1. Não usar o protocolo WEP
Se a organização ainda o estiver usando, a recomendação é para a troca imediata para o protocolo WPA2 (Wi-Fi Protected Access) com autenticação 802.1X - 802.11i. Se houver dispositivos clientes ou pontos de acesso incapazes de suportar o WPA2, procure fazer atualizações de firmware ou substitua esses equipamentos.
2. Não usar o modo WPA/WPA2-PSK
3. Implantar a norma 802.11i
Conseguir a melhor segurança possível requer o uso do protolocolo WPA2 com a norma 802.1x, também conhecida como 802.11i. Para ativar e utilizar a autenticação 802.1x, é preciso ter um servidor RADIUS/AAA.
No caso de uso do Windows Server 2008 ou mais recente, deve-se considerar a utilização do Network Policy Server (NPS), ou do Internet Autentication Service (IAS) de versões anteriores do Windows Server. Quando não se estiver usando um servidor Windows, pode-se considerar o servidor open source FreeRADIUS.
As configurações 802.1X podem ser implantadas remotamente para dispositivos clientes com o mesmo domínio via Group Policy, caso a empresa use o Windows Server 2008 R2 ou a versão mais recente. Ou ainda, é possível optar por uma solução de terceiros para ajudar a configurar os dispositivos clientes.
4. Proteger as configurações dos clientes 802.1x
5. Utilizar um sistema de prevenção de intrusões
6. Implantar sistemas de NAP ou NAC
Além da norma 802.11 e do WIPS, deve-se considerar a implantação de um sistema de Network Access Protection (NAP) ou Network Acess Control (NAC). Estes sistemas podem oferecer maior controle sobre o acesso à rede, com base na identidade do cliente e o cumprimento das políticas definidas.
No caso do Windows Server 2008 ou posterior, com Windows Vista ou posterior nos dispositivos cliente, é possível usar a funcionalidade NAP, da Microsoft. Em outras situações, pode-se considerar também soluções de terceiros, como o software livre PacketFence.
7. Não confiar em SSID escondidos
Um mito da segurança para redes sem fios é o de que, desabilitando a disseminação dos SSID (Service Set Identifier, elemento que identifica uma rede ) dos pontos de acesso, é possível esconder a própria rede – ou pelo menos os SSIDs –, tornando mais difícil a vida dos invasores em potencial.
No entanto, essa medida só remove o SSID do sinal de presença dos pontos de acesso. Ele ainda está presente no pedido de associação 802.11, na solicitação de sondagem e nos pacotes de resposta também. Assim, um intruso pode descobrir um SSID "escondido" com bastante rapidez - especialmente numa rede muito ocupada – utilizando um equipamento de análise de redes sem fios legítimo.
Alguns ainda poderão sugerir a desativação da transmissão dos SSID como medida de segurança complementar. Mas é importante considerar que essa medida vai ter um impacto negativo sobre as configurações de rede e desempenho. Além disso, é necessário inserir manualmente o SSID nos dispositivos clientes, complicando ainda mais a gestão dos mesmos. A medida também iria provocar o aumento do tráfego de sondagem e aquele inerente aos pacotes de resposta, diminuindo a largura de banda disponível.
Ainda sobre SSID, muitos administradores de rede ignoram um risco de segurança simples, mas potencialmente perigoso: os usuários, consciente ou inconscientemente, ligam-se a uma rede sem fios vizinha ou não autorizada, abrindo o seu computador a uma possível intrusão. No entanto, filtrar os SSID é uma forma de ajudar a evitar isso.
8. Não confiar na filtragem de endereços MAC
Outro mito da segurança de redes sem fios é que a filtragem de endereços físicos de interfaces de rede (ou endereço MAC, de "media access control") acrescenta outra camada de segurança, controlando que dispositivos cliente que poderão ligar- se à rede. Isto tem alguma verdade, mas é importante não esquecer que é muito fácil, para quem pretende espiar a rede, fazer a monitoração dos endereços MAC autorizados e depois mudar o endereço MAC do seu próprio computador.
Assim, não se deve implantar a filtragem de endereços MAC acreditando que ela vá fazer muito pela segurança. Ela faz sentido como uma forma de controlar, sem grandes burocracias, os computadores e dispositivos com acesso à rede.
9. Manter os componentes da rede em segurança física
10. Não esqueça de proteger os dispositivos móveis
As preocupações com a segurança das comunicações Wi-Fi não podem ser limitadas à rede em si. Os usuários com smartphones, laptops e tablets podem ser protegidos no local da rede. Mas o que acontece quando eles se conectam à Internet através de Wi-Fi ou a um router de comunicações sem fios em casa? É preciso garantir que as suas conexões Wi-Fi sejam seguras.
Assim como evitar invasões e ações de espionagem, infelizmente não é fácil garantir a segurança das ligações por Wi-Fi fora do ambiente empresarial.
É preciso disponibilizar e recomendar soluções. E além disso, instruir os usuários sobre os riscos das comunicações por Wi-Fi e as medidas de prevenção.
Em primeiro lugar, os portáteis e os netbooks devem ter um firewall pessoal ativo (como o Windows Firewall), reduzir o risco de intrusão. É possível implantar isto através das funcionlidades de Group Policy em ambientes de Windows Server, ou mesmo através de soluções como o Windows Intune (para administrar computadores fora do domínio). Em seguida, é preciso confirmar que o tráfego de Internet do usuário esteja a salvo de espionagem – utilizando-se criptografia.
Nos ambientes com outras redes, é necessário disponibilizar acesso à rede corporativa através de VPNs. Se não se quiser usar uma VPN interna, é possível recorrer a serviços de outsourcing, tais como o Hotspot Shield ou o Witopia.
Para os dispositivos iOS (iPhone, iPad e iPod Touch) e os dispositivos Android, é possível usar uma VPN cliente nativa. No entanto, para os BlackBerry e Windows Phone 7, é recomendado que se tenha uma configuração de servidor de mensagens e em conjugação com o dispositivo, para se usar a VPN cliente. É importante confirmar também que todos os serviços expostos na Internet (que não contem com acesso somente via VPN) tenham segurança garantida, para situações em que o usuário efetuar o acesso através de redes públicas ou pouco fiáveis. Por exemplo, no caso de se oferecer acesso a contas de email (utilizando-se um software cliente - como o Microsoft Outlook - ou via "webmail") fora da rede LAN, WAN ou VPN, é importante utilizar criptografia SSL, para evitar o roubo de dados de autenticação ou mesmo mensagens.
Artigo original: http://cio.uol.com.br/tecnologia/2012/05/17/dez-mitos-sobre-seguranca-de-redes-wifi/