IEEE 802.11 WEP(Wired Equivalent Privacy) 암호화를 사용하여 무선 데이터의 무단 수신을 방지할 수 있습니다. WEP 암호화는 64비트 키(간혹 40비트이기도 함)와 128비트 키(104비트로도 알려짐)를 사용하여 두 가지 보안 수준을 제공합니다. 보안 성능을 향상시키려면 128비트 키를 사용하십시오. 암호화를 사용하는 경우 무선 네트워크 상에 있는 모든 무선 장치의 암호화 키가 동일해야 합니다.
WEP(Wired Equivalent Privacy) 암호화 및 공유 인증을 사용하여 네트워크에서 데이터를 보호할 수 있습니다. WEP는 데이터를 전송하기 전에 암호화 키를 사용하여 데이터를 암호화합니다. 동일한 암호화 키를 사용하는 컴퓨터만이 네트워크에 액세스하거나 다른 컴퓨터에서 전송된 암호화된 데이터를 해독할 수 있습니다. 인증은 어댑터와 액세스 포인트 사이에서의 추가 확인 프로세스를 제공합니다.
WEP 인증 알고리즘은 수동 및 능동 네트워크 공격에 취약합니다. TKIP 및 CKIP 알고리즘에는 기존의 네트워크 공격을 완화하고 취약점을 알려주도록 개선된 WEP 프로토콜이 포함됩니다.
802.11은 열기 시스템 및 공유 키의 두 가지 네트워크 인증 방법을 지원합니다.
열기 인증을 사용하여 무선 장치에서 인증을 요청할 수 있습니다. 다른 무선 장치를 사용해서 인증해야 하는 장치는 전송 장치의 ID를 포함하는 인증 관리 프레임을 보내며 수신 장치 또는 AP는 인증을 위한 요청 권한을 부여합니다. 열기 인증을 사용하면 모든 장치에서 네트워크에 액세스할 수 있습니다. 네트워크에서 암호화가 활성화되지 않은 경우 액세스 포인트의 SSID를 알고 있는 장치는 네트워크에 대한 액세스를 받을 수 있습니다.
공유 키 인증을 사용할 때 각 무선 장치는 802.11 무선 네트워크 통신 채널과 별개인 보안 채널을 통해 비밀 공유 키를 수신한다고 간주합니다. 공유 키 인증에서는 클라이언트가 정적 WEP 키를 구성해야 합니다. 인증에서 발생하는 문제를 해결한 경우에만 클라이언트 액세스가 허가됩니다.
개요
802.1x 인증은 802.11 인증 프로세스와는 별개의 인증입니다. 802.1x 표준은 다양한 인증 및 키 관리 프로토콜에 대한 프레임워크를 제공합니다. 802.1x 인증 유형은 서로 다르며 각각은 다른 인증 접근 방식을 제공하나 모두 클라이언트와 액세스 포인트 사이에서의 통신을 위해 동일한 802.1x 프로토콜 및 프레임워크를 사용합니다. 대부분 프로토콜에서 802.1x 인증 처리가 완료되면 단말에서 데이터 암호화를 위한 키를 수신합니다. 자세한 내용은 802.1x 인증 작동 방법을 참조하십시오. 802.1x 인증과 함께 클라이언트와 액세스 포인트에 연결된 원격 인증 전화 접속 사용자 서비스(RADIUS) 서버 사이에서 인증 방법이 사용됩니다. 인증 처리에서는 무선 네트워크로 전송되지 않는 사용자 암호와 같은 자격 증명을 사용합니다. 대부분 802.1x 유형은 사용자마다, 세션마다 동적 키를 지원하여 고정 키 보안을 강화합니다. 802.1x는 확장 인증 프로토콜(EAP)로 알려진 기존 인증 프로토콜을 사용합니다.
무선 LAN에 대한 802.1x 인증은 다음 세 가지 요소로 구성됩니다. 인증자(액세스 포인트), 단말(클라이언트 소프트웨어) 및 인증 서버(원격 인증 전화 접속 사용자 서비스 서버(RADIUS)의 세 가지 주요 요소가 구성됩니다. 802.1x 인증 보안은 무선 클라이언트에서 액세스 포인트로 향하는 인증 요청을 시작합니다. 이로 인해 확장 인증 프로토콜(EAP) 규격 RADIUS 서버에 대해 클라이언트가 인증됩니다. 이 RADIUS 서버는 사용자(암호 또는 인증서를 통해) 또는 시스템(MAC 주소를 통해)을 인증할 수 있습니다. 이론적으로 무선 클라이언트는 처리가 완료될 때까지 네트워크에 추가될 수 없습니다. 802.1x용으로 사용되는 인증 알고리즘은 MD5-Challenge, EAP-TLS, EAP-TTLS, 보호된 EAP(PEAP), EAP Cisco 무선 라이트 확장 인증 프로토콜(LEAP) 등 여러 가지가 있습니다. 이러한 방법을 통해 무선 클라이언트가 RADIUS 서버에게 자신을 확인시킬 수 있습니다. RADIUS 인증을 사용하여 데이터베이스에서 사용자 ID를 확인합니다. RADIUS는 표준 주소 지정 AAA(Authentication, Authorization 및 Accounting) 집합으로 구성됩니다. RADIUS에는 다중 서버 환경에서 클라이언트의 유효성을 확인하는 프록시 프로세스가 포함됩니다. IEEE 802.1x 표준은 포트 기반 802.11 무선 및 유선 이더넷 네트워크에 대한 액세스를 제어하고 인증하는 데 사용됩니다. 포트 기반 네트워크 액세스 제어는 LAN 포트에 부착되어 인증 처리가 실패했을 때 포트에 대한 액세스를 방지하는 장치를 인증하는 스위칭 LAN 인프라와 비슷합니다.
RADIUS는 AAA 전화 접속 클라이언트가 네트워크 액세스 서버에 로그인하거나 서버에서 로그아웃할 때 사용하는 AAA(Authorization, Authentication 및 Accounting) 클라이언트-서버 프로토콜인 원격 액세스 전화 접속 사용자 서비스입니다. 일반적으로 RADIUS 서버는 인터넷 서비스 제공자(ISP)가 AAA 작업을 수행하는 데 사용됩니다. AAA 구문은 다음과 같습니다.
Authentication 구문: 로컬 데이터베이스에 대한 사용자 이름과 암호를 확인합니다. 자격 증명이 확인되면 인증 프로세스가 시작됩니다.
Authorization 구문: 리소스에 대한 액세스가 허용된 요청인지 여부를 결정합니다. 전화 접속 클라이언트에 대해 IP 주소가 할당됩니다.
Accounting 구문: 추세 분석, 감사, 세션 시간 과금 또는 비용 할당에 사용할 목적으로 리소스 사용량 정보를 수집합니다.
다음에서는 802.1x 인증에 대해 간략히 설명합니다.
클라이언트가 액세스 포인트로 "액세스 요청" 메시지를 보냅니다. 액세스 포인트에서는 클라이언트 ID를 요청합니다.
클라이언트는 인증 서버를 통과한 ID 패킷으로 응답합니다.
인증 서버는 액세스 포인트로 "수락" 패킷을 보냅니다.
액세스 포인트는 클라이언트 포트를 인증된 상태에 놓으며 데이터 트래픽 처리가 가능합니다.
802.1x 단말 프로토콜 지원
확장 인증 프로토콜(EAP) 지원 - RFC 2284
지원되는 인증 방법
MD5 - RFC 2284
EAP TLS 인증 프로토콜 - RFC 2716 및 RFC 2246
EAP 터널링된 TLS (TTLS)
Cisco LEAP
EAP-FAST
EAP-SIM
PEAP
Windows XP, 2000 지원
자세한 내용은 보안 설정을 참조하십시오.
WPA/WPA2(Wi-Fi Protected Access)는 데이터 보호 및 무선 네트워크에 대한 액세스 제어 수준을 강력하게 개선하는 향상된 보안 기능입니다. WPA는 강제로 802.1x 인증과 키 교환을 실행하며 동적 암호화 키를 통해서만 작동합니다. WPA에서는 임시 키 통합 프로토콜(TKIP)을 사용하여 데이터 암호화를 강화합니다. TKIP에서는 패킷마다 키 혼합 기능, 연속 규칙을 포함한 Michael 확장 초기 벡터(IV)라는 이름의 메시지 통합 확인(MIC) 및 키 재설정 방법을 포함하여 데이터 암호화 방법이 크게 개선되었습니다. 이러한 개선된 암호화 방법을 통해 TKIP에서는 WEP의 기존 결점을 보호합니다.
IEEE TGi 사양을 준수하는 차세대 WPA는 WPA2로 알려져 있습니다.
WPA/WPA2 - 기업은 802.1x RADIUS 서버가 있는 기업 네트워크에서의 보안 수준을 제공합니다. 802.1x 서버의 인증 프로토콜과 일치하는지 확인하기 위해 인증 유형을 선택합니다.
WPA/WPA2 - 개인은 소규모 네트워크 또는 가정 환경에서의 보안 수준을 제공하며 미리 공유된 키(PSK)라는 암호를 사용합니다. 암호가 길수록 무선 네트워크에 대한 보안이 강력해집니다. 무선 액세스 포인트 또는 라우터가 WPA/WPA2 개인(WPA-PSK)을 지원하는 경우 액세스 포인트에서 WPA-PSK를 활성한 다음 길고 강력한 암호를 지정해야 합니다. 이 컴퓨터 및 무선 네트워크에 액세스하는 다른 모든 무선 장치에서, 액세스 포인트에 입력한 암호와 동일한 암호를 사용해야 합니다.
Cisco LEAP(Cisco Light EAP)는 사용자가 지정한 로그온 암호를 통한 서버 및 클라이언트 802.1x 인증입니다. 무선 액세스 포인트가 Cisco LEAP 활성 RADIUS(Cisco 보안 액세스 제어 서버(ACS) 서버)와 통신할 경우 Cisco LEAP는 클라이언트 무선 어댑터와 무선 네트워크 간 다중 인증을 통한 액세스 제어를 제공하며 전송된 데이터를 보호하는 동적 개별 사용자 암호화 키를 제공합니다.
무선 LAN이 빠른 재연결이 가능하도록 구성된 경우 주 서버를 통하지 않고 LEAP 사용 클라이언트 장치가 한 액세스 포인트에서 다른 액세스 포인트로 로밍할 수 있습니다. CCKM(Cisco Centralized Key Management)을 사용하면 무선 도메인 서비스(WDS)를 제공하도록 구성된 액세스 포인트가 RADIUS 서버를 대신하며 음성이나 기타 시간에 민감한 다른 응용 프로그램의 별다른 지연 없이 클라이언트를 인증합니다.
Cisco 키 무결성 프로토콜(CKIP)은 802.11 매체 암호화를 위한 Cisco 독점 보안 프로토콜입니다. CKIP는 다음 기능을 사용하여 인프라 네트워크 모드에서 802.11 보안을 개선합니다.
키 교환(KP)
메시지 무결성 확인(MIC)
메시지 시퀀스 번호
EAP-TTLS 및 PEAP처럼 EAP-FAST는 터널링을 사용하여 트래픽을 보호합니다. 기본적인 차이점은 EAP-FAST는 인증서를 사용하지 않고 인증한다는 점입니다.
서버에서 EAP-FAST를 요청하면 첫번째 통신 교환 때 클라이언트가 단독으로 EAP-FAST 제공을 협상합니다. 클라이언트에게 미리 공유된 비밀 보호 액세스 자격 증명(PAC)이 없으면 EAP-FAST 제공을 시작하여 서버로부터 동적으로 가져오도록 요청할 수 있습니다.
EAP-FAST는 PAC에 밴드외 보안 장치를 통한 수동 전달과 자동 제공의 두 가지 방법을 제공합니다.
수동 전달 방법은 네트워크 관리자가 네트워크 보안이 충분하다고 판단되는 전달 방법일 수 있습니다.
자동 제공은 암호화된 터널을 만들어 클라이언트 인증 및 클라이언트로의 PAC 전달을 보호합니다. 이 방법은 수동 방법보다 보안이 취약하지만 LEAP에 사용된 인증 방법보다는 더 안전합니다.
EAP-FAST 방법은 제공과 인증의 두 부분으로 나눌 수 있습니다.
제공 단계에는 클라이언트로의 초기 PAC 전달이 포함됩니다. 이 단계는 클라이언트와 사용자마다 한번만 수행하면 됩니다.
Cisco 350 또는 Cisco 1200과 같은 일부 액세스 포인트는 일부 클라이언트 스테이션이 WEP 암호화를 지원하지 않는 환경을 지원합니다. 이를 혼합 셀이라 합니다. 이러한 무선 네트워크가 "선택적인 암호화" 모드에서 작동할 때 WEP 모드에 연결된 클라이언트 스테이션은 암호화된 모든 메시지를 보내며 표준 모드를 사용하여 연결된 스테이션은 암호화되지 않은 모든 메시지를 보냅니다. 이러한 AP는 네트워크가 암호화를 사용하고 있지 않다는 것을 알려 클라이언트가 WEP 모드를 사용해서 연결할 수 있도록 합니다. 프로파일에서 "혼합 셀"이 활성화되면 "선택적인 암호화"에 맞게 구성된 액세스 포인트에 연결할 수 있습니다. 자세한 내용은 Cisco Compatible Extensions 옵션을 참조하십시오.
이 기능이 활성화되면 무선 어댑터가 Cisco 인프라에 라디오 관리 정보를 제공합니다. Cisco 라디오 관리 유틸리티가 인프라에서 사용되는 경우 라디오 매개변수를 구성하고 간섭 및 Rogue 액세스 포인트를 검색합니다.