Sieci bezprzewodowe Wstęp do sieci bezprzewodowych
Wprowadzenie Sieci bezprzewodowe redefiniują sposób w jaki świat patrzy na sieci komputerowe Łączność już nie wymaga fizycznego podłączania się jak głosi termin WLAN Dostarczają użytkownikowi te wszystkie cechy i korzyści jakie niosły ze sobą do tej pory tradycyjne kablowe sieci LAN eliminując podstawowe ich ograniczenie: konieczność stosowania okablowania Most (Bridge) WLAN sygnał Punkt dostępowy Access Point (AP) Anteny WLAN 4
Czy na pewno koniec z kabelkami? No nie do końca... Systemy bezprzewodowe nie całkiem są bezprzewodowe. Urządzenia bezprzewodowe, siłą rzeczy, są jak do tej pory zawsze częścią tradycyjnych przewodowych sieci LAN Od urządzeń bezprzewodowych wymaga się na ogół więcej niż od tradycyjnych urządzeń LAN : muszą umieć kodować, dekodować, kompresować, dekompresować, transmitować i odbierać sygnał bezprzewodowy. Złożoność wymagań stawianych przed urządzeniami bezprzewodowymi spowodowała iż pierwsze generacje tych urządzeń cechowały się niewielką szybkością transmisji, brakiem standardów i w konsekwen brakiem popularności Komisja IEEE 802.11 i organizacja Wi-Fi Alliance 5
Komisja IEEE 802.11 i organizacja Wi-Fi Alliance IEEE 802.11 Projektowanie specyfikacji dla wysokiej wydajności sieci WLAN Bezpieczeństwo bezprzewodowe, międzyoperacyjność, jakość usług QoS CERTYFIKACJA WLAN PRZEZ WiFI ALLIANCE Certyfikat międzyoperacyjności Testy zgodności Pieczęć akceptacji Wielu założycieli, w tym Cisco, 3com, Nokia, Sony, AMD, Intel, inni ( ponad 300 ) 6
Zalety WLAN w kontekście założeń Mobilność Skalowalność Elastyczność Krótko- i długoterminowa oszczędność kosztów Niezawodność w trudnych warunkach Znacznie zredukowany czas instalacji 7
Zalety bezpośrednie dla użytkownika Gdy wymagana jest szybkość transmisji zbliżona do klasycznych sieci LAN gdy pojawiają się okazjonalni użytkownicy infrastruktury sieciowej i tymczasowe komórki organizacyjne gdy pojawia się częsta konieczność rekonfiguracji fizycznego układu sieci gdy pojawia się gwałtowny rozrost organizacji gdy wykorzystywany jest szerokopasmowy dostęp do internetu gdy pojawia się konieczność szybkiego spięcia sieci MAN 8
Media transmisyjne 11
Komponenty WLAN Infrastruktura budynku: Pomosty : 14
Komponenty WLAN Klienci: Anteny : 15
Karta sieciowa WLAN 16
Punkt dostępowy AP ( Access Point ) 17
Pomost bezprzewodowy AP ( WLAN Bridge ) 18
Anteny 19
Inne urządzenia WLAN 20
Topologie WLAN WLAN jako rozszerzenie przewodowej sieci LAN 22
Topologie WLAN WLAN jako sieć metropolitalna MAN 23
Problemy i wyzwania słowem wstępu W przypadku niewłaściwej topologii sieci może nastąpić interferencja sygnału przy wykorzystywaniu tego samego kanału transmisyjnego Problem może wystąpić na silnie zurbanizowanych obszarach miast 26
Problemy i wyzwania słowem wstępu Pobór mocy był zawsze problemem z punktu widzenia urządzeń mobilnych ze względu na konieczność wykorzystywania ogniw bateryjnych o o o Constant awake mode (CAM) Power save mode (PSP) Fast power save mode (FastPSP) 27
Zgodność sprzętowa międzyoperowalnośc 28
Bezpieczeństwo sieci Sieci bezprzewodowe z łatwością przenikają przez ściany, sufity i podłogi. Fakt ten może być z łatwością wykorzystany prze niepowołane osoby 29
Problemy instalacyjne 30
Standardy 802.11 Standaryzacja zawsze niesie za sobą korzyści : Zgodność sprzętową urządzeń różnych producentów Szybszy rozwój platform WiFI Stabilność rozwiązań Łatwość aktualizacji i rozszerzeń Redukcję kosztów 34
Standardy 802.11 35
Standardy 802.11 36
Standardy 802.11 802.11 oryginalny Pierwszym standardem sieci radiowej był IEEE 802.11 opublikowany w 1997 roku. Dziś dla odróżnienia od rodziny oznacza się go jako 802.1y. Standard ten określał dwie prędkości transmisji 1 oraz 2 Mb/s. Medium miało być promieniowanie podczerwone oraz wykorzystywany w przemyśle i medycynie zakres częstotliwości 2,4 GHz. Podczerwień się nie przyjęła ze względu na konkurencję standardu IrDA. Dalsze prace na WiFi szybko doprowadziły do powstania standardu 802.11b. 37
Standardy 802.11 802.11b Standard 802.11b wykorzystuje częstotliwość 2.4 GHz, posiada zasięg 46 m w pomieszczeniu i 96 m na otwartej przestrzeni. Standardowe anteny wykorzystywane w urządzeniach 802.11b pozwalają zwykle na przekaz z prędkością 11 Mb/s. Sprawność protokołu obniża tą prędkość do 5,5 Mb/s. Jednak materiały takie jak metal, woda lub beton znacznie pochłaniają fale i obniżają jakość sygnału. Produkowane masowo urządzenia 802.11b obsługują szybkość 11 Mb/s, ale prędkość można obniżyć do 5,5Mb/s, 2Mb/s oraz 1 Mb/s. Niektórzy producenci wprowadzili własne produkty dające prędkość 22, 33 oraz 44 Mb/s oparte na standardzie. Swoją modyfikację nazwali 802.11b+, ale nigdy nie stała się ona standardem uznanym przez IEEE. Często też powoduje problemy w nawiązaniu połączeń z innymi urządzeniami które nie obsługują tego rozszerzenia. 38
Standardy 802.11 802.11a Dopiero w roku 1999 ostatecznie ustalono specyfikację 802.11a. Do produkcji urządzenia zgodne ze standardem weszły w roku 2001. 802.11a wykorzystuje częstotliwość 5GHz. Jego podstawowa prędkość to 54 Mb/s, ale w praktyce działa najlepiej w granicach 20 Mb/s. Mniejsze dopuszczalne prędkości to 48, 36, 34, 18, 12, 9 oraz 6 Mb/s. 802.11a obejmuje 12 niezachodzących kanałów, 8 przeznaczonych do pracy w budynkach oraz 4 przeznaczone do pracy między dwoma punktami (ang. point to point). Istniały pewne próby uregulowania tego zakresu częstotliwości przez niektóre kraje, ale dziś większość państw pozwala na niekoncesjonowane wykorzystanie pasma dla 802.11a. 39
Standardy 802.11 802.11g W czerwcu 2003 roku ostatecznie uznano standard 802.11g. Pracuje on podobnie jak 802.11b na częstotliwości 2,4 GHz, ale pozwala na transfer z prędkością 54 Mb/s. Standard 802.11g jest całkowicie zgodny w dół ze standardem 802.11b. Jednak wykorzystanie starszych urządzeń powoduje w praktyce redukcję prędkości do 11 Mb/s. Wielu producentów wprowadziło w swoich urządzeniach opcję Super G pozwalającą na łączenie pasma kilku kanałów w jedno. Dzięki wykorzystaniu Super G udało się osiągnąć prędkość 108 Mb/s. 40
Standardy 802.11 802.11n W styczniu 2004 IEEE ogłosiło rozpoczęcie prac nad nowym standardem 802.11n. Ma on obejmować rozległe sieci bezprzewodowe. Prędkości rzędu 100 Mb/s albo nawet 250 Mb/s mają stać się w pełni dostępne. Do tego celu zostanie prawdopodobnie wykorzystana technologia MIMO (Multiple Input, Multiple Output) wykorzystująca wiele fizycznych kanałów transmisyjnych do stworzenia jednego połączenia. Zapowiedziano też zwiększenie zasięgu. 41
Mniej istotne standardy 802.11 IEEE 802.11c - opisuje sposób działania bezprzewodowych mostów pomiędzy sieciami IEEE 802.11d - opisuje sposób implementacji łączności bezprzewodowej w poszczeglnych krajach IEEE 802.11e - wprowadzenie QoS oraz inteligentnego zarządzania pakietami (ang. packet bursting) w transmisji strumieniowej standardów 802.11a, 802.11g i 802.11h IEEE 802.11f - definiuje roaming w sieciach 802.11a, 802.11g i 802.11h przy zastosowaniu protokołu IAPP IEEE 802.11h - Europejski odpowiednik 802.11a w paśmie 5 GHz, z użyciem(dcs/dfs) oraz TPC IEEE 802.11i (WPA2) - (ogłoszony 24 czerwca 2004) rozszerzenie bezpieczeństwa z użyciem szyfrowania i uwierzytelnienia za pomocą EAP, Radius, Kerberos, Rijnadel AES i 802.1x IEEE 802.11j - modyfikacja 802.11a na potrzeby Japonii zawierająca dodatkowe kanały ponad 4,9 GHz IEEE 802.11k - definiuje protokół wymiany informacji pomiędzy punktami dostępowymi a ich klientami zawierających opis ich możliwości IEEE 802.11xx - opisuje sposób działania bezprzewodowych oraz inteligentnego zarządzania pakietami XXJE2R 42
Dwa tryby pracy: tryb ad-hoc 51
Dwa tryby pracy: tryb infrastructure 52
Topologie bezprzewodowe - komponenty 4
Topologie bezprzewodowe Mosty Grup Roboczych 5
Topologie bezprzewodowe przykłady WAN i MAN Sieć metropolitalna spięta technologią bezprzewodową Między-budynkowa sieć odseparowana fizycznie przy pomocy mostów 6
Topologie bezprzewodowe LAN (BSS->ESS) 7
Topologie bezprzewodowe - Repeater ~50% Przy każdym dopiętym AP jako regeneratorze sygnału transfer w sieci spada o 50% 8
Topologie bezprzewodowe top. nadmiarowa 9
Topologie bezprzewodowe równoważenie obciążeń 10
Topologie bezprzewodowe AP zapasowy (w gotowości) 11
Topologie bezprzewodowe Roaming Klient wysyła żądanie podłączenia do sieci i natychmiast dostaje odpowiedź od wszystkich AP które są w jego zasięgu Decyzja o podłączeniu następuje po przeanalizowaniu jakości sygnału, siły, liczby podłączonych już userów i odległości od sieci szkieletowej Gdy przypisanie do AP zostanie zrealizowane, adres MAC klienta zostaje umieszczony w tablicy tego AP. Jeśli klient nie zostanie przypisany poszukuje innego AP, a w ostateczności zmniejsza szybkość transmisji i próbuje ponownie. Po przypisaniu klienta do AP, jego adres MAC po umieszczeniu w tablicy jest przekazywany rozgłoszeniowo w sieć 12
Topologie bezprzewodowe pokrycie obszarowe 1 Ft = ~ 30,5 cm 13
Topologie bezprzewodowe pokrycie obszarowe strategie 1 Ft = ~ 30,5 cm 14
Topologie bezprzewodowe urządzenia WLAN i tryb Root 15
Topologie bezprzewodowe połączenie Punkt-Punkt trunking 16
Topologie bezprzewodowe połączenie Punkt - Wiele Punktów 17
Topologie bezprzewodowe ograniczenia zasięgu 802.11 18
Mosty WLAN - aplikacje łączą bezprzewodowo, z separacją segmenty sieci z dużą szybkością, czasem na duże odległości alternatywa dla E1, T1 i innych infrastruktur kablowych zastosowania w organizacjach o złożonej strukturze: np. kampusy, sieci sklepów bardzo szybki rozwój i malejący koszt 25
Znaczenie bezpieczeństwa! O tym, jak w praktyce wygląda bezpieczeństwo sieci WLAN, przekonali się uczestnicy konferencji AirDefense w 2003 r., poświęconej niczemu innemu jak właśnie kwestiom bezpieczeństwa w sieciach bezprzewodowych. Ze względu na specyfikę konferencji ruch w eterze ściśle monitorowano. Rezultaty były alarmujące! W ciągu tylko jednego dnia konferencji zarejestrowano 21 ataków typu man-inthe-middle, w większości przypadków mających na celu przejęcie połączeń uczestników konferencji ze swoimi firmami macierzystymi. Co ciekawe, aż 16 z 21 ataków się powiodło. Oprócz tego zaobserwowano 33 ataki na protokoły uwierzytelniania użytkowników podłączających się do sieci bezprzewodowych - głównie próby zgadnięcia haseł w protokołach EAP (Extensible Authentication Protocol) i Cisco LEAP (Lightweight Extensible Authentication Protocol). Próby zakłócenia pracy AP były podejmowane 75 razy, zaś adresy MAC fałszowano 125 razy. Czy to przypadek??? 2
Podatność sieci WLAN na różne niebezpieczeństwa większość ataków sieciowych wykorzystuje słabe punkty technologii 802.11, gdyż sprawy bezpieczeństwa w tych sieciach są zagadnieniem relatywnie nowym : brak wykorzystywania nowych rozwiązań bezpieczeństwa w istniejących biznesowych instalacjach WLAN pozostawiane są domyślne zabezpieczenia (hasła, itp.) byle tylko łączność była wiele osób ma pozostawioną możliwość grzebania w AP Istnieją grupy osób, które z niezwykłą gorliwością starają się odkrywać słabe punkty sieci WLAN stąd powstaje stan wiedzy w tym temacie 3
Podatność sieci WLAN na różne niebezpieczeństwa Główne, słabe punkty to: uwierzytelnianie na poziomie urzędzeń kiepska efektywność SSID i WEP zostało to udowodnione! Brak integralności przesyłanych danych Rezultat : brak globalnego zainteresowania ze strony biznesu i przemysłu 4
Ataki gdzie mogą wystąpić wewnętrzne zorganizowane przypadkowe Źródło FBI -> 60-80% ataków to ataki wewnętrzne zewnętrzne ciekawa strona: http://www.drizzle.com/~aboba/ieee/ 5
Ataki rodzaje Rekonesans najczęściej pierwszy etap hackera, rozpoznanie i eksplorowanie sieci, usług, słabych punktów Metody podsłuchiwanie ( wireless snooping, packet sniffing ) informacje mogą być wykorzystane do zrealizowania: Ataku dostępowego Ataku usługowego DoS Rekonesans określany jest często mianem wardriving czyli w wolnym tłumaczeniu pisanie kredą po murze http://www.wardriving.com/ http://www.wardriving.pl 6
Wardriving Programy: Airsnort Kismet NetStumbler MacStumbler http://www.wardriving.com/ http://www.wardriving.pl 7
Rekonesans - Kismet 8
Dostęp - Airsnort 9
Wardriving mapa USA http://www.wardriving.com/ http://www.wardriving.pl 10
Denial of Service 11
No więc musimy jakoś się zabezpieczyć ;) 12
Zabezpieczamy stare metody z początków 802.11 Service Set ID SSID prosty łańcuch tekstowy ( max 32 znaki ASCII) wiele AP ma uruchomioną funkcję Allow any SSID lub SSID Broadcast ustawienia domyślne i łatwość uruchomienia sieci wyłączenie tych dwóch opcji nie zabezpiecza sieci pierwszy z brzegu sniffer sobie poradzi... SSID nie jest uważany jako mechanizm zabezpieczenia sieci Autentyfikacja według adresów MAC nie wynika ze specyfikacji 802.11 jest nieco uciążliwe transmitowane adresy MAC nie są szyfrowane atakując sieć wystarczy przechwycić właściwy adres MAC by otrzymać dostęp do sieci 13
Zabezpieczamy autentyfikacja i przypisywanie Autentyfikacja otwarta odbywa się przy pomocy jawnego tekstu jest tzw. Pustym uwierzytelnianiem bez autoryzacji uzytkowników czy też urządzeń pomijanie kluczy WEP, urządzenie nie posiadające WEP lub legitymujące się złym kluczem może zostać przypisane do AP 14
Zabezpieczamy klucz WEP WEP Wired Equivalent Privacy jest mechanizmem standardu 802.11 prosta osłona przed okazjonalnym podsłuchiwaniem sieci standard specyfikuje klucz 40 bitowy, wielu producentów rozszerzyło go do 128 bitów ale jest to niezgodne ze specyfikacją klucz WEP musi być taki sam u klienta i w AP bazuje na typie szyfrowania RC4 (Rivest Cipher 4) 15
Zabezpieczamy w prosty sposób klucz WEP autentyfikacja i przypisywanie Autentyfikacja z współdzielonym kluczem WEP Pracuje podobnie do uwierzytelniania otwartego, różnica tkwi w jednokrokowym szyfrowaniu. AP i klienci posługuj a się tym samym kluczem AP wykorzystujący ten rodzaj uwierzytelniania wysyła do klienta specjalną niezaszyfrowaną wiadomość zwyciężającą Klient szyfruje jednym z kluczy WEP tę wiadomość i odsyła do AP AP porównuje tekst odszyfrowany z tekstem zaszyfrowanym Klucze współdzielone są wrażliwe na ataki typu : man-in-the-middle attack 16
Zabezpieczamy w prosty sposób rekomendacje Dostęp fizyczny Firmware Dostęp do konsoli Telnet/SSH TFTP/FTP SSID / prosty WEP > 40bit Wyłączenie zbędnych usług CDP NTP HTTP ( np.. GUI) 18
Bezpieczeństwo WLAN wymaga uwierzytelniania użytkowników sieci a nie urządzeń w sieci 19
Zabezpieczenia zaawansowane (WiFi Protected Access) 20
Inne zabezpieczenia Za pomocą zaprezentowanych na tym wykładzie środków można stosować na wyższych poziomach protokołu wszechstronne i już opracowane koncepcje bezpieczeństwa. Szczególnie godna uwagi wydaje się koncepcja wirtualnych sieci prywatnych (VPN). VPNs opierają się na tzw. tunelowaniu, ale obejmują też, jako integralne elementy składowe, takie mechanizmy bezpieczeństwa, jak firewalle, uwierzytelnianie i szyfrowanie 37
Dziesięć przykazań zabezpieczania sieci WLAN 38
Dziesięć przykazań zabezpieczenia sieci WLAN 1. Wyłącz rozgłaszanie komunikatów SSID na AP. Dzięki temu przypadkowy podsłuchiwacz nie pozna od razu nazwy sieci, co odsieje większość przypadkowych ciekawskich. 2. Włącz szyfrowanie WEP z kluczem 128 bitów. Zmusi to włamywacza do spędzenia na łamaniu klucza co najmniej kilkadziesiąt minut, a to powinno zniechęcić 99% podsłuchiwaczy. 3. Jeśli z powodów technicznych albo organizacyjnych nie możesz używać kluczy 128- bitowych, korzystaj choćby z kluczy 40-bitowych. Rezultat będzie podobny, bo podsłuchiwacz nie wie, jaki klucz jest używany. Włącz WEP dla wszystkich klientów. Nawet jedno niezabezpieczone połączenie może ujawnić włamywaczowi wiele informacji, dzięki którym będzie w stanie przełamywać kolejne zabezpieczenia. 4. Traktuj identyfikatory SSID jak hasła. Nawet jeśli masz wyłączone rozgłaszanie SSID, jest wiele programów błyskawicznie odgadujących proste SSID na podstawie słownika. Przypadkowy SSID (np. Iey2ohgu) nie jest trudny do wpisania, a bardzo wydłuża zgadywanie albo w ogóle je uniemożliwia. 39
Dziesięć przykazań zabezpieczenia sieci WLAN 5. Stosuj trudne do zgadnięcia hasła WEP. Teoretycznie hasło dla 40-bitowego klucza WEP powinno mieć ok. 20 znaków, a dla 128-bitowego - niemal 85 znaków (wiele urządzeń dopuszcza nawet hasła do 128 znaków), stosuj minimum hasła 10-znakowe. 6. Nie zapomnij o zabezpieczeniu koncentratora WLAN. Większość AP udostępnia usługi telnet, SNMP z prostym hasłem fabrycznym lub bez hasła. Pozwala to włamywaczowi bez wysiłku poznać hasła WEP i konfigurację sieci. 7.Od czasu do czasu testuj bezpieczeństwo swojej sieci. Sprawdzaj, czy nie pojawiły się nieautoryzowane stacje, czy w sieci nie pojawiają się nieszyfrowane pakiety i czy ESSID nie "wycieka" przez którąś ze stacji roboczych lub AP. 8. Nie podłączaj AP bezpośrednio do okablowania strukturalnego lub serwera. Zabezpiecz dostęp do sieci wewnętrznej za pomocą zapory firewall. W razie włamania do WLAN cała podsieć będzie pod kontrolą intruza. 40
Dziesięć przykazań zabezpieczenia sieci WLAN 9. Jeśli w sieci WLAN są przesyłane ważne dane, które nie powinny wydostać się na zewnątrz, oprócz włączenia WEP rozważ niezależne od niego tunelowanie VPN wykorzystujące sprawdzony, bezpieczny protokół IPsec. 10. Rada na koniec: korzystajmy ze wszystkich dostępnych zabezpieczeń, na które możemy sobie pozwolić - również tych najprostszych. Pamiętamyj, że 90% skutecznych włamań do sieci WLAN jest rezultatem braku jakichkolwiek zabezpieczeń. 41
Koniec 42