9.5. Обеспечение безопасности

Соблюдение правил безопасности является одной из самых важных компонентов поддержки любой беспроводной сети и настройки клиентских компьютеров, а также точки доступа. Дело в том, что излучение точки доступа, которая обеспечивает работу данной сети, в принципе может быть зарегистрировано и использовано любым компьютером, имеющим в составе беспроводной адаптер, который окажется в зоне приема сигналов. Поэтому для обеспечения безопасности такой сети методов аутентификации оказывается совершенно недостаточно. Для того чтобы не допустить посторонних пользователей в свою локальную беспроводную сеть используется также дополнительное шифрование данных. Наиболее распространены в настоящее время три метода шифрования:

Исторически, первым методом является механизм обеспечения безопасности под названием «Эквивалентная проводной конфиденциальность», WEP - это метод шифрования на покадровой основе. Здесь применяется вектор инициализации IV длиной 64 или 128 разрядов в сочетании с секретным ключом, который использует каждая беспроводная станция для генерации псевдослучайной числовой последовательности. Эта последовательность побитно складывается с открытой информацией и, в результате, получается шифрованные данные. Вектор IV обеспечивает шифрование каждого кадра данных независимо от соседних кадров. Он передается в открытом виде сразу за заголовком кадра и используется на клиентском компьютере для расшифровки данных. Недостатки этого метода:

• Вектор IV – имеет в лучшем случае 128 разрядов, что для современного состояния развития аппаратного и программного обеспечения техники шифрования слишком мало;

• В устанавливаемом программном обеспечении WEP по умолчанию отключен, и по беспечности пользователей, его обычно не включают, что упрощает взлом системы;

• Данный метод шифрования относится к группе линейных методов, которые сравнительно легко взламываются (достаточно иметь для анализа около миллиона пакетов).

Для его усиления в настоящее время применяется динамическое изменение секретного ключа с определенной частотой.

Вторым методом, получающим в настоящее время все более широкое распространение, является более продвинутый метод WPA. WPA является современной мощной, основанной на дополнении к стандарту IEEE 802.11i, технологией безопасности для сетей Wi-Fi.

Технология WPA состоит из нескольких компонентов:

• протокол 802.1x - универсальный протокол для аутентифи­кации, авторизации и учета (AAA)

• протокол EAP - расширяемый протокол аутентификации (Extensible Authentication Protocol);

• протокол TKIP - протокол временнОй целостности клю­чей, иначе называемый - протоколом целостности ключей во времени (Temporal Key Integrity Protocol);

• MIC - криптографическая проверка целостности пакетов (Message Integrity Code)

• протокол RADIUS, который включает в себя также про­граммное обеспечение, позволяющее точке доступа и ра­бочим станциям в беспроводной сети провести взаимную аутентификацию и авторизовать их для обмена данными. Протокол RADIUS позволяет хранить все профили в од­ной центральной базе данных, которой могут пользоваться все точки доступа. Это обеспечивает повышенную надеж­ность и безопасность работы беспроводных сетей. Техно­логия RADIUS в настоящее время является практически стандартом, принятым большинством компаний, произво­дителей беспроводное сетевое оборудование.

За шифрование данных в WPA отвечает протокол TKIP, который, хотя и использует тот же алгоритм шифрования - RC4 - что и в WEP, но в отличие от последнего, использует динамические ключи (то есть ключи часто меняются). Он применяет более длинный вектор инициализации и использует криптографическую контрольную сумму (MIC) для подтверждения целостности пакетов, которая является функцией от адреса источника, адреса назначения, а также поля данных.

Если в сети отсутствует RADIUS-сервер, то роль сервера аутентификации выполняет сама точка доступа - так называемый режим WPA-PSK (pre-shared key, общий ключ). В этом режиме в настройках всех точек доступа заранее прописывается общий ключ. Он же прописывается и на клиентских беспроводных устройствах. Такой метод защиты тоже довольно безопасен (относительно WEP), но очень не удобен с точки зрения управления. Ключ PSK требуется прописывать на всех беспроводных устройствах, пользователи беспроводных устройств его могут видеть. Если потребуется заблокировать доступ какому-то клиенту в сеть, придется заново прописывать новый PSK на всех устройствах сети, что является весьма трудоемкой и ответственной операцией. Другими словами, режим WPA-PSK подходит для домашней сети и, возможно, небольшого офиса, но не более того.

Третий метод основан на использовании физического (MAC) адреса самого компьютера – участника беспроводной сети. В сетях с использованием такого метода нет необходимости использовать какие-либо пароли, поскольку в ее работе позволено участвовать только компьютерам с зарегистрированным (учтенным) MAC адресом, который также используется для шифровки/дешифровки сообщений внутри сети. Этот метод весьма эффективен с точки зрения безопасности. Недостатком его является необходимость «прописывания» новых компьютеров, добавляемых в состав беспроводной сети, то есть добавления его MAC адреса в перечень разрешенных, что очень неудобно при использовании мобильной техники – ноутбуков или карманных персональных компьютеров.