Wir setzen unser Gespräch über Methoden zur Erhöhung der Netzwerksicherheit fort. In diesem Artikel sprechen wir über zusätzliche Sicherheitsmaßnahmen und die Organisation von sichereren drahtlosen Netzwerken.
Vorwort zu Teil zwei
Im vorherigen Artikel Es wurde über die Sicherheitsprobleme von WiFi-Netzen und direkte Schutzmethoden gegen unbefugten Zugang gesprochen. Offensichtliche Maßnahmen zur Verhinderung des Datenverkehrs- und Datenabfangs wurden betrachtet: Verschlüsselung, Verstecken des Netzwerks und MAC-Filterung sowie spezialisierte Methoden wie die Bekämpfung von Rogue AP. Neben direkten Schutzmaßnahmen gibt es jedoch auch indirekte. Dies sind Technologien, die nicht nur die Verbindungsqualität verbessern, sondern auch zusätzlich zum Schutz beitragen.
Die zwei Hauptmerkmale von drahtlosen Netzwerken sind der kontaktlose Fernzugriff und das Radiofrequenzspektrum als Übertragungsmedium, in dem jeder Empfänger das Signal abhören und jeder Sender das Netzwerk mit sinnlosen Übertragungen und einfach nur Störungen belasten kann. Dies wirkt sich, neben anderen Aspekten, negativ auf die allgemeine Sicherheit des drahtlosen Netzwerks aus.
Mit Sicherheit allein kann man nicht leben. Man muss auch irgendwie arbeiten, sprich, Daten austauschen. In dieser Hinsicht gibt es eine Reihe weiterer Beschwerden gegen WiFi:
- Lücken in der Abdeckung („weiße Flecken“);
- Einfluss externer Quellen und benachbarter Zugangspunkte aufeinander.
Infolgedessen verringert sich aufgrund der oben beschriebenen Probleme die Signalqualität, die Verbindung wird instabil, und die Datenübertragungsgeschwindigkeit sinkt.
Natürlich werden die Befürworter kabelgebundener Netzwerke mit Freude darauf hinweisen, dass solche Probleme bei der Verwendung von Kabelanschlüssen und insbesondere bei Glasfaserverbindungen nicht auftreten.
Es stellt sich die Frage: Kann man diese Probleme irgendwie lösen, ohne auf drastische Mittel wie das Umstecken aller Unzufriedenen auf ein kabelgebundenes Netzwerk zurückzugreifen?
Wo beginnen alle Probleme?
Zu Beginn der Einführung von Büro- und anderen WiFi-Netzwerken folgte man meist einem einfachen Algorithmus: Man installierte einen einzigen Access Point im Zentrum des Bereichs, um eine maximale Abdeckung zu gewährleisten. Wenn der Signalbereich nicht ausreichte, wurde eine Verstärkerantenne hinzugefügt. Sehr selten kam ein zweiter Access Point hinzu, zum Beispiel für das Büro des entfernten Direktors. Das waren tatsächlich die einzigen Verbesserungen.
Dieser Ansatz hatte seine Gründe. Erstens war die Hardware für drahtlose Netzwerke in der Anfangszeit teuer. Zweitens bedeutete die Einrichtung mehrerer Access Points, sich mit Fragen auseinanderzusetzen, auf die damals keine Antworten vorhanden waren. Zum Beispiel: Wie organisiert man einen nahtlosen Übergang für den Kunden zwischen den Access Points? Wie geht man mit gegenseitiger Interferenz um? Wie vereinfacht und organisiert man die Verwaltung der Access Points, beispielsweise die gleichzeitige Anwendung von Verboten/Erlaubnissen, Überwachung usw.? Daher war es viel einfacher, nach dem Prinzip 'je weniger Geräte, desto besser' zu handeln.
Gleichzeitig sendete der unter der Decke angebrachte Zugangspunkt in einem kreisförmigen Diagramm.
Jedoch passen die Formen architektonischer Strukturen nicht gut zu kreisförmigen Signalverteilungsdiagrammen. Daher erreicht das Signal an einigen Orten kaum, und es muss verstärkt werden, während die Übertragung an anderen Orten über die Grenzen hinausgeht und für Unbefugte zugänglich wird.
Abbildung 1. Beispiel für die Abdeckung mit einem einzigen Punkt im Büro.
Hinweis. Hierbei handelt es sich um eine grobe Annäherung, bei der Hindernisse für die Signalverbreitung sowie die Signalrichtung nicht berücksichtigt werden. In der Praxis können die Diagrammformen für verschiedene Modelle von Zugangspunkten variieren.
Die Situation kann verbessert werden, indem mehrere Zugangspunkte verwendet werden.
Dies ermöglicht eine effizientere Verteilung der Übertragungseinheiten über die Fläche des Raumes.
Zweitens besteht die Möglichkeit, das Signalniveau zu senken, sodass es nicht über den Büro- oder Objektperimeter hinausgeht. In diesem Fall muss man fast bis zum Perimeter herankommen oder sogar dessen Grenzen betreten, um den Datenverkehr des drahtlosen Netzwerks zu erfassen. Ähnlich verhalten sich Angreifer, wenn sie in interne kabelgebundene Netzwerke eindringen möchten.
Abbildung 2. Eine Erhöhung der Anzahl der Access Points ermöglicht eine bessere Verteilung der Abdeckung.
Lassen Sie uns beide Abbildungen noch einmal betrachten. In der ersten ist eine der Hauptanfälligkeiten drahtloser Netzwerke deutlich erkennbar - das Signal kann in einem erheblichen Abstand empfangen werden.
In der zweiten Abbildung ist die Situation nicht so tragisch. Je mehr Access Points vorhanden sind, desto effektiver ist die Abdeckungszone, wobei die Signalstärke fast nicht mehr über die Perimeter hinweggeht, grob gesagt über die Grenzen des Büros, der Räumlichkeiten oder anderer möglicher Objekte.
Ein Angreifer muss sich unbemerkt nähern, um ein relativ schwaches Signal "von der Straße" oder "aus dem Flur" abzufangen. Dazu muss er sich in die Nähe des Bürogebäudes begeben, beispielsweise unter die Fenster stehen. Alternativ könnte er versuchen, in das Bürogebäude einzudringen. In jedem Fall erhöht sich das Risiko, "entdeckt zu werden" durch die Überwachungskameras oder die Sicherheit. Gleichzeitig verkürzt sich der Zeitraum für den Angriff erheblich. Unter diesen Bedingungen kann man schon schwer von "idealen Bedingungen für einen Hackerangriff" sprechen.
Natürlich bleibt noch ein weiteres "Ursünde": WLAN-Netze senden in einem zugänglichen Frequenzbereich, der von allen Clients abgefangen werden kann. Tatsächlich kann man ein WiFi-Netz mit einem Ethernet-HUB vergleichen, wobei das Signal gleichzeitig an alle Ports übertragen wird. Um dies zu vermeiden, sollte idealerweise jedes Gerätespaar auf seinem eigenen Frequenzkanal kommunizieren, der von niemandem sonst gestört werden darf.
Hier sind kurz die Hauptprobleme zusammengefasst. Schauen wir uns mögliche Lösungen an.
Schutzmaßnahmen: direkte und indirekte
Wie bereits im vorherigen Artikel erwähnt, ist es unmöglich, einen perfekten Schutz zu erreichen. Es ist jedoch möglich, einen Angriff so zu erschweren, dass das Ergebnis im Verhältnis zu den aufgewendeten Kräften unwirtschaftlich wird.
Man kann die Schutzmaßnahmen grob in zwei Hauptgruppen unterteilen:
- Technologien zum direkten Schutz des Datenverkehrs, wie z.B. Verschlüsselung oder MAC-Filterung;
- Technologien, die ursprünglich für andere Zwecke, wie z.B. zur Geschwindigkeitssteigerung, entwickelt wurden, aber indirekt das Leben für Angreifer erschweren.
Über die erste Gruppe wurde im ersten Teil berichtet. Aber es gibt auch zusätzliche indirekte Maßnahmen. Wie bereits erwähnt, ermöglicht die Erhöhung der Anzahl der Zugangspunkte, das Signalniveau zu senken und die Abdeckung gleichmäßig zu verteilen, was es für Angreifer schwieriger macht.
Ein weiterer Punkt ist, dass eine erhöhte Datenübertragungsrate die Implementierung zusätzlicher Sicherheitsmaßnahmen erleichtert. Beispielsweise kann auf jedem Laptop ein VPN-Client installiert werden, sodass Daten selbst innerhalb des lokalen Netzwerks über verschlüsselte Kanäle übertragen werden können. Dies erfordert einige Ressourcen, einschließlich hardwareseitiger, aber der Sicherheitslevel wird dadurch erheblich verbessert.
Im Folgenden erläutern wir Technologien, die die Netzwerkleistung verbessern und indirekt das Schutzniveau erhöhen.
Indirekte Maßnahmen zur Verbesserung des Schutzes – was kann helfen?
Kundenlenkung
Die Funktion Client Steering ermöglicht es den Geräten, zuerst das 5 GHz-Band zu nutzen. Sollte diese Option nicht verfügbar sein, kann trotzdem auf 2,4 GHz zurückgegriffen werden. Bei älteren Netzwerken mit wenigen Zugangspunkten wird hauptsächlich im 2,4 GHz-Bereich gearbeitet. Für das 5 GHz-Frequenzband ist eine Einzelpunktkonfiguration in vielen Fällen nicht geeignet. Der Grund ist, dass das Signal mit höherer Frequenz schlechter durch Wände dringt und Hindernisse umgeht. Die allgemeine Empfehlung lautet: Um eine garantierte Verbindung im 5 GHz-Bereich zu gewährleisten, sollte man idealerweise in direkter Sichtlinie zum Zugangspunkt arbeiten.
In den modernen Standards 802.11ac und 802.11ax können durch die größere Anzahl von Kanälen mehrere Zugangspunkte in kürzerer Entfernung installiert werden, was es ermöglicht, die Leistung zu reduzieren, ohne dabei Geschwindigkeit und Übertragungsrate zu verlieren oder sogar zu gewinnen. Somit erschwert die Nutzung des 5 GHz-Bands das Leben von Angreifern, während die Verbindungsqualität für Kunden in Reichweite verbessert wird.
Diese Funktion ist verfügbar:
- in Nebula- und NebulaFlex-Zugangspunkten;
- in Firewalls mit Controller-Funktion.
Auto Healing
Wie bereits erwähnt, passen die Umrisse des Raumes schlecht zu den runden Diagrammen der Access Points.
Um dieses Problem zu lösen, sollten zunächst die optimale Anzahl an Access Points verwendet und zweitens die gegenseitigen Beeinflussungen reduziert werden. Doch einfach die Sendeleistung der Transmitter manuell zu verringern – ein solches direkt eingreifendes Vorgehen kann zu einer Verschlechterung der Verbindung führen. Dies wird besonders spürbar sein, wenn einer oder mehrere Access Points ausfallen.
Auto Healing ermöglicht eine schnelle Anpassung der Leistung, ohne die Zuverlässigkeit und Datenübertragungsrate zu beeinträchtigen.
Bei der Nutzung dieser Funktion überwacht der Controller den Zustand und die Funktionalität der Access Points. Wenn einer dieser Punkte nicht funktioniert, erhalten die benachbarten Access Points den Befehl, ihre Signalstärke zu erhöhen, um die "weißen Flecken" zu füllen. Sobald der Access Point wieder in Betrieb ist, erhalten die Nachbarpunkte den Befehl, die Signalstärke zu reduzieren, um das Niveau der gegenseitigen Störungen zu senken.
Nahtloses WiFi-Roaming
Auf den ersten Blick mag es schwierig sein, diese Technologie als Sicherheitssteigerung zu bezeichnen; tatsächlich erleichtert sie sogar den Wechsel von Nutzern (einschließlich potenzieller Angreifer) zwischen Access Points innerhalb eines Netzwerks. Wenn jedoch zwei oder mehr Access Points eingesetzt werden, ist es wichtig, einen reibungslosen Betrieb ohne zusätzliche Probleme zu gewährleisten. Darüber hinaus kann eine überlastete Zugangsstelle ihre Schutzfunktionen wie Verschlüsselung weniger effektiv ausführen, was zu Verzögerungen beim Datenaustausch und anderen unerfreulichen Situationen führen kann. In diesem Zusammenhang bietet nahtloses Roaming eine wertvolle Unterstützung, um die Last flexibel zu verteilen und einen kontinuierlichen Betrieb im sicheren Modus zu gewährleisten.
Einstellungen der Signalstärkenwerte für die Verbindung und Trennung drahtloser Clients (Signal Threshold oder Signal Strength Range)
Bei der Nutzung eines einzelnen Zugangspunkts hat diese Funktion im Prinzip keine Relevanz. Wenn jedoch mehrere von einem Controller verwaltete Zugangspunkte im Einsatz sind, kann eine mobile Verteilung der Kunden auf verschiedene APs organisiert werden. Es ist erwähnenswert, dass Controller-Funktionen für Zugangspunkte in vielen Router-Serien von Zyxel vorhanden sind: ATP, USG, USG FLEX, VPN, ZyWALL.
In den oben genannten Geräten gibt es eine Funktion zum Trennen von Clients, die mit einem SSID mit schwachem Signal verbunden sind. "Schwach" bedeutet, dass das Signal unter dem Schwellenwert liegt, der am Controller festgelegt ist. Nachdem der Client getrennt wurde, sendet er eine Testanfrage, um nach einem anderen Zugangspunkt zu suchen.
Zum Beispiel, wenn ein Client mit einem Zugangspunkt verbunden ist, dessen Signal unter -65dBm liegt und der Trennschwellenwert für den Zugangspunkt -60dBm beträgt, trennt der Zugangspunkt den Client mit diesem Signalpegel. Der Client startet jetzt den Wiederverbindungsprozess und wird sich mit einem anderen Zugangspunkt verbinden, dessen Signal gleich oder größer als -60dBm ist (der Schwellenwert für das Signal des Zugangspunkts).
Dies spielt eine wichtige Rolle beim Einsatz mehrerer Zugangspunkte. Dadurch wird verhindert, dass sich die Mehrheit der Kunden an einem Punkt staut, während andere Zugangspunkte ungenutzt bleiben.
Darüber hinaus kann der Zugang für Kunden mit schwachem Signal, die sich wahrscheinlich am Rand des Gebäudes befinden, beispielsweise hinter einer Wand im benachbarten Büro, eingeschränkt werden. Diese Funktion kann somit auch als indirekte Sicherheitsmaßnahme betrachtet werden.
Der Umstieg auf WiFi 6 als eine Möglichkeit zur Erhöhung des Sicherheitsniveaus.
Über die Vorteile direkter Schutzmittel haben wir bereits in dem vorherigen Artikel gesprochen. «Merkmale des Schutzes von drahtlosen und kabelgebundenen Netzwerken. Teil 1 – Direkte Schutzmaßnahmen».
WiFi 6-Netzwerke bieten eine höhere Datenübertragungsgeschwindigkeit. Einerseits ermöglichen die neuen Standards eine Geschwindigkeitssteigerung, andererseits können noch mehr Zugangspunkte auf demselben Raum platziert werden. Der neue Standard erlaubt die Nutzung einer geringeren Leistung für die Übertragung bei höherer Geschwindigkeit.
Steigerung der Datenaustauschgeschwindigkeit..
Der Umstieg auf WiFi 6 ermöglicht eine Datenübertragungsgeschwindigkeit von bis zu 11 Gb/s (Modulationsart 1024-QAM, Kanäle 160 MHz). Neue Geräte, die WiFi 6 unterstützen, bieten dabei eine deutlich höhere Leistung. Eine der größten Herausforderungen bei der Implementierung zusätzlicher Sicherheitsmaßnahmen, wie z.B. einem VPN-Kanal für jeden Benutzer, ist der Geschwindigkeitsverlust. Mit WiFi 6 wird die Anwendung zusätzlicher Schutzsysteme jedoch einfacher.
BSS-Färbung
Früher haben wir erwähnt, dass eine gleichmäßigere Abdeckung das Eindringen des WiFi-Signals über den Perimeter verringert. Doch mit weiter steigender Anzahl an Access Points könnte sogar Auto Healing nicht ausreichen, da der 'fremde' Verkehr von benachbarten Punkten dennoch in den Empfangsbereich eindringen kann.
Bei der Verwendung von BSS-Färbung markiert der Access Point seine Datenpakete mit speziellen Kennzeichnungen. Dadurch kann der Einfluss benachbarter sendender Geräte (Access Points) ignoriert werden.
Verbessertes MU-MIMO
802.11ax bringt auch wichtige Verbesserungen bei der MU-MIMO-Technologie (Multi-User – Multiple Input Multiple Output) mit sich. MU-MIMO ermöglicht es einem Access Point, Daten gleichzeitig mit mehreren Geräten auszutauschen. Im vorhergehenden Standard konnte diese Technologie jedoch nur Gruppen von vier Client-Geräten auf einer Frequenz unterstützen. Dies erleichterte zwar den Datenaustausch, jedoch nicht den Empfang. WiFi 6 nutzt ein multiuser MIMO 8×8 für sowohl die Übertragung als auch den Empfang.
Hinweis. Der Standard 802.11ax vergrößert die Gruppengröße von MU-MIMO im Eingangsstrom und sorgt für eine effizientere WiFi-Netzwerkleistung. Der multiuser ausgehende Kanal MIMO ist eine neue Ergänzung zu 802.11ax.
OFDMA (Orthogonale Frequenzteilungs Multiple Zugriffe)
Dies ist eine neue Methode zum Zugang und zur Verwaltung von Kanälen, die auf Technologien basiert, die bereits in LTE-Mobilfunktechnologie erprobt wurden.
OFDMA ermöglicht es, mehrere Signale gleichzeitig über dieselbe Leitung oder denselben Kanal zu senden, indem für jede Übertragung ein Zeitintervall zugewiesen und Frequenzteilung angewendet wird. Dadurch erhöht sich nicht nur die Geschwindigkeit durch eine bessere Kanalausnutzung, sondern auch die Sicherheit.
Zusammenfassung
WiFi-Netzwerke werden mit jedem Jahr sicherer. Der Einsatz moderner Technologien ermöglicht ein angemessenes Schutzniveau.
Direkte Schutzmaßnahmen in Form von Datenverschlüsselung haben sich als sehr effektiv erwiesen. Vergessen wir nicht die zusätzlichen Maßnahmen: MAC-Filterung, das Verstecken der Netzwerk-ID und die Erkennung von Rogue APs (Eindämmung von Rogue APs).
Es gibt jedoch auch indirekte Maßnahmen, die die Zusammenarbeit drahtloser Geräte verbessern und die Datenübertragungsrate erhöhen.
Der Einsatz neuer Technologien ermöglicht es, das Signal von Zugangspunkten zu reduzieren und somit eine gleichmäßigere Abdeckung zu schaffen, was sich positiv auf die gesamte Leistung des drahtlosen Netzwerks auswirkt, einschließlich der Sicherheit.
Der gesunde Menschenverstand sagt uns, dass alle Mittel zur Verbesserung der Sicherheit gut sind: sowohl direkte als auch indirekte. Diese Kombination erschwert es Angreifern erheblich.
Nützliche Links:
- Eigenschaften des Schutzes von drahtlosen und kabelgebundenen Netzwerken. Teil 1 – Direkte Schutzmaßnahmen
Quelle: habr.com
