Wir setzen das Gespräch über Methoden zur Verbesserung der Netzwerksicherheit fort. In diesem Artikel sprechen wir über zusätzliche Sicherheitsmaßnahmen und die Organisation von besser geschützten Wireless-Netzen.
Vorwort zum zweiten Teil
Im vorherigen Artikel Es wurde über die Sicherheitsprobleme von WiFi-Netzwerken und direkte Schutzmaßnahmen gegen unbefugten Zugriff gesprochen. Offensichtliche Maßnahmen zur Verhinderung des Abfangens von Datenverkehr wurden behandelt: Verschlüsselung, Verborgene Netzwerke und MAC-Filterung sowie spezielle Methoden wie die Bekämpfung von Rogue APs. Neben direkten Schutzmaßnahmen gibt es jedoch auch indirekte. Dies sind Technologien, die nicht nur die Verbindungsqualität verbessern, sondern auch zusätzlich den Schutz verstärken.
Die zwei Hauptmerkmale drahtloser Netzwerke: Fernzugriff ohne Kontakt und das Funkspektrum als Broadcast-Medium zur Datenübertragung, bei dem jeder Signalempfänger den Funk abfangen kann und jeder Sender das Netzwerk mit nutzlosen Übertragungen und einfach nur Funkstörungen überlasten kann. Dies wirkt sich unter anderem nicht positiv auf die Gesamt- sicherheit des drahtlosen Netzwerks aus.
Von Sicherheit allein kann man nicht leben. Wir müssen auch irgendwie arbeiten, dh Daten austauschen. Und in dieser Hinsicht gibt es viele weitere Beschwerden über WiFi:
- Lücken in der Abdeckung („weiße Flecken“);
- Einfluss externer Quellen und benachbarter Zugangspunkte aufeinander.
Infolgedessen sinkt aufgrund der oben beschriebenen Probleme die Signalqualität, die Verbindung verliert ihre Stabilität, und die Datenübertragungsrate fällt.
Natürlich werden Anhänger von kabelgebundenen Netzwerken erfreut feststellen, dass bei der Verwendung von kabelgebundenen und umso mehr von Glasfaserverbindungen solche Probleme nicht auftreten.
Es stellt sich die Frage: Kann man diese Probleme irgendwie lösen, ohne auf radikale Mittel wie das Umstecken aller Unzufriedenen auf das kabelgebundene Netzwerk zurückzugreifen?
Wo liegt der Ursprung aller Probleme?
Zu der Zeit, als Büros und andere WiFi-Netzwerke entstanden, wurde oft nach einem einfachen Algorithmus vorgegangen: Man platzierte einen einzigen Zugangspunkt in der Mitte des Perimeters, um die maximale Abdeckung zu erreichen. Wenn für abgelegene Bereiche die Signalstärke nicht ausreichte, wurde eine Verstärkerantenne zum Zugangspunkt hinzugefügt. Sehr selten wurde ein zweiter Zugangspunkt hinzugefügt, zum Beispiel für ein abgelegenes Büro des Direktors. Das war wohl das ganze Maß an Verbesserungen.
Dieser Ansatz hatte seine Gründe. Erstens war die Ausrüstung für drahtlose Netzwerke zu Beginn teuer. Zweitens bedeutete die Installation von mehr Zugangspunkten, dass man auf Fragen stieß, auf die es damals keine Antworten gab. Zum Beispiel, wie man nahtloses Wechseln zwischen den Zugangspunkten organisiert? Wie geht man mit gegenseitiger Interferenz um? Wie kann man die Verwaltung der Zugangspunkte vereinfachen und ordnen, beispielsweise die gleichzeitige Anwendung von Sperren/Erlaubnissen, die Überwachung usw.? Daher war es viel einfacher, nach dem Prinzip zu verfahren: Je weniger Geräte, desto besser.
Gleichzeitig strahlte der in der Decke platzierte Zugangspunkt in einer kreisförmigen (genauer gesagt, runden) Diagramm ab.
Die Formen von Architekturgebäuden passen jedoch nicht besonders gut zu runden Diagrammen der Signalverbreitung. Daher erreicht das Signal irgendwo fast nicht, und es muss verstärkt werden, während es an anderen Stellen den Perimeter überschreitet und für Unbefugte zugänglich wird.
Abbildung 1. Beispiel für die Abdeckung mit der Verwendung eines einzigen Zugangspunkts im Büro.
Hinweis. Es handelt sich um eine grobe Annäherung, bei der Hindernisse für die Verbreitung sowie die Richtung des Signals nicht berücksichtigt werden. In der Praxis können die Formen der Diagramme für verschiedene Modelle von Zugangspunkten variieren.
Die Situation kann verbessert werden, wenn mehr Zugangspunkte verwendet werden.
Erstens ermöglicht es eine effektivere Verteilung der Sendegeräte über die Fläche des Raumes.
Zweitens eröffnet es die Möglichkeit, das Signalniveau zu senken, um zu verhindern, dass es über den Perimeter des Büros oder eines anderen Objekts hinausgeht. In diesem Fall muss man fast an den Perimeter herankommen oder ihn sogar betreten, um den Datenverkehr des drahtlosen Netzwerks zu empfangen. Ähnlich verfahren Angreifer, um sich in ein internes kabelgebundenes Netzwerk einzuklinken.
Abbildung 2. Die Erhöhung der Anzahl der Zugangspunkte ermöglicht eine bessere Verteilung der Abdeckung.
Betrachten wir beide Abbildungen noch einmal. Auf der ersten ist klar eine der Hauptanfälligkeiten drahtloser Netzwerke erkennbar – das Signal kann aus einer beträchtlichen Entfernung empfangen werden.
In der zweiten Abbildung ist die Situation nicht so schlimm. Je mehr Zugangspunkte vorhanden sind, desto effektiver ist die Abdeckungszone, und die Signalstärke reicht im Grunde genommen nicht über die Grenzen des Raumes, des Büros, des Gebäudes und anderer potenzieller Objekte hinaus.
Der Angreifer muss sich irgendwie unauffällig nähern, um das relativ schwache Signal "von der Straße" oder "aus dem Flur" usw. abzufangen. Dazu muss er sich in die Nähe des Bürogebäudes begeben, um beispielsweise unter den Fenstern zu stehen. Oder versuchen, in das Bürogebäude selbst einzudringen. In jedem Fall erhöht das das Risiko, "auf dem Videomonitor sichtbar zu werden" oder von der Sicherheit gesehen zu werden. Dabei verkürzt sich das Zeitfenster für den Angriff erheblich. Das kann man schon nicht mehr als "ideale Bedingungen für einen Hack" bezeichnen.
Natürlich gibt es noch eine weitere "ursprüngliche Sünde": Drahtlose Netzwerke senden in einem zugänglichen Frequenzbereich, den alle Clients abfangen können. Tatsächlich lässt sich ein WiFi-Netzwerk mit einem Ethernet-HUB vergleichen, bei dem das Signal gleichzeitig an alle Ports gesendet wird. Um dies zu vermeiden, sollte idealerweise jedes Gerätespaar auf seinem eigenen Frequenzkanal kommunizieren, in den niemand sonst eindringen sollte.
Hier sind kurz die grundlegenden Probleme zusammengefasst. Lassen Sie uns die Lösungsansätze betrachten.
Schutzmittel: direkte und indirekte
Wie bereits im vorherigen Artikel erwähnt, ist es in jedem Fall unmöglich, perfekten Schutz zu erreichen. Aber man kann es so schwer wie möglich machen, einen Angriff durchzuführen, indem das Ergebnis im Verhältnis zu den aufgewendeten Bemühungen unrentabel gemacht wird.
Schutzmittel lassen sich grob in zwei Hauptgruppen unterteilen:
- Technologien zum direkten Schutz des Datenverkehrs, wie Verschlüsselung oder MAC-Filterung;
- Technologien, die ursprünglich für andere Zwecke bestimmt sind, zum Beispiel zur Geschwindigkeitssteigerung, dabei aber indirekt das Leben des Angreifers erschweren.
In der ersten Gruppe wurde in Teil eins darüber berichtet. Aber in unserem Arsenal gibt es noch weitere indirekte Maßnahmen. Wie bereits erwähnt, ermöglicht die Erhöhung der Anzahl der Zugangspunkte, das Signalniveau zu senken und die Abdeckungszone gleichmäßiger zu gestalten, was es den Angreifern erschwert, ihre Aktivitäten auszuführen.
Ein weiterer Aspekt – die erhöhte Datenübertragungsrate erleichtert die Umsetzung zusätzlicher Sicherheitsmaßnahmen. Zum Beispiel kann auf jedem Laptop ein VPN-Client installiert werden, der es ermöglicht, Daten selbst innerhalb eines lokalen Netzwerks über verschlüsselte Kanäle zu übertragen. Dies erfordert einige Ressourcen, einschließlich Hardware, erhöht jedoch den Schutzniveau erheblich.
Im Folgenden beschreiben wir Technologien, die die Netzwerkleistung verbessern und indirekt das Schutzniveau erhöhen können.
Indirekte Maßnahmen zur Verbesserung der Sicherheit – was kann helfen?
Client Steering
Die Funktion Client Steering bietet den Client-Geräten zunächst die Nutzung des 5-GHz-Bereichs an. Wenn diese Möglichkeit für den Client nicht verfügbar ist, kann er trotzdem auf 2,4 GHz zugreifen. Für veraltete Netzwerke mit wenigen Zugangspunkten erfolgt die Hauptarbeit im 2,4-GHz-Bereich. Für den Frequenzbereich von 5 GHz stellt eine Einzelpunkt-zu-Zugangslösung in vielen Fällen ein Problem dar. Der Grund dafür ist, dass Signale mit höherer Frequenz schlechter durch Wände dringen und Hindernisse umgehen können. Die allgemeine Empfehlung lautet: Um eine garantierte Verbindung im 5-GHz-Bereich zu gewährleisten, ist es vorteilhaft, in direkter Sichtlinie zum Zugangspunkt zu arbeiten.
In den modernen Standards 802.11ac und 802.11ax ist es durch eine größere Anzahl von Kanälen möglich, mehrere Zugangspunkte in näherer Distanz einzurichten, wodurch die Leistung gesenkt wird, ohne dass dabei die Geschwindigkeit der Datenübertragung verloren geht – im Gegenteil, sie wird sogar gesteigert. Dadurch wird die Nutzung des 5-GHz-Bereichs für Angreifer komplizierter, während die Kommunikationsqualität für die Kunden, die sich in der Reichweite befinden, verbessert wird.
Diese Funktion ist verfügbar:
- in Nebula- und NebulaFlex-Zugangspunkten;
- in Firewalls mit Controller-Funktion.
Auto Healing
Wie bereits erwähnt, passen die Umrisse des Raumperimeters nicht gut in die runden Diagramme der Zugangspunkte.
Um dieses Problem zu lösen, muss man erstens die optimale Anzahl von Zugangspunkten verwenden und zweitens die gegenseitige Beeinflussung verringern. Einfach die Leistung der Sender manuell zu reduzieren – ein solches direktes Eingreifen kann die Verbindung verschlechtern. Dies wird insbesondere spürbar, wenn einer oder mehrere Zugangspunkte ausfallen.
Auto Healing ermöglicht eine schnelle Anpassung der Sendeleistung, ohne die Zuverlässigkeit und Geschwindigkeit der Datenübertragung zu beeinträchtigen.
Bei Verwendung dieser Funktion überprüft der Controller den Zustand und die Funktionalität der Zugangspunkte. Wenn einer von ihnen nicht funktioniert, erhalten die benachbarten Punkte den Auftrag, die Signalstärke zu erhöhen, um 'blinde Flecken' zu füllen. Sobald der Zugangspunkt wieder funktioniert, erhalten die benachbarten Punkte den Auftrag, die Signalstärke zu verringern, um das Niveau der gegenseitigen Störungen zu reduzieren.
Nahtloses WiFi-Roaming
Auf den ersten Blick lässt sich diese Technologie nur schwer als sicherheitssteigernd bezeichnen, eher im Gegenteil, da sie das Umschalten des Clients (einschließlich von Angreifern) zwischen den Zugangspunkten in einem Netzwerk erleichtert. Wenn jedoch zwei oder mehr Zugangspunkte verwendet werden, sollte eine reibungslose Verbindung ohne Probleme sichergestellt werden. Außerdem, wenn ein Zugangspunkt überlastet ist, kann er schlechter mit Schutzfunktionen wie Verschlüsselung umgehen, was zu Verzögerungen beim Datenaustausch und anderen unangenehmen Dingen führt. In dieser Hinsicht ist nahtloses Roaming eine große Unterstützung, um die Last flexibel zu verteilen und einen kontinuierlichen Betrieb im sicheren Modus zu gewährleisten.
Einstellung der Schwellenwerte für das Signalniveau zum Verbinden und Trennen von drahtlosen Clients (Signal Threshold oder Signal Strength Range)
Bei Verwendung eines einzelnen Zugangspunkts hat diese Funktion grundsätzlich keine Bedeutung. Wenn jedoch mehrere durch den Controller verwaltete Punkte in Betrieb sind, kann eine mobile Verteilung der Clients auf verschiedene APs organisiert werden. Es sei daran erinnert, dass die Funktionen des Controllers für Zugangspunkte in vielen Routermodellen von Zyxel vorhanden sind: ATP, USG, USG FLEX, VPN, ZyWALL.
In den oben genannten Geräten gibt es eine Funktion zum Trennen von Clients, die mit einem SSID mit schwachem Signal verbunden sind. "Schwach" bedeutet, dass das Signal unter dem vom Controller festgelegten Schwellenwert liegt. Nachdem der Client getrennt wurde, sendet er eine Erkundungsanfrage, um einen anderen Access Point zu finden.
Zum Beispiel, wenn sich ein Client mit einem Access Point verbindet, dessen Signal unter -65dBm liegt, und der Trennungsschwellenwert bei -60dBm liegt, trennt der Access Point den Client mit diesem Signalpegel. Der Client startet dann den Wiederverbindungsprozess und verbindet sich mit einem anderen Access Point mit einem Signal, das mindestens -60dBm oder mehr beträgt (der Schwellenwert für das Signal des Access Points).
Dies spielt eine wichtige Rolle beim Einsatz mehrerer Access Points. Dadurch wird vermieden, dass sich die Mehrheit der Clients an einem einzigen Punkt staut, während andere Access Points ungenutzt bleiben.
Darüber hinaus kann der Zugang für Clients mit schwachem Signal, die wahrscheinlich außerhalb des Raums sind, wie zum Beispiel hinter einer Wand im Nachbarbüro, eingeschränkt werden, was auch diese Funktion als indirekte Schutzmaßnahme betrachtet werden kann.
Der Umstieg auf WiFi 6 als eine Möglichkeit, das Sicherheitsniveau zu erhöhen.
Über die Vorteile direkter Schutzmaßnahmen haben wir bereits im vorherigen Artikel gesprochen. „Besonderheiten des Schutzes von drahtlosen und kabelgebundenen Netzwerken. Teil 1 – Direkte Schutzmaßnahmen“.
WiFi 6-Netzwerke bieten höhere Datenübertragungsraten. Einerseits ermöglicht die neue Standardgruppe höhere Geschwindigkeiten, andererseits können noch mehr Access Points auf derselben Fläche platziert werden. Der neue Standard erlaubt die Nutzung geringer Leistung für die Übertragung bei höherer Geschwindigkeit.
Erhöhung der Datenübertragungsgeschwindigkeit..
Der Umstieg auf WiFi 6 verspricht eine Erhöhung der Übertragungsrate auf bis zu 11Gb/s (Modulationsart 1024-QAM, 160 MHz-Kanäle). Dabei weisen neue Geräte, die WiFi 6 unterstützen, eine höhere Leistung auf. Eines der Hauptprobleme bei der Implementierung zusätzlicher Sicherheitsmaßnahmen, wie zum Beispiel einen VPN-Kanal für jeden Benutzer, ist der Geschwindigkeitsverlust. Mit WiFi 6 wird es einfacher, zusätzliche Schutzsysteme zu integrieren.
BSS Coloring
Früher haben wir darüber geschrieben, dass eine gleichmäßigere Abdeckung die Signalpenetration von WiFi über den Rand verringert. Aber bei weiterem Anstieg der Anzahl an Access Points könnte selbst die Verwendung von Auto Healing nicht ausreichen, da der „fremde“ Datenverkehr vom benachbarten Punkt dennoch in den Empfangsbereich eindringen wird.
Bei der Verwendung von BSS Coloring kennzeichnet der Access Point seine Datenpakete mit speziellen Markierungen (färbt sie ein). Dies ermöglicht es, die Auswirkungen benachbarter übertragender Geräte (Access Points) zu ignorieren.
Verbesserte MU-MIMO
802.11ax bringt auch wichtige Verbesserungen der MU-MIMO-Technologie (Multi-User – Multiple Input Multiple Output) mit sich. MU-MIMO ermöglicht es dem Access Point, gleichzeitig Daten mit mehreren Geräten auszutauschen. Im vorherigen Standard konnte diese Technologie jedoch nur Gruppen von vier Clients auf einer Frequenz unterstützen. Dies erleichterte die Übertragung, nicht jedoch den Empfang. WiFi 6 verwendet ein 8×8-MULTIUSER-MIMO für Übertragung und Empfang.
Hinweis. Der Standard 802.11ax erhöht die Größe der MU-MIMO-Gruppen im eingehenden Datenstrom und sorgt so für eine effizientere Leistung des WiFi-Netzwerks. Der Multi-User-Outgoing-MIMO-Kanal ist eine neue Ergänzung zu 802.11ax.
OFDMA (Orthogonal Frequency-Division Multiple Access)
Dies ist eine neue Methode für den Kanalzugang und das Management, die auf Technologien basiert, die bereits in der LTE-Mobilfunktechnologie erprobt wurden.
OFDMA ermöglicht es, mehr als ein Signal gleichzeitig über dieselbe Leitung oder denselben Kanal zu senden, indem für jede Übertragung ein Zeitintervall zugewiesen und Frequenztrennungen angewendet werden. Dies führt nicht nur zu einer höheren Geschwindigkeit durch eine bessere Ausnutzung des Kanals, sondern auch zu mehr Sicherheit.
Zusammenfassung
WiFi-Netzwerke werden Jahr für Jahr sicherer. Der Einsatz moderner Technologien ermöglicht es, ein angemessenes Schutzniveau zu schaffen.
Direkte Schutzmaßnahmen in Form von Datenverkehrsverschlüsselung haben sich als recht effektiv erwiesen. Wir sollten auch zusätzliche Maßnahmen nicht vergessen: MAC-Filterung, Verstecken der Netzwerk-ID, Rogue AP Detection (Rogue AP Containment).
Es gibt jedoch auch indirekte Maßnahmen, die die Zusammenarbeit drahtloser Geräte verbessern und die Datenübertragungsgeschwindigkeit erhöhen.
Der Einsatz neuer Technologien ermöglicht es, das Signalniveau von Punkten zu senken und die Abdeckung gleichmäßiger zu gestalten, was sich positiv auf das Wohlbefinden des gesamten kabellosen Netzwerks, einschließlich der Sicherheit, auswirkt.
Der gesunde Menschenverstand sagt uns, dass für die Erhöhung der Sicherheit alle Mittel gut sind: sowohl direkte als auch indirekte. Diese Kombination ermöglicht es, den Tätern das Leben so schwer wie möglich zu machen.
Nützliche Links:
- Besonderheiten der Sicherheit von drahtlosen und kabelgebundenen Netzwerken. Teil 1 — Direkte Schutzmaßnahmen
Quelle: habr.com
