Информационная безопасность беспроводных сетей.

В чём, собственно, заключается основная уязвимость беспроводных сетей? Основная уязвимость кроется в среде передачи данных. Если в сетях, использующих в качестве среды передачи данных медную проводку или оптическое волокно, вопрос перехвата данных или вторжения извне путём подключения к среде передачи данных не стоит так остро (сделать это в проводных сетях достаточно сложно, нужно, по крайней мере, иметь доступ к кабельной проводке), то в беспроводных сетях, использующих в качестве среды передачи данных общедоступный радиоэфир, эти вопросы стоят очень остро.

Как же эта проблема решается в беспроводных ЛВС? В беспроводных сетях используются специальные технологии защиты данных. В качестве алгоритма шифрования для стандарта 802.11 наиболее широко на сегодняшний день используется технология WEP (Wired Equivalent Privacy - секретность на уровне проводной связи), которая является базовым средством обеспечения безопасности в беспроводных сетях. В основе WEP лежит поточный шифр RC4, разработанный американцем Рональдом Райвестом в 1987 году, который получил широкое распространение благодаря удачному сочетанию криптографической стойкости и высокого быстродействия. С помощью WEP шифруются данные в каждом одиночном пакете, который передаётся в беспроводной сети. WEP использует общий ключ для расшифровки данных, поэтому все устройства в Вашей беспроводной сети должны использовать одинаковый ключ и тип шифрования. Минимальная длинна ключа WEP - 64 бита. C целью улучшения базового уровня защищенности некоторые производители (например, Agere Systems, D-Link, US Robotics,), предлагают использовать более длинные ключи шифрования протокола WEP- 128, 154 или даже 256 бит.

Существует два метода введения ключа WEP, один из которых (не самый простой для неподготовленного пользователя) - это введение 16-битного НЕХ-числа в поле "Key". Используя этот метод, пользователь должен ввести в поле "Key" :

- для 64-битного ключа - 10-значное HEX-число

- для 128-битного ключа - 26-значное HEX-число

- для 154-битного ключа - 32-значное HEX-число

- для 256-битного ключа - 58-значное HEX-число

Другой более простой метод состоит в введении некоторой последовательности ASCII символов, которая в дальнейшем преобразуется в ключ. Многие пользователи используют именно этот метод для задания ключа WEP.

Как правило, большинство драйверов и WEB-интерфейсов для беспроводного оборудования D-Link поддерживают оба этих метода. Однако некоторые версии программного обеспечения поддерживают только первый метод введения ключа. К сожалению, это становится непреодолимой преградой на пути к безопасной беспроводной ЛВС для многих неискушённых пользователей. Что такое шеснадцатиричное 10-значное или 26-значное число знает пока не каждый. Это становится причиной того, что WEP шифрованием пренебрегают и попросту отключают его, делая тем самым свою беспроводную сеть практически не защищённой от различного рода хакерских атак. На самом деле ввести шеснадцатиричное, например, 10-значное число совсем просто. В шестнадцатеричной системе используются цифры от 0 до 9 и первые шесть букв английского алфавита (A,B,C,D,E,F). Понятно, что обыкновенное десятичное число, состоящее из 10 цифр, может быть также и шестнадцатеричным 10-значным числом.

Всё беспроводное оборудование D-Link в полной мере позволяет построить безопасную радиосеть и, как минимум, поддерживает WEP c 64-битной длинной ключа, а все последние модели поддерживают WEP c 256-битной длинной ключа (см. таб. 1).

Модель	Стандарт	Тип устройства	Поддерживаемые технологии защиты данных
DWL-120	- 802.11b	USB	64-, 128-bit WEP
DWL-120+	- 802.11b	USB	64-, 128-, 256-bit WEP
DWL-500	- 802.11b	PCI/PCMCIA	64-, 128-bit WEP
DWL-520+	- 802.11b	PCI	64-, 128-, 256-bit WEP
DWL-650	- 802.11b	CardBUS	64-, 128-bit WEP
DWL-650+	- 802.11b	CardBUS	64-, 128-, 256-bit WEP
DCF-650W(WK)	- 802.11b	Compact Flash/PC card type II	128-bit WEP
DCF-660W(WK)	- 802.11b	Compact Flash/PC card type I	128-bit WEP
DWL-900AP+	- 802.11b	Access Point	64-,128-, 256-bit WEP
DWL-1000AP+	- 802.11b	Access Point	64-, 128-, 256-bit WEP
DWL-1700AP	- 802.11b	Access Point	64-, 128- bit WEP IEEE 802.1x port-based authentication MAC address based access control 802.11b SSID hidden Denial Wireless 802.11b “ANY” station PPPoE authentication PAP/CHAP
DWL-1750	- 802.11b	Bridge	64-, 128- bit WEP MAC address based access control 802.11b SSID hidden Denial Wireless 802.11b “ANY” station PPPoE authentication PAP/CHAP
DWL-AB520	- 802.11a - 802.11b	PCI	Advanced Encryption Security (AES) 64-, 128-, 152-bit WEP
DWL-AB650	- 802.11a - 802.11b	CardBUS	Advanced Encryption Security (AES) 64-, 128-, 152-bit WEP
DWL-6000AP	- 802.11a - 802.11b	Access Point	64-,128-,152-bit WEP MAC address based access control
DWL-G520	- 802.11g - 802.11b	PCI	64-, 128-bit WEP 802.1x WPA - Wi-Fi Protected Access *
DWL-G650	- 802.11g - 802.11b	CardBUS	64-, 128- bit WEP 802.1x WPA - Wi-Fi Protected Access *
DWL-2000AP	- 802.11g - 802.11b	Access Point	64-, 128-bit WEP 802.1x WPA - Wi-Fi Protected Access *
DI-624	- 802.11g - 802.11b	Wireless Router	64-, 128-bit WEP WPA - Wi-Fi Protected Access *
DI-774	- 802.11a - 802.11b - 802.11g	Wireless Router	64-, 128-bit WEP 802.1x WPA - Wi-Fi Protected Access * Supports Advanced Encryption Standard (AES)
DWL-7000AP	- 802.11a - 802.11b - 802.11g	Access Point	64-, 128-, 152-bit WEP
DWL-G520+	- 802.11b - 802.11b+ - 802.11g	PCI	64-, 128-, 256-bit WEP 802.1x security (MD5 and TLS) (in Windows XP only) WPA - Wi-Fi Protected Access *
DWL-G650+	- 802.11b - 802.11b+ - 802.11g	CardBUS	64-, 128-, 256-bit WEP 802.1x security (MD5 and TLS) (in Windows XP only) WPA - Wi-Fi Protected Access *
DWL-2000AP+	- 802.11b - 802.11b+ - 802.11g	Access Point	64-, 128-, 256-bit WEP 802.1x security (MD5 and TLS) MAC address based access control SSID broadcast disable WPA - Wi-Fi Protected Access *

* доступна бесплатная программная модернизация в виде прошивки или драйвера

Следует отметить, что включение шифрования отрицательно сказывается на скорости передачи данных. Однако, вопреки стереотипу, что шифрование включать не нужно из-за существенной потери скорости, реальные потери скорости совсем незначительные. Об этом свидетельствуют результаты тестирования, которые представлены ниже.

Описание теста:

- тестировалась работа CardBus адаптера DWL-AG650 и точки доступа DWL-6000AP

- точка доступа подключена к компьютеру Сeleron 600 Mhz / 256 мб ОЗУ/ ХP

- CardBus адаптер установлен в RoverBook Voyager Celeron 2 Ghz / 256 мб ОЗУ/ Win2k prof.

- Скорость передачи данных измерялась при помощи Aida32 Network BenchMark.

Из проведённых тестов видно, что с включением шифрования скорость передачи данных уменьшается, но уменьшение скорости незначительное, поэтому пренебрегать WEP шифрованием не стоит.

Технология WEP давно присутствует на рынке. Она претерпевала различные изменения и дополнения, вносимые теми или иными производителями. Это зачастую приводит к несовместимости оборудования стандарта 802.11 от различных производителей. Также, по мнению многих экспертов, назрела необходимость заменить криптографический инструментарий протокола WEP на более прочный.

На недавней выставке NetWorld+Interop 2003 в Лас-Вегасе. Специалисты Wi-Fi Alliance представили новейшую программу сертификации для устройств беспроводной локальной сети, WPA (Wi-Fi Protected Access). Как предполагается, WPA заменит широко используемую технологию защиты WEP. WPA усиливает безопасность данных и ужесточает контроль доступа в беспроводных локальных сетях, в то же время гарантируя совместимость между различным беспроводным аппаратным и программным обеспечением.

Технология WPA поддерживает стандарт 802.1X и протокол EAP (Extensible Authentication Protocol - расширенный протокол аутентификации). Кроме всего прочего WPA поддерживает шифрование по стандарту AES (Advanced Encryption Standard - усовершенствованный стандарт шифрования). От включенной в WEP реализации RC4 он выгодно отличается гораздо более стойким криптоалгоритмом, однако предъявляет повышенные требования к пропускной способности каналов связи. Ещё одним неоспоримым достоинством WPA является то, что он может работать на существующем аппаратном обеспечении стандарта 802.11 как программная модернизация.

Отличительные особенности технологии WPA :

· усовершенствованная схема шифрования данных RC4 на основе TKIP (Temporal Key Integrity Protocol - протокол краткосрочной целостности ключей).

· улучшенные механизмы контроля доступа - обязательная аутентификация 802.1x посредством протокола EAP.

· реализована модель централизованного управления безопасностью и возможность интеграции с действующими схемами корпоративной аутентификации.

· возможность облегчения установки для домашних пользователей, которые могут применить специальный режим, автоматизирующий функции настройки безопасности WPA.

WPA уже находит поддержку и в операционных системах. Совсем недавно корпорация Microsoft выпустила специальную заплату для Windows XP, обеспечивающую взаимодействие клиентов с адаптерами 802.11. Правда, для этого нужно, чтобы клиент работал под управлением XP со служебным пакетом SP1, а адаптер использовал Wireless Zero Configuration - сервис Windows XP, выполняющий автоматическую конфигурацию беспроводных сетевых устройств.

В Windows Server 2003 реализация WPA не предусмотрена, но, как заявили представители Microsoft, она будет включена в первый же служебный пакет к ней.

"D-Link включает поддержку стандарта безопасности WPA во все основные линейки оборудования для беспроводных сетей; у пользователей, имеющих уже установленное беспроводное оборудование D-link, будет возможность бесплатно получить обновление программного обеспечения. Стандарт WPA включает самые последние технологии безопасности и гарантирует, что беспроводные сети будут защищены от вторжения", - сказал Джо Стивен (Joe Steven), президент D-Link.

Начиная со 2 квартала 2003 года, технология WPA поддерживается в продуктах D-Link, и доступна пользователям в виде бесплатного обновления в новых версиях программного обеспечения (см. таб. 1). Для обеспечения нового уровня безопасности беспроводных сетей поддержка алгоритма WPA добавлена в основные линейки оборудования D-Link: AirPlus, AirPremiere, AirPlus Xtreme G и AirXpert AGB.

В целом же относительно WPA можно сказать следующее. Там, где уже развернуты большие беспроводные ЛВС, всё-таки стоит перевести их на этот протокол, когда появятся обновления прошивок и драйверов для используемого оборудования, - это мгновенно повысит уровень защищенности сети.