🥇Cechy ochrony sieci bezprzewodowych i przewodowych. Część 2 — Pośrednie środki ochrony

Kontynuujemy rozmowę na temat metod zwiększania bezpieczeństwa sieci. W tym artykule omówimy dodatkowe środki bezpieczeństwa oraz organizację bardziej bezpiecznych sieci bezprzewodowych.

Wstęp do drugiej części

W poprzednim artykule „Cechy ochrony sieci bezprzewodowych i przewodowych. Część 1 — Ochrona bezpośrednia” mówiono o problemach bezpieczeństwa sieci WiFi oraz bezpośrednich metodach ochrony przed nieautoryzowanym dostępem. Rozważono oczywiste środki mające na celu zapobieganie przechwytywaniu ruchu: szyfrowanie, ukrywanie sieci i filtrowanie według MAC, a także specjalne metody, takie jak walka z Rogue AP. Jednak poza bezpośrednimi sposobami ochrony istnieją również pośrednie. To technologie, które nie tylko poprawiają jakość połączenia, ale także wspierają zwiększenie zabezpieczeń.

Dwie główne cechy sieci bezprzewodowych: zdalny dostęp bezkontaktowy oraz pasmo radiowe jako ogólnodostępne medium przesyłania danych, w którym każdy odbiornik sygnału może odsłuchiwać eter, a każdy nadajnik może zakłócać sieć bezużytecznymi transmisjami oraz zwykłymi zakłóceniami radiowymi. To, poza wszystkim innym, negatywnie wpływa na ogólne bezpieczeństwo sieci bezprzewodowej.

Jednak sama ochrona to za mało. Trzeba jeszcze jakoś pracować, to znaczy wymieniać dane. A w tym zakresie WiFi ma wiele innych zastrzeżeń:

luk w zasięgu („białe plamy”);
wpływ zewnętrznych źródeł i sąsiednich punktów dostępu na siebie nawzajem.

W konsekwencji, z powodu opisanych wyżej problemów, jakość sygnału maleje, łączność traci stabilność, a prędkość wymiany danych spada.

Oczywiście, zwolennicy sieci przewodowych z radością zauważą, że przy użyciu połączeń kablowych, a tym bardziej światłowodowych, takich problemów nie obserwuje się.

Pojawia się pytanie: czy można jakoś rozwiązać te problemy, nie sięgając po żadne drastyczne środki, takie jak przepinanie wszystkich niezadowolonych do sieci przewodowej?

Gdzie zaczynają się wszystkie problemy?

W momencie powstawania sieci WiFi w biurach i innych miejscach najczęściej korzystano z prostego algorytmu: ustawiano jedną, jedyną access point w centrum obszaru, aby maksymalnie pokryć sygnałem. Jeśli zasięg nie wystarczał dla odległych miejsc, do access pointa dodawano wzmacniającą antenę. Bardzo rzadko dodawano drugi dostęp, na przykład dla oddalonego gabinetu dyrektora. I to byłoby na tyle udoskonaleń.

Takie podejście miało swoje uzasadnienie. Po pierwsze, na początku rozwoju sieci bezprzewodowych sprzęt był drogi. Po drugie, zainstalowanie większej ilości access pointów oznaczało stawienie czoła pytaniom, na które wówczas nie było odpowiedzi. Na przykład, jak zorganizować płynne przejście klienta między punktami? Jak walczyć z wzajemną interferencją? Jak uprościć i uporządkować zarządzanie punktami, na przykład równoczesne stosowanie zakazów/dopuszczeń, monitorowanie itp. Dlatego znacznie łatwiej było kierować się zasadą: im mniej urządzeń, tym lepiej.

Jednak pointa, umieszczona pod sufitem, emitowała według okrągłej (a właściwie, zaokrąglonej) krzywej.

Jednak kształty architektoniczne nie wpisują się zbyt dobrze w okrągłe krzywe rozprzestrzeniania sygnału. Dlatego w niektóre miejsca sygnał prawie wcale nie dociera, co wymaga jego wzmocnienia, a gdzie indziej zasięg przekracza obrzeża i staje się dostępny dla osób zewnętrznych.

Rysunek 1. Przykład pokrycia przy użyciu jednego punktu w biurze.

Uwaga. Mowa o grubym przybliżeniu, w którym nie uwzględnia się przeszkód w rozprzestrzenianiu oraz kierunkowości sygnału. W praktyce kształty krzywych dla różnych modeli punktów mogą się różnić.

Sytuację można poprawić, stosując większą liczbę access pointów.

Po pierwsze, pozwoli to efektywniej rozłożyć urządzenia nadawcze na terenie pomieszczenia.

Po drugie, otwiera to możliwość obniżenia poziomu sygnału, nie pozwalając mu wykraczać poza obrzeża biura lub innego obiektu. W takim przypadku, aby wykryć ruch w sieci bezprzewodowej, trzeba się niemal zbliżyć do perymetru lub nawet wejść w jego obręb. Podobnie działa cyberprzestępca, starając się wedrzeć do wewnętrznej sieci przewodowej.

Rysunek 2. Zwiększenie liczby punktów dostępu pozwala lepiej rozłożyć zasięg.

Przyjrzyjmy się jeszcze raz obu rysunkom. Na pierwszym wyraźnie widać jedną z głównych podatności sieci bezprzewodowej — sygnał można wychwycić z znacznej odległości.

Na drugim rysunku sytuacja nie wygląda tak źle. Im więcej punktów dostępu, tym bardziej efektywna strefa pokrycia, a moc sygnału prawie nie wychodzi poza obszar, mówiąc wprost, poza biuro, budynek i inne potencjalne obiekty.

Osoba chcąca włamać się będzie musiała jakoś niezauważalnie zbliżyć się, aby przechwycić stosunkowo słaby sygnał "z ulicy" lub "z korytarza" itd. W tym celu trzeba podejść blisko do budynku biurowego, aby na przykład stanąć pod oknami. Lub próbować dostać się do samego budynku biurowego. W każdym przypadku zwiększa to ryzyko, że zostanie dostrzegona przez monitoring, albo natrafi na wzrok ochrony. Zmniejsza to również znacznie czas na dokonanie ataku. Trudno to nazwać "idealnymi warunkami do włamania".

Oczywiście pozostaje jeszcze jeden "pierworodny grzech": sieci bezprzewodowe nadają na dostępnym zakresie, który mogą przechwycić wszyscy klienci. Rzeczywiście, sieć WiFi można porównać do Ethernet-HUB, gdzie sygnał jest przesyłany jednocześnie do wszystkich portów. Aby tego uniknąć, w idealnym przypadku każda para urządzeń powinna komunikować się na swoim kanale częstotliwości, na który nie powinien wkraczać nikt inny.

Oto w skrócie główne problemy. Przeanalizujmy sposoby ich rozwiązania.

Środki ochrony: bezpośrednie i pośrednie

Jak już wspomniano w poprzednim artykule, idealnej ochrony w każdym przypadku nie uda się osiągnąć. Ale można maksymalnie utrudnić przeprowadzenie ataku, czyniąc jego wynik nieopłacalnym w stosunku do poniesionych wysiłków.

W uproszczeniu środki ochrony można podzielić na dwie główne grupy:

technologie bezpośredniej ochrony ruchu, takie jak szyfrowanie czy filtracja na podstawie MAC;
technologie, które pierwotnie były przeznaczone do innych celów, na przykład do zwiększenia prędkości, ale jednocześnie pośrednio utrudniają życie złoczyńcy.

O pierwszej grupie mówiono w pierwszej części. Jednak w naszym arsenale znajdują się także dodatkowe środki pośrednie. Jak już wcześniej wspomniano, zwiększenie liczby punktów dostępu pozwala obniżyć poziom sygnału i ujednolicić obszar pokrycia, co utrudnia życie przestępcy.

Kolejny aspekt — zwiększenie prędkości przesyłania danych ułatwia stosowanie dodatkowych środków bezpieczeństwa. Na przykład, można zainstalować klienta VPN na każdym laptopie i przesyłać dane nawet w obrębie sieci lokalnej przez zaszyfrowane kanały. To wymaga pewnych zasobów, w tym sprzętowych, ale poziom ochrony znacznie wzrasta.

Poniżej przedstawiamy technologie, które pozwalają poprawić działanie sieci i pośrednio zwiększyć poziom ochrony.

Środki pośrednie poprawy ochrony — co może pomóc?

Client Steering

Funkcja Client Steering sugeruje urządzeniom klienckim używanie najpierw pasma 5 GHz. Jeśli ta możliwość nie jest dostępna dla klienta, nadal może korzystać z 2.4 GHz. W przestarzałych sieciach z niewielką liczbą punktów dostępu, główna praca odbywa się w paśmie 2.4 GHz. Dla pasma 5 GHz, schemat z jednym punktem dostępu w wielu przypadkach okaże się niedopuszczalny. Faktem jest, że sygnał o wyższej częstotliwości gorzej przechodzi przez ściany i omija przeszkody. Zwykłe zalecenie: aby zapewnić gwarantowane połączenie w paśmie 5 GHz — zaleca się pracować w linii wzrokowej od punktu dostępu.

W nowoczesnych standardach 802.11ac i 802.11ax dzięki większej liczbie kanałów można zainstalować kilka punktów dostępu w bliższej odległości, co pozwala zmniejszyć moc, nie tracąc, a wręcz zyskując na prędkości przesyłu danych. W efekcie zastosowanie pasma 5 GHz utrudnia życie przestępcom, ale poprawia jakość połączenia dla klientów, którzy znajdują się w zasięgu.

Funkcja ta jest dostępna:

w punktach dostępu Nebula i NebulaFlex;
w zaporach sieciowych z funkcją kontrolera.

Auto Healing

Jak już wcześniej wspomniano, kontury perymetru pomieszczenia źle wpisują się w okrągłe diagramy punktów dostępu.

Aby rozwiązać ten problem, po pierwsze należy użyć optymalnej liczby punktów dostępu, po drugie, zmniejszyć wzajemny wpływ. Jednak po prostu ręczne obniżenie mocy nadajników — takie dosłowne działanie może prowadzić do pogorszenia łączności. Szczególnie odczuwalne będzie to w przypadku awarii jednego lub kilku punktów dostępu.

Auto Healing umożliwia szybkie dostosowanie mocy bez utraty niezawodności i prędkości przesyłania danych.

W przypadku korzystania z tej funkcji kontroler sprawdza stan i sprawność punktów dostępu. Jeśli jeden z nich przestaje działać, sąsiednie otrzymują polecenie zwiększenia mocy sygnału, aby wypełnić „białą plamę”. Gdy punkt dostępu znowu zacznie działać, sąsiednie punktu dostępu otrzymują polecenie zmniejszenia mocy sygnału, aby zmniejszyć poziom wzajemnych zakłóceń.

Bezdotykowy roaming WiFi

Na pierwszy rzut oka tę technologię trudno nazwać podnoszącą poziom bezpieczeństwa, raczej odwrotnie, ponieważ ułatwia przełączanie klienta (w tym intruza) między punktami dostępu w tej samej sieci. Jednak przy użyciu dwóch lub więcej punktów dostępu konieczne jest zapewnienie wygodnej pracy bez dodatkowych problemów. Dodatkowo, jeśli punkt dostępu jest przeciążony, gorzej radzi sobie z funkcjami ochrony, takimi jak szyfrowanie, a także pojawiają się opóźnienia podczas wymiany danych i inne nieprzyjemności. W tym kontekście bezdotykowy roaming jest dużym wsparciem, aby elastycznie rozdzielić obciążenie i zapewnić nieprzerwaną pracę w trybie ochrony.

Ustawienie progów poziomu sygnału do podłączenia i odłączenia klientów bezprzewodowych (Signal Threshold lub Signal Strength Range)

W przypadku korzystania z pojedynczego punktu dostępu ta funkcja zasadniczo nie ma znaczenia. Jednak w przypadku pracy kilku punktów, zarządzanych przez kontroler, można zorganizować mobilne rozdzielanie klientów między różnymi AP. Warto przypomnieć, że funkcje kontrolera punktów dostępu są dostępne w wielu liniach routerów od Zyxel: ATP, USG, USG FLEX, VPN, ZyWALL.

W wymienionych urządzeniach znajduje się funkcja wyłączania klientów podłączonych do SSID z słabym sygnałem. „Słaby” oznacza, że sygnał jest poniżej progu ustalonego na kontrolerze. Po odłączeniu klienta, wysyła on próbne żądanie w celu znalezienia innego punktu dostępowego.

Na przykład, jeśli klient podłączył się do punktu dostępowego z sygnałem poniżej -65dBm, a próg odłączenia stacji wynosi -60dBm, wówczas punkt dostępowy odłączy klienta z takim poziomem sygnału. Teraz klient uruchamia procedurę ponownego połączenia i podłączy się do innego punktu dostępowego z sygnałem równym lub wyższym niż -60dBm (próg sygnału stacji).

Ma to istotne znaczenie przy korzystaniu z wielu punktów dostępowych. W ten sposób zapobiega się sytuacji, w której większość klientów gromadzi się w jednym punkcie, podczas gdy inne punkty dostępu pozostają nieużywane.

Ponadto można ograniczyć połączenie klientów z słabym sygnałem, którzy z dużym prawdopodobieństwem znajdują się poza obszarem pomieszczenia, na przykład za ścianą w sąsiednim biurze, co również pozwala traktować tę funkcję jako pośredni sposób ochrony.

Przejście na WiFi 6 jako jeden ze sposobów zwiększenia poziomu bezpieczeństwa

O zaletach bezpośrednich środków ochrony mówiliśmy już wcześniej w poprzednim artykule „Cechy ochrony sieci bezprzewodowych i przewodowych. Część 1 — Ochrona bezpośrednia”.

Sieci WiFi 6 zapewniają wyższą prędkość przesyłania danych. Z jednej strony nowa grupa standardów pozwala zwiększyć prędkość, z drugiej — umieścić jeszcze więcej punktów dostępowych na tej samej powierzchni. Nowy standard pozwala na wykorzystanie mniejszej mocy do przesyłania przy wyższej prędkości.

Zwiększenie prędkości wymiany danych.

Przejście na WiFi 6 zakłada zwiększenie prędkości wymiany do 11Gb/s (typ modulacji 1024-QAM, kanały 160 MHz). Nowe urządzenia obsługujące WiFi 6 mają wyższą wydajność. Jednym z głównych problemów przy wprowadzaniu dodatkowych środków bezpieczeństwa, takich jak kanał VPN dla każdego użytkownika, jest spadek prędkości. Z WiFi 6 łatwiej będzie wprowadzać dodatkowe systemy ochrony.

BSS Coloring

Wcześniej pisaliśmy, że bardziej równomierne pokrycie pozwala zmniejszyć penetrację sygnału WiFi poza obręb. Jednak w miarę zwiększania liczby punktów dostępu nawet użycie Auto Healing może być niewystarczające, ponieważ „obcy” ruch z sąsiedniego punktu i tak będzie przenikał do strefy odbioru.

Przy użyciu BSS Coloring punkt dostępu zostawia specjalne oznaczenia (koloruje) swoje pakiety danych. To pozwala zignorować wpływ sąsiednich urządzeń nadających (punktów dostępu).

Ulepszony MU-MIMO

W standardzie 802.11ax wprowadzono również istotne ulepszenia technologii MU-MIMO (Multi-User — Multiple Input Multiple Output). MU-MIMO pozwala punktowi dostępu wymieniać dane z wieloma urządzeniami jednocześnie. Jednak w poprzednim standardzie ta technologia mogła obsługiwać tylko grupy czterech klientów na jednej częstotliwości. Ułatwiało to nadawanie, ale nie odbiór. WiFi 6 wykorzystuje wieloużytkownikowe MIMO 8×8 do nadawania i odbierania.

Uwaga. Standard 802.11ax zwiększa rozmiar grup MU-MIMO w ruchu przychodzącym, zapewniając bardziej efektywną wydajność sieci WiFi. Mnogopunktowy kanał wychodzący MIMO jest nowym dodatkiem do 802.11ax.

OFDMA (Orthogonal frequency-division multiple access)

To nowa metoda dostępu do kanałów i zarządzania opracowana na podstawie technologii, które były już testowane w technologii komórkowej LTE.

OFDMA pozwala przesyłać więcej niż jeden sygnał po tej samej linii lub kanale jednocześnie, przydzielając przedział czasowy dla każdego przesyłu i stosując podział częstotliwości. W rezultacie nie tylko wzrasta prędkość dzięki lepszemu wykorzystaniu kanału, ale również zwiększa się bezpieczeństwo.

Podsumowanie

Sieci WiFi co roku stają się coraz bezpieczniejsze. Wykorzystanie nowoczesnych technologii pozwala na zapewnienie akceptowalnego poziomu ochrony.

Bezpośrednie metody ochrony w postaci szyfrowania ruchu dobrze się sprawdzają. Nie zapominajmy również o dodatkowych środkach: filtracja według MAC, ukrywanie identyfikatora sieci, wykrywanie Rogue AP (ograniczenie Rogue AP).

Są jeszcze także pośrednie środki, które poprawiają współdziałanie urządzeń bezprzewodowych i zwiększają prędkość wymiany danych.

Wykorzystanie nowych technologii pozwala na zmniejszenie poziomu sygnału z punktów dostępowych, co sprawia, że zasięg staje się bardziej równomierny, co dobrze wpływa na efektywność całej sieci bezprzewodowej, w tym na jej bezpieczeństwo.

Zdrowy rozsądek podpowiada, że dla zwiększenia bezpieczeństwa wszelkie środki są dobre: zarówno bezpośrednie, jak i pośrednie. Takie połączenie maksymalnie utrudnia życie przestępcom.