黑客大会披露的Wi-Fi攻击没有威胁到企业WLAN

MS-CHAPv2身份验证协议是几年前由微软创建的。这个协议的漏洞是众所周知的，而WPA2使用了额外的机制来施加保护。根据Wi-Fi联盟和无线架构师表示，这种保护仍然有效。
　　对于Defcon大会（黑客大会）上的攻击演示，很多人敦促企业放弃MS-CHAP、PEAP(受保护可扩展身份验证协议)以及WPA2，但这是没有必要的。
　　Wi-Fi联盟营销总监Kelly Davis-Felner表示：“Wi-Fi联盟已经审查了Defcon大会上发布的chapcrack工具和cloudcracker服务，这些工具利用的是之前使用MS-CHAP中存在的漏洞，而现在WPA2中的MS-CHAP的使用都受到TLS(传输层安全)协议的保护，TLS能够保护所有在线电子交易，以及组织MS-CHAP信息的拦截。”
　　Aerohive Networks公司高级Wi-Fi架构师Andew VonNagy表示：“这种漏洞利用对正确设置的企业WLAN并没有影响。对于正确使用802.1X身份验证的Wi-Fi网络，并部署了传输层安全的企业，这个漏洞的影响几乎为零。”
　　其中的原因是因为企业Wi-F安全是两步骤过程，首先使用上述的传输层安全来在无线客户端和RADIUS(远程身份验证拨入用户服务)服务器之间，创建一个安全加密通道(验证服务器)，然后才使用MS-CHAP来验证客户端。如果第一个步骤正确部署，并且MS-CHAP受到保护，Defcon大会上发布的工具根本无法成功发起攻击。
　　PEAP是可扩展身份验证协议(EAP)协议系列之一，它依赖于传输层安全在验证PEAP客户端(笔记本或平板电脑)和PEAP验证器(企业RADIUS服务器)之间建立加密渠道。PEAP可以采用多种EAP验证方法，其中之一就是EAP-MS-CHAPv2(在加密通道内工作)。
　　“这个通道依赖于非对称加密技术，并使用RADIUS服务器上安装的X.509证书，这些证书随后被发送到客户端设备来开始连接设置，”vonNagy表示，“客户端验证证书是有效的，并与服务器建立TLS通道，开始使用对称密钥加密来进行数据保护。”
　　只有当TLS通道完全建立后，客户端和服务器才会开始使用不太安全的协议(例如MS-CHAPv2)来验证客户端。“通过使用对称密钥来加密传输过程，”vonNagy表示，“这种加密从非对称密钥加密切换到对称密钥加密来缓解处理和性能问题，这根本上与web浏览器中HTTPS会话中使用的方法一样。”
　　VonNagy创建了一个图标来显示这种互动的各阶段。从上至下：首先是Wi-Fi客户端与接入点的初始关联;然后是客户端与RADIUS服务器间的TLS通道协商;它们之间通道的创建;MS-CHAPv2受到RADIUS验证以及Wi-Fi客户端的响应和身份验证。
　　“关键环节是RADIUS服务器和无线客户端之间的相互身份验证，”VonNagy表示，“在向服务器发送证书之前，客户端必须首先正确验证RADIUS服务器证书。”
　　这里存在潜在的漏洞。“如果客户端没能正确地验证服务器，它可能会与假的RADIUS服务器建立一个MS-CHAPv2会话，然后向其发送证书，最终受到攻击，”vonNagy表示，这是一个典型的中间人攻击，攻击者在客户端与用户数据库存储(通常是目录服务器)的会话中间插入其RADIUS服务器。
　　因此，关键在于要确保客户端正确地验证RADIUS服务器，这可以通过受信任证书来实现，例如客户端平台供应商和PKI系统(如Entrust、Thawte、Verisign等)，或者也可以通过网络管理员使用微软的组策略对象、苹果的Lion Server Profile Manager等来实现。
　　VonNagy然后将重点放在使微软和苹果客户端接受特定受信任证书上，同时阻止它们手动接受不受信任的证书。
　　对于部署了802.1X身份验证的企业网络，所有客户端(包括个人拥有的设备)都需要加载一个802.1X SSID配置文件。当客户端面对不受信任证书时，这个连接将会被自动拒绝。
　　“不要陷入BYOD(携带自己设备到工作场所)的陷阱中—让用户自己连接以及试图破译证书提示，”vonNagy警告说，“企业应该建立一个个人设备联网政策，只对接受政策的设备部署配置文件。有很多方法可以实现这个过程，从简单的解决方案，如在电子邮件中向他们发送配置文件或者提供网址供用户下载配置文件，到更复杂的解决方案，例如允许自注册和不需要IT员工参与的MDM整合。”
　　证书到SSID的绑定仍然是一个手动过程，我们需要一个更好的解决方案。此外，现在的Wi-Fi客户端不能检查证书是否已经被吊销。IEEE 802.1u到Wi-Fi的扩展将最终为这个目的提供一个机制。
　　VonNagy的结论是：“在正确部署的无线网络中，这种MS-CHAPv2漏洞利用攻击根本不是问题，Wi-Fi网络管理员没有必要放弃PEAP。”