Continuiamo a discutere dei metodi per aumentare la sicurezza delle reti. In questo articolo parleremo di ulteriori misure di sicurezza e dell'organizzazione di reti wireless più sicure.
Prefazione alla seconda parte
Nell'articolo precedente si è discusso delle problematiche di sicurezza delle reti WiFi e dei metodi diretti per proteggersi dall'accesso non autorizzato. Sono state esaminate misure evidenti per prevenire l'intercettazione del traffico: crittografia, occultamento della rete e filtraggio per MAC, così come metodi specifici come la lotta contro gli Rogue AP. Tuttavia, oltre ai metodi di protezione diretti, esistono anche quelli indiretti. Queste sono tecnologie che non solo migliorano la qualità della connessione, ma contribuiscono anche a migliorare la sicurezza.
Due caratteristiche principali delle reti wireless: accesso remoto senza contatto e l'aria radio come un mezzo di trasmissione dati in broadcasting, dove qualsiasi ricevitore del segnale può ascoltare l'emittente e qualsiasi trasmettitore può saturare la rete con trasmissioni inutili e semplici interferenze radio. Questo, tra le altre cose, influisce negativamente sulla sicurezza generale della rete wireless.
Non si può vivere solo di sicurezza. È necessario ancora lavorare, ovvero scambiare dati. Da questo punto di vista, ci sono molte altre critiche all'WiFi:
- buchi nella copertura ("macchie bianche");
- l'influenza di fonti esterne e dei punti di accesso vicini l'uno sull'altro.
Di conseguenza, a causa dei problemi sopra descritti, la qualità del segnale diminuisce, la connessione perde stabilità e la velocità di scambio di dati diminuisce.
Naturalmente, gli appassionati di reti cablate sottolineeranno con piacere che nell'uso di connessioni cablate e, ancora di più, in fibra ottica, tali problemi non si riscontrano.
Sorge la domanda: c'è un modo per risolvere questi problemi senza ricorrere a misure drastiche come riconnettere tutti i clienti insoddisfatti a una rete cablata?
Qual è l'origine di tutti i problemi?
All'inizio dello sviluppo delle reti WiFi, si utilizzava spesso un algoritmo semplice: si installava un'unica unità di accesso al centro del perimetro per massimizzare la copertura. Se la potenza del segnale non era sufficiente per le aree remote, si aggiungeva un'antenna di potenziamento all'unità di accesso. Raramente veniva installata una seconda unità di accesso, ad esempio, per l'ufficio del direttore remoto. In effetti, questo era pressoché tutto il miglioramento.
Questo approccio aveva le sue ragioni. Innanzitutto, all'inizio delle reti wireless, l'attrezzatura costava molto. In secondo luogo, installare più punti di accesso significava affrontare questioni per le quali allora non c'erano risposte. Ad esempio, come organizzare un passaggio fluido dei clienti tra i punti? Come affrontare l'interferenza reciproca? Come semplificare e ordinare la gestione dei punti, come l'applicazione simultanea di divieti/permissi, monitoraggio e altro ancora? Perciò, era molto più semplice adottare il principio: meno dispositivi, meglio è.
Allo stesso tempo, il punto di accesso montato sotto il soffitto trasmetteva secondo un diagramma circolare (o meglio, ovale).
Tuttavia, le forme degli edifici architettonici non si integrano molto bene con i diagrammi circolari di diffusione del segnale. Di conseguenza, il segnale arriva poco in alcune zone, rendendosi necessario un potenziamento, mentre in altre aree la trasmissione supera il perimetro, diventando accessibile a estranei.
Figura 1. Esempio di copertura utilizzando un unico punto in ufficio.
Nota. Si tratta di un'approssimazione grezza, in cui non vengono considerati gli ostacoli alla diffusione e la direzionalità del segnale. In pratica, le forme dei diagrammi per diversi modelli di punti possono differire.
La situazione può essere migliorata utilizzando più punti di accesso.
In primo luogo, ciò consentirà di distribuire in modo più efficace i dispositivi di trasmissione nell'area.
In secondo luogo, si ha la possibilità di ridurre il livello del segnale, impedendo che esca dal perimetro dell'ufficio o di un altro edificio. In questo caso, per captare il traffico della rete wireless, è necessario avvicinarsi quasi al perimetro o addirittura entrarne. Questo è simile al modo in cui un aggressore si infiltra nella rete cablata interna.
Figura 2. Aumentare il numero di punti di accesso consente una migliore distribuzione della copertura.
Rivediamo entrambi i disegni. Nel primo si evidenzia chiaramente una delle principali vulnerabilità delle reti wireless: il segnale può essere captato a una notevole distanza.
Nel secondo disegno la situazione è meno grave. Più sono i punti di accesso, più efficace è la copertura e la potenza del segnale rimane quasi completamente entro il perimetro, per dirla in modo semplice, entro i confini della stanza, dell'ufficio, dell'edificio e di altri possibili oggetti.
L'attaccante dovrà avvicinarsi in modo furtivo per catturare un segnale relativamente debole "dalla strada" o "dal corridoio" e così via. Per fare ciò, è necessario avvicinarsi all'edificio per uffici, ad esempio posizionandosi sotto le finestre. Oppure cercare di entrare nell'edificio stesso. In ogni caso, ciò aumenta il rischio di "essere visti" dalle telecamere di sorveglianza o di attirare l'attenzione della sicurezza. Questo riduce notevolmente l'intervallo di tempo per l'attacco. È difficile definire questo "condizioni ideali per un'intrusione."
Naturalmente, rimane un altro "peccato originale": le reti wireless trasmettono su una gamma accessibile, che può essere intercettata da tutti i client. Infatti, la rete WiFi può essere paragonata a un Ethernet-HUB, dove il segnale viene trasmesso a tutte le porte contemporaneamente. Per evitare ciò, idealmente ogni coppia di dispositivi dovrebbe comunicare sulla propria frequenza, in cui nessun altro deve interferire.
Ecco brevemente i principali problemi. Consideriamo le possibili soluzioni.
Misure di protezione: dirette e indirette
Come già accennato nell'articolo precedente, non è possibile ottenere una protezione ideale in alcun caso. Tuttavia, è possibile rendere molto difficile un attacco, rendendo il risultato non redditizio rispetto agli sforzi sostenuti.
I mezzi di protezione possono essere suddivisi in due gruppi principali:
- tecnologie di protezione diretta del traffico, come la crittografia o la filtrazione per MAC;
- tecnologie inizialmente destinate ad altri scopi, ad esempio per migliorare la velocità, ma che complicano indirettamente la vita agli aggressori.
Diamo un'occhiata alla prima categoria, trattata nella prima parte. Ma nel nostro arsenale ci sono anche ulteriori misure indirette. Come già detto, aumentare il numero di punti di accesso consente di ridurre il livello del segnale e di rendere uniforme la zona di copertura, il che complica la vita agli aggressori.
Un altro aspetto è che l'aumento della velocità di trasmissione dei dati semplifica l'implementazione di ulteriori misure di sicurezza. Ad esempio, è possibile installare un client VPN su ogni laptop e trasmettere dati anche all'interno della rete locale attraverso canali crittografati. Questo richiederà alcune risorse, compresi requisiti hardware, ma il livello di protezione aumenta notevolmente.
Di seguito presentiamo una descrizione delle tecnologie che possono migliorare le prestazioni della rete e, indirettamente, aumentare il livello di protezione.
Misure indirette per migliorare la sicurezza — cosa può aiutare?
Client Steering
La funzione Client Steering consente ai dispositivi dei clienti di utilizzare inizialmente la banda a 5 GHz. Se questa opzione non è disponibile, sarà comunque possibile utilizzare la banda a 2,4 GHz. Per le reti obsolete con un numero limitato di punti di accesso, l'operatività principale avviene nella banda a 2,4 GHz. Per la gamma di frequenze a 5 GHz, uno schema con un singolo punto di accesso spesso risulterà inadeguato. Infatti, il segnale a frequenze più elevate attraversa le pareti e contorna gli ostacoli con maggiore difficoltà. La raccomandazione comune è: per garantire una connessione affidabile nella banda a 5 GHz, è preferibile operare in linea di vista diretta dal punto di accesso.
Negli attuali standard 802.11ac e 802.11ax, grazie a un numero maggiore di canali, è possibile installare più punti di accesso a distanza più ravvicinata, riducendo così la potenza senza perdere, anzi guadagnando, in velocità di trasmissione dei dati. Di conseguenza, l'uso della banda a 5 GHz rende più difficile la vita agli aggressori, ma migliora la qualità della connessione per i clienti che si trovano entro la portata.
Questa funzione è disponibile:
- nei punti di accesso Nebula e NebulaFlex;
- nei firewall con funzionalità di controller.
Auto Healing
Come detto sopra, i contorni del perimetro della stanza si integrano male con i diagrammi rotondi dei punti di accesso.
Per risolvere questo problema, prima di tutto è necessario utilizzare un numero ottimale di punti di accesso e, in secondo luogo, ridurre l'influenza reciproca. Ma se si decide semplicemente di ridurre manualmente la potenza dei trasmettitori, questo intervento diretto può portare a un deterioramento della connessione. Questo sarà particolarmente evidente quando una o più unità di accesso smettono di funzionare.
Auto Healing consente di adattare rapidamente la potenza senza compromettere l'affidabilità e la velocità di trasmissione dei dati.
Utilizzando questa funzione, il controller verifica lo stato e il funzionamento dei punti di accesso. Se uno di essi non funziona, i punti vicini vengono istruiti ad aumentare la potenza del segnale per riempire il "buco bianco". Dopo che il punto di accesso è tornato a funzionare, i punti vicini ricevono l'istruzione di ridurre la potenza del segnale per diminuire il livello di interferenze reciproche.
Roaming WiFi senza interruzioni
A prima vista, questa tecnologia non è facile da definire come un miglioramento della sicurezza; al contrario, semplifica il passaggio del cliente (inclusi i malintenzionati) tra i punti di accesso all'interno di una rete. Tuttavia, se si utilizzano due o più punti di accesso, è necessario garantire un funzionamento fluido senza problemi. Inoltre, se un punto di accesso è sovraccarico, gestisce meno efficacemente le funzioni di protezione, come la crittografia, causando ritardi nello scambio di dati e altri inconvenienti. In questo contesto, il roaming senza soluzione di continuità è un grande aiuto per distribuire flessibilmente il carico e garantire un funzionamento ininterrotto in modalità protetta.
Impostazione delle soglie di segnale per la connessione e disconnessione dei client wireless (Signal Threshold o Signal Strength Range)
Nell'uso di un singolo punto di accesso, questa funzione non ha significato. Tuttavia, nel caso in cui ci siano più punti operanti, gestiti da un controller, è possibile organizzare la distribuzione mobile dei client tra diversi AP. Vale la pena ricordare che le funzionalità del controller dei punti di accesso sono presenti in molte linee di router di Zyxel: ATP, USG, USG FLEX, VPN, ZyWALL.
Nei dispositivi sopra citati è presente una funzione per disconnettere un client connesso a un SSID con segnale debole. "Debole" significa che il segnale è al di sotto della soglia impostata sul controller. Dopo che il client è stato disconnesso, invierà una richiesta di prova per cercare un altro punto di accesso.
Ad esempio, se un client si è connesso a un punto di accesso con un segnale inferiore a -65dBm e la soglia di disconnessione è -60dBm, in questo caso il punto di accesso disconnetterà il client con tale livello di segnale. Ora il client avvia la procedura di riconnessione e si collegherà a un altro punto di accesso con un segnale pari o superiore a -60dBm (valore limite del segnale del punto di accesso).
Questo gioca un ruolo importante nell'uso di più punti di accesso. In questo modo, si previene la situazione in cui la maggior parte dei clienti si concentra su un solo punto, mentre gli altri punti di accesso rimangono inattivi.
Inoltre, è possibile limitare la connessione ai clienti con segnale debole, che molto probabilmente si trovano al di fuori del perimetro dell'ufficio, ad esempio dietro un muro nel vicino ufficio, il che consente di considerare questa funzione come un metodo indiretto di protezione.
Il passaggio a WiFi 6 come uno dei modi per aumentare il livello di sicurezza
Abbiamo già parlato in precedenza dei vantaggi delle misure di protezione dirette nella nostra precedente articolo «Caratteristiche della sicurezza delle reti wireless e cablate. Parte 1 — Misure di protezione dirette».
Le reti WiFi 6 offrono una velocità di trasmissione dati superiore. Da un lato, il nuovo gruppo di standard permette di aumentare la velocità e, dall'altro, di posizionare ancora più punti di accesso sulla stessa area. Il nuovo standard consente di utilizzare meno potenza per trasmettere a velocità più elevate.
Aumento della velocità di scambio dati.
Il passaggio a WiFi 6 prevede un aumento della velocità di trasmissione fino a 11 Gb/s (modulazione 1024-QAM, canali a 160 MHz). I nuovi dispositivi che supportano WiFi 6 offrono prestazioni superiori. Una delle principali sfide nell'implementazione di misure di sicurezza aggiuntive, come un canale VPN per ogni utente, è la riduzione della velocità. Con WiFi 6 sarà più facile implementare sistemi di protezione aggiuntivi.
BSS Coloring
In precedenza abbiamo scritto che una copertura più uniforme consente di ridurre l'interferenza del segnale WiFi oltre il perimetro. Tuttavia, con l'aumento del numero di punti di accesso, anche l'uso dell'Auto Healing potrebbe non essere sufficiente, poiché il traffico 'estraneo' da un punto di accesso vicino penetrerà comunque nella zona di ricezione.
Con l'utilizzo del BSS Coloring, il punto di accesso lascia dei marker speciali (colora) i propri pacchetti di dati. Questo consente di ignorare l'influenza dei dispositivi trasmittenti vicini (punti di accesso).
MU-MIMO migliorato
Nel 802.11ax ci sono anche importanti miglioramenti nella tecnologia MU-MIMO (Multi-User — Multiple Input Multiple Output). MU-MIMO consente all'access point di scambiare dati con più dispositivi simultaneamente. Tuttavia, nel precedente standard, questa tecnologia poteva supportare solo gruppi di quattro clienti su una singola frequenza. Questo facilitava la trasmissione, ma non la ricezione. WiFi 6 utilizza MIMO multicliente 8×8 per la trasmissione e la ricezione.
Nota. Lo standard 802.11ax aumenta la dimensione dei gruppi MU-MIMO nel flusso in ingresso, garantendo prestazioni della rete WiFi più efficienti. Il canale in uscita MIMO multicliente è una nuova aggiunta al 802.11ax.
OFDMA (Accesso Multiplo per Divisione di Frequenza Ortogonale)
Questo è un nuovo metodo di accesso e gestione dei canali sviluppato sulla base di tecnologie già testate nelle telecomunicazioni cellulari LTE.
OFDMA consente di inviare più di un segnale sulla stessa linea o canale contemporaneamente, assegnando un intervallo di tempo per ogni trasmissione e applicando la separazione delle frequenze. Di conseguenza, non solo aumenta la velocità grazie a una migliore utilizzazione del canale, ma migliora anche la sicurezza.
Riepilogo
Le reti WiFi stanno diventando sempre più sicure ogni anno. L'uso di tecnologie moderne consente di organizzare un livello di protezione accettabile.
I metodi di protezione diretta, come la crittografia del traffico, si sono rivelati piuttosto efficaci. Non dimentichiamo anche le misure aggiuntive: filtraggio per MAC, occultamento dell'identificatore della rete, rilevamento di Rogue AP (controllo dei Rogue AP).
Ci sono anche misure indirette che migliorano la cooperazione tra dispositivi wireless e aumentano la velocità di scambio dei dati.
L'uso di nuove tecnologie consente di ridurre il livello del segnale dalle unità, rendendo la copertura più uniforme, il che influisce positivamente sullo stato complessivo dell'intera rete wireless, inclusa la sicurezza.
Il buon senso suggerisce che per migliorare la sicurezza sono utili tutti i mezzi: sia diretti che indiretti. Questa combinazione complica al massimo la vita ai malintenzionati.
Link utili:
- Caratteristiche della protezione delle reti wireless e cablate. Parte 1 — Misure di protezione dirette
Fonte: habr.com
