Vi fortsÀtter samtalet om metoder för att öka nÀtverkets sÀkerhet. I den hÀr artikeln diskuterar vi ytterligare sÀkerhetsÄtgÀrder och hur man organiserar mer skyddade trÄdlösa nÀtverk.
Förord till den andra delen
I den föregÄende artikeln det talades om problemen med sÀkerheten i WiFi-nÀtverk och direkta metoder för att skydda mot obehörig Ätkomst. Klara ÄtgÀrder för att förhindra trafikupptÀckning diskuterades: kryptering, dölja nÀtverket och filtrering efter MAC, samt speciella metoder som att bekÀmpa Rogue AP. Men förutom direkta skydd finns det ocksÄ indirekta metoder. Det handlar om teknologier som inte bara förbÀttrar kommunikationskvaliteten, utan ocksÄ ytterligare bidrar till att öka sÀkerheten.
TvÄ huvudfunktioner hos trÄdlösa nÀtverk: avlÀgsen kontaktlös Ätkomst och radiofrekvenser som en sÀndande miljö för dataöverföring, dÀr varje signalmottagare kan lyssna pÄ frekvensen och varje sÀndare kan blockera nÀtverket med irrelevanta sÀndningar och helt enkelt radiostörningar. Detta pÄverkar, förutom allt annat, den övergripande sÀkerheten hos det trÄdlösa nÀtverket negativt.
Bara sÀkerhet Àr inte tillrÀckligt. Man mÄste ocksÄ kunna arbeta, det vill sÀga byta data. Och ur den synvinkeln finns det mÄnga andra klagomÄl pÄ WiFi:
- luckor i tÀckningen («vita flÀckar»);
- pÄverkan av externa kÀllor och nÀrliggande Ätkomstpunkter pÄ varandra.
Som en följd av ovanstÄende problem minskar kvaliteten pÄ signalen, kommunikationen blir instabil och dataöverföringshastigheten sjunker.
SjÀlvklart kommer anhÀngare av trÄdbundna nÀtverk att gladeligen pÄpeka att det inte finns nÄgra sÄdana problem vid anvÀndning av kablade och Ànnu mer fiberoptiska anslutningar.
FrÄgan uppstÄr: gÄr det att lösa dessa problem utan att anvÀnda nÄgra drastiska medel som att koppla om alla missnöjda till det trÄdbundna nÀtverket?
Var börjar alla problem?
Vid starten av kontors- och andra WiFi-nÀtverk följde man ofta en enkel algoritm: man satte upp en enda Ätkomstpunkt i mitten av omrÄdet för att maximera tÀckningen. Om signalstyrkan var otillrÀcklig för avlÀgsna delar, lades en förstÀrkarantenn till Ätkomstpunkten. Det var mycket sÀllan man lade till en andra Ätkomstpunkt, till exempel för ett avlÀgset direktionskontor. Det Àr nog alla förbÀttringar som gjordes.
Denna metod hade sina skÀl. För det första, i början av trÄdlösa nÀtverks utveckling var utrustningen för dem dyr. För det andra, att installera fler Ätkomstpunkter skulle innebÀra att man stÀlldes inför frÄgor som man dÄ inte hade svar pÄ. Till exempel, hur man skulle organisera sömlös vÀxling av klienter mellan punkterna? Hur man skulle hantera ömsesidig interferens? Hur man skulle förenkla och ordna hantering av punkterna, sÄsom samtidigt tillÀmpande av förbud/tillstÄnd, övervakning och sÄ vidare. DÀrför var det mycket enklare att följa principen: ju fÀrre enheter, desto bÀttre.
Samtidigt sÀnde Ätkomstpunkten som var placerad under taket ut i en cirkulÀr (eller snarare, rund) diagram.
Men formerna pÄ byggnader passar inte sÄ bra med runda diagram över signalens spridning. DÀrför nÄr signalen inte nÀstan nÄgonstans och behöver förstÀrkas, medan utsÀndningen pÄ vissa stÀllen gÄr utanför omrÄdet och blir tillgÀnglig för obehöriga.
Figur 1. Exempel pÄ tÀckning vid anvÀndning av en enda punkt i ett kontor.
AnmÀrkning. Detta handlar om en grov approximation som inte tar hÀnsyn till hinder för spridning samt signalens riktning. I praktiken kan diagrammens former för olika modeller av Ätkomstpunkter skilja sig.
Situationen kan förbÀttras genom att anvÀnda fler Ätkomstpunkter.
För det första kommer detta att möjliggöra en mer effektiv fördelning av sÀndande enheter över rummet.
För det andra finns möjligheten att sÀnka signalnivÄn och hindra den frÄn att gÄ utanför kontorets eller annan anlÀggnings omrÄde. I sÄ fall, för att registrera trafiken i det trÄdlösa nÀtverket, mÄste man nÀstan komma nÀra omrÄdet eller till och med gÄ in i dess grÀnser. PÄ ett ungefÀr sÄ fungerar en illasinnad person för att trÀnga sig in i det interna kabelnÀtverket.
Figur 2. Genom att öka antalet Ätkomstpunkter kan tÀckningen förbÀttras.
LĂ„t oss se över bĂ„da bilderna en gĂ„ng till. PĂ„ den första Ă€r en av de största sĂ„rbarheterna i det trĂ„dlösa nĂ€tverket tydligt synlig â signalen kan fĂ„ngas upp pĂ„ ett avstĂ„nd.
PÄ den andra bilden Àr situationen inte lika kritisk. Ju fler Ätkomstpunkter, desto effektivare tÀckningsomrÄde, och signalstyrkan överstiger knappt perimeter, med andra ord, inte mer Àn inne i rummet, kontoret, byggnaden och liknande objekt.
En illvillig person mÄste pÄ nÄgot sÀtt smyga sig nÀrmare för att fÄnga upp den relativt svaga signalen "frÄn gatan" eller "frÄn korridoren" och sÄ vidare. För detta behöver man komma nÀra kontorsbyggnaden, till exempel stÀlla sig under fönstren, eller försöka trÀnga sig in i sjÀlva kontorsbyggnaden. I vilket fall ökar risken att "bli sedd" av övervakningskameror, att synas av sÀkerhetspersonalen. Samtidigt minskar tidsfönstret för attacken avsevÀrt. Detta Àr redan svÄrt att kalla "ideala förhÄllanden för intrÄng".
SjÀlvklart finns det en annan "ursprunglig synd": trÄdlösa nÀtverk sÀnder inom ett tillgÀngligt spektrum som alla enheter kan fÄnga upp. Faktiskt kan ett WiFi-nÀt jÀmföras med en Ethernet-HUB, dÀr signalen sÀnds till alla portar samtidigt. För att undvika detta bör varje enhet i idealfallet kommunicera pÄ sin egen frekvenskanal som ingen annan ska blanda sig i.
HÀr Àr kortfattat de viktigaste problemen. LÄt oss titta pÄ lösningarna.
Skyddsmedel: direkta och indirekta
Som nÀmnts i den föregÄende artikeln gÄr det inte att uppnÄ perfekt skydd. Men man kan maximera svÄrighetsgraden för att genomföra en attack, vilket gör resultatet olönsamt i förhÄllande till den insats som krÀvs.
Skyddsmedel kan grovt delas in i tvÄ huvudgrupper:
- teknologier för direkt skydd av trafiken, sÄsom kryptering eller filtrering efter MAC;
- teknologier som frÄn början Àr avsedda för andra syften, till exempel för att öka hastigheten, men som indirekt gör livet svÄrare för en angripare.
Den första gruppen beskrevs i den första delen. Men vi har ocksÄ ytterligare indirekta ÄtgÀrder i vÄr arsenal. Som nÀmnts tidigare, ökar antalet accesspunkter signalstyrkan och gör tÀckningsomrÄdet jÀmnare, vilket komplicerar livet för angriparen.
Ytterligare en aspekt Àr att ökningen av dataöverföringshastigheten underlÀttar tillÀmpningen av ytterligare sÀkerhetsÄtgÀrder. Till exempel kan en VPN-klient installeras pÄ varje bÀrbar dator och data kan skickas Àven inom det lokala nÀtverket via krypterade kanaler. Detta krÀver vissa resurser, inklusive hÄrdvara, men skyddsnivÄn ökar avsevÀrt.
Nedan ger vi en beskrivning av teknologier som förbÀttrar nÀtverksarbetet och indirekt ökar skyddsnivÄn.
Indirekta medel för att förbĂ€ttra sĂ€kerheten â vad kan hjĂ€lpa?
Client Steering
Funktionen Client Steering erbjuder klientenheter att först anvĂ€nda 5 GHz-bandet. Om denna möjlighet inte Ă€r tillgĂ€nglig för kunden kan de fortfarande anvĂ€nda 2.4 GHz. För förĂ„ldrade nĂ€tverk med fĂ„ accesspunkter bygger den huvudsakliga verksamheten pĂ„ 2.4 GHz-bandet. För 5 GHz frekvensband kan en enda accesspunkt bli oacceptabel i mĂ„nga fall. Anledningen Ă€r att signalen pĂ„ högre frekvens passerar sĂ€mre genom vĂ€ggar och runt hinder. En vanlig rekommendation Ă€r att för att sĂ€kerstĂ€lla pĂ„litlig anslutning pĂ„ 5 GHz-bandet â Ă€r det bĂ€st att arbeta inom direkt sikt frĂ„n accesspunkten.
I moderna standarder 802.11ac och 802.11ax, tack vare det större antalet kanaler, kan flera accesspunkter installeras nÀrmare varandra, vilket gör att man kan sÀnka effekten utan att förlora, utan snarare öka hastigheten pÄ dataöverföringen. I slutÀndan gör anvÀndningen av 5 GHz-bandet livet svÄrare för angripare, men förbÀttrar kvaliteten pÄ kommunikationen för kunder som Àr inom rÀckhÄll.
Denna funktion presenteras:
- i Nebula- och NebulaFlex-accesspunkter;
- i brandvÀggar med kontrollerfunktion.
Auto Healing
Som nÀmnts tidigare passar inte konturerna av lokalens perimeter in i rundade diagram av accesspunkter.
För att lösa detta problem mĂ„ste man först anvĂ€nda ett optimalt antal accesspunkter, och för det andra minska ömsesidig pĂ„verkan. Men om man bara sĂ€nker effekten pĂ„ sĂ€ndarna manuellt â en sĂ„dan enkel Ă„tgĂ€rd kan leda till försĂ€mrad uppkoppling. Detta kommer sĂ€rskilt att mĂ€rkas om en eller flera accesspunkter slutar fungera.
Auto Healing gör det möjligt att snabbt justera effekten utan att förlora pÄ tillförlitlighet och hastighet i datatransmissionen.
NÀr denna funktion anvÀnds kontrollerar styrenheten status och funktionalitet hos accesspunkterna. Om en av dem inte fungerar fÄr grannpunkterna instruktioner att öka signalstyrkan för att fylla i 'vita flÀckar'. NÀr accesspunkten Àr Äter i drift fÄr grannpunkterna besked att sÀnka signalstyrkan för att minska nivÄn av ömsesidiga störningar.
Sömlös WiFi-roaming
Vid första anblicken Àr det svÄrt att kalla denna teknik för en sÀkerhetsförbÀttring, snarare tvÀrtom, eftersom den underlÀttar klientens (inklusive illvilligt agerande) omkoppling mellan accesspunkter i samma nÀtverk. Men om tvÄ eller fler accesspunkter anvÀnds mÄste man sÀkerstÀlla smidig funktion utan onödiga problem. Dessutom, om accesspunkten Àr överbelastad, försÀmras skyddsfunktioner sÄsom kryptering, vilket medför fördröjningar i datautbytet och andra otrevligheter. I detta avseende Àr sömlös roaming en stor hjÀlp för att flexibelt fördela belastningen och sÀkerstÀlla oavbruten drift i skyddat lÀge.
InstÀllning av tröskelvÀrden för signalstyrka för att ansluta och koppla bort trÄdlösa klienter (Signal Threshold eller Signal Strength Range)
Vid anvÀndning av en ensam accesspunkt har denna funktion i princip ingen betydelse. Men under förutsÀttning att flera punkter som styrs av styrenheten arbetar, kan man organisera mobil fördelning av kunder över olika AP. Det Àr vÀrt att pÄminna om att funktionerna hos accesspunktsstyrenheten finns i mÄnga av Zyxel:s routrar: ATP, USG, USG FLEX, VPN, ZyWALL.
De enheter som nÀmns ovan har en funktion för att koppla bort klienter som Àr anslutna till en SSID med svag signal. "Svag" betyder att signalen ligger under en tröskel som Àr instÀlld pÄ controllern. Efter att klienten har kopplats bort, skickar den en förfrÄgan för att söka efter en annan Ätkomstpunkt.
Till exempel, om en klient Àr ansluten till en Ätkomstpunkt med en signal under -65dBm, och avkopplingströskeln för stationen Àr -60dBm, kommer Ätkomstpunkten att koppla bort klienten med den signalnivÄn. Nu startar klienten omkopplingsproceduren och ansluter till en annan Ätkomstpunkt med en signal som Àr över eller lika med -60dBm (stationens signaltröskel).
Detta spelar en viktig roll vid anvÀndning av flera Ätkomstpunkter. Det förhindrar att en stor del av klienterna samlas pÄ en enda punkt, medan andra Ätkomstpunkter stÄr obetydliga.
Utöver detta kan anslutningen av klienter med svag signal, som med stor sannolikhet befinner sig utanför lokalerna, till exempel bakom en vÀgg i ett angrÀnsande kontor, ocksÄ begrÀnsas, vilket gör det möjligt att betrakta denna funktion som en indirekt skyddsÄtgÀrd.
ĂvergĂ„ng till WiFi 6 som en av vĂ€garna för att öka sĂ€kerhetsnivĂ„n
Vi har redan diskuterat fördelarna med direkta skyddsÄtgÀrder i den föregÄende artikeln «Funktioner för skydd av trÄdlösa och trÄdbundna nÀtverk. Del 1 - Direkta skyddsÄtgÀrder».
WiFi 6-nÀtverk erbjuder högre dataöverföringshastigheter. à ena sidan tillÄter den nya standardgruppen att öka hastigheten, Ä andra sidan kan fler Ätkomstpunkter placeras pÄ samma yta. Den nya standarden möjliggör anvÀndning av mindre effekt för högre hastighet.
Ăkning av dataöverföringshastigheten.
ĂvergĂ„ngen till WiFi 6 innebĂ€r en ökning av dataöverföringshastigheten upp till 11Gb/s (modulations typ 1024-QAM, 160 MHz kanaler). Nya enheter som stöder WiFi 6 har högre prestanda. En av de största utmaningarna vid implementering av ytterligare sĂ€kerhetsĂ„tgĂ€rder, sĂ„som VPN-kanal för varje anvĂ€ndare, Ă€r hastighetsminskningen. Med WiFi 6 blir det lĂ€ttare att tillĂ€mpa ytterligare skyddssystem.
BSS Coloring
Tidigare har vi skrivit att en mer jÀmn tÀckning minskar penetration av WiFi-signaler utanför omrÄdet. Men dÄ antalet Ätkomstpunkter ökar kan till och med Auto Healing vara otillrÀckligt, eftersom "frÀmmande" trafik frÄn en angrÀnsande punkt fortfarande kommer att trÀnga in i mottagningomrÄdet.
Vid anvÀndning av BSS Coloring sÀtter Ätkomstpunkten speciella mÀrkningar (fÀrgar) pÄ sina datapaket. Detta gör det möjligt att ignorera pÄverkan frÄn angrÀnsande sÀndande enheter (Ätkomstpunkter).
FörbÀttrad MU-MIMO
I 802.11ax finns ocksĂ„ viktiga förbĂ€ttringar av MU-MIMO-teknologin (Multi-User â Multiple Input Multiple Output). MU-MIMO gör det möjligt för Ă„tkomstpunkten att utbyta data med flera enheter samtidigt. Men i den tidigare standarden kunde denna teknik endast stödja grupper om fyra kunder pĂ„ en frekvens. Detta underlĂ€ttade överföringen, men inte mottagningen. WiFi 6 anvĂ€nder fleranvĂ€ndar-MIMO 8Ă8 för bĂ„de överföring och mottagning.
Anteckning. Standarden 802.11ax ökar storleken pÄ MU-MIMO-grupper i inkommande trafik, vilket ger en mer effektiv prestanda för WiFi-nÀtverket. FleranvÀndarfrekvenskanal MIMO Àr ett nytt tillÀgg till 802.11ax.
OFDMA (Orthogonal frequency-division multiple access)
Detta Àr en ny metod för kanalÄtkomst och förvaltning, utvecklad baserat pÄ teknologier som redan testats inom LTE-mobilnÀt.
OFDMA möjliggör att skicka mer Àn en signal över samma linje eller kanal samtidigt, genom att tilldela tidsintervall för varje överföring och tillÀmpa frekvensdelning. Som ett resultat ökar hastigheten genom bÀttre utnyttjande av kanalen, och sÀkerheten förbÀttras.
Sammanfattning
WiFi-nÀt verkstÀlls bli alltmer sÀkra för varje Är. AnvÀndningen av moderna teknologier gör det möjligt att skapa en acceptabel skyddsnivÄ.
Direkta skyddsmetoder i form av trafik-kryptering har visat sig vara ganska effektiva. Glöm inte bort de extra ÄtgÀrderna: MAC-filtrering, dölja nÀtverksidentiteten, Rogue AP Detection (Rogue AP Containment).
Men det finns ocksÄ indirekta ÄtgÀrder som förbÀttrar samarbetet mellan trÄdlösa enheter och ökar hastigheten pÄ datautbytet.
AnvÀndningen av nya teknologier minskar signalnivÄn frÄn punkterna, vilket gör tÀckningen mer jÀmn, nÄgot som har en positiv inverkan pÄ hÀlsan hos hela det trÄdlösa nÀtverket, inklusive sÀkerheten.
Sunt förnuft sÀger att för att öka sÀkerheten Àr alla medel bra: bÄde direkta och indirekta. Denna kombination gör det sÄ svÄrt som möjligt för angriparen.
Nyttiga lÀnkar:
- Egenskaper för skydd av trÄdlösa och trÄdbundna nÀtverk. Del 1 - Direkta skyddsÄtgÀrder
KĂ€lla: habr.com
