Bezpieczeństwo sieci Wi-Fi – część 1 (wstęp)

Wstęp

Jeszcze kilkanaście lat temu głównym problemem użytkowników Internetu była jego prędkość. Otoczeni bezkresną plątaniną kabli nawet nie myśleli o mobilnym czy bezprzewodowym dostępie do sieci. Dzisiaj, praktycznie w każdym domu, znaleźć można bezprzewodowy punkt dostępowy do Internetu. Technologia sieci bezprzewodowych jest odpowiedzialna za rewolucję w mobilnym dostępie do sieci. Współcześnie większość przenośnych urządzeń takich jak: telefony, tablety, netbooki, notebooki czy konsole gier posiadają wbudowanie moduły Wi-Fi. Ponadto, coraz więcej urządzeń, nie związanych dotychczas bezpośrednio z siecią, takich jak: aparaty fotograficzne, kamery czy sprzęt AGD, ma możliwość łączenia się z siecią bezprzewodową. Niestety, wraz z ogromną wygodą, jaką stanowi łatwy i powszechny dostęp do Internetu oferowany przez sieci Wi-Fi, rośnie zagrożenie dla naszych danych, urządzeń czy sieci firmowych.

Standardy sieci Wi-Fi

Sieci Wi-Fi rozwijane są od kilkunastu lat. Wraz z ich popularyzacją znacząco wzrastają wymagania dotyczące ich wydajności i przepustowości. Z tego powodu powstały się już cztery oficjalne standardy technologiczne, a kolejne są w trakcie opracowywania. Przyjrzyjmy się im zatem:

1. 802.11a

To pierwszy technologicznie standard sieci Wi-Fi wprowadzony w 1999 roku. Wykorzystuje częstotliwość 5 GHz, kanał o szerokości 20 MHz i pozwala na maksymalną prędkość transmisji wynoszącą 54 Mb/s. W praktyce, ze względu na zarządzanie transmisją i kolizje, przepustowość netto, czyli realnie dostępna do transmisji danych użytkownika, wynosi ok 20Mb/s. Wprowadzenie tego standardu zostało opóźnione przez problemy techniczne z budową podzespołów i ich wysokimi kosztami. Nie udało się doprowadzić do jego pełnej popularyzacji ze względu na upowszechnienie standardu 802.11b i to 802.11b kojarzony jest z początkiem boomu na sieci Wi-Fi.

2. 802.11b

Ten standard również wprowadzono w roku 1999 i był pierwszym, który wszedł do domów i małych firm, gdyż jego wdrożenie było dużo tańsze od sieci opartych na 802.11a. Wykorzystuje częstotliwość 2.4 GHz, kanał o szerokości 20 MHz i ma maksymalną przepustowość wynoszącą 11 Mb/s, jednak jego przepustowość netto wynosi ok 6 Mb/s. Nie jest kompatybilny z 802.11a ze względu na użycie innej częstotliwości.

3. 802.11g

Standard ten został wprowadzony w 2003 roku w związku ze zwiększającym się zapotrzebowaniem na przepustowość. Jest wstecznie kompatybilny z 802.11b dzięki użyciu częstotliwości 2.4 GHz i pasma 20 MHz. Oficjalna prędkość wynosi 54 Mb/s, zaś netto – maksymalnie 25Mb/s. W tym momencie to najpopularniejszy ze standardów. Niektórzy producenci wprowadzali swoje rozwiązania typu „boost”, mające na celu podwojenie prędkości, jednak aby osiągnąć taką przepustowość wymagane jest używanie kompatybilnego sprzętu tegoż producenta.

4. 802.11n

Kolejny format został wprowadzony 6 lat później (2009). Wykorzystuje zarówno częstotliwość 2.4 GHz i 5 GHz oraz kanały o szerokości 20 MHz i 40 MHz. Po raz pierwszy wprowadzono w nim technikę MIMO (multiple-input multiple-output) oraz agregację ramek, dzięki czemu maksymalna prędkość transmisji wzrosła nawet do 600 Mb/s. MIMO polega na wykorzystaniu kilku anten do równoległej transmisji kilku strumieni danych. W celu wykorzystania tej technologii oba urządzenia muszę mieć taką samą liczbę anten. Maksymalnie można wykorzystać 4 MIMO. Praktyczna przepustowość transmisji tego standardu ma wynosić co najmniej 100 Mb/s, czyli tyle co Fast Ethernet.

5. 802.11ac

Wprowadzanie tego standardu planowane jest na 2014 rok. Rozszerza on maksymalną prędkość do 866 Mb/s dzięki 8 strumieniom MIMO, użyciu tylko 5 GHz i obowiązkowemu zastosowaniu 80 MHz kanałów, z opcją na 160 MHz. Dodatkowo planowane jest wprowadzenie wielu usprawnień na poziomie transmisji radiowej.

Wydajność transmisji

Standardowo w przypadku sieci 802.11a/b/g zasięg określany jest zazwyczaj na ok. 100m w przestrzeni otwartej. W przypadku sieci w standardzie 802.11n mówi się, że zasięg jest co najmniej dwa razy większy. Dla sieci 802.11a zasięg może być mniejszy ze względu na mniejszą przenikalność częstotliwości 5 GHz przez przeszkody. Należy pamiętać o degradacji siły i jakości sygnału radiowego wraz ze zwiększaniem się odległości między urządzeniami, co nieuchronnie oznacza spadek prędkości transmisji.

Dodatkowo mechanizm zarządzania kolizjami będzie powodował większe narzuty wraz ze spadkiem jakości sygnału. Sprzęt nie sygnalizuje użytkownikowi dostarczenia danych, zatem transmisja określana jest jako „best-effort”, a niezawodność transmisji musi być realizowana w wyższych warstwach. Należy pamiętać o tym, że zasięg w budynkach jest bardzo silnie zależny od rodzaju ścian, a urządzenia będące w swoim zasięgu mogą się wzajemnie zakłócać. Problem ten rozwiązuje możliwość wyboru jednego z kilkunastu kanałów częstotliwości oraz automatyczne wybieranie wolnego kanału przez urządzenia. Niestety, w miejscach gdzie znajduje się wiele sieci Wi-Fi może pojawić się problem znalezienia wolnego kanału. W przypadku zastosowania dedykowanych zewnętrznych anten, możliwe jest osiągnięcie zasięgu kilku kilometrów, jednak należy pamiętać o wspomnianych już fizycznych przeszkodach mogących degradować ten sygnał.

Przyjrzyjmy się bliżej kwestii wyboru kanału. Pomimo, że w konfiguracji urządzeń widocznych jest ich kilkanaście, należy pamiętać o tym, że w praktyce sygnał Wi-Fi w paśmie 2.4 GHz zajmuje aż pięć kanałów. Przykładowo: wybierając kanał nr 3 używamy kanałów od 1 do 5. Zatem, dopiero para kanałów różniących się numerem o minimum 5 nie zachodzi na siebie. W związku z tym, urządzenia pracujące na kanałach odległych od siebie o mniej niż 5, będą interferowały ze sobą w mniejszym lub większym stopniu. Ponadto, liczba kanałów różni się w zależności od kraju. Na przykład, dla pasma 2.4 GHz w Europie dostępnych jest 13 kanałów, w USA tylko 11, a w Japonii aż 14. W przypadku użycia standardu 802.11n z kanałami o szerokości 40 MHz, w danym obszarze bez interferencji może pracować tylko jedna sieć. Istnieje możliwość użycia kanałów o szerokości 20 MHz, w celu uniknięcia interferencji, ale, niestety, oznacza to spadek maksymalnej prędkości.

Sposobem rozwiązania problemu „zatłoczonego” pasma 2.4 GHz jest przejście na pasmo 5 GHz. Dlatego, w przypadku standardu 802.11n i wysokich wymagań wydajnościowych, zaleca się użycie częstotliwości 5 GHz. Standard 802.11n posiada różne mechanizmy zwiększające zasięg transmisji, w związku z tym znacząco zmniejsza problem tłumienności pasma 5 GHz. Warto zauważyć, że najnowszy przygotowywany standard 802.11ac wykorzystuje tylko i wyłącznie częstotliwość 5 GHz.

Architektura sieci Wi-Fi

Architektura sieci WiFi może bazować na dwóch topologiach:

1. Ad-hoc – urządzenia kontaktują się bezpośrednio ze sobą.
2. Managed/Infrastructure – w sieci istnieje centralne urządzenia zwane Access Pointem (AP), z którym kontaktują się wszystkie urządzenia w ramach danej sieci. Natomiast poszczególne urządzenia nie mają możliwości bezpośredniego kontaktowania się ze sobą, ponieważ to AP zajmuje się przekazywaniem ruchu pomiędzy nimi.

Ze względu na brak możliwości zarządzania, topologia Ad-hoc ma zastosowanie ograniczone tylko do sieci składających się z kilku lub kilkunastu urządzeń. W przypadku potrzeby połączenia większej liczby urządzeń należy używać topologii opartych o Access Pointy. W stosunku do urządzeń działających w sieci, stosuje się zamiennie określenia client lub station. Konfigurując sieć, należy pamiętać o tym, że wszystkie urządzenia komunikujące się ze sobą w danej sieci muszą nadawać na tym samym kanale (tej samej częstotliwości spośród kilku dostępnych) i muszą być skonfigurowane do podłączenia do sieci o tej samej nazwie (Service Station Identification, SSID).

W przypadku potrzeby pokrycia obszaru większego niż zasięg pojedynczego AP stosowane są dwa rozwiązania:

1. Podpięcie każdego AP do okablowania sieci lokalnej (LAN),
2. Zastosowanie AP w tzw. trybie bridge. Oznacza to, że AP, który nie jest podłączony do sieci LAN, pośredniczy w transmisji pomiędzy urządzeniem końcowym a kolejnym AP. Ten z kolei, może przekazywać transmisję dalej, aż do urządzenia posiadającego dostęp do sieci LAN.

Problem współdzielonego medium

Kilka czy kilkanaście lat temu, sieci LAN budowano w oparciu o huby, co niestety dawało możliwość podsłuchiwania transmisji innego użytkownika. Między innymi dlatego wprowadzono switche, izolujące komunikację pomiędzy urządzeniami. Niestety, nie jest to rozwiązanie dające stuprocentowe bezpieczeństwo. Istnieją bowiem ataki, tj. ARP poison, pozwalające na oszukanie switcha. Dlatego zaczęto stosować tzw. prywatne VLAN pozwalające na pełną i bezpieczną izolację poszczególnych urządzeń.

Ponadto, w przypadku sieci LAN, stworzono wiele możliwości również fizycznego zabezpieczenia przed dostępem do medium sieciowego, jakim jest kabel. Wystarczy bowiem zabezpieczyć urządzenia, zamykając je w szafie, i odpowiednio poprowadzić okablowanie. Co więcej, w momencie, w którym ktokolwiek będzie próbował podpiąć do gniazdka nieautoryzowane urządzenie, istnieje możliwość zastosowania zabezpieczeń, dzięki którym switch wykryje intruza i fizycznie odłączy dany port, uniemożliwiając penetrację sieci. Dodatkowo, samo podsłuchiwanie transmisji w kablach jest bardzo trudne.

Natomiast, w przypadku sieci Wi-Fi, brak kabli, mobilność oraz łatwość dostępu stanowią ich największe zalety, które przyczyniły się do ich ogromnego sukcesu. Niestety to, co stanowi największą zaletę, jest jednocześnie ich największą wadą. Pamiętajmy bowiem, że zastosowanie fal radiowych oznacza wykorzystanie medium transmisyjnego, które jest współdzielone ze wszystkimi urządzeniami będącymi w ich zasięgu. Oznacza to, że nie ma możliwości fizycznego ograniczenia dostępu do danej sieci. Ponadto, powszechnym zjawiskiem jest „wychodzenie” zasięgu sieci poza teren, w którym zaplanowano jej użytkowanie. Stanowi to nowe, nie łatwe, a jednocześnie jakże ważne, wyzwanie w dziedzinie bezpieczeństwa.

Użycie fal radiowych wprowadza zatem możliwość przeprowadzania wielu ataków, na które dobrze przygotowane i zabezpieczone sieci LAN nie są już wrażliwe. Zatem sieci Wi-Fi cofnęły ten obszar bezpieczeństwa do ery hubów. Pamiętając o problemie „wychodzenia” sieci poza teren, w którym zaplanowano jej użytkowanie, należy zwrócić uwagę na fakt, że w przypadku sieci Wi-Fi atakujący nawet nie musi znajdować się np. w siedzibie firmy czy w czyimś domu, aby penetrować sieć. Sieć dostępna jest bowiem „wszem i wobec”.

Najczęstsze scenariusze ataków to:

• uzyskanie dostępu do zabezpieczonej sieci Wi-Fi i wykorzystanie jej do połączenia z Internetem lub wykorzystanie jej jako proxy do dalszych ataków,
• uzyskanie dostępu do zabezpieczonej sieci Wi-Fi w celu wykradania informacji, penetracji podłączonej infrastruktury, budowa botnetu,
• ataki typu „man in the middle”, realizowane np. jako podstawienie fałszywego AP i zmylenie użytkowników, aby nawiązali połączenie z tym AP, w celu wykradania wrażliwych informacji użytkownika.

Koncepcje zabezpieczania sieci

1. Rozgłaszanie sieci

Jednym z pierwszych pomysłów na zabezpieczenie sieci Wi-Fi było wyłączenie rozgłaszania SSID przez AP. Miało to zabezpieczyć przed wykryciem obecności sieci, a atakujący, bez znajomości SSID, nie mógłby się do niej podłączyć. Niestety, szybko okazało się, że metoda ta jest całkowicie nieskuteczna, ponieważ SSID jest rozgłaszany na żądanie dowolnego klienta lub istnieje możliwość podsłuchania SSID przy pomocy snifferów sieciowych.

2. Filtrowanie dostępu

Kolejne rozwiązanie to filtrowanie urządzeń, które mają dostęp do komunikacji z AP poprzez autoryzowanie tylko wybranych adresów MAC. Problem jednak ponownie tkwi we współdzielonym medium, ponieważ adresy MAC są publicznie widoczne w najniższej warstwie komunikacji sieciowej. W związku z tym, bardzo łatwo pokonać to zabezpieczenie poprzez podsłuchanie obecnej transmisji i wykrycie adresów MAC urządzeń, które są w stanie komunikować się z AP. Następnie, gdy takie urządzenie nie jest już obecne w sieci, wystarczy zmienić adres MAC swojego urządzenia.

3. Izolacja

Istnieją także rozwiązania mające na celu izolację użytkowników sieci pomiędzy sobą czyli tzw. „wireless client isolation”. Dzięki niemu poszczególne urządzenia, już podłączone do AP, nie mogą się między sobą komunikować, jeśli AP im na to nie zezwoli. Dzięki temu nie ma możliwości podsłuchiwania transmisji. Niestety, podobnie jak w poprzednim przypadku, wystarczy przestawić swoją kartę bezprzewodową tak aby odbierała wszystkie dostępne pakiety i wtedy uzyskuje się możliwość podglądania transmisji innego użytkownika.

4. Szyfrowanie

Ponieważ wszystkie powyższe metody okazały się całkowicie nieskuteczne, ostatecznie zdecydowano, że tylko szyfrowanie dostępu do AP i komunikacji sieciowej, jest w stanie znacząco poprawić bezpieczeństwo użytkowników. W związku z tym wprowadzono rozwiązania, które wymagają podania hasła w celu podłączenia się do sieci, a wszystkie dane są następnie szyfrowane. Pierwszym takim mechanizmem był WEP, który, jak się okazało, miał niestety bardzo poważne wady kryptograficzne. W związku z tym w kolejnych latach wprowadzono WPA mające naprawić słabość zabezpieczeń oferowanych przez WEP. Niestety, do dzisiaj istnieją praktycznie i skuteczne możliwości ataku na sieci zabezpieczone przy pomocy WPA.

5. Rozwiązania enterprise

Zatem, praktyka pokazała, że obecnie nie ma możliwości utworzenia w pełni bezpiecznej sieci Wi-Fi. Na szczęście istnieją już dwie metody klasy enterprise, dzięki którym, można znacząco, choć nie stuprocentowo, zredukować zagrożenie skutecznego ataku:

Utworzenie w pełni wyizolowanej od LAN, sieci Wi-Fi z otwartym dostępem. Wówczas, każdy użytkownik loguje się poprzez tzw. captive portal czyli stronę WWW, na której wprowadza login i hasło oraz łączy się z Internetem, po czym uzyskuje dostęp do zasobów sieci LAN poprzez VPN. W tym przypadku sieć Wi-Fi jest całkowicie odizolowana i nie ma możliwości przejścia z jednej do drugiej sieci. VPN sprawia, że nawet jeśli atakujący podsłucha transmisję, nie będzie w stanie jej zdekodować.

Zastosowanie infrastruktury bazującej na standardzie 802.1X. W tym przypadku każdy użytkownik ma możliwość uwierzytelnić punkt dostępowy, do którego się podłącza, przesłać login i hasło w bezpieczny sposób i uzyskać indywidualny klucz do szyfrowania transmisji. W tym przypadku nie ma też możliwości instalacji fałszywego AP ani złamania szyfrowania transmisji, ponieważ możliwe jest zastosowanie wielu zaawansowanych metod uwierzytelniania użytkownika, takich jak np. klucze prywatne.

c.d.n.

— Adam Smutnicki