Aspectos de segurança em redes Wi-Fi

Características

Este padrão de rede pode funcionar em dois modelos distintos. O primeiro e mais simples é conhecido como Ad-Hoc, no qual um usuário se comunica diretamente com outro(s). Pensado para conexões pontuais, só recentemente este modelo passou a prover mecanismos robustos de segurança, por conta do fechamento de padrões mais modernos (802.11i). Porém, estes novos padrões exigem placas também mais modernas e que ainda não são a maioria no mercado.

O outro modelo, conhecido como Infra-estrutura, necessita de um ponto de convergência, um concentrador (Access Point, em inglês), e permite maior flexibilidade dos mecanismos de autenticação, criptografia dos dados e demais aspectos de gerenciamento e segurança.

Redes sem fio utilizam freqüências de rádio. No caso de redes Wi-Fi, estas freqüências podem cobrir distâncias por volta de 500 metros, em ambientes abertos e no modelo Infra-estrutura, com clientes e um concentrador. E este é um aspecto a ser levado em consideração, pois o alcance da rede pode ser um fator de risco. Um usuário acessando em um aeroporto, por exemplo, pode ter seu tráfego capturado por um atacante posicionado em um local visualmente distante mas ainda assim suficiente para captar os sinais transmitidos.

Por conta dos vários padrões atuais de redes Wi-Fi, alguns deles não são compatíveis entre si. Notadamente, os padrões 802.11b e 802.11a usam freqüências diferentes, e uma placa de um padrão não funciona com um concentrador ou placa de outro, da mesma maneira que um rádio AM não tem recursos para sintonizar estações FM. Por outro lado, os padrões 802.11b e 802.11g compartilham a mesma freqüência. Sendo o último mais recente, possibilita maior velocidade e modelos de segurança mais robustos. Felizmente, vários fabricantes têm lançado placas que podem usar qualquer um dos três padrões, facilitando a mobilidade do usuário.

Os métodos criptográficos disponíveis atualmente são conhecidos genericamente por WEP, WPA e WPA2, listados em ordem de idade e qualidade dos algoritmos utilizados. A base do método WEP é uma senha conhecida pelos participantes da rede, quer sejam máquinas clientes conectadas diretamente ou através de um concentrador (que também deverá ter conhecimento da senha). O mesmo princípio de senha compartilhada é usado em um dos modo de operação do WPA, com a vantagem de usar mecanismos mais resistentes a ataques do que o seu antecessor WEP. Um outro modo de operação do WPA, e também do WPA2, exige uma infra-estrutura bem mais complexa, incluindo um servidor de autenticação, que pode ainda se reportar a outros servidores, como controladores de domínio, bancos de dados contendo a base de usuários, etc.

Riscos

Como as informações neste tipo de rede trafegam pelo ar, podem ser capturadas por qualquer pessoa que tenha um equipamento compatível. Com o barateamento dos equipamentos e lançamento de placas multipadrão, a compatibilidade deixou de ser um problema.

Portanto, a primeira coisa que o usuário deve ter em mente é que qualquer tráfego não criptografado pode ser facilmente capturado. E aí entra o primeiro problema: muitas pessoas simplesmente não habilitam ou reivindicam aos respectivos adminstradores a implementação de métodos criptográficos. Mesmo o WEP, que é mais simples de ser quebrado (com programas apropridados), é melhor que não usar nenhuma proteção ao conteúdo do tráfego.

Em ambientes públicos, como aeroportos e centros de compras, é muito comum a existência de serviços de conexão à Internet via redes sem fio, conceito conhecido pelo nome de hotspot. Um dos problemas de segurança mais comuns, neste caso, está ligado à autenticação do usuário, normalmente feita por uma página Web usando o protocolo HTTP e não HTTPS, portanto sem criptografia, passível de captura e utilização posterior não autorizada.

Outro problema diz respeito à inexistência de mecanismos de criptografia no tráfego. Mesmo que no momento da autenticação seja usado o protocolo HTTPS ou similar, se não houver um método para cifrar os dados durante o uso do serviço, o usuário poderá ter sua privacidade comprometida, ainda mais se acessar informações sensíveis via correio eletrônico através de webmail ou POP3, por exemplo.

Um usuário assinante de um serviço Wi-Fi, em geral liga o computador, informa suas credenciais (normalmente usuário e senha), estabelece conexão com um concentrator e está apto a navegar. Porém, qual a garantia que este usuário tem de estar conectado por um concentrator legítimo? Com a sofisticação e barateamento dos equipamentos, forjar um concentrador passou a ser uma tarefa factível, até mesmo com equipamentos simples, como PDAs ou notebooks. Um concentrador falso pode ser montado para simplesmente coletar usuários e senhas válidos para uso posterior ou, nos casos mais sofisticados, redirecionar o tráfego para o concentrador real, mas tendo acesso ao conteúdo das informações trafegadas.

Possibilidades de ataques podem existir nos protocolos de rede, nos concentradores e também, claro, nos clientes. Um ataque direto a um cliente conectado possibilita obter dados sobre configurações de rede, incluindo senhas previamente compartilhadas pelos padrões WEP ou WPA. Obtendo domínio sobre o equipamento do usuário legítimo, o atacante pode ainda usar uma conexão estabelecida para fazer uso da rede, ou seja, o usuário acessa a Internet ou rede local, e o atacante também.

Prevenção

Os ataques podem ocorrer em vários níveis, então os métodos preventivos devem se dar em todos eles. O usuário deve cobrar do administrador ou provedor que as soluções adotadas sejam as mais seguras possíveis, porém um modelo eficiente e seguro em um ambiente certamente não será em outro.

Em redes pequenas pode ser razoável usar senhas WEP ou WPA previamente compatilhadas, mas isso não é factível em redes pagas em locais públicos (hotspots), onde não existe condições de contatar todos os usuários do serviço para uma eventual troca da senhas. Neste caso, a autenticação usando HTTPS, por exemplo, pode garantir uma segurança adicional, e ainda maior se o usuário confirmar o certificado digital da empresa provedora do serviço, evitando acessar concentradores falsos.

Sinais suspeitos de conexão com concentradores clonados são:

• Após autenticação a navegação não funciona
• Navegação intermitente
• Sinal do concentrador variando, por vezes sumindo e reaparecendo

Os novos padrões, notadamente o 802.11i, possibilitam métodos de autenticação bastante robustos, com os quais o administrador pode montar ambientes que, por exemplo, usem uma base centralizada de usuários para qualquer necessidade de autenticação, quer seja uma aplicação, acesso a recursos da rede (cabeada, sem fio ou ambas), uso de VPNs (Redes Privadas Virtuais), etc.

Esse tipo de solução pode ser interessante para empresas com muitos funcionários, pois reduz bastante as chamadas para troca de senhas, permite um maior controle dos usuários ativos e facilita a criação e manutenção das aplicações e sistemas da empresa, pois a parte de autenticação é a mesma para todos. Esse método também pode ser usado sem maiores problemas por serviços pagos de acesso à Internet, pois o usuário teria de fornecer as mesmas informações a que ele já está acostumado: usuário e senha.

Entretanto, esses padrões necessitam de equipamentos mais recentes e, em princípio, o fornecedor do serviço não poderia exigir que seus assinantes estejam atualizados em termos de placas e equipamentos (alguns notebooks e PDAs têm placas sem fio integradas, por exemplo). E a despeito da possibilidade de a empresa prestadora do serviço fazer convênios com fabricantes de equipamentos, oferencendo linhas de crédito ou descontos para aquisição de dispositivos compatíveis com o serviço, esta idéia (convênio) pode ser melhor aproveitada por empresas, que têm maior poder de, digamos, convencimento sobre seus funcionários.

É importante saber que acessos públicos (pagos ou não) são, em princípio, um risco, por isso não se deve usar equipamentos de terceiros para acessar informações pessoais ou empresariais sensíveis. E isso vale para equipamentos de infra-estrutura também (link, roteadores, concentradores, servidores etc.). O uso de criptografia é essencial para aumentar a segurança das informações trafegadas, e isso pode ser conseguido através de VPNs, HTTPS, SPOP3 (acesso POP3 seguro) ou protocolos convencionais acrescidos da camada SSL, por exemplo. Verifique com o suporte da sua empresa ou provedor a existência desses mecanimos e como configurá-los.

E, por fim, para evitar ataques aos computadores, notebooks e PDAs, devem ser seguidos os mesmos procedimentos conhecidos para redes cabeadas, como atualizar o sistema operacional, aplicativos, antivírus, firewall pessoal, anti-spyware e anti-spam. Da mesma maneira que um carro sem manutenção, um computador desatualizado é dor-de-cabeça na certa.

Este artigo foi publicado originalmente no site Infoguerra

Nelson Murilo é analista de segurança e diretor da Pangéia Informática. Publicou recentemente, pela Editora Novatec, o livro Segurança em Redes Sem Fio