AetnaNet - Wi-Fi: quando diventerà sicuro?

Wireless LAN, che meraviglia. Eh già, perché l’attrattiva di essere collegati alla Rete sempre ed ovunque, spostandosi liberamente nell’ambiente di lavoro o nei vari locali della nostra abitazione senza l’imbarazzo di fili e collegamenti vari, rappresenta un bel sogno improvvisamente divenuto realtà per molti tecnofili nostrani.

Il WLAN, che in alcune parti del mondo è tuttora per diversi motivi sinonimo di navigazione gratuita a banda larga, conquista ogni giorno sempre di più aziende e singoli utenti, desiderosi di efficienza unita alla libertà di connessione. Tanto più che, grazie alla rapida diffusione delle reti Wireless LAN (Wi-Fi) basate sugli standard IEEE 802.1x, i costi contenuti per l’acquisto dell’hardware accessibile anche al mercato consumer nonché procedure di installazione e configurazione relativamente semplici, il Wi-Fi si sta affermando come una validissima alternativa alle reti LAN Ethernet tradizionali, nonché un (possibile) concorrente dell’UMTS. Se non fosse per...

Naturalmente, non potevano mancare gli inevitabili “contro” per l’impiego di questa tecnologia. Lo standard oggi prevalente è l’802.11b che finora si è dimostrato una tecnologia solida e matura, sviluppata nel corso di questi ultimi dieci anni prevalentemente da società americane appartenenti al mondo IT. Tuttavia, nonostante le tecnologie integrate che dovrebbero garantire la sicurezza delle reti Wireless LAN, queste ultime si sono dimostrate assai vulnerabili e con più buchi di un formaggio svizzero. Lo standard di sicurezza attuale, approvato dalla Wireless Fidelity Alliance (Wi-Fi Alliance), è il cosiddetto WEP (Wired Equivalent Privacy), una soluzione che si sta conquistando una pessima fama nel settore al punto da essere considerata un vero e proprio “moltiplicatore” delle vulnerabilità del Wi-Fi. Il problema è serio e potrebbe rappresentare un freno alla ulteriore diffusione delle reti WLAN. Le previsioni sono parlano chiaro: secondo una ricerca della società di ricerche Gartner, entro il 2002 almeno un terzo di tutte le imprese correranno il rischio di intrusioni per aver realizzato reti WLAN 802.11b.

I problemi della sicurezza delle reti Wireless LAN non sono cosa nuova. Negli USA, dove le reti WLAN sono da tempo una realtà, dilaga il fenomeno del “war driving” e del “war walking”. I due termini indicano persone che in automobile o a piedi, armate di antenna direzionale, individuano reti Wi-Fi scarsamente protette e si collegano ad esse navigando alle spese dell’ignaro utente/azienda. Chiaramente, stiamo parlando di una pratica assolutamente illegale, in quanto rappresenta un’intrusione all’interno di un sistema informatico e come tale severamente perseguibile dalla legge. Tuttavia, al di là degli aspetti puramente legali, non ci deve sfuggire di vista il problema di fondo: l’estrema vulnerabilità delle reti Wi-Fi e la facilità con cui gli hacker più o meno esperti sono in grado di violarle. Non è un mistero che per costruire un’antenna direzionale in grado di rilevare reti Wi-Fi è sufficiente utilizzare una lattina vuota di patatine Pringles...

Cerchiamo di capire un attimo in pochi semplici passi dove si trova il problema. Lo standard IEEE 802.11b prevede due modalità di autenticazione del terminale mobile: SKA (Shared Key Authentication) e OSA (Open Systems Authentication). Mentre il primo metodo prevede l'uso di una chiave "condivisa" (Shared Key, appunto) nel processo di autenticazione, il secondo è assolutamente aperto, non richiede alcuna chiave di autenticazione e l’accesso è garantito a chiunque. Pertanto, non andremo ad analizzare questa seconda modalità. Nel primo caso, invece, solamente dopo aver effettuato l’autenticazione, il terminale mobile e la rete possono comunicare. Lo scambio dei dati, in quanto prevede l’utilizzo di chiavi di autenticazione, è crittografato. Lo standard per la crittografia delle comunicazioni nelle reti Wi-Fi è appunto WEP, a cui abbiamo poc’anzi accennato. L’utilizzo del WEP prevede la codifica dei dati trasmessi con chiavi statiche a 128 e 64 bit, di cui 24 utilizzati per il cosiddetto "Instance Vector" che riducono la codifica a 104 e 40bit. Inoltre, per ovviare alle caratteristiche dello standard 802.11b che richiede l’assoluta sincronia della comunicazione e non tollera alcuna perdita di dati, ad ogni pacchetto di dati viene assegnata una chiave e, più precisamente, la stessa chiave assegnata nel corso dell’autenticazione iniziale. Pertanto, la comunicazione WEP può essere decifrata in pochi minuti, avendo intercettato fra i 100 MB e 1 GB di dati, con alcuni appositi programmi facilmente reperibili su Internet. Una volta scoperta la chiave, il gioco è fatto.

Arriva il WPA

Di fronte a queste debolezze strutturali, c’è poco che un amministratore di rete può fare per rendere davvero sicura una Wireless LAN contro le intrusioni esterne. Per fortuna, appena in tempo, la Wi-Fi Alliance ha annunciato l’approvazione di un nuovo standard per l’autenticazione e la sicurezza delle reti Wi-Fi che, entro il 2003 dovrebbe sostituire definitivamente il WEP e garantire maggiore fiducia. Lo standard, approvato appena qualche giorno fa, si chiama Wi-Fi Protected Access (WPA) ed a partire dal 2003 dovrà essere integrato in tutti i prodotti certificati Wi-Fi. L’equipment oggi in uso potrà, con molta probabilità, essere facilmente aggiornato via software. Entro breve, quindi, le reti WLAN saranno un po’ più sicure ed affidabili.

Il salto di qualità del WPA rispetto all’odierno WEP è dato dall’impiego del protocollo TKIP (Temporal Key Integrity Protocol) per la crittografia dei dati e dal protocollo EAP (Extensible Authentication Protocol) per l’autenticazione dell’utente, funzione quest’ultima assolutamente assente nel WEP. L’EAP consentirà quindi l’accesso ad una rete aziendale solamente agli utenti abilitati, che dovranno fornire le proprie credenziali per l’accesso per ottenere una chiave ed accedere alla rete. Una volta ottenuto l’accesso la comunicazione, il WPA prevede la possibilità di “mischiare” le chiavi inserite in ogni pacchetto, con un controllo dell’integrità del messaggio (MIC) nonché un meccanismo per la rassegnazione di chiavi d’autenticazione.

Il WPA è basato su uno standard futuro, non ancora disponibile, denominato IEEE 802.11i che, in teoria, sarà privo delle debolezze strutturali dell’attuale 802.11b. Il nuovo standard, oggi ancora in fase di sviluppo, sarà lanciato non prima della fine del 2003. Lo standard 802.11i supporterà, oltre al WPA, altre funzionalità non applicabili alle reti attuali che quindi richiederanno la sostituzione dell’hardware per poter essere compatibili con il nuovo standard. Ulteriori costi, dunque, ma con un chiaro vantaggio in termini di sicurezza. La scelta di lanciare in anticipo il WPA, che naturalmente sarà pienamente compatibile con i futuri standard IEEE 802.1x, illustra chiaramente la preoccupazione per la sicurezza che rischiava di minare tutti i progressi finora ottenuti nel settore. Wi-Fi, si prospetta un futuro meraviglioso...?