Безопасность -> Интернет -> Надежная защита беспроводных ЛВС

Надежная защита беспроводных ЛВС

Если вы до сих пор предпочитали не связываться с беспроводными ЛВС из-за их ставшей притчей во языцех недостаточной защищенности, то теперь вам придется пересмотреть свою позицию. Организация Wi-Fi Alliance, занимающаяся тестированием и сертификацией изделий, соответствующих спецификации 802.11, недавно одобрила новый стандарт безопасности Wi-Fi Protected Access (WPA), который не оставляет без внимания фактически ни одной бреши в системе безопасности беспроводных ЛВС.

Средства защиты стандарта Wired Equivalent Privacy (WEP), применяемые ныне почти во всех беспроводных ЛВС, обеспечивают лишь минимум безопасности, ибо они предусматривают использование одного статического 40- или 128-разрядного ключа как для шифрования данных, так и для аутентификации. С этим ключом работают все пользователи беспроводной ЛВС. Средства WEP создают большую проблему для администраторов средних и крупных сетей, так как им приходится вручную вводить данные о ключах WEP во все функционирующие в беспроводной сети устройства. И все эти усилия малоэффективны, поскольку любой желающий может взломать систему WEP с помощью одной из множества утилит, бесплатно распространяемых в Web.

Поставщики компонентов для беспроводных ЛВС масштаба предприятия попытались разработать собственные, более надежные средства защиты для своих аппаратных средств, однако такие фирменные решения, как правило, несовместимы с изделиями других изготовителей. Все это побудило организации Wi-Fi Alliance и IEEE разработать стандарт WPA, который обеспечит надежную защиту сетей, содержащих компоненты от различных изготовителей, в том числе беспроводных ЛВС, работающих в таких <горячих точках>, как залы ожидания аэропортов и кофейни Starbucks.

Специалисты Wi-Fi Alliance уже сертифицировали на WPA-совместимость наборы ИС и изделия фирм Atheros Communications, Broadcom Corp., Cisco Systems, Intel Corp., Intersil и Symbol Technologies. На рынок начали поступать соответствующие этому стандарту аппаратные компоненты от компаний D-Link, Linksys, Netgear, SMC, 3Com и других поставщиков. Если в вашей беспроводной ЛВС установлено старое оборудование, то, весьма вероятно, вы найдете на Web-сайте своего поставщика необходимые вам микропрограммы WPA и обновленные версии драйверов.

Что такое WPA?

WPA - это сочетание существующей инфраструктуры аутентификации (802.1x с расширяемым протоколом аутентификации Extensible Authentication Protocol), надежного метода шифрования, именуемого Temporal Key Integrity Protocol (TKIP), и средств проверки целостности сообщений (message integrity checker, MIC), позволяющих убедиться в том, что пакеты не были преднамеренно искажены. В больших и малых сетях средства WPA будут использоваться по-разному. В большинстве крупных организаций для проверки прав доступа пользователей беспроводных ЛВС будут применяться существующие серверы RADIUS.

При активизации средств WPA сетевая плата клиента сразу же пытается соединиться с узлом доступа (access point, AP). Узел доступа блокирует доступ к беспроводной ЛВС до тех пор, пока верительные данные (имя и пароль) пользователя не будут признаны действительными сервером аутентификации. После принятия верительных данных пользователя сервер аутентификации генерирует уникальный 128-разрядный главный ключ сеанса связи, который по протоколу TKIP передается пользователю и узлу доступа. Затем пользователь подключается к беспроводной ЛВС, а средства WPA настраивают механизм управления ключами, который автоматически генерирует особый ключ для каждого переданного пакета. Преимущества WPA перед стандартом WEP весьма значительны: это мощные (способные обеспечить безопасность беспроводных ЛВС крупных предприятий) средства аутентификации и шифрования, а также динамическое распределение ключей.

Для менее крупных организаций, а также для потребителей, которые вряд ли захотят тратиться на приобретение серверов RADIUS, разработчики стандарта WPA предусмотрели заранее предоставляемый пользователям (preshared) главный ключ сеанса связи, который, в сущности, представляет собой пароль. Затем WPA автоматически генерирует ключи для каждого пакета и организует механизм проверки целостности сообщений, который может выявлять случаи злонамеренного искажения пакетов в ходе сеанса связи. Кроме того, пользователи получают возможность применять мощные средства шифрования TKIP.

Захват модема Кейд Мец Персональным компьютерам во всем мире угрожает новая опасность, которая исходит от программ набора телефонного номера (dialers). С помощью модема они незаметно для пользователя набирают номера телефонов в других городах, что выливается в огромные счета за междугородные переговоры. Некоторые из этих программ функционируют в то время, когда вы исследуете ресурсы Web: они разрывают установленное вами соединение и подключаются к новому номеру. Другие программы запускаются, когда вы отходите от машины. Они набирают телефонные номера, если компьютер в течение длительного времени находится в состоянии ожидания. Эти мошеннические трюки, известные как захват модема, телефонное пиратство или <выключение Интернета> (Internet dumping), получили за последние несколько месяцев угрожающе широкое распространение. Обычно программы-<наборщики номеров> попадают в систему вместе со сценариями ActiveX. Поэтому, чтобы обезопасить себя, вы должны прежде всего убедиться в том, что ваш Интернет-браузер настроен таким образом, что он отвергает программы ActiveX или предупреждает вас о попытках их выполнения. Если вы не уверены в том, что ваш браузер защищен, обратитесь на сайт SpywareInfo (www.spywareinfo.com/newsletter/archives/may-2003/20.php#alyon). Воспользовавшись имеющейся там тестовой программой, вы сможете проверить, защищен ли ваш браузер от программ-<наборщиков номеров>. Для тех, кому требуется более высокая степень защиты, австралийская компания stopITnow! (www.stopitnow.com.au) предлагает программный пакет, специально предназначенный для предотвращения захвата модемов вредоносными <наборщиками номеров>. Это приложение стоимостью 24,95 долл. осуществляет мониторинг системы Windows Dial-Up Networking, с тем чтобы исключить набор несанкционированных номеров. С расширенной версией этого материала читатели могут ознакомиться по адресу www.pcmag.com/article2/0,4149,1110906,00.asp.

Будущее

Надо сказать, что WPA - это лишь первый шаг на пути к обеспечению надежной защиты беспроводных ЛВС. В начале 2004 г. руководители IEEE намереваются опубликовать еще один стандарт безопасности, именуемый 802.11i (известный также как WPA2). Этот стандарт предусматривает включение в спецификацию WPA стандарта шифрования Advanced Encryption Standard (AES), используемого в настоящее время федеральными правительственными учреждениями США. Изделия WPA будут совместимы снизу вверх со стандартом 802.11i. Но если использование средств WPA никак не скажется на пропускной способности беспроводных ЛВС, то применение средств 802.11i, по всей вероятности, потребует значительного увеличения вычислительной мощности.

Разработка стандартов WPA и 802.11i свидетельствует о том, что индустрия беспроводных ЛВС наконец-то стала со всей серьезностью относиться к проблемам безопасности.

Работаете ли вы в домашней или крупной корпоративной беспроводной ЛВС - в любом случае вам следует воспользоваться теми преимуществами надежной защиты, которую обеспечивает стандарт WPA. =

Леон Эрланджер - независимый автор и консультант, специализирующийсЯ на вопросах безопасности, проблемах хранениЯ данных, сетевых технологиЯх и инфраструктуре Интернета

Автор: Леон Эрланджер
Источник: www.pcmag.ru