Методы защиты беспроводных сетей

Наличием беспроводной сети в любой компании уже давно никого не удивить. Она в какой-то степени облегчает обслуживание компьютеров, отличается низкой себестоимостью и проста в развертывании . Однако для реализации этих преимуществ необходимы постоянные качественные ит-услуги по обеспечению достойной защиты беспроводной сети, дабы избежать утечки конфиденциальной корпоративной информации, существенного снижения пропускной способности Интернет-соединений, вирусных атак, массовых рассылок спама, а в некоторых случаях – даже гражданской и уголовной ответственности за осуществление злоумышленниками атак против третьих лиц посредством использования незащищенной беспроводной сети. Надежная защита беспроводных сетей, вопреки распространенному мнению, - дело вполне осуществимое, при этом в случае отсутствия необходимых специалистов внутри компании вполне может быть отдано на ит-аутсорсинг.

Механизмы по обеспечению безопасности беспроводной сети

Стандарты беспроводных сетей предусматривают следующие механизмы обеспечения безопасности:

1. Режим шифрования данных по протоколу WEP. Данный протокол был изначально предусмотрен спецификацией беспроводных сетей 802.11. В процессе шифрования происходит генерация вектора инициализации, к которому добавляется статический секретный ключ. Статический компонент ключа находится у пользователя, принимающего данные, вектор инициализации передается вместе с информацией, в результате чего становится возможна расшифровка данных принимающей стороной. Протоколом предусмотрено два варианта аутентификации пользователей: открытая (Open System) и общий ключ (Shared Key). В случаях, когда говорят про открытую аутентификацию, по существу, никакой аутентификации не наблюдается, и практически любой пользователь способен осуществить доступ к беспроводной сети. Однако это вовсе не означает, что данные при этом не могут быть зашифрованы согласно протоколу WEP.
2. Режим шифрования данных по протоколу WPA. Протокол был представлен в 2003м году; его отличительной чертой стал алгоритм по динамической генерации ключей при шифровании данных. Согласно данному протоколу, вектор инициализации является 48-битовым (а не 24-битовым, как при использовании протокола WEP), при этом реализуются изменения последовательности битов, благодаря чему исключается повторное использование одних и тех же ключей. Для любого передаваемого пакета данных генерируется новый 128-битный ключ. В каждый передаваемый кадр помещен особый 8-байтный код целостности, с помощью проверки которого становится возможным отражение атак с использованием подложных пакетов. В результате получается, что у каждого передаваемого по сети пакета данных есть свой уникальный ключ, при этом любое устройство беспроводных сетей наделено собственным динамически изменяющимся ключом. Инога говорят и о протоколе WPA2 - в отличие от обычного WPA, в нем поддерживается усовершенствованный стандарт шифрования AES, главным отличием которого является более стойкий криптоалгоритм.
3. Механизмы фильтрации МАС-адресов. Фильтрация поддерживается почти всеми беспроводными маршрутизаторами и точками доступа, хотя и не входит в состав стандарта 802.11. Полагают, однако, что она способна повысить безопасность беспроводных сетей. Данная функция реализуется путем создания в настройках точек доступа таблицы МАС-адресов, в которой учитываются беспроводные адаптеры клиентов, которые авторизованы для работы в данной конкретной сети.
4. Механизм скрытых идентификаторов сети. У каждой сети есть собственный уникальный идентификатор, представляющий собой непосредственно название сети. Данный идентификатор отражается в списке доступных беспроводных сетей, что облегчает подключение к ней. При применении режима скрытого идентификатора сеть в списке не отображается и подключение к ней будет возможно, только если известен ее точный идентификатор и априори был создан профиль для подключения именно к этой сети.

Практические рекомендации по обеспечению безопасности беспроводной сети:

• точку доступа целесообразно расположить в центральной части здания, а не рядом с окном. WEP-ключи стоит менять раз в месяц, при этом не следует хранить их в легкодоступном месте;
• не следует передавать WEP-ключи через электронную почту;
• поверх WEP-шифрования целесообразно будет добавить дополнительный протокол шифрования (например, VPN или SSH);
• не стоит использовать принятый по умолчанию идентификатор точки доступа, равно как и ее IP-адрес и пароль;
• имеет смысл сменить идентификатор сети на нечто нейтральное, не указывающее на ее принадлежность к конкретной компании.