Развёртка и защита беспроводных сетей

------------------------------------------------
#!/usr/share/doc/defaced/3/tandp/wirelesssec.txt
------------------------------------------------

Развёртка и защита беспроводных сетей
_____________________________________

Автор: Nimber

Date: 29 Августа

Time: 22:36

Вступление:

В этой статье пойдёт речь о достаточно новой проблеме, которая стала актуальна в
последнее время. Большинство людей, использующих беспроводную организацию сети,
считает, что информация, которая передаётся по этой сети, остаётся только в её
пределах. Я попробую достаточно подробно осветить проблему защиты информации в
беспроводных сетях/устройствах, постараюсь разобрать большинство ошибок, которые
допускают администраторы WLAN. Но сначала хотелось бы ответить на такой вопрос -
что же именно заставляет приобретать людей дорогое оборудование для развертки
WLAN?

В первую очередь - это мобильность. Очень важное преимущество в наше время.
Второе, что я бы хотел упомянуть, это простота “развёртки” сети. Действительно,
что организовать WLAN немного легче, чем локальную сеть, использующую
коаксиальный кабель или оптоволокно.

А так же меньше проблем при дальнейшей физической поддержке сети. Я знаю случаи,
когда замыкание или молния являлась причиной полного выхода из строя всей
локальной сети, использующей кабель, и последующей его заменой.

Вот маленький лог разговора с одним моим другом, из которого вы можете увидеть
последствия:

--------------------------------------------------------------------------------
#zudteam, time: 13:41
[вырезано]
<unix> меня вон вчера к инету подключили
<unix> руль
<unix> ;)
<nimber> =)
<nimber> у тебя же и так был инет
<nimber> ?
<unix> у нас сеть навернулась после грозы
<nimber> хехехех у нас тоже такое было
<unix> ;)
<unix> у нас просто так
<unix> разряд и капец
<nimber> =)
<unix> Уважаемые пользователи, 27.08, 28.08 будет производиться начисление
<unix> компенсации за время не работы городской сети. Компенсацию будет начислена
<unix> 1010 пользователям, из них - 445 в размере абон. платы, остальным- частично,
<unix> пропорционально количеству дней отсутствия сети с 22 июля по 21 августа.
<unix> - выведены из стоя полностью
<unix> неуправляемые хабы, свичи - 88 шт. (921 порт)
<unix> конвертер оптический - 1 шт.
<unix> матерински платы маршрутизаторов - 3 шт.
<unix> свич управляемый L3 - 1 шт.
<unix> сетевые карты - 32 шт.
<unix> - выведены из строя частично
<unix> неуправляемые хабы, свичи (предварительно) - 30
<unix> Администрация ИЦ
[вырезано]
--------------------------------------------------------------------------------

Я думаю, что учитывая всего несколько пунктов, можно сразу заметить преимущества
беспроводных технологий. Обычно все эти преимущества (а главное мобильность)
ставят на первый план, а вот проблемы, которые они создают в плане безопасности
лишь на второй. Большинство корпоративных сетей (именно они чаще всего
используют Wireless технологию) подвержены самым простым атакам и люди, которые
там работают, даже не подозревают о них. Поэтому может произойти утечка очень
важных данных.

Структура/устройство, развёртка WLAN:

Стандарты.
В последнее время ученые сделали большой шаг в развитии беспроводных технологий.
Сейчас они применяются в совершенно разных местах. (например, начиная от
некоторых видов сигнализаций у машин и заканчивая уже ранее упомянутой WLAN).

Далее пойдёт разговор в основном о Wireless Network. Поэтому мы должны немного
разобраться в беспроводных технологиях и устройстве WLAN.

Начнём с обзора стандартов, на которых базируется большинство типов беспроводных
сетей. Как я надеюсь, вы уже знаете, что беспроводные сети работают по радио
каналу или по инфракрасной связи. Стандартов существует достаточно много, но
можно выделить некоторые самые популярные:

Bluetooth – это достаточно новый стандарт и пока что мало доступный. Хотя в
последнее время о нём встречается немало упоминаний в разных статьях. На нём я
решил не заострять внимания, так как далее речь пойдет не о нём.

HomeRF 1.0 – стандарт который использует некоторые возможности Ethernet и DECT,
например метод временного разделения каналов TDMA заимствован у DECT. Но сильной
популярности не приобрёл, из-за своих слабых возможностей и недостатков.
(максимальная скорость – 1,6 Mb/s, шифрование на уровне MAC – 40 bit)

HomeRF 2.0 – В марте 2001г появилась, модернизация HomeRF 1.0. В новом стандарте
заметно увеличилась поддерживаемая скорость обмена данными до 10 Mb/s, а также
уровень шифрования на уровне MAC - 120 bit.

Кроме вышеперечисленных плюсов, можно отметить, что мощность передатчика
увеличилась в 5 раз и стала равна 500 mW, что является очень большим плюсом.
Технология HomeRF составила конкуренцию Bluetooth и Wi-Fi.

WECA (Wi-Fi) - базируются на спецификации IEEE 802.11, или Ethernet.

HiperLAN2 (High Perfomance Radio LAN) – стандарт, который поддержали такие
компании Nokia и Ericsson. Способен обеспечить скорость передачи данных до 54
Мбит/с. И имеет целый ряд преимуществ по сравнению с 802.11а.

IrDA – сети, основанные на этом стандарте, используют инфракрасные волны. Тем
самым появляется целый ряд проблем. Главными из которых являются: искажение или
полная потеря связи из-за разнообразных препятствиях, встречающихся на пути
волн, или искажение связи из-за влияния других электронных устройств (сотовый
телефон или даже пейджер).

Каждый из вышепредставленных стандартов используется не только в организации
WLAN, но и в других электронных устройствах.

Развёртка.

Развернуть локальную беспроводную сеть можно разными способами. Cамий простой из
них, это простое взаимодействие точек доступа (AP) по схеме AP-AP (Wireless
Access Point to Wireless Access Point). По такой схеме вполне можно организовать
свою домашнюю сеть из 2-3 компьютеров. Так же можно соединить несколько Wireless
Access Point и Wireless Network Adapters вместе.

Вообще, развёртка WLAN будет полностью зависеть от вида/стоимости/кол-ва
оборудования. Например,обычная цена Wireless Access Point около $200. Существуют
WNIC (сетевые карты) стоимостью больше $300. Так что видов развертки можно
придумать очень много, все зависеть от ваших ресурсов и целей.

Давайте представим такую ситуацию, стоит два дома, в каждом из них находится
офис, в котором работают люди одной компании, нам поставлена задача организовать
небольшую WLAN с возможностью выхода в Интернет.

Для этого потребуется минимум несколько AP, Broadband Router и 4-Port 10/100Mbps
Ethernet Switch и Hub. Стоимость этого оборудования будет колебаться в размере
от $1200-1500. Это правда, если рассчитывать на связь между собой 4 компьютеров.
Возможно несколько уменьшить цифру, покупая несколько-функциональное
оборудование. Например, AP совместно с 4-Port 10/100Mbps Ethernet Switch.

Кстати, очень часто локальную сеть строят интересным образом, одна часть
соединяется с помощью кабелей, а в другой используется беспроводная связь. Эта
технология достаточно эффективна и на мой взгляд делает сеть более защищённой.

Установка.

Установка Wireless Access Point не очень сложный процесс. Вам надо лишь
подсоединить оборудование, после чего Windows напишет, что найдено новое
устройство и предложит выбрать драйвер. Вы можете выбрать либо из уже имеющихся
драйверов (но не факт, что есть те, которые вам подойдут) или поставить свои с
входящего в комплект CD или дискеты. (обычно это CD) Если что-то не получилось,
то попробуйте внимательно прочесть инструкцию, там всегда очень подробно всё
описывается.

А вот на счёт установки оборудования в Никсах, я если честно незнаю, так как сам
не пробовал. Но думаю, что не намного сложнее.

Наиболее частые ошибки при развёртке и работе с WLAN.

В этой главе мы начнём с самых банальных ошибок, которые совершают при развёртке
WLAN и закончим ошибками, которые допускают администраторы этих сетей.

Ошибки при развёртке:
- Ваша сеть может не функционировать или неправильно функционировать, из-за
несоблюдения расстояния между AP и другими беспроводными устройствами.
Большинство Wireless Access Point имеют предел около 300м. Наиболее старые
модели вообще расчитаны на передачу данных на расстоянии 100 метров. В этом
случае все зависит от возможности оборудования. Так что перед развёрткой, вы
должны рассчитать, что и где у вас будет находиться, учитывая расстояние.

- Неправильная настройка или установка оборудования, так же часто встречаемая
ошибка.

- Несовместимость оборудования. Некоторые старые модели AP не могут поддерживать
связь с новыми моделями. Главной причиной является усовершенствование старых
стандартов.

- Проблемы со связью могут возникнуть из-за посторонних устройств и предметов.
Например, мобильные телефоны могут вызывать помехи в сетях, которые используют
передачу данных радиосигналом. А стены или дома - в сетях, использующих
инфракрасную передачу данных.

- Помехи чаще всего возникают из-за железных объектов! Железные двери, жалюзи и
тд.

Ошибки администраторов:
- Не надо назначать слишком лёгкий SSID.
- Не надо оставлять значение SSID по умолчанию.
- Обязательно используйте шифрование. Если шифрование не используется, то данные
передаются в открытом виде.
- Желательно использовать MAC-фильтрацию.
- Неправильная настройка DCHP, одна из самых частых ошибок.
- Неправильная настройка Firewalls или вообще полное его отсутствие.
- Не надо конфигурировать сеть как открытую систему! Я имею в виду, что сеть не
должна указывать, что она существует и объявлять свой SSID.

Некоторые из этих пунктов будут подробнее рассмотрены в главе "Методы защиты".

Методы взлома.

Я решил в этой статье вообще не останавливаться на этом пункте. Совсем недавно
мной был написан перевод известной статьи "Wireless Attacks Primer", в которой
очень подробно и хорошо описываются самые известные методы взлома WLAN, а также
ряд других важных вещей. Очень рекомендую прочесть "Wireless Attacks Primer"
после прочтения этой. Я считаю, что если человек хочет знать, как защититься, он
должен знать, как нападать. Также советую вам подробнее ознакомится с
протоколами и криптографией.

Методы защиты.

Это завершающая часть статьи и, наверное, самая главная. Тут будут рассмотрены
методы защиты информации в WLAN и даны рекомендации по настройке.
Для начала я хочу поговорить о SSID. SSID - используется для индификации в
пределах WLAN. Вся информации, передаваемая между точкой доступа и клиентом,
передаётся определенному SSID. (как адрес на конверте =)

Вы можете обдумывать SSID как своего рода пароль, использующийся между
устройствами. С помощью SSID вы можете разделить сеть на группы. Для каждой
группы назначить свой SSID. Отсюда и вытекает одна из самых известных ошибок
администраторов - назначение лёгкого SSID или использование его по умолчанию.
Обычно каждый AP имеет SSID, соответствующий своему названию или
фирме-производителю.

Существует целый ряд программ (например, Netstumbler), с помощью которых
злоумышленник может узнать какие AP вы используете у себя в сети. После этого он
может выдать свой AP, за настоящий, назначив правильный SSID. И если вы
используете SSID по умолчанию или слишком лёгкий и навязчивый, злоумышленник
может просматривать всю информацию, которая предназначена для AP, SSID которого
он узнал.

Чтобы не допустить такой ситуации просто всегда меняйте SSID, который стоял по
умолчанию на другой, более сложный.

Кроме этого, вы можете назначить своего рода расписание, по которому будет
меняться SSID. Многие считают, что это лишнее, но на самом деле это еще один
важный пункт безопасности.

Второе, о чём я хочу поговорить – шифрование. Существует множество программ для
разных ОС, которые позволяют захватывать трафик. Единственное что в таких
случаях может помочь, это использование шифрования трафика. Обычно, в качестве
протокола шифрования в WLAN используют WEP, но существуют и другие: DES, Triple
DES, TKIP, AES.

WEP считают оптимальным выбором, так как он был создан для обеспечения
шифрования при передачи по радиоволнам. Он шифрует трафик от одной станции до
другой, с помощью RC4. (24/128 битовое шифрование)

В 2001 году, в протокол WEP внесли ряд улучшений. Появился WEP2 (обычно WEP2
называют как первую версию, просто WEP), который использует 128-битовое
шифрование, что естественно лучше 24-битового. Так же имеет поддержку Kerberos V.

Активизация WEP происходит по желанию администратора, но я обязательно
рекомендую использовать WEP. Иначе кто-то угодно сможет просматривать
информацию, передаваемую по сети в совершенно свободном виде.

К сожалению, использование WEP не решит всех ваших проблем, уже существуют
программы для взлома WEP. Например, программа WEPCrack.
(wepcrack.sourceforge.net) Она способна расшифровать информацию, зашифрованную с
помощью RC4, но для этого надо сначала захватить достаточно большое количество
трафика.

А как нам помешать этому? Есть несколько решений, которые сводятся к одному – не
дать злоумышленнику получить доступ к сети. Как это сделать, мы сейчас разберём.

Один из способов, назначить фильтрацию MAC-адресов. То есть пускать в сеть
клиентов, сетевые карты которых имеют определённые MAC-адреса. (в стандарте IEEE
802.11b предусматриваются аутентификация сетевого устройства по ее MAC-адресу) К
сожалению, этот способ не совсем идеален, ведь реальный MAC-адрес можно
подменить как в Win’e так и в Никсах. (это называется MAC-Spoofing)

Причём это очень лёгкий процесс. Для тех, кто не в силах сделать это путём
настройки, написаны специальные программы, которые всё сделают сами.
Позволю себе заметить, что опытный администратор, скорее всего, заметит подмену
MAC-адреса, это будет прекрасно видно, когда вы увидите два одинаковых адреса в
одной сети. Также администратор может обратить внимание, как один и тот же IP
поменял MAC-адрес, что естественно подозрительно.

Ещё одну уязвимость в защите вашей сети, создаёт DCHP. Этот протокол служит для
автоматического распределения IP-адресов в сети. Работает по схеме
клиент-сервер. Клиент посылает запрос серверу на получение IP, а тот в свою
очередь возвращает клиенту свободный IP-адрес, после чего клиент меняет свои
настройки на те, которые прислал сервер DCHP. Злоумышник может получить IP адрес
также, как и настоящий клиент, и наслаждаться доступом к сети. Чтобы снизить
процент проникновения в сеть, надо использовать DCHP в сочетании с
MAC-фильтрацией.

Firewalls.
Последнее, о чём я бы хотел упомянуть, это Firewalls. Он создаёт дополнительную,
очень значительную защиту и мешает злоумышленнику попасть к вам в сеть. При
правильной настройке Firewalls можно получить великолепный результат (главное
настроить чтобы Firewall принимал лишь безопасные соединения).

Следует помнить, что точки доступа не должны устанавливаться за Firewalls и не
должны иметь доступ к внутренней “зашитой” сети.

Авторизация и мониторинг.

Используя авторизацию в вашей сети, вы создаёте ещё один барьер для
злоумышленника. Вы можете создать группы пользователей, назначить каждой группе
или каждому пользователю определённые права, разрешить или запретить доступ к
определенным ресурсам и тд. Примером безопасного соединения может служить VPN.

И последнее, о чём я хочу упомянуть. Нималоважно иметь хорошую систему
мониторинга сети. Она должна показывать все точки доступа (IP и MAC адреса),
ресурсы к которым имеет доступ каждый пользователь, время и дата последнего
входа в сеть, вести полные и понятные логи.

Заключение:

В настоящее время, большинство WLAN остается плохо защищёнными.
Я советую администраторам корпоративных WLAN установить доступ через VPN или
другое безопасное соединение, не использовать в сети DCHP, установить доступ к
сети только определённым MAC-адресам, обязательно использовать шифрование
трафика с помощью WEP2 и правильно настроить Firewalls. Кроме этого стоит хорошо
продумать расположение точек доступа перед развёрткой WLAN. Конечно, обычные
домашние сети не нуждаются в такой защите. Но пренебрегая защитой, вы можете
поставить под угрозу важную личную информацию. (например ICQ/mail переписка или
информация о вашем серфинге в Интернете). Так что решать вам.

__________________________________________________________________

Ссылки на дополнительные программы:

Netstumbler (www.netstumbler.com)
Kismet (www.kismetwireless.net)
THC-RUT (www.thehackerschoice.com)
Ethereal (www.ethereal.com)
WEPCrack (wepcrack.sourceforge.net)
AirSnort (airsnort.shmoo.com)
HostAP (hostap.epitest.fi)
__________________________________________________________________

Для контактов:
Автор: Nimber
E-mail: [email protected], [email protected]
Home-Page: www.nimber.plux.ru
ICQ: 132614