🥇Traadita ja juhtmega võrkude kaitse omadused. Osa 2 — Kaudsed kaitsemeetmed

Jätkame juttu võrgu turvalisuse tõstmiseks mõeldud meetoditest. Selles artiklis käsitleme täiendavaid turvameetmeid ja kuidas korraldada turvalisemaid juhtmeta võrke.

Eessõna teisele osale

Eelnevas artiklis „Juhtmeta ja traadiga võrkude kaitse eripära. Osa 1 — Otsesed kaitsemeetmed“ räägiti WiFi võrkude turvaprobleemidest ja otsesetest kaitsemeetoditest volitamata juurdepääsu eest. Käsitleti ilmselgeid meetmeid, et vältida andmete pealtkuulamist: krüpteerimine, võrgu peitmine ja MAC-aadresside filtreerimine, samuti erilised meetodid, näiteks Rogue AP vastu võitlemine. Kuid lisaks otsestele kaitsemeetoditele on olemas ka kaudsed. Need on tehnoloogiad, mis aitavad mitte ainult side kvaliteeti parandada, vaid ka turvalisuse tõhustamisel.

Kaks peamist omadust Traadita võrkudes: kaugjuhtimispult ja raadioeet jaotuse meediumina, kus iga signaali vastuvõtja võib eetris kuulata ja iga edastaja võib võrku täita kasutute edastustega ning lihtsalt raadiomüra tekitada. See mõjutab, peale muu, tõsiselt traadita võrgu üldist turvalisust.

Üksnes turvalisusega ei piisa. Tuleb veel kuidagi töötada, st andmeid vahetada. Ja sellel osal on WiFi palju muid pretensioone:

katkestused katvuses ("valged laigud");
välistest allikatest ja naaberjuurdepääsupunktide omavaheline mõju.

Sellest tulenevalt, eespool kirjeldatud probleemide tõttu, langeb signaali kvaliteet, ühendus kaotab stabiilsuse ja andmevahetuse kiirus kukub.

Muidugi, kaablivõrkude fännid rõhutavad, et kaabeldatud ja veel rohkem, optiliste kiudude ühenduste kasutamisel ei teki selliseid probleeme.

Küsimus tekib: kas on võimalik neid probleeme lahendada, ilma et peaks kasutama radikaalseid meetmeid, nagu kõigi rahulolematute üleviimine kaablivõrku?

Kus kõik probleemid algavad?

Aegadel, mil kontori ja muu WiFi võrgud alles sündisid, järgiti sageli lihtsat algoritmi: paigaldati üksainus juurdepääsupunkt perifeeria keskmesse maksimaalse katvuse saavutamiseks. Kui kaugematesse kohtadesse ei jätkunud signaali võimsust, lisati juurdepääsupunktile võimendav antenn. Teine juurdepääsupunkt lisati väga harva, näiteks kaugemale asuvasse direktoriruumi. See on ilmselt kõik täiustused.

Sellel lähenemisel olid omad põhjused. Esiteks, traadita võrkude algusaegadel oli nende varustus kallis. Teiseks, rohkemate juurdepääsupunktide paigaldamine tähendanuks silmitsi seismist küsimustega, millele siis vastuseid polnud. Näiteks, kuidas korraldada sujuvat kliendi üleminekut punktide vahel? Kuidas võidelda vastastikuse häirega? Kuidas lihtsustada ja korrastada punktide haldust, näiteks hoolduskeeldude / lubade korraga rakendamisel, jälgimisel ja nii edasi. Seega oli palju lihtsam lähtuda põhimõttest: mida vähem seadmeid, seda parem.

Samas ajal edastas lae all asetatud ligipääsupunkt ringikujulise (täpsemalt öeldes ümara) diagrammi järgi.

Kuid arhitektuuriliste hoonete vormid ei sobi väga hästi ringikujuliste signaali leviku diagrammidega. Seetõttu ei jõua signaal kuhugi, vajades tugevdamist, ja kuskil ulatub edastus kaugemale perimeetrist, muutudes välistele inimestele ligipääsetavaks.

Joonis 1. Näide katte kohta ühe punktiga kontoris.

Märkus. Räägime siin jämedast hinnangust, kus ei arvestata takistusi leviku teel, samuti signaali suunda. Praktiliselt võivad erinevate mudelite punktide diagrammi vormid erineda.

Olukorda saab parandada, kui kasutada rohkem ligipääsupunkte.

Esiteks võimaldab see paremini jaotada edastusseadmeid ruumi ulatuses.

Teiseks, on võimalus signaali taset alandada, vältides selle ülekandumist kontori või muu objekti piiridest välja. Sel juhul tuleb traadita võrgu liiklust lugeda, peaaegu et piirile läheneda või isegi selle sisse siseneda. Umbes sama moodi toimib ka ründaja, et tungida sisse sisevõrku.

Joonis 2. Lisapunktide arv parandab katvuse jaotust.

Vaatame veel kord kahte joonist. Esimesel on selgelt nähtav üks traadita võrgu peamisi haavatavusi — signaali saab kinni püüda märkimisväärselt kaugelt.

Teisel joonisel ei ole olukord nii kehv. Mida rohkem on ligipääsupunkte, seda tõhusam on katteala, ja signaali tugevus ei ületa peaaegu enam perimeetri piire, lihtsalt öeldes, vajadus jääda kabineti, büroo, hoone ja teiste võimalike objektide piiride sisse.

Ründaja peab kuidagi märkamatult lähenema, et haarata suhteliselt nõrk signaal "väljast" või "koridorist" ja nii edasi. Selleks peab ta lähedale tulema kontorihoonele, et näiteks seista akende all. Või püüda siseneda kontorihoonesse. Sellega tõuseb märkimisväärselt oht "kaamera ette jääda", olla turvatöötajate tähelepanu all. Samuti lüheneb rünnaku ajavahemik oluliselt. Seda on juba raske nimetada "ideaalseteks tingimusteks häkkimiseks".

Muidugi jääb alles veel üks "esimene patt": traadita võrgud edastavad signaali avatud sagedusel, mida saavad kuulata kõik kliendid. Tõepoolest, WiFi-võrku võib võrrelda Ethernet-HUB-iga, kus signaal edastatakse otse kõigile portidele. Selle vältimiseks peaks ideaalis iga seadme paar suhtlema oma sageduskanalil, millele ei peaks keegi teine segama.

Siin on lühidalt välja toodud peamised probleemid. Vaatame võimalusi nende lahendamiseks.

Kaitsevahendid: otsesed ja kaudsed

Kuna juba eelnevas artiklis mainitud, ei saa me ideaalset kaitset saavutada. Kuid rünnaku teostatavust saab maksimaalselt raskendada, muutes tulemuse ebaefektiivseks võrreldes tehtud pingutustega.

Kaitsevahendeid võib tinglikult jagada kaheks peamiseks rühmaks:

otsekaitsetehnoloogiad, nagu krüpteerimine või MAC-põhine filtreerimine;
tehnoloogiad, mis on algselt ette nähtud muude eesmärkide jaoks, näiteks kiirusetõstmiseks, kuid samas kaudselt raskendavad küberkurjategijate tööd.

Esimese rühma kohta rääkisime esimeses osas. Kuid meie arsenalis on ka täiendavad kaudsed meetmed. Nagu juba eespool mainitud, suurendab juurdepääsupunktide arvu tõstmine signaali taset ja muudab katteala ühtlasemaks, mis omakorda raskendab küberkurjategijate tegevust.

Veel on oluline — andmeedastuskiirus suurendab täiendavate turvameetmete rakendamise lihtsust. Näiteks saab igaühele sülearvutisse installida VPN-klienti ja edastada andmeid isegi kohalikus võrgus krüpteeritud kanalite kaudu. See nõuab mõningaid ressursse, sealhulgas riistvara, kuid see suurendab oluliselt kaitset.

Allpool toome välja tehnoloogiad, mis võimaldavad parandada võrgu toimimist ja kaudselt suurendada kaitse taset.

Kaudsed meetmed kaitse parandamiseks — mis võiks aidata?

Client Steering

Client Steering funktsioon võimaldab kliendi seadmetel esialgu kasutada 5GHz sagedust. Kui see võimalus pole kliendile kättevõetav, saab ta siiski kasutada 2.4GHz. Vanadele võrkudele, millel on vähe juurdepääsupunkte, töötab peamine tegevus 2.4GHz sagedusalas. 5GHz sageduspiirkonnas osutub ühekohaline juurdepääsupunkt paljuski sobimatuks. Punkt on selles, et kõrgema sagedusega signaal läbib seinu ja takistusi halvemini. Tavaline soovitus: 5GHz sageduse usaldusväärseks ühenduse tagamiseks on parem töötada otse juurdepääsupunktist.

Kaasaegsete 802.11ac ja 802.11ax standardite tõttu on suurema kanali arvu tõttu võimalik paigutada mitmeid juurdepääsupunkte lähemale, mis võimaldab vähendada võimsust, samal ajal andmete edastamise kiirusest ilma kaotamata ning isegi võita. Seetõttu muudab 5GHz sageduse kasutamine ründajate elu keerulisemaks, kuid parandab ühenduse kvaliteeti klientidele, kes on ligipääsetavuse ulatuses.

Antud funktsioon on esindatud:

Nebula ja NebulaFlex juurdepääsupunktides;
tulekahjukaitsega seadmetes, millel on kontrolleri funktsioon.

Auto Healing

Nagu ülal mainitud, ei sobi ruumi perimeetri kontuurid hästi ümmargustesse juurdepääsupunktide diagrammidesse.

Selle probleemi lahendamiseks tuleb kõigepealt kasutada optimaalse arvu juurdepääsupunkte ja teiseks vähendada vastastikust mõju. Kuid kui võtta ja manuaalselt edastajate võimsust vähendada — siis selline otsene sekkumine võib põhjustada side kvaliteedi halvenemist. See on eriti märgatav, kui mõni või mitu juurdepääsupunkti on välja lülitatud.

Auto Healing võimaldab kohandada võimsust ilma usaldusväärsuse ja andmeedastuskiiruseta.

Selle funktsiooni kasutamisel kontrollib kontroller juurdepääsupunktide seisukorda ja töökorras olekut. Kui mõni neist ei tööta, saavad naaberpunktid korralduse signaalivõimsust suurendada, et täita 'valge täpp'. Pärast seda, kui juurdepääsupunkt on jälle töökorras, saavad naaberpunktid korralduse signaalivõimsust vähendada, et vähendada vastastikuseid häireid.

Seamless WiFi rändlus

Esmapidamisel on seda tehnoloogiat raske nimetada turvalisuse taset tõstvaks, pigem vastupidi, kuna see lihtsustab kliendi (sealhulgas ründaja) üleminekut juurdepääsupunktide vahel samas võrgus. Kuid kui kasutatakse kahte või enam juurdepääsupunkti, on oluline tagada sujuv töö ilma liigsete probleemideta. Lisaks sellele, kui juurdepääsupunkt on üle koormatud, ei suuda see efektiivselt täita kaitsefunktsioone, nagu krüpteerimine, tekivad viivitused andmevahetuses ja teised ebameeldivad asjad. Sellisel juhul on sujuv rändamine suur abimees, et paindlikult jagada koormust ja tagada katkestusteta töötamine kaitstud režiimis.

Signaalitaseme künniste seadistamine traadita klientide ühendamiseks ja lahutamiseks (Signal Threshold või Signal Strength Range)

Ühe juurdepääsupunkti kasutamisel pole see funktsioon põhimõtteliselt tähtis. Kuid kui töötavad mitu, mis on juhtme kaudu hallatavad, saab korraldada klientide mobiilset jaotust erinevatesse AP-desse. Tasub meeles pidada, et juurdepääsupunktide kontrolleri funktsioonid on paljudes Zyxel'i marsruuteri mudelites, sealhulgas ATP, USG, USG FLEX, VPN ja ZyWALL.

Ülaltoodud seadmetes on funktsioon, mis võimaldab välja lülitada kliendi, kes on ühendatud nõrga signaaliga SSID-iga. «Nõrk» tähendab, et signaal on madalam kui kontrolleris seadistatav lävi. Pärast kliendi väljalülitamist saadab see proovinõude teise juurdepääsupunkti leidmiseks.

Näiteks, kui klient on ühendatud juurdepääsupunktiga, mille signaal on alla -65dBm, ja kui lahtiühendamise lävi on -60dBm, siis sellisel juhul väljub juurdepääsupunkt kliendist sellise signaalitasemega. Nüüd käivitab klient uuesti ühendumise protseduuri ja ühendub juba teise juurdepääsupunktiga, mille signaal ületab või on võrreldav -60dBm-ga (jaamade signaalilävi).

See mängib olulist rolli mitme juurdepääsupunkti kasutamisel. Sellega välditakse olukorda, kus enamik kliente koondub ühte punkti, samas kui teised juurdepääsupunktid jäävad kasutamata.

Lisaks on võimalik piirata ühendust nõrkade signaalidega klientidega, kes tõenäoliselt asuvad ruumi servas, näiteks naaberiigis oleva seina taga, mis võimaldab seda funktsiooni käsitleda kaudse kaitse meetodina.

Üleminek WiFi 6-le kui üks meetoditest turvalisuse taseme tõstmiseks

Oleme juba varasemates artiklites rääkinud otsekaitsest saadavatest eelistest „Juhtmeta ja traadiga võrkude kaitse eripära. Osa 1 — Otsesed kaitsemeetmed“.

WiFi 6 võrgud pakuvad kõrgemat andmeedastuskiirus. Ühest küljest võimaldab uus standard kiirusetõusu, teisest küljest paigutada veelgi rohkem juurdepääsupunkte samale alale. Uus standard võimaldab edastada madalama võimsusega, saavutades kõrgema kiirus.

Andmevahetuse kiirus.

WiFi 6 üleminek toob kaasa andmeedastuse kiiruseni 11 Gb/s (modulatsiooni tüüp 1024-QAM, 160 MHz kanalid). Samuti pakuvad uued seadmed, mis toetavad WiFi 6, suuremat jõudlust. Üks peamisi väljakutseid, kui rakendada täiendavaid turvameetmeid, nagu iga kasutaja jaoks VPN-kanal, on kiirusetõus. WiFi 6 abil on kergem rakendada täiendavaid kaitsesüsteeme.

BSS värvimine

Varasemalt oleme maininud, et ühtlasem katvus vähendab WiFi signaali tungimist piiri taha. Kuid kui juurdepääsupunktide arv veelgi kasvab, siis isegi Auto Healing'i kasutamine võib osutuda ebapiisavaks, kuna „võõras“ liiklus naaberpunktist tungib ikkagi vastuvõtualasse.

BSS värvimise kasutamisel jätab juurdepääsupunkt oma andmepakettidesse spetsiaalsed märgised (värvib). See võimaldab ignoreerida naaberrakenduste (juurdepääsupunktide) mõju.

Parandatud MU-MIMO

802.11ax toob olulisi täiustusi MU-MIMO (Multi-User — Multiple Input Multiple Output) tehnoloogias. MU-MIMO võimaldab juurdepääsupunktil andmeid samaaegselt vahetada mitme seadmega. Kuid eelnevas standardis suutis see tehnoloogia toetada ainult nelja kliendi rühma ühel sagedusel. See lihtsustas edastamist, kuid mitte vastuvõttu. WiFi 6 kasutab mitme kasutaja MIMO 8×8 edastamiseks ja vastuvõtmiseks.

Märkus. Standard 802.11ax suurendab MU-MIMO rühmade suurust sissetulevas voos, tagades tõhusama WiFi võrgu jõudluse. Mitme kasutaja väljaminev MIMO kanal on uus täiendus 802.11ax-le.

OFDMA (Orthogonal frequency-division multiple access)

See on uus meetod kanalitele ja juhtimisele, mis on välja töötatud tehnoloogiate põhjal, mida on juba katsetatud LTE mobiilside tehnoloogias.

OFDMA võimaldab edastada rohkem kui ühte signaali samaaegselt sama liini või kanali kaudu, määrates igale edastusele ajavahemiku ja rakendades sagedusjagamist. Selle tulemusena suureneb mitte ainult kiire kasutamisega kanalite efektiivsus, vaid ka turvalisus.

Kokkuvõte

WiFi-võrgud muutuvad iga aastaga üha turvalisemaks. Kaasaegsete tehnoloogiate kasutamine võimaldab saavutada vastuvõetava kaitsetaseme.

Otsesed kaitsemeetodid, nagu andmeliikluse krüpteerimine, on end tõestanud. Ärme unustame ka täiendavaid meetmeid: MAC-aadressi filtreerimine, võrgu identifikaatori varjamine ja Rogue AP tuvastamine (Rogue AP tõrjumine).

Kuid on ka kaudseid meetmeid, mis parandavad traadita seadmete koostööd ja suurendavad andmevahetuse kiirus.

Uute tehnoloogiate kasutamine võimaldab vähendada punktide signaali taset, muutes katvuse ühtlasemaks, mis avaldab positiivset mõju kogu traadita võrgu, sealhulgas turvalisuse, olukorrale.

Mõistus ütleb, et turvalisuse suurendamiseks sobivad kõik vahendid: nii otsesed kui ka kaudsed. See kombinatsioon muudab kurjategija elu võimalikult keeruliseks.