Architecture sécurisée Wifi

Du Wifi dans le secteur bancaire

Mon meilleur conseil : faire appel a des professionnels du domaine, si possibles certifiés chez Cisco ou Zyxel  

Salut,

En effet il va falloir sacrément sécuriser ce réseau. Je pense qu'au minimum il faudra mettre un cryptage en WPA2, en AES, et avec un serveur d'authentification Radius.

merci, mais ce n'est pas sur les différentes méthodes de sécurisation que je pêche.
Comme je l'ai dit, ils veulent d'abord pouvoir identifier les bornes wifi afin de localiser toute borne pirate.
Je sais que ces bornes sont configurées en AIR moniteur, mais je ne sais pas comment sa fonctionne et si elles font en même temps point d'accés.
J'ai pas trouvé beaucoup d'information à ce sujet.

Bonjour,

Pour l'installation d'une infrastructure wireless dans un environnement aussi sensible, il ne faut pas prendre les choses a la légère.

En effet vu que le réseaux sort de l'enceinte de l'entreprise il va falloir blinder la solution en configurant (tres) sérieusement.

Je fait régulièrement de telles installations, et je confirme, c'est loin d'être évident.

Il faut d'abord se poser "les" bonnes questions, agir en chef de projet.

Qui à besoin d'accéder par le réseau sans fil ?
Pour qu'elles raisons ?
Pour accéder à quoi ?
Doivent t'ils accéder aux réseau local de l'entreprise ?
Quel budget ?

Il faut schématiser toute l'installation, afin de savoir ou vérouiller, ou mettre les sondes de détection d'intrusion (je pense que Airopeek fait bien l'affaire, autrement si le budget et sérré Airsnort)
Savoir si il y a les conpétences en interne pour administrer, interpréter les attaques...

Si acces à des ressources partagés ou réseau de l'entreprise, il faudras un parfeu, Openbsd est une véritable crème pour celà.

Ne pas hésiter à y rajouter des outils comme Portsentry, qui bloque les scans de ports.

Durcir le noyau du parfeu avec PAX (grsecurity)

Pour l'instant je n'ira

Bonjour,

Pour l'installation d'une infrastructure wireless dans un environnement aussi sensible, il ne faut pas prendre les choses a la légère.

En effet vu que le réseaux sort de l'enceinte de l'entreprise il va falloir blinder la solution en configurant (tres) sérieusement.

Je fait régulièrement de telles installations, et je confirme, c'est loin d'être évident.

Il faut d'abord se poser "les" bonnes questions, agir en chef de projet.

Qui à besoin d'accéder par le réseau sans fil ?
Pour qu'elles raisons ?
Pour accéder à quoi ?
Doivent t'ils accéder aux réseau local de l'entreprise ?
Quel budget ?

Il faut schématiser toute l'installation, afin de savoir ou vérouiller, ou mettre les sondes de détection d'intrusion (je pense que Airopeek fait bien l'affaire, autrement si le budget et sérré Airsnort)
Savoir si il y a les conpétences en interne pour administrer, interpréter les attaques...

Si acces à des ressources partagés ou réseau de l'entreprise, il faudras un parfeu, Openbsd est une véritable crème pour celà.

Ne pas hésiter à y rajouter des outils comme Portsentry, qui bloque les scans de ports.

Durcir le noyau du parfeu avec PAX (grsecurity)

Pour l'instant je n'irais pas plus loin , mais s'il y a d'autres questions ...

Juste une derniere info, je conseil l'excellent livre wi-foo, qui et aussi en francais, ISBN : 2744019488

J'ai trouvé quelques informations concernant ARUBA, ca n'a pas l'air mal...
Mais ces sondes de détection, ce sont des points d'accés? si oui, peuvent elle en même temps servir pour la connection wifi?

Bonjour,
Les mêmes bornes peuvent être Air Monitor et/ou Point d'accès. Si une borne a les 2 rôles, elle ne fait de la surveillance qu'une partie de son temps pour ne pas pénéliser ses utilisateurs "normaux". Si la borne est spécilaisée dans le monitoring, elle ne fait que cela, en a et b/g , sur tous les canaux, mêmes ceux qui ne sont pas autorisés en France.
C'est très efficace. Il suufit de demander à Microsoft qui utilise un tel réseau au niveau mondial.
Et pour le secteur bancaire, pas de soucis, la solution Aruba y est déjà déployée après des mois de validation et certification par leur services d'audit sécurité.
Je sais de quoi je parle, car je suis le directeur technique du premier intégrateur européen d'Aruba.
Salutations

merci beaucoup, Monsieur le directeur!  

Si le Crédit Agricole confie sa sécurité à un stagiaire, je vais peut-etre changer de banque!!!!

..à moins qu'ils n'embauchent JiPe95 ;-)

A ma connaissance (mars 2006) la solution Aruba est la seule qui résiste à 3800 pirates pendant 4 heures avec succès. (voir 22C3)

Ce n'est qu'une ebauche d'un réseau wifi sur un réseau pré-éxistant, et déjà hyper-sécurisé!!! Je ne fait que proposer un modèle, rien de plus...

Il y a un logiciel CISCO qui fait exactement ce que tu veux: il détecte et refuse l'accès aux bornes Wifi pirate. Il coûte assez cher (je me souviens plus exactement mais c'est de l'ordre du millier d'euro). Mais il est plutôt efficace (testé et approuvé dans mon université).

Cisco fait des merveilles dans le genre
pour détecter et surtout refuser le roaming des postes clients vers ces bornes pirates tu as 2 solutions selon les bornes que tu as.
Si ce sont des bornes autonomous tu as le materiel suivant:
Ciscowork Wireless Lan Solution Engine (CWWLSE-1130-19-K9) 8000€
si ce sont des bornes lightweight il te faut plusieurs matériels:
un Wireless LAN controller Cisco 4400 series WLAN (AIR-WLC4112-K9) de 9400 à 33000€ selon ton architecture
+ un Cisco Wireless Control System (AIR-WCS-LL-1.0-K9) sous win ou linux au choix à 5700€
+un Cisco Wireless Location Appliance (AIR-LOC2700-L-K9) sous redhat à 14500€

Ces matériels s'appuient sur des plans de masse de tes bâtiments repèrent tres propres bornes effectuent la couverture radio en fonction des attenuations et de la propagation, t'avertissent de bornes intrus ou de bornes de type man in the middle et les discréditent pour tes propres clients, donnent en temps réel le lieu où se situe chaque client.

Pour sécuriser ton réseau il te faudra également un serveur radius de type Cisco ACS 3.3 (CSACSE-1111-K9) environ 4000€ pour mettre en place le système AAA et le WDS (wireless Domain Service) fonctionnant avec les équipements plus haut.
De plus tu peux mettre une solution qui séparent ta partie sans fil du reste de ton réseau grâce au firewall PIX et la solution NAC (Network Access Control) pilotés par le logiciel ACS.
Un réseau wifi coûte plutôt cher si tu dois le sécuriser au maximum

Moi j'opterai pour des feuilles d'aluminium à l'interieur du slip de tous vos collaborateurs (trices), cela aurat pour effet de devier les mauvaises ondes (pirates et autres nuisibles).
Vous pourrez ainsi dormir tranquille, a condition de faire porter cet artefact jour et nuit par les personnes concernées.
Voili voilou.
L'expert.

  il faudrait peu etre arreté de rever !
le piratage du wifi se fait avec linux (un elevage de pingouin !)
je suis installateur reseau depuis plusieurs années et
je vous garanti que les reseaux sans fil ne valent pas un clou !
car un pirate installer dans la rue avec son portable trouvera vos clés en maximum 1/2 journée
quand a l'identification !
elle est basé sur une adresse mac
qu'il est parfaitement possible de modifier sous linux ou window xp
sans grande connaissance de la part du pirate!
actuellement on me paie pour faire des démonstrations de se genre
alors oublier le wifi une bonne fois pour toute !    
je peu vous dire encore une chose
qui est de la plus grande importance
oublier vos windows xp!!
car jouer les pirates avec window xp
c'est comme courir avec une jambe cassé
,cest perdu d'avance !
sachez encore une autre regle d'or !
contrairement a vous , les pirates ils ont le temps eux !
de cherche la faille ou d'attendre qu'un utilisateur du reseau se plante
(comme tous les utilisateurs qui se plante ne dise rien à leur chef
ou aux opérateurs réseau souvent mème il ne se rendent pas compte de leurs erreurs )
alors moi je veu bien investir dans trois batterie de mon portable et stationner devant ta banque une demi journée si a l'arrivé je détourne des million a ta firme !ahahahahah!!!

Je plaisantait tout à l'heure (ah bon!!), mais le sujet est interessant en fait non pour aider le Credit Agricole mais parce que les réponses faites nous font entrevoir toutes les technologies du "wifi" qui feront probablement partie de notre avenir avec le reseau "permanent" :
géolocalisation enfin précise mon prtable m'indique toujours aléatoirement l'emplacement des bornes pourtant le logiciel (config free) est dévellopé par toshiba l'assembleur de mon pc... bref de la poudre de perlinpinpin le wifi de nos jours avec ses 36 normes différentes...
assez nul en "secu" pour ma part je suis assez logiquement d'accord avec Berseker
Pourtant à mon avis la distrib "d'origine" debian/ubuntu et autre est 100 fois moins sure à la livraison qu'un winXP à jour associé à Norton IS le "pack des familles" tout de meme sans fioriture réseau de partout et autant de portes (ouvertes ou non) en moins...un firefox et on travaillerais (presque) sans spywares

mais je devie du sujet

Lorsque les gouvernements quels qu'ils soient, alors que des vies sont en jeu ne savent pas evaluer le lieu de crue de telle rivière ou le lieu de passage de tel ouragan et sa force, on peu se demander si quelqu'un peu vraiment etre maitre de ses ondes wifi...quant à leur directions:
en effet cela dépend de parametres comme le vent, les nuages, etc etc...
Les petits filous de pirates pourraient alors profiter d'une mauvaise semaine de decembre pour casser les clefs de cryptage...

Il faut aussi des autorisations de l' ARCEP (feue l'ART) pour émettre des ondes wifi ou wi-max en dehors des murs d'un batiment.
Les niveaux de cryptages autorisés en france sont trop faibles pour inspirer la sécurité.

Cependant ne te décourage pas, peut-etre que avec du courage tu arriveras à ce que tu veux.

"
maitre de ses ondes wifi...quant à leur directions:
en effet cela dépend de parametres comme le vent, les nuages, etc etc...
"
Non!!

http://yves.maguer.free.fr/WiFi/page_wifi_yves.html

Citation:
"
maitre de ses ondes wifi...quant à leur directions:
en effet cela dépend de parametres comme le vent, les nuages, etc etc...
"
Non!!
Yves_mag

AH ? Heu   ... bon, ben,... m'est trompé...
Mais les ondes, hein, elles ont la vitesse ou la direction que le temps leur permet d'avoir, meme si ca n'influence pas trop pour du 2.4GHz ... ça a forcement une influence, meme moindre grace à telle ou telle technique (un petit peu quand meme?   ) Une faille est là, je n'y peux rien,l'homme depuis les années 1920 à grande echelle en la matiere sans trouver réelement d'antenne "parfaite" et pour doser en suffisance un signal pour chaque recepteur c'est pareil .
alors entre dire ce que j'ai dit ("tout est antenne" meme toi, homme, meme l'air, l'eau et le metal aussi) et parler plan de masse de batiment et de matos "fiable" (les patates!!) ... pour une banque, je veux bien mais pour les particuliers...

Un simple architecte aurait dit à la seconde ou les avions sont rentreés dans l'immeuble le 11/9 "c'est mort il vas s'ecrouler".
Moi je ne fait que dire que la localisation au metre pres de ses emissions d'ondes c'est (A MON AVIS) pas precis!
une minute de deviation pourrait suffire à un jeunot pour cracker le réseau! Qui sait?

Pour infos une banque suisse est en wifi crypté depuis plus d'une an je crois donc il y a des methodes de securisation......en suisse.... grace aux lois de leur pays.... et apliquées sur toute la chaine du reseau et specifique à l'activité...

Je pense que nous avions tout de meme sur ce forum à faire la part des choses entre l'aspect commercial des solutions et leur réelle efficacité technique sur le TERRAIN

Tu vois peut etre de quoi je parle lorqu'il s'agit d'operateur reseau, tu peux donc appliquer ce principe en securité informatique....si si

C'est bien bo de monter des outils "merveilleux" mais si il servent à rien il faut qd meme en parler. Je me bat assez pour dire à mon entourage que le wifi n'est pas sécurisé par défaut... ca etonne pas mal lesgens et les interessent au differentes facon de crypter leurs communications...Beaucoup plus de gens que l'on ne crois en sont capables!


Bon je suis un peu engagé contre les gens qui portent des chausettes grises à poids vert mais bon ... je m'explique un petit peu, c'est tout...

Je te lisait toute l'apres midi ... en plus...   formidables idée et réalisations impressionnantes. Je vais passer vers toulouse cet ete, moi!!!
Ce que je disait là etait en rapport avec mes vieilles connaisances en transmissions à l'armée, et bon meuh je le savais pas que ca se comparait pas avec les 2.4G mais je comprend un peu maintenant !!

Merci pour ton site   ,trois heures que j'en demord pas   et ce sera ainsi jusqu'a que je FINISSE de le lire (aie j'ai du boulot pourtant...)
Dans un mois donc j'aurai peut etre changé d'avis et me mettrai à donner du "non!!" sur un ton agacé aux gens qui font une petite erreur...
MERCI BEAUCOUP meme si j'ai honte, de m'avoir repris sur ce coup...j'avais en partie tord pourles courtes distances ...
et... je présente mes excuses à tous mon tord eu peut etre ete de parler securité alors que je n' avait (et n'ai ni n'aurait probablment) pas la comprehension suffisante...

Question:
Tu avais prevu que je répondrai à ton post en donnant des lecons de morales et en repetant mes erreurs encore beaucoup plus de fois, plus longuement également,et signant ????  
lol
Merci ^^), LMC

je disais "non" pour être succint.
Les radio amateurs (les meilleurs) sont de véritables métérologues, ils utilisent la ionosphère, entre autres conditions météo, avec les fréquences qui vont bien, pour faire des liens très longues distances.
http://www.ips.gov.au/Main.php?CatID=6&SecID=3&SecName=...

mais nous...on travaille au raz des paquerettes!! :-)

Oki....
lol : pour une liaison de dix KM legale effectivement y a pllutot interet à ce qu'il y ai rien d'autre dans le champ (de paquerette/humour)
Je suis vexé mais heureux d'avoir mieux compris ce que je prenais pour un engrenage bien huilé etait fait de plus de subtilitées qu'à premier abord on pouvait le croire.
Ma vexation etait aussi une des raison de ma longueur d'explication (foireuse) // on se refait pas...
Franchement ton site est extra (le tiens)
Je crois que le son se propage moins vite à basse altitude qu'à haute et ca j'ignore d'ou cela vient...
pression athmospherique difficile à croire et surtout en faire une regle en fction de l'altitude...
Le son et les autres ondes se comparent un peu grace à des tables, je crois...
En tout cas, peut etre un autre facteur à prendre en consideration pourquoi pas.
Oh ben zut maintenant, j'ai envie de savoir là! tout de suite !!!
Mais les notions de physique derrieres la radio-emissions sont un peu vastes pour moi...
Mais "la peur n'ecarte pas le danger" comme dit ma concierge donc quand j'aurais le temps et mon labo dans mon loft à moi,lol ....

Merci encore yves_mag !

"j'ai envie de savoir là!"...

ok, le son c'est une variation de pression de l'air.
le son se propage à 300m/s. plus le milieu (l'air) est dense plus le son se propage vite.

les ondes c'est différent, elles se propagent à la vitesse de la lumière, qui est relativement (comme dirait Albert E.) constante.

donc, par exemple, la foudre tombe, on la voit "instantanément", on compte les secondes, et quand on entend le tonnerre, on arrete de compter.

on déduit la distance de l'impact: une seconde => 300m,
3sec => 3*300m = 1Km.

la physique, c'est rigolo ;-)

au lieux de sécuriser le réseaux de ta banque tu pourait créer une faille et tu détourener l'atension de tes supérieur, tu atten quelque mois et ...  

 
Mais, Yves-Mag: Une telle révelation est DANGEREUSE - TU ME CONNAIS PAS! - et plein de d'idées noires et de doutes m'envahissent l'esprit!!

En effet ma grand-mère (j'ai déja fait le coup de la "concierge") qui ne gardait que ses vignes de l'ardeche, savait ça ....

MAIS A MOI ELLE M'AVAIS DIT QUE C'ETAIT 1SEC./1KM !!!!!!!!!      

je suis sur qu'elle a voulu me faire peur car elle etait un peu mefiante et aujourd'hui avec ce que tu me dis, j'ai compris que ma grand mere n'a jamais eu confiance en moi : huuuuuuuuuuuu hiiiiiiiiiinnnnnnnnnneeuuuhh            
Veridict.
-T'es degueulasse- C'est vrai quoi, maintenant je suis tout triste....la pédagogie devrai vraiment se retenir des fois!!!
mais ceci dit merci, je l'aurait su plus vite, chui un sale hypocrite car j'aurait pu trouver tout seul je pense...,en tout cas je crois bien que c'etait une ruse de ma grand mere...
:-)

Voila pour le hors sujet: Non, non je le pollue pas...
voyez vous memes:

Dans le sujet:
Pour les voleurs, c'est la prison en France alors: attention, hein!!!!
avis aux moins de 16ans...eux en sont exemptés, les parents n'ont plus qu'a investir dans du matos portable - remboursement rapide possible -
Organisez une expedition ! Un Concours au piratage wifi sur Lens!!

ps y'a encore de la neige au Alpes pour ceux que ca interesse...
j'en reviens d'ou mon absence et le peu de messages incohérents sur ce forum! He he!

Merci les gars de vous intéresser au problème, mais ce genre de conseils ne va pas m'aider beaucoup...
Si vous n'avez rien d'autre à dire, ce n'est pas la peine de poster pour rien, merci!  

Oki, dac, je vais t'aider, vas y dit moi tout...OOOooHAhAhAhAh!
Bon OK je sort

Ton sujet est interressant JE L'AI DIT de toute ma voix de dummy que je suis(presque).
En attendant en tchatchant ici on attire un peu les masters vu que ton post et haut placé.
Je part avec mes excuses...mais.......je reviendrais HOHIHIHOHOHOOOOOO

Attend 30s

Tu sais faire la différence entre un filtrage MAC, le WEP, le WPA et le WPA2 ?

Tu sais ce que c'est qu'un serveur RADIUS ? 802.1X ? Tu as déjà déployé une PKI ?

Le wifi c'est peut-être pas le pied en terme de sécurité, et encore moins dans le domaine bancaire, mais faut tout de même connaitre les bases de la sécurité avant de critiquer.

  QUESTION: On est obligé de passer par le 802.1X ?
Je coince : le protocole concoit des transmissions de données!
  QUESTION est il interne au matos, en dur dans le driver?
  QUESTION: Quelles sont les limitations dues au hardware (est-ce modifiable)?
Un protocole maison serait permis sur les cartes wifi?
Je pensait à une verification en temps réel des identités des usagers par une clé changeant leur mdp selon un algo, lui meme fonction d'une synchronisation (par exemple par rapport à des heures précises ou une donnée changeante mais pas transmise).
Ben voila ca existe peut-etre en "sous couches" ou "protocoles" mais je voulait donner mon avis

rand:
T dur la moindre des chose dans ce sujet, ce que fait l'ami berseker, c de cracher dans les cryptages conventionnels wep wpa: c pas faux c pas archi secure (tellement de gens le disent que j'y crois moi) ... donc vous etes d'accord ... "des années" c vague mais bon les serveurs radius et les mac ca date de y'a longtemps il doit donc connaitre!! Quelque chose doit m'echapper...  

PS: à l'armée il ont des pièces plombée anti-tout pour les rayonnements electromagnetique (classés "gerber") donc le cryptage et la localisation ne doivent pas suffire... je parait peut etre naif mais c rarement aussi qu'on retrouve des victimes d'avalanches gràce a leur GSM... , on met des bracelets differents ....les enjeux aussi le sont....
Voila mes idées ne sont pas tres tranchées mais j'essaye d'avancer, avec et grace à vous!!
  lol  
Sonofabitch : Une solution simple impressionneras peut etre plus ton boss, travaille etape par etape, des algos qui bougent en fonction du temps sont déja de belles portes closes et en plus la banque est gagnante, ca coute que dalle une calculette et une memoire de deux siecles d'algos, voir un algo qui change l'algo à heure fixe, plusieurs fois par heures etc...
à mon -TRES HUMBLE- avis mais cela seul un expert peut te le dire...  

c'est ma premiere fois que je fais face à ce travail,vue la connaissance que j'ai accquier à la formation j'ai toujours de panique

C EST PAS VRAIMENT EVIDENT L IMPORTANT C EST D AVOIR L ARCHITECTURE DE TON RESEAU PAR TU CHOISIRAS LE PROTOCOLE DE SECURITE ADEQUAT SOIT RADIUS SEVEUR OU BIEN WPA2

Ne crie pas hein ! On a bien vu que tu as fait une remontée qui ne sert à rien d'un vieux topic  

Ce sujet a été fermé par Moldar