Sieci bezprzewodowe a bezpieczeństwo informacji

Tendencje
Aktualności
IT Security Review
Sieci bezprzewodowe
a bezpieczeństwo informacji
W ostatnich latach sieci bezprzewodowe
przyciągają coraz to większą rzeszę nowych
użytkowników. Na początku stosowane były
one głównie jako ogólnodostępne punkty
w restauracjach, hotelach oraz miejscach
publicznych. Od niedawna wkraczają
także do firm. Wśród głównych zalet sieci
bezprzewodowych należy przede wszystkim
wymienić ich prostotę i niski koszt budowy oraz
wygodę użytkowania. Jak każde rozwiązanie,
posiadają także swoje wady, z których
największa to niski poziom bezpieczeństwa.
P
roblem ten związany jest z
podstawową ideą sieci bezprzewodowych, które miały
być sieciami otwartymi. Jak wykazują statystyki, większość funkcjonujących sieci bezprzewodowych
w ogóle nie posiada wdrożonych
zabezpieczeń lub są one chronione
za pomocą protokołu WEP, który zawiera błędy i dlatego nie zapewnia
wysokiego lub wystarczającego poziomu bezpieczeństwa.
Wdrożenie
– od czego zacząć?
Podstawowym elementem, jaki powinniśmy wziąć pod uwagę przy
wdrażaniu sieci bezprzewodowych,
jest zakres informacji, które będą
przetwarzane w tej sieci oraz ich
klasyfikacja. Należy tu określić, czy
konkretne informacje są ważne z
punktu widzenia funkcjonowania
naszej firmy. W przypadku, gdy sieć
bezprzewodowa będzie wykorzystywana jedynie w celu zapewnienia
dostępu do Internetu dla wybranych
stanowisk lub naszych gości, zagrożenie utraty ważnych danych jest
znikome. Jest jednak jeden warunek
– należy zadbać o właściwe zabezpieczenie samych stacji roboczych,
korzystających z tej sieci. W sytuacji,
gdy sieć wykorzystywana będzie do
pracy w systemach informatycznych,
które są podstawą funkcjonowania
naszej firmy, powinniśmy zdecydo-
10
wać się na wdrożenie bardziej zaawansowanych mechanizmów bezpieczeństwa.
Kolejnym krokiem, który musimy
podjąć po określeniu zakresu informacji transmitowanych w naszej
sieci, jest przeprowadzenie analizy
ryzyka. W tym celu należy określić
zagrożenia, związane z wdrożeniem
sieci bezprzewodowej i podatność
na te zagrożenia w naszej organizacji. Zaleca się analizowanie zagrożeń pod kątem utraty poufności, integralności oraz dostępności
danych, z uwzględnieniem skutków
związanych z wystąpieniem danego
zagrożenia. Na podstawie wyników
analizy ryzyka powinniśmy zdecydować, czy zgadzamy się na możliwość
wystąpienia określonych zagrożeń
i tym samym na określony poziom
ryzyka, czy też wprowadzamy dodatkowe zabezpieczenia w celu jego
minimalizacji. Możemy też być zmuszeni do zaniechania wdrożenia sieci w naszej firmie, jeżeli ryzyko z nim
związane okaże się zbyt duże. Wyniki analizy ryzyka powinny więc być
podstawą do podjęcia decyzji, dotyczących wdrożenia odpowiednich
mechanizmów bezpieczeństwa. Ich
wybór powinien być związany z akceptowanym przez nas poziomem
ryzyka.
Jeżeli decyzja o wdrożeniu sieci
bezprzewodowej została już podjęta, należy określić wymagany zasięg
KRZYSZTOF MAĆKOWIAK
Ukończył studia informatyczne na Wydziale Informatyki i Zarządzania Politechniki Poznańskiej. Od kilku lat interesuje się tematyką ochrony danych, a w szczególności kryptologią. Jest autorem
serwisu www.kryptografia.com. Prezentował tematy związane z
kryptografią kwantową i molekularną na konferencjach: ENIGMA,
SECURE oraz CONFidence. Był redaktorem prowadzącym numeru Software 2.0 poświęconemu kryptografii. Jest autorem artykułów na temat bezpieczeństwa informacji oraz kryptologii publikowanych w czasopismach branżowych, takich jak: CSO, Networld,
Software 2.0. To współtwórca rozwijającej się inicjatywy stworzenia Polskiej Grupy Badań Kryptologicznych. Od ponad dwóch lat
współpracuje z firmą Doradztwo Gospodarcze DGA S.A. jako konsultant ds. bezpieczeństwa informacji w zakresie przeprowadzania
audytów bezpieczeństwa teleinformatycznego oraz wdrażania Systemów Zarządzania Bezpieczeństwem Informacji zgodnych z normą ISO/IEC 27001:2005 (wcześniej BS 7799-2). Uczestniczył w kilkunastu projektach realizowanych przez firmy z branży energetycznej, finansowej, informatycznej oraz administracyjnej. Jest
członkiem Polskiego Towarzystwa Informatycznego PTI, MENSA
Polska oraz ISACA International.
www.boston-review.com
Nr 2/2007 (3)
IT Security Review
sieci. Zwróćmy uwagę, iż w celu uzyskania dostępu do standardowej sieci przewodowej, osoba nieuprawniona, aby wpiąć się do sieci firmowej, musi
najpierw ominąć zabezpieczenia fizyczne.
Z kolei w przypadku sieci bezprzewodowych,
dane przesyłane są z wykorzystaniem fal radiowych. W praktyce zasięg sieci bezprzewodowej
w większości przypadków jest szerszy od fizycznego obszaru, zajmowanego przez firmę, co powoduje, iż sieć wykrywana jest w ogólnodostępnych
miejscach wokół naszej firmy np. na ulicy, parkingu, czy w budynku obok. Dlatego też, określając
położenie punktu dostępowego (Access Pointu) w
naszej firmie, powinniśmy wziąć pod uwagę zasięg
naszej sieci. Z jednej strony powinna ona być dostępna dla pracowników, z drugiej zaś, dostęp do
tej sieci nie powinien być możliwy z obszarów, które nie są przez nas fizycznie kontrolowane. Warto
również zastanowić się, czy wszyscy pracownicy
muszą mieć do tej sieci dostęp. Być może potrzebny jest on jedynie wybranym pracownikom.
Podobnie jak w przypadku sieci przewodowych,
możemy zastosować wydzielone sieci bezprzewodowe (VLAN-y), np. jedna sieć może być używana
przez pracowników, a druga przez gości. Warto też
zwrócić uwagę na to, że sieci bezprzewodowe są
podatne również na ataki typu DoS – wystarczy tu
np. wygenerować szum w paśmie, wykorzystywanym przez sieć bezprzewodową. Jest to szczególnie ważne w sytuacjach, gdy krytyczne jest zapewnienie ciągłości działania sieci (np. w procesach
produkcyjnych wykorzystujących sieć bezprzewodową do przesyłania danych z mierników do systemu centralnego w celu ciągłej analizy parametrów
produkcyjnych).
Jak zabezpieczyć sieć
bezprzewodową?
W zależności od tego, jak bardzo istotne jest
dla nas zabezpieczenie sieci bezprzewodowej
(co wynika z przeprowadzonej przez nas analizy
ryzyka), powinniśmy zdecydować się na wdrożenie odpowiednich mechanizmów zabezpieczających. Powinniśmy zadbać o poufność i integralność przesyłanych w sieci danych, jak również
wdrożyć skuteczne metody uwierzytelniania
użytkowników w naszej sieci tak, aby mogły z
niej korzystać jedynie osoby uprawnione.
Poniżej omówione zostały najbardziej popularne mechanizmy zabezpieczania sieci bezprzewodowych, których wdrożenie umożliwi podniesienie poziomu bezpieczeństwa sieci do wyznaczonego przez nas poziomu akceptowalnego.
WEP
Protokół WEP jest oparty na współdzielonym
kluczu szyfrującym o długości 40 lub 104 bitów
oraz 24-bitowym wektorze inicjalizującym (IV).
Na podstawie klucza i wektora, z wykorzystaniem algorytmu RC4, generowany jest strumień
bitów. Strumień ten jest następnie poddawany
operacji XOR z ciągiem szyfrowanej wiadomości,
w wyniku czego powstaje zaszyfrowany tekst.
Dodatkowo obliczana jest wartość sumy kontrolnej (CRC-32), pozwalająca na kontrolę integralNr 2/2007 (3)
ności wiadomości. Wśród najważniejszych wad
tego rozwiązania wymienić można m.in.:
• trudności w procesie wymiany kluczy (klucze są identyczne dla wszystkich stacji roboczych w sieci i najczęściej są wpisywane
ręcznie na każdej stacji roboczej korzystającej z sieci);
• krótki wektor inicjujący oraz brak wymuszenia jego zmiany przy każdym wysyłanym pakiecie (powoduje to częste powtarzanie się
wartości wejściowej dla algorytmu RC4,
którą stanowi klucz i IV);
• stałe klucze dla wszystkich stacji roboczych
(w połączeniu z krótkim wektorem inicjującym, powoduje to możliwość złamania klucza w czasie do kilku godzin);
• spadek wydajności transmisji o 10-15 proc.
Ze względu na błędy związane z generowaniem
klucza oraz wykorzystywaniem krótkich i stałych
wektorów inicjujących, złamanie klucza wymaga
jedynie zebrania wymaganej liczby pakietów. Dla
klucza o długości 40 bitów jest to około 150 tys.
pakietów, natomiast dla klucza 104-bitowego
potrzebne jest około 350 tys. – 500 tys. pakietów. W zależności od natężenia ruchu w sieci, zebranie takiej ilości pakietów wymaga od kilkunastu minut do kilku godzin. Następnie z wykorzystaniem zebranych informacji i oprogramowania
dostępnego w Internecie (np. AirSnort) można
złamać klucz w zaledwie kilka sekund. Słabości
te dotyczą zarówno kluczy o długości 40 bitów,
jak i tych o długości 104 bitów. Jak widać, tak
powszechnie stosowany protokół WEP daje jedynie złudne poczucie bezpieczeństwa.
WPA
Ze względu na słabości w protokole WEP, zaprojektowany został protokół WPA. Jest on przystosowany do współpracy z serwerami uwierzytelniania (np. RADIUS). Dane w tym protokole
są kodowany za pomocą szyfru strumieniowego
RC4 ze 128-bitowym kluczem oraz 48-bitowym
wektorem inicjalizującym. Zwiększenie rozmiaru wektora spowodowało, że czas potrzebny
do złamania szyfru wzrósł znacząco. W celu
zwiększenia bezpieczeństwa sieci gwarantowanego przez WPA stosuje się także dynamiczną
zmianę klucza (TKIP). W WPA zamiast algorytmu CRC-32 stosowanego w WEP, użyto bardziej
zaawansowanego algorytmu Michael, który wykorzystywany jest do zapewnienia integralności
danych.
WPA-PSK
Protokół WPA może być skonfigurowany również
w trybie „pre-shared key”, w którym zamiast serwera uwierzytelniającego wykorzystywane są
hasła. Przy wybieraniu takich haseł należy mieć
świadomość, że proces uwierzytelniania może
zostać podsłuchany, a zebrane dane – wykorzystane do późniejszej analizy w trybie off-line. Dlatego też przy wybieraniu haseł należy unikać takich, które można odgadnąć metodą słownikową.
www.boston-review.com
Tendencje
Aktualności
Niezbędnym elementem przy wdrożeniu tego
rozwiązania jest zatem określenie wymaganej
polityki haseł.
WPA2
Protokół WPA2 został stworzony z myślą o poprawieniu bezpieczeństwa i spełnieniu wszystkich założeń standardu 802.11i. W stosunku do
protokołu WPA wprowadzono dwie podstawowe
modyfikacje – zmieniono algorytmy szyfrowania
z RC4 na AES oraz algorytm Michael na CCMP.
Podsumowując, poziom bezpieczeństwa powyższych algorytmów ocenić można jako: WPA2
(wysoki), WPA (średni), WPA-PSK (średni/niski),
WEP (niski).
EAP (Extensible
Authentication Protocol)
W standardzie 802.1x protokół EAP wykorzystywany jest do wymiany komunikatów w procesie
uwierzytelniania. Umożliwia on wybór metody
uwierzytelniania, wśród których do najbardziej
popularnych zaliczyć można MS-CHAPv2 oraz
TLS. Metoda uzgadniana jest pomiędzy serwerem uwierzytelniającym (np. IAS lub RADIUS)
a klientem, czyli stroną uwierzytelnianą.
EAP-MS-CHAP v2
Ten typ protokołu EAP w celu dokonania uwierzytelnienia stacji roboczej, wykorzystuje dane
uwierzytelniające oparte na identyfikatorze
i haśle. Metoda ta upraszcza wdrożenie tego
rozwiązania, gdyż nie wymaga ona instalacji
certyfikatów lub kart elektronicznych na stacjach roboczych. Sam serwer natomiast uwierzytelniany jest z wykorzystaniem certyfikatu.
W celu poprawy bezpieczeństwa można skorzystać z chronionego protokołu EAP, tzw. PEAP
(Protected EAP).
EAP-TLS (Extensible Authentication
Protocol – Transport Layer Security)
Protokół EAP-TLS umożliwia wzajemne uwierzytelnienie klienta (stacji roboczej) oraz serwera
uwierzytelniającego. W celu uwierzytelnienia stacji roboczej wykorzystuje się certyfikaty lub karty
elektroniczne. Natomiast w celu uwierzytelnienia
serwera wymagany jest certyfikat. Rozwiązanie
IT Security Review
to stanowi jedną z najsilniejszych metod uwierzytelniania i ustalania klucza. Jego wdrożenie jest
jednak bardziej czasochłonne, niż implementacja
rozwiązania EAP-MS-CHAPv2. Wymaga instalacji
certyfikatów lub kart elektronicznych na stacjach
roboczych, a także wdrożenia infrastruktury klucza publicznego (PKI). Również w przypadku tej
metody można skorzystać z rozszerzonego protokołu PEAP.
PEAP
Protokół PEAP wykorzystuje TLS w celu utworzenia bezpiecznego, szyfrowanego kanału pomiędzy uwierzytelnianym komputerem a serwerem
dokonującym uwierzytelnienia (np. IAS lub RADIUS). Protokół ten nie narzuca określonej metody uwierzytelniania. W przypadku korzystania
z metody EAP-MS-CHAP-v2 protokół zapewnia
szyfrowany kanał, który umożliwia bezpieczne
przesłanie danych uwierzytelniających i ogranicza tym samym ryzyko podsłuchania przesyłanych danych i przeprowadzenia w trybie off-line
ataku słownikowego na wykorzystywane hasło.
Natomiast w przypadku metody EAP-TLS, protokół PEAP zapewnia szyfrowanie informacji o certyfikatach wykorzystywanych przez klientów do
uwierzytelniania. Zastosowanie protokołu PEAP
uniemożliwia napastnikowi również wstawienie
dodatkowych pakietów w czasie negocjacji metody EAP. Byłoby to możliwe, gdybyśmy wybrali
mniej bezpieczną metodę EAP.
W celu zapewnienia wysokiego bezpieczeństwa danych, przetwarzanych w naszej sieci
bezprzewodowej, możemy skorzystać również
z popularnego rozwiązania wykorzystywanego w połączeniach zdalnych – szyfrowanych
połączeń VPN (Virtual Private Networks). Rozwiązanie to zapewnia zarówno uwierzytelnianie
użytkowników, jak i szyfrowanie przesyłanych
danych.
Bezpieczeństwo a wydajność
Wybierając rozwiązanie, dostosowane do wymagań naszej firmy, powinniśmy pamiętać o wyborze złotego środka pomiędzy mechanizmami
bezpieczeństwa a kosztami, wydajnością oraz
łatwością użytkowania sieci. Należy też uwzględnić wyniki przeprowadzonej analizy ryzyka.
PODSTAWOWE TOPOLOGIE SIECI
BEZPRZEWODOWYCH
Topologia ad-hoc (sieć bezpośrednia) – w
takiej sieci komputery komunikują się bezpośrednio między sobą (bez użycia punktów dostępowych), przez co ich zasięg jest mniejszy
od zasięgu sieci strukturalnych. Do komunikacji wykorzystywane są tylko bezprzewodowe
karty sieciowe na stacjach roboczych.
Topologia infrastructure (sieć strukturalna) – sieć oparta jest o punkt dostępowy (AP
– Access Point). W tej topologii komputery z
12
bezprzewodowymi kartami sieciowymi nie
komunikują się bezpośrednio między sobą,
lecz za pośrednictwem Access Pointu. Sieci
budowane w tej topologii są bardziej wydajne i mają większe możliwości. Zastosowanie
punktu dostępowego zwiększa maksymalną
odległość między stacjami (komputerami), a
także umożliwia dołączenie bezprzewodowej
sieci WLAN do sieci przewodowej LAN, a w
konsekwencji – także do Internetu.
www.boston-review.com
Oprócz wyboru odpowiednich mechanizmów
zabezpieczających sieć, powinniśmy również
zastosować się do podstawowych reguł zwiększających poziom bezpieczeństwa sieci bezprzewodowej i w tym celu wykonać następujące
czynności:
• zmienić domyślne hasło do zarządzania
punktem dostępowym (AP);
• zmienić identyfikator SSID na unikalny losowy ciąg znakówp;
• wyłączyć rozgłaszanie identyfikatora SSID;
• korzystać z połączenia szyfrowanego (SSH)
przy wprowadzaniu zmian w konfiguracji
punktu dostępowego (AP);
• zastosować filtrowanie adresów MAC – co
ograniczy liczbę stacji roboczych, które mogą być przyłączone do sieci;
• aktualizować regularnie oprogramowanie
dla kart sieciowych oraz punktu dostępowego (AP).
Oprócz odpowiedniego zabezpieczenia samej
sieci bezprzewodowej należy pamiętać o właściwym zabezpieczeniu poszczególnych stacji
roboczych, korzystających z sieci. Wśród podstawowych zabezpieczeń wymienić można lokalne
oprogramowanie typu firewall, regularnie aktualizowany system antywirusowy, jak również instalowanie aktualizacji w systemie operacyjnym
i w wykorzystywanym oprogramowaniu. Zabezpieczyć należy również miejsce styku sieci bezprzewodowej z wewnętrzną siecią LAN naszej
firmy. Proponowanym rozwiązaniem jest wydzielenie sieci bezprzewodowej na firewallu, podobnie jak wydzielamy strefę DMZ.
Ważnym elementem zarządzania siecią bezprzewodową jest jej monitorowanie. Punkty dostępowe w wielu przypadkach umożliwiają zapisywanie najważniejszych zdarzeń w dzienniku.
Wśród nich wymienić można nieudane próby
uwierzytelniania, a także nowo nawiązane połączenia. Zapisy takie powinny być regularnie
analizowane przez administratorów, podobnie
jak logi błędów. Dla sieci bezprzewodowych dostępne są również rozwiązania wspomagające
administratora w wykrywaniu prób włamań do
sieci, czyli tzw. systemy wykrywania włamań
(IDS).
Rozpowszechnienie sieci bezprzewodowych
spowodowało wzrost świadomości wśród użytkowników, jak również rozwój mechanizmów
bezpieczeństwa, zapewniających poufność
i integralność danych oraz wiarygodne uwierzytelnianie użytkowników sieci. W przypadku gdy
wdrożymy proponowane mechanizmy bezpieczeństwa (np. PEAP-EAP-TLS, WPA2) oraz będziemy przestrzegać wspomnianych w artykule
podstawowych zasad bezpieczeństwa, możemy
uznać, iż sieci te są co najmniej tak bezpieczne
jak wykorzystywane dotychczas tradycyjne sieci
przewodowe (LAN). Decyzja o wdrożeniu sieci
bezprzewodowej w naszej organizacji powinna
być przemyślana i oparta o przeprowadzoną pod
tym kątem analizę ryzyka.
Nr 2/2007 (3)