Личный блог Suvan`a.

Работая и играя с Linux... И что из этого иногда получается.

Беспроводные сети

Рубрика: Безопасность -> Топология сети
Метки: | |
Вторник, 3 февраля 2009 г.
Просмотров: 5361

В предыдущие несколько лет беспроводные технологии завоевали огромную популярность, которая поддерживается, в основном, снижением цен на аппаратуру. В наше время можно дешево купить беспроводные точки доступа (Wireless Access Points, WAP) и подключить их к любой существующей локальной сети, разрешая доступ к сети мобильным пользователям.

     Также они стали крайне популярными в среде крекеров, но по совершенно другим причинам. Так как, это молодая технология, она еще очень плохо понимается администраторами, и, следовательно, беспроводные сети плохо защищены (функции безопасности на точках доступа выключены по умолчанию, а администраторы их не включают, или не знают, что есть функции). Крекеры быстро нашли выход - они ищут незащищенные беспроводные сети в свободном доступе и проникают в них.


     Для беспроводного доступа к сети обычно , используются антенны дальнего действия. Вот они то и позволяют потенциальным крекерам подсоединяться к сигналам 802.11 на большом расстоянии от антенны. Находясь в нескольких километрах от беспроводной сети, можно перехватить любые данные, которые по ней передаются. Для таких сетей очень быстро адаптировали те методы атак, которые использовались для Ethernet-сетей: ARP-спуффинг, MITM или перехват трафика (сниффинг).

     Идентификатор набора услуг (SSID).

Обычно SSID выступает как название сети, к которой будут подключаться беспроводные пользователи. Он передается в заголовках кадров по сети. Практически все базовые станции используют по умолчанию SSID, который в никогда не меняется администратором. Такие SSID-ы содержат: Compaq: производитель – Compaq, Intel – Intel, Linksys – Linksys, tsunami – Cisco, 101 – 3Com, wireless – другие производители.

     Изменение значений по умолчанию позволяет немного защитить сеть. Чем меньше у крекера информации о сети, тем труднее ему будет ее взломать. Изменяя это значение, можно запутать крекера - ему будет трудно определить производителя и подобрать метод взлома.

     Можно ввести крекера в заблуждение, поменяв SSID на другого производителя. Также нельзя использовать SSID в качестве любого пароля в сети, потому что при запросе точки доступа она передает свой SSID.

     Конфигурация точек доступа.

Точки доступа конфигурируются с помощью протокола SNMP (Simple Network Management Protocol), Web-интерфейса, Telnet или с помощью последовательного порта. При конфигурировании точка доступа запрашивает пароль (нужно обязательно поменять стандартный пароль). Конфигурация по умолчанию доступна всем для чтения, её может прочесть любой злоумышленник. Этим обычно и пользуется крекер для чтения нужных ему WEP-ключей.

     WEP (Wired Equivalent Privacy) - это шаблонный метод шифрования беспроводного трафика, по умолчанию на практически всех точках доступа выключен. Он не является безопасным методом шифрования , хотя останавливает случайных крекеров. Не стоит его включать, от сниффинга он точно не защитит.

     TKIP (Temporal Key Integrity Protocol) - это преемник WEP. Временами его называют Wifi Access Protection. TKIP определен в стандарте 802.11i. Этот протокол использует временные (temporal) ключи (RC4). Все пакеты кодируется с помощью уникального ключа. TKIP силен в плане защиты, но не практичный, поскольку требует очень много дополнительных вычислений. Поэтому стали разрабатывать другие методы шифрования беспроводного трафика.

     Стандарт 802.11 также описывает протокол AES (Advanced Encryption Standard), его метод шифрования похож на 3DES( 3DES является преемником DES). Протокол AES требует дополнительного «железа» в виде отдельного сопроцессора. Это говорит о том, что все беспроводные сетевые платы должны быть заменены AES-совместимыми моделями. Внедрение этого протокола требует серьезных финансовых вложений.

     Существующее на сегодняшний день оборудование для беспроводных сетей оснащено большим количеством средств обеспечения безопасности. При профессиональной настройке это позволяет достичь почти, что 100% гарантии защищенности Вашей сети.