מאמר בנושא.
יש גם כמה טוקבקים מעניינים בסוף.

קראתי - ואני מצטער לומר - כתוב שם הרבה - אבל תשובה לשאלה שבכותרת אין ממש. לא הצלחתי להבין מדוע אבטחה מבוססת הצפנה אמינה לא יכולה להחליף אבטחה המבוססת על הצפנה שכל אחד יכול לפרוץ.

אז הוא הזכיר חסרונות של (חלק מ)מוצרי ה-VPN (חוויתי על בשרי את המימושים האיומים של צ'קפוינט, סיסקו ונורטל) - אבל בדיוק כמו שהוא אומר - זה שחלק מהם דפוקים - לא אומר שכל הרעיון כזה. ישנם מוצרי VPN שעובדים מסויים - אפילו בחינם.

לעניין החוסר בהתחברות אוטומטית כמו שקורה ב WiFi רגיל עם הצפנה יש לי מילה אחת להגיד: קשקוש. במוצר ה VPN שאני משתמש בו זה אפשרי גם אפשרי (נעזוב לרגע את הנקודה שזה די נגד הפואנטה של מקסימום אבטחה...)

נמאס לכם לזכור סיסמאות? לחצו כאן!

הוא דווקא מסכם בסוף כמה נקודות שעונות על השאלה הכללית - נקודת המבט היא לאו דווקא של צרכן ביתי,
אלא גם של ארגון.
לא ברור לי למה אתה חושב שכל אחד יכול לפרוץ WPA2 או אפילו WPA - כל עוד אין סיסמת מילון(ב-PSK)
או שעושים שימוש במנגנון EAP נורמלי - אין ממש דרכים ידועות ובדוקות לפרוץ את זה.

אפשר לעשות חיבור Pre-Login בווינדוס עם OpenVPN ע"ג תקשורת אלחוטית?

OpenVPN יכול לרוץ כסרביס, מכאן שהוא עולה עם מערכת ההפעלה, אז אני לא רואה סיבה שלא...

לגבי WPA - לא יודע - אם כולם באינטרנט אומרים שזה רק קצת יותר קשה מ WEP (ו WEP לוקח מעט מאוד זמן למיטב זכרוני) - אני לא לוקח סיכונים... בשביל מה צריך את זה? המודל של אימות (ולא רק גישה באמצעות ידיעת passphrase) נשמע לי הרבה יותר טוב.

ועדיין לא קיבלתי את התשובה מדוע VPN לא יכול להחליף את האבטחה של ה Wireless. איזו אבטחה מפסיד מי שעובד ב VPN מול זו של ה Wireless (ויותר מעניינת השאלה מהכיוון ההפוך - מה כן מפסיד מי שעובד ללא VPN?)

נמאס לכם לזכור סיסמאות? לחצו כאן!

"כולם באינטרנט אומרים"?

כמה סיבות, בין השאר:
א. בהנחה ומשתמשים ברשת פתוחה ועל גביה ב-VPN, יש אפשרות לסרוק את המחשבים ולמצוא נקודות תורפה.
זה שאתה משתמש בלינוקס ויודע להגדיר כמו שצריך את הפיירוול, לא אומר שזה
נכון לגבי רוב האנשים (אלא להיפך) ולכן מהווה נק' תורפה די רצינית.

ב. בעיות תאימות - למרות שיש כמה קליינטים ל-VPN ל-Windows Mobile הם די בעייתים לרוב
(כידוע..) וככל הידוע לי ל-OpenVPN בכלל אין קליינט כזה. כנ"ל לגבי מכשירים
שונים ומשונים שעושים שימוש ב-Wi-fi ואין שום דרך לעבוד בהם עם VPN.
(לא אזכיר את המילה המגונה "Legacy")

ג. ביצועים ו-Overhead - לא יודע עד כמה זה באמת נכון, אבל "כולם באינטרנט אומרים" שהביצועים פחות טובים

הנקודה הראשונה היא חשובה מאוד לפי דעתי, וכמובן שבמצבים מסויימים גם הנק' השנייה היא קריטית.


נכון שזה לא בהכרח אומר ש-VPN לא יכול להחליף WPA כמו כותרת המאמר, אלא למה לא כדאי.
אבל זה סתם סמנטיקה.

התכוונתי למקומות רציניים באינטרנט שאומרים את זה.

א. אנחנו מדברים על אותה מערכת שמתחברת באופן אוטומטי לרשתות אם היא רק יכולה - כן? במקרה הזה, אם אין פיירוול מובנה, הטענה שלך חסרת משמעות - המחשב כבר מלא בטרוייאנים. חלונות בלי פיירוול, אפילו למספר שניות => חובה לפרמט - ואני לא צוחק.

ב. אם ארגון בחר להשתמש ב Windows Mobile, יש לי שני דברים להגיד על זה: 1. תנחומי הכנים 2. שישכח מאבטחה - הכתבה הזאת לא רלוונטית בשבילו. קודם שישיג מערכת הפעלה ל HH שלו שאינה נתקעת 8 פעמים ביום.

ג. קשקוש לענ"ד - לא הבחנתי בשום איטיות במחשב כשהורדתי מרשת החברה (עם מפתח הצפנה באורך ממש לא סטנדרטי, ד"א) - והצלחתי למלא את הקו (200KB/s) של ה 1.5 היורד שעליו בדקתי. בשרת ה VPN נמדד עומס המעבד הבא בזמן הזה: 0 (וכדי לסבר את האוזן - מדובר בפנטיום 3)

זו לא סתם סמנטיקה - זה בדיוק ה FUD הזה שגורם לאנשים לטעות.

שכל אחד ישתמש במה שהוא מאמין, מה אני אגיד לך...

נמאס לכם לזכור סיסמאות? לחצו כאן!

א. ווינדוס לא מתחברת באופן אוטומטי לרשתות אלחוטיות By Default, ואם מדובר בארגון אפשר לבטל את
האפשרות הזו לגמרי. לא דיברתי על ווינדוס ללא פיירוול, אלא פיירוול פשוט.

ב. Windows Mobile היה דוגמא אחת. יש עוד הרבה, כמו לדוגמא טלפון VoIP/סלולרי, כל מיני מכשירי סריקה, וכו' וכו'.

המאמר מדבר בעיקר מנק' מבט של Enterprise ;
אם היית צריך לתת פתרון אלחוטי לארגון ברמת ה-Access ו-Distribution (אם נשתמש לרגע
במינוחי Cisco...) - איך היית עושה זאת בעזרת VPN? זה אפשרי? זה כדאי?

בשימוש ב-802.1x/EAP עם WPA2 זה אפשרי בהחלט, ואפילו די פשוט.

ואני לא רוצה להציק, אבל באיזה מקום רציני באינטרנט ראית שהתצורה הנ"ל לא מאובטחת?
או אפילו פחות בטוחה מ-VPN ?

אתה מניח, מסיבה כלשהיא, שאנשים טורחים ליישם 802.1x על המשמעויות של זה... יותר פשוט "לשים את ההצפנה הפשוטה יותר, מי ירצה כבר לפרוץ אלינו" - ולכן לדעתי עדיף לקדם את הקונספט של נתב אלחוטי ב 250 ש"ח ללא הצפנה (או עם הצפנה בסיסת כדי שלא יתחברו אליו אוטומטית, למרות שגם מי שמתחבר לא ממש יוכל לעשות משהו...) על אחד הממשקים של הפיירוול ולאפשר לו רק ליצור חיבורים אל ה VPN - שממילא יש כבר לכל בעלי הלפטופים בחברה.

לגבי ה HH-ים למיניהם - זו אכן בעייה - אבל יש פתרונות יצירתיים להכל (אגב, ה HH האלה תומכים לדעתך ב 802.1x? כי אני כבר ראיתי מספיק כאלה שלא יודעים לעשות שום דבר יותר מ WEP...)

לגבי שאלתך האחרונה - Google is your best friend - ישנם גם דפים עם דוגמאות כיצד עושים את זה

בכ"א, כמו שאמרתי כבר קודם - שכל אחד יעשה מה שהוא מעדיף.

נמאס לכם לזכור סיסמאות? לחצו כאן!

כל אחד עושה מה שהוא מעדיף - ובסוף ארגונים משתמשים ב-WEP...
זה שאנשים לא טורחים ליישם פתרונות אבטחה טובים זו בעיה שלהם (וראינו מה קרה עם זה..)

אני לא מדבר על חברות ששמות ראוטר מסכן של אדימקס בלובי, ואני מבין אם זה נראה לך חסר טעם לדבר על פריסה ברמות שאני מדבר עליהן,
מהסיבה שזה מאוד נדיר בארץ (לעומת ארה"ב לפחות) -
אבל מי יודע - אולי נראה דברים כאלה גם בישראל (802.11n אולי יביא את זה...)

חיפשתי בגוגל כלים לפריצה של WPA2-Enterprise - ומה לעשות - מצאתי רק כלים לפריצות Bruteforce
של PSK - דבר שבכלל לא רלוונטי, ואת הכלים הרגילים לפריצות EAP ישנות (ASLEAP וכו'..).
אז כנראה שזה לא כל כך פשוט (או אפילו אפשרי) לפרוץ את זה כמו שאתה חושב (או שסתם אני
לא יודע לחפש...)

אגב, יש טלפוני VoIP שתומכים ב-802.1x של נוקיה, סוני אריקסון, סמסונג ועוד כמה חברות שלא
ממש מוכרות בארץ.

השאלה היא אם הם היו חושבים על פתרון הצפנת אלחוט כמשהו ששווה משהו בכלל. אם לא שוללים את זה מכל וכל (כמו שאני עושה) אלא אומרים "יש הצפנה שקל יותר לפרוץ, ויש טובות יותר" - אתה יודע איך זה - שמים WEP/WPA/WPA2/הפתרון הנוכחי שחושבים שהוא לא פריץ - ובסוף הוא מפוצח - ככה זה... אז ברגע שאתה אומר שהצפנה ברמת שכבת הקישור זה הפתרון השלם - אתה סותם את הגולל על הדבר הזה, וכש WPA2 ייפרץ (וזה יקרה) - המצב יהיה בדיוק כמו היום - כולם יישארו עם ה WPA2 שלהם כמו שהיום כולם נשארים עם WEP. ובכלל, בהצפנה ברמת אלחוט - אף אחד לא ילך להחליף את כל המפתחות בכל הניידים בארגון כשמישהו עוזב את החברה - ואם ב RADIUS עסקינן - או כן החלפת מפתחות - אז שוב אתה מעלה את הסיבוכיות - וממציא מחדש את ה-VPN... שממילא חוסמים שם את המשתמשים ברגע שהם עוזבים את החברה (וממילא כבר יש לכולם על המחשבים...). במוצרי ה VPN של החברה, יודעים שצריך לעדכן וכו' - את האלחוט שוכחים בפינה. לכן, לאורך זמן, חרף כל מה שאמרת, וחרף ה"חסרונות" (אני מאמין שהמוצרים הניידים יכולים לעבוד בלי VPN באמצעות SSL על הפרוטוקולים הרלוונטיים להיכן שצריך - HTTPS, SRTP וכדו') - זה יהיה עדיף, למען העולם, שיהיה VPN אתה רוצה להוסיף עוד הגנה בשכבת האלחוט? תוסיף - אבל צריך בקרת כניסה רצינית יותר כדי לשמור באמת על אבטחה.

כיוון שאני מתחיל לחזור על עצמי, נראה לי שזו תהיה תגובתי האחרונה באשכול הזה...

נמאס לכם לזכור סיסמאות? לחצו כאן!

אין שום מפתחות בניידים. ברגע שמישהו עוזב את החברה, הרי עושים לו Disable ב-AD (לדוגמא)בכל מקרה,
והוא לא יוכל להתחבר שוב. איך זה יותר מסובך מלחסום מישהו משימוש ב-VPN אני לא מבין.

הטיעון שכל דבר עלול להפרץ תופס גם לגבי VPN אז לא ממש הבנתי למה אתה מעלה את זה כרגע...


אם אתה לא רוצה להמשיך את הדיון זה בסדר.
כנראה ש-You can't teach old dogs new tricks

לידע כללי, 802.1x נפרץ לפני כחצי שנה, כך שהוא לא הפיתרון האידיאלי לישום בצורה הפשוטה.
בגדול השיטה המומלצת היא שימוש ב EAP-TLS עם מפתחות של 1024 ביט, ו WPA2\AES.
אפשרי כמובן להסויף על כך LAYER של VPN אם ממש משעמם או שישנו מידע רגיש ברשת.

בהצלחה

חתימתכם הוסרה כיוון שלא עמדה בחוקי האתר. לפרטים נוספים לחצו כאן. תוכלו לקבל עזרה להתאמת החתימה לחוקים בפורום חתימות וצלמיות.