Беспроводная технология освобождает нас от медных проводов. Основная теория беспроводной технологии заключается в том, что сигналы могут переноситься электромагнитными волнами, которые затем передаются в приемник сигналов. Но чтобы два беспроводных устройства понимали друг друга, нам нужны протоколы для связи.

Затем мы обсудим текущие проблемы безопасности с беспроводными сетями и ваши варианты решения этих проблем. Наконец, мы представим два метода, которые можно использовать для защиты ваших беспроводных сетей. Вы увидите две сильно усиленные концепции: аутентификацию и шифрование. Эти концепции станут клеем для наших двух рекомендованных методов безопасной беспроводной сети. Оба метода используют надежную аутентификацию, которая может основываться на клиентских сертификатах. Для более четкого понимания, читайте дальше.

Примечание. Обратитесь к разделу «Чертежи» этой книги для сетевых карт двух рекомендованных беспроводных сетевых архитектур. Легче понять беспроводные технологии, разбив их на три уровня, как показано ниже. Три уровня - это устройство, физическое, приложение и сервис.

Таблица 1 Различные слои беспроводных технологий. Эти устройства используют беспроводные технологии для связи друг с другом. Физический уровень содержит различные механизмы физического кодирования для беспроводной связи. Многие проблемы безопасности могут быть прослежены до конечного пользователя в проводных сетях. Прежде чем ваше предприятие примет новейшие беспроводные сетевые технологии, вам необходимо будет.

Понимать возможности существующих продуктов Понимать ваши сетевые потребности Понимать потенциальный риск, с которым вы сталкиваетесь Найти решение, адаптированное к вашей среде. Существуют две категории беспроводной технологии, отличающиеся расстояниями, которые они могут охватывать: беспроводную персональную сеть и беспроводную локальную сеть, как описано в следующих разделах.

Как предполагает название «личная сеть», такая сеть мала - в диапазоне около 10 метров. Следующим шагом будет выяснить, какие другие продукты и услуги вам понадобятся для настройки вашей беспроводной сети. Однако, прежде чем мы углубимся в решения, давайте посмотрим на потенциальные проблемы.

Текущие проблемы безопасности в беспроводной сети

В беспроводной сети есть два имени. Существует два разных режима беспроводной сети. Специальный режим или независимый базовый сервисный набор Режим инфраструктуры или базовый набор услуг. В этом случае мы рекомендуем разместить межсетевой экран между ними, как мы более подробно расскажем ниже.

Следите за беспроводной сетью

Проблемы, с которыми мы фокусируемся, касаются того, как хакер может атаковать вашу сеть. Методика атаки следующая. Вы можете думать об этом как о том, чтобы ходить в дом и кричать «Кто-нибудь домой?» - люди в доме могут отвечать своими именами. Первый называется маяком. Второй пакет - это запрос зонда и ответ, а третий пакет - запрос и ответ на ассоциацию. Пока хакер находится в правильном диапазоне, вы в принципе не можете скрыть свою беспроводную сеть. Конечно, существуют некоторые экстремальные методы, такие как окружающий периметр металл или другие вещества, содержащие беспроводные сигналы.

Оттуда вы можете выбрать любую доступную точку доступа для подключения. После определения беспроводной сети вы затем продолжаете анализ трафика. Анализ трафика позволяет определить, какие атаки следует запускать в беспроводной сети. Пассивная атака - это метод анализа перехваченного сетевого трафика и извлечения полезной информации из собранной исходной информации. Из-за физических свойств беспроводной сети вы можете выполнять захват трафика в любом месте до тех пор, пока сигнал достигнет вашей системы.

Вероятно, вы слышали о «нападении на автостоянку» или «вождении вождения». Как вы могли догадаться, эти методы иллюстрируют, что люди могут выполнять анализ трафика в автомобиле либо на парковке рядом с вашим зданием, либо просто водить окружающие улицы. Вероятно, лучшим сценарием для хакера и худшего для вас, системного администратора, является четкий текстовый трафик. Если нет защиты данных, передаваемых по беспроводной сети, тогда злоумышленник может легко обнюхать трафик и выполнить анализ протокола или данных позже, чтобы взломать вашу информацию на золото: данные кредитной карты, пароли и личные письма.

Если данные не защищены, то вероятность того, что остальная часть настройки сети также небезопасна. Пользователь может использовать общий секретный ключ. Недостаток фактически уменьшает пространство клавиш 64-битной клавиши до 22 бит. Таким образом, злоумышленник может собрать достаточную информацию, чтобы попытаться обнаружить ключ в автономном режиме.

Инициирующий вектор представляет собой 3-байтовое случайное число, сгенерированное компьютером. Если злоумышленник может угадать один из пакетов открытого текста, то они могут расшифровать другой пакет, зашифрованный одним и тем же ключом. Злоумышленник, который хорошо знает корпоративную интрасеть, может отправить электронное письмо в сеть. Зная содержимое этого письма, злоумышленник может затем захватить трафик с беспроводной стороны, идентифицировать пакеты, связанные с электронной почтой, и узнать ключ, в итоге создав словарь для атаки в режиме реального времени в режиме реального времени.

Аутентификация и авторизация

Это просто базовая атака, с несколькими инструментами, доступными для прослушивания и декодирования. Эта атака требует модификации любого отдельного бита трафика, чтобы нарушить связь или вызвать другие проблемы. В настоящее время существует три способа аутентификации пользователей, прежде чем они смогут установить связь с беспроводной сетью.

Проблема с открытой аутентификацией заключается в том, что если у вас нет других механизмов защиты или проверки подлинности, ваша беспроводная сеть будет полностью открыта, как указано в названии. Механизм общей секретной аутентификации аналогичен системе аутентификации с запросом и ответом.

Пользователи беспроводной сети должны пройти аутентификацию на сервере аутентификации на другом конце беспроводной сети, чтобы получить авторизацию. Единственная известная проблема безопасности заключается в том, что при отсутствии взаимной аутентификации весь протокол уязвим для знаменитой атаки «человек в середине».

Активные атаки и отказ в обслуживании

Мы просто представили большинство проблем безопасности, используя пассивные атаки; однако, есть некоторые активные атаки, которые нужно учитывать. Если злоумышленник пробовал все вышеперечисленные методы и не смог, окончательным выбором могут быть атаки на отказ в обслуживании. Такие атаки могут привести к сбою беспроводной сети и нарушить обслуживание. Мы опишем атаки с двух разных уровней: физического уровня и уровня протокола.

Существует два способа физически отключить обслуживание беспроводной сети. Злоумышленник может нарушить обслуживание с уровня протокола. Помните, что мы говорили о создании ассоциаций для использования беспроводной сети? Если вы можете создать ассоциацию, тогда должен быть способ разобраться. Если вы можете аутентифицироваться, тогда должен быть способ неавторизованного доступа. Это плохой дизайн с точки зрения протокола. Не предполагайте, что только потому, что хакер не может получить доступ к беспроводной сети, нет другого способа атаковать его.

Безопасность беспроводной сети в общественных местах

Предположим, что у вас есть беспроводная сеть, подключенная к интрасети и настроенная только для нескольких пользователей. Если какой-либо из этих интерфейсов управления не защищен, всегда есть шанс, что кто-то сможет воспользоваться настройкой по умолчанию.

Текущие меры противодействия безопасности беспроводной связи

Прежде чем вы решите убедить своего босса не создавать беспроводную сеть для своей интрасети, подумайте, как вы можете решить проблемы, которые мы изложили. Проблемы могут быть страшными, но именно поэтому вы читаете эту книгу. Как только вы узнаете методы, которые хакер может использовать для атаки на беспроводную сеть, вы можете защитить себя, закрыв эти отверстия. Если вы прочитали «Искусство войны» Сунь-Цзы, тогда вы должны знать это высказывание: «Если вы знаете врага и знаете себя, вам не нужно бояться результата сотен битв».

Включение шифрования файлов

Остальная часть главы посвящена принципам, которые вы можете принять при разработке беспроводной сети. Но единственным принципом, который вы должны постоянно помнить, является «Оборона в глубине» - философия, согласно которой вы никогда не должны зависеть от единого механизма защиты ваших ценных активов.

Проектирование безопасной беспроводной сети

Использование клиентских сертификатов может сделать почти невозможным получение доступа злоумышленником. Беспроводную сеть следует рассматривать как сеть удаленного доступа и отделенную от корпоративной интрасети. Эти методы могут защитить вашу беспроводную сеть и другие электронные устройства, но их часто следует сопоставлять с реальным риском.

• В настоящее время нет способа скрыть это от потенциального злоумышленника.
• Разделите беспроводную сеть.
• Защитите свое здание или объект от электромагнитных помех.

В таблице 9-2 перечислены некоторые плюсы и минусы каждого метода. Ссылаясь на раздел «Чертежи» этой книги, вы сможете представить себе архитектуру, которую мы здесь описываем. Этот сценарий обеспечивает простое в управлении, безопасное решение с надежной аутентификацией и шифрованием сетевого трафика. По сути, беспроводная сеть будет широко открыта, а интрасеть будет доступна только с надежной аутентификацией и шифрованием. Это может быть справедливым компромиссом для тех, кто ищет хорошее решение с меньшими затратами.

Запустите этот проект, разместив брандмауэр по периметру вашей интрасети, чтобы безопасно сегментировать беспроводную сеть. На данный момент интрасеть считается «позади» вашего брандмауэра. Конечно, если вам нужно получить доступ к интерфейсам управления, вам нужно будет добавить соответствующие правила.