Aspectos de segurança em redes Wi-Fi
Colaboração: Nelson Murilo
Data de Publicação: 04 de Junho de 2005
Redes sem fio (wireless) abrangem uma gama enorme de
tecnologias -- as diferenças vão desde freqüências
utilizadas, distâncias alcançadas, até protocolos
envolvidos -- mas a de maior popularidade é, inegavelmente,
a rede Wi-Fi (sigla em inglês resultante da expressão
Wireless Fidelity). Mas será que as redes Wi-Fi provêm
mecanismos que garantem a segurança do usuário? E será que,
existindo estes mecanismos, eles são adotados? Quais seriam
as dificuldades para sua adoção?
É com o objetivo de responder a estes questionamentos que
iremos discorrer sobre as características, os riscos e as
possibilidades de uso mais seguro de redes Wi-Fi.
Características
Este padrão de rede pode funcionar em dois modelos
distintos. O primeiro e mais simples é conhecido como
Ad-Hoc, no qual um usuário se comunica diretamente com
outro(s). Pensado para conexões pontuais, só recentemente
este modelo passou a prover mecanismos robustos de
segurança, por conta do fechamento de padrões mais modernos
(802.11i). Porém, estes novos padrões exigem placas também
mais modernas e que ainda não são a maioria no mercado.
O outro modelo, conhecido como Infra-estrutura, necessita
de um ponto de convergência, um concentrador (Access Point,
em inglês), e permite maior flexibilidade dos mecanismos
de autenticação, criptografia dos dados e demais aspectos
de gerenciamento e segurança.
Redes sem fio utilizam freqüências de rádio. No caso de
redes Wi-Fi, estas freqüências podem cobrir distâncias
por volta de 500 metros, em ambientes abertos e no modelo
Infra-estrutura, com clientes e um concentrador. E este é
um aspecto a ser levado em consideração, pois o alcance da
rede pode ser um fator de risco. Um usuário acessando em
um aeroporto, por exemplo, pode ter seu tráfego capturado
por um atacante posicionado em um local visualmente
distante mas ainda assim suficiente para captar os sinais
transmitidos.
Por conta dos vários padrões atuais de redes Wi-Fi, alguns
deles não são compatíveis entre si. Notadamente, os padrões
802.11b e 802.11a usam freqüências diferentes, e uma placa
de um padrão não funciona com um concentrador ou placa de
outro, da mesma maneira que um rádio AM não tem recursos
para sintonizar estações FM. Por outro lado, os padrões
802.11b e 802.11g compartilham a mesma freqüência. Sendo
o último mais recente, possibilita maior velocidade e
modelos de segurança mais robustos. Felizmente, vários
fabricantes têm lançado placas que podem usar qualquer um
dos três padrões, facilitando a mobilidade do usuário.
Os métodos criptográficos disponíveis atualmente
são conhecidos genericamente por WEP, WPA e WPA2,
listados em ordem de idade e qualidade dos algoritmos
utilizados. A base do método WEP é uma senha conhecida
pelos participantes da rede, quer sejam máquinas clientes
conectadas diretamente ou através de um concentrador
(que também deverá ter conhecimento da senha). O mesmo
princípio de senha compartilhada é usado em um dos modo de
operação do WPA, com a vantagem de usar mecanismos mais
resistentes a ataques do que o seu antecessor WEP. Um
outro modo de operação do WPA, e também do WPA2, exige
uma infra-estrutura bem mais complexa, incluindo um
servidor de autenticação, que pode ainda se reportar a
outros servidores, como controladores de domínio, bancos
de dados contendo a base de usuários, etc.
Riscos
Como as informações neste tipo de rede trafegam pelo ar,
podem ser capturadas por qualquer pessoa que tenha um
equipamento compatível. Com o barateamento dos equipamentos
e lançamento de placas multipadrão, a compatibilidade
deixou de ser um problema.
Portanto, a primeira coisa que o usuário deve ter em
mente é que qualquer tráfego não criptografado pode ser
facilmente capturado. E aí entra o primeiro problema:
muitas pessoas simplesmente não habilitam ou reivindicam
aos respectivos adminstradores a implementação de métodos
criptográficos. Mesmo o WEP, que é mais simples de ser
quebrado (com programas apropridados), é melhor que não
usar nenhuma proteção ao conteúdo do tráfego.
Em ambientes públicos, como aeroportos e centros
de compras, é muito comum a existência de serviços de
conexão à Internet via redes sem fio, conceito conhecido
pelo nome de hotspot. Um dos problemas de segurança mais
comuns, neste caso, está ligado à autenticação do usuário,
normalmente feita por uma página Web usando o protocolo
HTTP e não HTTPS, portanto sem criptografia, passível de
captura e utilização posterior não autorizada.
Outro problema diz respeito à inexistência de mecanismos
de criptografia no tráfego. Mesmo que no momento da
autenticação seja usado o protocolo HTTPS ou similar, se
não houver um método para cifrar os dados durante o uso do
serviço, o usuário poderá ter sua privacidade comprometida,
ainda mais se acessar informações sensíveis via correio
eletrônico através de webmail ou POP3, por exemplo.
Um usuário assinante de um serviço Wi-Fi, em geral liga o
computador, informa suas credenciais (normalmente usuário
e senha), estabelece conexão com um concentrator e está
apto a navegar. Porém, qual a garantia que este usuário
tem de estar conectado por um concentrator legítimo? Com
a sofisticação e barateamento dos equipamentos, forjar um
concentrador passou a ser uma tarefa factível, até mesmo
com equipamentos simples, como PDAs ou notebooks. Um
concentrador falso pode ser montado para simplesmente
coletar usuários e senhas válidos para uso posterior ou,
nos casos mais sofisticados, redirecionar o tráfego para
o concentrador real, mas tendo acesso ao conteúdo das
informações trafegadas.
Possibilidades de ataques podem existir nos protocolos
de rede, nos concentradores e também, claro, nos
clientes. Um ataque direto a um cliente conectado
possibilita obter dados sobre configurações de rede,
incluindo senhas previamente compartilhadas pelos padrões
WEP ou WPA. Obtendo domínio sobre o equipamento do
usuário legítimo, o atacante pode ainda usar uma conexão
estabelecida para fazer uso da rede, ou seja, o usuário
acessa a Internet ou rede local, e o atacante também.
Prevenção
Os ataques podem ocorrer em vários níveis, então os
métodos preventivos devem se dar em todos eles. O usuário
deve cobrar do administrador ou provedor que as soluções
adotadas sejam as mais seguras possíveis, porém um modelo
eficiente e seguro em um ambiente certamente não será
em outro.
Em redes pequenas pode ser razoável usar senhas WEP ou
WPA previamente compatilhadas, mas isso não é factível
em redes pagas em locais públicos (hotspots), onde
não existe condições de contatar todos os usuários do
serviço para uma eventual troca da senhas. Neste caso, a
autenticação usando HTTPS, por exemplo, pode garantir uma
segurança adicional, e ainda maior se o usuário confirmar
o certificado digital da empresa provedora do serviço,
evitando acessar concentradores falsos.
Sinais suspeitos de conexão com concentradores clonados
são:
- Após autenticação a navegação não funciona
- Navegação intermitente
- Sinal do concentrador variando, por vezes sumindo e reaparecendo
Os novos padrões, notadamente o 802.11i, possibilitam
métodos de autenticação bastante robustos, com os quais
o administrador pode montar ambientes que, por exemplo,
usem uma base centralizada de usuários para qualquer
necessidade de autenticação, quer seja uma aplicação,
acesso a recursos da rede (cabeada, sem fio ou ambas),
uso de VPNs (Redes Privadas Virtuais), etc.
Esse tipo de solução pode ser interessante para empresas
com muitos funcionários, pois reduz bastante as chamadas
para troca de senhas, permite um maior controle dos
usuários ativos e facilita a criação e manutenção
das aplicações e sistemas da empresa, pois a parte de
autenticação é a mesma para todos. Esse método também
pode ser usado sem maiores problemas por serviços pagos
de acesso à Internet, pois o usuário teria de fornecer as
mesmas informações a que ele já está acostumado: usuário
e senha.
Entretanto, esses padrões necessitam de equipamentos mais
recentes e, em princípio, o fornecedor do serviço não
poderia exigir que seus assinantes estejam atualizados
em termos de placas e equipamentos (alguns notebooks
e PDAs têm placas sem fio integradas, por exemplo). E
a despeito da possibilidade de a empresa prestadora do
serviço fazer convênios com fabricantes de equipamentos,
oferencendo linhas de crédito ou descontos para aquisição
de dispositivos compatíveis com o serviço, esta idéia
(convênio) pode ser melhor aproveitada por empresas,
que têm maior poder de, digamos, convencimento sobre
seus funcionários.
É importante saber que acessos públicos (pagos ou não)
são, em princípio, um risco, por isso não se deve usar
equipamentos de terceiros para acessar informações pessoais
ou empresariais sensíveis. E isso vale para equipamentos de
infra-estrutura também (link, roteadores, concentradores,
servidores etc.). O uso de criptografia é essencial para
aumentar a segurança das informações trafegadas, e isso
pode ser conseguido através de VPNs, HTTPS, SPOP3 (acesso
POP3 seguro) ou protocolos convencionais acrescidos da
camada SSL, por exemplo. Verifique com o suporte da sua
empresa ou provedor a existência desses mecanimos e como
configurá-los.
E, por fim, para evitar ataques aos computadores, notebooks
e PDAs, devem ser seguidos os mesmos procedimentos
conhecidos para redes cabeadas, como atualizar o sistema
operacional, aplicativos, antivírus, firewall pessoal,
anti-spyware e anti-spam. Da mesma maneira que um carro
sem manutenção, um computador desatualizado é dor-de-cabeça
na certa.
Este artigo foi publicado originalmente no site Infoguerra
Nelson Murilo é analista de segurança e diretor da Pangéia
Informática. Publicou recentemente, pela Editora Novatec, o livro
Segurança em Redes Sem Fio