kablet ækvivalent privatliv (VIP)
VIP blev krypteringsstandarden for 802.11, men på ingen måde er det et kraftcenter i sikkerhed. Det har mange kendte svagheder i, hvordan krypteringen implementeres. Det grundlæggende problem er, at den bruger en kryptering, der ikke er egnet til det miljø, den opererer i. VIP bruger en stream-cipher kendt som RC4 i synkron tilstand til kryptering af datapakker. Ved hjælp af de synkrone stream-cifre forårsager tabet af en enkelt bit af en datastrøm tabet af alle data efter den mistede bit, inklusive data i de følgende pakker. Dette skyldes, at datatab de-synkroniserer keystream generatorer på de to endepunkter. Da datatab er udbredt i det trådløse medium, er det umuligt at bruge en synkron stream cipher på tværs af 802.11 rammegrænser. Problemet er dog ikke i RC4-algoritmen, men i det faktum, at stream cipher ikke er egnet til trådløst medium, hvor tab af stolpe er udbredt.
i stedet for at vælge en blok ciphers egnet til trådløst medium, 802.11 forsøger at løse synkroniseringsproblemet med stream ciphers ved at skifte synkroniseringskrav fra en session til en pakke. Secure Socket Layer (SSL) bruger RC4 på applikationslaget med succes, fordi SSL fungerer over en konsistent datakanal, der ikke mister datapakker, hvilket garanterer perfekt synkronisering mellem de to slutpunkter. SSL bruger kun en nøgle pr. Nøglen behøver ikke udskiftes hver pakke, da slutpunkterne er synkroniseret, og RC4 kan producere den samme keystream i begge ender ved hjælp af sessionstasten. I modsætning til det trådløse medium, 802.11 ændrer nøgler for hver pakke, fordi synkroniseringen mellem slutpunkterne ikke er perfekt og er underlagt pakketab. På denne måde kan hver pakke krypteres og dekrypteres uden hensyntagen til de tidligere pakker tab. Den samme nøgle bruges til at kryptere og dekryptere dataene. Krypteringsalgoritmen fungerer på følgende måde:
to processer anvendes på klartekstdataene. Den ene krypterer klarteksten; den anden beskytter dataene mod at blive ændret af uautoriseret personale. Den 40-bit hemmelige nøgle er forbundet med en 24-bit Initialiseringsvektor (IV), hvilket resulterer i en 64-bit Total nøglestørrelse. Den resulterende nøgle indtastes i Pseudo-tilfældig talgenerator (PRNG ). PRNG (RC4 ) udsender en pseudorandom nøglesekvens baseret på inputnøglen. Den resulterende sekvens bruges til at kryptere dataene ved at gøre en bitvis. Resultatet er krypterede bytes lige i længden til antallet af databytes, der skal overføres i de udvidede data plus fire bytes. Dette skyldes, at nøglesekvensen bruges til at beskytte 32-bit Integrity Check Value(ICV) såvel som dataene. Billedet nedenfor illustrerer, hvordan internettet er krypteret.
for at forhindre uautoriseret datamodifikation, en integritetsalgoritme , fungerer CRC-32 på klarteksten for at producere ICV. Krypteringsteksten opnås ved at beregne ICV ‘en ved hjælp af CRC-32 over meddelelsen klartekst krit, der forbinder ICV’ en med klartekst krit, der vælger en tilfældig initialiseringsvektor (IV) og forbinder dette med den hemmelige nøgle krit, der indtaster den hemmelige nøgle + IV i RC4-algoritmen for at producere pseudorandom-nøglesekvens krit, der krypterer klartekst + ICV ved at gøre en bitvis KSOR med pseudorandom-nøglesekvensen under RC4 for at producere krypteringsteksten, der kommunikerer IV til peer ved at placere den foran krypteringstekst. IV, klartekst og ICV-triplet danner de faktiske data, der sendes i datarammen.
VIP-dekryptering
IV for den indgående meddelelse bruges til at generere den nøglesekvens, der er nødvendig for at dekryptere den indgående meddelelse. Ved at kombinere chifferteksten med den korrekte nøglesekvens giver den originale klartekst og ICV. Dekrypteringen verificeres ved at udføre Integritetskontrolalgoritmen på den gendannede klartekst og sammenligne output fra ICV’ til ICV indsendt med meddelelsen.
hvis ICV ‘ikke er lig med ICV’ en, er den modtagne meddelelse i fejl, og en fejlindikation sendes til MAC-ledelsen og tilbage til afsendelsesstationen.Følgende diagram viser, hvordan VIP dekrypteres.
godkendelse
den samme delte nøgle, der bruges til at kryptere og dekryptere datarammerne, bruges også til at godkende stationen. Der er to typer 802.11 b-godkendelse. Den ene kaldes Open System authentication, som er standardgodkendelsestjenesten, der ikke har godkendelse. Dette lyder måske modstridende, men du vil se, hvad det gør senere på siden. Den anden kaldes den delte nøgle-godkendelse. Godkendelsen af den delte nøgle involverer en delt nøgle til at godkende stationen til adgangspunktet, som navnet siger. Det betragtes som en sikkerhedsrisiko at have både krypteringsnøglen og godkendelsesnøglen den samme. Der er også en metode, hvor stationer og adgangspunkter kan bruge internettet alene uden delt nøgleautentificering ved kun at bruge internettet som en krypteringsmotor, hvilket kan gøres i åben systemtilstand.
den åbne systemgodkendelse er en ugyldig godkendelse. Stationen kan forbinde med alle adgangspunkter og lytte til alle de data, der sendes i almindelig tekst. Denne godkendelse er ikke sikker, men implementeres for dens brugervenlighed. Denne godkendelse anbefales ikke og bruges kun, når netværksadministratoren ikke ønsker at håndtere sikkerhed.
godkendelse af Delt nøgle er en bedre godkendelse end godkendelse af åbent system. For at en station kan bruge den delte nøgleautentificering, skal den implementere VP. Den hemmelige delte nøgle findes i hver stations MIB i en skrivebeskyttet form og er derfor kun tilgængelig for MAC-koordinatoren. Billedet nedenfor viser, hvordan nøglen distribueres til hver station.
først sender en anmodende station en Godkendelsesramme til adgangspunktet. Når adgangspunktet modtager den oprindelige godkendelsesramme, svarer adgangspunktet med en godkendelsesramme, der indeholder 128 bytes tilfældig udfordringstekst genereret af VP-motoren i standardform. Den anmodende station kopierer derefter teksten til godkendelsesrammen, krypterer den med en delt nøgle og sender derefter rammen til den svarende station. Det modtagende adgangspunkt dekrypterer værdien af den udfordrende tekst ved hjælp af den samme delte nøgle og sammenligner den med den udfordrende tekst, der blev sendt tidligere. Hvis der opstår et match, svarer den svarende station med en godkendelse, der angiver en vellykket godkendelse. Hvis der ikke er et match, sender det svarende adgangspunkt en negativ godkendelse tilbage.