bezpieczeństwo

24

styczeń 2006

25

www.lpmagazine.org

bezpieczeństwo

bezpieczne sieci bezprzewodowe

Bezpieczne sieci

bezprzewodowe

Michał Poselt

P

opularność sieci bezprzewodo-
wych wzrasta z każdym dniem.
Nie powinno to nikogo dziwić.
Każdy z nas ceni sobie niskie

koszty związane z instalacją takiej sieci
oraz dużą mobilność, którą daje nam
takie rozwiązanie. Wraz z tym zaskaku-
jąco szybkim rozwojem pojawił się pro-
blem zabezpieczania sieci bezprzewodo-
wych. Istnieje wiele metod, zaczynając od
tych skomplikowanych, przeznaczonych
dla administratorów większych sieci, po
te mniej skomplikowane, które możemy
bez problemu sami zastosować w naszej
domowej sieci. Niestety, większość osób,
zakładających taką sieć po raz pierwszy,
zapomina nawet o tych najprostszych
zabezpieczeniach. W tym artykule poka-
żemy, jak z nich skorzystać. Jest to o tyle
ważne, że brak jakiegokolwiek zabezpie-
czenia lub jego słabość może spowodo-
wać, że niepowołana osoba może się do
niej podłączyć zapychając nasze łącze, a co
gorsza, nawet próbować włamać do nasze-
go komputera.

Dostępne rozwiązania

Najczęściej stosowanym standardem szy-
frowania w sieciach bezprzewodowych
standardu IEEE 802.11 jest WEP (ang.
Wired Equivalent Privacy). Rozwiązanie to
specyfikuje klucze 40 i 104 bitowe, do któ-
rych w procesie wysyłania ramki dołącza-
ny jest wektor inicjujący (IV) o długości 24
bitów. Z tego powodu popularnie mówi
się o 64- i 128-bitowych kluczach WEP,
ale nie jest to stwierdzenie poprawne tech-
nicznie.

Z uwagi na słabość WEP organiza-

cja Wi-Fi Alliance zaproponowała nowy

standard szyfrowania WPA (ang. Wi-Fi
Protected Access), który wydaje się być
o wiele lepszym rozwiązaniem niż
WEP.

Założenia

Naszym zadaniem będzie zabezpieczenie
sieci opartej o ruter Linksys WRT54GC oraz
notebooka z bezprzewodową kartą siecio-
wą Orinoco i Linuksem Ubuntu 5.10, ale
z powodzeniem można wykorzystać opi-
sywane czynności na dowolnym innym
ruterze i w innej dystrybucji Linuksa (im
nowsza, tym lepsza).

Na początku zajmiemy się konfigu-

racją rutera (wyłączenie serwera DHCP,
włączenie filtracji adresów MAC, włą-
czenie szyfrowania WEP i utworzenie
klucza WEP oraz wyłączenie rozgłasza-
nia ESSID), a później konfiguracją note-
booka.

O autorze

Autor jest studentem Informatyki

na Uniwersytecie Łódzkim (filia

w Tomaszowie Maz.) oraz

prowadzi portal o bezpiecze-

ństwie sieci bezprzewodowych

oraz idei warchalkingu (http://

www.warchalking.pl/).

DVD

Linux+ Live DVD zawiera

preinstalowanego NDISwrappera,

więc można uruchamiać

dostępne w komputerze

bezprzewodowe karty sieciowe.

Na CD/DVD

Na CD/DVD znajduje się pakiet

NDISwrapper, który umożliwia

uruchamianie sterowników
dla bezprzewodowych kart

sieciowych z Windows na

Linuksie, a tym samym dostęp

przy ich pomocy do sieci lokalnej

bądź Internetu.

Rysunek 1.

Nasz ruter, którego będziemy

wykorzystywali

bezpieczeństwo

24

styczeń 2006

25

www.lpmagazine.org

bezpieczeństwo

bezpieczne sieci bezprzewodowe

Konfiguracja rutera

Zakładam, że ruter podłączyliśmy już do
Internetu, a także zmieniliśmy na nim ESSID
(w ruterach firmy Linksys standardowy to

linksys

) oraz hasło (standardowe to

admin

).

Wszystkie operacje konfiguracyjne rutera
będziemy wykonywać poprzez jego panel
sterowania (http://192.168.1.1/).

Wyłączenie serwera DHCP

W sekcji Network Setup zakładki Basic Setup
z działu Setup znajduje się część określo-
na jako DHCP Server Setting. Odnajdujemy
tam linijkę DHCP Server i zmieniamy war-
tość z Enabled na Disabled. Musimy pamię-
tać, że za każdym razem, gdy coś zmienia-
my, musimy zapisywać ustawienia przyci-
skiem Save settings.

Włączony serwer DHCP stanowi duże

zagrożenie dla naszej sieci, ponieważ przy-
dziela automatycznie adres IP kompu-
terom, które podłączają się do naszego
rutera. Sytuacja ma się inaczej, gdy trzeba
taki IP wybadać samemu – jest to nie tyle
zabezpieczenie, co utrudnienie, ale trzeba
przyznać, że przydatne.

Włączenie filtracji adresów MAC

Filtracja adresów MAC jest dość ważna przy
zabezpieczaniu sieci. Pozwala nam autory-
zować tylko te komputery, które zostały
wpisane na naszą listę. Nie możemy zapo-
mnieć o dodaniu naszego adresu MAC
karty WLAN.

Aby sprawdzić adres MAC naszej karty

sieciowej, wydajemy polecenie

ifconfig <nasz

intersejs sieciowy>

, np.:

scoti@ubuntu:~$ ifconfig eth1
eth1 Link encap:Ethernet HWaddr
00:01:F4:EC:D2:88
inet6 addr: fe80::201:f4ff:
feec:d288/64 Scope:Link
UP BROADCAST RUNNING
MULTICAST MTU:1500 Metric:1
RX packets:0 errors:0
dropped:0 overruns:0 frame:0
TX packets:0 errors:9
dropped:0 overruns:0 carrier:0
collisions:0 txqueuelen:1000
RX bytes:0 (0.0 b) TX
bytes:0 (0.0 b)
Interrupt:3 Base address:
0x100

Nasz adres MAC jest dostępny po słowie
Hwaddr.

Gdy znamy już nasz adres MAC, mo-

żemy przystąpić do konfiguracji filtra

adresów MAC. W tym celu przechodzi-
my na panelu sterowania rutera do
działu Wireless i zakładki Wireless MAC
Filter. Włączamy w niej funkcję filtro-
wania adresów MAC (Access restriction:
Enabled) oraz zaznaczamy opcję Permit
PCs listed below to access the wireless
network. Oczywiście, na koniec wpisujemy
w pole MAC 01 nasz adres MAC karty
bezprzewodowej.

Włączenie szyfrowania WEP

Przy włączaniu na ruterze szyfrowa-
nia WEP do wyboru mamy tryb 64- albo
128-bitowy, więc warto sprawdzić, czy
nasza karta w notebooku obsługuje klucze
128-bitowe. Aby to zrobić, posłużymy się
narzędziem

iwlist

, wchodzącym w skład

pakietu Linux Wireless Extensions:

scoti@ubuntu:~$ iwlist eth1 key
eth1

2 key sizes : 40, 104bits

Jak widzimy, nasza karta wspiera szyfro-
wanie 128-bitowe (jak wspomniałem wcze-
śniej, w kluczu 64/128 bitowym pierwsze
24 bity to wektor inicjujący (IV)).

Gdy teraz wiemy, że nasza karta

wspiera szyfrowanie 64- i 128-bitowe, mo-
żemy przystąpić do konfiguracji rutera.
Znajdujemy w panelu sterowania w dzia-
le Wireless zakładkę Wireless security.
Ustawiamy w niej Security mode na WEP
oraz Encryption na 64 lub 128 bitów.
Wpisujemy w miejsce Passphrase nasze
hasło oraz klikamy na przycisk Generate.

Tak utworzone klucze zapisujemy w bez-
piecznym miejscu.

Brak ESSID – brak połączenia

Do skojarzenia z siecią bezprzewodo-
wą, zgodnie ze standardem IEEE 802.11,
konieczne jest posiadanie jej identyfikato-
ra ESSID. Nasz ruter posiada opcję wyłą-
czenia jego rozgłaszania, po uaktywnie-

Szeroko otwarte sieci

bezprzewodowe

Nie zdziwcie się, gdy kiedyś na ulicy
zobaczycie namalowane kredą dziwne
znaki. Oznacza to zapewne, że w tym
miejscu są dostępne jakieś niezabezpie-
czone sieci. Są to symbole stosowane
w Warchalkingu (tak nazywa się metoda
na wyszukiwanie i oznaczanie szeroko
dostępnych sieci WLAN). Z przykrością
muszę stwierdzić, że około 60 % sieci
bezprzewodowych w Łodzi jest w ogóle
nie zabezpieczona, z czego prawie 40%
działają na domyślnym ESSID. Sieci, w
których stosuje się szyfrowanie WEP, jest
około 30%, zaś WPA tylko 10%. Jeśli spo-
dziewacie się, że w tych 60% niezabez-
pieczonych sieci były tylko sieci domowe,
to jesteście w błędzie! Sprawa ta doty-
czy także firm. Jak widać, istnieje bardzo
dużo sieci, w których nie stosuje się
nawet szyfrowania WEP, którego konfi-
guracja nie powinna zająć nam więcej niż
10 minut, nawet gdy mamy do czynienia z
sieciami po raz pierwszy.

Rysunek 2.

Określanie dopuszczalnych adresów MAC

bezpieczeństwo

26

styczeń 2006

27

www.lpmagazine.org

bezpieczeństwo

bezpieczne sieci bezprzewodowe

niu której z ramek zostanie usunięty łań-
cuch z wartością ESSID. Niestety, identyfi-
kator ESSID będzie ujawniony w 2 typach
ramek: ponownego uwierzytelniania oraz
ponownego skojarzenia. Nie jest to jednak
dużym zagrożeniem, gdy nasz laptop nie
będzie w ciągłym ruchu (tzn. nie będzie-
my się z nim przemieszczać).

Aby wyłączyć ESSID, wchodzimy do

sekcji Wireless i zakładki Basic Wireless
Settings, a następnie zmieniamy war-
tość Wireless SSID Broadcast z Enabled na
Disabled.

Konfiguracja sieci

na notebooku

z zainstalowanym Ubuntu

Gdy mamy już za sobą konfigurację rutera,
czas przygotować naszego notebooka.
Podczas konfiguracji będziemy korzystać
z pakietu Linux Wireless Extensions (wireless-
tools), czyli najpopularniejszego zestawu
narzędzi do konfigurowania parametrów
kart bezprzewodowych w systemie Linux.

Najważniejszym narzędziem tego pa-

kietu jest Iwconfig:

scoti@ubuntu:~$ iwconfig -h

Jego możliwości są naprawdę duże, gdyż za
jego pomocą możemy sterować praktycznie
każdym parametrem naszej karty. Użyje-
my w tej chwili tylko kilku opcji, niezbęd-
nych do nawiązania połączenia z ruterem.

Na początku ustawiamy interfejs eth1

w tryb Managed:

scoti@ubuntu:~$ iwconfig eth1

S

mode Managed

Później podajemy ESSID naszej sieci (np.
zgodnie z ustawieniami w ruterze:

scoti@ubuntu:~$ iwconfig eth1

S

essid [nazwa sieci]

oraz wprowadzamy klucz WEP w postaci
ciągu cyfr szesnastkowych (jeden z zapisa-
nych przez nas wcześniej, np. 37dd5a0741):

scoti@ubuntu:~$ iwconfig eth1

S

key [klucz WEP]

Na końcu sprawdzamy, czy nawiązaliśmy
połączenie z naszym routerem:

scoti@ubuntu:~$ iwconfig eth1
eth1 IEEE 802.11-DS ESSID:
"linux_plus" Nickname:"HERMES I"
Mode:Managed Frequency:2.442 GHz
Access Point: 00:0F:66:66:55:1C

Rysunek 3.

Włączanie szyfrowania WEP

Rysunek 4.

Poprawnie skonfigurowana bezprzewodowa karta sieciowa w Ubuntu

(iwconfig w terminalu oraz KWifiManager).

Topologie sieci

bezprzewodowych

Topologia ad-hoc (sieć bezpośrednia) – w sie
ci zbudowanej w oparciu o tę topologię
komputery komunikują się bezpośrednio
między sobą (bez użycia punktów dostę-
powych i tego typu urządzeń), przez co
ich zasięg jest mniejszy od sieci struktural-
nych. Do komunikacji wykorzystywane są
tylko bezprzewodowe karty sieciowe zain-
stalowane w komputerach. Wadą tych sieci
jest ograniczona liczba użytkowników (4)
oraz to, że nie można dołączyć ich do sieci
przewodowej LAN. Topologię tę stosuje się
głównie do krótkotrwałego połączenia kilku
(do 4) komputerów.

Topologia infrastructure (sieć struktu-

ralna) – budowana jest w oparciu o punkt
dostępowy (Access Point). W tej topolo-
gii komputery nie komunikują się już bez-
pośrednio między sobą, lecz za pośred-
nictwem Access Pointu. Sieci budowa-
ne w tej topologii są bardziej wydajne
i mają większe możliwości. Zastosowanie
punktu dostępowego zwiększa maksy-
malną odległość między stacjami (kom-
puterami), jak również umożliwia dołącze-
nie bezprzewodowej sieci WLAN do prze-
wodowej LAN, a w konsekwencji także
do Internetu. Sieć zbudowaną w oparciu
o tę topologię można praktycznie dowol-
nie powiększać poprzez dołączanie kolej-
nych punktów dostępowych.

bezpieczeństwo

26

styczeń 2006

27

www.lpmagazine.org

bezpieczeństwo

bezpieczne sieci bezprzewodowe

Słowniczek pojęć

WPA (ang. WiFi Protected Access) to standard szyfrowania sto-
sowany w sieciach bezprzewodowych standardu IEEE 802.11.
Został on zaproponowany przez organizację WiFi jako następca
mniej bezpiecznego WEP.
ESSID to nazwa identyfikująca sieć zgodną ze standardem
802.11.
DHCP (ang. Dynamic Host Configuration Protocol) to protokół
komunikacyjny, który umożliwia komputerom uzyskanie od serwe-
ra danych konfiguracyjnych, np. adresu IP komputera, adresu IP
bramy sieciowej, adresu serwera DNS oraz maski sieci. Protokół
DHCP jest zdefiniowany w RFC 2131 i jest następcą BOOTP.
DHCP został opublikowany jako standard w roku 1993.
Słowniczek powstał w oparciu o zasoby Wikipedii.

Bit Rate:11 Mb/s Tx-Power=15 dBm Sensitivity:1/3
Retry limit:4 RTS thr:off Fragment thr:off
Power Management:off
Link Quality=50/92 Signal level=-46 dBm
Noise level=-96 dBm
Rx invalid nwid:0 Rx invalid crypt:0 Rx invalid frag:0
Tx excessive retries:0 Invalid misc:0 Missed beacon:0

Jeśli zamiast adresu MAC rutera (pole Access Point) zobaczyliby-
śmy ciąg

44:44:44:44:44:44

, to oznacza to, że w czasie połącze-

nia wystąpił błąd.

Kolejną rzeczą, którą musimy zrobić, jest przypisanie adresu

IP. Niestety, konieczne jest wykonanie tego ręcznie, gdyż wyłą-
czyliśmy serwer DHCP na naszym ruterze:

scoti@ubuntu:~$ ifconfig eth1 [ip] netmask [maska]
scoti@ubuntu:~$ route add default gw [brama]

gdzie ip to przykładowo 192.168.1.100, maska to 255.255.255.0,
a brama to 192.168.1.1.

Później edytujemy plik /etc/resolv.conf i wpisujemy w nim

adres DNS (np. 172.16.1.1):

scoti@ubuntu:~$ echo nameserver [adres dns]

S

> /etc/resolv.conf

Na koniec sprawdzamy, czy wszystko działa:

scoti@ubuntu:~$ ping -b [brama]
scoti@ubuntu:~$ ping google.pl

Gdybyśmy nie wyłączali serwera DHCP w ruterze, wystarczyło-
by pobranie adresu IP poprzez polecenie

dhclient eth0

.

Podsumowanie

Szyfrowanie WEP, jak powszechnie wiadomo, samo w sobie nie
jest dość dobrym zabezpieczeniem, ale w połączeniu z możliwo-
ściami naszego rutera już się nim staje. Ponadto, szyfrowanie
WEP jest przydatne, gdy korzystamy ze starszych urządzeń sie-
ciowych, które nie wspierają szyfrowania WPA.

Dobrym rozwiązaniem do zabezpieczenia sieci jest WPA,

ale niestety nie każde urządzenie wspiera ten sposób szyfrowa-
nia.