|
هفت مشكل امنيتي مهم شبكه هاي بي سيم 802.11 – بخش چهارم
در شماره پيش با
سومين و چهارمين مشكل امنيتي مهم شبكه هاي بي سيم آشنا شديم.
در اين شماره به مساله پنجم و راه حل مربوط به آن مي پردازيم.
مسأله شماره ۵: جعل
MAC
و
sessionربايي!
شبكه هاي 802.11 فريم ها را تأييد هويت نمي كنند. هر فريم يك
آدرس مبداء دارد، اما تضميني وجود ندارد كه ايستگاه فرستنده
واقعاً فريم را ارسال كرده باشد! در واقع همانند شبكه هاي اترنت
سنتي، مراقبتي در مقابل جعل مبداء آدرس ها وجود ندارد. نفوذگران
مي توانند از فريم هاي ساختگي براي هدايت ترافيك و تخريب جداول
ARP
(Address
Resolution Protocol)
استفاده كنند. در سطحي بسيار ساده تر، نفوذگران مي توانند آدرس
هاي
(MAC
(Medium
Access Control
ايستگاه هاي در حال استفاده را مشاهده كنند و از آن آدرس ها براي
ارسال
فريم
هاي بدخواهانه استفاده كنند. براي جلوگيري از اين دسته از حملات،
مكانيسم تصديق هويت كاربر براي شبكه هاي 802.11 در حال ايجاد
است. با درخواست هويت از كاربران، كاربران غيرمجاز از دسترسي به
شبكه محروم مي شوند. اساس تصديق هويت كاربران استاندارد
802.1x
است كه در ژوئن
2001 تصويب شده است.
802.1x
مي تواند براي درخواست هويت از كاربران به منظور تأييد آنان قبل
از دسترسي به شبكه مورد استفاده قرار گيرد، اما ويژگي هاي ديگري
براي ارائه تمام امكانات مديريتي توسط شبكه هاي بي سيم مورد نياز
است.
نفوذگران
مي توانند از فريم هاي جعل شده در حملات اكتيو نيز استفاده كنند.
نفوذگران علاوه بر ربودن نشست ها (sessions)
مي توانند از فقدان تصديق هويت نقاط دسترسي بهره برداري كنند.
نقاط دسترسي توسط پخش فريم هاي
Beacon
(چراغ دريايي) مشخص مي شوند. فريم هاي
Beacon
توسط نقاط دسترسي ارسال مي شوند تا كلاينت ها قادر به تشخيص وجود
شبكه بي سيم و بعضي موارد ديگر شوند. هر ايستگاهي كه ادعا مي كند
كه
يك نقطه دسترسي است و
SSID (Service
Set Identifier)
كه معمولاً
network name
نيز ناميده مي شود، منتشر مي كند،
به
عنوان بخشي از شبكه مجاز به نظر خواهد رسيد. به هرحال، نفوذگران
مي توانند به راحتي تظاهر كنند كه نقطه دسترسي هستند، زيرا هيچ
چيز در 802.11 از نقطه دسترسي نمي خواهد كه ثابت كند واقعاً يك
نقطه دسترسي است. در اين نقطه، يك نفوذگر مي تواند با طرح ريزي
يك
حمله
man-in-the-middle
گواهي هاي لازم را سرقت كند و از آنها براي دسترسي به شبكه
استفاده كند. خوشبختانه، امكان
استفاده از
پروتكل هايي كه تأييد هويت دوطرفه
را پشتيباني مي كنند در
802.1x
وجود دارد.
با
استفاده از
پروتكل
TLS
(Transport
Layer Security)،
قبل از
اينكه كلاينت ها گواهي هاي هويت خود را ارائه كنند،
نقاط دسترسي بايد هويت خود را اثبات كنند. اين
گواهي ها توسط
رمزنگاري قوي براي ارسال بي سيم محافظت مي شوند. ربودن نشست حل
نخواهد شد تا زماني كه
802.11 MAC
تصديق هويت در هر فريم را به
عنوان بخشي از
802.11i
بپذيرد.
راه حل شماره۵ : پذيرش پروتكل هاي قوي و استفاده از آنها
تا زمان تصويب
802.11i
جعل
MAC
يك تهديد خواهد بود. مهندسان شبكه بايد روي
خسارت هاي ناشي از جعل
MAC
تمركز كنند و شبكه هاي بي سيم را تا آنجا كه ممكن است از شبكه
مركزي آسيب پذيرتر جدا كنند. بعضي راه حل ها جعل
AP
(نقاط دسترسي(
را كشف مي كنند و به
طور پيش فرض براي مديران شبكه علائم هشدار دهنده توليد مي كنند
تا بررسي هاي بيشتري انجام دهند. در عين حال، مي توان فقط با
استفاده از پروتكل هاي رمزنگاري قوي مانند
IPSec
از نشست ربايي! جلوگيري كرد. آنالايزرها مي توانند در بخشي از
تحليل فريم هاي گرفته شده، سطح امنيتي مورد استفاده را تعيين
كنند. اين تحليل مي تواند در يك نگاه به مديران شبكه بگويد آيا
پروتكل هاي امنيتي مطلوبي استفاده مي شوند يا خير.
علاوه بر استفاده از پروتكل هاي
VPN
قوي، ممكن است كه تمايل به استفاده از تصديق هويت قوي كاربر با
استفاده از
802.1x
داشته باشيد. بعضي جزئيات آناليز وضعيت تصديق
802.1x،
نتايج باارزشي روي قسمت بي سيم تبادل تصديق هويت
802.1x
ارائه مي كند. هنگام انجام نظارت بر سايت، آنالايزر نوع تصديق
هويت را مشخص مي كند و اين بررسي به مديران شبكه اجازه مي دهد كه
محافظت از كلمات عبور توسط رمزنگاري قوي را تضمين كنند. |
