2.3 Використання Wi-Fi

Поширеним типом бездротових комунікацій є бездротові локальні мережі (Wireless Local Area Network, WLAN), які також називають Wi-Fi мережами, - по назві асоціації (форуму) виробників відповідного цій технології устаткування - Wireless Fidelity (висока бездротова якість). Основне призначення таких систем, що відповідають стандартам сімейства, 802.11, - розгортання бездротових мереж усередині приміщень, хоча не виключено їх використання на обмежених відкритих майданчиках, наприклад, університетських кампусних територіях. Найчастіше такі мережі розгортають в переговорних кімнатах, кабінетах керівництва, залах засідань компаній, складських приміщеннях і торгових залах, а іноді і охоплюють ними всю територію підприємства. Також набирають популярність публічні бездротові мережі в готелях, аеропортах, кафе, ресторанах, виставкових залах і ін. - хот-споти. (Хотспоти (Hot Spot) - суспільні місця - аеропорти, торгові і ділові центри, кафе, клуби, - обладнані пристроями доступу до бездротових мереж передачі даних. Хотспотами іноді є транспортні засоби: літаки, кораблі, поїзди.) Типовий радіус дії таких систем - порядка 100 метрів, а базова послуга - доступ у Інтернет або корпоративну мережу.

2.3.1 Стандарти технології Wi-Fi

Для передачі даних Wi-Fi використовує частоти 2,4 Ггц і 5 Ггц. На сьогоднішній день стандартами є 802.11a, 802.11b, 802.11g і 802.11n. Зв'язок забезпечується в радіусі 80 - 300 метрів від стандартної точки доступу на відкритій місцевості. За наявності сильніших антен або підсилювачів сигналу передача даних може здійснюватися на відстань до 20 километрів.

За сумісністю продуктів різних виробників Wi-Fi стежить група Wi-Fi Alliance, колишня WECA, в яку входять понад 80 найбільших компаній, такі як Cisco, Lucent, 3com, IBM, Intel, Apple, Compaq, Dell, Fujitsu, Siemens, Sony, AMD і ін.

Wi-Fi використовує дві технології формування широкосмугового сигналу в частотній (FHSS) і тимчасовій (DSSS) областях. Різні стандарти при цьому не забезпечують повної сумісності. Виходом в даній ситуації можуть стати комбіновані пристрої.

Комп'ютерні корпоративні мережі в основному засновані на пристроях Wi-Fi, що використовують стандарти 802.11b і 802.11g. Крім цього розробляється новий стандарт 802.11n, який, можливо, незабаром стане основним.

802.11g Стандарт 802.11g використовує схему мультиплексування OFDM, що дозволило досягти пропускної здатності 54 Mbps. Це найбільш просунутий з поширених форматів. Він прийшов на зміну 802.11b і підтримує в п'ять разів вищу швидкість передачі даних і набагато розвиненішу систему захисту. «Звичайний» 802.11g підтримує до 54mbps, а при використанні технології 802.11g+ (SUPERG) - 100, 108 або навіть 125 Mbps. Так само значно зріс рівень безпеки безпровідних мереж на цьому стандарті. При грамотній настройці, його можна оцінити як високий. Даний стандарт підтримує використання протоколів шифрування WPA і Wpa2, які надають набагато вищий рівень захисту, ніж протокол WEP, що використовується в стандарті 802.11b.

• Максимальна швидкість 54 Mbps, до 125 Mbps

• Радіус дії мережі 50 м

• Протокол забезпечення безпеки WEP, WPA, Wpa2

• Високий рівень безпеки

802.11n

Цей стандарт з'явився недавно, і його розповсюдження тільки починається.

• технології 2,4 ГГц (у проекті стандарту передбачається підтримка смуги 5 ГГц);

• розширена область дії і пропускна здатність пропускна здатність;

• зворотна сумісність з обладнанням існуючих стандартів 802.11g і 802.11b (у проекті стандарту передбачається підтримка 802.11a ).

Один із способів обмеження доступу в бездротову мережу - визначити пристроям різний рівень привілеїв доступу в мережу. Для цього застосовується фільтрація MAC -адрес.

Фільтрація MAC- адрес

Фільтрація MAC- адрес дозволяє задати перелік пристроїв, які мають дозвіл на з'єднання з бездротовою мережею, за допомогою їх MAC -адрес. При кожній спробі бездротового клієнта встановити з'єднання або асоціюватися з точкою доступу він повинен передати свою MAC- адресу. Якщо включена функція фільтрація по MAC- адресами, то бездротовий маршрутизатор або точка доступу виконає пошук MAC-адреси цього пристрою за своїм попередньо заданому списку. Дозвіл на з'єднання отримають тільки ті пристрої, чиї MAC-адреси були заздалегідь прописані в базі даних маршрутизатора.

Якщо MAC-адреса не знайдена в базі даних, буде відмовлено у встановленні з'єднання або в доступі в бездротову мережу.

Такий тип забезпечення безпеки має деякі недоліки. Наприклад, він припускає, що MAC- адреси всіх пристроїв, яким повинен бути наданий доступ в мережу, включені в базу даних до того, як буде виконана спроба з'єднання. Пристрій, не розпізнаний по базі даних, не зможе виконати з'єднання. При цьому зломщик може створити клон MAC-адреси пристрою, що має доступ в мережу.

Інший спосіб адміністрування доступу - аутентифікація. Аутентифікація - це надання дозволу на вхід в мережу за результатами перевірки автентичності набору облікових даних. Її мета - з'ясувати, чи є пристрій, що намагається встановити з'єднання, довіреною пристроєм.

Найбільш поширена аутентифікація по імені користувача і паролю. У бездротовому середовищі аутентифікація дозволяє виконати перевірку автентичності підключеного вузла , але процес перевірки виконується дещо по -іншому. Якщо включена функція аутентифікації, то вона повинна бути виконана до того, як клієнтові буде надано дозвіл на підключення до мережі WLAN. Існує три групи методів аутентифікації бездротових мереж: обрив аутентифікації, PSK і EAP.

Відкрита аутентифікація

За замовчуванням для бездротових пристроїв аутентифікація не потрібна. Всім пристроям дозволено встановлювати з'єднання незалежно від їх типу та принадлежності. Це називається відкритою аутентифікацією. Відкрита аутентифікація повинна використовуватися тільки в загальнодоступних бездротових мережах, наприклад, в школах та Інтернет- кафе (ресторанах). Вона може використовуватися в мережах, де аутентифікація буде виконуватися іншими засобами після підключення до мережі .

Режим попередніх ключів (Pre-shared keys, PSK)

При використанні режиму PSK точка доступу і клієнт повинні використовувати загальний ключ або кодове слово. Точка доступу відправляє клієнту випадковий рядок байтів. Клієнт приймає цей рядок, шифрує його (або скремблирує), використовуючи ключ, і відправляє її назад в точку доступу. Точка доступу отримує зашифрований рядок і для його розшифровки використовує свій ключ. Якщо розшифрований рядок, прийнятий від клієнта, збігається з вихідним рядком, відправленого клієнту, то клієнту дається дозвіл встановити з'єднання.

PSK виконує односторонню аутентифікацію, тобто, точка доступу перевіряє справжність підключення вузла. PSK не має на увазі перевірки вузлом автентичності точки доступу, а також не перевіряє автентичності користувача, який підключається до вузла.

Розширюваний протокол перевірки автентичності (Extensible Authentication Protocol, EAP)

EAP забезпечує взаємну або двосторонню аутентифікацію, а також аутентифікацію користувача. Якщо на стороні клієнта встановлено програмне забезпечення EAP, клієнт взаємодіє з внутрішнім сервером аутентифікації, таким як сервер дистанційної аутентифікації мобільного користувача комутованої мережі (RADIUS). Цей обслуговуючий сервер працює незалежно від точки доступу і веде базу даних користувачів, які мають дозвіл на доступ в мережу. При застосуванні EAP користувач, а не тільки вузол, повинен пред'явити ім'я і пароль, які потім перевіряються по базі даних сервера RADIUS. Якщо пред'явлені облікові дані є допустимими, користувач розглядається як той, що пройшов перевірку автентичності.

Якщо функція аутентифікації включена , то незалежно від застосовуваного методу клієнт повинен успішно пройти аутентифікацію до того, як йому буде надано дозвіл на вхід в точку доступу. Якщо включені функції аутентифікації й фільтрації MAC- адрес, то в першу чергу виконується аутентифікація .

Якщо аутентифікація пройшла успішно, точка доступу потім перевіряє MAC- адресу по таблиці MAC -адрес. Після виконання перевірки точка доступу додає MAC-адресу цього вузла в свою таблицю вузлів. Таким чином, передбачається, що клієнт асоційований з точкою доступу і має дозвіл на підключення до мережі .

Аутентифікація і фільтрація MAC-адрес можуть блокувати зломщикові доступ в бездротову мережу, але не зможуть запобігти перехоплення переданих даних. Оскільки не існує чітких меж бездротових мереж і весь трафік передається без проводів, то зломщик може легко перехоплювати або прочитати кадри даних бездротової мережі. Шифрування - це процес перетворення даних таким чином, що навіть перехоплення інформації виявляється марним.

Протокол конфіденційності, еквівалентної дротового зв'язку - Wired Equivalency Protocol (WEP )

Протокол WEP - це вдосконалений механізм безпеки, що дозволяє шифрувати мережевий трафік в процесі передачі. У протоколі WEP для шифрування і розшифровки даних використовуються попередньо налаштовані ключі.

WEP - ключ вводиться як рядок чисел і букв довжиною 64 або 128 біт. У деяких випадках протокол WEP підтримує 256 - бітові ключі . Для спрощення створення і введення цих ключів в багатьох пристроях використовуються фрази - паролі. Фраза - пароль - це простий засіб запам'ятовування слова чи фрази , що використовуються при автоматичній генерації ключа.

Для ефективної роботи протоколу WEP точка доступу, а також кожне бездротовий пристрій, що має дозвіл на доступ в мережу, повинні використовувати загальний WEP - ключ. Без цього ключа пристрої не зможуть розпізнати дані, передані по бездротової мережі.

Протокол WEP - це ефективний засіб захисту даних від перехоплення. Проте, протокол WEP також має свої слабкі сторони, одна з яких полягає у використанні статичного ключа для всіх пристроїв з підтримкою WEP. Існують програми, що дозволяють зломщикові визначити WEP - ключ. Ці програми можна знайти в мережі Інтернет. Після того, як зломщик отримав ключ, він отримує повний доступ до всієї інформації, що передається.

Одним із засобів захисту від такої вразливості є часта зміна ключів. Існує вдосконалене і безпечний засіб шифрування - протокол захищеного доступу Wi-Fi (Wi- Fi Protected Access, (WPA )).

Захищений доступ до Wi -Fi ( WPA)

У протоколі WPA використовуються ключі шифрування довжиною від 64 до 256 біт. При цьому WPA, на відміну від WEP, генерує нові динамічні ключі при кожній спробі клієнта встановити з'єднання з точкою доступу. З цієї причини WPA вважається більш безпечним, ніж WEP, так як його значно важче зламати.