ai protocolli cellulari
• Rogue Satellite (GPS spoofing)
• VPN (Virtual Private Network)
• Architetture di VPN
• IPsec
• Modalità operativa di IPsec
• SA (Security Association)
• OpenVPN
• VPN outsourcing (Virtual Private Circuit)
• MPLS (MultiProtocol Label Switching)
• VPC (Virtual Private Cloud)

Proteggere l'accesso alla rete Ethernet

Ci sono diverse tecniche per proteggersi da collegamenti indesiderati alla rete:

• MAC locking: Blocco delle porte mediante ACL sul MAC address.
• ACL locking: Blocco delle porte mediante regole più sofisticate (ad esempio non accetto due MAC address sulla stessa porta oppure definisco un range di MAC address accettabili).
• 802.1X port authentication: Configurazione che impedisce l’instaurarsi del collegamento fisico finché non è completata una fase di autenticazione.
• NAC (Network Access Control): Configurazione in cui la fase di allacciamento alla rete è gestita ad alto livello e include, oltre all’autenticazione, anche altri controlli sul dispositivo (es. presenza di antivirus, vulnerabilità), oppure il reindirizzamento su Captive portal.
• VLAN management: Le porte sono assegnate a VLAN diverse e la Management VLAN è separata dalle altre e protetta da regole esplicite di accesso. Una VLAN permette di avere reti virtuali diverse sulla stessa rete fisica: la separazione è fatta a livello di switch, per cui si ha sempre un unico collegamento fisico per i diversi utenti.

802.1x: Port Authentication

IEEE 802.1x è uno standard IEEE basato sul controllo delle porte di accesso alla rete LAN. Fornisce un meccanismo di autenticazione ai dispositivi che vogliono collegarsi tramite uno switch o un access point WiFi a una rete LAN o WLAN, stabilendo un collegamento punto a punto e impedendo collegamenti non autorizzati alla rete locale. Viene utilizzato dalle reti locali wireless per gestire le connessioni agli access point. Lo standard 802.1x è stato pensato per consentire il controllo dell'accesso alla rete a livello di porta; è un'architettura di autenticazione a livello 2 (MAC).

La sicurezza port-based prevista da 802.1x permette ai dispositivi di rete di richiedere all'utente un'autenticazione prima che questo ottenga accesso alla rete. Vi sono implementazioni di 802.1x sia nelle reti wired che wireless: è presente praticamente sempre nel wireless, sta prendendo piede anche nel mondo wired. L'802.1x è ormai supportato dalla maggioranza dei nuovi switch e può effettuare l'autenticazione in congiunzione con un programma installato sul computer, supplicant, eliminando la possibilità di un accesso non autorizzato tramite collegamento al livello fisico della rete. Normalmente, l'autenticazione è fatta da una terza parte, come un server RADIUS.

Autenticazione tramite 802.1X

L'autenticazione tramite 802.1X coinvolge tre attori principali: un supplicant, un authenticator e un authentication server. Il supplicant è un dispositivo client che desidera connettersi alla rete.