WiFi is al jaren een beveiligingsprobleem binnen bedrijven, maar door de komst van Bring Your Own Device (BYOD) wordt het alleen maar groter. In eerste instantie waren het alleen "echt paranoïde" organisaties die de veiligheid van WiFi-netwerken aanpakten, zoals banken, overheden en grote ondernemingen. "Grote zakelijke omgevingen met IT-budgetten en auditors die het probleem in de laptopwereld wisten te vinden", zegt David King van Airtight Networks tegen Security.nl. King sprak tijdens het Maturing Business Information Security event van B-able in Lent. Nu Bring Your Own Device overal plaatsvindt zal het probleem volgens de WiFi-expert ook overal komen bovendrijven.

Bedrijven die eerst beperkt WiFi aanboden, bijvoorbeeld alleen voor gasten, rollen het nu binnen de gehele onderneming uit en krijgen er ook op grotere schaal mee te maken. "Wat ze ontdekken is dat het lastig is om alle onbeheerde apparaten te beheren die in hun omgeving opduiken", stelt King.

Dreigingen zoals rogue accesspoints, waarbij aanvallers een vals access point neerzetten om zo nietsvermoedende gebruikers er verbinding mee te laten maken of werknemers die op deze manier proberen in te loggen, verkeerd geconfigureerde apparaten en client phishing, vinden volgens de expert nu op regelmatige basis plaats."

Achilleshiel
En dat is niet zonder risico. Eén van de grootste datadiefstallen in de geschiedenis vond deel via slecht beveiligde WiFi-netwerken plaats. Het was creditcarddief Albert Gonzalez die via draadloze netwerken bij verschillende organisaties wist in te breken om zo toegang tot netwerken en vertrouwelijke databases te krijgen.

"WiFi is één van de meest kwetsbare onderdelen van bijna elk bedrijfsnetwerk." Tijdens security audits en penetratietests blijkt dat WiFi vaak de achilleshiel is, of de "soft underbelly" zoals King het noemt. "Bijna altijd zijn netwerken aan te vallen via een rogue apparaat."

"Je Windows 7 laptop heeft een ingebouwde access point functionaliteit." Dit softwarematige access point wordt niet altijd gedetecteerd. "Veel gebruikers die hun iPhone thuis gebruiken en er verbinding met het bedrijfsnetwerk mee willen maken, kunnen dat op twee manieren doen. Of ze spoofen de inloggegevens van de Windows 7 laptop en loggen in als client, en als dat wordt geblokkeerd, kunnen ze Windows 7 in een access point veranderen en zo verbinding maken." Dit soort rogue access point duiken nu overal op, laat King weten.

Encryptie
Menig onderneming denkt zolang ze WPA2 gebruiken het WiFi-netwerk veilig is, maar dat is een misconceptie benadrukt King. "Rogue access points, soft access points en client miss association mogen niet vergeten worden. Werknemers die hun eigen persoonlijke access point naar de bedrijfsomgeving meenemen. Je hebt dan apparaten die gelijktijdig met het bedrijfsnetwerk als met het eigen access point zijn verbonden, dat weer verbinding met een extern netwerk maakt. Het is eigenlijk een bridge buiten het netwerk dat niet gedetecteerd wordt." De WiFi-problemen zijn nu veel groter dan een paar jaar geleden.

Volgens King moeten bedrijven beseffen dat WPA2 een goed begin is, maar dat dit alleen op de authenticatielaag plaatsvindt en er nog allerlei andere beveiligingslagen zijn toe te voegen. "WPA2 is gewoon niet voldoende, er zijn zeker een dozijn aanvalsvectoren en honderden mogelijke lekken die bestaan, omdat WiFi niet goed aan de bedrade kant wordt gedetecteerd."

Deze blinde vlek op het WiFi-netwerk is een reëel probleem. "Bedrijven denken omdat Cisco en de grote netwerkleveranciers vertellen dat WPA2 je voldoende bescherming biedt, ze veilig zijn, maar ze beseffen niet dat ze slechts 5% tot 10% bescherming krijgen. Het is hetzelfde als het kopen van een switch zonder firewall. Netwerkproducten alleen geven je niet voldoende bescherming. Je moet er meerdere beschermingslagen omheen bouwen."