Din brugermanual NOKIA C110

Transkript

1 Du kan læse anbefalingerne i brugervejledningen, den tekniske guide eller i installationsguiden. Du finder svarene til alle dine spørgsmål i i brugermanualen (information, specifikationer, sikkerhedsråd, størrelse, tilbehør osv.). Detaljeret instruktioner er i Brugerguiden. Brugsanvisning Betjeningsvejledning Brugervejledning Brugermanual Brugsvejledning

2 Manual abstract: Mange af disse virksomheder håndterer yderst fortrolige data, og sikkerhedsspørgsmål er derfor ofte af meget stor betydning. Et trådløst LAN er et fleksibelt datakommunikationssystem, der implementeres som en udvidelse til et direkte tilsluttet LAN i en bygning eller et område. Ved hjælp af RF-teknologi (radio frequency radiofrekvens) kan trådløse LAN'er overføre og modtage data direkte, så behovet for kabelforbindelser minimeres. Et trådløst LAN giver brugerne fleksibel adgang til et direkte tilsluttet LAN i dækningsområdet. Trådløst LAN er på det seneste blevet populær på en lang række vertikale markeder, herunder sundhedsvæsen, detailhandel, fabriksvirksomhed, oplagring og universiteter. Inden for disse områder har man draget fordel af den øgede produktivitet ved brug af håndholdte enheder og bærbare computere til at overføre oplysninger til behandling på centraliserede værtscomputere. Behovet for at bruge LANfaciliteter, uanset hvor man er placeret, samt for at arbejde uden komplicerede installationer og kabler er også stigende i almindelige kontormiljøer. Standardiseringen af de trådløse LAN-teknologier gør det mere attraktivt at udvide eller erstatte en del af et traditionelt LAN med en trådløs løsning. Ved planlægning af en netværksarkitektur skal man omhyggeligt overveje alle sikkerhedsspørgsmål, og man bør træffe alle nødvendige sikkerhedsforanstaltninger for at sikere fortroligheden og integriteten for data i både direkte tilsluttede og trådløse LAN'er. Modsat telekommunikationsnetværk giver LANnetværk med IP-traffik og adgang til det offentlige Internet ikke høj pålidelighed og garanti for sikkerhed. Hvis man ikke tager tilstrækkelige forholdsregler er ethvert LAN, direkte tilsluttet eller trådløst, sårbart og udsat for sikkerhedsrisici og problemer. En fjendtlig udenforstående, som vil tjene på at sælge fortrolige forretningsoplysninger til konkurrenter, kan f.eks. få adgang til netværksdata eller oven i købet ændre dem. I de senere år har disse risici gjort det kompliceret for en omfattende brug af trådløse LAN'er, som indeholder fortrolige data, fordi brugerne typisk har strenge krav og regler for sikkerhed og dataintegritet. 1 OVERSIGT OVER DATASIKKERHED Sikkerhedstrusler Computersystemer og netværk er genstand for alvorlige sikkerhedstrusler, som kan forårsage alvorlig skade på et system, dets tjenester eller dets oplysninger. Et sikkerhedsangreb er en handling, der kompromitterer sikkerheden for oplysninger, der ejes af et firma, hvorimod en sikkerhedstrussel betegner muligheden for at et sådant angreb bliver udført. Nogle almindeligt kendte trusler er nægtelse af adgang til tjenester, opsnapning, manipulation, forklædning og afvisning. Nægtelse af adgang til tjenester betyder, at et system eller netværk bliver utilgængeligt for autoriserede brugere, eller at kommunikationen bliver afbrudt eller forsinket. Denne situation kan f. eks. være forårsaget af overbelastning af et netværk med ulovlige pakker. I forbindelse med et trådløst LAN kan den være forårsaget af bevidste forstyrrelser af de brugte radiofrekvenser, som forstyrrer det trådløse netværk. Opsnapning kan betyde identitetsopsnapning, i hvilken forbindelse identiteten af en kommunikerende part bliver overvåget med henblik på senere misbrug, eller det kan henvise til dataopsnapning, hvor en uautoriseret bruger overvåger brugerdata i forbindelse med en kommunikationssession. Det drejer sig her om et angreb på fortroligheden, og et eksempel kan være, at en angriber lytter med på det trådløse eller direkte tilsluttede - medium og indlæser de overførte data. Manipulation henviser til en situation, hvor data erstattes, indsættes eller slettes på et system. Det drejer sig her om et angreb på dataintegriteten, og det kan enten være utilsigtet (grundet en hardwarefejl) eller tilsigtet, i hvilket tilfælde en angriber lytter til en datakommunikation og ændrer brugerdata. Forklædning finder sted, hvis en angriber foregiver at være en autoriseret bruger for at få adgang til oplysninger eller til et system. Et eksempel i forbindelse med et trådløst LAN kunne være, at en uautoriseret bruger forsøger at opnå adgang til det trådløse netværk. Afvisning betyder, at en bruger nægter at have gjort noget, der kan være skadeligt for systemet eller kommunikationen. En bruger kan f.eks. nægte at have sendt visse meddelelser eller at have benyttet et system med trådløst LAN. Sikkerhedstjenester og -mekanismer Som beskyttelse mod ovenstående sikkerhedstrusler skal der anvendes forskellige sikkerhedstjenester og -mekanismer. Sikkerhedstjenester forbedrer sikkerheden på informationssystemer og i forbindelse med dataoverførsler. Sikkerhedsmekanismer er derimod aktive forholdsregler, der bruges til at opnå sikkerhedstjenester. Kodeomsætning er et eksempel på en mekanisme, der kan bruges sammen med forskellige sikkerhedstjenester. Godkendelse er en tjeneste, der bekræfter identiteten af en størrelse, f.eks. en bruger eller en enhed, eller bekræfter oprindeligheden af en overført meddelelse. Godkendelse er typisk nødvendig som beskyttelse mod forklædning og ændring. I aktuelle trådløse systemer skal adgangspunkterne f.eks. godkende trådløse enheder for at undgå uautoriseret adgang til netværket. Tæt relateret til godkendelse er adgangskontroltjenesten, som begrænser og kontrollerer adgang til 2 systemer og programmer i netværket. Størrelserne skal først identificeres eller godkendes, før de får tildelt adgang til et system. Datafortrolighed er beskyttelsen af overførte data mod opsnapning. I forbindelse med trådløs kommunikation kan det betyde, at data, der overføres mellem en trådløs enhed og et adgangspunkt, bliver holdt fortroligt, mens de overføres. Naturligvis betragtes ikke alle data som fortrolige, men vigtige oplysninger bør ikke overføres, medmindre der er truffet sikkerhedsforanstaltninger. Dataintegritet er en vigtig sikkerhedstjeneste, der beviser, at overførte data ikke er blevet ændret. Godkendelse af de kommunikerende parter er ikke nok, hvis systemet ikke kan garantere, at meddelelsen ikke er blevet ændret under overførslen.

3 Dataintegritet kan bruges til at opdage og beskytte data fra at blive manipuleret. Ikke-afvisning forhindrer en størrelse i at benægte noget, der faktisk er sket. Dette henviser normalt til en situation, hvor en størrelse har brugt en tjeneste eller overført en meddelelse, og påstår ikke at have gjort det. SIKKERHED OG IEEE Der findes forskellige sikkerhedsprotokoller og løsninger, der aktiverer beskyttelse af overførsler i computernetværk. Protokollerne kan også anvendes til trådløse LAN'er, hvor trafikken skal beskyttes mod aflytning. Dette afsnit beskriver de løsninger, der kan bruges til at løse sikkerhedsproblemer i trådløse LAN'er. Standarden IEEE til trådløst LAN blev anerkendt i Standarden blev udviklet for at maksimere samspillet mellem forskellige fabrikater af trådløse LAN-produkter samt for at introducere en lang række forbedringer og fordele i forbindelse med ydeevnen. IEEE standarden definerer tre indstillinger for fysiske lag: FHSS, DSSS og IR. DSSS (direct sequence spektrum til direkte frekvensspredning) har nogle fordele sammenlignet med de andre to indstillinger for fysiske lag. DSSS har de størst mulige datahastigheder (op til 11 Mbit/s), og den giver et større dækningsområde end indstillingerne FH (frequency hopping frekvensspring) og IR (infrared infrarød). DSSS-systemer blev oprindeligt brugt til militær kommunikation. DSSS-baserede radiosystemer er også meget modstandsdygtige over for forstyrrelser. Den eksisterende IEEE standard til trådløst LAN definerer to godkendelsestjenester: WEP-baseret (wired equivalent privacy tilslutning med modsvarende hemmeligholdelse) godkendelse af delt nøgle Åben systemgodkendelse (giver kun meddelelse om, at en trådløs enhed ønsker at associere med en anden trådløs enhed eller et trådløst adgangspunkt) WEP - Tilslutning med modsvarende hemmeligholdelse Arbejdsstationer i et IEEE trådløst LAN kan forhindre aflytning ved at implementere den valgfri WEP-algoritme, som også bruges i godkendelsesskemaet i forbindelse med delte nøgler. WEP-algoritmen anvender RC4-algoritmen med en op til 128-bit hemmelig nøgle. Hvis de trådløse enheder i et trådløst LAN vil kommunikere ved hjælp af WEP, skal de være i besiddelse af den samme hemmelige 3 kan indtrængende, der kender den SSID (Service Set Identifier identifikator af tjenestesæt), der identificerer det trådløse LAN-netværk, vil kunne konfigurere en trådløs enhed til at fungere på det samme netværk og den samme frekvens som adgangspunkterne og få adgang esser også, og der tilføjes en ny overskrift til pakken. Sikkerhedsassociation danner grundlag for administrative årsager (og fordi den primære firewall fysisk set kunne være placeret langt væk fra det trådløse LAN-segment) er det imidlertid bedre at arbejde med separate enheder som vist i figuren ovenfor. Fordelen ved denne løsning er, at den beskytter de oplysninger, som overføres til og fra intranettet, og at uautoriseret adgang forhindres. Du skal imidlertid være opmærksom på, at trafikken mellem den trådløse enhed og gatewayen er krypteret, hvilket betyder, at trafikken mellem to trådløse enheder i det trådløse LANsegment ikke er krypteret, medmindre de begge bruger andre metoder, f.eks. IPSEC (Internet-protokolsikkerhed), TLS (Transport Layer Security sikkerhed i transportlag) eller andre krypteringsmetoder på programniveau. Derudover etableres den sikre tunnel, når den trådløse enhed sluttes til sikkerhedsgatewayen, så det er kun den trådløse enhed, der kan etablere forbindelse til intranetværterne intranetværterne kan ikke sluttes direkte til de trådløse enheder. 6 SIKKERHED OG NOKIAS PRODUKTER TIL TRÅDLØST LAN Dette afsnit hjælper dig med at definere et passende sikkerhedsniveau for Nokias produkter til trådløst LAN. Nokias 2 Mbit/s trådløse LAN Nokia C020/C021 Kort til trådløst LAN og Nokia A020 Adgangspunkt til trådløst LAN har ingen yderligere sikkerhedsfunktioner, f.eks. WEP-funktioner. Derfor bør der bruges en fuldstændig VPN-løsning med effektiv godkendelse og datakryptering sammen med Nokias 2Mbit/s-produkter til trådløst LAN i installationer, der kræver stor sikkerhed, f.eks. i banker. Firma-LAN VPN-godkendelse og -datakryptering Trådløse enheder 10 Mbit/s direkte forbundet LAN Hub eller switch Nokia A020 Adgangspunkt til trådløst LAN VPNserver Figur 2. Eksempel på VPN-godkendelse i et trådløst LAN Du kan øge sikkerheden ved at bruge NID-lister (Network Identifier netværksidentifikator) i nogle eller alle adgangspunkter. Dette forhindrer uautoriserede brugere i at få adgang til netværket og interne brugere i at få adgang til visse adgangspunkter. Konfiguration og overvågning af adgangspunkter kan blokeres ved at bruge adgangspunktets låsefunktion og ved at begrænse antallet af administratorer, der kan konfigurere og overvåge adgangspunktet (højst 4 administratorer). Det er også muligt at definere, hvilke IP-adresser der skal være adgang til. Der findes ligeledes indstillinger til ændring af porte og begrænsning af brug af Telnet, Internet og TFTP. Nokias nye 11 Mbit/s trådløse LAN Det nye Nokia C110/C111 Kort til trådløst LAN indeholder yderligere funktioner til at øge sikkerheden i det trådløse netværk. Først og fremmest findes der en integreret chipkortlæser, som er et yderst pålideligt og effektivt værktøj til administration af brugeridentiteter. For det andet indeholder løsningen WEPgodkendelse og radiolinkkryptering til trådløst LAN. I sikkerhedskrævende bankinstallationer er det stadig mest hensigtsmæssigt at integrere det trådløse LAN-netværk med en VPN-løsning. Det integrerede chipkort kan bruges til at lagre brugeridentiteter på VPN-niveau og tilmed adgangskoder til netværket. Hvorfor bruge WEP? WEP kan bruges til at øge sikkerhedsniveauet i netværket. For det første øger det sikkerheden i radiointerface i forbindelse med både godkendelse og kryptering.

4 For det andet gør det det muligt at etablere billigere og lettere løsninger. WEP gør det sikkert at overføre data mellem trådløse enheder. WEP tilbyder et ekstra godkendelses- og datakrypteringsværktøj, der kan bruges i mange miljøer. 7 Firma-LAN WEP VPN-godkendelse og -datakryptering 10 Mbit/s direkte forbundet LAN Nokia A032 Adgangspunkt til trådløst LAN Hub eller switch WEPgodkendelse og -datakryptering VPNserver Figur 3. Eksempel på VPN & WEP i et trådløst LAN Hvad med chipkort? Nokias integrerede chipkortlæser til trådløst LAN er et effektivt værktøj til administration af brugeridentiteter og brugergodkendelse i det trådløse netværk. Nokias kort til trådløst LAN har en standard ID000 Windowsbrugergrænseflade til chipkortlæsere, der understøtter en lang række chipkortløsninger til firmanetværk og tjenestegodkendelse. Nokia C110/C111 har en åben grænseflade til chipkortlæsere, der understøtter de fleste VPN-løsninger på markedet og tilmed gør det muligt at udvikle skræddersyede chipkort-løsninger til brugere af bærbare enheder. Den integrerede chipkortlæser understøtter standard Microsoft chipkort API (Application Program Interface). Den integrerede chipkortlæser indeholder også en effektiv metode til anvendelse af elektroniske signaturer. Med Nokia C110/C111 kan du begynde at bruge effektive PKI-baserede (Public Key Infrastructure offentlig nøgle-infrastruktur) godkendelsesprodukter sammen med andre sikkerhedsløsninger. Stadig flere finansinstitutter og andre firmaer er begyndt at bruge PKI. Nokia C110 er en god løsning til at møde de højnede krav om sikkerhed. De væsentligste fordele ved chipkort-løsninger er: Et chipkort er en håndgribelig, pålidelig måde at distribuere nøgler til netværksgodkendelse til brugere af bærbare enheder. Derudover giver det mulighed for opbevaring af adgangskoder med PIN-beskyttelse. Et chipkort kan effektivt integreres med netværksgodkendelse ved hjælp af eksisterende godkendelsesprodukter i firmaets netværk. I fremtiden gør det integrerede chipkort det muligt at bruge digitale signaturer og PKI-tjenester, der er ved at blive almindelige især i den finansielle sektor. Den integrerede chipkortlæser er en billig løsning, der giver mulighed for chipkort-tjenester på bærbare computere. SPØRGSMÅL OG SVAR Sp1: Hvordan godkendes brugeren, og hvordan krypteres data mellem en enhed til trådløst LAN og et adgangspunkt? Den eksisterende IEEE standard for trådløst LAN definerer to godkendelsestjenester: Åben systemgodkendelse (meddeler, at en trådløs enhed vil associeres med en anden trådløs enhed eller et adgangspunkt). 8 WEP-baseret (Wired equivalent privacy tilslutning med modsvarende hemmeligholdese) delt nøglegodkendelse Ved åben systemgodkendelse er det kun gyldige, trådløse LAN-kort, der kan associeres med adgangspunkter. Åben systemgodkendelse giver ikke pakkebaseret godkendelse eller nogen form for installationer, der kræver et højt sikkerhedsniveau, kan netværks- og brugerdatasikkerheden forbedres ved at bruge sikkerhedsmekanismer på IP-niveau, f.eks. VPN-produkter. I dette tilfælde er det trådløse LAN-segment isoleret fra firmanetværket ved hjælp af en VPN-enhed. VPNenheden udfører brugergodkendelse og datakryptering mellem den trådløse terminal og netværket ved hjælp af effektive krypteringsalgoritmer, f.eks. DES eller 3DES. Nokias trådløse LAN-løsning understøtter førende VPN-løsninger, der kan læses af det trådløse LAN. Sp2: Er radiolinket følsomt over for angreb over hele spektrummet? Spektrumversionen med direkte sekvensspredning i IEEE standarden er udviklet til at være modstandsdygtigt over for forstyrrelser. Det skal imidlertid bemærkes, at intet system til trådløst LAN kan håndtere tilsigtede forstyrrelser. Sp3: Hvordan kan vi sikre, at hver trådløs enhed har en adgangskode til opstartstid og logout efter ledighed? Adgangspunktet ophæver godkendelsen efter et vist tidsrum, hvis den trådløse enhed slukkes eller flyttes ud af radius. Nokia C110/C111 Kort til trådløst LAN giver mulighed for WEP-godkendelse, der bruger en WEP-nøgle som adgangskode for opstartstid. Trådløse LAN'er garanterer som sådan ikke nogen form for tidsbaseret logout, men fungerer snarere som et normalt LAN-netværk for den type programmer. Hvis der kræves en pålidelig logout efter ledighed og adgangskode til opstartstid, anbefales det at integrere det trådløse LAN med et VPN-produkt, der typisk har disse funktioner. Sp4: Er det muligt at forbyde adgang til det trådløse LAN for ét system ad gangen? Ja. Der er to muligheder, der supplerer hinanden: Det er muligt at bruge NID-lister i trådløse LAN-adgangspunkter. I dette tilælde tillader adgangspunkterne kun de angivne kort til trådløst LAN (MAC-adresse) adgang til netværket. NID'er begrænser brugen af radionetværk baseret på MAC-adressen på kortet til trådløst LAN. I installationer, hvor der er krav om et højt sikkerhedsniveau, anbefaler vi, at der anvendes en mere effektiv godkendelsesmetode, som er baseret på en VPNløsning, for at mindske risikoen for angreb på netværket. I vigtige løsninger er det dog muligt at bruge godkendelser på både trådløst LAN- og VPN-niveau. I en sådan løsning er trådløs LAN-godkendelse den første beskyttelse, der skal brydes, inden der er adgang til systemets VPN firewall. 9 Sp5: Hvordan påvirker det trådløse LAN sikkerheden i firmaet? Dette afhænger udelukkende af firmapolitikken. Radionetværket til trådløst LAN giver med sikkerhed en ny dimension til sikkerheden, men som altid er grundig planlægning med til at forhindre mulige problemer. I forbindelse med sikkerhedsfølsomme programmer anbefaler vi, at de trådløse LAN-netværk isoleres fra de kritiske netværkskomponenter ved hjælp af en VPN firewall. I modsætning til de fleste konkurrerende produkter tilbyder Nokias 11 Mbit/s kort til trådløst LAN to avancerede sikkerhedsværktøjer, der kan integreres i sikkerhedssystemerne i eksisterende firmanetværk: chipkort-baseret brugergodkendelse og trådløs LAN WEPgodkendelse og datakryptering.

5 Powered by TCPDF ( WEP-beskyttelse giver yderligere beskyttelse mod uvedkommende. Den integrerede chipkortlæser giver netværksadministrationen mulighed for nemmere at distribuere håndgribelige brugeridentiteter og sikre nøgler til trådløse LANterminaler. Chipkortet giver også mulighed for lagring af adgangskoder med PINbeskyttelse og udregning af adgangskoder, der kun kan bruges én gang, hvilket er en langt sikrere løsning end de meget brugte statiske adgangskoder. Hvis du ønsker opdaterede oplysninger om Nokias trådløse LANprodukter og datasikkerhed, skal du jævnligt besøge vores hjemmeside på 10.