Защита беспроводной сети

Все профессионалы по сетевой безопасности знают, что такого понятия, как «совершенная защита» просто нет. Для правильного планирования безопасности нужно учитывать стоимость защищаемых ценностей, стоимость внедрения системы безопасности, а также способности потенциальных атакующих. Другими словами, прежде чем внедрять все меры защиты, известные человечеству, разумнее (и дешевле) внедрить меры защиты от наиболее частых угроз.

Например, беспроводные сети, расположенные в городах, обычно подвергаются атакам чаще, чем сети, расположенные в малонаселённой местности. За день в городе через вашу сеть могут пройти десятки и даже сотни посетителей. Кроме того, злоумышленники могут оставаться незамеченными, находясь в машине, припаркованной неподалёку. С другой стороны, точка доступа, расположенная в доме посередине деревни, вряд ли когда-нибудь увидит чужого посетителя, да и незнакомый транспорт будет сразу же заметен.

Нужно ли защищать свою сеть?

Для некоторых пользователей настройка безопасности беспроводных сетей кажется сложной, они надеются на «авось пронесёт» и оставляют свою сеть абсолютно открытой, то есть незащищённой. Также люди иногда говорят: «Я использую сеть лишь для просмотра интернет-страниц, да и на моём компьютере нет ничего особо ценного. Тогда зачем мне вообще связываться с защитой?». Хороший вопрос, но на него есть такие же хорошие ответы.

Незащищённая беспроводная сеть подвержена трём основным опасностям.

1. Ваши сетевые ресурсы будут доступны незнакомцам.
   
   Когда кто-то подключается к вашей беспроводной сети, он ничем не отличается от пользователя, подсоединившегося к проводному коммутатору вашей сети. Если вы никак не ограничиваете доступ к общим ресурсам, то незваные гости могут делать всё то же самое, что и известные пользователи.

   Они могут копировать изменять или даже полностью удалять файлы, каталоги и даже целые диски. Или даже хуже — запускать перехватчики нажатий клавиатуры, «трояны» или другие вредоносные программы, которые будут работать на неизвестных хозяев.

2. Весь сетевой трафик может быть перехвачен для дальнейшего исследования.
   Имея при себе нужные инструменты, можно в режиме реального времени просматривать посещаемые вами web-страницы, адреса сайтов и, что хуже, перехватывать ваши пароли для дальнейшего использования, чаще всего в корыстных целях.
3. Ваш интернет-канал может использоваться для любой деятельности, в том числе и незаконной.

   Если открытая беспроводная сеть будет использоваться для нелегального распространения фильмов или музыки, то во многих странах за это можно поплатиться иском со стороны правоохранительных органов. Если же канал использовался для передачи на внешний ресурс чего-то более противозаконного, например детской порнографии, или же такой сервер появился внутри сети, проблемы могут быть гораздо более серьёзными. Кроме того, каналом могут воспользоваться спамеры, любители атак DoS и распространители вредоносного ПО, вирусов, да и многие другие.

Для защиты от этих угроз следует внедрять аутентификацию. Аутентификация добавляет ещё один уровень безопасности, требуя, чтобы компьютер клиента зарегистрировался в сети. Традиционно это выполняется при помощи сертификатов, маркеров или паролей (также известных как Pre-Shared-Key), которые проверяются на сервере аутентификации.

Настройка аутентификации может оказаться затруднительной и дорогой задачей даже для профессионалов, не говоря об обычных пользователях. На нынешней конференции RSA в Сан-Франциско, например, многие посетители решили не настраивать безопасность беспроводных подключений только из-за того, что руководство занимало целую страницу!

Владельцам беспроводных сетей также следует использовать самый надёжный из доступных методов шифрования. Конечно, здесь всё зависит от оборудования, но, так или иначе, обычно можно выбрать WEP, WPA или WPA2.

WEP (Wired Equivalent Privacy — безопасность, эквивалентная проводной сети) является наиболее слабым протоколом, но на текущее время он наиболее широко распространён и поддерживается практически всем оборудованием 802.11. Возможно, придётся остановиться на использовании этой технологии и потому, что не все производители беспроводного оборудования выпустили обновления прошивки с поддержкой WPA для оборудования 802.11b. Некоторые до сих пор выпускают оборудование, которое поддерживает только WEP, например — беспроводные VoIP-телефоны. Таким образом, приходится искусственно снижать безопасность сети из-за того, что не всё оборудование поддерживает более новые технологии.

Как WPA (Wi-Fi Protected Access), так и WPA2 обеспечивают хорошую защиту беспроводной сети, что достигается благодаря более стойкому алгоритму шифрования и улучшенному алгоритму управления ключами. Основное отличие между ними состоит в том, что WPA2 поддерживает более стойкое шифрование AES (Advanced Encryption Standard). Однако, ряд продуктов, поддерживающих WPA, тоже позволяют использовать алгоритм шифрования AES вместо стандартного TKIP.