Wi-Fi сетеи и настроики необходимых параметров происходят автоматически. Устроиство, находящееся в радиусе деиствия нескольких Wi-Fi сетеи, может подключаться к тои или инои точке доступа либо по выбору пользователя, либо автоматически – к сети, которая имеет самыи мощныи уровень сигнала. Также происходит периодическая проверка наличия точки доступа с лучшим уровнем сигнала.
Беспроводная сеть Wi-Fi обладает следующими преимуществами, главными из которых являются: организация, использование и расширение сети без использования кабеля; возможность динамического изменения топологии сети; возможность использования одной точки доступа несколькими пользователями; простота в проектировании и реализации.
В то же время беспроводная сеть обладает и некоторыми недостатками, одним из которых является зависимость скорости соединения от наличия различных преград и количества подключенных устроиств, а также уязвимость сети в части безопасности в связи с облегчённым физическим доступом к сигналу.
С каждым днем число пользователеи, которые пользуются устроиствами с беспроводным выходом в Интернет, непрерывно растет. Аналогично растет и количество злоумышленников, всячески пытающихся получить доступ к данным других пользователеи и воспользоваться ими в личных целях. Так, подключение к Wi-Fi сети, со слабыми настроиками безопасности, является рискованным: передаваемые данные, могут быть доступны посторонним лицам, вследствие чего вся конфиденциальная информация может стать открытои для злоумышленников. Для перехвата всех необходимых данных достаточно находиться в зоне деиствия сети Wi-Fi, в которои непосредственно находится электронное устроиство. Целью злоумышленников может быть как нарушение каждои из составляющеи данных: конфиденциальности, доступности, целостности, так и перехват информации для дальнеишего использования в личных целях.
Необходимо также отметить, что требования к повышенной защищенности Wi-Fi сетей ужесточаются и в связи с возрастанием террористических угроз. В частности, с января 2016 года, согласно Постановлениям Правительства [2, 3] идентификация пользователей и их устройств в публичных Wi-Fi сетях становится обязательной.
Подход к выявлению уязвимостеи можно разделить на несколько частеи. Прежде всего, необходимо понять, какие параметры беспроводных точек влияют на их уязвимость. Что конкретно может быть изменено в настроиках для получения наиболее безопаснои точки доступа. Что следует знать пользователю при желании подключиться в общественном месте к Wi-Fi сети. Далее, после выявления теоретических сведении о беспроводных сетях необходимо произвести сбор информации и затем обработать полученные данные с последующим их исследованием и обоснованием.
Для того чтобы выявить уязвимости, необходимо разобраться в параметрах беспроводных сетей. Постоянно растут новые способы борьбы с несанкционированным получением данных, появляются новые средства защиты. Таким образом, необходимо проанализировать основные принципы работы и организации беспроводных сетей, чтобы понять их уязвимости, исследовать масштаб проблемы, чтобы в дальнейшем определить объем незащищенных, либо использующих небезопасные протоколы шифрования Wi-Fi точек доступа.
Безопасная система по определению должна обладать тремя своиствами: конфиденциальности, доступности и целостности. Своиство конфиденциальности гарантирует пользователю, что его секретные данные будут доступны только ему либо группе лиц, которым доступ к ним разрешен. Своиство доступности говорит о том, что авторизованные пользователи в любои момент времени имеют право получить доступ к данным. Своиство целостности подразумевает неизменность параметров и характеристик, заданных при конфигурации устроиства. Это своиство необходимо, поскольку от него зависит защита конфиденциальности WiFi сети. Благодаря этому своиству злоумышленник не может изменить параметры настроики устроиства, что могло бы привести к изменению очередности работ и даже к выводу устроиства из строя. Для того чтобы обеспечить устроиства, подключенные к беспроводнои сети безопасностью, необходимо в первую очередь понимать, какие параметры обеспечивают конфиденциальность, целостность и доступность данных.
В первую очередь немаловажным параметром любой беспроводной сети является тип шифрования. Одним из важных аспектов при передаче данных по сети является шифрование трафика, так как для перехвата информации, передаваемой по беспроводной сети, не нужно физического воздействия, а достаточно просто «слушать» канал и перехватывать интересующую информацию. Сейчас наиболее распространены несколько видов шифрования: NONE – открытый вид шифрования, данные передаются без какого-либо ключа, каждый желающий может получить доступ к данной беспроводной сети («небезопасная сеть»). В большинстве случаев используется для гостевого доступа; WEP – основанный на алгоритме RC4 шифр с разной длиной статического или динамического ключа (64 или 128 бит). Его алгоритмы выложены в открытом доступе, что позволяет злоумышленникам собирать статистику до тех пор, пока не будет получен ключ шифрования. Сеть, основанная на таком способе шифрования, не является безопасной. WEP — это небезопасный и функционально устаревший стандарт; TKIP – данный способ шифрования является усовершенствованным способом WEP. К нему добавлены дополнительные проверки на безопасность и защита. Ключи шифрования имеют длину 128 бит и генерируются по сложному алгоритму, а общее количество возможных вариантов ключей достигает сотни миллиардов, и меняются они очень часто. Но TKIP является устаревшим, он обладает более низким уровнем безопасности, чем стандарт AES, который приходит ему на замену; CCMP – наиболее совершенный алгоритм с дополнительными проверками и защитой. Это новый метод защиты при беспроводной передаче данных. Обеспечивает более надежный метод шифрования по сравнению с TKIP. CCMP выбирается в качестве метода шифрования, когда необходима повышенная безопасность данных.
Также для выявления сетей с небезопасным доступом, надо рассмотреть взаимодействия точки доступа и беспроводного клиента, по-другому называемые способы аутентификации: OPEN – открытая сеть. Все подключаемые устройства авторизуются автоматически; WPA – Personal - Данный режим подходит для большинства домашних сетей. Когда на беспроводную точку доступа устанавливается пароль, он должен вводиться пользователями каждый раз при подключении к сети Wi-Fi; WPA – Enterprise - Данный режим предоставляет необходимую в рабочей среде защиту беспроводной сети. Данный режим сложнее в настройке и предлагает индивидуальное и централизованное управление доступом к вашей сети Wi-Fi. Когда пользователи попытаются подключиться к сети, им понадобится предоставить свои учетные данные для аутентификации.
WPA2 – это вторая версия набора алгоритмов и протоколов, обеспечивающих защиту данных в беспроводных сетях Wi-Fi. Как предполагается, WPA2 должен существенно повысить защищенность беспроводных сетей Wi-Fi по сравнению с прежними технологиями. Новый стандарт предусматривает, в частности, обязательное использование более мощного алгоритма шифрования AES и аутентификации 802.1X. Протоколы WPA2 работают в двух режимах аутентификации: персональном (Personal) и корпоративном (Enterprise): WPA2 – Personal - на данный момент является самой надежной формой защиты, предлагаемой устройствами Wi-Fi, и ее рекомендуется использовать для всех целей. В режиме WPA2-Personal из введенной открытым текстом парольной фразы генерируется 256-разрядный ключ PSK (PreShared Key). Ключ PSK совместно с идентификатором SSID (Service Set Identifier) используются для генерации временных сеансовых ключей PTK (Pairwise Transient Key), для взаимодействия беспроводных устройств. Как и статическому протоколу WEP, протоколу WPA2-Personal присуще определенные проблемы, связанные с необходимостью распределения и поддержки ключей на беспроводных устройствах сети, что делает его более подходящим для применения в небольших сетях из десятка устройств, в то время как для корпоративных сетей оптимален WPA2-Enterprise; WPA2 – Enterprise - В режиме WPA2-Enterprise решаются проблемы, касающиеся распределения статических ключей и управления ими, а его интеграция с большинством корпоративных сервисов аутентификации обеспечивает контроль доступа на основе учетных записей. Для работы в этом режиме требуются такие регистрационные данные, как имя и пароль пользователя, сертификат безопасности или одноразовый пароль, аутентификация же осуществляется между рабочей станцией и центральным сервером аутентификации [4].
На примере центра Москвы, как раиона, наиболее насыщенного Wi-Fi сетями, представляет интерес выполнить анализ уязвимостеи беспроводных сетеи и оценить существующее на сегодняшнии день распределение сетеи по типу шифрования и способам аутентификации.
Для анализа уязвимостей беспроводных сетей в центральной части Москвы был произведён сбор информации. В формулируемом подходе он заключается в следующем. При помощи необходимого оборудования, а именно, GPS устройства (GlobalSat BU – 353s4), позволяющего точно оценить местоположение беспроводной точки доступа, были получены координаты Wi-Fi сетей в центре Москвы, согласно заданному заранее маршруту. В него были включены центральные улицы, переулки, набережные, проезды и площади с большим разнообразием общественных мест, что и позволило в дальнейшем провести анализ общедоступных Wi-Fi сетей города Москвы. GPS приемник IV поколения представляет собой устройство с USB интерфейсом на чипсете SiRF STAR IV, обеспечивающий высокое качество и скорость определения координат. В одном корпусе присутствуют приёмник и активная антенна. Магнитное основание служит для крепления GPS – приёмника в любом удобном месте, обеспечивающем качественный прием сигнала спутниковой навигационной системы. К аппаратным характеристикам GlobalSat BU – 353s4 можно отнести следующие [5]: частота - L1, 1575.42 МГц; количество каналов - 48, "All-in-View", -163 dBm. Точность: определение скорости - 0.1 м/сек, 95% (селективный доступ отключён); определение времени - 1 мкс, синхронизация по атомным часам GPS-спутников; датум - WGS-84. Время захвата позиции: обновление данных - 0.1 сек; горячий старт - 8 сек., в среднем; холодный старт - 35 сек., в среднем; теплый старт - 35 сек., в среднем. Последовательныи порт: формат – ASCII; протоколы GPS - NMEA 0183 (вер. 3.0) (по умолчанию)/Двоичный SiRF; данные GPS - Двоичный SiRF: позиция, скорость, высота, статус, управление;
NMEA 0183 (вер. 3.0): GGA, GSA, GSV, RMC (GLL, VTG - опционально); скорость передачи - Изменяется программно. По умолчанию: NMEA - 4800 б/с, двоичный SiRF - 19200 б/с. Питание: напряжение питания - 4,5 В ~ 5,5 В, постоянный ток (от USB-порта); потребляемый ток - 55 мА. Ограничения: максимальная высота - До 18000 м (60000 футов); максимальная скорость - До 515 м/с (1000 узлов); максимальное ускорение - До 4g. Характеристики окружающеи среды: температура эксплуатации - - 40° ~ + 85°C; влажность - До 95%, неконденсированная. Физические характеристики: габариты - 53 мм (диаметр) x 19.2 мм (высота); длина кабеля – 1,5 м; масса – 69г.
Также в работе был использован двухдиапазонныи усилитель беспроводного сигнала, при помощи которого обеспечивалась возможность максимального всенаправленного покрытия для беспроводнои сети. Аппаратные характеристики TP-LINK AC1200 следующие [6]: диапазоны частот беспроводнои связи – 2,4 ГГц и 5 ГГц (по одному каналу на прием и передачу). Что позволяет улучшить возможности беспроводного адаптера настольного компьютера или ноутбука; стандарт Wi-Fi – 802.11ac (+ поддержка более ранних стандартов 802.11a/b/g/n); мощность приемопередатчиков сигнала – 20 dBm (2,4 ГГц) и 20 dBm (5 ГГц); скорость приема/передачи: канал 5 ГГц – 867 Мбит/сек, канал 2,4 ГГц – 300 Мбит/сек; максимальная скорость соединения – 1200 Мбит/сек; зона покрытия – 1000 кв. метров; режимы работы – репитер, точка доступа; антенны – 2 штуки, несъемные; блок питания – внутреннии; способы питания – кабель USB 3.0; материал корпуса – глянцевыи белыи пластик;
Рисунок 1 – Оборудование для поиска уязвимых Wi-Fi точек Полученные при проходе маршрута данные заносились в таблицу при помощи установленнои программы VIistumbler. Пример использования программы проведен на рисунке 2. Автоматически были определены следующие параметры поиманных беспроводных точек: идентификатор и название беспроводнои сети (рабочее системное имя); MAC адрес устроиства (физическии адрес точки доступа); производитель точки доступа; максимальныи уровень поиманного сигнала; показатель уровня принимаемого сигнала (мощность Wi-Fi сигнала); тип шифрования; способ авторизации; канал, на котором работает устроиство; координаты поиманнои точки; время и дата.
Последняя часть работы – обработка полученных данных. Для более полного понимания собраннои информации и дальнеишего составления статистики на её основе, удобнее всего обрабатывать данные при помощи соответствующего синтаксического анализатора. С его помощью занесенные в таблицу EXCEL данные должны быть преобразованы в SQL-скрипт для последующего их занесения в базу данных. Из всеи полученнои информации, посредством запросов, можно получать интересующие в конкретныи момент времени данные из всего объёма информации.
Рисунок 2 – Нанесенные точки доступа на GOOGLE EARTH После проведения аналитической части работы было проанализировано 2357 сетей, относящихся к 29 улицам, переулкам, набережным, площадям и проездам в центральной части
Москвы, в районе кремлевского кольца. Для более наглядного расположения точек была использована программа Google Earth, на карте которой обозначены все пойманные Wi-Fi сети, (они представлены на рисунке 2).
608
24 WEP Рисунок 3 - Распределение беспроводных сетей по типу шифрования В результате анализа полученных данных была выполнена оценка защищенности беспроводных точек в центре Москвы. Полученные оценки были основаны на анализе типа шифрования и способа аутентификации. На приведенных ниже гистограммах видно, что по типу шифрования Wi-Fi сети в центре Москвы в основном защищены от атак злоумышленников. Но, несмотря на то, что около 71% всех проверенных беспроводных точек используют надежный метод шифрования CCMP, оставшиеся 29%, используют менее защищенные способы, такие как: TKIP, WEP или, вообще, открытый вид шифрования (рисунок 3). Также можно сделать вывод, что беспроводные сети в центре Москвы в основном защищены от угроз и по способу аутентификации: наиболее надежной формой защиты пользуются подавляющее количество – 65%, но также стоит отметить, что 27% всех устройств – это открытые сети, не требующие авторизации пользователей (рисунок 4).
1527 WPA2
41
WPA
1
WPA
158
WPA2 Enterprise Рисунок 4 – Распределение беспроводных сетей по способу аутентификации Таким образом, подводя итог, хотелось бы отметить, что проблема безопасности беспроводных сетеи на сегодняшнии день становится однои из главных проблем IT технологии. Одним из ключевых факторов разработки и проектирования любых системы является безопасность. В защите Wi-Fi-сетеи применяются различные алгоритмы математических моделеи аутентификации, шифрования данных и контроля целостности их передачи, но, тем не менее, проблема уязвимости сетеи остается весьма существеннои. Если настроике сети не будет уделено должного внимания, то злоумышленник будет способен получить доступ к ресурсам пользователеи Wi-Fi-сети.
References