Проблемы безопасности в беспроводных сетях

Размещено на http://www.allbest.ru/

УДК 004.64.3

ТарГУ им. М.Х. Дулати

ПРОБЛЕМЫ БЕЗОПАСНОСТИ В БЕСПРОВОДНЫХ СЕТЯХ

Есмаханова Л.Н.

Тайгараев Ж.Р.

Как правило, процедура развертывания беспроводной сети подразумевает ряд мероприятий, направленных на обеспечение безопасности итоговой инфраструктуры. Однако трудность состоит в том, что лишь иногда "ряд" подразумевает действительно внедрение продуманной политики безопасности, зачастую, к сожалению, для этого не делается вообще ничего. Существует мнение, что пренебрежение проблемами несанкционированного доступа вызвано некоторой инерционностью внедрения беспроводных технологий. Если еще год-два назад термин "Wi-Fi" можно было встретить достаточно редко, в основном в пресс-релизах и специализированных обзорах, то сейчас семейство стандартов 802.11b/g активно используется на "бытовом" уровне - публичные беспроводные сети функционируют во множестве мест, начиная от ресторанов и заканчивая залами ожидания аэропортов и гостиницами.

MAC-аутентификация. Принято считать, что разграничение доступа, основанное на разделении аппаратных MAC-адресов беспроводных сетевых адаптеров на "своих" и "чужих", является эффективным средством противодействия атакам. Это действительно так, но лишь при обеспечении дополнительных мер безопасности.

Кстати, аутентификация беспроводного клиента по MAC-адресу - исключительно инициатива конкретного производителя, спецификации беспроводных стандартов 802.11b/g такой меры безопасности не предусматривают. То есть подобный метод аутентификации может либо присутствовать, либо нет, - в зависимости от желания и маркетинговой политики производителя.Даже если существует возможность "отсеивания" чужих беспроводных клиентов, полностью полагаться на эту меру не стоит - ее взлом занимает считанные минуты и доступен даже начинающему хакеру с неоконченным средним образованием.

Суть взлома такова: при помощи специальной утилиты прослушивается радиообмен точки доступа на канале, по которому происходит обмен информацией с клиентами, и в полученном трафике выделяется список "своих" клиентов. Затем остается лишь программно подменить аппаратный адрес своего беспроводного адаптера на один из списка валидных адресов (в подавляющем большинстве случаев это можно сделать даже стандартными средствами драйвера) - и "чужой" адаптер стал "своим".

Широковещательная передача SSID. SSID - своего рода имя беспроводной сети, знание этого идентификатора является необходимым условием для подключения. Если, скажем, инфраструктура сети компании подразумевает наличие пяти точек доступа, то каждой точке можно либо назначить уникальный идентификатор SSID (причем образуется пять "логических" сетей), либо организовать работу точек в режиме повторения для наиболее полного покрытия одной логической сетью - хотя, конечно, возможны различные вариации.

В любом случае беспроводная точка доступа - потенциальный источник угрозы, так как опытный пользователь, имеющий в арсенале ноутбук с беспроводным адаптером и необходимый минимум знаний, достаточно короткий срок может стать полноценным участником корпоративной сети со всеми вытекающими последствиями. Естественно, речь идет о преодолении стандартных препятствий, предусмотренных спецификациями стандартов 802.11b/g и инициативой производителя.

Миф о WEP-шифровании. Одной из наиболее действенных мер по защите беспроводной сети от несанкционированного вторжения принято считать WEP-шифрование трафика. WEP (WiredEquivalencePrivacy) представляет собой статический ключ длиной 64 или 128 бит, при помощи которого шифруется вся информация между точкой доступа и беспроводными клиентами в случае Infrastructure-организации сети или между клиентами при Ad-Hoc-организации.

Шифрование базируется на алгоритме RC4. Правда, профессионалы от IT-безопасности не питают к нему особого доверия, поскольку он легко поддается взлому. Да и с WEP-шифрованием все далеко неоднозначно - и при 64-, и при 128-битном ключе имеет место некоторая условность. Дело в том, что эффективная длина ключа в первом случае составляет 40 бит, а во втором - 104 бит. Недостающие до заявленных служебные 24 бит используются для дешифрования информации на принимающей стороне. Таким образом, числа "64" и "128" хороши лишь для пресс-релизов, а не для реальной безопасности.

Кроме того, не будем забывать, что ключи являются статическими - а значит, их нужно периодически менять. Если для беспроводной сети, состоящей из точки доступа и трех клиентов, это не представляет особой проблемы, то для корпоративных сетей с сотнями беспроводных пользователей данное решение явно не подходит. Более того, для обеспечения достаточного уровня безопасности при использовании WEP-шифрования требуется смена 64-битного ключа раз в полчаса, а 128-битного - раз в час. беспроводной сеть конфигурирование аутентификация

Какие же методы сегодня предпочитаются при взломе WEP? Прежде всего, анализ "подслушанного" трафика утилитами AirSnort и WEPCrack (поиск в Интернете при помощи www.google.com выдает домашние страницы обоих проектов в первой же строчке). Для того чтобы читатель реально представлял себе степень защиты (или беззащитности) беспроводной сети, приведем следующие цифры: при анализе беспроводного трафика на расшифровку 128-битного ключа (на самом деле он 104-битный) при помощи AirSnort уходит всего 2-4 часа.

Веб-конфигурирование точки доступа. Удобная возможность, которой гордятся производители точек доступа, также представляет собой огромную брешь в безопасности - если конфигурирование точки с помощью браузера производится с беспроводного терминала. Основываясь на вышеописанных методах и перехватив трафик к точке доступа не представляет абсолютно никакого труда выделить пароль администратора и сделать с точкой доступа все, что угодно - вплоть до ее физического повреждения (например, воспользовавшись процедурой обновления микропрограммы и залив в точку произвольный файл).

AirSnort и компания - реальная угроза. Массовые проблемы начались еще в 2001 году, с появлением первого публичного релиза утилиты AirSnort, одного из инструментов для проведения "пассивных" атак на беспроводные сети. AirSnort просто перехватывает пакеты и накапливает информацию, а когда количество пакетов достигает достаточного уровня, происходит анализ данных и вычисление ключа шифрования.

Примечательно, что "прослушку" засечь невозможно - пользователи беспроводной сети не обнаруживают никакой подозрительной деятельности и не догадываются, что сеть уже давно на прицеле. Беспроводной адаптер на компьютере с запущенным AirSnort не посылает абсолютно никакой информации "наружу" и не общается ни с одним из компьютеров в сети. И неважно, позволяют ли настройки сети доступ неавторизованных пользователей или нет - пакеты все равно будут прослушаны.

С 2001 года популярность беспроводных сетей значительно возросла, также возросло и количество различных утилит для проведения пассивных атак - к AirSnort добавилась WEPCrack, написанная на языке Perl, утилиты Aircrack, Kismet и WepLab. Их число не ограничивается вышеперечисленными, это лишь наиболее популярные инструменты для атаки Wi-Fi-сетей.

Чем усилить безопасность беспроводной сети? Как уже понятно, скрытие идентификатора SSID, ведение списка валидных MAC-адресов и использование WEP-шифрования обеспечивают не безопасность, а ее видимость - примерно как решетки на окнах, сделанные из пластилина.

Путь один: найти методы, способные реально усложнить жизнь злоумышленникам, ведь, как известно, невзламываемых ключей не бывает, дело лишь во времени, требуемом для их вычисления.На сегодняшний день разумными считаются три средства, дополняющие уже имеющиеся, - стандарты IEEE 802.1x, 802.11i и протокол WPA.

IEEE 802.1x применяется для авторизации, аутентификации и аккаунтинга пользователей, чтобы проверить возможность предоставления доступа к сети. В случае 802.1x используются уже динамические ключи шифрования, что является несомненным плюсом. 802.1х предназначен для работы со сторонними средствами, такими как сервер RADIUS (RemoteAccessDial-InUserServer) и протокол EAP (ExtensiveAuthenticationProtocol).

В общем случае алгоритм привязки RADIUS-сервера к беспроводной сети может быть таков:

Сетевой администратор дает команду RADIUS-серверу завести новую учетную карточку пользователя с занесением в нее имени пользователя, под которым он будет проходить аутентификацию, и его пароля.Внесенный в базу RADIUS-сервера пользователь с помощью беспроводной связи подключается к точке доступа, чтобы проверить электронную почту.Точка доступа запрашивает у пользователя его имя и пароль.Точка доступа связывается с RADIUS-сервером и дает запрос на аутентификацию пользователя.

RADIUS-сервер находит валидные имя пользователя и пароль, дает добро на новую сессию и заводит в журнале соответствующую запись о начале новой сессии.Точка доступа предоставляет пользователю возможность работать с теми сервисами, которые ему предписаны (это и есть авторизация).

По окончании сессии, которая может быть прервана либо самим пользователем, либо RADIUS-сервером (например, истек "нарезанный" по регламенту промежуток времени работы), RADIUS-сервер делает в журнале запись об окончании сеанса.Как видим, процедура достаточно строгая, но в тоже время логически верная - хотя и относится лишь к управлению доступом.Кстати, до сих пор удачных попыток взлома 802.1х не зафиксировано, поэтому развитие идет, безусловно, в верном направлении.

В качестве дополнения к неубедительному протоколу WEP имеется WPA - Wi-FiProtectedAccess. WPA реализует принцип временных ключей шифрования и тесно взаимодействует с TKIP - TemporalKeyIntegrityProtocol (протокол целостности временных ключей).

WPA работает в связке с 802.1х и EAP и совместим с последним из компонент всего комплекса безопасности - протоколом 802.11i.802.11i предусмотрен в качестве глобальной замены WEP (его иногда называют также WPA2). 802.11i является как бы "надмножеством" WPA - сочетает все его возможности со своими оригинальными. 802.11i использует гораздо более мощный, нежели RC4 у WEP, алгоритм шифрования - это AES (AdvancedEncryptionStandart).

В действительности построить хорошо защищенную сеть можно и при помощи уже имеющихся средств - даже несмотря на WEP, SSID broadcasting и MAC-доступ. Хорошо зарекомендовавшее себя решение - VirtualPrivateNetwork, виртуальная частная сеть, в которую можно "завернуть" всю беспроводную сеть вместе с ее огрехами в области безопасности. Средства VPN работают на глобальном сетевом уровне, поэтому, видимо, в настоящее время это один из немногих способов обеспечения достойной безопасности - благо технология IPSecпортирована с IPv6 на IPv4.

Развертывание виртуальной частной сети поверх имеющейся беспроводной позволяет решить львиную долю проблем безопасности - на фоне VPN недостатки WEP, SSID и т. д. будут просто несущественны, так как особой практической ценности в данном случае они не имеют.

Литература

1. Сети и системы мобильной связи 3-го поколения. Конспект лекций. Артюхин В.В., Прилепкина Л.П. - Алматы: АИЭС, 2007.-82с.

2. В.В. Величко. Передача данных в сетях мобильной связи третьего поколения. - М.: Радио и связь, Горячая линия - Телеком, 2005. - 332с.

3. Тихвинский В.О. Сети подвижной связи третьего поколения. Экономические и технические аспекты развития - М.: Радио и связь, 2001 - 312с.

Размещено на Allbest.ru