Appunti Sicurezza della rete

Corso di “Sicurezza dei sistemi

informatici in Internet”

Corso tenuto nell’A.A. 2021/2022 dal prof. Massimo Carnevali

presso l’Università degli Studi di Ferrara

Licenza Creative Commons 4.0 International: BY-SA

Documento derivato dall’elaborazione del materiale didattico fornito dal

prof. Massimo Carnevali per il corso “Sicurezza dei sistemi informatici in

Internet” presso l’Università degli Studi di Ferrara.

✉

18. Sicurezza della rete

Created @December 9, 2021 10:14 PM

Last edit @December 20, 2021 7:31 AM

Slide 18

INDICE

Proteggere l'accesso alla rete Ethernet

802.1x: Port Authentication

Autenticazione tramite 802.1X

EAP

WEP e WPA

Authentication server

Attacchi all'infrastruttura di rete

Rogue Access Point

Rogue Cell Phone Base Station

Attacchi ai protocolli cellulari

Rogue Satelite (GPS spoofing)

VPN (Virtual Private Network)

Architetture di VPN

IPsec

Modalità operativa di IPsec

SA (Security Association)

OpenVPN

18. Sicurezza della rete 1

VPN outsourcing (Virtual Private Circuit)

MPLS (MultiProtocol Label Switching)

VPC (Virtual Private Cloud)

Proteggere l'accesso alla rete Ethernet

Ci sono diverse tecniche per proteggersi da collegamenti indesiderati alla rete:

MAC locking: blocco delle porte mediante ACL sul MAC address.

ACL locking: blocco delle porte mediante regole più sofisticate (ad esempio non

accetto due MAC address sulla stessa porta oppure definisco un range di MAC

address accettabili).

802.1X port authentication: configurazione che impedisce l’instaurarsi del

collegamento fisico finché non è completata una fase di autenticazione.

NAC (Network Access Control): configurazione in cui la fase di allacciamento

alla rete è gestita ad alto livello e include, oltre all’autenticazione, anche altri

controlli sul dispositivo (es. presenza di antivirus, vulnerabilità), oppure il

reindirizzamento su Captive portal.

VLAN management: le porte sono assegnate a VLAN diverse e la Management

VLAN è separata dalle altre e protetta da regole esplicite di accesso. Una VLAN

permette di avere reti virtuali diverse sulla stessa rete fisica: la separazione è

fatta a livello di switch, per cui si ha sempre un unico collegamento fisico per i

diversi utenti.

802.1x: Port Authentication

IEEE 802.1x è uno standard IEEE basato sul controllo delle

porte di accesso alla rete LAN. Fornisce un meccanismo di

autenticazione ai dispositivi che vogliono collegarsi tramite

uno switch o un access point WiFi ad una rete LAN o WLAN,

stabilendo un collegamento punto a punto e impedendo

collegamenti non autorizzati alla rete locale. Viene utilizzato dalle

reti locali wireless per gestire le connessioni agli access point.

Lo standard 802.1x è stato pensato per consentire il controllo dell'accesso alla rete a

livello di porta; è un'architettura di autenticazione a livello 2 (MAC).

18. Sicurezza della rete 2

La sicurezza port-based prevista da 802.1x permette ai dispositivi di rete di

richiedere all'utente un'autenticazione prima che questo ottenga accesso alla rete.

Vi sono implementazioni di 802.1x sia nelle reti wired che wireless: è presente

praticamente sempre nel wireless, sta prendendo piede anche nel mondo wired.

L'802.1x è ormai supportato dalla maggioranza dei nuovi switch e può effettuare

l'autenticazione in congiunzione con un programma installato sul computer,

supplicant, eliminando la possibilità di un accesso non autorizzato tramite

collegamento al livello fisico della rete.

Normalmente, l'autenticazione è fatta da una terza parte, come un server

RADIUS.

Autenticazione tramite 802.1X

L'autenticazione tramite 802.1X coinvolge tre attori principali: un supplicant, un

authenticator e un authentication server.

Il supplicant è un dispositivo client che desidera connettersi alla rete