🥇Caratteristiche della protezione delle reti wireless e cablate. Parte 2 — Misure di protezione indirette

Continuiamo la conversazione sui metodi per aumentare la sicurezza delle reti. In questo articolo parleremo di ulteriori misure di sicurezza e di come organizzare reti wireless più protette.

Prefazione alla seconda parte

Nell'articolo precedente «Caratteristiche della protezione delle reti wireless e cablate. Parte 1 — Misure dirette di protezione» Si è discusso dei problemi di sicurezza delle reti WiFi e dei metodi diretti di protezione contro accessi non autorizzati. Sono state esaminate misure ovvie per prevenire l'intercettazione del traffico: crittografia, occultamento della rete e filtraggio per MAC, così come metodi speciali, ad esempio, prevenzione degli AP Rogue. Tuttavia, oltre ai modi diretti di protezione, esistono anche metodi indiretti. Si tratta di tecnologie che non solo aiutano a migliorare la qualità della comunicazione, ma contribuiscono anche a migliorare la sicurezza.

Due principali caratteristiche delle reti wireless: accesso remoto senza contatto e lo spettro radio come ambiente di trasmissione dati broadcasting, dove qualsiasi ricevitore di segnale può ascoltare l'emittente, mentre qualsiasi trasmettitore può saturare la rete con trasmissioni inutili e semplici interferenze radio. Ciò, tra l'altro, influisce negativamente sulla sicurezza generale della rete wireless.

Non si può vivere solo di sicurezza. Bisogna anche lavorare, ovvero scambiare dati. E da questo punto di vista, ci sono molte altre lamentele riguardo al WiFi:

zone d’ombra nella copertura («macchie bianche»);
l'influenza delle sorgenti esterne e dei punti di accesso vicini l'uno sull'altro.

Di conseguenza, a causa dei problemi sopra descritti, la qualità del segnale diminuisce, la connessione perde stabilità e la velocità di scambio dei dati si riduce.

Ovviamente, gli appassionati delle reti cablate sottolineeranno con piacere che nell'uso di connessioni cablate e, tanto più, in fibra ottica, questi problemi non si presentano.

Sorge la domanda: è possibile risolvere queste problematiche senza ricorrere a mezzi drastici come ricollegare tutti gli utenti insoddisfatti alla rete cablata?

Dove ha origine tutti questi problemi?

Al momento della nascita delle reti WiFi e di altre reti, si seguiva spesso un algoritmo semplice: si installava un'unica access point al centro del perimetro per massimizzare la copertura. Se per le aree remote la potenza del segnale non era sufficiente, si aggiungeva un'antenna amplificatrice all'access point. Molto raramente si aggiungeva un secondo access point, ad esempio, per l'ufficio del direttore. Ecco, questo è tutto il miglioramento possibile.

Questo approccio aveva le sue ragioni. In primo luogo, all'inizio dello sviluppo delle reti wireless, l'attrezzatura costava cara. In secondo luogo, installare più access point significava affrontare questioni per le quali allora non c'erano risposte. Ad esempio, come organizzare il passaggio senza interruzione per il cliente tra i punti? Come combattere l'interferenza reciproca? Come semplificare e ordinare la gestione dei punti, per esempio, applicando contemporaneamente divieti/permissive, monitoraggio e così via. Pertanto, era molto più semplice seguire il principio: meno dispositivi, meglio è.

Allo stesso tempo, l'access point posizionato sotto il soffitto emetteva un segnale secondo un diagramma circolare (o meglio, ovale).

Tuttavia, le forme degli edifici architettonici non si adattano molto bene ai diagrammi ovali di diffusione del segnale. Pertanto, il segnale non arriva quasi da nessuna parte, e deve essere amplificato, mentre in alcune aree la trasmissione supera i limiti del perimetro e diventa accessibile a estranei.

Figura 1. Esempio di copertura con l'uso di un singolo punto in ufficio.

Nota. Si tratta di un'approssimazione grossolana che non tiene conto degli ostacoli alla propagazione e della direzionalità del segnale. Nella pratica, le forme dei diagrammi possono differire per i vari modelli di access point.

La situazione può migliorare se si utilizzano più access point.

In primo luogo, ciò consente di distribuire in modo più efficace i dispositivi di trasmissione nell'area della stanza.

In secondo luogo, si presenta l'opportunità di ridurre il livello del segnale, impedendogli di uscire oltre il perimetro dell'ufficio o di un altro oggetto. In questo caso, per rilevare il traffico della rete wireless, è necessario avvicinarsi quasi al perimetro o addirittura entrare nei suoi limiti. Funziona più o meno allo stesso modo di un malintenzionato che cerca di infiltrarsi nella rete cablata interna.

Figura 2. L'aumento del numero di punti d'accesso consente una migliore distribuzione della copertura.

Riconsideriamo entrambi i disegni. Nel primo si evidenzia chiaramente una delle principali vulnerabilità delle reti wireless: il segnale può essere captato a una distanza considerevole.

Nel secondo disegno la situazione non è così critica. Maggiore è il numero di punti d'accesso, più efficace è l'area di copertura e la potenza del segnale non esce quasi mai dai confini del perimetro, per così dire, dai confini dell'ufficio, dell'edificio e di altri possibili oggetti.

Il malintenzionato dovrà avvicinarsi in modo discreto per intercettare un segnale relativamente debole "dalla strada" o "dal corridoio", e così via. Per questo dovrà avvicinarsi all'edificio commerciale, per esempio, posizionandosi sotto le finestre. Oppure tentare di penetrare all'interno dell'edificio stesso. In ogni caso, ciò aumenta il rischio di "essere ripresi" dalla videosorveglianza, di attirare l'attenzione della sicurezza. Inoltre, riduce notevolmente l'intervallo di tempo per l'attacco. Questo non si può più definire "condizioni ideali per un attacco".

Naturalmente, rimane un altro "peccato originale": le reti wireless trasmettono in un intervallo disponibile che può essere captato da tutti i clienti. Infatti, la rete WiFi può essere paragonata a un hub Ethernet, dove il segnale viene inviato immediatamente a tutte le porte. Per evitare ciò, idealmente ogni coppia di dispositivi dovrebbe comunicare sulla propria frequenza, nella quale nessun altro dovrebbe interferire.

Ecco in sintesi i principali problemi. Esaminiamo le possibili soluzioni.

Strumenti di protezione: diretti e indiretti

Come già accennato nell'articolo precedente, non sarà mai possibile ottenere una protezione ideale. Tuttavia, è possibile rendere un attacco il più difficile possibile, rendendo il risultato non conveniente rispetto agli sforzi spesi.

In linea di principio, gli strumenti di protezione possono essere suddivisi in due gruppi principali:

tecnologie di protezione diretta del traffico, come la crittografia o il filtraggio per MAC;
tecnologie originariamente progettate per scopi diversi, ad esempio per aumentare la velocità, ma che complicano indirettamente la vita ai malintenzionati.

Del primo gruppo si è parlato nella prima parte. Ma nel nostro arsenale ci sono anche misure indirette aggiuntive. Come già accennato, l'aumento del numero di punti di accesso consente di ridurre il livello del segnale e di rendere uniforme l'area di copertura, il che complica la vita ai malintenzionati.

Un altro aspetto è che l'aumento della velocità di trasmissione dei dati facilita l'applicazione di ulteriori misure di sicurezza. Ad esempio, è possibile installare un client VPN su ogni laptop e trasmettere dati anche all'interno della rete locale tramite canali crittografati. Questo richiederà alcune risorse, comprese quelle hardware, ma il livello di protezione aumenta significativamente.

Di seguito presentiamo una descrizione delle tecnologie che consentono di migliorare le prestazioni della rete e indirettamente aumentare il grado di protezione.

Strumenti indiretti per migliorare la protezione — cosa può aiutare?

Client Steering

La funzione Client Steering suggerisce ai dispositivi client di utilizzare inizialmente la banda a 5GHz. Se questa opzione non è disponibile per il client, può comunque utilizzare 2.4GHz. Per le reti obsolete con un numero ridotto di punti di accesso, il lavoro principale avviene nella banda a 2.4GHz. Per la banda a 5GHz, uno schema con un solo punto di accesso spesso risulta inaccettabile. Questo perché il segnale a frequenze più elevate attraversa peggio le pareti e supera gli ostacoli. Raccomandazione comune: per garantire una connessione affidabile nella banda a 5GHz, è preferibile lavorare in linea di vista diretta dal punto di accesso.

Negli attuali standard 802.11ac e 802.11ax, grazie al maggior numero di canali, è possibile installare più punti di accesso a una distanza più ravvicinata, il che consente di ridurre la potenza senza perdere, anzi guadagnando, in velocità di trasmissione dei dati. Di conseguenza, l'uso della banda a 5GHz complica la vita ai malintenzionati, ma migliora la qualità della connessione per i clienti che si trovano nella sua portata.

Questa funzione è disponibile:

nei punti di accesso Nebula e NebulaFlex;
nei firewall con funzione di controller.

Auto Healing

Come accennato precedentemente, i contorni del perimetro della stanza si adattano male ai diagrammi circolari dei punti di accesso.

Per risolvere questo problema, in primo luogo, è necessario utilizzare un numero ottimale di punti di accesso, in secondo luogo, ridurre l'interferenza reciproca. Ma se si riduce manualmente la potenza dei trasmettitori, un intervento così diretto può portare a un peggioramento della connessione. Questo sarà particolarmente evidente quando uno o più punti di accesso smettono di funzionare.

Auto Healing consente di regolare rapidamente la potenza senza compromettere l'affidabilità e la velocità di trasmissione dei dati.

Quando si utilizza questa funzione, il controller controlla lo stato e il funzionamento dei punti di accesso. Se uno di essi non funziona, i punti vicini ricevono l'istruzione di aumentare la potenza del segnale per coprire le «zone morte». Dopo che il punto di accesso è tornato operativo, i punti vicini ricevono l'istruzione di ridurre la potenza del segnale per abbassare il livello delle interferenze reciproche.

Roaming WiFi senza soluzione di continuità

A prima vista, è difficile definire questa tecnologia come un potenziamento della sicurezza, anzi, al contrario, poiché facilita il passaggio del cliente (incluso l'aggressore) tra i punti di accesso all'interno di una rete. Ma quando si utilizzano due o più punti di accesso, è necessario garantire un'esperienza di utilizzo fluida senza problemi. Inoltre, se un punto di accesso è sovraccarico, gestisce peggio le funzioni di protezione, come la crittografia, e si verificano ritardi nella trasmissione dei dati e altre problematiche. In questo senso, il roaming senza soluzione di continuità è un grande aiuto per distribuire il carico in modo flessibile e garantire un funzionamento continuo in modalità protetta.

Impostazione dei valori soglia per il livello del segnale per connettere e disconnettere i clienti wireless (Signal Threshold o Signal Strength Range)

Quando si utilizza un solo punto di accesso, questa funzione, sostanzialmente, non ha importanza. Ma a condizione che operino più punti controllati dal controller, è possibile organizzare una distribuzione mobile dei clienti su diverse AP. Vale la pena ricordare che le funzioni del controller dei punti di accesso sono presenti in molte linee di router di Zyxel: ATP, USG, USG FLEX, VPN, ZyWALL.

Nei dispositivi sopra indicati è presente una funzione per disconnettere il client collegato a un SSID con segnale debole. "Debole" significa che il segnale è al di sotto della soglia impostata sul controller. Dopo che il client è stato disconnesso, invia una richiesta di scansione per cercare un altro punto di accesso.

Ad esempio, se un client si è connesso a un punto di accesso con un segnale inferiore a -65dBm e la soglia di disconnessione della stazione è -60dBm, in questo caso il punto di accesso disconnetterà il client con tale livello di segnale. Ora il client avvia la procedura di riconnessione e si collegherà a un altro punto di accesso con un segnale superiore o uguale a -60dBm (valore soglia del segnale della stazione).

Questo gioca un ruolo importante nell'uso di più punti di accesso. In questo modo si evita la situazione in cui la maggior parte dei client si accumula su un punto, mentre altri punti di accesso rimangono inattivi.

Inoltre, è possibile limitare la connessione dei client con segnale debole, che si trovano con alta probabilità al di fuori del perimetro dell'edificio, ad esempio, dietro un muro in un ufficio vicino, il che consente di considerare questa funzione anche come un metodo indiretto di protezione.

La transizione a WiFi 6 come uno dei modi per migliorare la sicurezza

Abbiamo già parlato in precedenza dei vantaggi dei mezzi di protezione diretti in un articolo precedente «Caratteristiche della protezione delle reti wireless e cablate. Parte 1 — Misure dirette di protezione».

Le reti WiFi 6 offrono velocità di trasmissione dati più elevate. Da un lato, il nuovo gruppo di standard consente di aumentare la velocità, dall'altro consente di collocare ancora più punti di accesso nella stessa area. Il nuovo standard consente di utilizzare meno potenza per trasmettere a velocità superiori.

Aumento della velocità di scambio dati.

La transizione a WiFi 6 prevede un aumento della velocità di scambio fino a 11 Gb/s (tipo di modulazione 1024-QAM, canali a 160 MHz). A questo proposito, i nuovi dispositivi che supportano WiFi 6 hanno prestazioni superiori. Una delle principali sfide nell'implementare misure di sicurezza aggiuntive, come un canale VPN per ogni utente, è la diminuzione della velocità. Con WiFi 6 sarà più facile applicare ulteriori sistemi di protezione.

BSS Coloring

In precedenza abbiamo scritto che una copertura più uniforme consente di ridurre la penetrazione del segnale WiFi oltre il perimetro. Ma con l'aumento del numero di punti di accesso, anche l'uso dell'Auto Healing può non essere sufficiente, poiché il traffico "straniero" da un punto vicino continuerà a penetrare nell'area di ricezione.

Utilizzando il BSS Coloring, il punto di accesso lascia dei marchi speciali (colorando) i propri pacchetti di dati. Questo consente di ignorare l'influenza dei dispositivi di trasmissione vicini (punti di accesso).

MU-MIMO migliorato

Nello standard 802.11ax ci sono anche importanti miglioramenti nella tecnologia MU-MIMO (Multi-User — Multiple Input Multiple Output). MU-MIMO permette a un punto di accesso di scambiare dati con più dispositivi contemporaneamente. Tuttavia, nel precedente standard questa tecnologia poteva supportare solo gruppi di quattro clienti su una singola frequenza. Questo facilitava la trasmissione, ma non la ricezione. WiFi 6 utilizza un MIMO multiutente 8×8 per la trasmissione e la ricezione.

Nota. Lo standard 802.11ax aumenta le dimensioni dei gruppi MU-MIMO nel flusso in ingresso, garantendo prestazioni più efficienti della rete WiFi. Il canale MIMO uscente multiutente è una nuova aggiunta all'802.11ax.

OFDMA (Accesso multiplo per divisione di frequenza ortogonale)

Questo è un nuovo metodo di accesso ai canali e di gestione sviluppato sulla base delle tecnologie già testate nella tecnologia di comunicazione cellulare LTE.

L'OFDMA consente di inviare più di un segnale sulla stessa linea o canale contemporaneamente, assegnando un intervallo di tempo per ciascuna trasmissione e applicando una divisione di frequenza. Di conseguenza, non solo cresce la velocità grazie a una migliore utilizzazione del canale, ma migliora anche la sicurezza.

Riepilogo

Le reti WiFi diventano sempre più sicure ogni anno. L'uso di tecnologie moderne consente di stabilire un livello di protezione accettabile.

I metodi di protezione diretti sotto forma di crittografia del traffico si sono dimostrati molto efficaci. Non dimentichiamo nemmeno le misure aggiuntive: filtraggio per MAC, nascondere l'identificatore della rete, rivelazione di AP Rogue (contenimento di AP Rogue).

Ma ci sono anche misure indirette che migliorano la cooperazione tra dispositivi wireless e aumentano la velocità di scambio dei dati.

L'uso di nuove tecnologie consente di ridurre il livello del segnale dai punti, rendendo la copertura più uniforme, il che influisce positivamente sul benessere dell'intera rete wireless nel suo complesso, inclusa la sicurezza.

Il buon senso suggerisce che per aumentare la sicurezza ogni mezzo è buono: sia diretto che indiretto. Questa combinazione permette di rendere la vita il più difficile possibile per i malintenzionati.