Деякі питання безпеки у wi-fi – мережах

Бездротова мережа є однією з найвразливіших мереж і якщо не вжити заходів стосовно забезпечення її безпеки бездротової можливий ряд потенційно небезпечних ситуацій, серед яких можна виділити такі:

• зловмисник може перехопити дані, що передаються або одержуються користувачем;

• зловмисник може отримати доступ до певної бездротової мережі;

• канал доступу в інтернет може бути захоплений іншою особою.

Таким чином, якщо Ваша бездротова мережа не захищена, зловмисник може перехопити дані, що передаються по ній, отримати доступ до Вашої мережі і файлів на Вашому комп'ютері, а також виходити в інтернет, використовуючи Ваше підключення. Крім того, зловмисник може зайняти Ваш канал передачі даних і уповільнити Ваш доступ в інтернет, поглинаючи трафік, який Ви оплатили і який може бути обмежений умовами провайдера.

Отже, розглянемо деякі заходи, що дозволяють підвищити захищеність бездротової мережі.

WEP (Wired Equivalent Privacy) - алгоритм для забезпечення безпеки мереж Wi-Fi (Був ухвалений в 1997 році в IEEE). WEP використовується для забезпечення конфіденційності та захисту даних авторизованих користувачів бездротової мережі від прослуховування.

У жовтні 2000-го року вийшла стаття Джессі Уолкера «Unsafe at any key size; An analysis of the WEP encapsulation», що описує проблеми алгоритму WEP і атаки, які можуть бути організовані з використанням його вразливостей. В алгоритмі є безліч слабких місць:

• механізми обміну ключами та перевірки цілісності даних,

• мала розрядність ключа і вектора ініціалізації (Initialization vector),

• спосіб аутентифікації,

• алгоритм шифрування.

Існує два різновиди WEP: WEP-40 і WEP-104 (остання з’явилась у 2001 р.), які розрізняються тільки довжиною ключа. Хоча специфікація WEP-104 має справу з довшим ключем вона не вирішила проблеми, оскільки довжина вектора ініціалізації і спосіб перевірки цілісності даних залишилися такими як і були раніше.

Зауважимо, що злом WEP-мереж може бути здійснено за кілька хвилин, тому зараз для безпеки в мережах Wi-Fi рекомендується використовувати WPA.

У 2004 році IEEE схвалив нові механізми WPA і WPA2. У 2008 році ви-йшов стандарт DSS (Data Security Standard) комітету SSC (Security Standards Council) організації PCI (Payment Card Industry), в якому рекомендується припинити використовувати WEP для шифрування після 30 червня 2010 року. WPA и WPA2 (Wi-Fi Protected Access) – це оновлена програма сертифікації пристроїв бездротового зв'язку, що прийшла на заміну WEP. Перевагами WPA є посилена безпека даних і посилений контроль доступу до бездротових мереж. Важливою характеристикою є сумісність між множиною бездротових пристроїв як на апаратному рівні, так і на програмному.

Wi-Fi Alliance дає таку формулу для визначення суті WPA:

WPA = 802.1X + EAP + TKIP + MIC

WPA2 визначається стандартом IEEE 802.11i, прийнятим у червні 2004 року, і призначений для заміи WPA. У ньому реалізовано CCMP і шифрування AES, за рахунок цього WPA2 став більш захищеним, ніж його попередник (ССМР – Counter Mode with Cipher Block Chaining Message Authentication Code Protocol – протокол блокового шифрування з кодом аутентичності повідомлення і режимом зчеплення блоків та лічильника). З 13 березня 2006 підтримка WPA2 є обов'язковою умовою для всіх сертифікованих Wi-Fi пристроїв.

Навіть не беручи до уваги той факт що попередник WPA алгоритм WEP не володіє механізмами аутентифікації користувачів, його ненадійність полягає, перш за все, в криптографічній слабкості алгоритму шифрування. Ключова проблема WEP полягає у використанні дуже схожих ключів для різних пакетів даних. TKIP, MIC і 802.1X дозволили посилити шифрування даних мереж, що використовують WPA.

TKIP (Temporal Key Integrity Protocol) – протокол інтеграції тимчасового ключа у протоколі захищеного бездротового доступу WPA був запропонований Wi-Fi Alliance для заміни вразливого протоколу WEP при збереженні інстальованої бази бездротового обладнання заміною програмного забезпечення. TKIP увійшов до стандарту IEEE 802.11i. ТKIP відповідає за збільшення розміру ключа з 40 до 128 біт, а також за заміну одного статичного ключа WEP ключами, які автоматично генеруються і розсилаються сервером аутентифікації. Крім того, в TKIP використовується спеціальна ієрархія ключів та методологія керування ключами, яка прибирає зайву передбачуваність, що використовувалася для несанкціонованого зняття захисту WEP ключів. Сервер аутентифікації, після отримання сертифіката від користувача, використовує 802.1X для створення унікального базового ключа для сеансу зв'язку. TKIP здійснює передачу згенерованого ключа користувачеві і точці доступу, після чого вибудовує ієрархію ключів плюс систему управління. Для цього використовується двосторонній ключ для динамічної генерації ключів шифрування даних, які в свою чергу використовуються для кодування кожного пакету даних. Подібна ієрархія ключів TKIP замінює один ключ WEP (статичний) на 500 мільярдів можливих ключів, які будуть використані для шифрування даного пакета даних.

MIC. Іншим важливим механізмом є перевірка цілісності повідомлень MIC (Message Integrity Check). Її використовують для запобігання перехоплення пакетів даних, зміст яких може бути змінено, а модифікований пакет знову переданий по мережі. MIC побудована на основі потужної математичної функції, яка застосовується на стороні відправника і одержувача, після чого порівнюється результат. Якщо перевірка показує на розбіжність результатів обчислень – дані вважаються помилковими і пакет відкидається. При цьому механізми шифрування, які використовуються для WPA та WPA-PSK, є ідентичними. Єдина відмінність WPA-PSK полягає в тому, що аутентифікація проводиться з використанням пароля, а не за сертифікатами користувача.

Перевірка справжності 802.1X дозволяє підвищити рівень безпеки для бездротових мереж стандарту 802.11 і дротових мереж Ethernet. 802.1X за допомогою сервера перевірки автентичності, здійснює перевірку користувачів і надає доступ до мережі. У бездротових мережах перевірка справжності 802.1X може застосовуватися разом з ключами протоколу WEP або WPA. Такий тип перевірки автентичності зазвичай застосовується при підключенні до мережі підприємства.

EAP (Extensible Authentication Protocol) – розширювана інфраструктура автентифікації, що визначає формат посилки і описана документом RFC 3748. Стандарти WPA і WPA2 підтримують п'ять типів EAP як офіційні інфраструктури автентифікації (всього існує близько 40 типів EAP, з яких для бездротових мереж використовуються EAP-TLS, EAP-SIM, EAP-AKA, PEAP, LEAP та EAP-TTLS).