2008 07 08 Bezpieczeństwo sieci Wi Fi [Bezpieczenstwo]

Bezpieczeństwo

Bezpieczeństwo sieci Wi-Fi

lipiec/sierpień 2008

Bezpieczeństwo

Bezpieczeństwo sieci Wi-Fi

www.lpmagazine.org

lin

ftw

.co

dużych miastach na każdym kroku spo-
tkamy kilka sieci bezprzewodowych
– prywatnych lub też mniej lub bar-
dziej ogólnie dostępnych. Pomimo po-

wszechności sieci Wi-Fi chyba niewiele osób zdaje so-
bie sprawę jak niebezpieczna jest to usługa... Aby wła-
mać się do sieci bezprzewodowej wystarczy laptop z kar-
tą Wi-Fi i trochę umiejętności. W tym artykule nie mam
jednak zamiaru pisać, w jaki sposób włamywać się do
sieci lecz w jaki sposób bronić się przed włamaniem.
Myślę że większości użytkowników jest to temat zdecy-
dowanie bliższy...

ABC sieci bezprzewodowych

Najczęstszym przypadkiem sieci bezprzewodowej jest
mała sieć domowa, która składa się z routera WLAN bę-
dącego punktem dostępowym (ang. Access Point – AP)
i komputera klienta – zwykle laptopa. Właśnie takie sie-
ci padają najczęściej ofiarą włamań. Pal diabli, jeśli po-
lega ono tylko na tym, że ktoś za darmo korzysta z do-
stępu do internetu. W najgorszej sytuacji możemy bo-
wiem stracić zdecydowanie więcej – cenne dla nas da-

ne, czy nawet pieniądze. Dlatego też warto wiedzieć, jak
zabezpieczyć się przed włamaniami do sieci bezprzewo-
dowych.

Podstawową sprawą w zabezpieczaniu sieci bez-

przewodowej jest właściwy dobór sprzętu – Access Po-
inta, który teoretycznie powinien swoim zasięgiem po-
kryć cały interesujący nas teren i ani kawałka więcej. Je-
śli zasięg sieci ograniczymy do terytorium np. naszego
mieszkania, czy posesji, to wiadomo, że każdy, kto bę-
dzie chciał z niej skorzystać – musi fizycznie się tam
znaleźć.

Sprawa jednak nie jest taka prosta. Przede wszyst-

kim bardzo trudno jest wyznaczyć zasięg sieci bezprze-
wodowej w budynku. Podawane przez producenta para-
metry zasięgu dotyczą wolnej przestrzeni. W pomiesz-
czeniach mamy do czynienia z takimi zjawiskami, jak
tłumienie, czy odbicie sygnału oraz z szumem gene-
rowanym przez inne urządzenia nadawczo odbiorcze,
choć teoretycznie sieci o częstotliwości 2,4 GHz (stan-
dard WLAN) powinny być na nie odporne. Tak więc
chcąc objąć całe mieszkanie, czy posesją zasięgiem sie-
ci Wi-Fi, musimy się liczyć z tym, że podzielimy się sy-

Bezpieczeństwo

sieci Wi-Fi

Mam taką rozrywkę – biorę swojego laptopa, i chodzę po osiedlu szukając sieci bezprzewodowych. Jak
już znajdę, to przeszukuję je pod kątem zabezpieczeń. Zawsze znajdzie się kilka niezabezpieczonych.
Kolejnym krokiem jest znalezienie sieci bez filtrowania adresów MAC. Wtedy to siadam sobie w zasięgu
sieci, łączę się z nią i patrzę co tym razem mam za darmo...

Grzegorz Madajczak

Bezpieczeństwo

Bezpieczeństwo sieci Wi-Fi

lipiec/sierpień 2008

Bezpieczeństwo

Bezpieczeństwo sieci Wi-Fi

www.lpmagazine.org

gnałem z sąsiadami. Dlatego musimy włą-
czyć inne metody zabezpieczania sieci bez-
przewodowej. Istnieje kilka prostych zasad,
których przestrzeganie pozwoli zwiększyć
bezpieczeństwo naszej sieci.

Po pierwsze należy zmienić fabryczne

ustawienia naszego bezprzewodowego ru-
tera, który zwykle skonfigurowany jest tak,
aby po podłączeniu od razu można było z
niego skorzystać.

Łatwość uruchomienia przy fabrycz-

nych ustawieniach okupiona jest jednak
brakiem jakichkolwiek zabezpieczeń.Dla-
tego natychmiast po uruchomieniu urządze-
nia powinniśmy zabrać się do jego konfigu-
racji. Postaram się zwrócić uwagę na naj-
ważniejsze elementy konfiguracji każde-
go routera bezprzewodowego, AccesPoin-
ta – wspólne dla wszystkich tego typu urzą-
dzeń, niezależnie od producenta.

Jakże standardowym błędem początku-

jących jest pozostawienie IP routera na fa-
brycznych ustawieniach, np. 192.168.0.0.
Jeśli zmienimy ten adres, na jakikolwiek
inny dozwolony przez router, domorosłe-
mu początkującemu włamywaczowi będzie
nieco trudniej włamać się do panelu konfi-
guracyjnego AP, poznać nasze ustawienia i
namieszać.

Oprócz IP, które i tak można podsłu-

chać z użyciem powszechnie dostępnych
programów, koniecznie należy zmienić ha-
sło administratora routera. Przy zmianie
hasła należy posługiwać się sprawdzony-
mi zasadamiznznymi z kryptografii, tj.: im
hasło jest dłuższe, tym trudniejsze do zła-
mania – powinno mieć długość minimum
osiem znaków, hasło nie powinno być po-
wszechnie używanym słowem, czy też co
gorsza kombinacją imienia i nazwiska użyt-
kownika – to pierwsze przyjdzie włamywa-
czowi do głowy,

najlepsze hasło to odpowiednio długa

kombinacja małych i dużych liter, cyfr i in-
nych znaków, np. generowane losowo przez
program komputerowy.

Chociaż hasło utworzone zgodnie z po-

wyższymi zasadami jest trudne do zapamię-
tania, to stanowi poważne utrudnienie dla
włamywacza. Ma to szczególne znaczenie
w przypadku haseł generowanych na po-
trzeby mechanizmów szyfrowania sieci.

Mogę przytoczyć opowieść z życia

wziętą, kiedy to pewien użytkownik sie-
ci bezprzewodowej, z powodu swej nie-
wiedzy, pozostawił na routerze hasło ad-
ministratora w postaci niezmienionej – fa-
brycznej. Gdy odkryłem ten fakt, w pierw-
szej chwili chciałem niczym ten złośliwy

chochlik namieszać mu w ustawieniach.
Zamiast tego odkryłem, do kogo należy
ów niezabezpieczony sprzęt i pomogłem
tak skonfigurować, aby był bezpieczniej-
szy. Musiałem wytłumaczyć mu również,
że udostępnianie dysku C:\ poprzez sieć
bezprzewodową nie jest najlepszym roz-
wiązaniem...

Aby zwiększyć bezpieczeństwo swo-

jej sieci, warto również w ustawieniach ro-
utera wyłączyć rozgłaszanie SSID (Service
Set Identifier) sieci. Normalnie informacja
o SSID dołączana jest do każdego pakietu
wysyłanych danych, gdyż wymagane jest,
aby wszystkie komputery z jednej sieci po-
sługiwały się tym samym SSID.

Ukrycie SSID utrudni więc włamywa-

czowi życie, gdyż w trakcie skanowania
dostępnych sieci, w ten sposób zabezpie-
czona pozostanie niezidentyfiowana. Me-
toda ta ma jednak zasadniczą wadę – nie-
możność natychmiastowego podłączenia
nowych urządzeń, np. laptopa kolegi, któ-
ry przyszedł do nas pograć np. w sieciową
strzelankę.

Prostym rozwiązaniem, znacząco pod-

noszącym bezpieczeństwo, jest włączenie
filtrowania adresów MAC (Media Access
Control – niepowtarzalne na całym świe-
cie identyfikatory interfejsów sieciowych)

(Rysunek 1.). Włączenie filtrowania MAC
sprawi, że dostęp do naszej sieci uzyskają
tylko ściśle określone komputery – z puli
ściśle zdefiniowanych MAC. Należy jednak
pamiętać, iż dzięki programom podsłuchu-
jącym (sieć Wi-Fi) w prosty sposób możli-
we jest poznanie adresów MAC kompute-
rów komunikujących się w sieci. Od tego
zaś pozostał już tylko jeden krok do wła-
mania poprzez fałszowanie adresu MAC.
W związku z powyższym należy zastoso-
wać dodatkowo inne metody zabezpiecza-
nia sieci bezprzewodowej.

Szyfrowanie w sieci

Podstawowym mechanizmem zabezpiecze-
nia sieci bezprzewodowej standardu 802.11
(Tabela 1) przed nieautoryzowanym pod-
słuchem i dostępem do niej, jest mechanizm
szyfrowania WEP (z ang. Wired Equivalent
Privacy). Jest to algorytm szyfrowania, któ-
ry posługuje się kluczami o wielkości 40
(WEP-40) lub 104 bity (WEP-104), do któ-
rych w procesie wysyłania pakietu danych
dołączany jest wektor inicjujący (IV – In-
itialization Vector) o wielkości 24 bitów,
skąd wzięły się popularne długości kluczy
szyfrujących 64 i 128 bitów. Klucze szyfru-
jące składają się z 10 (dla WEP-40) lub 26
znaków (dla WEP-104). Każdy znak repre-

Rysunek 1.

Okno ustawień filtrowania adresów MAC w mojej sieci bezprzewodowej

Bezpieczeństwo

Bezpieczeństwo sieci Wi-Fi

lipiec/sierpień 2008

Bezpieczeństwo

Bezpieczeństwo sieci Wi-Fi

www.lpmagazine.org

zentowany jest przez 4 bity, co daje odpo-
wiednio 40 i 104 bity klucza.

Wraz z szyfrowaniem WEP stosowa-

ne są zamiennie dwie metody uwierzytel-
niania: system otwarty (Open System) lub
system wspólnych kluczy (Shared Keys).
W pierwszym przypadku klient sieci bez-
przewodowej może zostać uwierzytelnio-
ny w Punkcie Dostępowym bez stosowania
algorytmu WEP. Po takim uwierzytelnieniu
klient wysyła i odbiera pakiety danych za-
szyfrowane algorytmem WEP. W przypad-
ku metody wspólnych kluczy, proces uwie-
rzytelniania przebiega w czterech etapach:

• Klient wysyła do AP żądanie uwierzy-

telniania.

• AP wysyła do klienta tekst niezakodo-

wany

• Klient odsyła tekst zakodowany przy

użyciu klucza WEP

• AP odszyfrowuje nadesłany tekst i po-

równuje go ze wzorcem i na podstawie
rezultatu porównania uwierzytelnia lub
nie.

Dopiero po tak przeprowadzonej autory-
zacji następuje podłączenie klienta do sie-
ci i wysyłka zaszyfrowanych pakietów da-
nych. Na pierwszy rzut oka, nie trzeba ni-
kogo przekonywać o wyższości uwierzytel-
niania metodą wspólnych kluczy, nad sys-
temem otwartym, czyli de facto brakiem
uwierzytelniania. Z drugiej jednak strony
podsłuchanie przesyłanego tekstu jawne-
go (drugi etap uwierzytelniania w metodzie
Shared Keys), potem zaś odpowiedzi klien-
ta – zaszyfrowanego tekstu sprawia, że wła-
mywacz ma podany na tacy klucz szyfru-
jący – bez najmniejszego wysiłku. Wystar-
czy, że przechwyci pierwsze cztery ramki
przesyłane pomiędzy AP, a klientem. Dla-
tego wbrew pozorom w celu poprawienia
bezpieczeństwa w sieciach z szyfrowaniem
WEP, zaleca się stosowanie uwierzytelnia-
nia w systemie otwartym.

Standard szyfrowania WEP obec-

nie uznany jest jako bało bezpieczny. Je-
go słabość została ostatecznie potwier-

dzona w 2007 roku, kiedy to naukowcom
z Politechniki w Dramstadt udało się zła-
mać szyfrowanie WEP w mniej niż 1 minu-
tę. Dzięki zastosowaniu technik kryptogra-
ficznych zredukowali oni liczbę przechwy-
conych pakietów potrzebnych do przepro-
wadzenia skutecznego ataku. Przy 104-bi-
towym kluczu wystarczy już 40 tysięcy pa-
kietów, aby osiągnąć 50% prawdopodo-
bieństwo złamania klucza WEP. Przy prze-
chwyceniu 85 tys. pakietów prawdopodo-
bieństwo sięga już 95%. Choć przecięt-
ny użytkownik sieci bezprzewodowej nie
jest naukowcem, to zbliżone rezultaty mo-
że osiągnąć na domowym sprzęcie przy za-
stosowaniu powszechnie dostępnego w in-
ternecie oprogramowania. Dlatego też zde-
cydowanie odradzam szyfrowanie WEP, ja-
ko metodę zabezpieczania sieci Wi-Fi, na-
wet tej najmniejszej – domowej.

Niektóre urządzenia sieciowe stosu-

ją metodę wielu zamiennie stosowanych
kluczy WEP, co w założeniu ma popra-
wić bezpieczeństwo tego algorytmu szy-
frującego. W rzeczywistości metoda ta je-

dynie nieznaczne wydłuża czas potrzeb-
ny na złamanie kluczy szyfrujących.Jeśli
jednak popatrzy się na zabezpieczenia sie-
ci wokół nas, to odkryjemy, że WEP jest
nadal metodą powszechnie stosowaną. Wy-
nika to z trzech przyczyn. Pierwsza z nich
to oczywiście niewiedza posiadaczy (admi-
nistratorów) tychże sieci. Człowiek jest za-
wsze najsłabszym ogniwem w łańcuchu za-
bezpieczeń. Po drugie starszy i najtańszy
sprzęt nie oferuje nowszych, bardziej bez-
piecznych metod szyfrowania – dotyczy to
zwłaszcza bezprzewodowych kart siecio-
wych na Compact Flash, PCMCIA oraz
Exppress Card.

Tak więc posiadany hardware narzuca

konkretny model zabezpieczeń. Warto wte-
dy jednak jak najbardziej utrudnić życie wła-
mywaczowi stosując wszystkie opisane po-
wyżej metody zabezpieczeń sieci – niezależ-
ne od samego szyfrowania, a także zdefinio-
wać cztery odpowiednio długie i trudne klu-
cze WEP. Ostatnia przyczyna wynika z wady
wszystkich metod szyfrowania sieci Wi-Fi.
Ich zastosowanie zmniejsza prędkość przesy-

Rysunek 2.

Schemat mechanizmu MIC. Nadawca wysyła pakiet danych szyfrowany algorytmem Michael za

pomocą klucza, w wyniku czego powstaje 8 bajtów MAC. U odbiorcy dochodzi do porównania MAC nadesła-
nego i utworzonego lokalnie. Na tej podstawie podjęta zostaje decyzja o autentyczności pakietu

��

�

Tabela 1.

Obowiązujące standardy w sieciach bezprzewodowych

Protokół

Rok ogłoszenia

Częstotliwość

Maks. prędkość transmisji

Maks. zasięg wewnątrz

Maks. zasięg na zewnątrz

802.11a

1999

5 GHz

54 Mbit/s

~ 35 m

~ 120 m

802.11b

1999

2,4 GHz

11 Mbit/s

~ 38 m

~ 140 m

802.11g

2003

2,4 GHz

54 Mbit/s

~ 38 m

~ 140 m

802.11n

2009*

2,4 GHz, 5 GHz

300 Mbit/s (min. 100 Mbit/s)

~ 70 m

~ 250 m

* planowany termin ogłoszenia (standard już stosowany w wielu urządzeniach)

Bezpieczeństwo

Bezpieczeństwo sieci Wi-Fi

lipiec/sierpień 2008

Bezpieczeństwo

Bezpieczeństwo sieci Wi-Fi

www.lpmagazine.org

łu danych w takiej sieci, a także zwiększa ob-
ciążenie procesora klienta (komputera podłą-
czonego do szyfrowanej sieci). Efekt ten wi-
doczny jest zwłaszcza na starszym sprzęcie
lub drobnych urządzeniach mobilnych pra-
cującym w sieciach z szyfrowaniem WPA
(więcej o nim za chwilę). Chcąc więc zwięk-
szyć przepustowość sieci, użytkownik (ad-
ministrator) decyduje się na mniej bezpiecz-
ne WEP. Problem ten całkowicie został wy-
eliminowany w sieciach pracujących we-
dług na razie nie obowiązującego oficjalnie
standardu 802.11n. Sieci pracujące wg tego
standardu zapewniają prędkość do 300 MB/s
przy szyfrowaniu WPA. W sklepach można
już kupić urządzenia Wi-Fi (routery, AP, kar-
ty sieciowe) obsługujące ten standard. Zda-
rza się również sytuacja, że urządzenia te nie
obsługują szyfrowania WEP, a jedynie WPA
i WPA2.

Znacznie wyższy poziom zabezpie-

czenia oferuje algorytm WPA (Wi-Fi Pro-
tected Access), który zgodnie z zalecenia-
mi powinien zastąpić wyżej opisany, ma-
ło bezpieczny system WEP. Z WPA moż-
na korzystać na dwa sposoby: w połączeniu
z serwerem autoryzacji, np. RADIUS (wię-
cej na ten temat w ramce Uwierzytelnianie
z serwerem RADIUS), albo z kluczem PSK
(Pre-Shared Key). Drugi ze sposobów, od-
powiedniejszy dla małych sieci domowych
wykorzystuje do uwierzytelniania hasła,
które wcześniej zostały wśród klientów sie-
ci rozpowszechnione w sposób zapewniają-
cy poufność. Metoda ta przypomina zna-
ne z kryptografii szyfrowanie kluczem sy-
metrycznym, gdzie dane są kodowane i de-
kodowane z użyciem identycznego klucza.
Tak więc bezpieczeństwo uwierzytelniania
zależy od siły szyfrowania użytego hasła,
które powinno być dobrane zgodnie z wy-
żej pisanymi zasadami.

W systemie WPA dane szyfrowane są

przy zastosowaniu szyfru strumienia danych
RC4 wykorzystującym 128-bitowy klucz
szyfrujący z 48-bitowym wektorem inicju-
jącym (IV). Jednak największa różnica po-
między WEP i WPA polega na użyciu w tym
drugim protokołu TKIP (Temporal Key In-
tegrity Protocol). Protokół ten poprzez ha-
szowanie (tworzenie szyfrowanego skrótu)
wektora inicjującego uniemożliwia jego nie-
uprawnione odczytanie. Ponadto TKIP wy-
musza generowanie nowych kluczy po każ-
dych 10 tys. przesłanych pakietów.

WPA zapewnia skuteczny system nad-

zoru nad integralnością przesyłanych da-

nych poprzez zastosowanie mechanizmu
MIC (Message Integrity Code). W wyniku
jego działania do pakietu przesyłanych da-
nych dodawanych jest 8 bajów kodu weryfi-
kującego (MAC – Message Authentication
Code) do przesyłanego pakietu (Rysunek
2.). Dzięki takiemu podejściu chronione są
nie tylko same zaszyfrowane dane, lecz tak-
że nagłówek pakietu.

Rozwinięciem systemu szyfrowania

WPA jest protokół 802.11i, nazywany czę-
sto systemem WPA2. Wykorzystuje on ob-
ligatoryjne uwierzytelnianie w systemie
802.11x, a także protokół dynamicznej wy-
miany klucza szyfrującego – TKIP (Tempo-
ral Key Integrity Protocol). Dodatkowo spe-
cyfikacja ta bazuje na silnym, dotychczas
nie złamanym algorytmie szyfrującym AES
(Advanced Encryption Standard), który wy-
korzystuje klucze o długości 128, 192 i 256
bitów. Wadą tego rozwiązania są znaczne
wymagania co do mocy obliczeniowej urzą-
dzeń szyfrujących.

Standard 802.11x umożliwia uwierzy-

telnianie w sieci WLAN, ustanowienie po-
łączenia punkt-punkt, a także uniemożliwia
dostęp z określonego portu, jeśli uwierzy-
telnienie nie powiedzie się. Zgodnie z tym
protokołem, gdy klient (np. laptop) nawią-
zuje łączność z punktem dostępowym, urzą-
dzenia uzgadniają między sobą klucz PMK
(Pairwise Master Key) odwołując się do ser-
wera RADIUS lub do innego serwera uwie-
rzytelniania obsługującego protokół EAP
(Extensible Authentication Protocol). Obie
strony (klient i serwer RADIUS) uzyskują
wtedy identyczne klucze, a serwer RADIUS
przekazuje ten klucz punktowi dostępu. Na-
stępnie klient i punkt dostępu wymieniają
między sobą komunikaty, noszące nazwę
four-way handshake, kiedy to dochodzi do
utworzenia nowego klucza – PTK (Pairwi-
se Transient Key). Klucz ten jest tworzony
na podstawie klucza PMK i świeżo wyge-
nerowanych przypadkowych kluczy, które
tworzą obie strony (klient i punkt dostępu).
Klucz PTK dzielony jest na kilka podklu-
czy: jeden jest używany do podpisywania
komunikatów four-way handshake, drugi
do ochrony pakietów transmitowanych mię-
dzy klientem i punktem dostępu oraz trze-
ci do kodowania klucza grupy (group key),
który jest udostępniany klientowi podczas
sesji four-way handshake.

Klucz grupy pozwala punktowi dostępu

generować i rozsyłać do wszystkich klientów
jeden pakiet rozgłoszeniowy, zamiast wysyłać
taki zakodowany pakiet wiele razy, za każdym
razem dostarczając go innemu klientowi. Pod-

Rysunek 3.

Schemat działania uwierzytelnia z ser-

werem RADIUS. 1) Klient wysyła zapytanie do punk-
tu dostępowego. 2) Punkt dostępowy wysyła zapytanie
(MAC klienta + hasło) do serwera RADIUS. 3) Serwer
autoryzuje klienta lub nie. 4) Punkt dostępowy, zgodnie
z odpowiedzią serwera podłącza klienta lub odrzuca

��

�

��

Rysunek 4.

Schemat działania VPN. Laptop wysyła dane z wirtualnego IP 10.0.0.1 do komputera o wirtual-

nym IP 10.0.0.2, przez interfejs /dev/lan/tun0. W rzeczywistości zaszyfrowane pakiety wędrują normalną sie-
cią przez interfejs /dev/wlan0 do /dev/eth0

��

Bezpieczeństwo

Bezpieczeństwo sieci Wi-Fi

lipiec/sierpień 2008

czas sesji four-way handshake klient i punkt
dostępu negocjują, jak będą kodować dane.
Obie strony negocjują dwa szyfry: szyfr paro-
wania (pairwise; używany dla pakietów uni-
cast – w transmisji typu stacja-stacja – wy-
mienianych między klientem i punktem do-
stępu); oraz szyfr grupy, używany dla ruchu
broadcast/multicast (pakiety rozsyłane w try-
bie stacja-wszystkie stacje lub stacja-wiele
stacji, które z punktu dostępu wysyła do wie-
lu klientów). O ile szyfr kodowania może być
negocjowany, o tyle standard 802.11i zawsze
używa 128-bitowego szyfrowania Advanced
Encryption Standard (AES).

W środowisku opartym wyłącznie na

standardzie 802.11i, szyfr AES jest najczę-
ściej używany do kodowania zarówno klucza
parowania, jak i klucza grupy.

Dodatkową zaletą protokołu 802.11i jest

wprowadzenie roamingu, czyli przełącza-
nie klienta z jednego punktu dostępu na na-
stępny. Roaming w sieciach Wi-Fi jest spo-
tykany w przypadku infrastruktury zbudowa-
nej na podstawie więcej niż jednego AP. Sy-
tuację taką możemy wyobrazić sobie np. w
wielokondygnacyjnym, rozległym budynku
firmy, gdzie na każde piętro przypada jeden
(lub więcej) AP.

Chcąc zapewnić sprawne przełączanie

się z AP do AP, należy wprowadzić w takiej
sieci roaming. W przeciwnej sytuacji, klient
musiałby za każdym razem, przy przecho-
dzeniu z jednego AP do drugiego powtarzać
procedurę uwierzytelniania 802.1x, co wma-
gałoby chwilowego odłączenia od sieci.

W przypadku 802.11i jest inaczej – gdy

klient wraca do punktu dostępu, na których
był już uwierzytelniony, może wykorzystać
ponownie klucz PMK ustanowiony przez ten

punkt dostępu, po to aby ominąć procedurę
uwierzytelniania 802.1x i zainicjować tylko
sesję four-way handshake. Dlatego procedura
przełączania klienta z jednego punktu dostę-
pu na kolejny przebiega dużo szybciej.

Dodatkowo klient może się wstępnie uwie-

rzytelnić na nowym punkcie, na który ma za-
miar przełączyć się, wymieniając jednocześnie
cały czas dane ze starym punktem dostępu.

Krótko mówiąc mamy do czynienia z

sytuacją, jak w telefonii GSM – zmieniając
komórkę (pole zasięgu jednej stacji nadaw-
czo-odbiorczej) rozmowa nie jest przerwana.
Dlatego też roaming w sieci Wi-Fi jst istot-
ny, gdy oprócz transmisji danych, służy ona
także do VoIP. W tym momencie, nawet naj-
krótsze przerwy w transmisji są niedopusz-
czalne.

Wirtualna sieć prywatna

Opisane powyżej rozwiązania zapewnienia
bezpieczeństwa sieci bezprzewodowych,
oparte na właściwej konfiguracji AP oraz wy-
korzystaniu mocnego algorytmu szyfrowania
przesyłanych danych sprawdzają się z powo-
dzeniem w przypadku prostej sieci złożonej
z klienta i AP. Jeśli sieć bezprzewodowa sta-
nowi szkielet sieci spinającej większą liczbę
klientów, nawet najbardziej wymyślne me-
chanizmy szyfrowania nie stanowią wystar-
czającego zabezpieczenia tejże sieci. Z po-
mocą przychodzi w tym przypadku zastoso-
wanie wirtualnej sieci prywatnej (Virtual Pri-
vate Network – VPN), która tworzy pomię-
dzy komputerami szyfrowane tunele.

W sieci VPN wykorzystywane są zaso-

by tradycyjnej sieci (Wi-Fi, ethernet), jednak
z punktu widzenia klienta powstaje dodatko-
wa wirtualna sieć. Komputery w sieci VPN

otrzymują dodatkowe adresy IP, a dane dane
przeznaczone do wysyłki pod ten wirtualny
adres są pakowane przez mechanizmy VPN
i wysyłane pod rzeczywisty adres odbiorcy
(Rysunek 4.).

Odbiorca rozpakowuje dane i traktuje je

tak, jakby dotarły do niego przez wirtualny
adres. W ten sposób powstaje tunel chroniący
dane wysyłane pomiędzy klientami w sieci.
Ponadto VPN potrafi obsługiwać połączenia
pomiędzy całymi sieciami. Dzięki temu ist-
nieje możliwość stworzenia bezpiecznej sieci
rozproszonej – łączącej zasoby sieci lokalnej
z zasobami sieci odległej, np. za pośrednic-
twem łącza internetowego. Z punktu widze-
nia klientów sieci VPN wszystkie końcówki
sieci będą miał adresy z tej samej puli.

Najbardziej znaną implementacją wirtual-

nej sieci prywatnej stanowi projekt OpenVPN
(http://openvpn.net) – projekt rozpowszech-
niany na licencji OpenSource. Jego olbrzymią
zaletą jest dostępność oprogramowania Ope-
nVPN na niemalże wszystkie platformy sys-
temowe – Linux, Windows, MacOS, a także
Windows Mobile, co sprawia, że VPN może
objąć wszystkie dostępne końcówki sieci.

Inne metody

zabezpieczenia sieci Wi-Fi

Zastosowanie opisanych powyżej rozwiązań
w domowej, czy firmowej sieci bezprzewodo-
wej daje duże prawdopodobieństwo stworze-
nia bezpiecznej sieci. Nie zawsze jednak wy-
magane jest stworzenie VPN, aby ustrzec się
przed atakami z zewnątrz. Wystarczy, jeśli w
sieci będziemy łączyli się z lokalnymi lub też
zdalnymi zasobami za pośrednictwem np. tu-
neli SSH. Wydajne mechanizmy szyfrowania
dostępne w OpenSSH zapewniają należyte
bezpieczeństwo przesyłanych danych.

Podsumowanie

Sieć bezprzewodowa to wygodne rozwiązanie
zarówno do domu, jak i firmy. Niestety niesie
ze sobą zagrożenie w postaci niskiego pozio-
mu bezpieczeństwa przy standardowej konfi-
guracji. Wystarczy jednak wprowadzić kilka
motywacji, aby stała się zdecydowanie bar-
dziej bezpieczna.

Trudno jest jednak jednoznacznie okre-

ślić, które z wyżej wymienionych technik na-
leży zastosować. Według mnie najlepiej jest
wybrać wszystkie. Na ostateczny poziom bez-
pieczeństwa składa się bowiem suma wszyst-
kich użytych zabezpieczeń. Im jest ich więcej
– tym trudniejsze zadanie ma potencjalny wła-
mywacz. Należy jednak liczyć się z tym, że
spowoduje to pewne ograniczenie wydajno-
ści sieci.

RADIUS (Remote Authentication Dial In User Service) – usługa uwierzytelniania użyt-
kowników, stosowana najczęściej w sieciach, w których dostęp do systemu uzyskuje
się metodą wdzwaniania (Dial-Up), np. uwierzytelnianie użytkowników przy usłudze do-
stępu do internetu przez telefon. W przypadku sieci bezprzewodowej klient łącząc się z
AP powoduje wysłanie zapytania przez AP do serwera RADIUS. Zapytanie zawiera na-
zwę użytkownika – adres MAC karty Wi-Fi porszącej o dostęp oraz hasło. Po pozytyw-
nym wyniku autoryzacji AP otrzymuje z RADIUS komunikat zezwalający na przyłącze-
nie klienta do sieci (Rysunek 4.).

Uwierzytelnianie z serwerem RADIUS

Autor artykułu, z wykształcenia lekarz weterynarii, mikrobiolog, pasjonuje się Linuksem od
ponad pięciu lat. Jego ulubione dystrybucje to Gentoo i Slackware.
Kontakt z autorem: madajczak@gmail.com

O autorze

Wyszukiwarka

Podobne podstrony:

więcej podobnych podstron