Sieci bezprzewodowe. Wstęp do sieci bezprzewodowych

Transkrypt

1 Sieci bezprzewodowe Wstęp do sieci bezprzewodowych

2 Wprowadzenie Sieci bezprzewodowe redefiniują sposób w jaki świat patrzy na sieci komputerowe Łączność już nie wymaga fizycznego podłączania się jak głosi termin WLAN Dostarczają użytkownikowi te wszystkie cechy i korzyści jakie niosły ze sobą do tej pory tradycyjne kablowe sieci LAN eliminując podstawowe ich ograniczenie: konieczność stosowania okablowania Most (Bridge) WLAN sygnał Punkt dostępowy Access Point (AP) Anteny WLAN 4

3 Czy na pewno koniec z kabelkami? No nie do końca... Systemy bezprzewodowe nie całkiem są bezprzewodowe. Urządzenia bezprzewodowe, siłą rzeczy, są jak do tej pory zawsze częścią tradycyjnych przewodowych sieci LAN Od urządzeń bezprzewodowych wymaga się na ogół więcej niż od tradycyjnych urządzeń LAN : muszą umieć kodować, dekodować, kompresować, dekompresować, transmitować i odbierać sygnał bezprzewodowy. Złożoność wymagań stawianych przed urządzeniami bezprzewodowymi spowodowała iż pierwsze generacje tych urządzeń cechowały się niewielką szybkością transmisji, brakiem standardów i w konsekwen brakiem popularności Komisja IEEE i organizacja Wi-Fi Alliance 5

4 Komisja IEEE i organizacja Wi-Fi Alliance IEEE Projektowanie specyfikacji dla wysokiej wydajności sieci WLAN Bezpieczeństwo bezprzewodowe, międzyoperacyjność, jakość usług QoS CERTYFIKACJA WLAN PRZEZ WiFI ALLIANCE Certyfikat międzyoperacyjności Testy zgodności Pieczęć akceptacji Wielu założycieli, w tym Cisco, 3com, Nokia, Sony, AMD, Intel, inni ( ponad 300 ) 6

5 Zalety WLAN w kontekście założeń Mobilność Skalowalność Elastyczność Krótko- i długoterminowa oszczędność kosztów Niezawodność w trudnych warunkach Znacznie zredukowany czas instalacji 7

6 Zalety bezpośrednie dla użytkownika Gdy wymagana jest szybkość transmisji zbliżona do klasycznych sieci LAN gdy pojawiają się okazjonalni użytkownicy infrastruktury sieciowej i tymczasowe komórki organizacyjne gdy pojawia się częsta konieczność rekonfiguracji fizycznego układu sieci gdy pojawia się gwałtowny rozrost organizacji gdy wykorzystywany jest szerokopasmowy dostęp do internetu gdy pojawia się konieczność szybkiego spięcia sieci MAN 8

7 Media transmisyjne 11

8 Komponenty WLAN Infrastruktura budynku: Pomosty : 14

9 Komponenty WLAN Klienci: Anteny : 15

10 Karta sieciowa WLAN 16

11 Punkt dostępowy AP ( Access Point ) 17

12 Pomost bezprzewodowy AP ( WLAN Bridge ) 18

13 Anteny 19

14 Inne urządzenia WLAN 20

15 Topologie WLAN WLAN jako rozszerzenie przewodowej sieci LAN 22

16 Topologie WLAN WLAN jako sieć metropolitalna MAN 23

17 Problemy i wyzwania słowem wstępu W przypadku niewłaściwej topologii sieci może nastąpić interferencja sygnału przy wykorzystywaniu tego samego kanału transmisyjnego Problem może wystąpić na silnie zurbanizowanych obszarach miast 26

18 Problemy i wyzwania słowem wstępu Pobór mocy był zawsze problemem z punktu widzenia urządzeń mobilnych ze względu na konieczność wykorzystywania ogniw bateryjnych o o o Constant awake mode (CAM) Power save mode (PSP) Fast power save mode (FastPSP) 27

19 Zgodność sprzętowa międzyoperowalnośc 28

20 Bezpieczeństwo sieci Sieci bezprzewodowe z łatwością przenikają przez ściany, sufity i podłogi. Fakt ten może być z łatwością wykorzystany prze niepowołane osoby 29

21 Problemy instalacyjne 30

22 Standardy Standaryzacja zawsze niesie za sobą korzyści : Zgodność sprzętową urządzeń różnych producentów Szybszy rozwój platform WiFI Stabilność rozwiązań Łatwość aktualizacji i rozszerzeń Redukcję kosztów 34

23 Standardy

24 Standardy

25 Standardy oryginalny Pierwszym standardem sieci radiowej był IEEE opublikowany w 1997 roku. Dziś dla odróżnienia od rodziny oznacza się go jako 802.1y. Standard ten określał dwie prędkości transmisji 1 oraz 2 Mb/s. Medium miało być promieniowanie podczerwone oraz wykorzystywany w przemyśle i medycynie zakres częstotliwości 2,4 GHz. Podczerwień się nie przyjęła ze względu na konkurencję standardu IrDA. Dalsze prace na WiFi szybko doprowadziły do powstania standardu b. 37

26 Standardy b Standard b wykorzystuje częstotliwość 2.4 GHz, posiada zasięg 46 m w pomieszczeniu i 96 m na otwartej przestrzeni. Standardowe anteny wykorzystywane w urządzeniach b pozwalają zwykle na przekaz z prędkością 11 Mb/s. Sprawność protokołu obniża tą prędkość do 5,5 Mb/s. Jednak materiały takie jak metal, woda lub beton znacznie pochłaniają fale i obniżają jakość sygnału. Produkowane masowo urządzenia b obsługują szybkość 11 Mb/s, ale prędkość można obniżyć do 5,5Mb/s, 2Mb/s oraz 1 Mb/s. Niektórzy producenci wprowadzili własne produkty dające prędkość 22, 33 oraz 44 Mb/s oparte na standardzie. Swoją modyfikację nazwali b+, ale nigdy nie stała się ona standardem uznanym przez IEEE. Często też powoduje problemy w nawiązaniu połączeń z innymi urządzeniami które nie obsługują tego rozszerzenia. 38

27 Standardy a Dopiero w roku 1999 ostatecznie ustalono specyfikację a. Do produkcji urządzenia zgodne ze standardem weszły w roku a wykorzystuje częstotliwość 5GHz. Jego podstawowa prędkość to 54 Mb/s, ale w praktyce działa najlepiej w granicach 20 Mb/s. Mniejsze dopuszczalne prędkości to 48, 36, 34, 18, 12, 9 oraz 6 Mb/s a obejmuje 12 niezachodzących kanałów, 8 przeznaczonych do pracy w budynkach oraz 4 przeznaczone do pracy między dwoma punktami (ang. point to point). Istniały pewne próby uregulowania tego zakresu częstotliwości przez niektóre kraje, ale dziś większość państw pozwala na niekoncesjonowane wykorzystanie pasma dla a. 39

28 Standardy g W czerwcu 2003 roku ostatecznie uznano standard g. Pracuje on podobnie jak b na częstotliwości 2,4 GHz, ale pozwala na transfer z prędkością 54 Mb/s. Standard g jest całkowicie zgodny w dół ze standardem b. Jednak wykorzystanie starszych urządzeń powoduje w praktyce redukcję prędkości do 11 Mb/s. Wielu producentów wprowadziło w swoich urządzeniach opcję Super G pozwalającą na łączenie pasma kilku kanałów w jedno. Dzięki wykorzystaniu Super G udało się osiągnąć prędkość 108 Mb/s. 40

29 Standardy n W styczniu 2004 IEEE ogłosiło rozpoczęcie prac nad nowym standardem n. Ma on obejmować rozległe sieci bezprzewodowe. Prędkości rzędu 100 Mb/s albo nawet 250 Mb/s mają stać się w pełni dostępne. Do tego celu zostanie prawdopodobnie wykorzystana technologia MIMO (Multiple Input, Multiple Output) wykorzystująca wiele fizycznych kanałów transmisyjnych do stworzenia jednego połączenia. Zapowiedziano też zwiększenie zasięgu. 41

30 Mniej istotne standardy IEEE c - opisuje sposób działania bezprzewodowych mostów pomiędzy sieciami IEEE d - opisuje sposób implementacji łączności bezprzewodowej w poszczeglnych krajach IEEE e - wprowadzenie QoS oraz inteligentnego zarządzania pakietami (ang. packet bursting) w transmisji strumieniowej standardów a, g i h IEEE f - definiuje roaming w sieciach a, g i h przy zastosowaniu protokołu IAPP IEEE h - Europejski odpowiednik a w paśmie 5 GHz, z użyciem(dcs/dfs) oraz TPC IEEE i (WPA2) - (ogłoszony 24 czerwca 2004) rozszerzenie bezpieczeństwa z użyciem szyfrowania i uwierzytelnienia za pomocą EAP, Radius, Kerberos, Rijnadel AES i 802.1x IEEE j - modyfikacja a na potrzeby Japonii zawierająca dodatkowe kanały ponad 4,9 GHz IEEE k - definiuje protokół wymiany informacji pomiędzy punktami dostępowymi a ich klientami zawierających opis ich możliwości IEEE xx - opisuje sposób działania bezprzewodowych oraz inteligentnego zarządzania pakietami XXJE2R 42

31 Dwa tryby pracy: tryb ad-hoc 51

32 Dwa tryby pracy: tryb infrastructure 52

33 Topologie bezprzewodowe - komponenty 4

34 Topologie bezprzewodowe Mosty Grup Roboczych 5

35 Topologie bezprzewodowe przykłady WAN i MAN Sieć metropolitalna spięta technologią bezprzewodową Między-budynkowa sieć odseparowana fizycznie przy pomocy mostów 6

36 Topologie bezprzewodowe LAN (BSS->ESS) 7

37 Topologie bezprzewodowe - Repeater ~50% Przy każdym dopiętym AP jako regeneratorze sygnału transfer w sieci spada o 50% 8

38 Topologie bezprzewodowe top. nadmiarowa 9

39 Topologie bezprzewodowe równoważenie obciążeń 10

40 Topologie bezprzewodowe AP zapasowy (w gotowości) 11

41 Topologie bezprzewodowe Roaming Klient wysyła żądanie podłączenia do sieci i natychmiast dostaje odpowiedź od wszystkich AP które są w jego zasięgu Decyzja o podłączeniu następuje po przeanalizowaniu jakości sygnału, siły, liczby podłączonych już userów i odległości od sieci szkieletowej Gdy przypisanie do AP zostanie zrealizowane, adres MAC klienta zostaje umieszczony w tablicy tego AP. Jeśli klient nie zostanie przypisany poszukuje innego AP, a w ostateczności zmniejsza szybkość transmisji i próbuje ponownie. Po przypisaniu klienta do AP, jego adres MAC po umieszczeniu w tablicy jest przekazywany rozgłoszeniowo w sieć 12

42 Topologie bezprzewodowe pokrycie obszarowe 1 Ft = ~ 30,5 cm 13

43 Topologie bezprzewodowe pokrycie obszarowe strategie 1 Ft = ~ 30,5 cm 14

44 Topologie bezprzewodowe urządzenia WLAN i tryb Root 15

45 Topologie bezprzewodowe połączenie Punkt-Punkt trunking 16

46 Topologie bezprzewodowe połączenie Punkt - Wiele Punktów 17

47 Topologie bezprzewodowe ograniczenia zasięgu

48 Mosty WLAN - aplikacje łączą bezprzewodowo, z separacją segmenty sieci z dużą szybkością, czasem na duże odległości alternatywa dla E1, T1 i innych infrastruktur kablowych zastosowania w organizacjach o złożonej strukturze: np. kampusy, sieci sklepów bardzo szybki rozwój i malejący koszt 25

49 Znaczenie bezpieczeństwa! O tym, jak w praktyce wygląda bezpieczeństwo sieci WLAN, przekonali się uczestnicy konferencji AirDefense w 2003 r., poświęconej niczemu innemu jak właśnie kwestiom bezpieczeństwa w sieciach bezprzewodowych. Ze względu na specyfikę konferencji ruch w eterze ściśle monitorowano. Rezultaty były alarmujące! W ciągu tylko jednego dnia konferencji zarejestrowano 21 ataków typu man-inthe-middle, w większości przypadków mających na celu przejęcie połączeń uczestników konferencji ze swoimi firmami macierzystymi. Co ciekawe, aż 16 z 21 ataków się powiodło. Oprócz tego zaobserwowano 33 ataki na protokoły uwierzytelniania użytkowników podłączających się do sieci bezprzewodowych - głównie próby zgadnięcia haseł w protokołach EAP (Extensible Authentication Protocol) i Cisco LEAP (Lightweight Extensible Authentication Protocol). Próby zakłócenia pracy AP były podejmowane 75 razy, zaś adresy MAC fałszowano 125 razy. Czy to przypadek??? 2

50 Podatność sieci WLAN na różne niebezpieczeństwa większość ataków sieciowych wykorzystuje słabe punkty technologii , gdyż sprawy bezpieczeństwa w tych sieciach są zagadnieniem relatywnie nowym : brak wykorzystywania nowych rozwiązań bezpieczeństwa w istniejących biznesowych instalacjach WLAN pozostawiane są domyślne zabezpieczenia (hasła, itp.) byle tylko łączność była wiele osób ma pozostawioną możliwość grzebania w AP Istnieją grupy osób, które z niezwykłą gorliwością starają się odkrywać słabe punkty sieci WLAN stąd powstaje stan wiedzy w tym temacie 3

51 Podatność sieci WLAN na różne niebezpieczeństwa Główne, słabe punkty to: uwierzytelnianie na poziomie urzędzeń kiepska efektywność SSID i WEP zostało to udowodnione! Brak integralności przesyłanych danych Rezultat : brak globalnego zainteresowania ze strony biznesu i przemysłu 4

52 Ataki gdzie mogą wystąpić wewnętrzne zorganizowane przypadkowe Źródło FBI -> 60-80% ataków to ataki wewnętrzne zewnętrzne ciekawa strona: 5

53 Ataki rodzaje Rekonesans najczęściej pierwszy etap hackera, rozpoznanie i eksplorowanie sieci, usług, słabych punktów Metody podsłuchiwanie ( wireless snooping, packet sniffing ) informacje mogą być wykorzystane do zrealizowania: Ataku dostępowego Ataku usługowego DoS Rekonesans określany jest często mianem wardriving czyli w wolnym tłumaczeniu pisanie kredą po murze 6

54 Wardriving Programy: Airsnort Kismet NetStumbler MacStumbler 7

55 Rekonesans - Kismet 8

56 Dostęp - Airsnort 9

57 Wardriving mapa USA

58 Denial of Service 11

59 No więc musimy jakoś się zabezpieczyć ;) 12

60 Zabezpieczamy stare metody z początków Service Set ID SSID prosty łańcuch tekstowy ( max 32 znaki ASCII) wiele AP ma uruchomioną funkcję Allow any SSID lub SSID Broadcast ustawienia domyślne i łatwość uruchomienia sieci wyłączenie tych dwóch opcji nie zabezpiecza sieci pierwszy z brzegu sniffer sobie poradzi... SSID nie jest uważany jako mechanizm zabezpieczenia sieci Autentyfikacja według adresów MAC nie wynika ze specyfikacji jest nieco uciążliwe transmitowane adresy MAC nie są szyfrowane atakując sieć wystarczy przechwycić właściwy adres MAC by otrzymać dostęp do sieci 13

61 Zabezpieczamy autentyfikacja i przypisywanie Autentyfikacja otwarta odbywa się przy pomocy jawnego tekstu jest tzw. Pustym uwierzytelnianiem bez autoryzacji uzytkowników czy też urządzeń pomijanie kluczy WEP, urządzenie nie posiadające WEP lub legitymujące się złym kluczem może zostać przypisane do AP 14

62 Zabezpieczamy klucz WEP WEP Wired Equivalent Privacy jest mechanizmem standardu prosta osłona przed okazjonalnym podsłuchiwaniem sieci standard specyfikuje klucz 40 bitowy, wielu producentów rozszerzyło go do 128 bitów ale jest to niezgodne ze specyfikacją klucz WEP musi być taki sam u klienta i w AP bazuje na typie szyfrowania RC4 (Rivest Cipher 4) 15

63 Zabezpieczamy w prosty sposób klucz WEP autentyfikacja i przypisywanie Autentyfikacja z współdzielonym kluczem WEP Pracuje podobnie do uwierzytelniania otwartego, różnica tkwi w jednokrokowym szyfrowaniu. AP i klienci posługuj a się tym samym kluczem AP wykorzystujący ten rodzaj uwierzytelniania wysyła do klienta specjalną niezaszyfrowaną wiadomość zwyciężającą Klient szyfruje jednym z kluczy WEP tę wiadomość i odsyła do AP AP porównuje tekst odszyfrowany z tekstem zaszyfrowanym Klucze współdzielone są wrażliwe na ataki typu : man-in-the-middle attack 16

64 Zabezpieczamy w prosty sposób rekomendacje Dostęp fizyczny Firmware Dostęp do konsoli Telnet/SSH TFTP/FTP SSID / prosty WEP > 40bit Wyłączenie zbędnych usług CDP NTP HTTP ( np.. GUI) 18

65 Bezpieczeństwo WLAN wymaga uwierzytelniania użytkowników sieci a nie urządzeń w sieci 19

66 Zabezpieczenia zaawansowane (WiFi Protected Access) 20

67 Inne zabezpieczenia Za pomocą zaprezentowanych na tym wykładzie środków można stosować na wyższych poziomach protokołu wszechstronne i już opracowane koncepcje bezpieczeństwa. Szczególnie godna uwagi wydaje się koncepcja wirtualnych sieci prywatnych (VPN). VPNs opierają się na tzw. tunelowaniu, ale obejmują też, jako integralne elementy składowe, takie mechanizmy bezpieczeństwa, jak firewalle, uwierzytelnianie i szyfrowanie 37

68 Dziesięć przykazań zabezpieczania sieci WLAN 38

69 Dziesięć przykazań zabezpieczenia sieci WLAN 1. Wyłącz rozgłaszanie komunikatów SSID na AP. Dzięki temu przypadkowy podsłuchiwacz nie pozna od razu nazwy sieci, co odsieje większość przypadkowych ciekawskich. 2. Włącz szyfrowanie WEP z kluczem 128 bitów. Zmusi to włamywacza do spędzenia na łamaniu klucza co najmniej kilkadziesiąt minut, a to powinno zniechęcić 99% podsłuchiwaczy. 3. Jeśli z powodów technicznych albo organizacyjnych nie możesz używać kluczy 128- bitowych, korzystaj choćby z kluczy 40-bitowych. Rezultat będzie podobny, bo podsłuchiwacz nie wie, jaki klucz jest używany. Włącz WEP dla wszystkich klientów. Nawet jedno niezabezpieczone połączenie może ujawnić włamywaczowi wiele informacji, dzięki którym będzie w stanie przełamywać kolejne zabezpieczenia. 4. Traktuj identyfikatory SSID jak hasła. Nawet jeśli masz wyłączone rozgłaszanie SSID, jest wiele programów błyskawicznie odgadujących proste SSID na podstawie słownika. Przypadkowy SSID (np. Iey2ohgu) nie jest trudny do wpisania, a bardzo wydłuża zgadywanie albo w ogóle je uniemożliwia. 39

70 Dziesięć przykazań zabezpieczenia sieci WLAN 5. Stosuj trudne do zgadnięcia hasła WEP. Teoretycznie hasło dla 40-bitowego klucza WEP powinno mieć ok. 20 znaków, a dla 128-bitowego - niemal 85 znaków (wiele urządzeń dopuszcza nawet hasła do 128 znaków), stosuj minimum hasła 10-znakowe. 6. Nie zapomnij o zabezpieczeniu koncentratora WLAN. Większość AP udostępnia usługi telnet, SNMP z prostym hasłem fabrycznym lub bez hasła. Pozwala to włamywaczowi bez wysiłku poznać hasła WEP i konfigurację sieci. 7.Od czasu do czasu testuj bezpieczeństwo swojej sieci. Sprawdzaj, czy nie pojawiły się nieautoryzowane stacje, czy w sieci nie pojawiają się nieszyfrowane pakiety i czy ESSID nie "wycieka" przez którąś ze stacji roboczych lub AP. 8. Nie podłączaj AP bezpośrednio do okablowania strukturalnego lub serwera. Zabezpiecz dostęp do sieci wewnętrznej za pomocą zapory firewall. W razie włamania do WLAN cała podsieć będzie pod kontrolą intruza. 40

71 Dziesięć przykazań zabezpieczenia sieci WLAN 9. Jeśli w sieci WLAN są przesyłane ważne dane, które nie powinny wydostać się na zewnątrz, oprócz włączenia WEP rozważ niezależne od niego tunelowanie VPN wykorzystujące sprawdzony, bezpieczny protokół IPsec. 10. Rada na koniec: korzystajmy ze wszystkich dostępnych zabezpieczeń, na które możemy sobie pozwolić - również tych najprostszych. Pamiętamyj, że 90% skutecznych włamań do sieci WLAN jest rezultatem braku jakichkolwiek zabezpieczeń. 41

72 Koniec 42