Проблемы безопасности беспроводных сетей, описанные в ряде статей, спровоцировали недоверие к беспроводным технологиям. Насколько оно оправданно?
Почему беспроводные сети считаются более уязвимыми, чем кабельные? В проводных сетях данные могут быть перехвачены только в том случае, если злоумышленник получит физический доступ к среде передачи. В беспроводных сетях сигнал распространяется в эфире, поэтому любой, находящийся в зоне действия сети, может перехватить этот сигнал.
Злоумышленнику даже не обязательно пребывать на территории компании, достаточно попасть в зону распространения радиосигнала.
Угрозы беспроводным сетям
Готовясь к обеспечению безопасности беспроводных сетей, прежде всего необходимо установить, что может им угрожать.
Пассивная атака
Перехват сигналов беспроводной сети аналогичен прослушиванию радиопередачи. Достаточно иметь ноутбук (или КПК) и анализатор беспроводных протоколов. Широко распространено заблуждение, что несанкционированное подключение к беспроводной сети вне офиса можно пресечь, контролируя выходную мощность сигнала. Это не так, поскольку использование злоумышленником беспроводной карты повышенной чувствительности и направленной антенны позволяет легко преодолеть данную меру предосторожности.
Даже уменьшив вероятность несанкционированного подключения к сети, не следует оставлять без внимания возможность «прослушивания» трафика, поэтому для безопасной работы в беспроводных сетях необходимо шифровать передаваемую информацию.
Активная атака
Опасно подключать незащищенную беспроводную сеть к кабельной сети. Незащищенная точка доступа, подсоединенная к локальной сети, представляет собой широко открытую дверь для злоумышленников. Для предприятий это чревато тем, что конкуренты могут получить доступ к конфиденциальным документам. Незащищенные беспроводные сети позволяют хакерам обойти межсетевые экраны и настройки безопасности, которые защищают сеть от атак через Internet. В домашних сетях злоумышленники могут получить бесплатный доступ к Internet за счет своих соседей.
Следует отслеживать и выявлять неконтролируемые точки доступа, подключенные к сети несанкционированно. Подобные точки, как правило, устанавливают сами сотрудники предприятия. (Например, менеджер отдела продаж приобрел беспроводную точку доступа и использует ее, чтобы все время оставаться на связи.) Такая точка может быть специально подключена к сети злоумышленником с целью получения доступа к сети компании вне офиса.
Следует помнить о том, что уязвимыми являются как подключенные к беспроводной сети компьютеры, так и те, в которых есть включенная беспроводная карта с настройками по умолчанию (она, как правило, не блокирует проникновение через беспроводную сеть). Например, пока пользователь, ожидающий своего рейса, просматривает ресурсы Internet через развернутую в аэропорту сеть Wi-Fi, хакер, сидящий неподалеку, изучает информацию, хранящуюся на компьютере мобильного сотрудника. Аналогичным атакам могут подвергнуться пользователи, работающие посредством беспроводных сетей в помещениях кафе, выставочных центров, холлах гостиниц и пр.
Поиск доступных беспроводных сетей
Для активного поиска уязвимых беспроводных сетей (War driving) обычно используется автомобиль и комплект беспроводного оборудования: небольшая антенна, беспроводная сетевая карта, переносной компьютер и, возможно, GPS-приемник. Используя широко распространенные программы-сканеры, такие как Netstumbler, можно легко найти зоны приема беспроводных сетей.
Поклонники War Driving имеют много способов обмениваться информацией. Один из них (War Chalking) подразумевает нанесение на схемах и картах символов, указывающих на обнаруженные беспроводные сети. Эти обозначения содержат сведения о величине радиосигнала, наличии той или иной разновидности защиты сети и о возможности доступа в Internet. Любители такого «спорта» обмениваются информацией через Internet-сайты, «вывешивая», в частности, подробные карты с месторасположением обнаруженных сетей. Кстати, полезно проверить, нет ли там вашего адреса.
Отказ в обслуживании
Бесплатный доступ в Internet или корпоративную сеть не всегда является целью злоумышленников. Иногда задачей хакеров может быть вывод из строя беспроводной сети.
Атака «отказ в обслуживании» может быть достигнута несколькими способами. Если хакеру удается установить соединение с беспроводной сетью, его злонамеренные действия могут вызвать ряд таких серьезных последствий: например, рассылку ответов на запросы протокола разрешения адресов (Address Resolution Protocol, ARP) для изменения ARP-таблиц сетевых устройств с целью нарушения маршрутизации в сети или внедрение несанкционированного сервера протокола динамической конфигурации хостов (Dynamic Host Configuration Protocol, DHCP) для выдачи неработоспособных адресов и масок сетей. Если хакер выяснит подробности настроек беспроводной сети, то сможет переподключить пользователей на свою точку доступа (см. рисунок), а последние окажутся отрезанными от сетевых ресурсов, которые были доступны через «законную» точку доступа.
| Внедрение несанкционированной точки доступа. |
Злоумышленник может также заблокировать частоты, используемые беспроводными сетями, применяя для этого генератор сигналов (его можно изготовить из деталей микроволновой печи). В результате вся беспроводная сеть или ее часть выйдут из строя.
Меры безопасности в стандартах IEEE 802.11
Оригинальный стандарт 802.11 предусматривает для обеспечения безопасности беспроводных сетей использование стандарта «конфиденциальности, эквивалентной проводной» (Wired Equivalent Privacy, WEP). Беспроводные сети, использующие WEP, требуют настройки статического WEP-ключа на точках доступа и всех станциях. Этот ключ может использоваться для аутентификации и шифрования данных. При его компрометации (например, в случае утери переносного компьютера) необходимо сменить ключ на всех устройствах, что подчас весьма затруднительно. При использовании ключей WEP для аутентификации беспроводные станции посылают точке доступа соответствующий запрос, получая в ответ незашифрованное сообщение (clear text challenge). Клиент должен его зашифровать, используя свой WEP-ключ, и вернуть точке доступа, которая расшифрует сообщение с помощью собственного WEP-ключа. Если расшифрованное сообщение совпадает с оригинальным, то это обозначает, что клиент знает WEP-ключ. Следовательно, аутентификация считается успешной, и клиенту отправляется соответствующее уведомление.
Успешно завершив аутентификацию и ассоциацию, беспроводное устройство может использовать WEP-ключ для шифрования трафика, передаваемого между устройством и точкой доступа.
Стандарт 802.11 определяет и другие механизмы контроля доступа. Точка доступа может использовать фильтрацию по аппаратным адресам (Media Access Control, MAC), предоставляя или запрещая доступ на основе MAC-адреса клиента. Данный метод затрудняет, но не предотвращает подключение несанкционированных устройств.
Насколько безопасен WEP?
Одно из правил криптографии гласит: имея открытый текст и его зашифрованную версию, можно установить использованный метод шифрования. Это особенно актуально при использовании слабых алгоритмов шифрования и симметричных ключей, такие, например, предусматривает WEP.
Этот протокол использует для шифрования алгоритм RC4. Слабость его состоит в том, что если зашифровать известный открытый текст, то на выходе получится ключевой поток, который использовался для шифрования данных. Согласно стандарту 802.11, ключевой поток состоит из WEP-ключа и 24-разрядного вектора инициализации. Для каждого пакета используется следующий вектор, который отправляется в открытом виде вместе с пакетом, так что принимающая станция может использовать его совместно с WEP-ключом, чтобы расшифровать пакет.
Если получить один ключевой поток, то можно расшифровать любой пакет, зашифрованный тем же самым вектором. Так как вектор меняется для каждого пакета, то для расшифровки нужно дождаться следующего пакета, использующего тот же самый вектор. Чтобы иметь возможность расшифровывать WEP, необходимо собрать полный комплект векторов и ключевых потоков. Утилиты по взлому WEP работают именно таким образом.
Добыть открытый и зашифрованный текст можно в процессе аутентификации клиента. Перехватывая трафик на протяжении некоторого времени, можно набрать необходимое количество исходных данных для проведения атаки. Чтобы скопить необходимые для анализа данные, хакеры используют и множество других методов, включая атаки типа «men in the middle».
Когда принималось решение о формате фрейма для беспроводных сетей, IEEE предложила свой собственный формат под названием Subnetwork Address Protocol (SNAP).
Два байта, следующие за MAC-заголовком во фрейме SNAP стандарта 802.11, всегда имеют значение «AA AA». Протокол WEP шифрует все байты, следующие за MAC-заголовком, поэтому для первых двух зашифрованных байт всегда известен открытый текст («АА АА»). Этот путь предоставляет возможность получить фрагменты зашифрованного и открытого сообщения.
В Internet бесплатно распространяются утилиты для взлома WEP. Самые известные из них - AirSnort и WEPCrack. Для успешного взлома WEP-ключа с их помощью достаточно набрать от 100 тыс. до 1 млн. пакетов. Новые утилиты Aircrack и Weplab для взлома WEP-ключей реализуют более эффективный алгоритм, при котором требуется существенно меньше пакетов. По этой причине протокол WEP является ненадежным.
Беспроводные технологии становятся безопаснее
Сегодня многие компании используют удобные и безопасные беспроводные сети. Стандарт 802.11i поднял безопасность на качественно новый уровень.Рабочая группа IEEE 802.11i, в задачу которой входило создание нового стандарта безопасности беспроводных сетей, была сформирована после изучения сведений об уязвимости протокола WEP. На разработку потребовалось некоторое время, поэтому большинство производителей оборудования, не дождавшись выхода нового стандарта, стали предлагать свои методы (см. ). В 2004 году появился новый стандарт, тем не менее, поставщики оборудования по инерции продолжают использовать старые решения.
802.11i определяет использование стандарта расширенного шифрования (Advanced Encryption Standard, AES) вместо WEP. В основе AES лежит реализация алгоритма Рендела, который большинство криптоаналитиков признает стойким. Этот алгоритм существенно лучше своего слабого предшественника RC4, который используется в WEP: он предусматривает использование ключей длиной 128, 192 и 256 разрядов, вместо 64 бит, используемых в оригинальном стандарте 802.11. Новый стандарт 802.11i также определяет использование TKIP, CCMP и 802.1x/EAP.
EAP-MD5 подтверждает подлинность пользователя путем проверки пароля. Вопрос использования шифрования трафика отдан на откуп администратору сети. Слабость EAP-MD5 заключается в отсутствии обязательного использования шифрования, поэтому EAP-MD5 допускает возможность атаки типа «men in the middle».
Протокол «легковесный EAP» (Lightweight EAP, LEAP), который создала компания Cisco, предусматривает не только шифрование данных, но и ротацию ключей. LEAP не требует наличия ключей у клиента, поскольку они безопасно пересылаются после того, как пользователь прошел аутентификацию. Это позволяет пользователям легко подключаться к сети, используя учетную запись и пароль.
Ранние реализации LEAP обеспечивали только одностороннюю аутентификацию пользователей. Позднее Cisco добавила возможность взаимной аутентификации. Однако выяснилось, что протокол LEAP уязвим к атакам по словарю. Сотрудник американского Института системного администрирования, телекоммуникаций и безопасности (SANS) Джошуа Райт разработал утилиту ASLEAP, которая осуществляет подобную атаку, после чего компания Cisco рекомендовала использовать сильные пароли длиной не менее восьми знаков, включая спецсимволы, символы верхнего, нижнего регистра и цифры. LEAP безопасен в той мере, насколько стоек пароль к попыткам подбора.
Более сильный вариант реализации EAP - EAP-TLS, который использует предустановленные цифровые сертификаты на клиенте и сервере, был разработан в Microsoft. Этот метод обеспечивает взаимную аутентификацию и полагается не только на пароль пользователя, но также поддерживает ротацию и динамическое распределение ключей. Неудобство EAP-TLS заключается в необходимости установки сертификата на каждом клиенте, что может оказаться достаточно трудоемкой и дорогостоящей операцией. К тому же этот метод непрактично использовать в сети, где часто меняются сотрудники.
Производители беспроводных сетей продвигают решения упрощения процедуры подключения к беспроводным сетям авторизированных пользователей. Эта идея вполне осуществима, если включить LEAP и раздать имена пользователей и пароли. Но если возникает необходимость использования цифрового сертификата или ввода длинного WEP-ключа, процесс может стать утомительным.
Компании Microsoft, Cisco и RSA совместными усилиями разработали новый протокол - PEAP, объединивший простоту использования LEAP и безопасность EAP-TLS. PEAP использует сертификат, установленный на сервере, и аутентификацию по паролю для клиентов. Аналогичное решение - EAP-TTLS - выпустила компания Funk Software.
Разные производители поддерживают различные типы EAP, а также несколько типов одновременно. Процесс EAP аналогичен для всех типов.
Типовые операции EAP
Что такое WPA
После того, как беспроводные сети были объявлены небезопасными, производители приступили к реализации собственных решений по обеспечению безопасности. Это поставило компании перед выбором: использовать решение одного производителя или дожидаться выхода стандарта 802.11i. Дата принятия стандарта была неизвестна, поэтому в 1999 году был сформирован альянс Wi-Fi. Его целью являлась унификация взаимодействия беспроводных сетевых продуктов.
Альянс Wi-Fi утвердил протокол защищенного беспроводного доступа (Wireless Protected Access, WPA), рассматривая его как временное решение до выхода стандарта 802.11i. Протокол WPA предусматривает использование стандартов TKIP и 802.1x/EAP. Любое оборудование Wi-Fi, сертифицированное на совместимость с WPA, обязано работать совместно с другим сертифицированным оборудованием. Поставщики могут использовать и свои собственные механизмы обеспечения безопасности, но должны в любом случае включать поддержку стандартов Wi-Fi.
После первоначального объявления параметров 802.11i альянс Wi-Fi создал стандарт WPA2. Любое оборудование, которое имеет сертификат WPA2, полностью совместимо с 802.11i. Если беспроводная сеть предприятия не поддерживает стандарт 802.11i, то для обеспечения адекватной безопасности следует как можно быстрее перейти на 802.11i.
Что такое фильтрация MAC-адресов?
Если WEP небезопасен, то сможет ли защитить беспроводную сеть фильтрация аппаратных адресов (Media Access Control, MAC)? Увы, фильтры МАС-адресов предназначены для предотвращения несанкционированных подключений, против перехвата трафика они бессильны.
Фильтрация МАС-адресов не оказывает заметного влияния на безопасность беспроводных сетей. Она требует от злоумышленника лишь одного дополнительного действия: узнать разрешенный MAC-адрес. (Кстати, большинство драйверов сетевых карт позволяют его поменять.)
Насколько легко узнать разрешенный MAC-адрес? Чтобы получить работающие МАС-адреса, достаточно в течение некоторого времени следить за беспроводным трафиком с помощью анализатора протоколов. МАС-адреса можно перехватить, даже если трафик шифруется, поскольку заголовок пакета, который включает такой адрес, передается в открытом виде.
Протокол TKIP
Временный протокол обеспечения целостности ключа (Temporal Key Integrity Protocol, TKIP) разработан для устранения недостатков, присущих протоколу WEP. Стандарт TKIP улучшает безопасность WEP благодаря ротации ключей, использованию более длинных векторов инициализации и проверки целостности данных.
Программы для взлома WEP используют слабость статических ключей: после перехвата необходимого числа пакетов они позволяют легко расшифровать трафик. Регулярная смена ключей предотвращает этот тип атак. TKIP динамически меняет ключи через каждые 10 тыс. пакетов. Поздние реализации протокола позволяют менять интервал ротации ключей и даже установить алгоритм смены ключа шифрования для каждого пакета данных (Per-Packet Keying, PPK).
Ключ шифрования, применяемый в TKIP, стал более надежным по сравнению с WEP-ключами. Он состоит из 128-разрядного динамического ключа, к которому добавляется MAC-адрес станции и 48-разрядный вектор инициализации (в два раза длиннее оригинального вектора стандарта 802.11). Этот метод известен как «ключевое смешивание» и дает уверенность в том, что любые две станции не используют один и тот же ключ.
В протокол также встроен метод гарантированного обеспечения целостности данных (Message Integrity Cheek, MIC, называемый также Michael).
ПРОБЛЕМЫ
БЕЗОПАСНОСТИ БЕСПРОВОДНЫХ СЕТЕЙ.
МЕТОДЫ И СПОСОБЫ ЗАЩИТЫ WI-FI СЕТЕЙ.
РЕАЛИИ И ПЕРСПЕКТИВЫ.
Андрушка Игорь,Инженер-проектировщик Отдела прикладных системных исследований развития информационного общества Центра прикладных системных исследований развития информационного общества ГП «Registru»
Введение
За последние несколько лет беспроводные сети получили широкое распространение
во всём мире. И, если ранее речь шла преимущественно об использовании
беспроводных сетей в офисах и хот-спотах, то теперь они широко используются
как в домашних условиях, так и для развертывания мобильных офисов (в
условиях командировок). Специально для домашних пользователей и небольших
офисов продаются точки беспроводного доступа и беспроводные маршрутизаторы,
а для мобильных пользователей – карманные беспроводные маршрутизаторы.
Однако, принимая решение о переходе к беспроводной сети, не стоит забывать,
что на сегодняшнем этапе их развития они имеют одно уязвимое место.
Речь идёт о безопасности беспроводных сетей.
Общее описание проблемы
Безопасность беспроводной сети включает в себя два аспекта: это защита
от несанкционированного доступа и шифрование передаваемой информации.
Отметим сразу, что решить их сегодня со стопроцентной гарантией невозможно,
но обезопасить себя от всевозможных «любителей» можно и нужно. Ведь
беспроводное оборудование и программное обеспечение по умолчанию содержит
в себе определенные средства защиты, остается только их задействовать
и правильно настроить. Однако, прежде чем перейти к оценке этих средств,
приведем несколько фактов, подтверждающих остроту проблемы.
Если взглянуть на результаты опроса главных менеджеров IT-компаний,
проведенного фирмой Defcom, то складывается любопытная картина. Порядка
90% опрошенных уверенно в будущем беспроводных сетей, но отодвигают
ее на неопределенные сроки ввиду слабой защищенности таких сетей на
современном этапе. Равновесие, с точки зрения безопасности между проводными
и беспроводными сетями, наступит, по их мнению, только через 3-5 лет.
И более 60% утверждают, что недостаточная безопасность серьезно тормозит
развитие этого направления - нет доверия, соответственно, многие не
рискуют отказываться от испытанных временем проводных решений.
Итак, перейдем непосредственно к методам и средствам обеспечения безопасности
беспроводных соединений.
Каждая беспроводная сеть имеет, как минимум, 2 ключевых компонента:
базовую станцию и точку доступа. Беспроводные сети могут функционировать
в двух режимах: ad-hoc (per-to-per) и infrastructure. В первом случае
сетевые карточки напрямую общаются друг с другом, во втором при помощи
точек доступа, которые служат в качестве Ethernet мостов.
Клиент и «точка» перед передачей данных должны установить соединение.
Не трудно догадаться, что между точкой и клиентом может существовать
всего три состояния:
- «аутентификация не пройдена и точка не опознана»;
- «аутентификация пройдена, но точка не опознана»;
- «аутентификация принята и точка присоединена».
Понятно, что обмен данными может идти только в третьем случае. До установления соединения стороны обмениваются управляющими пакетами, «точка доступа» передает опознавательные сигналы с фиксированным интервалом, «клиент», приняв такой пакет, начинают аутентификацию посылкой опознавательного фрейма, после авторизации «клиент» посылает пакет присоединения, а «точка» – пакет подтверждения присоединения беспроводного «клиента» к сети.
Механизмы защиты
Основополагающим стандартом при построении данного вида сетей является
стандарт 802.1. Этот стандарт для беспроводных сетей предусматривает
несколько механизмов обеспечения безопасности сети. Среди них наиболее
используемые следующие:
- Wired Equivalent Protocol, или WEP, разработанных автором стандарта
802.1. Основная функция WEP – шифрование данных при передаче по радио
и предотвращение неавторизованного доступа в беспроводную сеть. По умолчанию
WEP отключен, однако его можно легко включить и в таком случае он начнет
шифровать каждый исходящий пакет. Для шифрования WEP использует алгоритм
RC4.
- WEP 2 – представлен в 2001 году после обнаружения множества дырок
в первой версии, WEP 2 имеет улучшенный механизм шифрования и поддержку
Cerberus V.
- Open System Authentication – система аутентификации по умолчанию,
используемая в протоколе 802.11. Собственно системы как таковой нет
– аутентификацию проходит любой, кто запрашивает. В случае OSA не помогает
даже WEP, т.к. в ходе экспериментов было выяснено, что пакет аутентификации
посылается незашифрованным.
- Access Control List – в протоколе не описывается, но используется
многими в качестве дополнения к стандартным методам. Основа такого метода
– клиентский Ethernet MAC, уникальный для каждой карточки. Точка доступа
ограничивает доступ к сети в соответствии со своим списком MAC адресов,
есть клиент в списке и доступ разрешен, нет- значит, нет.
- Closed Network Access Control – тут не намного сложнее: либо администратор
разрешает любому пользователю присоединяться к сети, либо в нее может
войти только тот, кто знает ее имя, SSID. Сетевое имя в таком случае
служит секретным ключом.
Виды атак на Wi-Fi сети.
Access Point Spoofing & Mac Sniffing – список доступа вполне пригоден
к использованию совместно с правильной идентификацией пользователей
в этом списке. В случае же с MAC адресом Access Control List очень просто
побороть, т.к. такой адрес очень просто изменить (беспроводные сетевые
карты позволяют программно менять MAC адрес) и еще проще перехватить,
так как он даже в случае с WEP передается в открытом виде. Таким образом,
элементарно проникнуть в сеть, защищенную Access Control List и использовать
все ее преимущества и ресурсы.
В случае наличия у нарушителя в загашнике собственной точки доступа
есть другая возможность: устанавливается Access Point рядом с существующей
сетью: если сигнал хакера сильнее оригинального, то клиент подключится
именно к хакеру, а не к сети, передав при этом не только MAC адрес,
но и пароль и прочие данные.
- WEP Attacks – чистые данные проходят проверку целостности и выдается
контрольная сумма (integrity check value, ICV). В протоколе 802.11 для
этого используется CRC-32. ICV добавляется в конец данных. Генерируется
24-битный вектор инициализации (IV) и к нему «привязывается» секретный
ключ. Полученное значение является исходным для генерации псевдослучайного
числа. Генератор выдает ключевую последовательность. Данные XOR-ятся
с этой ключевой последовательностью. Вектор инициализации добавляется
в конец и все это передается в эфир.
- Plaintext атака – в таком взломе атакующий знает исходное послание
и имеет копию зашифрованного ответа. Недостающее звено -это ключ. Для
его получения атакующий посылает «цели» небольшую часть данных и получает
ответ. Получив его, хакер находит 24-битный вектор инициализации, используемый
для генерирования ключа: нахождение ключа в таком случае всего лишь
задача брутфорса.
Другой вариант – обычный XOR. Если у хакера есть посланный plain text
и его зашифрованный вариант, то он просто XOR-ит шифр и на выходе получает
ключ, который вместе с вектором дает возможность «грузить» пакеты в
сеть без аутентификации на точке доступа.
- Повторное использование шифра – атакующий выцепляет из пакета ключевую
последовательность. Так как алгоритм шифрования WEP на вектор отводит
довольно мало места, атакующий может перехватить ключевой поток, используя
разные IV, создавая для себя их последовательность. Таким образом, хакер
может расшифровать сообщения, используя все тот же XOR; когда по сети
пойдут зашифрованные данные при помощи сгенерированных ранее ключевых
потоков их можно будет расшифровать.
- Атака Fluther-Mantin-Shamir – хакер может использовать уязвимости
и при помощи специализированного софта можно получить как 24 битный
ключ WEP, так и 128 битный ключ WEP 2.
- Low-Hanging Fruit – этот вид атаки рассчитан на добычу незащищенных
ресурсов из незащищенных сетей. Большинство беспроводных сетей абсолютно
незащищены, в них не требуется авторизации и даже не используют WEP,
так что человек с беспроводной сетевой карточкой и сканером может легко
подключиться к Access Point-у и использовать все предоставляемые им
ресурсы. Отсюда и название – низко висящие фрукты, которые сорвать не
составляет никакого труда.
А как же защитить сети. К числу основных способов защиты сетей можно
отнести следующие:
1. Фильтрация MAC адресов: в этом случае администратор составляет список
MAC адресов сетевых карт клиентов. В случае нескольких AP необходимо
предусмотреть, чтобы MAC адрес клиента существовал на всех, дабы он
мог беспрепятственно перемещаться между ними. Однако этот метод очень
легко победить, так что в одиночку его использовать не рекомендуется.
2. SSID (Network ID) – использование системы сетевых идентификаторов.
При попытке клиента подключиться к АР на него передается семизначный
алфавитно-цифровой код; используя метку SSID можно быть уверенным, что
к сети смогут подсоединиться только клиенты, знающие его.
3. Firewall: доступ к сети должен осуществляться при помощи IPSec, secure
shell или VPN, брандмауэр должен быть настроен на работу именно с этими
сетевыми соединениями.
4. AccessPoint – точку доступа надо настраивать на фильтрацию MAC адресов,
кроем того, физически сам девайс необходимо изолировать от окружающих.
Рекомендуется также конфигурировать точку только по telnet, отключив
возможность конфигурации через браузер или SNMP.
Атака клиентского устройства на Wi-Fi сетях
Несмотря на то, что все-таки способы защиты в беспроводных сетях существуют,
и администраторы такого рода сетей должны принимать профилактические
меры. Нужно отметить сразу, что взлом «в лоб» таких сетей практически
невозможен, если не считать взломом атаки по отказу в обслуживании (DoS)
на первом и втором уровнях OSI модели. И тем не менее, все таки есть
некоторый вид атак, которому беспроводные сети могут быть подвержены.
Наиболее угрожающим типом подобных «атак в обход» являются атаки против
неассоциированных клиентских хостов.
Общая идея состоит в следующем:
1. Находится неассоциированное клиентское устройство, либо используется
«затопление» сети фреймами деассоциации или деаутентификации для его
получения.
2. Специфически эмулируется точка доступа для подсоединения этого хоста.
3. Выдается IP адрес, а также IP адреса фальшивых шлюза и DNS сервера
через DHCP.
4. Атакуется устройство.
5. Если это необходимо и удаленный доступ к устройству был успешно получен,
хост «отпускается» обратно на «родную» сеть, предварительно запускается
на нем «троян».
Со следующего года все выпускаемые лаптопы и ноутбуки будут иметь встроенную
поддержку Wi-Fi. Да и сейчас уже очень многие клиентские устройства
обладают встроенной поддержкой включенной и постоянно ищущей сети для
ассоциаций, часто без ведома их владельца. Данный факт игнорируем большинством
системных администраторов. Зачастую профессионалы в области IT безопасности
ищут исключительно несанкционированные точки доступа и ад-хок сети,
не уделяя достаточного внимания Probe Request фреймам от «потерянных»
клиентов.
Казалось бы, на первый взгляд, что «отлов» таких клиентов не составляет
особого труда. Но лицу, занимающемуся такого рода деятельностью необходимо
обладать некоторой информацией. Какого рода данная информация – попытаемся
раскрыть.
Для начала ему необходимо знать согласно какому алгоритму клиентские
устройства автоматически ищут сети для подсоединения. Будут ли они ассоциироваться
с любой обнаруженной 802.11 сетью с достаточно мощным сигналом? А если
таких сетей несколько? На чем будет основан их выбор? Kaк насчет сетей
с «закрытым» ESSID и сетей, защищенных с помощью WEP или WPA? Ответы
на эти вопросы зависят как от операционной системы клиентского хоста,
так и от используемой им беспроводной аппаратной части, её драйверов
и пользовательских настроек. Рассмотрим одну из наиболее используемых
на сегодняшний день операционных систем семейства Windows.
Для установки беспроводного соединения в Windows XP и Windows Server
2003 используется «Алгоритм беспроводной самонастройки» (АБС). Данный
алгоритм оперирует с двумя списками 802.11 сетей: списком доступных
сетей (СДС) и списком предпочитаемых сетей (СПС). СДС представляет из
себя список сетей, ответивших на широковещательные Probe Request фреймы
при последнем активном скане. СПС есть список сетей, к которым было
установлено полноценное соединение в прошлом. Последние сети, с которыми
было ассоциировано устройство, идут в данном списке первыми. Описание
сети в обоих списках содержит её ESSID, канал и метод шифрования – «открытый
текст», WEP или WPA. Эти списки используются следующим образом в процессе
работы АБС:
1. Клиентское устройство составляет СДС путем посылки широковещательных
Probe Request фреймов с пустым полем ESSID по одному на каждый из используемых
802.11 каналов и параллельной обработки ответов на эти фреймы.
2. Если обнаруживаются сети, находящиеся в СПС, то происходит ассоциация
с такими сетями в порядке их расположения в этом списке. То есть клиентское
устройство ассоциируется с самой верхней сетью СПС, которая присутствует
в СДС.
3. Если таких сетей не обнаруживается, или же успешной ассоциации с
ними не произошло по причине различия в 802.11 стандартах или проблем
аутентификации, АБС "заходит на второй круг", посылая Probe
Request фреймы специфически для поиска сетей, перечисленных в СПС. На
практике это означает, что данные фреймы посылаются на каналы СПС сетей
и содержат их ESSID. При этом, отсылка этих фреймов от содержания СДС
абсолютно не зависит. Смысл наличия "второго круга" АБС заключается
в поиске сетей с "закрытым" ESSID.
4. В случае ненахождения подходящих Infrastructure сетей, следующим
этапом поиска является нахождение ад-хок сетей. Для этого проводится
сопоставление ад-хок сетей СДС и СПС.
5. Если в СПС имеется хотя бы одна ад-хок сеть, но в СДС она не найдена,
АБС устанавливает клиентское устройство в режим ад-хок и присваивает
беспроводному интерфейсу IP адрес, принадлежащий к 169.254.0.0/16 диапазону
(RFC 3330). Таким образом, хост становится первым узлом потенциальной
новой ад-хок сети и алгоритм заканчивает свою работу.
6. Если же ад-хок сетей в СПС нет, то АБС проверяет флаг "Подсоединиться
к Непредпочитаемым Сетям" ("Connect To Nonpreferred Networks").
Если этот флаг равен единице, то клиентское устройство будет пытаться
ассоциироваться с каждой сетью СДС в порядке их очередности в списке.
Для атакующих, по умолчанию данный флаг равен нулю.
7. Если вышеупомянутый флаг не включен пользователем, то беспроводная
карточка "запарковывается" как клиент с установленным псевдослучайным
32-х значным ESSID. В таком состоянии она функционирует 60 секунд, после
чего алгоритм поиска сетей перезапускается.
В основном атаки хакеров всегда направлены на сам алгоритм АБС. Рассмотрим
очевидные слабости данного алгоритма. В первую очередь, во время "второго
раунда" АБС (пункт 3), клиентское устройство фактически раскрывает
содержание СПС. Если представить себе ситуацию, когда такой хост находится
вне досягаемости его "родной" сети. Например, корпоративный
лаптоп взят сотрудником на дом или в коммандировку (и используется в
аэропорту, самолете, гостинице и так далее). Для обнаружившего такой
лаптоп атакующего не составит особого труда определить первую сеть в
СПС по ESSID посылаемых устройством Probe Request фреймов, и установить
именно это значение ESSID на своей точке доступа. То же самое относится
и к поиску ад-хок сетей СПС. Если первая сеть СПС защищена и требует
WEP или WPA ключ для подключения, атакующий идет далее по списку и ищет
в нем открытую сеть, включая ад-хок WLANы. Вероятность нахождения такой
сети достаточно велика. К примеру, большинство Wi-Fi хотспотов используют
методы защиты беспроводной передачи данных на более высоких уровнях
OSI модели, обычно на седьмом. Подключение к таким сетям оставит описание
"незащищенной" (на 2-ом уровне) сети в СПС, которым без проблем
может воспользоваться атакующий.
Подобное описание ведет ко второй слабости. При отсутствии такой ад-хок
сети поблизости (крайне вероятный сценарий, учитывая то, что ад-хок
соединения обычно ставятся на короткие промежутки времени и часто -
с новым ESSID каждый раз), Windows клиент установится в постоянном режиме
работы как ад-хок узел, ожидающий других клиентов (пункт 5). Злоумышленник
без никаких проблем может стать таким клиентом, взять себе один из RFC
3330 адресов, и не проводить широковещательный пинг или послать ARP
запросы для обнаружения IP адреса жертвы и проведения дальнейших атак.
Причём, для подобного подключения не требуется никакого взаимодействия
со стороны пользователя. Оно является полностью автоматическим.
Наконец, при отсутствии незащищенных и ад-хок сетей в СПС и включенного
флага "Подсоединиться к Непредпочитаемым Сетям", алгоритм
достигнет установки клиентской карточки в "режим ожидания"
с посылкой Probe Request фреймов с длинным псевдослучайным ESSID (пункт
7). Проблема в том, что эти "загадочные" ESSID значения являются
вполне "рабочими". То есть, достаточно установить по соседству
точку доступа с таким ESSID, и «клиент» благополучно на нее "клюнет",
чтобы получить IP адрес через DHCP и подвергнуться дальнейшим атакам.
Следует сказать, что данная проблема уже устранена в Longhorn, но до
тотального перехода на эту операционную систему ещё далеко. А теперь
самое главное: так как сеть с длинным псевдослучайным ESSID отсутствует
в СПС, подсоединение к такой сети не только не требует никакого взаимодействия
со стороны атакуемого пользователя, но даже и не будет показано как
существующее индикатором беспроводной связи Windows XP. Данный индикатор
будет говорить, что устройство не ассоциировано с какой-либо Wi-Fi сетью,
и только контрольная панель установки сетевых опций Windows покажет
наличие соединения и присвоенного IP адреса. Следует упомянуть, что
последние версии драйверов 802.11a/b/g карточек с Atheros чипсетом хоть
и отсылают Probe Request фреймы с псевдослучайными ESSID, но не поддерживают
автоматическое соединение с точками доступа, настроенными с такими ESSID
значениями.
Что же делать атакующему, если, как было сейчас упомянуто, автоматическая
ассоциация, использующая псевдослучайные ESSID невозможна, а СПС не
содержит незащищенных на втором уровне сетей? Если сети, к которым подсоединялось
атакуемое устройство, защищены с помощью неподбираемого по словарю WPA-PSK
либо WPA-802.1х с использованием EAP-TLS, то на данный момент перспектив
успешного взлома не видно. Если по крайней мере одна такая сеть была
защищена с помощью WPA-802.1х с использованием EAP-TТLS или EAP-PEAP,
то существует возможность проведения атак на данные протоколы согласно
алгоритмам, описанным хак-группой Shmoo "Тhe Radical Realm of Radius,
802.1x, and You".
Говоря об устаревших механизмах защиты 802.11 сетей, невозможно не упомянуть
избитый всеми WEP. Атаки на него могут быть применены и против отдельных
клиентских устройств, сети в СПС которых "защищены" с помощью
WEPа. Если все ад-хок сети в СПС имеют WEP в своих установках, то и
произвольная ад-хок конфигурация с RFC 3330 адресом, как описано в пункте
5 выше, будет использовать WEP. Проблема в том, что такой ад-хок узел
не будет "соблюдать тишину" - достаточно вспомнить хотя бы
отсылку NetBIOS HELLO пакетов каждые 2 секунды. Соответственно, подобного
рода трафик может быть успешно утилизирован для взлома WEP ключа различными
методами, от простого перебора по словарю с помощью WepAttack до акселерации
взлома путем иньекции пакетов используя Christopher Devine"s aireplay
(модифицированная атака ложной аутентификации либо интерактивная реиньекция
пакетов, с помощью которых можно заставить одиночный ад-хок клиент послать
зашифрованный ARP пакет для последующей ARP реиньекции).
Ещё более интересный пример - клиенты с псевдослучайным ESSID (пункт
7) и WEPом, которые "возникают" в тех случаях, когда все сети,
перечисленные в СПС, являются защищенными. Сам факт того, что при наличии
в этом списке и WPA-защищенных сетей, всё равно используется WEP - это
уже уязвимость. Но, более того, так как установки подобной сети нигде
не определены и "самоконфигурируются" без участия пользователя,
атакующая точка доступа способна навязать таким клиентам небезопасный
метод 802.11 аутентификации с использованием распределенного WEP ключа.
Навязывая этот метод, кракер может послать клиентскому устройству challenge
строку с известным текстом и получить обратно её же, заXORенную с частью
RC4 потока. Таким образом, заXORив полученное с первоначальным текстом,
атакующий узнает 144 байта RC4 потока для заданного вектора инициализации
(IV). У этой атаки много возможных применений. В частности:
- можно посылать всё новые и новые challenge запросы, пока не откроется
поток RC4 шифра для всех векторов инициализации 24-битного WEP IV пространства
- можно атаковать полученный ответ перебором по словарю испольуя WepAttack
и сходные утилиты
- можно использовать известные 144 байта потока для реиньекции пакетов
к клиентскому устройству с помощью WepWedgie Антона Рэйджера. Удачная
реиньекция заставит атакуемый хост послать зашифрованный ARP пакет,
который легко перехватить и использовать с aireplay.
В любом из вышеперечисленных случаев, одиночное клиентское устройство,
требующее соединение, защищенное WEPом, трудно назвать неуязвимым.
Заключение
Безопасности беспроводных
сетей стоит уделять особое внимание. Ведь беспроводная сеть имеет большой
радиус действия. Соответственно, злоумышленник может перехватывать информацию
или же атаковать сеть, находясь на безопасном расстоянии. К счастью,
в настоящее время существуют множество различных способов защиты и,
при условии правильной настройки, можно быть уверенным в обеспечении
необходимого уровня безопасности.
В заключении хотелось бы отметить, что автор статьи не призывает читателей
к «активным действиям» и атакам на беспроводные ресурсы различных компаний.
В данном случае цель данной статьи состояла в другом, а именно: помочь
системным администраторам ИТ компаний как можно более надежно обезопасить
ресурсы компаний от любого типа несанкционированного доступа и вторжений.
Список используемой литературы
1. http://www.ferra.ru
2. http://www.denet.ru
3. http://www.cnews.ru
4. Андрей Владимиров «Атакуем клиентские устройства на Wi-Fi сетях», «Взлом и защита», 2006
На данный момент большинство фирм и предприятий все больше внимания уделяют использованию непосредственно Wi-Fi-сетей. Обусловлено это удобством, мобильностью и относительной дешевизной при связи отдельных офисов и возможностью их перемещения в пределах действия оборудования. В Wi-Fi-сетях применяются сложные алгоритмические математические модели аутентификации, шифрования данных, контроля целостности их передачи – что позволят быть относительно спокойным за сохранность данных при использовании данной технологии.
Анализ безопасности беспроводных сетей.
На данный момент большинство фирм и предприятий все больше внимания уделяют использованию непосредственно Wi-Fi-сетей. Обусловлено это удобством, мобильностью и относительной дешевизной при связи отдельных офисов и возможностью их перемещения в пределах действия оборудования. В Wi-Fi-сетях применяются сложные алгоритмические математические модели аутентификации, шифрования данных, контроля целостности их передачи – что позволят быть относительно спокойным за сохранность данных при использовании данной технологии.
Однако данная безопасность относительна, если не уделять должного внимания настройке беспроводной сети. К данному моменту уже существует список «стандартных» возможностей которые может получить хакер при халатности в настройке беспроводной сети:
Доступ к ресурсам локальной сети;
Прослушивание, воровство (имеется ввиду непосредственно интернет-траффик) трафика;
Искажение проходящей в сети информации;
Внедрение поддельной точки доступа;
Немного теории.
1997 год – выход в свет первого стандарта IEEE 802.11. Варианты защиты доступа к сети:
1. Использовался простой пароль SSID (Server Set ID) для доступа в локальную сеть. Данный вариант не предоставляет должного уровня защиты, особенно для нынешнего уровня технологий.
2. Использование WEP (Wired Equivalent Privacy) – то есть использование цифровых ключей шифрования потоков данных с помощью данной функции. Сами ключи это всего лишь обыкновенные пароли с длиной от 5 до 13 символов ASCII, что соответствует 40 или 104-разрядному шифрованию на статическом уровне.
2001 год - внедрение нового стандарта IEEE 802.1X. Данный стандарт использует динамические 128-разрядные ключи шифрования, то есть периодически изменяющихся во времени. Основная идея заключается в том, что пользователь сети работает сеансами, по завершении которых им присылается новый ключ - время сеанса зависит от ОС (Windows XP - по умолчанию время одного сеанса равно 30 минутам).
На данный момент существуют стандарты 802.11:
802.11 - Первоначальный базовый стандарт. Поддерживает передачу данных по радиоканалу со скоростями 1 и 2 Мбит/с.
802.11a - Высокоскоростной стандарт WLAN. Поддерживает передачу данных со скоростями до 54 Мбит/с по радиоканалу в диапазоне около 5 ГГц.
I802.11b - Наиболее распространенный стандарт. Поддерживает передачу данных со скоростями до 11 Мбит/с по радиоканалу в диапазоне около 2,4 ГГц.
802.11e - Требование качества запроса, необходимое для всех радио интерфейсов IEEE WLAN
802.11f - Стандарт, описывающий порядок связи между равнозначными точками доступа.
802.11g - Устанавливает дополнительную технику модуляции для частоты 2,4 ГГц. Предназначен, для обеспечения скоростей передачи данных до 54 Мбит/с по радиоканалу в диапазоне около 2,4 ГГц.
802.11h - Стандарт, описывающий управление спектром частоты 5 ГГц для использования в Европе и Азии.
802.11i (WPA2) - Стандарт, исправляющий существующие проблемы безопасности в областях аутентификации и протоколов шифрования. Затрагивает протоколы 802.1X, TKIP и AES.
На данный момент широко используется 4 стандарта: 802.11, 802.11a, 802.11b, 802.11g.
2003 года - был внедрён стандарт WPA (Wi-Fi Protected Access), который совмещает преимущества динамического обновления ключей IEEE 802.1X с кодированием протокола интеграции временного ключа TKIP (Temporal Key Integrity Protocol), протоколом расширенной аутентификации EAP (Extensible Authentication Protocol) и технологией проверки целостности сообщений MIC (Message Integrity Check).
Помимо этого, параллельно развивается множество самостоятельных стандартов безопасности от различных разработчиков. Ведущими являются такие гиганты как Intel и Cisco.
2004 год - появляется WPA2, или 802.11i, - максимально защищённый на данное время стандарт.
Технологии защиты Fi-Wi сетей.
WEP
Эта технология была разработана специально для шифрования потока передаваемых данных в рамках локальной сети. Данные шифруются ключом с разрядностью от 40 до 104 бит. Но это не целый ключ, а только его статическая составляющая. Для усиления защиты применяется так называемый вектор инициализации IV (Initialization Vector), который предназначен для рандомизации дополнительной части ключа, что обеспечивает различные вариации шифра для разных пакетов данных. Данный вектор является 24-битным. Таким образом, в результате мы получаем общее шифрование с разрядностью от 64 (40+24) до 128 (104+24) бит, что позволяет при шифровании оперировать и постоянными, и случайно выбранными символами. Но с другой стороны 24 бита это всего лишь ~16 миллионов комбинаций (2 24 степени) – то есть по истечению цикла генерации ключа начинается новый цикл. Взлом осуществляется достаточно элементарно:
1) Нахождение повтора (минимальное время, для ключа длинной 40 бит – от 10 минут).
2) Взлом остальной части (по сути - секунды)
3) Вы можете внедряться в чужую сеть.
При этом для взлома ключа имеются достаточно распространенные утилиты такие как WEPcrack.
802.1X
IEEE 802.1X - это основополагающий стандарт для беспроводных сетей. На данный момент он поддерживается ОС Windows XP и Windows Server 2003.
802.1X и 802.11 являются совместимыми стандартами. В 802.1X применяется тот же алгоритм, что и в WEP, а именно - RC4, но с некоторыми отличиями (большая «мобильность», т.е. имеется возможность подключения в сеть даже PDA-устройства) и исправлениями (взлом WEP и т. п.).
802.1X базируется на протоколе расширенной аутентификации EAP (Extensible Authentication Protocol), протоколе защиты транспортного уровня TLS (Transport Layer Security) и сервере доступа RADIUS (Remote Access Dial-in User Service).
После того, как пользователь прошёл этап аутентификации, ему высылается секретный ключ в зашифрованном виде на определённое незначительное время - время действующего на данный момент сеанса. По завершении этого сеанса генерируется новый ключ и опять высылается пользователю. Протокол защиты транспортного уровня TLS обеспечивает взаимную аутентификацию и целостность передачи данных. Все ключи являются 128-разрядными.
Отдельно необходимо упомянуть о безопасности RADIUS: использует в своей основе протокол UDP (а поэтому относительно быстр), процесс авторизации происходит в контексте процесса аутентификации (т.е. авторизация как таковая отсутствует), реализация RADIUS-сервера ориентирована на однопроцессное обслуживание клиентов (хотя возможно и многопроцессное - вопрос до сих пор открытый), поддерживает довольно ограниченное число типов аутентификации (сleartext и CHAP), имеет среднюю степень защищенности. В RADIUS"е шифруется только cleartext-пароли, весь остальной пакет остается "открытым" (с точки зрения безопасности даже имя пользователя является очень важным параметром). А вот CHAP – это отдельный разговор. Идея в том, что бы cleartext-пароль ни в каком виде никогда не передавался бы через сеть. А именно: при аутентификации пользователя клиент посылает пользовательской машине некий Challenge (произвольная случайная последовательность символов), пользователь вводит пароль и с этим Challengе"ем пользовательская машина производит некие шифрующий действия используя введенный пароль (как правило это обыкновенное шифрование по алгоритму MD5 (RFC-1321). Получается Response. Этот Response отправляется назад клиенту, а клиент все в совокупности (Challenge и Response) отправляет на аутентификацию 3A-серверу (Authentication, Authorization, Accounting). Тот (также имея на своей стороне пользовательский пароль) производит те же самые действия с Challeng"ем и сравнивает свой Response с полученным от клиента: сходится - пользователь аутентифицирован, нет - отказ. Таким образом, cleartext-пароль знают только сам пользователь и 3А-сервер и пароль открытым текстом не "ходит" через сеть и не может быть взломан.
WPA
WPA (Wi-Fi Protected Access) - это временный стандарт (технология защищённого доступа к беспроводным сетям), который является переходным перед IEEE 802.11i. По сути, WPA совмещает в себе:
802.1X - основополагающий стандарт для беспроводных сетей;
EAP - протокол расширенной аутентификации (Extensible Authentication Protocol);
TKIP - протокол интеграции временного ключа (Temporal Key Integrity Protocol);
MIC - технология проверки целостности сообщений (Message Integrity Check).
Основные модули - TKIP и MIC. Стандарт TKIP использует автоматически подобранные 128-битные ключи, которые создаются непредсказуемым способом и общее число вариаций которых примерно 500 миллиардов. Сложная иерархическая система алгоритма подбора ключей и динамическая их замена через каждые 10 Кбайт (10 тыс. передаваемых пакетов) делают систему максимально защищённой. От внешнего проникновения и изменения информации также обороняет технология проверки целостности сообщений (Message Integrity Check). Достаточно сложный математический алгоритм позволяет сверять отправленные в одной точке и полученные в другой данные. Если замечены изменения и результат сравнения не сходится, такие данные считаются ложными и выбрасываются.
Правда, TKIP сейчас не является лучшим в реализации шифрования, из-за новой технологии Advanced Encryption Standard (AES), используемой ранее в VPN.
VPN
Технология виртуальных частных сетей VPN (Virtual Private Network) была предложена компанией Intel для обеспечения безопасного соединения клиентских систем с серверами по общедоступным интернет-каналам. VPN наверное одна из самых надежных с точки зрения шифрования и надёжности аутентификации.
Технологий шифрования в VPN применяется несколько, наиболее популярные из них описаны протоколами PPTP, L2TP и IPSec с алгоритмами шифрования DES, Triple DES, AES и MD5. IP Security (IPSec) используется примерно в 65-70% случаев. С его помощью обеспечивается практически максимальная безопасность линии связи.
Технология VPN не была ориентированна именно для Wi-Fi - она может использоваться для любого типа сетей, но защита с её помощью беспроводных сетей наиболее правильное решение.
Для VPN выпущено уже достаточно большое количество программного (ОС Windows NT/2000/XP, Sun Solaris, Linux) и аппаратного обеспечения. Для реализации VPN-защиты в рамках сети необходимо установить специальный VPN-шлюз (программный или аппаратный), в котором создаются туннели, по одному на каждого пользователя. Например, для беспроводных сетей шлюз следует установить непосредственно перед точкой доступа. А пользователям сети необходимо установить специальные клиентские программы, которые в свою очередь также работают за рамками беспроводной сети и расшифровка выносится за её пределы. Хотя всё это достаточно громоздко, но очень надёжно. Но как и все - это имеет свои недостатки, в данном случае их два:
Необходимость в достаточно емком администрировании;
Уменьшение пропускной способности канала на 30-40%.
За исключением этого – VPN, это вполне понятный выбор. Тем более в последнее время, развитие VPN оборудования происходит как раз в направлении улучшения безопасности и мобильности. Законченное решение IPsec VPN в серии Cisco VPN 5000 служит ярким примером. Тем более что в данной линейке представлена пока только единственное сегодня решение VPN на основе клиентов, которое поддерживает Windows 95/98/NT/2000, MacOS, Linux и Solaris. Кроме этого бесплатная лицензия на использование марки и распространение программного обеспечения клиента IPsec VPN поставляется со всеми продуктами VPN 5000, что тоже не маловажно.
Основные моменты защиты Fi-Wi сетей организации.
В свете всего выше изложенного можно убедиться что имеющиеся на данный момент механизмы и технологии защиты позволяют обеспечить безопасность вашей сети, при использовании Fi-Wi. Естественно если администраторы не будут полагаться только на элементарные настройки, а озаботятся тонкой настройкой. Конечно нельзя сказать, что таким образом ваша сеть превратится в неприступный бастион, но выделив достаточно серьезные средства на оборудование, время для настройки и конечно для постоянного контроля – можно обеспечить безопасность с вероятностью примерно до 95 %.
Основные моменты при организации и настройке Wi-Fi сети которыми не стоит пренебрегать:
- Выбор и установка точки доступа:
> перед приобретением внимательно ознакомьтесь с документацией и имеющейся на данный момент информации о дырах в реализации ПО для этого класса оборудования (всем известный пример дыры в IOS маршрутизаторов Cisco, позволяющая злоумышленнику получить доступ к листу конфига). Возможно будет смысл ограничиться покупкой более дешевого варианта и обновлением ОС сетевого устройства;
> изучите поддерживаемые протоколы и технологии шифрования;
> при возможности приобретайте устройства, использующие WPA2 и 802.11i, так как они для обеспечения безопасности используют новую технологию - Advanced Encryption Standard (AES). На данный момент это могут быть двухдиапазонные точеки доступа (AP) к сетям IEEE 802.11a/b/g Cisco Aironet 1130AG и 1230AG. Данные устройства поддерживают стандарт безопасности IEEE 802.11i, технологию защиты от вторжений Wi-Fi Protected Access 2 (WPA2) с использованием Advanced Encryption Standard (AES) и гарантируют емкость, отвечающую самым высоким требованиям пользователей беспроводных локальных сетей. Новые АР используют преимущества двухдиапазонных технологий IEEE 802.11a/b/g и сохраняют полную совместимость с ранними версиями устройств, работающих на IEEE 802.11b;
> подготовьте предварительно клиентские машины для совместной работы с приобретаемым оборудованием. На данный момент некоторые технологии шифрования могут не поддерживаться ОС или драйверами. Это поможет избежать лишних затрат времени при разворачивании сети;
> не устанавливать точку доступа вне брандмауэра;
> располагайте антенны внутри стен здания, а также ограничивайте мощность радиоизлучения, чтобы снизить вероятность подключения «извне».
> используйте направленные антенны, не используйте радиоканал по умолчанию.
- Настройка точки доступа:
> если точка доступа позволяет запрещать доступ к своим настройкам с помощью беспроводного подключения, то используйте эту возможность. Изначально не давайте возможность хакеру при внедрении в вашу сеть контролировать ключевые узлы по радиоканалу. Отключите вещание по радиоканалу такие протоколы как SNMP, web-интерфейс администрирования и telnet;
> обязательно(!) используйте сложный пароль для доступа к настройкам точки доступа;
> если точка доступа позволяет управлять доступом клиентов по MAC-адресам непременно используйте это;
> если оборудование позволяет запретить трансляцию в эфир идентификатора SSID – сделайте это обязательно. Но при этом у хакера всегда есть возможность получить SSID при подключении как легитимного клиент;
> политика безопасности должна запрещать беспроводным клиентам осуществлять ad-hoc соединения (такие сети позволяют двум или более станциям подключаться непосредственно друг к другу, минуя точки доступа, маршрутизирующие их трафик). Хакеры могут использовать несколько типов атак на системы, использующие ad-hoc-соединения. Первичная проблема с ad-hoc сетями - недостаток идентификации. Эти сети могут позволить хакеру провести атаки man in the middle, отказ в обслуживании (DoS), и/или скомпрометировать системы.
- Выбор настройки в зависимости от технологии:
> если есть возможность - запретите доступ для клиентов с SSID;
> если нет другой возможности - обязательно включайте хотя бы WEP, но не ниже 128bit.
> если при установке драйверов сетевых устройств предлагается на выбор три технологиями шифрования: WEP, WEP/WPA и WPA, то выбирайте WPA;
> если в настройках устройства предлагается выбор: “Shared Key“(возможен перехват WEP-ключа, который одинаков для всех клиентов) и “Open System”(возможно внедрение в сеть, если известен SSID) - выбирайте “Shared Key”. В данном случае (если вы используете WEP-аутентификацию) – наиболее желательно включить фильтрацию по МАС-адресу;
> если ваша сеть не велика – можно выбрать Pre-Shared Key (PSK).
> если есть возможность использовать 802.1X. Но при этом при настройке RADIUS-сервера желательно выбирать тип аутентификации CHAP;
> максимальный уровень безопасности на данный момент обеспечивает применение VPN - используйте эту технологию.
- Пароли и ключи:
> при использовании SSID придерживайтесь требований аналогичных требованиям парольной защиты - SSID должен быть уникален (не забывайте, что SSID не шифруется и может быть легко перехвачен!);
> всегда используйте максимально длинные ключи. Не используйте ключи меньше 128 бит;
> не забывайте про парольную защиту – используйте генератор паролей, меняйте пароли через определенный промежуток времени, храните пароли в тайне;
> в настройках обычно имеется выбор из четырёх заранее заданных ключей - используйте их все, меняя по определенному алгоритму. По возможности ориентируйтесь не на дни недели (всегда существуют люди в любой организации, работающие по выходным – что мешает осуществить внедрение в сеть в эти дни?).
> старайтесь применять длинные динамически изменяющиеся ключи. Если вы используете статические ключи и пароли, меняйте пароли через определенный промежуток времени.
> проинструктируйте пользователей, что бы они хранили пароли и ключи в тайне. Особенно важно, если некоторые используют для входа ноутбуки которые хранят дома.
- Сетевые настройки:
> для организации разделяемых ресурсов используйте NetBEUI. Если это не противоречит концепции вашей сети - не используйте в беспроводных сетях протокол TCP/IP для организации папок и принтеров общего доступа.
> не разрешайте гостевой доступ к ресурсам общего доступа;
> старайтесь не использовать в беспроводной сети DHCP - используйте статические IP-адреса;
> ограничьте количество протоколов внутри WLAN только необходимыми.
- Общее:
> на всех клиентах беспроводной сети используйте файерволлы или при ХР хотя бы активизируйте брандмауэр;
> регулярно следите за уязвимостями, обновлениями, прошивками и драйверами ваших устройств;
> используйте периодически сканеры безопасности, для выявления скрытых проблем;
> определите инструменты для выполнения беспроводного сканирования, а также частоту выполнения этого сканирования. Беспроводное сканирование поможет определить местонахождение неправомочных точек доступа.
> если финансы вашей организации позволяют – приобретите системы обнаружения вторжения (IDS, Intrusion Detection System), такие как:
CiscoWorks Wireless LAN Solution Engine (WLSE), в которой
реализовано несколько новых функций - самовосстановление, расширенное
обнаружение несанкционированного доступа, автоматизированное обследование
площадки развертывания, "теплое" резервирование, отслеживание
клиентов с созданием отчетов в реальном времени.
CiscoWorks WLSE - централизованное решение системного уровня для управления
всей беспроводной инфраструктурой на базе продуктов Cisco Aironet.
Усовершенствованные функции управления радиоканалом и устройствами,
поддерживаемые CiscoWorks WLSE, упрощают текущую эксплуатацию беспроводной
сети, обеспечивают беспрепятственное развертывание, повышают безопасность,
гарантируют максимальную степень готовности, сокращая при этом расходы на
развертывание и эксплуатацию.
Система Hitachi AirLocation использует сеть стандарта IEEE802.11b и способна работать как внутри помещений, так и вне зданий. Точность определения координат объекта, по словам разработчиков, составляет 1-3 м, что несколько точнее, чем аналогичная характеристика GPS- систем. Система состоит из сервера определения координат, управляющего сервера, комплекта из нескольких базовых станций, комплекта WLAN- оборудования и специализированного ПО. Минимальная цена комплекта - около $46,3 тыс. Система определяет местонахождение необходимого устройства и расстояние между ним и каждой точкой доступа за счет вычисления времени отклика терминала на посылаемые точками, связанными в сеть с расстоянием между узлами 100-200 м, сигналы. Для достаточно точного местоположения терминала, таким образом, достаточно всего трех точек доступа.
Да цены на такое оборудование достаточно высоки, но любая серьезная компания может решить потратить данную сумму для того, что бы быть уверенной в безопасности свой беспроводной сети.
Назначение: Bluetooth – это беспроводная технология, являющаяся стандартом, который обеспечивает беспроводную передачу данных на небольших расстояниях между мобильными персональными компьютерами, мобильными телефонами и другими устройствами в режиме реального времени как цифровых данных, так и звуковых сигналов.
Принципы построения и работа Bluetooth: В основе технологии Bluetooth лежит объединение устройств в пикосети, которые представляют собой небольшие по количеству элементов(обычно сеть строиться на основе двух элементов, основное и подчинённое) и расстоянию между ними беспроводные сети передачи данных.. Стандарт IEEE 802.15.1 базируется на спецификациях Bluetooth v. 1.х. Bluetooth - это недорогой радиоинтерфейс с низким уровнем энергопотребления (порядком 1 mW). Сначала дальность действия Bluetooth была в радиусе 10 м, позже увеличилось до 100 м. Для работы Bluetooth истользуетс так называемый нижний 2,45 ГГц диапазон ISM (industrial, scientific, medical), который предназначен для работы промышленных, научных и медицинских приборов.
В стандарте Bluetooth предусмотрена дуплексная передача на основе разделения времени (Time Division Duplexing - TDD). Основное устройство передает пакеты в нечетные временные сегменты, а подчиненное устройство – в четные(см.раздатку Дуплексная передача с временным разделением). Пакеты в зависимости от длины могут занимать до пяти временных сегментов. При этом частота канала не меняется до окончания передачи пакета(см.раздатку Передача пакетов различной длины)
Структура пакета (см.раздатку) : Стандартный пакет состоит из кода доступа, заголовка и информационного поля. Код доступа идентифицирует пакеты, принадлежащие одной пикосети, а также используется для синхронизации и процедуры запросов. Он включает преамбулу (4 бита), синхрослово (64 бита) и концевик – 4 бита контрольной суммы.
Заголовок содержит информацию для управления связью и состоит из шести полей:
Адрес (3 бита) - адрес активного элемента;
Тип (4 бита) - код типа данных;
Поток (1 бит) - управление потоком данных, показывает готовность устройства к приему;
ARQ (1 бит) - подтверждение правильного приема;
SEQN (1 бит) - служит для определения последовательности пакетов;
HEC (8 бит) - контрольная сумма.
Заключительной частью общего формата пакета является полезная информация. В этой части есть два типа полей: поле голоса (синхронное) и поле данных (асинхронное). ACL пакеты имеют только поле данных, а SCO пакеты – только поле голоса. Исключением является пакет данных и голоса (Data Voice - DV), который имеет оба поля. Поле данных состоит из трех сегментов: заголовок полезной информации, тело полезной информации и возможно, CRC (Cyclic Redundancy Check) код
Заголовок полезной информации (8 бит). Только поля данных имеют заголовок полезной информации. Он определяет логический канал, управление потоком в логических каналах, а также имеет указатель длины полезной информации.
Тело полезной информации (0-2721 бит). Тело полезной информации включает пользовательскую информацию. Длина этого сегмента указана в поле длины заголовка полезной информации.
CRC (16 бит). От передаваемой информации вычисляется 16-битный циклический избыточный код (CRC), после чего он прикрепляется к информации. Существует 4 типа контрольных пакетов: NULL, POLL, FHS, ID. Они одинаковые как для ACL, так и для SCO.
ID-пакеты имеют длину 68 бит и применяются для пейджинга и запросов. Состоит из поля Код Доступа.
NULL-пакеты (126 бит) состоят только из полей Код Доступа и Заголовок, играя роль подтверждений установления соединения или получения данных
Тип POLL (126 бит) аналогичен предыдущему за исключением того, что POLL-пакеты обязывают получателя ответить.
Пакеты FHS (366 бит) содержат информацию об адресе, классе устройства и тактовой частоте его передатчика
Проблема безопасности в сетях Bluetooth: Существуют также еще 3 специфические для Bluetooth проблемы, которые находят большое распространение в последнее время: Bluejacking, Bluebugging и CarWhisperer. Bluejacking предусматривает рассылку своего рода «визитных карточек», которые предлагают добавить новое устройство в список разрешенных. Если пользователь не раздумывая сделает это, то злоумышленники получат доступ к желаемому объекту. Bluebugging – это еще более опасная проблема, которая основана на поиске уязвимостей в системе безопасности технологии. В случае успеха доступ к содержимому устройства может быть получен без ведома владельца. CarWhisperer предусматривает использование стандартной аудио системы автомобиля, которые в последнее время часто оснащаются Bluetooth для подслушивания разговоров внутри салона.
Институт финансовой и экономической безопасности
РЕФЕРАТ
Безопасность беспроводных сетей
Выполнил:
Студент группы У05-201
Михайлов М.А.
Проверил:
Доцент кафедры
Бурцев В.Л.
Москва
2010
Введение
Стандарт безопасности WEP
Стандарт безопасности WPA
Стандарт безопасности WPA2
Заключение
Введение
История беспроводных технологий передачи информации началась в конце XIX века с передачей первого радиосигнала и появлением в 20-х годах ХХ века первых радиоприемников с амплитудной модуляцией. В 30-е годы появилось радио с частотной модуляцией и телевидение. В 70-е годы созданы первые беспроводные телефонные системы как естественный итог удовлетворения потребности в мобильной передаче голоса. Сначала это были аналоговые сети, а начале 80-х был разработан стандарт GSM, ознаменовавший начало перехода на цифровые стандарты, как обеспечивающие лучшее распределение спектра, лучшее качество сигнала, лучшую безопасность. С 90-x годов ХХ века происходит укрепление позиций беспроводных сетей. Беспроводные технологии прочно входят в нашу жизнь. Развиваясь с огромной скоростью, они создают новые устройства и услуги.
Обилие новых беспроводных технологий таких, как CDMA (Code Division Multiple Access, технология с кодовым разделением каналов), GSM (Global for Mobile Communications, глобальная система для мобильных коммуникаций), TDMA (Time Division Multiple Access, множественный доступ с разделением во времени), 802.11, WAP (Wireless Application Protocol, протокол беспроводных технологий), 3G (третье поколение), GPRS (General Packet Radio Service, услуга пакетной передачи данных), Bluetooth (голубой зуб, по имени Харальда Голубого Зуба – предводителя викингов, жившего в Х веке), EDGE (Enhanced Data Rates for GSM Evolution, увеличенная скорость передачи даны для GSM), i-mode и т.д. говорит о том, что начинается революция в этой области.
Весьма перспективно и развитие беспроводных локальных сетей (WLAN), Bluetooth (сети средних и коротких расстояний). Беспроводные сети развертываются в аэропортах, университетах, отелях, ресторанах, предприятиях. История разработки стандартов беспроводных сетей началась в 1990 году, когда был образован комитет 802.11 всемирной организацией IEEE (Институт инженеров по электричеству и электронике). Значительный импульс развитию беспроводных технологий дала Всемирная паутина и идея работы в Сети при помощи беспроводных устройств. В конце 90-х годов пользователям была предложена WAP-услуга, сначала не вызвавшая у населения большого интереса. Это были основные информационные услуги – новости, погода, всевозможные расписания и т.п. Также весьма низким спросом пользовались вначале и Bluetooth, и WLAN в основном из-за высокой стоимости этих средств связи. Однако по мере снижения цен рос и интерес населения. К середине первого десятилетия XXI века счет пользователей беспроводного Интернет – сервиса пошел на десятки миллионов. С появлением беспроводной Интернет - связи на первый план вышли вопросы обеспечения безопасности. Основные проблемы при использовании беспроводных сетей это перехват сообщений спецслужб, коммерческих предприятий и частных лиц, перехват номеров кредитных карточек, кража оплаченного времени соединения, вмешательство в работу коммуникационных центров.
Как и любая компьютерная сеть, Wi-Fi – является источником повышенного риска несанкционированного доступа. Кроме того, проникнуть в беспроводную сеть значительно проще, чем в обычную, - не нужно подключаться к проводам, достаточно оказаться в зоне приема сигнала.
Беспроводные сети отличаются от кабельных только на первых двух - физическом (Phy) и отчасти канальном (MAC) - уровнях семиуровневой модели взаимодействия открытых систем. Более высокие уровни реализуются как в проводных сетях, а реальная безопасность сетей обеспечивается именно на этих уровнях. Поэтому разница в безопасности тех и других сетей сводится к разнице в безопасности физического и MAC-уровней.
Хотя сегодня в защите Wi-Fi-сетей применяются сложные алгоритмические математические модели аутентификации, шифрования данных и контроля целостности их передачи, тем не менее, вероятность доступа к информации посторонних лиц является весьма существенной. И если настройке сети не уделить должного внимания злоумышленник может:
· заполучить доступ к ресурсам и дискам пользователей Wi-Fi-сети, а через неё и к ресурсам LAN;
· подслушивать трафик, извлекать из него конфиденциальную информацию;
· искажать проходящую в сети информацию;
· внедрять поддельные точки доступа;
· рассылать спам, и совершать другие противоправные действия от имени вашей сети.
Но прежде чем приступать к защите беспроводной сети, необходимо понять основные принципы ее организации. Как правило, беспроводные сети состоят из узлов доступа и клиентов с беспроводными адаптерами. Узлы доступа и беспроводные адаптеры оснащаются приемопередатчиками для обмена данными друг с другом. Каждому AP и беспроводному адаптеру назначается 48-разрядный адрес MAC, который функционально эквивалентен адресу Ethernet. Узлы доступа связывают беспроводные и проводные сети, обеспечивая беспроводным клиентам доступ к проводным сетям. Связь между беспроводными клиентами в одноранговых сетях возможна без AP, но этот метод редко применяется в учреждениях. Каждая беспроводная сеть идентифицируется назначаемым администратором идентификатором SSID (Service Set Identifier). Связь беспроводных клиентов с AP возможна, если они распознают SSID узла доступа. Если в беспроводной сети имеется несколько узлов доступа с одним SSID (и одинаковыми параметрами аутентификации и шифрования), то возможно переключение между ними мобильных беспроводных клиентов.
Наиболее распространенные беспроводные стандарты - 802.11 и его усовершенствованные варианты. В спецификации 802.11 определены характеристики сети, работающей со скоростями до 2 Мбит/с. В усовершенствованных вариантах предусмотрены более высокие скорости. Первый, 802.11b, распространен наиболее широко, но быстро замещается стандартом 802.11g. Беспроводные сети 802.11b работают в 2,4-ГГц диапазоне и обеспечивают скорость передачи данных до 11 Мбит/с. Усовершенствованный вариант, 802.11a, был ратифицирован раньше, чем 802.11b, но появился на рынке позднее. Устройства этого стандарта работают в диапазоне 5,8 ГГц с типовой скоростью 54 Мбит/с, но некоторые поставщики предлагают более высокие скорости, до 108 Мбит/с, в турборежиме. Третий, усовершенствованный вариант, 802.11g, работает в диапазоне 2,4 ГГц, как и 802.11b, со стандартной скоростью 54 Мбит/с и с более высокой (до 108 Мбит/с) в турборежиме. Большинство беспроводных сетей 802.11g способно работать с клиентами 802.11b благодаря обратной совместимости, заложенной в стандарте 802.11g, но практическая совместимость зависит от конкретной реализации поставщика. Основная часть современного беспроводного оборудования поддерживает два или более вариантов 802.11. Новый беспроводной стандарт, 802.16, именуемый WiMAX, проектируется с конкретной целью обеспечить беспроводной доступ для предприятий и жилых домов через станции, аналогичные станциям сотовой связи. Эта технология в данной статье не рассматривается.
Реальная дальность связи AP зависит от многих факторов, в том числе варианта 802.11 и рабочей частоты оборудования, изготовителя, мощности, антенны, внешних и внутренних стен и особенностей топологии сети. Однако беспроводной адаптер с узконаправленной антенной с большим коэффициентом усиления может обеспечить связь с AP и беспроводной сетью на значительном расстоянии, примерно до полутора километров в зависимости от условий.
Из-за общедоступного характера радиоспектра возникают уникальные проблемы с безопасностью, отсутствующие в проводных сетях. Например, чтобы подслушивать сообщения в проводной сети, необходим физический доступ к такому сетевому компоненту, как точка подсоединения устройства к локальной сети, коммутатор, маршрутизатор, брандмауэр или хост-компьютер. Для беспроводной сети нужен только приемник, такой как обычный сканер частот. Из-за открытости беспроводных сетей разработчики стандарта подготовили спецификацию Wired Equivalent Privacy (WEP), но сделали ее использование необязательным. В WEP применяется общий ключ, известный беспроводным клиентам и узлам доступа, с которыми они обмениваются информацией. Ключ можно использовать как для аутентификации, так и для шифрования. В WEP применяется алгоритм шифрования RC4. 64-разрядный ключ состоит из 40 разрядов, определяемых пользователем, и 24-разрядного вектора инициализации. Пытаясь повысить безопасность беспроводных сетей, некоторые изготовители оборудования разработали расширенные алгоритмы со 128-разрядными и более длинными ключами WEP, состоящими из 104-разрядной и более длинной пользовательской части и вектора инициализации. WEP применяется с 802.11a, 802.11b- и 802.11g-совместимым оборудованием. Однако, несмотря на увеличенную длину ключа, изъяны WEP (в частности, слабые механизмы аутентификации и ключи шифрования, которые можно раскрыть методами криптоанализа) хорошо документированы, и сегодня WEP не считается надежным алгоритмом.
В ответ на недостатки WEP отраслевая ассоциация Wi-Fi Alliance приняла решение разработать стандарт Wi-Fi Protected Access (WPA). WPA превосходит WEP благодаря добавлению протокола TKIP (Temporal Key Integrity Protocol) и надежному механизму аутентификации на базе 802.1x и протокола EAP (Extensible Authentication Protocol). Предполагалось, что WPA станет рабочим стандартом, который можно будет представить для одобрения комитету IEEE в качестве расширения для стандартов 802.11. Расширение, 802.11i, было ратифицировано в 2004 г., а WPA обновлен до WPA2 в целях совместимости с Advanced Encryption Standard (AES) вместо WEP и TKIP. WPA2 обратно совместим и может применяться совместно с WPA. WPA был предназначен для сетей предприятий с инфраструктурой аутентификации RADIUS (Remote Authentication Dial-In User Service - служба дистанционной аутентификации пользователей по коммутируемым линиям), но версия WPA, именуемая WPA Pre-Shared Key (WPAPSK), получила поддержку некоторых изготовителей и готовится к применению на небольших предприятиях. Как и WEP, WPAPSK работает с общим ключом, но WPAPSK надежнее WEP.
Загрузка...
