WLAN bezpieczne sieci radiowe 01 ostatnim czasie ogromną popularność zdobywają sieci bezprzewodowe. Zapewniają dużą wygodę w dostępie użytkowników do zasobów W informatycznych. Jednak implementacja sieci WLAN rodzi wiele wyzwań. Zastosowanie fali radiowej stawia przed nami kilka problemów związanych z bezpieczeństwem i integracją z istniejącym środowiskiem. Charakter medium powoduje, że niepoprawne wdrożenie sieci WLAN ułatwia nieautoryzowany dostęp do zasobów IT w firmie przez osoby niepowołane. Protokoły z rodziny 802.11 oferują wbudowane mechanizmy autoryzujące użytkowników, ale niestety nie wszystkie te technologie są odporne na próby ataków. Wybór odpowiednich mechanizmów zabezpieczeń i prawidłowa ich implementacja to sprawy kluczowe dla bezpieczeństwa. Pokrycie sygnału radiowego zazwyczaj przekracza granice pomieszczeń, w których znajdują się użytkownicy. W tym haśle poruszymy wiele tematów związanych z bezpieczeństwem sieci WLAN. Dowiesz się między innymi: Jakie są zagrożenia dla bezpieczeństwa danych w sieciach bezprzewodowych? 06 W jaki sposób w praktyce skonfigurować uwierzytelnianie za pomocą protokołu 802.1x? 13 Jak bezpiecznie skonfigurować punkt dostępowy Cisco Aironet 1100? 22 Jak skonfigurować mechanizm WPA z serwerem RADIUS? 42 oprogramowanie BBP 406 autor Jarosław boguszewicz certyfikowany instruktor Altkom Akademia bezpieczeństwo internet sprzęt
02 WLAN bezpieczne sieci radiowe Jak to działa? Korzystanie z sieci WLAN nie powinno stwarzać dodatkowych problemów dla użytkowników. W prawidłowo zaimplementowanej sieci użytkownik ma zapewniony dostęp do niej w sposób przezroczysty. Taka konfiguracja często stanowi wyzwanie, ponieważ mechanizmy bezpieczeństwa wymagają niejednokrotnie interakcji z użytkownikiem. Dobrze skonstruowana sieć WLAN integruje istniejące mechanizmy autoryzacji z dostępem do sieci bezprzewodowej. Jest to mechanizm typu single-sign-on. Przykładem może być wykorzystanie logowania do domeny Windows dla uwierzytelnienia dostępu do WLAN lub wykorzystanie Infrastruktury Klucza Publicznego. Prawidłowy projekt sieci bezprzewodowej powinien zapewnić również odpowiednią jej wydajność. Zbyt duże oddalenie od punktu dostępowego lub duża liczba użytkowników mogą spowodować znaczącą degradację parametrów komunikacji. Mówiąc o sieciach WLAN, będziemy rozważać zestaw protokołów warstwy fizycznej i łącza danych. Te standardy są ustalane przez specyfikację IEEE 802. Dla sieci bezprzewodowych stworzono wiele grup roboczych 802.11 opracowujących standardy dotyczące rozmaitych aspektów ich działania. Topologie W sieciach WLAN mamy do czynienia z kilkoma głównymi rodzajami topologii. Najczęściej sieci budowane są na bazie punktów dostępowych (ang. access point). Interfejsy urządzeń końcowych nawiązują w tej architekturze połączenie z punktem dostępowym. Z kolei to urządzenie jest odpowiedzialne za dalszą dystrybucję sygnału do innych interfejsów. Bardzo często punkt dostępowy, jako pojedyncze, centralne miejsce koncentrujące cały ruch sieciowy, realizuje również funkcję przyłączenia sieci bezprzewodowej do środowiska okablowanego.
WLAN bezpieczne sieci radiowe 03 Obecnie produkowane urządzenia są najczęściej równocześnie przełącznikami ethernetowymi lub ruterami. Można np. spotkać rozwiązania będące ruterem DSL, punktem dostępowym, przełącznikem ethernetowym. Bardzo często dostarczają one również takich usług, jak serwer DHCP, NTP, NAT, filtrowanie pakietów itp. Sieci w trybie infrastructure Podczas dalszych rozważań będziemy zajmowali się głównie częścią radiową tych urządzeń. Architektura oparta na pojedynczym punkcie dostępowym jest nazywana formalnie BSS (ang. Basic Service Set). W przypadku zastosowania kilku punktów dostępowych przyłączonych do kablowej sieci szkieletowej mówimy o architekturze ESS (ang. Extended Service Set). Tego typu sieci pracują w tzw. trybie infrastructure. Sieć WLAN Sieć LAN AP Rysunek 1. Sieć WLAN typu BSS
04 WLAN bezpieczne sieci radiowe Sieć WLAN Sieć LAN AP AP Rysunek 2. Sieć WLAN typu ESS Sieć ad hoc Innym podejściem do tworzenia sieci bezprzewodowych jest utworzenie tzw. topologii ad hoc. W tym przypadku brak jest centralnego punktu dystrybucji sygnału punktu dostępowego. Urządzenia końcowe komunikują się ze sobą bezpośrednio, bez wykorzystania punktu dostępowego. Jest to sieć typu peer-to-peer, w której porozumiewać mogą się tylko pary urządzeń zestawiające między sobą sesje. Tego typu rozwiązanie jest określane jako IBSS (ang. Independent Basic Service Set). Sieci ad hoc są stosowane dość rzadko, raczej w małych domowych implementacjach, i poświęcimy im tu niewiele uwagi, koncentrując się na trybie infrastructure.
WLAN bezpieczne sieci radiowe 05 Przyłączanie stacji końcowej Przyjrzyjmy się bliżej procesowi przyłączania stacji końcowej () do punktu dostępowego (AP). AP musi w jakiś sposób manifestować swoją obecność. Robi to za pomocą wysyłania okresowo (zazwyczaj około 10 razy/s) pakietów nazywanych beacon. Pakiety te zawierają informacje o parametrach AP, takie jak nazwa sieci, obsługiwane protokoły, metody zabezpieczeń itd., który przyłącza się do sieci, powinien wykonać skanowanie wszystkich dostępnych częstotliwości radiowych i ustalić, na której z nich AP nadaje. W ten sposób ustalany jest kanał radiowy do dalszej komunikacji. Skanowanie i nasłuchiwanie pakietów beacon może trwać dość długo. Aby przyspieszyć ten proces, może aktywnie prosić o wysłanie tego pakietu za pomocą żądania probe request message na danym kanale. To znacznie przyspiesza proces odnajdywania AP. Jeśli w zasięgu znajduje się kilka AP, musi on wybrać jeden, z którego będzie chciał skorzystać. Może to być decyzja oparta np. na sile sygnału albo wybór dokonany ręcznie przez użytkownika. Następnie wysyła tzw. authenticate request message. W tej fazie może nastąpić również uwierzytelnienie do AP. Ten mechanizm zostanie opisany dalej. Jeśli AP akceptuje żądanie przyłączenia, odpowiada komunikatem authenticate response zawierającym potwierdzenie przyłączenia. Aby jednak mogła nastąpić transmisja danych, niezbędne jest utworzenie sesji między AP i. W tym celu jest jeszcze wysłany przez komunikat association request, potwierdzony przez AP komunikatem association response. Od tego momentu mogą być przesyłane dane do innych lub do sieci okablowanej.
Niedostępne w wersji demonstracyjnej. Zapraszamy do zakupu pełnej wersji książki w serwisie