EAP30A WLAN-tukiaseman perusominaisuudet ja käyttöohjekirja

Jere Paunonen EAP30A WLAN-tukiaseman perusominaisuudet ja käyttöohjekirja Opinnäytetyö Tietotekniikan koulutusohjelma Toukokuu 2008

KUVAILULEHTI Opinnäytetyön päivämäärä Tekijä(t) Jere Paunonen Koulutusohjelma ja suuntautuminen Tietotekniikan koulutusohjelma Nimeke EAP30A WLAN-tukiaseman perusominaisuudet ja käyttöohjekirja Tiivistelmä Tämän opinnäytetyön tavoitteena oli testata kangasniemeläisen Elcard Wireless Systems Oy:n valmistaman EAP30A-langattoman tukiaseman prototyyppiä sekä tehdä testien pohjalta laitteelle englanninkielinen käyttöohjekirja. Työ suoritettiin Mikkelin ammattikorkeakoulun Mikpolin tietoliikenneluokan MB 316-tiloissa. Työssä käytettiin apuna Mikpolin opetuskäytössä olevia langattomia lähiverkkoja sekä langattomia päätelaitetta, -tukiasemia sekä tietoliikenneluokan tietokoneita. Työssä käytetyt langattomat tukiasemat olivat Cisco Aironet 1200, Cisco Aironet 1130 AG ja SparkLAN WX-7800A 802.11a+g Dual Band Access Point. Työssä testasin tukiaseman käyttöliittymän toimivuutta sekä tukiaseman perusominaisuuksien toimivuutta. Testeihin kuuluivat mm. tukiaseman toimiminen eri rooleissa: langattomana tukiasemana, langattomana päätelaitteena, toistimena ja siltana. Lisäksi testasin tukiaseman verkonsalausominaisuuksien toimintaa sekä MAC-osoitesuodatusta ja tukiaseman hallintaa käyttöliittymän kautta. Tukiasema läpäisi sille tekemäni testit lähes virheettä. Suurin osa testeistä oli onnistuneita, vain muutamissa tapauksissa en pystynyt testaamaan tiettyä EAP30A:N ominaisuutta lainkaan tai testi ei antanut toivottua tulosta. Työn tuloksena syntyneet EAP30A-tukiaseman 55-sivuinen käyttöohjekirja sekä tukiaseman datalehti ovat tämän opinnäytetyön liitteinä. Asiasanat (avainsanat) tietoliikenne, tietoliikenneverkot, tietoverkot, langaton viestintä, tukiasema, langaton, lähiverkko, WLAN, WEP, WPA, 802.1x, 802.11, EAP Sivumäärä Kieli URN 53 sivua ( + liitteet 61 sivua ) Suomi URN:NBN:fi:mamkopinn:200822271 Huomautus (huomautukset liitteistä) Ohjaavan opettajan nimi Martti Susitaival Opinnäytetyön toimeksiantaja Elcard Wireless Systems Oy

DESCRIPTION Date of the bachelor's thesis Author(s) Jere Paunonen Degree programme and option Information Technology Data Communications Name of the bachelor's thesis The basic functions and user manual of EAP30A wireless access point Abstract The main purpose of this bachelor s thesis was to research the basic functions of EAP30A wireless access point, made by Elcard Wireless Systems Ltd, and tell about the user manual created partly on the base of research results. Tests made to EAP30A access point were carried out in the telecommunications lab MD316 in Mikpoli, Mikkeli University of Applied scienses. Available campus area wireless LAN s and telecommunications equipment in MB 316 were used to carrie out the tests. Main tests for the EAP30A access point was to check the basic functions of the access point and test the user interface of the device. Also all four base station roles: wireless access point, wireless client, repeater and wireless bridge, and base stations security features and capabilities were tested. EAP30A wireless access point passed almost all the test without any faults. There occurred only few faults in two tests and a couple of tests could not be carried out at all because of the lack of test equipment or software. From the basis of the tests made with the base station I created a 55 pages user manual for EAP30A wireless base station. This user manual can be found as an appendix to this thesis. Subject headings, (keywords) Wlan, access point, 802.11, WEP, WPA, 802.1x, EAP, wireless, local area network Pages Language URN 53 pages ( + 61 page appendix ) Finnish URN:NBN:fi:mamkopinn:200822271 Remarks, notes on appendices Tutor Martti Susitaival Bachelor s thesis assigned by Elcard Wireless Systems Ltd.

SISÄLTÖ 1 JOHDANTO... 1 2 OPINNÄYTETYÖN TOIMAKSIANTAJA - ELCARD WIRELESS SYSTEMS... 2 3 LANGATTOMAT LÄHIVERKOT JA IEEE 802.11 STANDARDI... 2 3.1 MAC-kerros... 3 3.1.1 Asemapalvelut (Station Services)... 4 3.1.2 Jakelujärjestelmäpalvelut (Distribution Services)... 5 3.2 Fyysinen kerros... 6 3.3 Langattomien verkkojen arkkitehtuurit... 7 3.3.1 Itsenäinen peruspalveluryhmä (IBSS)... 7 3.3.2 Infrastruktuuri peruspalveluryhmä (BSS)... 8 3.3.3 Laajennettu palveluryhmä (ESS)... 9 4 WLAN TUKIASEMAN ROOLIT... 10 4.1 Langaton tukiasema... 11 4.2 Langaton asiakas... 11 4.3 Langaton silta... 11 4.4 Langaton toistin... 12 5 TURVALLISUUS JA SALAUSTEKNIIKAT... 13 5.1 IEEE 802.11-standardi ja turvallisuus... 13 5.1.1 Avoin autentikointi... 13 5.1.2 Jaetun avaimen autentikointi... 14 5.2 Wired Equivalent Privacy... 15 5.2.1 WEP-salauksen heikkouksia... 18 5.3 IEEE 802.1X... 19 5.3.1 IEEE 802.1x ja tunnistamisprosessi... 21 5.3.2 EAP... 22 5.4 WPA, WPA2 ja TKIP... 23 5.4.1 WPA salausprosessi... 25 5.4.2 WPA-PSK... 26 5.5 IEEE 802.11i ja AES... 27 5.6 Wi-Fi Protected Setup (WPS)... 27 5.7 MAC-osoitesuodatus... 28

6 EAP30A-TUKIASEMAN OMINAISUUDET JA TESTAUS... 30 6.1 Tukiaseman testausympäristö ja laitteet... 33 6.2 Status sekä System Settings -perusasetukset... 33 6.2.1 View Statistics ja View Association List... 34 6.2.2 System settings... 35 6.2.3 Testit ja tulokset... 35 6.3 WPS EAP30A-tukiasemassa... 36 6.4 Tukiaseman roolit langattomassa verkossa... 37 6.4.1 Tukiasemarooli... 37 6.4.2 Client-rooli... 40 6.4.3 Siltarooli... 42 6.4.4 Toistinrooli... 43 6.5 EAP30A-tukiaseman salausominaisuudet... 44 6.5.1 WEP-salaus... 45 6.5.2 IEEE 802.1X-salaus... 46 6.5.3 WPA, WPA2 sekä WPA-PSK ja WPA2-PSK -salaukset... 47 6.5.4 MAC-osoitesuodatus... 48 6.6 EAP30A-tukiaseman Management-ominaisuuksien testaukset... 50 6.6.1 Salasanan vaihtaminen... 50 6.6.2 Asetusten lataus ja tallennus, sekä tehdasasetusten palautus... 51 6.6.3 Firmware-päivitys... 51 6.6.4 Tapahtumaloki... 51 6.6.5 Testitulokset ja päätelmät... 52 7 JOHTOPÄÄTÖKSIÄ JA POHDINTOJA - EAP30A-TUKIASEMAN OHJEKIRJAN KIRJOITUSPROSESSI... 53 LÄHTEET... 53

LYHENTEITÄ AES AP BSS CBC-MAC CCM CCMP CRC CSMA/CA CTS DHCP DS DSS DSSS EAP EAPOL EAPOW ESS FCS FHSS FTP GHz HR-DSSS IBSS IEEE IP IR IV LAN LEAP LLC MAC Advanced Encryption Standard Access Point Basic Service Set Cipher Block Chaining Message Authentication Code Counter mode with CBC-MAC CCM Protocol Cyclic Redundancy Check Carrier Sense Multiple Access with Collision Avoidance Clear to Send Dynamic Host Configuration Protocol Distribution System Distribution System Services Direct Sequence Spread Spectrum Extensible Authentication Protocol EAP over LAN EAP over WLAN Extended Service Set Frame Check Sequence Frequency Hopping Spread Spectrum File Transfer Protocol Gigahertsi High Rate DSSS Independent Basic Service Set Institute of Electrical and Electronics Engineers Internet Protocol Infrared Initialization Vector Local Area Network Lightweight EAP Logical Link Control Medium Access Control

MB Mbps MIC MIMO MSDU PBC PIN PSK RADIUS RSN RTS SIM SS SSID TCP TKIP WDS WEP Wi-Fi WLAN WPA WPS WRAP XOR Megabyte Megabits per second Message Integrity Check Multiple-Input Multiple-Output MAC Service Data Unit Push-Button Configuration Personal Identification Number Pre-Shared Key Remote Authentication Dial-In User Service Robust Security Network Request to Send Subscriber Identity Module Station Services Service Set Identifier Transmission Control Protocol Temporary Key Integrity Protocol Wireless Distribution Service Wired Equivalent Privacy Wireless-Fidelity Wireless Local Area Network Wi-Fi Protected Access Wi-Fi Protected Setup Wireless Robust Authentication Protocol Exclusive OR

1 JOHDANTO 1 Langattomat lähiverkot ovat yleistyneet 2000-luvun aikana kulovalkean lailla sekä yritysten, että yksityisten käyttäjien keskuudessa. Kun aikaisemmin langattomia verkkoja käytettiin enimmäkseen tehdas- ja laboratorioympäristöissä, suurilla tehdasja satama-alueilla ja lentokentillä sekä koulujen kampusalueilla, niin tänä päivänä yhä useamman henkilön kotona toimii langaton lähiverkko, ja monasti esimerkiksi kaupungin keskustan kortteleista saattaa löytää useita langattomia lähiverkkoja pieneltä alueelta. Langattomien verkkojen yleistymiseen ovat osaltaan vaikuttaneet päätelaitteiden kehitys tehokkaammiksi, uusien laitteiden nopea markkinoille tuleminen, sekä langattomien laitteiden hinnan halpeneminen. Uusimmat langattomat laitteet ovat myös helpompia käyttää kuin aikaisemmat. Niiden avulla langattoman verkon perustaminen onnistuu tarvittaessa ilman monimutkaisien lisäasetusten tekemistä, mikä myös tuo langattomia laitteita lähemmäksi tavallista käyttäjää. Langattomalta verkolta ja päätelaitteilta vaadittavat tietoturvaominaisuudet riippuvat usein verkon käyttökohteesta. Yksityiskäyttäjille on usein tärkeintä verkon käytön yksinkertaisuus sopivaa verkkoratkaisua ja laitteita valittaessa. Yrityskäytössä puolestaan verkon turvallisuusvaatimukset ja hallinnointi nousevat usein muiden kriteerien yläpuolelle. Langattoman verkon turvallisuudella tarkoitetaan yleisesti siinä siirrettävän tiedon luottamuksellisuutta ja oikeellisuutta, sekä verkon palveluiden saatavuutta. Verkossa siirrettävän liikenteen paljastuminen ei toivotuille tahoille estetään käyttämällä salausta, sekä rajoittamalla käyttäjien pääsyä verkkoon. Tämän opinnäytetyön tarkoituksena on kertoa langattomalle EAP30A-tukiasemalle suorittamistani testeistä, sekä testien pohjalta valmistuneesta ohjekirjasta. Aloitan opinnäytetyöni käymällä aluksi läpi langattomien verkkojen teoriaa esittelemällä IEEE 802.11-standardia, langattoman verkon palveluita, verkon hierarkiaa sekä langattoman tukiaseman toimintarooleja. Lisäksi kerron verkon turvallisuudesta ja salaamisessa käytettävistä menetelmistä ja tekniikoita. Opinnäytetyön teoriaosassa, luvussa kolme, kerron yleisesti langattomista lähiverkoista sekä IEEE 802.11- standardista, ja lisäksi lyhyesti langattomien lähiverkkojen arkkitehtuurista. Luvussa neljä käyn läpi langattoman tukiaseman erilaisia toimintarooleja. Luvussa viisi keskityn langattomien tukiasemien sekä verkkojen salausratkaisujen kuvaamiseen. Käsittelen IEEE 802.11-standardin turvallisuutta, WEP-, 802.1X-, WPA-, WPA2-,

2 TKIP-, AES- ja 802.1i-salaustekniikoita, ja kerron WPS-salauksesta sekä MACosoitteiden suodatuksesta. Työn käytännön osassa, luvuissa kuusi ja seitsemän, pureudun kohta kohdalta EAP30A-tukiasemalle suorittamiini testeihin ja niiden tuloksiin, sekä kirjoittamaani englanninkieliseen ohjekirjaan. Työn ja suoritettujen testien johtopäätöksiä olen kuvannut käytännön osan testausta käsittelevissä kappaleissa. Tekemäni ohjekirja on luettavissa sellaisessa asussa kuin olen sen opinnäytetyön toimeksiantajalle hyväksytysti palauttanut tämän työn liitteessä 4. 2 OPINNÄYTETYÖN TOIMAKSIANTAJA - ELCARD WIRELESS SYSTEMS Tämän opinnäytetyön toimeksiantajana on langattomiin tietoliikenneratkaisuihin erikoistunut Elcard Wireless Systems Oy. Yritys on perustettu vuonna 1996 Kangasniemellä. Kangasniemen lisäksi Elcard Wireless Systems Oy:llä on toimintaa myös Mikkelissä ja Vantaalla. Yrityksen toimitusjohtajana on se perustamisesta saakka toiminut Petri Pylvänäinen. Vuonna 2007 osakeyhtiön henkilöstö koostui neljästä henkilöstä. Elcard Wireless Systems on suomalainen tietoliikenneyritys, joka keskittyy langattomiin dataverkkoihin, sekä niihin liittyviin tuotteisiin. Elcard kehittää, markkinoi ja valmistaa elektronisia tuotteita teollisuus- sekä ammattikäyttöön. Valmistamiensa tuotteiden lisäksi Elcard tarjoaa konsultointia liittyen WLANratkaisuihin. Yritys tekee yhteistyötä mm. Jyväskylän yliopiston ja Mikkelin ammattikorkeakoulun kanssa. Yrityksen yhteyshenkilöinä tämän opinnäytetyön osalta toimivat Hannele Nevalainen, Petri Pylvänäinen ja Erkki Karjalainen. 3 LANGATTOMAT LÄHIVERKOT JA IEEE 802.11 STANDARDI WLAN standardien (Wireless Local Area Network) kehittäminen alkoi IEEE:in (Institute of Electrical and Electronics Engineers) toimesta 1980 luvun loppupuolella ja kehittyi niin, että vuonna 1997 julkistettiin ensimmäinen versio IEEE 802.11 - standardista (Rackley 2007, 138). 802.11 standardi sisältää langattoman lähiverkon MAC-kerroksen (Medium Access Control) sekä fyysisen kerroksen (Physical Layer)

3 määrittelyt. Yhtenä standardin tavoitteista on pystyä määrittelemään kilpailukykyinen vaihtoehto lähiverkkojen toteuttamiseen ilman kaapeleita. 802.11 standardi määritteli aluksi vain 1 ja 2 Mbps:n (Megabits per second) siirtonopeudet. Nopeudet ovat sittemmin kasvaneet huomattavasti 11 ja 54 Mbps:n maksimisiirtonopeuksien kautta aina teoreettiseen 600 Mbps:n siirtonopeuteen, joka on määritelty 802.11n standardissa. Standardi elää jatkuvasti ja uusia osia määritellään vastaamaan kehityksen mukana muuttuvia tarpeita. 802.11a (maksimi siirtonopeus 54 Mbps) ja 802.11b (maksimi siirtonopeus 11 Mbps) standardit julkistettiin vuonna 1999. Näistä 802.11a toimii radioteknisesti 5 GHz:n ja 802.11b 2.4 GHz:n taajuusalueella. Vuonna 2003 julkistettu 802.11g-standardi toi nopeamman 54 Mbps:n siirtonopeuden myös 2.4 GHz:n taajuusalueelle. 802.11 standardi sisältää OSI-mallin (Open Systems Interconnection), kuva 3.1, kahden alimman tason, fyysisen kerroksen (Physical Layer) sekä siirtokerroksen (Data Link Layer) määrittelyt. Siirtokerroksen toiminnot jaetaan vielä siirtotien ohjaukseen (LLC, Logical Link Control) sekä vuoronvaraukseen (MAC). KUVA 3.1 802.11 standardin looginen arkkitehtuuri (Rackley 2007, 141) 3.1 MAC-kerros OSI-mallin mukainen MAC-kerros sisältyy jokaiseen WLAN-laitteeseen ja tarjoaa laitteelle palvelut langattoman verkon luomiseen ja valmiiseen langattomaan verkkoon liittymiseen, sekä lähettää LLC-kerroksen sille ohjaamaa tietoliikennettä

eteenpäin fyysiselle kerrokselle. MAC-kerros huolehtii myös verkossa liikkuvan tiedon luottamuksellisuudesta. 4 IEEE 802.11-standardin määrittelemissä langattomissa verkoissa käytetään CSMA/CA-vuoronvarausta (Carrier Sense Multiple Access / Collision Avoidance). Vuoronvarausprotokollan avulla pyritään välttämään langattomien tietosanomien yhteentörmäykset. CSMA/CA-protokollaa tukeva laite kuuntelee käytettävää radiokanavaa ennen tiedonlähetystä ja pyrkii havaitsemaan samalla kanavalla jo käynnissä olevat lähetykset. Mikäli radiokanava on varattu, laite odottaa satunnaisen ajan ennen uudelleen lähetystä. Satunnaisen odotusajan tarkoitus on välttää tietosanomien törmäyksiä tapauksissa, joissa useampi langaton laite odottaa radiokanavan vapautumista. (Puska 2005, 29 30.) CSMA/CA sisältää myös mahdollisuuden käyttää virtuaalista kantoaallon kuuntelua (Virtual Carrier Sense, VCS). WLAN-päätelaite pyytää RTS-sanomalla (Request-to- Send) lähetyslupaa, johon tukiasema vastaa CTS-sanomalla (Clear-to-Send) mikäli radiokanava on vapaa. Tämän jälkeen päätelaite voi lähettää tietosanomansa yhdessä tai useammassa tietokehyksessä. Jokaisen tietokehysten vastaanotto varmistetaan erillisellä kuittauksella. VCS kehitettiin, koska langattomassa verkossa kaikki laitteet eivät välttämättä pysty kuulemaan toisiaan ja siten havaitsemaan kaikkia käynnissä olevia lähetyksiä. Onkin mahdollista, että piilossa oleva päätelaite on lähettämässä tietoliikennettä radiokanavalla, vaikka toinen langaton laite tulkitsee saman kanavan vapaaksi. Komulaisen mukaan (2006, 7) MAC-kerros sisältää myös joukon IEEE 802.11 standardissa määriteltyjä palveluja, jotka ovat jaettu asemapalveluihin (SS, Station Services) ja jakelujärjestelmäpalveluihin (DSS, Distribution Services). 3.1.1 Asemapalvelut (Station Services) MAC-kerroksen asemapalvelut tarjoavat mahdollisuuden lähettää ja vastaanottaa Logical Link Control tasolta tulevia tietosanomia, sekä toteuttaa autentikointi- ja turvallisuuspalveluita langattomien laitteiden välillä.

5 Asemapalveluiksi määritellään neljä palvelua, joita jokaisen langattoman päätelaitteen ja tukiaseman on tarjottava. Nämä palvelut ovat autentikointi, autentikoinnin purku, yksityisyys ja MSDU-toimitus (MAC Service Data Unit). Autentikointi- eli todentamispalvelua käytetään rajoittamaan langattomien laitteiden verkkoon pääsyä. Vain autentikoidut laitteet pystyvät siirtämään tietoa langattomassa verkossa. Autentikointia varten on kaksi vaihtoehtoa: avoin autentikointi ja jaetun avaimen autentikointi. Näistä autentikointitavoista kerron enemmän luvussa 5: Turvallisuus ja salaustekniikat. Autentikoinnin purkua käytetään laitteen irtautuessa langattomasta verkosta. Purku hoidetaan ilmoitussanomalla, joka langattoman laitteen on pakko hyväksyä. (Komulainen 2006, 7). Turvallisuuspalvelu mahdollistaa tietosanomien ja jaetun avaimen autentikointisanomien salaamisen ennen niiden lähettämistä käytettäessä esimerkiksi Wired Equivalent Privacy (WEP) tai Wi-Fi Protected Access (WPA) salauksia. Molemmista salaustekniikoista kerron myöhemmin luvussa neljä. (Rackley 2007, 148). MSDU-toimitus on puolestaan peruspalvelu, jonka tehtävänä on turvata luotettava tiedonsiirto langattoman yhteyden yli. 3.1.2 Jakelujärjestelmäpalvelut (Distribution Services) Jakelujärjestelmäpalvelut eroavat asemapalveluista siinä, että ne ulottuvat laajemmalle alueelle langattomassa verkossa. Jakelujärjestelmäpalveluiksi luokitellaan assosiointi, uudelleen assosiointi, assosioinnin purkaminen, jakelu ja integrointi. Assosiointi mahdollistaa loogisen yhteyden langattomanlaitteen ja tukiaseman välille. Tukiasema ei voi lähettää tai vastaanottaa tietoliikennettä langattomalta laitteelta, jonka kanssa se ei ole assosioitunut. Vastaavasti kukin päätelaite voi kerrallaan olla assosioituneena vain yhden tukiaseman kanssa. Uudelleen assosiointi mahdollistaa päätelaiteen siirtymisen tukiasemasta toiseen. Toinen tukiasema voi olla joko samassa peruspalveluryhmässä tai yhteydessä samaan peruspalveluryhmään jakelujärjestelmän kautta.

Assosioinnin purkua käytetään purkamaan assosioituminen. Purkaminen tapahtuu sanomalla, joka langattoman päätelaitteen on pakko hyväksyä. (Rackley 2007, 149). 6 Jakelupalvelua käytetään tietoliikenteen lähettämiseen tukiasemalta toisella tukiasemalle saman peruspalveluryhmän sisällä tai useamman jakelujärjestelmän yli. Kerron enemmän peruspalveluryhmästä ja jakelujärjestelmästä myöhemmin tässä luvussa. Integrointipalvelua käytetään, kun tietoliikennettä lähetetään langattoman jakelujärjestelmän ja IEEE 802.11-standardista eroavan tietoliikenne verkon välillä. Integrointipalvelu muuttaa IEEE 802.11-sanomakehykset sopivaan muotoon tiedon siirtoa varten. (Komulainen 2006, 9.) 3.2 Fyysinen kerros Rackleyn mukaan (2007, 148) vuonna 1997 ratifioitu 802.11-standardi määrittelee kolme vaihtoehtoa fyysiselle kerrokselle, jotka ovat taajuushyppelyhajaspektri (FHSS, Frequency Hopping Spread Spectrum), suorasekvenssihajaspektri (DSSS, Direct Sequence Spread Spectrum) ja infrapuna (IR, infrared). Näistä FHSS ja DSSS toimivat 2,4 GHz:n taajuusalueella. Kaikkien kolmen vaihtoehdon toiminta taataan 1 ja 2 Mbps:n nopeuksilla. Myöhemmin standardia on laajennettu määrittelemällä lisää fyysisen kerroksen vaihtoehtoja, jotka ovat keskittyneet nopeaan DSSS:n (HR-DSSS), monikantoaaltomodulointiin (OFDM, Orthogonal Frequency Division Multiplexin) ja MIMO radioon (Multi-Input Multi-Output). IEEE 802.11a-standardi toimii 5 GHz:n alueella ja käyttää OFDM-koodausta tiedonsiirrossa toimien aina 54 Mbps:n nopeuteen asti. Standardi ratifioitiin vuonna 1997, ja ensimmäisen 802.11a-standardia noudattavan piirisarjan toi markkinoille Atheros Communications vuonna 2001 (Rackley 2007, 150). Euroopassa standardi mahdollistaa 11 radiokanavan käytön tiedonsiirtoon taajuusvälillä 5.470 5.725 GHz. Pohjois-Amerikassa käytössä on 8 kanavaa taajuusvälillä 5.150 5.350 GHz. IEEE 802.11b-standardi toimii 2.4 GHz:n alueella käyttäen HR-DSSS koodausta ja pystyy maksimissaan 11 Mbps:n nopeuteen asti. Standardin mukaan Euroopassa on mahdollista käyttää 13 radiokanavaa ja Pohjois-Amerikassa 11 radiokanavaa tiedon

siirtoon taajuusvälillä 2.4000 2.4835 GHz. Japanissa on mahdollista käyttää vielä yhtä kanavaa lisää 2.484 GHz:n asti. 7 IEEE 802.11g-standardi toimii myös 2.4 GHz:n taajuusalueella ja samoilla kanavajaoilla kuin 802.11b. 802.11g-standardin maksimi tiedonsiirtonopeus on 54 Mbps. Tosin muutamat laitevalmistajat ovat esittäneet omia parannuksiaan standardiin, jotka mahdollistavat suuremmat siirtonopeudet. Esimerkiksi Atheroksen Turbo-G ja Super-G mahdollistavat maksimissaan 108 Mbps teoreettisen siirtonopeuden. Standardi ratifioitiin vuonna 2003. Lisäksi 802.11g-standardin mukaiset WLAN-laitteet ovat alaspäin yhteensopivia 802.11b-standardin laitteiden kanssa. 802.11g käyttää tiedonsiirrossa OFDM-koodausta. Tällä hetkellä uusin 802.11n-standardin suurimmaksi tiedonsiirtonopeudeksi on ilmoitettu 600 Mbps. 802.11n-standardi on yhteensopiva alaspäin kaikkien tässä kappaleessa edellä mainittujen 802.11-standardien kanssa, ja se käyttää tiedon siirrossa OFDM-koodausta, sekä MIMO-radiotekniikkaa nopeuksien saavuttamiseksi. 3.3 Langattomien verkkojen arkkitehtuurit IEEE 802.11-standardin mukaiset langattomat verkot koostuvat useista laitteista, jotka voivat keskustella toistensa kanssa joko suoraan (Ad Hoc) tai tukiaseman (AP eli Access Point) välityksellä (Infrastructure Mode). Yhdessä nämä laitteet voivat muodostaa joko itsenäisen peruspalveluryhmän (IBSS, Independent Basic Service Set), sitä kutsutaan myös Ad Hoc verkoksi, tai infrastruktuuri peruspalveluryhmän (BSS). Useat peruspalveluryhmät ovat yhteydessä toisiinsa jakelujärjestelmän (DS, Distribution System) kautta. Jakelujärjestelmä voi yhdistää monta BSS:ää toisiinsa joko langattomasti tai kiinteästi. Usean BSS:n kokonaisuutta kutsutaan laajennetuksi palveluryhmäksi (ESS, Extended Service Set). (Cisco Systems 2003, 2.1.) Langaton verkko voi siis koostua yhdestä BSS:tä tai ESS:tä. 3.3.1 Itsenäinen peruspalveluryhmä (IBSS) IBSS on yksinkertaisin IEEE 802.11-standardin mukainen verkkoratkaisu. Pienin IBSS-verkko koostuu kahdesta keskenään kommunikoivasta päätelaitteesta, mutta kommunikoivien laitteiden määrää ei ole rajoitettu. IBSS-verkkoa kutsutaan myös Ad

8 Hoc -verkoksi. IBSS-verkon liikenne on täysin rajoittunut verkon sisälle, eikä päätelaitteilla ole mahdollisuutta verkon ulkopuoliseen yhteyteen langattomasti, ainakaan samaa verkkolaitetta käyttäen. IBSS-verkossa ei ole tukiasemia. Siinä on pelkästään päätelaitteita, jotka kommunikoivat keskenään itsenäisesti (Alasdair, Castaneda, & Vinckier 2006, 18). IBSS-verkon rakenne on esitetty kuvassa 3.2. KUVA 3.2 IBSS-verkon (Ad Hoc) arkkitehtuuri (Cisco Systems 2003, 2.1.5) 3.3.2 Infrastruktuuri peruspalveluryhmä (BSS) BSS eroaa IBSS:tä niin että siinä on vähintään yksi langaton Access Point. Pienin mahdollinen BSS koostuu yhdestä päätelaitteesta ja yhdestä AP:sta. Langattomien päätelaitteiden määrää tai laatua BSS:ssä ei ole rajoitettu, ja yksi BSS voikin sisältää esimerkiksi useita langattomia tukiasemia, tietokoneita ja tulostimia. BSS:ssä AP huolehtii päätelaitteiden kommunikoinnista sekä toisiin päätelaitteisiin, että ulospäin BSS:tä DS:n kautta. DS:n avulla voidaan yhdistää useita BSS:ä suuremmaksi kokonaisuudeksi, joko kiinteän- tai langattoman verkon yli. Kuvassa 3.3 on esitetty yhden mahdollisen BSS-verkon rakenne.

9 KUVA 3.3 BSS-verkon arkkitehtuuri (Cisco Systems 2003, 2.1.5) 3.3.3 Laajennettu palveluryhmä (ESS) ESS koostuu pienimmillään kahdesta BSS:tä, jotka ovat yhteydessä toisiinsa jakelujärjestelmän (DS) kautta. ESS on yksi looginen kokonaisuus vaikka kahden BSS:n välillä voikin olla suuri kiinteä tai langaton arkkitehtuuri. Päätelaitteiden on mahdollista kommunikoida keskenään BSS:tä toiseen ilman, että tietoliikenneyhteys muihin ESS:n laitteisiin katoaa. (Cisco Systems 2003, 2.1.5.) Esimerkki ESS-verkon arkkitehtuurista on esitetty kuvassa 3.4.

10 KUVA 3.4 ESS-verkon arkkitehtuuri (Cisco Systems 2003, 2.1.5) 4 WLAN TUKIASEMAN ROOLIT Langaton tukiasema (Access Point, AP) on keskeinen langattoman verkon sekä kiinteän verkon rajalla toimiva laite, joka hallinnoi langattoman verkon toimintaa ja huolehtii yhteyksistä sen ulkopuolelle. Se toimii tavallaan langattoman liikenteen kytkimenä palvelu- tai jakeluryhmän sisällä. Ensimmäiset langattomat tukiasemat alkoivat ilmestyä markkinoille IEEE 802.11bstandardin ratifioinnin jälkeen vuonna 1999 (Rackley 2007, 46). Jo ensimmäisen sukupolven laitteet sisälsivät muun muassa turvallisuus- ja salausominaisuuksia autentikoinnissa ja tiedonsiirrossa, osoitteensuodatuslistojen teko mahdollisuuden ja joitakin SNMP-ominaisuuksia (Simple Network Maintenance Protocol). Yleensä tukiasema, niin kuin myös EAP30A, voi toimia langattomassa verkossa ainakin neljässä erilaisessa roolissa, jotka ovat tukiasemana (AP), asiakkaana (client), siltana (bridge) ja toistimena (repeater). Rooleista kerron hieman enemmän seuraavissa kappaleissa.

4.1 Langaton tukiasema 11 Langaton tukiasema on laite joka yhdistää muita langattomia laitteita keskenään muodostaakseen langattoman verkon (About.com: Wireless / Networking 2008). Langaton tukiasema toimii keskeisenä liikenteenohjauspisteenä langattomassa verkossa. Laite muodostaa oman verkon sille annettujen parametrien perusteella. Näihin parametreihin tulee kuulua ainakin langattoman verkon tunniste eli SSID (Service Set Identifier). Tukiasema lähettää tätä verkon tunnistetta majakkasanomana (beacon) antennin kautta. Tukiaseman muodostaman verkon kuuluvuusalueella oleva langaton laite pystyy tulkitsemaan majakkasanoman signaalin ja poimimaan siitä langattoman verkon nimen, tiettyä poikkeusta lukuun ottamatta, josta enemmän lyhyesti luvussa viisi. Tukiasema voi olla suoraan liitettynä kiinteään verkkoon ja näin se voi muodostaa langattoman verkon ikään kuin kiinteän verkon jatkeeksi. Tukiasemaroolissa laitteen kanssa voi tyypillisesti assosioitua useita päätelaitteita tai tukiasemia. Kuitenkin niin, että yksi päätelaite voi olla assosioituneena vain yhteen tukiasemaan kerrallaan, kuten edellisessä luvussa on kerrottu. Myös lukuisten salaustekniikoiden käyttö tiedonsiirrossa on yleensä mahdollista tukiasemaroolissa. Useat tukiasemat voidaan ohjelmoida muodostamaan langaton verkko niin, että päätelaite voi liikkua tukiaseman radiosignaalin peittoalueelta toiselle langattoman yhteyden katkeamatta. Tätä saumatonta tukiaseman vaihtoa kutsutaan nimellä vaeltelu eli roaming. 4.2 Langaton asiakas Asiakasroolissa tukiasema toimii langattoman verkon päätelaitteena. Se ei voi muodostaa BSS:sta tai ESS:sta koostuvaa langatonta verkkoa, mutta voi liittyä sellaiseen normaalina langattomana päätelaitteena. Asiakasroolissa tukiasema voi kuitenkin muodostaa Ad Hoc-verkon toisen langattoman päätelaitteen kanssa. Muita tyypillisiä langattomia asiakkaita tai päätelaitteita ovat esimerkiksi kannettavat tietokoneet, useat matkapuhelimet (joissa on WLAN-siru) ja jotkin tulostimet. 4.3 Langaton silta Langattoman sillan tarkoituksena on yhdistää kaksi tai useampi verkko yhdeksi verkoksi. Silta muodostuu kahden tai useamman silta- tai tukiasemalaitteen välille.

12 Langattomia siltoja on kahta tyyppiä: point-to-point sekä point-to-multipoint -sillat. Tukiasema joka toimii siltana, ei voi olla yhteydessä langattomiin asiakas- eli päätelaitteisiin, vaan vain toisiin tukiasemiin jotka toimivat siltoina, tai erillisiin langattomiin siltalaitteisiin. Point-to-point-silta yhdistää kaksi verkkoa toisiinsa yhdeksi verkoksi. Sillan voivat muodostaa joko kaksi erillistä langatonta siltalaitetta tai kaksi tuliasemaa, jotka ovat ohjelmoitu toimimaan siltoina. Point-to-multipoint-silta yhdistää useita langattomia verkkoja siltojen kautta yhdeksi verkoksi. Sillan voivat muodostaa joko useat erilliset langattomat siltalaiteet tai tuliasemat, jotka ovat ohjelmoitu toimimaan siltoina. Point-to-multipoint-sillassa yksi siltalaite toimii kokoavana laitteena, joka vastaanottaa useiden muiden siltojen langattomat signaalit. 4.4 Langaton toistin Langaton toistin-roolissa tukiasema ei muodosta omaa langatonta verkkoa, vaan pystyy vahvistamaan ja toistamaan jonkin toisen laitteen muodostamaan verkkoa. Langaton toistin ei ole yhteydessä isäntä laitteeseensa, eli laitteeseen jonka verkkoa toistin vahvistaa, kiinteästi. Toistimeksi sanotaankin laitetta, joka ei ole liitettynä kiinteään lähiverkkoon. Toimiakseen langattomana toistimena tukiaseman rooli tulee muuttaa, sekä syöttää siihen toistettavan verkon SSID-tunnus. Päätelaitteet jotka ovat toistimen radiosignaalin kantaman sisäpuolella pystyvät assosioitumaan toistimeen samalla tavalla kuin tukiasemaan. Tosin käyttäjän on mahdollista hallita myös päätelaitteiden assosioitumista niin kuin monia muitakin ominaisuuksia joita monet tukiasemat sisältävät. Useita toistimia voidaan ketjuttaa langattoman verkon laajentamiseksi, mutta tällöin verkon tiedonsiirto kapasiteetti eli kaistanleveys pienenee, koska jokaisen toistimen täytyy vastaanottaa ja lähettää tietosanomat samalla radiokanavalla. Näin ollen sanomien yhteen törmäysten määrä sekä uudelleenlähetysten määrä kasvaa, pienentäen verkon kaistanleveyttä. Jokaisen lisätyn toistimen myötä verkon läpäisyteho laskee noin puoleen. (Cisco Systems 2003, 4.2.4.)

5 TURVALLISUUS JA SALAUSTEKNIIKAT 13 Langattomien tukiasemien turvallisuusratkaisut koostuvat lähinnä kahdesta osasta, siirrettävän liikenteen salauksesta sekä verkonkäyttäjien tunnistuksesta eli autentikoinnista. Molemmissa osa-alueissa keskeisenä laitteena toimii langattoman lähiverkon tukiasema, joka vastaa tiedonsiirrossa käytettävän salaustekniikan ylläpidosta, sekä käyttäjien ja päätelaitteiden autentikoinnista. Tietoturvan kannalta tukiasemien salaustekniikat voidaan jakaa kolmeen eri tyyppiin, joita ovat avoimet verkot, jaettuun salaukseen perustuvat verkot sekä kehittyneemmät tietoturvaratkaisut. Seuraavissa tämän luvun kappaleissa kerron yleisesti niistä eri tiedonsiirron salausratkaisuista joiden käyttäminen on mahdollista EAP30A-tukiasemassa ja samalla käyn läpi eri vaihtoehtoja langattomien lähiverkkojen turvallisuusratkaisuiksi. 5.1 IEEE 802.11-standardi ja turvallisuus IEEE 802.11-standardissa ei ole määriteltynä langattomien verkkojen turvallisuusratkaisua kokonaan, vaan yleispätevät säännöt verkkojen turvallisuudesta. Eritoten turvallisuuden hallintaan keskittyvät asiat ovat jätetty standardin ulkopuolelle. Turvallisuuden hallintaan on myöhemmin pureuduttu eri salaustekniikoissa, sekä myöhemmin määritellyissä 802.1x sekä 802.11i - standardeissa. IEEE 802.11 määrittelee kaksi tapaa langattomien laitteiden todentamisen eli autentikoinnin toteuttamiseksi. Nämä ovat avoin autentikointi (Open Authentication), sekä jaetun avaimen autentikointi (Shared Key Authentication) (Komulainen 2006, 10). Todennus prosessi suoritetaan fyysisellä laitetasolla ja molempia tapoja on mahdollista käyttää EAP30A-tukiasemassa. 5.1.1 Avoin autentikointi Käytännössä avoin autentikointi ei ole laitteen tunnistamista, vaan siinä lähes kaikki halukkaat liittyjät pääsevät estoitta liittymään verkkoon. Liittymiseen tarvitaan

14 ainoastaan tieto langattoman verkon SSID:sta. Avoin autentikointi tapahtuu langattoman verkon SSID:n, eli tunnisteen avulla. (Komulainen 2006, 10). Tukiasema päästää hallinnoimaansa verkkoon kaikki laitteet, joihin on syötetty sama SSID kuin sillä itsellään on. Myös kaikki päätelaitteet joilla on tyhjä SSID sallitaan. Esimerkki avoimen autentikoinnin kulusta on nähtävissä kuvassa 5.1. KUVA 5.1 Avoin autentikointi (Komulainen 2006, 11) Normaalissa tilassa langaton tukiasema lähettää verkon nimeä eli SSID:ia salaamattomana majakkapaketeissa (beacon), jotka on mahdollista vastaanottaa ja lukea päätelaitteen ohjelmistolla vaivattomasti. SSID on myös luettavissa kaikista verkon hallintapaketeista, joita ei IEEE 802.11-standardin mukaan salata. Useassa tukiasemassa mm. EAP30A:ssa on mahdollista estää SSID:n lähetys langattomassa lähiverkossa. Mutta tämä tuo vain näennäistä turvallisuutta, sillä verkossa liikkuvia tietoliikennepaketteja kaappaamalla on silti mahdollista selvittää kyseisen verkon SSID. 5.1.2 Jaetun avaimen autentikointi Autentikointi jaetulla avaimella perustuu WEP-salauksen käyttöön, mistä myöhemmin tässä luvussa. Tässä autentikointitavassa tukiasema vastaa päätelaitteen tunnistuspyyntöön haastepaketilla, jonka sisältämän haastetekstin päätelaite salaa WEP-avaimellaan ja lähettää takaisin tukiasemalle. Päätelaitteen tunnistus on onnistunut ja sille annetaan lupa liittyä verkkoon, mikäli tukiasema saa päätelaitteen

15 lähettämän salatun sanoman avattua omalla WEP-avaimellaan. Eli vain päätelaitteet, joilla on oikea WEP-avain voivat liittyä verkkoon tukiaseman kautta. Esimerkki jaetun avaimen autentikoinnista on kuvassa 5.2. KUVA 5.2 Jaetun avaimen autentikointi (Komulainen 2006, 12) 5.2 Wired Equivalent Privacy Wired Equivalent Privacy (WEP) on 802.11-standardeissa määritelty siirtokerroksen salausmenetelmä (Puska 2005, 74). WEP-salauksessa tulee kaikille langattomille laitteille määritellä sama salainen avain, jotta nämä pystyisivät olemaan toisiinsa yhteydessä samassa langattomassa verkossa. WEP-salaus on siis symmetrinen. Salausavaimia on ainakin kolmea pituutta: 40-bittinen, 104-bittinen ja 128-bittinen salausavain. Jokaiseen näistä avaimista lisätään vielä 24-bitin pituinen alustusvektori, ns. Inititialization Vector. WEP-avaimia kutsutaankin yleisemmin 64-, 128-, ja 152- bittisiksi avaimiksi. WEP-avaimia voi nykyään syöttää useimpiin langattomiin päätelaitteisiin ainakin neljä kappaletta. Näistä neljästä yhtä avainta kerrallaan käytetään liikenteen salaamiseen ja salauksen purkamiseen. Vaihtoehtona on myös käyttää jokaiselle yhteydelle omaa avainta. Nämä yhteyskohtaiset avaimet ovat tallennettu jokaiseen langattomaan päätelaitteeseen taulukkoon kohteen MAC-osoitteiden mukaisesti järjestettyinä. Alustusvektori on puolestaan 24-bittinen satunnaisesti generoitu luku

16 joka lisätään syötetyn salaisen avaimen eteen automaattisesti. Sen tarkoituksena on parantaa WEP-salauksen turvallisuutta muuttamalla salaamiseen käytettyä arvoa jokaiselle siirretylle tietopaketille yksilölliseksi. Alustusvektori kuitenkin lähetetään salaamattomana paketin osoitekentässä ja tämä osaltaan heikentää WEP-salauksen tietoturvallisuutta. WEP-salatun paketin runkorakenne on näkyvissä seuraavassa kuvassa 5.3. KUVA 5.3 WEP-sanomakehys (Komulainen 2007, 14) WEP-salaustekniikka siis perustuu jaetun salaisen avaimen menetelmään. WLANpäätelaitteen sekä tukiaseman sanomaliikenne laitteen tunnistustilanteessa noudattaa seuraavaa kaavaa: 1. Päätelaite lähettää tunnistuspyynnön (Authentication Request) tukiasemalle. Pyynnössä päätelaite ilmoittaa tukevansa jaetun avaimen WEP-tunnistusta. 2. Tukiasema lähettää päätelaitteelle satunnaisen Challenge, eli haastekoodin 802.11- standardin mukaisessa tietohallintakehyksessä. Haastetekstiksi tukiasema generoi satunnaisen merkkijonon. 3. Vastaanotettuaan haasteen päätelaite lähettää vasteena oman vastauksensa (Response), ja salaa vastauksen omalla salaisella WEP-avaimellaan. 4. Vastaanotettuaan päätelaitteen vastauksen tukiasema yrittää purkaa vasteen informaatiosisällön omalla WEP-avaimellaan ja vertaa purkutulosta lähettämäänsä haasteeseen. Mikäli tulokset ovat samat, ovat myös käytettävät salausavaimet samat, ja työaseman tunnistus hyväksytään kuittaussanomalla (Authentication Confirmation). Jos purettu informaation ei vastaa tukiaseman lähettämää

haastekoodia lähettää tukiasema tunnistautumisen epäonnistumissyykoodin päätelaitteelle, eikä laitteen ja tukiaseman välinen tunnistautuminen onnistu. 17 Kuvassa 5.4 on esitetty yllä kuvattu päätelaitteen (kannettava tietokone) sekä tukiaseman välinen sanomaliikenne WEP-salauksen tunnistautumistilanteessa. KUVA 5.4 Jaetun avaimen WEP-tunnistus (Puska 2005, 75) Langattoman liikenteen salauksessa WEP käyttää RC4-jonosalausta. RC4 on symmetrinen ja synkronoitu jonosalausalgoritmi. RC4-jonosalauksessa salausavaimen tulee olla yhtä pitkä kuin sillä salattava tavujono. (Puska 2005, 80). Siinä samaa avainta käytetään sekä tiedon salaamiseen että salauksen purkamiseen. Algoritmi tekee salauksen bitti kerrallaan, pienissä osissa. Kuvassa 5.5 on esimerkkinä 40-bitin WEP-avainta, joka on siis jaettu salainen avain, laajennetaan 24-bittisellä alustusvektorilla ja näin saadusta RC4-avaimesta generoidaan tarvittavan mittainen avainvuo tietosanomien salaukseen. Syötetyn salaisen avaimen sekä 24-bittisen alustusvektorin yhdistelmä toimii siis RC4-avaimen perustana. Ennen salausta selväkielisestä tietopaketista lasketaan 4-tavuinen ICV (Integrity Check Value). Tämän tarkoituksena on varmistaa salattavan kehyksen eheys. ICV lisätään seuraavaksi salattavan selväkielisen tietopaketin, sekä salaisesta WEP-avaimesta muodostetun RC4-avainvuon perään. Näin ollen siis salattava tietopaketti sekä RC4-avainvuo säilyvät samanmittaisina. Seuraavaksi RC4-avainvuo sekä salattava tieto lasketaan yhteen bitti kerrallaan käyttäen loogista XORoperaattoria, ja näin saadut salatut tavut tulevat WEP-sanomakehyksen rungoksi sekä eheytystarkistusarvoksi. Lisäksi WEP-sanomakehykseen lisätään kaksibittinen avaintunnus, joka ilmoittaa, mitä langattoman laitteen neljästä mahdollisesta WEP-

18 avaimesta on käytetty tiedon salaamiseen. Salattu WEP-tietokehys siis sisältää ainakin kehysotsikon, alustusvektorin (salaamattomassa muodossa), avaintunnuksen, varsinaisen salatun sanoman (salattu selväkielisestä tiedosta, sekä RC4-avainvuosta XOR-operaattorilla) eheytystarkastusarvon sekä FCS-arvon (Frame Check Sequence). FCS on lineaarisella CRC-32-algoritmilla (Cyclic Redundancy Check) laskettu tarkistussumma-arvo koko kehyksen tietosisällöstä. Arvon tehtävänä on ilmoittaa, onko tiedonsiirron aikana kehyksen tietosisältö säilynyt alkuperäisenä ja muuttumattomana (Institute for Security 2008). KUVA 5.5 WEP-salaus (Puska 2005, 80) Salatun tiedon vastanottaja tarvitsee salauksen purkamiseen sekä jaetun salaisen WEP-avaimen että salauksessa käytetyn alustusvektorin (IV). Alustusvektori saadaan lähetetystä WEP-kehyksestä ja salattu avain tulee olla vastaanottajan hallussa jo valmiiksi. Vastaanottaja muodostaa alustusvektorista sekä avaimesta jonoavaimen, ja purkaa salauksen. Siirretyn tiedon eheys tarkastetaan laskemalla puretusta tietosanomasta FCS-tarkistusarvo ja vertaamalla tätä arvoa vastaanotetun, salatun sanoman FCS-arvoon. 5.2.1 WEP-salauksen heikkouksia IEEE 802.11-standardin mukaista WEP-salausta on arvosteltu tehottomaksi sekä heikoksi ratkaisuksi. Todettuja heikkouksia löytyy mm. salauksen todentamisesta, salattujen avaimien hallinnoinnista sekä käyttäjäntunnistuksesta.

19 WEP-salauksessa samat salaiset avaimet tulee määritellä kaikkiin verkon langattomiin laitteisiin ja avaimet ovat luettavissa laitteiden asetuksista selväkielisenä tekstinä (Puska 2005, 81). Tämä mahdollistaa salaisen avaimen lukemisen suoraan jonkin verkossa olevan langattoman laitteen muistista, joka puolestaan mahdollistaa verkkoon liittymisen ja verkkoliikenteen salakuuntelun, jos langaton laite joutuu vihamielisen käyttäjän käsiin. Lisäksi WEP-salauksen Initial Vector (IV) eli alusvektori lähetetään tietokehyksessä salaamattomana. Salakuuntelemalla verkkoliikennettä murtautuja voi suojaamattomien alustusvektoreiden avulla selvittää salauksessa käytetty WEP-avain. Puska toteaakin (2005, 81) 40:n, jopa 104 bitin jaetun avaimen salaus ei tarjoa riittävää turvaa, vaan nykyaikaiset työasemat voivat murtaa salauksen vain kokeilemalla eri avainkombinaatioita (voimahyökkäys, brute force attack). WEP-salauksessa langattomien laitteiden todentaminen suoritetaan vain yhteen suuntaan eli tukiasema (Access Point) todentaa päätelaitteen (client). Näin ollen tukiasema voi varmistua siitä että kyseisellä päätelaitteella on oikeus liittyä langattomaan verkkoon, mutta päätelaite ei voi missään vaiheessa varmistua siitä, että se on liittynyt oikeaan tukiasemaan. WEP:n heikkoutena on salaamattoman alustusvektorin lisäksi myös se, ettei verkon ohjaus- ja hallintoliikennettä salata myöskään millään tavoin. 5.3 IEEE 802.1X WEP-salauksessa ilmenneiden turvallisuuspuutteiden korjaamiseksi suuret laitevalmistajat langattoman tietoliikenteen alalla julkaisivat oman ratkaisunsa: IEEE 802.1x-standardin mukaisen protokolla-arkkitehtuurin, joka mahdollistaa myös verkon käyttäjien tunnistuksen päätelaitteiden tunnistuksen lisäksi. Standardi siis mahdollistaa sellaisten ratkaisujen toteuttamisen, joissa esimerkiksi kannettavan tietokoneen käyttäjän täytyy tunnistautua käyttäjätunnuksen sekä salasanan avulla, jotta hän voi käyttää langatonta verkkoa. 802.1x ei kuitenkaan määrittele varsinaista tunnistustapaa vaan ainoastaan pohjan, jonka päällä on mahdollista käyttää useita eri tunnistamisvaihtoehtoja. WEP-salauksessa pelkkä tietokone siis tunnistetaan, esimerkiksi WLAN-tukiaseman toimesta, muttei varmisteta, onko tietokoneen käyttäjällä oikeutta käyttää langatonta verkkoa. IEEE 802.1x-standardin mukaiset ratkaisut mahdollistavat siis myös käyttäjätunnistuksen.

20 Tiedonsiirron turvallisuuden parantamiseksi IEEE 802.1x-standardissa käytetään yleensä EAP:aa (Extensible Authentication Protocol). Näin ollen käyttäjien tunnistaminen voidaan keskittää ulkoiselle palvelimelle ja tunnistamistavalle on olemassa useita vaihtoehtoja. IEEE 802.1x toimii OSI-mallin siirtokerroksella ja käyttäjän tunnistaminen tapahtuu verkon reunalla, käyttäen hyväksi tunnistuspalvelinta sekä kaksisuuntaista tunnistusta (Väänänen 2007, 33). Salausta on myös parannettu ottamalla käyttöön dyynaamiset avaimet, sekä avainten vaihdot. Perusominaisuutena IEEE 802.1x-standardi mahdollistaa käyttäjän tunnistuksen verkonhallinnan puolelta, muttei tarjoa käyttäjälle mahdollisuutta tunnistaa tietoliikenneverkkoa, johon hän on liittymässä. Jotkin EAP-toteutukset laajentavat 802.1x-standardia ja mahdollistavat kaksisuuntaisen tunnistuksen. Rackleyn (2007, 214) mukaan IEEE 802.1x-tunnistaminen määrittelee 3 osapuolta: 1. Anoja (Supplicant) Esimerkiksi langaton päätelaite (kannettava tietokone tai laite), joka haluaa liittyä langattomaan verkkoon ja tarvitsee tunnistusta. 2. Tunnistaja (Authenticator) Langaton tukiasema, joka vaatii tunnistustietoja päätelaitteilta. 3. Tunnistuspalvelin (Authentication Server) Samaan verkkoon tunnistajan kanssa liitetty palvelin, joka tarjoaa keskitetyn tunnistusohjelmiston. Verkon käyttäjien käyttäjätilit ja salasanatiedot ovat tallennettuina tälle palvelimelle. Tunnistaja toimii anojan ja tunnistuspalvelimen välillä ja on suorassa yhteydessä molempiin. Anoja ja tunnistaja keskustelevat keskenään EAPOL-protokollan (EAP over LAN) avulla. Tunnistaja kontrolloi tietoliikennettä jakamalla LAN-yhteyden kahteen virtuaaliseen porttiin, joista toinen on kontrolloitu ja toinen kontrolloimaton. Kontrolloimatonta porttia käytetään välittämään tunnistusliikennettä, ja sen läpäisevät vain EAP-paketit. Kontrolloitu portti puolestaan avataan, kun anoja on onnistuneesti tunnistettu ja sille voidaan taata pääsy salattuun verkkoon. Normaali tietoliikenne kulkee kontrolloidun portin kautta. Tunnistuspalvelimena käytetään yleensä RADIUS- protokollaan (Remote Authentication Dial-In User Service) perustuvaa palvelinta. Tunnistajan ja

21 tunnistuspalvelimen välinen liikenne siirtyy RADIUS-protokollan mukaisesti. Palvelin toimii niin, että se joko hyväksyy anojan tunnistuspyynnön ja antaa sille oikeudet päästä verkkoon, tai torjuu pyynnön ja evää oikeuden käyttää verkkoa. Oli tapaus kumpi tahansa, tunnistuspalvelin ilmoittaa aina päätöksestä viestillä, joka kulkee tunnistajan kautta anojalle. Tämän viestin kehys koostuu otsikosta, sekä viestiattribuuteista. 5.3.1 IEEE 802.1x ja tunnistamisprosessi IEEE 802.1x-standardin mukainen anojan, tunnistajan ja tunnistuspalvelimen välinen tapahtumaketju on esitetty kuvassa 5.6. Tunnistamisprosessi alkaa päätelaitteen assosioitumisella tukiaseman kanssa. Ennen assosioitumista päätelaite tunnistetaan käyttäen hyväksi avointa autentikointia. Puskan mukaan (2005, 76) varsinainen EAPkeskustelu alkaa anojan lähettämällä EAPOL-Start-sanomalla, johon tunnistaja vastaa kysymällä käyttäjätietoja anojalta. Prosessi voi alkaa suoraan myös tunnistajan lähettämällä EAP-Request-sanomalla. Seuraavaksi anoja vastaa tunnistajan pyyntöön lähettämällä tunnistetietonsa. Tässä anojan EAP-ohjelmisto avaa kyselyikkunan, johon käyttäjän tulee syöttää tunnuksensa ja salasanansa. Käyttäjän tiedot siirretään EAP-sanomassa tunnistajalle. Käyttäjän salasanaa ei kuitenkaan lähetetä sellaisenaan vaan vain sen tiiviste (hash). Tunnistaja muuntaa EAP-sanoman tunnistuspalvelimelle tarkoitetuksi RADIUS-sanomaksi, lisää sanomaan MD5-haasteen ja lähettää sen eteenpäin tunnistuspalvelimelle. Tunnistuspalvelin vastaa tunnistajan lähettämään RADIUS-Access-Request-sanomaan haastepaketilla, joka sisältää salaisella avaimella salatun ja satunnaisen MD5- haasteen. Tunnistaja muuttaa tämän sanoman EAP-sanomaksi ja välittää sen anojalle. EAP-sanoman rakenne riippuu käytettävästä EAP-menetelmästä ja haastepaketteja voidaan lähettää useampiakin. Seuraavaksi anoja lähettää salatun käyttäjän salasanan EAP-sanomana vastauksena haastepakettiin ja tunnistaja jälleen muuntaa EAPsanoman RADIUS-sanomaksi, ja lähettää sen eteenpäin tunnistuspalvelimelle. RADIUS-palvelin salaa aiemmin lähettämänsä MD5-haasteen paikallisella käyttäjän salasanalla, jonka se hakee omasta tietokannastaan. Jos anojan lähettämä ja tunnistuspalvelimen itse salaama haaste vastaavat toisiaan ovat käyttäjän syöttämät tunnus ja salasana oikeita ja tunnistetulle käyttäjälle voidaan antaa oikeudet liittyä

22 verkkoon. Tällöin tunnustuspalvelin lähettää positiivisen RADIUS-Access-Acceptsanoman, jonka tunnistaja muuntaa EAP-Success-sanomaksi. Samassa sanomassa tunnistuspalvelin lähettää anojalle myös istuntokohtaisen WEP-avaimen, jonka tunnistaja tallentaa omaan tietokantaansa ja lähettää edelleen anojalle (päätelaitteelle). Tämän jälkeen tunnistaja lähettää anojalle EAPOL-Key-sanoman, jota tunnistaja käyttää viestien salausavaimien välittämiseen salattuna päätelaitteelle. EAPOL-Keysanoma on salattu aikaisemmin lähetetyllä WEP-avaimella. Epäonnistuneessa tunnistuksessa käyttäjä ei saa oikeutta liittyä verkkoon ja RADIUS-palvelin luonnollisesti lähettää RADIUS-Access-Reject-sanoman, jonka tunnistaja välittää EAP-sanomana anojalle. Kun käyttäjä purkaa yhteyden, päätelaite lähettää EAP- Logoff-sanoman tunnistajalle, jolloin se katkaisee kyseisen laitteen assosiaation. KUVA 5.6 Päätelaitteen tunnistusprosessi (Puska 2005, 77) 5.3.2 EAP Extensible Authentication protocol Puskan mukaan: (2005, 75) tarjoaa optimoidun kuljetusalustan tunnistustoteutuksille, mutta ei ole mikään tunnistusmenetelmä. Alun perin EAP kehitettiin soittoyhteyksille suunniteltua PPP-liikennettä (Point-to-Point Protocol) varten. Mutta protokollaa on mahdollista käyttää hyväksi myös langattomassa verkkoliikenteessä. EAP-arkkitehtuurin tarjoama tunnistusmenetelmä voidaan valita käyttötarpeiden ja ympäristön mukaan, ja näin ollen esimerkiksi lähiverkoissa käytetään yleensä EAPOL:ia (EAP over LAN), langattomissa lähiverkoissa EAPOW:ia (EAP over WLAN) ja lisäksi EAP toimii myös

matkaviestinverkoissa SIM-kortteja (Subscriber Identity Module) käyttäen (Puska 2005, 75). 23 EAP-toteutuksia on useita ja eri toteutuksien toimintaperiaatteet vaihtelevat suuresti mm. arkkitehtuurin ja autentikointi sanomien vaihdon osalta. Käytettävän EAP-tyypin valinta anoja- ja tunnistajalaitteen välillä tapahtuu päätelaitteen tunnistus vaiheessa. Ohessa on kuvailtuna lyhyesti muutamia EAP-tyyppejä. EAP-TLS (EAP-Transport Layer Security) toteutus käyttää sertifikaattipohjaista autentikointimetelmää anojan ja tunnistajan välillä (Rackley 2005, 271). Sekä PKItunnistusta (Public Key Infrastructure) käyttäjätunnistuksessa. Tästä ratkaisusta löytyy mahdollisuus kaksisuuntaiseen tunnistamiseen, jossa siis käyttäjällä on myös mahdollista varmistua liittyneensä oikeaan verkkoon. Kaksisuuntainen tunnistus ehkäisee salasanojen urkkimisen väärennetyn tunnistajan (tukiasema) avulla. EAP-TTLS (EAP-Tunnelled Transport Layer Security) toteutuksen ensimmäisessä vaiheessa muodostetaan tunneli anojan ja tunnistuspalvelimen välille käyttäen samankaltaisia tunnisteita kuten EAP-TLS toteutuksessa. Varsinainen tunnistaminen tapahtuu sen jälkeen tätä salattua tunnelia käyttäen. Tunnistamisessa voidaan käyttää mitä tahansa tunnistusmekanismia palvelimen tukemista vaihtoehdoista. LEAP (Lightweight EAP) on Cisco Systemsin standardoima oma laajennus korvaamaan EAP:ssa havaittuja puutteita (Puska 2005, 78). LEAP mahdollistaa kaksisuuntaisen tunnistuksen, ja sitä on mahdollista käyttää vaihtuvien WEP-avainten kanssa, jolloin TKIP (Temporary Key Integrity Protocol) huolehtii avainten vaihdosta. Koska LEAP on laitevalmistajakohtainen toteutus, vaaditaan sen käyttämiseen, että WLAN-sovittimet ja asiakasohjelmistot saman valmistajan toimittamia. EAP-SIM (EAP- Subscriber Identity Module) toteutuksessa tunnistaminen perustuu erillisen SIM-älykortin käyttöön, sekä matkapuhelin verkosta saataviin tunnistepalveluihin. Myös EAP-SIM tukee kaksisuuntaista tunnistusta ja dynaamista avaimenhallintaa. 5.4 WPA, WPA2 ja TKIP

24 WPA (Wi-Fi Protected Access) on Wi-Fi allianssin (Wireless-Fidelity) suunnittelema parannus WEP-salauksessa ilmenneisiin heikkouksiin. WPA-salaus kehitettiin parantamaan WEP-salauksen turvallisuutta, sekä yhteensopivuutta erilaisten langattomien laitteiden välillä (Rackley 2007, 212). WPA-salaus koostuu neljästä eri algoritmista, joiden tarkoituksena on korjata WEPsalauksen heikkouksia. Nämä algoritmit liittyvät salauksen parantamiseen, salatun tiedon eheyden tarkistamiseen, sekä langattomien päätelaitteiden tunnistamiseen ja salaisten avaimien hallintaan. Salauksen parantamiseksi käytetään TKIP:a, sekä pidempää alustusvektoria kuin WEP-salauksessa. Salatun tiedon eheyden tarkistamisessa puolestaan käytetään TKIP:n sisältämää MIC-tarkistussummaa (Message Integrity Check). Päätelaitteiden todentamiseen sekä salaisten avaimien hallintaan WPA-salauksessa käytetään joko IEEE 802.1x-standardin mukaista todentamista yhdessä EAP-protokollien kanssa, tai yksinkertaisempaa valmiin jaetun avaimen todentamista WPA-PSK (Wi-Fi Protected Access Pre-Shared Key), jossa langattomaan verkkoon liitettyä tunnistuspalvelinta ei ole käytössä. TKIP parantaa WEP-salauksen turvallisuutta käyttämällä pakettikohtaisesti muuttuvaa salausavainta. Tietopakettien salaukseen käytetään edelleen RC4-jonosalausta, niin kuin WEP-salauksessakin, mutta salausavaimen pituus on kiinteästi 128-bittinen WEP:n 40-, 104- tai 128-bitin sijasta. Tiedonsalaus avain myös generoidaan aina pakettikehyskohtaisesti. TKIP:ssa alusvektorin osoite avaruus on laajennettu 24- bitistä 48-bittiin ja lisäksi on määritelty ajallinen alusvektorin vaihtoväli. WPAsalatun paketin 48-bittinen alusvektori siis lähetetään salattuna ja WPA-kehyksessä on määriteltynä kuinka usein ja miten tuota alusvektoria vaihdetaan, toisin kuin WEPkehyksessä, jossa koko ajan samana pysyvä 24-bittinen alustusvektori lähetettiin salaamattomana. Myös verkon ohjaus- ja hallintaliikenne ovat salattu avaimella, jota vaihdetaan tietyin väliajoin oman algoritmin mukaisesti (Broadcast Key Rotation). Langattomia hyökkäyksiä vastaan WPA-salaus tarjoaa useita uusia keinoja, joista eräs keskeinen on TSC (TKIP Sequence Counter) eli sekvenssilaskuri. Jokaisella langattomalla laitteella on oma laskurinsa, ja sen arvo kasvaa aina kun uusi tietokehys salataan ja lähetetään. Laskurin arvo lähetetään vastaanottajalle salatussa kehyksessä ja vastaanottaja hylkää saamansa paketit, joissa laskurin arvo ei ole muuttunut odotetulla tavalla.