1 TLT-3300 Verkon tietoturva 21.1.2008 Liikkuvien käyttäjien palveleminen: pääsyalueet ja langattomuus Karri Huhtanen Tampereen teknillinen yliopisto Tietoliikennetekniikka
2 Sisältö 1. Verkkojen suojauksen ongelma-alueet 1.1 Päätelaitteet 1.2 Käyttäjät 1.3 Verkon rämettyminen 1.4 Ympäristöriippuvaiset ratkaisut 2. Arkkitehtuurisuunnittelu verkkojen suojaamisen avaimena 2.1 Arkkitehtuurisuunnittelu käytännössä Alkutilanne 2.2 Arkkitehtuurisuunnittelu käytännössä Muutos 2.3 Arkkitehtuurisuunnittelu käytännössä Tavoitetilanne 2.4 Arkkitehtuurisuunnittelu Yhteenveto 3. Pääsyverkoista mukautuviin verkkoihin 3.1 Perinteisten pääsyverkkojen haasteet 3.2 Mukautuvan WLAN-verkon idea 3.3 Mukautuvan WLAN-verkon vaatimukset 3.4 Mukautuvan WLAN-verkon turvallisuus 3.5 Hallinnan merkitys mukautuvissa WLAN-verkoissa 4. Yhteenveto
3 1. Verkkojen suojauksen ongelma-alueet Verkkojen suojauksen ongelma-alueet ovat suurimmaksi osaksi kaikkialla muualla kuin tekniikassa. Se, miten käyttäjät ja organisaatio suhtautuvat tietoturvaan verkoissa, ratkaisee paljon enemmän kuin se, miten päätelaitteet teknisesti pidetään turvallisina tai minkälaisia teknisiä ratkaisuja käytetään verkkojen turvaamisessa. Käyttäjien suhtautumisen verkkoratkaisuihin ja tietoturvaan ratkaisee käytettävyyden ja tietoturvan tasapaino. Organisaation suhtautumisen verkkoratkaisuihin ja tietoturvaan ratkaisee kustannusten, työn tehokkuuden, käyttäjien tyytyväisyyden ja tietoturvan tasapaino. Tämän tasapainon löytämiseksi verkkoarkkitehtuurin suunnittelun on lähdettävä ratkaisujen sovittamisesta organisaation tarpeisiin eikä organisaation tarpeiden sovittamisesta ratkaisuihin.
4 1.1 Päätelaitteet Päätelaitteet ovat helpoimmasta päästä ongelmia ratkaista. Suurin osa ongelmasta olisi pelkkää tekniikkaa. Päätelaite ja sen suojaus täytyy vain pitää ajan tasalla. Suurin osa hyökkäyksistä pohjautuu haavoittuvuuksiin, jotka on jo paikattu. Itse asiassa suuri osa hyökkäyksistä pohjautuu aukipurettuihin paikkoihin. Haastetta tähän tuovat liikkuvat, satunnaisesti käytettävät päätelaitteet, jotka eivät ole jatkuvassa yhteydessä päivityspalveluihin tai ovat esimerkiksi päivitysten kannalta liian hitaiden linkkien päässä. Aina kaikki verkkoon liitettävät tai liittyvät laitteet eivät myöskään ole verkon ylläpidon hallinnassa päivitysten tai tietoturvan suhteen. Päätelaitteiden joskus tarpeellinenkin erilaisuus aiheuttaa ongelmia yritettäessä löytää ratkaisuja niiden yhteiseen ylläpitoon tai hallintaan. Erilaisuus aiheuttaa myös ongelmia yritettäessä löytää yhteensopivia ratkaisuja esimerkiksi verkon pääsynvalvontaan tai päätelaitteiden turvallisuuden tarkistamiseen. Päätelaite- ja alustavalmistajien pyrkimykset suosia itse suojaamiaan ratkaisuja hankaloittavat myös yhteensopivien ratkaisujen löytämistä.
5 1.2 Käyttäjät Käyttäjät saattavat tehdä mitä tahansa. Esimerkiksi tuoda kumppaninsa kannettavan töihin siivottavaksi viruksista ja liittää sen suoraan on. Kokonaiskuvan hahmotus voi olla joskus myös hankalaa. Saattaa olla, että esimerkiksi avoimen levyjaon tekemistä ei nähdä ongelmana tai ainakaan ei huomata, että sellainen saattaa jäädä päälle myös matkalle lähtiessä. Avointa WLAN-tukiasemaa ei kotona nähdä vieläkään välttämättä ongelmana, vaikka se olisi suora reitti yrityksen tai organisaation on. Toisaalta liian tiukoista turvatoimista nousee muutosvastarintaa sekä jopa jonkinasteinen kapina, joka johtaa taas tietoturvan heikentymiseen. Myös käyttäjien tai jopa ylläpidon kannalta liian monimutkaisilta tuntuvat ratkaisut jätetään usein käyttämättä huolimatta niiden hyödyllisyydestä.
6 1.3 Verkon rämettyminen Ajan myötä verkot kuten ohjelmistotkin rämettyvät ellei niitä hoideta. Verkkoihin kertyy kaikenlaisia tilapäisiä erikoisratkaisuja, joilla korjataan sillä hetkellä kriittisiä ongelmia, kunnes ehditään löytää ja käyttöönottaa parempi ratkaisu. Usein tälläisen paremman ratkaisun etsintä tai käyttöönotto jää tekemättä, koska toimiihan se vanhakin ratkaisu ja uuden kokeilemisesta tulisi vain uusia ongelmia. Tilapäinen ratkaisu muuttuu pysyväksi. Alun perin siistiin verkkoon liitetään erillisiä verkkoja, palvelimia, puhkotaan reikiä palomuureihin joustavuuden nimissä. Uutta toiminnallisuutta, palveluita tai laitteita yhdistetään verkkoihin suunnittelematta ja ajattelematta kokonaisuutta. Verkon kehittämisratkaisut tehdään vasta viime tingassa tai kun jo kärsitään kehityksen tai suunnittelun laiminlyömisestä. Verkon kehittämisen vaivaa tai kustannuksia ei nähdä sijoituksena tulevaan toimivuuteen.
7 1.4 Ympäristöriippuvaiset ratkaisut Pohjautuvat yleensä olettamukseen, että päätelaite-, käyttäjä-, verkkotai organisaatioympäristö on yhtenäistettävissä tai yleistettävissä homogeeniseksi kokonaisuudeksi. Perusperiaatteena ei ole niinkään hakea toimivaa kokonaisuutta hyödyntäen monimuotoisuutta vaan kerätä kasaan kokonaisuus hyödyntäen mahdollisimman tehokkaasti jotain tiettyä tuote- tai palvelupalettia. Arkkitehtuurisuunnittelu lähtee tai ainakin perustuu siihen, mitä valmiita tuotteita tai palveluita on paletissa valmiina ja miten näitä ensisijaisesti voitaisiin hyödyntää. Tämä voi kuitenkin johtaa siihen, että tehdään liikaa yleistyksiä ympäristöstä tai yritetään yhtenäistää liikaa. Tuloksena voi olla arkkitehtuuri, joka ei niinkään sopeudu käyttäjien tai organisaation tarpeisiin vaan yrittää sopeuttaa käyttäjät tai organisaation arkkitehtuuriin.
2. Arkkitehtuurisuunnittelu verkkojen suojaamisen avaimena 8 Hyvä arkkitehtuurisuunnittelu ottaa huomioon koko ongelmakentän päätelaitteista käyttäjiin, verkon rakenteesta ja kehittämisestä ympäristöriippuvaisten ratkaisujen ongelmien huomioimiseen. Hyvä arkkitehtuurisuunnittelu lähtee organisaation ja käyttäjien tarpeista sovittaen tekniset ratkaisut ja palvelut niihin eikä päinvastoin. Tyytyväiset käyttäjät ovat tehokkaita työntekijöitä. Tehokkaat työntekijät parantavat organisaation tehokkuutta. Hyvä arkkitehtuurisuunnittelu ei rajoita verkon kehittymistä ja kehittämistä. Verkon kehittyminen ja kehittäminen estää verkon rämettymisen mahdollistaen tehokkaan toiminnan myös tulevaisuudessa ja vaikuttaa näin osaltaan käyttäjien tyytyväisyyteen. Toimivat ja tehokkaat verkot kannustavat kaikkia pitämään ne samantasoisina omilla toimillaan. Yksi tälläinen alue on verkkojen tietoturva.
2.1 Arkkitehtuurisuunnittelu käytännössä -- Alkutilanne 9 Kumppaneiden verkot Internet mobiiliverkko extranet/ kumppaniverkko Verkkoihin kertyneet palvelut ja palvelimet Myynnin WLAN Tuotannon Tuotannon WLAN sisäiset verkot Tuotekehityksen Tuotekehityksen WLAN Verkkoihin kertyneet palvelut ja palvelimet Jaskan WLAN
10 2.2 Arkkitehtuurisuunnittelu käytännössä - Muutos Kumppaneiden verkot Internet mobiiliverkko extranet / kumppaniverkko sisäiset verkot Myynnin WLAN Tuotannon Tuotannon WLAN Tuotekehityksen Tuotekehityksen WLAN Jaskan WLAN
2.3 Arkkitehtuurisuunnittelu käytännössä - Tavoitetilanne 11 Kumppaneiden verkot Internet Mobiililiityntäalueet (oranssi mobiiliverkko vyöhyke) extranet / kumppaniverkko Yhteistyöalue (keltainen vyöhyke) Tuotannon sisäiset verkot Tuotanto/alue (vihreä vyöhyke) Tuotekehityksen
12 2.4 Arkkitehtuurisuunnittelu Yhteenveto Pääsyverkkoihin siirryttäessä on alkuvaiheessa varsin tyypillisesti rämettynyt verkko, jota oli tarve lähteä optimoimaan. Samanlaista päällekkäistä toiminnallisuutta on eri puolilla verkkoa, josta voidaan lähteä etsimään yhteisiä tarpeita. Alkuvaiheen verkon käytettävyyttä haittaavat yleensä eri puolilla olevat erilaiset asetukset. Esimerkiksi tuotekehitys ei välttämättä pääe tuotannon langattomaan verkkoon eikä tuotanto tuotekehityksen. Eri kumppaneita varten on rei'itetty palomuureja on ylläpidon avustuksella ja jos se ei ole onnistunut, kiukuteltu siitä, kun joka kerta asian piti mennä byrokratian kautta tai, että ylläpito on penseä. Kaivamalla esiin yhteiset todelliset toiminnalliset tarpeet pystytään erottelemaan tarvittavat yhteiset verkot omiksi selkeiksi kokonaisuuksikseen (mobiilialue, yhteistyöalue). Kun toiminnallisesti samanlaiset verkot on eriytetty, voidaan verkkoakin suojata keskitetymmin ja selkeämmin vailla tarpeita tehdä väliaikaisia pikaratkaisuja. Käytettävyys ja tietoturva paranee sekä ylläpidon että käyttäjien näkökulmasta.
13 3.1 Perinteisten pääsyverkkojen haasteet Erilaiset päätelaitteet: Kannettavat, kämmykät, kommunikaattorit, surffilaudat, WLAN-puhelimet => eritasoisia toteutuksia eri autentikaatiotavoista, erikokoisia näyttöjä, erilaisia näppäimistöjä, erilaisia käyttötapoja (WLAN VoIP) Erilaiset alustat: Windows, Linux, Symbian, Pocket PC, Palm, sulautetut alustat Erilaiset käyttäjät ja käyttötarpeet: Työntekijät, opiskelijat, verkkovierailijat, vierailijat, yhteistyökumppanit, (satunnaiset ohikulkijat) Levyjaot, tulostus, surffaus, sähköpostit, WLAN VoIP, Skype... Tulos: Jos halutaan kattavasti palvella kaikkien käyttäjien tarpeita, yhden ainoan ratkaisun valinta on lähes mahdotonta => tarvitaan mukautuva WLAN-verkko.
Liikkuvuus 14 3.2 Mukautuvan WLAN-verkon idea 1(2) Erilaiset päätelaitteet, erilaiset tarpeet Vieraat verkot, hotspotit Internet WLAN-puhelimet, reaaliaikasovellukset Modernit päätelaitteet, eduroam-verkkovierailijat Vierailijat, vanhat päätelaitteet WLAN VoIP WPA/WPA2/VPN WWW/VPN/Avoin sisäiset verkot extranet / kumppaniverkko Tuotannon Tuotekehityksen
15 3.2 Mukautuvan WLAN-verkon idea 2(2) Erilaiset verkot, erilaiset asetukset Yksi WLAN-radioverkko Vieraat verkot, hotspotit Internet pieni latenssi, reaaliaikavaatimukset turvattu radiotie, dynaamiset vlanin valinnat best effort / matalan prioriteetin liikenne WLAN VoIP WPA/WPA2/VPN WWW/VPN/Avoin sisäiset verkot extranet / kumppaniverkko Tuotannon Tuotekehityksen
3.3 Mukautuvan WLAN-verkon vaatimukset 16 Asiantunteva WLAN- ja IP-verkon vaatimuusmäärittely ja suunnittelu kattaen radio- ja verkkoarkkitehtuurisuunnittelun VLAN-kykyisillä moderneilla kytkimillä toteutettu lankaverkko Yritystason tukiasemat Virtuaaliset WLAN-verkot ja niiden yhtäaikainen mainostus Tukiaseman ja verkonhallintaominaisuudet ehjä ja toimiva WPA/WPA2 -toteutus vakaita myös kuormitettuina (esim. WPA/WPA2-salaus päällä) toimivia tuotteita mm. Ciscolta, Proxim/Avaya/Orinocolta, Lancomilta ja Colubrikselta Yritystason pääsynvalvonta-, autentikaatiopalvelin- ja verkonhallintatuotteet
3.4 Mukautuvan WLAN-verkon turvallisuus 17 Autentikaatiotapa Turvallisuus Hallinta Käytettävyys Autentikoimaton (Avoin) WWW-pääsynvalvoja VPN WPA (TKIP+802.1X), WPA2 (802.11i = TKIP + 802.1X + AES + Michael) Mukautuva WLAN-verkko Turvaton, ilman kryptausta ei yksityisyyttä, väärinkäyttö helposti mahdollista Turvaton, ilman kryptausta ei yksityisyyttä, väärinkäyttö mahdollista Niin turvallinen ja yksityinen kuin halutaan päätelaitteesta kotiverkkoon asti, väärinkäyttö vaikeaa Turvallinen ja yksityinen päätelaitteen ja tukiaseman välillä, väärinkäyttö vaikeaa, Turvallisuustaso voidaan valita eri autentikaatiomenetelmiä käyttämällä Tukiasemien tila, kanavanvalinta Tukiasemien tila, kanavanvalinta, autentikoidut käyttäjät, siirtomäärät, palomuurauskäytännöt, (automaattiset VLANit) Tukiasemien tila, kanavanvalinta, autentikoidut käyttäjät, siirtomäärät, palomuurauskäytännöt (automaattiset VLANit), (turvallisuustarkistukset) Tukiasemien tila, kanavanvalinta, autentikoidut käyttäjät tukiasemakohtaisesti, (palomuurauskäytännöt) siirtomäärät, (automaattiset VLANit), (turvallisuustarkistukset) Kaikki edelliset mahdollisia riippuen autentikaatiotavasta, hallintajärjestelmän merkitys kasvaa (esim. useammat konfiguraatiot) Käyttäjän näkökulmasta käytettävyydeltään paras Helppokäyttöinen sekä vierailijoille että vakituisille, WLAN-alueilla yleisesti käytetty, varmenteiden käyttöön kiinnitettävä huomiota Asiakasohjelmistot toimitettava ja asennettava käyttäjille, hankala vieraille, toimiva varmenneinfra tarvitaan useimmissa tapauksissa WPA- tai WPA2-tuki oltava päätelaitteissa ja tukiasemissa, vierailijoiden ja useamman alustan tukeminen voi nostaa ylläpitokuormaa, varmenteiden käyttöön kiinnitettävä huomiota Käyttäjille voidaan tarjota eritasoisia pääsyvaihtoehtoja parhaimmillaan rinnakkain. Eri tavoilla on sitten eri vaatimuksensa.
18 3.5 Hallinnan merkitys mukautuvissa WLAN-verkoissa Mitä monipuolisempi verkko ja sen konfiguraatio, sitä suurempi riski, että jossain tehdään konfiguraatiovirhe => Virhe yhden tukiaseman alueella voi avata pääsyn on vaikka muut tukiasemat olisivat oikein konfiguroituja. WLAN-verkkolaitteet eivät ole markkinoille tullessaan täydellisiä vaan niiden ohjelmistoja on päivitettävä uusien ominaisuuksien tai korjauksien saamiseksi käyttöön laitteissa niiden elinkaaren ajan. Virtuaaliset WLAN-verkot ja niiden erilaiset asetukset ja tukiasemien määrä tekevät yksittäisten tukiasemien konfiguraation ja ohjelmistoversioiden hallinnan hankalaksi ilman keskitettyä hallintajärjestelmää. Vian etsintä WLAN-verkoista sekä niihin liittyvä käyttäjätuki vaativat usein pikemminkin historiatiedon kuin reaaliaikaisen tilanteen selvittämistä. Tukiasemissa tätä historiatietoa ei voida säilöä kovin pitkään. Laajoissa ja luotettavuutta vaativissa WLAN-verkossa on saatava hälyytyksiä ongelmia tai epätavallisista tapahtumista muutenkin kuin seuraamalla yksittäin tukiasemia tai käyttäjien raportoimia ongelmia. => Verkonhallinnan merkitys WLAN-verkoissa tulee kasvamaan olkoot kyse sitten mistä tahansa WLAN-verkoista.
19 Yhteenveto Käyttäjät Päätelaitteet Koulutus Verkkolaitteet Verkonvalvonta- ja -hallinta Verkonsuunnittelu Arkkitehtuurisuunnittelu Vaatimusmäärittely