🥇Traadita ja juhtmevõrkude kaitse eripära. Osa 2 — Kaudsed kaitsemeetmed

Jätkame juttu võrgu turvalisuse suurendamise meetoditest. Selles artiklis arutame täiendavaid turvameetmeid ja kuidas korraldada paremini kaitstud traadita võrke.

Sissejuhatus teisele osale

Eelmisel artiklil „Traadita ja juhtmete kaudu edastamise võrgu kaitsmise eripära. Osa 1 – Otsesed kaitsemeetmed“ Käsitleti WiFi turvaprobleeme ja otseseid kaitsemeetodeid volitamata juurdepääsu vastu. Arutati ilmselgeid meetmeid, et vältida andmevoo pealtkuulamist: krüpteerimine, võrgu peitmine ja MAC-filtreerimine, samuti spetsiaalsed meetodid, näiteks Rogue AP-de vastu võitlemine. Kuid lisaks otsestele kaitsemeetoditele on olemas ka kaudseid viise. Need on tehnoloogiad, mis mitte ainult ei paranda suhtluse kvaliteeti, vaid aitavad ka kaitset tugevdada.

Kaks peamist omadust traadita võrkude puhul: kaugtööstuslik juurdepääs ja raadiosignaal kui andmeedastus keskkond, kus iga signaali vastuvõtja saab eetris pealt kuulata ja iga edastaja võib võrku täita kasutu edastamisega ning lihtsalt raadiomüra tekitada. See, lisaks muule, ei mõjuta traadita võrgu üldist turvalisust kõige paremini.

Ühega turvalisusest ainuisikuliselt ei piisa. On vaja ka mingil moel töötada, st andmeid vahetada. Ja sellelt poolt on WiFi suhtes palju teisi kaebusi:

katkised katvused („valged laigud“);
välistest allikatest ja naabertugipunktidest üksteisele mõju.

Tulemusena vähendab kirjeldatud probleemide tõttu signaali kvaliteet, suhe muutub ebastabiilseks, andmevahetuse kiirus langeb.

Muidugi rõhutavad juhtmevõrkude toetajad rõõmuga, et kaabel- ja veelgi enam kiudoptiliste ühenduste kasutamise korral ei esine selliseid probleeme.

Küsimus tekib: kas on võimalik neid probleeme kuidagi lahendada, kasutamata mingeid radikaalseid meetmeid, nagu näiteks kõik rahulolematud juhtmevõrgule ümber ühendada?

Kus on kõik probleemide algus?

Kuna kontorite ja muude WiFi-võrkude loomise alguses järgiti enamasti lihtsat algoritmi: paigaldati üksainus ligipääsupunkt keskmesse, et saavutada maksimaalne katvus. Kui signaali tugevus kaugetes kohtades ei piisanud, lisati ligipääsupunktile võimendav antenn. Teise ligipääsupunkti lisamine, näiteks kauges juhtimise kabinetis, juhtus väga harva. Seda võib julgelt pidada ainukeseks täiustuseks.

Selline lähenemine oli põhjendatud. Esiteks, traadita võrgu seadmed maksid algusaegadel palju. Teiseks, rohkemate ligipääsupunktide paigaldamine tähendas, et tuli silmitsi seista küsimustega, millele tookord vastuseid ei olnud. Näiteks, kuidas korraldada sujuvat üleminemist klientide vahel ligipääsupunktide vahel? Kuidas võidelda omavahelise häiretega? Kuidas lihtsustada ja organiseerida ligipääsupunktide haldamist, näiteks samaaegseid keelde/lubamisi, jälgimist ja nii edasi. Seetõttu oli palju lihtsam järgida põhimõtet: mida vähem seadmeid, seda parem.

Sama ajal edastati ligipääsupunkt, mis oli paigaldatud lae alla, ringikujuliselt (täpsemalt öeldes, ümaras) diagrammis.

Kuid arhitektuuriliste ehitiste kujundid ei sobi hästi ringikujuliste signaalide levikudiagrammide jaoks. Seetõttu ei jõua signaal peaaegu kuhugi ning seda tuleb võimendada, samas kui mõnes kohas levik ületab perimeetri ja muutub kergesti kätte saadavaks kõrvalistele isikutele.

Joonis 1. Näide katvusest, kasutades ainsat ligipääsupunkti kontoris.

Märkus. Jutt on ligikaudse lähenemise kohta, kus ei arvestata levimise takistusi ega signaali suunda. Praktikas võivad erinevate ligipääsupunktide mudelite diagrammid varieeruda.

Olukorda saab parandada, kui kasutada rohkem ligipääsupunkte.

Esiteks võimaldab see tõhusamalt jaotada edastavaid seadmeid ruumi ulatuses.

Teiseks, avaneb võimalus vähendada signaali taset, takistades selle väljumist kontori või muu objekti perimeetrist. Sel juhul tuleb traadita võrgu liikluse jälgimiseks peaaegu perimeetri lähedale minna või isegi selle piiridesse siseneda. Umbes samamoodi käitub ründaja, et tungida sisevõrku.

Joonis 2. Juhtpunktide arvu suurendamine võimaldab katte paremat jaotamist.

Vaadakem veel kord mõlemaid jooniseid. Esimesel on selgelt näha üks peamisi juhtmeid juhtiva võrgu nõrkusi - signaali saab püüda märkimisväärse kauguse kauguselt.

Teisel joonisel ei ole olukord nii kriitiline. Mida rohkem on juurdepääsupunkte, seda tõhusam on katteala ja signaali tugevus ei ulatu peaaegu kunagi perimeetrist kaugemale, ütleme, kontori, büroo, hoone või muude võimalike objektide piiridest.

Kurjategijal tuleb kuidagi varjatult läheneda, et püüda suhteliselt nõrk signaal „väljast“ või „koridorist“ ja nii edasi. Selleks tuleb maja lähedale, et näiteks seista akende all. Või proovida siseneda kontorisse. Igal juhul suurendab see riski „kaamera alla jääda“, sattuda turvameeste silma. Sellega seoses väheneb ka rünnaku ajavahemik. Seda on juba raske nimetada „ideaalseks häkkimise tingimuseks“.

Muidugi jääb alles veel üks „patune süü”: traadita võrgud edastavad signaali avatud sagedusvahemikus, mida võivad püüda kõik kliendid. Tõepoolest, WiFi võrku võib võrrelda Ethernet-HUBiga, kus signaal edastatakse kohe kõigile portidele. Selle vältimiseks peaks ideaalis iga seadmete paar suhtlema oma sageduskanalis, kuhu ei tohi keegi teine sekkuda.

Siin on lühidalt peamised probleemid. Vaatame nende lahendamise teid.

Kaitsevahendid: otsesed ja kaudsed

Kuna eelnevalt mainitud artiklis juba öeldi, ei ole ideaalset kaitset kunagi võimalik saavutada. Kuid rünnaku teostamine saab maksimaalselt keerukaks, muutes tulemuse mittetasuvaks võrreldes tehtud pingutustega.

Kaitsevahendid võib tinglikult jagada kaheks peamiseks rühmaks:

otsesed tehnoloogiad, mis kaitsevad liiklust, nagu krüpteerimine või MAC-filterimine;
tehnoloogiad, mis on algselt mõeldud muudel eesmärkidel, näiteks kiirusetõstmiseks, kuid mis kaudselt raskendavad kurjategijate elu.

Esimese grupi kohta räägiti esimeses osas. Kuid meie arsenalis on ka täiendavaid kaudseid meetmeid. Nagu juba eespool mainitud, võimaldab juurdekasv juurdepääsupunktide arvu vähendada signaali taset ja muuta katteala ühtlasemaks, mis raskendab pahatahtlike tegevust.

Veel üks nüanss – andmeedastuskiirus tõhustab täiendavate turvameetmete rakendamist. Näiteks saab igasse sülearvutisse paigaldada VPN-klienti ja edastada andmeid isegi kohalikus võrgus krüpteeritud kanalite kaudu. See nõuab teatavaid ressursse, sealhulgas riistvara, kuid kaitse tase suureneb oluliselt.

Allpool toome välja tehnoloogiate kirjelduse, mis võimaldavad parandada võrgu toimimist ja kaudselt suurendada kaitsetaset.

Kaudsed kaitseparandamise vahendid – mis võiks aidata?

Client Steering

Client Steering funktsioon soovitab kliendi seadmetel alguses kasutada 5GHz sagedusriba. Kui see võimalus ei ole kliendile kättesaadav, saab ta ikkagi kasutada 2.4GHz. Vana tüüpi võrkudes, kus on vähe juurdepääsupunkte, põhineb peamine töö 2.4GHz sagedusel. 5GHz sagedusalal on ühe juurdepääsupunkti skeem paljude olukordade jaoks vastuvõetamatu. Asi on selles, et kõrgema sagedusega signaal läbib seinu ja takistusi halvemini. Üldine soovitus: et tagada usaldusväärne ühendus 5GHz sagedusalas, on parem töötada vaateulatuses juurdepääsupunktist.

Kaasaegsete standardite 802.11ac ja 802.11ax puhul on suurema kanalite arvu tõttu võimalik paigaldada mitu juurdepääsupunkti lähemale, mis võimaldab vähendada võimsust, samas andmeside kiirus ei kaotu, vaid isegi tõuseb. Lõppkokkuvõttes teeb 5GHz sageduse kasutamine pahatahtlike elu keerulisemaks, kuid parandab ühenduse kvaliteeti klientidele, kes on kättesaadavuse piirides.

See funktsioon on esitlets:

Nebula ja NebulaFlex juurdepääsupunktides;
tulekindlatesse seadmetesse, mis sisaldavad kontrolleri funktsiooni.

Auto Healing

Nagu juba eespool mainitud, ei sobi ruumi perimeetri kontuurid hästi ümardatud juurdepääsupunktide diagrammidesse.

Selle probleemi lahendamiseks tuleb esmalt kasutada optimaalses koguses juurdepääsupunkte ning teiseks vähendada omavahelist mõju. Kui aga lihtsalt võtta ja käsitsi edastajate võimsust vähendada — selline otsekohene sekkumine võib viia ühenduse halvenemiseni. Eriti on see märgata, kui üks või mitu juurdepääsupunkti ebaõnnestuvad.

Auto Healing võimaldab kiiresti reguleerida võimsust ilma usaldusväärsuse ja andmeedastuskiirusest loobumiseta.

Selle funktsiooni kasutamisel kontrollib kontroller juurdepääsupunktide seisundit ja töökindlust. Kui üks neist ei tööta, siis saavad naaberpunktid korralduse suurendada signaali võimet, et täita 'valge laik'. Kui juurdepääsupunkt tööle naaseb, saavad naaberpunktid korralduse vähendada signaali võimet, et vähendada omavahelist segamist.

Järjepidev WiFi rändamine

Esmapilgul on seda tehnoloogiat raske nimetada turvalisuse taseme tõstmiseks, pigem vastupidi, sest see lihtsustab kliendi (sealhulgas pahatahtliku isiku) vahetust juurdepääsupunktide vahel ühes võrgus. Kuid kui kasutatakse kahte või enamat juurdepääsupunkti, tuleb tagada mugav töö ilma liigsete probleemideta. Lisaks, kui juurdepääsupunkt on üle koormatud, ei suuda ta paremini täita kaitsefunktsioone, nagu krüpteerimine, andmeedastus viibib ja muud ebameeldivad asjad. Sellega seoses on järjepidev rändamine suureks abiks, et paindlikult jaotada koormust ja tagada katkestusteta töö kaitstud režiimis.

Signaali taseme ühendamise ja katkestamise läveväärtuste seadistamine (Signal Threshold või Signal Strength Range)

Ühe juurdepääsupunkti kasutamisel ei oma see funktsioon põhimõtteliselt tähtsust. Kuid juhul, kui töötab mitu punkti, mida juhib kontroller, on võimalik korraldada klientide liikuv jaotus erinevate AP-de vahel. Tuleb meeles pidada, et juurdepääsupunktide kontrolleri funktsioonid on paljude Zyxel'i ruuteri seeriate, nagu ATP, USG, USG FLEX, VPN, ZyWALL, hulgas.

Ülaltoodud seadmetes on funktsioon, mis võimaldab katkestada kliendi ühendus SSID-ga, mille signaal on nõrk. «Nõrk» tähendab, et signaal on madalam kui kontrolleris seadistatud lävi. Pärast seda, kui klient on katkestatud, saadab ta proovi päringu, et leida teine juurdepääsupunkt.

Näiteks, kui klient on ühendatud juurdepääsupunktiga, mille signaal on madalam kui -65dBm, ja katkestamise lävi on -60dBm, katkestab juurdepääsupunkt sel juhul kliendi sellise signaalitasemega. Nüüd alustab klient uuesti ühenduse loomise protseduuri ja ühendub juba teise juurdepääsupunktiga, mille signaal on võrdne või suurem kui -60dBm (jaama signaali lävi).

See mängib olulist rolli mitme juurdepääsupunkti kasutamisel. Nii takistatakse olukorda, kus enamiku klientidest koondub ühte punkti, samas kui teised juurdepääsupunktid jäävad kasutamata.

Lisaks sellele on võimalik piirata nõrkade signaalidega klientide ühendust, kelle tõenäoliselt asuvad ruumi perimeetris, näiteks seina taga naaberbüroos, mis võimaldab seda funktsiooni käsitada ka kaudse kaitse meetodina.

Üleminek WiFi 6-le kui üks võimalus turvalisuse taseme tõstmiseks

Direktsete kaitsevahendite eeliste üle oleme varem juba eelmises artiklis rääkinud „Traadita ja juhtmete kaudu edastamise võrgu kaitsmise eripära. Osa 1 – Otsesed kaitsemeetmed“.

WiFi 6 võrgud pakuvad kõrgemat andmeedastuse kiirus. Ühelt poolt võimaldab uus standardite rühm suurendada kiirus, teiselt poolt - paigaldada veelgi rohkem juurdepääsupunkte samale alale. Uus standard võimaldab kasutada madalamat võimsust kõrgema kiiruseni edastamiseks.

Andmevahetuse kiirus.

Üleminek WiFi 6-le tähendab andmevahetuse kiiruseni tõusmist kuni 11Gb/s (modulatsiooni tüüp 1024-QAM, kanalid 160 MHz). Samuti omavad uued WiFi 6 toega seadmed paremat jõudlust. Üks peamisi probleeme täiendavate turvameetmete rakendamisel, näiteks VPN-kanali loomiseks igale kasutajale, on kiirusel vähenemine. WiFi 6 teeb täiendavate kaitsestruktuuride rakendamise lihtsamaks.

BSS Coloring

Varem oleme kirjutanud, et ühtlasem katvus võimaldab vähendada WiFi signaali levikut perimeetri ümbruses. Kuid kui juurdepääsupunktide arv kasvab, võib isegi Auto Healing'i kasutamine osutuda ebapiisavaks, kuna naaberpunktide 'välise' liikluse levik jääb vastuvõtualasse.

BSS Coloring'i kasutamisel jätab juurdepääsupunkt oma andmepakettidesse erilisi silte (värvib). See võimaldab ignoreerida naaberseadmestikest (juurdepääsupunktidest) tulenevat mõju.

Parandatud MU-MIMO

802.11ax'is on ka MU-MIMO (Multi-User — Multiple Input Multiple Output) tehnoloogia olulised täiustused. MU-MIMO võimaldab juurdepääsupunktil vahetada andmeid mitme seadmega samaaegselt. Kuid eelnevas standardis suutis see tehnoloogia toetada ainult nelja kliendi rühma ühel sagedusel. See lihtsustas edastamist, kuid mitte vastuvõttu. WiFi 6 kasutab mitme kasutaja MIMO 8×8 edastamiseks ja vastuvõtmiseks.

Märkus. Standard 802.11ax suurendab MU-MIMO rühmade suurust sisendvoolus, tagades tõhusama WiFi võrgu jõudluse. Mitme kasutaja väljundkanal MIMO on uus täiendus 802.11ax'ile.

OFDMA (ortogonaalne sagedusjaotuse mitme ligipääsu meetod)

See on uus meetod kanalite ligipääsuks ja haldamiseks, mis on välja töötatud tehnoloogiate alusel, mida on juba testitud LTE mobiilside tehnoloogias.

OFDMA võimaldab ühel ja samal liinil või kanalil saata rohkem kui ühte signaali samal ajal, määrates iga edastuse jaoks ajavahemiku ja rakendades sageduse jagamist. Selle tulemusena suureneb mitte ainult kiirus parema kanalikasutuse tõttu, vaid ka turvalisus.

Elulookirjeldus

WiFi võrgud muutuvad iga aastaga järjest turvalisemaks. Kaasaegsete tehnoloogiate kasutamine võimaldab tagada vastuvõetava kaitsetaseme.

Otsesed kaitsemeetodid, näiteks liikluse krüptimine, on end hästi tõestanud. Samuti ei tohi unustada täiendavaid meetmeid: MAC filtreerimine, võrgu identifikaatori varjamine, Rogue AP avastamine (Rogue AP containment).

Kuid on ka kaudseid meetmeid, mis parandavad traadita seadmete koostööd ja suurendavad andmevahetuse kiirus.

Uute tehnoloogiate kasutamine võimaldab vähendada signaalitaset punktidest, muutes katvuse ühtlasemaks, mis kajastub hästi kogu traadita võrgu heaolus, kaasa arvatud selle turvalisuses.

Terve mõistus ütleb, et turvalisuse suurendamiseks on head kõik meetodid: nii otsesed kui ka kaudsed. Selline kombinatsioon võimaldab maksimaalselt raskendada elukeskkonda kurjategijale.