Instruktor: W tej lekcji porozmawiamy
o tym, jak zabezpieczyć sieci bezprzewodowe
przed niektórymi zagrożeniami.
Sieci bezprzewodowe oferują nam wiele wygody, ale niosą ze
sobą również mnóstwo zagrożeń bezpieczeństwa, ponieważ w
przeciwieństwie do sieci przewodowych, o ile znajduję
się w zasięgu sygnału bezprzewodowego, mogę połączyć
się z nim za pomocą smartfona, tabletu lub laptopa.
Aby chronić swoją sieć, naprawdę musisz upewnić
się, że wiesz, z czym łączą się Twoje urządzenia,
a po ich podłączeniu chcesz mieć pewność,
że wysyłane dane będą szyfrowane.
Teraz pierwszą rzeczą, którą chcemy zrobić, jest
upewnienie się, że wszystko, co przesyłamy, odbywa się prywatnie, aby
zwiększyć bezpieczeństwo naszych sieci.
Jednym ze sposobów
jest tak zwany klucz wstępny.
Klucz współdzielony to taki, w którym oba punkty
końcowe, zarówno punkt dostępowy, jak i klient na
laptopie lub smartfonie, mają ten sam klucz szyfrowania.
Jeśli używam hasła po jednej stronie i tego samego hasła
po drugiej stronie, a one pasują, to jest to użycie tego samego
klucza wstępnego do utworzenia tunelu szyfrowania.
Korzystanie z klucza wstępnego
wiąże się jednak z kilkoma problemami.
Po pierwsze, skalowalność staje się dla nas dużym problemem.
Załóżmy, że mam biuro, w którym mam 50 różnych użytkowników i
wszyscy są podłączeni do sieci bezprzewodowej
i wszyscy używają tego samego klucza wstępnego.
Ale powiedzmy, że jutro idę do pracy i
zwalniam jednego z pracowników.
Teraz ten pracownik zna klucz wstępny, więc
zgadnij, co musimy zrobić?
Musimy zmienić klucz wstępnie współdzielony,
a ponieważ muszę zmienić ten klucz wstępnie współdzielony,
wszystkich 50 innych pracowników musi teraz zostać poinformowanych
o nowym kluczu, abyśmy wszyscy mogli go zmienić.
To jak wymiana klucza do drzwi wejściowych do domu.
Jeśli masz 10 członków rodziny,
musisz teraz wykonać 10 kopii tego klucza.
Ponieważ wszyscy klienci używają tego samego
hasła i tego samego klucza, bardzo utrudnia nam
to zmianę i prawidłowe zarządzanie kluczami.
To jeden z głównych powodów, dla
których nie używamy kluczy współdzielonych w dużych środowiskach.
Ale jeśli jesteś w małym biurze lub środowisku domowym,
takim jak dom lub małe biuro z 10 pracownikami lub mniej,
możesz śmiało użyć klucza wstępnego, ponieważ naprawdę
łatwo jest skonfigurować sieci w ten sposób, ponieważ
masz tylko kilka urządzeń.
Jeśli chodzi o bezpieczeństwo sieci bezprzewodowych,
istnieją trzy główne metody, których możemy użyć w tym celu.
Pierwszym z nich jest WEP, a następnie mamy WPA i WPA2.
Kiedy mamy do czynienia z
WEP, mówimy o Wired Equivalent Privacy.
Było to oryginalne zabezpieczenie bezprzewodowe,
które zostało wynalezione wraz z pierwszą
wersją Wi-Fi 802. 11.
Teraz twierdził, że jest tak samo bezpieczny jak sieci przewodowe,
stąd nazwa "przewodowy odpowiednik prywatności". Prawda jest jednak taka, że nie jest on bezpieczny
i w dzisiejszych czasach nigdy nie
powinno się używać WEP, ponieważ jest to bardzo
niepewny protokół.
Sposób działania WEP polega na tym, że wykorzystuje on wstępnie udostępniony klucz.
Każdy ma ten sam klucz i jest to statyczny 40-bitowy klucz, który
jest bardzo mały i łatwy do złamania lub odgadnięcia
przy użyciu silnego komputera.
Z czasem, aby uczynić WEP bardziej bezpiecznym,
ulepszono klucz z 40 bitów do 64 bitów, a następnie ponownie
do 128 bitów, co rozwiązało problem długości klucza,
ale nie rozwiązało innego problemu
znanego jako wektor inicjalizacji.
Sposób działania WEP polega
na wykorzystaniu 24-bitowego wektora inicjalizacyjnego,
który jest serią 24 jedynek i zer i będzie nazywany
wektorem inicjalizacyjnym.
Jest to wysyłane w postaci czystego tekstu i jeśli
przechwycisz wystarczającą liczbę tych
wektorów inicjalizacji, możesz złamać klucz szyfrowania i odgadnąć
klucz wstępny, który został użyty jako hasło WEP.
W rzeczywistości, używając Aircrack NG, można to zrobić
w około dwie do trzech minut na większości nowoczesnych laptopów.
Następną rzeczą, o której chcemy porozmawiać, jest WPA.
WPA lub Wifi Protected Access zastąpił WEP ze względu
na słabość tego 24-bitowego
wektora inicjalizacji.
Aby temu zaradzić, wprowadzili coś znanego
jako TKIP, protokół czasowej integralności klucza.
Teraz TKIP zastępuje ten 24-bitowy wektor inicjalizacyjny
nowym wektorem o długości 48 bitów.
To podwoiło jego moc, ale nadal
jest to uważane za dość słabe,
jeśli chodzi o nowoczesne komputery.
Inną rzeczą, którą zrobili, było
dodanie nowego typu szyfrowania o nazwie RC4 lub
Rivest Cipher 4 i jest on całkiem dobry, ale ponownie, według dzisiejszych
standardów jest uważany za słaby.
WPA chciało również dodać pewną integralność do urządzeń i zrobiło
to, upewniając się, że nikt nie może przeprowadzić
ataku typu man in the middle i zmienić informacji.
Aby to zrobić, użyli czegoś zwanego MIC, sprawdzania integralności
wiadomości, które jest formą haszowania danych
przed ich wysłaniem i w ten sposób można było
sprawdzić, czy nie zostały zmodyfikowane podczas
przesyłania przez sieć.
WPA zauważyło również, że istnieje wada tego wstępnie
współdzielonego klucza i możliwość
bardzo szybkiego wysyłania nowych kluczy, więc dodali
coś znanego jako tryb korporacyjny wewnątrz WPA.
W trybie korporacyjnym użytkownik mógł
faktycznie uwierzytelnić się przed wymianą kluczy,
a następnie mógł tymczasowo tworzyć
nowe klucze między klientem a punktem dostępowym.
Próbowało to rozwiązać problem skalowalności klucza wstępnego,
ale ostatecznie WPA jest nadal uważany za słaby według
dzisiejszych standardów i został
zastąpiony bardziej nowoczesną wersją znaną jako WPA2
lub Wifi Protected Access 2.
Obecnie obowiązującym standardem jest WPA2, który
został stworzony w ramach 802. 11i.
Po raz pierwszy wdrożono Wireless
G, a następnie Wireless N i Wireless AC.
Wymaga to silniejszego uwierzytelniania
oraz silniejszego szyfrowania i kontroli integralności.
Sprawdzanie integralności odbywa się za pomocą CCMP.
CCMP to skrót od Counter Mode with
Cipher Blockchaining
Message Authentication Code
Protocol, którego nie trzeba
zapamiętywać na egzaminie.
Należy pamiętać, że za każdym razem, gdy widzisz CCMP,
powinieneś myśleć o tym, że jest to część zabezpieczeń WPA2.
Drugą rzeczą, którą zrobili,
było zastąpienie starszego mechanizmu szyfrowania
RC4 przez VES Cipher 4 nowym, znanym jako Advanced
Encryption Standard lub AES.
Obecnie AES używa klucza 128-bitowego, a niektóre nowsze
modele mogą używać klucza 256-bitowego lub więcej.
Zapewnia to dodatkowe bezpieczeństwo i poufność
danych przesyłanych przez sieć bezprzewodową.
W czasie tego konkretnego nagrania
AES nadal nie został złamany, a sam algorytm WPA2 nie
został złamany, więc dobrze jest
go używać, jeśli masz
długie, silne hasło.
Jedynym sposobem, w jaki ludzie są obecnie
w stanie złamać te sieci, jest użycie ataków hasłowych,
co oznacza, że próbują odgadnąć hasła,
odgadując każdą możliwą opcję za pomocą
ataku siłowego lub słownikowego.
Jeśli więc chcesz chronić swoje
sieci, upewnij się, że używasz dobrego, długiego i silnego hasła.
WPA2 obsługuje również dwa różne tryby w zależności od
sieci, w której będzie używany.
Jeśli korzystasz z niego w domu lub małym biurze, będziesz
używać klucza wstępnego, w którym wszyscy
mają to samo hasło.
Jest to tak zwany tryb osobisty.
Innym sposobem jest użycie go w dużym środowisku, w którym
korzystasz z trybu korporacyjnego, w którym
każdy użytkownik otrzymuje pojedynczą
nazwę użytkownika i hasło, które są dla niego unikalne i będą korzystać
z centralnego serwera uwierzytelniania przy użyciu
natywnego WPA2 lub odciążając go do 801.
1x.
Na egzaminie chcę, abyś zapamiętał
cztery rzeczy na temat bezpieczeństwa sieci bezprzewodowych, a jeśli
zapamiętasz cztery rzeczy
z tej tabeli, poradzisz sobie świetnie.
Po pierwsze, za każdym razem, gdy widzisz słowo
"otwarta" w odniesieniu do sieci
bezprzewodowej, oznacza to brak zabezpieczeń, brak ochrony, brak hasła.
Jeśli słyszysz WEP, chcę,
abyś skojarzył to z wektorami inicjalizacji.
To jest właśnie wada WEP
i to o niej usłyszysz na teście.
WEP jest słaby, WEP jest zły.
WEP wykorzystuje wektory inicjalizacji.
Jeśli widzisz WPA, chcę, abyś
pomyślał o TKIP i RC4, ponieważ TKIP był używany do zastąpienia
wektorów inicjalizacji, a RC4 był jego
formą szyfrowania.
Ponownie, WPA jest uważane za słabe, nie używaj go.
Następnie, jeśli widzisz WPA2, powinieneś
pomyśleć o akronimach CCMP i AES.
CCMP jest protokołem integralności, a AES
jest używanym przez nas mechanizmem szyfrowania.
Jest to klucz do odpowiedzi na pytania bezprzewodowe
dotyczące bezpieczeństwa w dniu egzaminu.
Następnie porozmawiajmy trochę o filtrowaniu adresów MAC.
Możemy skonfigurować nasze punkty dostępowe za pomocą
ACL, które będą w stanie sprawdzać te adresy
i zezwalać lub odmawiać określonym adresom MAC na
łączenie się z siecią.
Na przykład, jeśli mój iPhone próbuje połączyć się z siecią, a
nie jest autoryzowany lub znajduje się na liście Odmów, nie będzie
w stanie wykonać tego uścisku dłoni i nie
będzie w stanie się komunikować.
Problem z filtrowaniem komputerów
Mac nadal polega na tym, że bardzo łatwo
jest zmienić adres MAC i sfałszować go.
Obeznani użytkownicy mogą naprawdę szybko
zmienić swój adres Mac za pomocą ogólnodostępnych
narzędzi i naprawdę zajmuje to około pięciu sekund.
To powstrzyma niektórych ludzi,
ale nie jest niezawodne i nie powstrzyma wszystkich.
Jeśli chcesz zmienić swój adres
Mac i korzystasz z narzędzi takich jak Mac Address Changer
dla Windows, Mac Daddy X dla systemów OSX i MAC lub Mac changer
dla Linuksa, wszystkie te narzędzia
są naprawdę łatwe w użyciu.
Adresy Mac nie będą dla ciebie źródłem
doskonałej ochrony, ale zgodnie z egzaminem jest to ochrona, którą
możesz wykorzystać jako część swojej strategii
obrony i głębi.
Tak więc w prawdziwym świecie nie przejmuj się zbytnio
filtrowaniem komputerów Mac, ale na egzaminie uważają
to za dobry środek bezpieczeństwa.
Następnie mamy wyłączenie rozgłaszania SSID, co jest uważane
za niewielką pomoc w zakresie bezpieczeństwa,
a także w celu ochrony sieci.
Teraz, zgodnie z egzaminem, podobnie jak filtrowanie MAC, twierdzą,
że jest to dobra rzecz do zrobienia.
Jednak w prawdziwym świecie znalezienie
ukrytego identyfikatora SSID nie zajmuje dużo czasu.
Czym dokładnie jest SSID?
Cóż, jest to skrót od identyfikatora zestawu serwerów
i tak właśnie nazywa się sieć bezprzewodowa.
Na przykład, jeśli pójdziesz do Starbucks,
mają jeden o nazwie "Starbucks Guest" lub jeśli pójdziesz
do mojego domu, mam jeden o nazwie "Dion" i w ten sposób możesz zobaczyć,
że zestaw serwerów wychodzi i mówi: "Hej, Dion
jest tutaj, czy powinienem się z nim połączyć? A jeśli szukasz sieci, widzisz całą
listę nazw, które
są wokół ciebie, prawda?
Cóż, jeśli wyłączysz rozgłaszanie identyfikatora zestawu
serwera, nie będzie on rozgłaszany
i nie pojawi się w dostępnych sieciach.
W ten sposób użytkownik musi ręcznie wpisać nazwę,
aby połączyć się z siecią, więc musi faktycznie
wiedzieć, że tam jest.
Problem polega na tym, że przy użyciu
technik penetracji sieci bezprzewodowej, bardzo łatwo jest
je znaleźć i nadal można się z nimi połączyć.
Jeśli wszystko, co robisz, to wyłączanie transmisji,
nie jest to zbyt bezpieczne.
Ale jeśli zrobisz to w połączeniu z filtrowaniem MAC i posiadaniem
dobrego, długiego i silnego hasła, zaczniesz
nakładać warstwę zabezpieczeń i zapewnisz
lepszą ochronę.