صفحه اول > مقالات

 

هفت مشكل امنيتي مهم شبكه هاي بي سيم 802.11 – بخش آخر

 

در مقاله قبل با پنجمين مسأله مربوط به شبكه هاي بي سيم آشنا شديم. در اين شماره به مساله ششم و هفتم و راه حل مربوط به آن ها مي پردازيم.

مسأله شماره ۶: تحليل ترافيك و استراق سمع

802.11 هيچ محافظتي عليه حملاتي كه بصورت غيرفعال (passive) ترافيك را مشاهده مي كنند، ارائه نمي كند. خطر اصلي اين است كه 802.11 روشي براي تامين امنيت ديتاي در حال انتقال و جلوگيري از استراق سمع فراهم نمي كند. Header فريم ها هميشه «in the clear» هستند و براي هركس با در اختيار داشتن يك آنالايزر شبكه بي سيم قابل مشاهده هستند.  فرض بر اين بوده است كه جلوگيري از استراق سمع در مشخصات (WEP (Wired Equivalent Privacy ارائه گردد. بخش زيادي در مورد رخنه هاي WEP نوشته شده است كه فقط از اتصال ابتدايي بين شبكه و فريم هاي ديتاي كاربر محافظت مي كند. فريم هاي مديريت و كنترل توسط WEP  رمزنگاري و تصديق هويت نمي شوند و به اين ترتيب آزادي عمل زيادي به يك نفوذگر مي دهد تا با ارسال فريم هاي جعلي اختلال به وجود آورد. پياده سازي هاي اوليه WEP نسبت به ابزارهاي crack مانند AirSnort و WEPcrack آسيب پذير هستند، اما آخرين نسخه ها تمام حملات شناخته شده را حذف مي كنند. به عنوان يك اقدام احتياطي فوق العاده، آخرين محصولات WEP يك گام فراتر مي روند و از پروتكل هاي مديريت كليد براي تعويض كليد WEP در هر پانزده دقيقه استفاده مي كنند. حتي مشغول ترين LAN بي سيم  آنقدر  ديتا توليد نمي كند كه بتوان در پانزده دقيقه كليد را بازيافت كرد.

راه حل شماره۶ : انجام تحليل خطر

هنگام بحث در مورد خطر استراق سمع، تصميم كليدي برقراري توازن بين خطر استفاده از WEP  تنها و پيچيدگي بكارگيري راه حل اثبات شده ديگري است. در وضعيت فعلي براي امنيت لايه لينك، استفاده از WEP با كليدهاي طولاني و توليدكليد پويا توصيه مي شود. WEP  تا حد زيادي مورد كنكاش قرار گرفته است و پروتكل هاي امنيتي عليه تمام حملات شناخته شده تقويت شده اند. يك قسمت بسيار مهم در اين تقويت، زمان كم توليد مجدد كليد است كه باعث مي شود نفوذگر نتواند در مورد خصوصيات كليد WEP ، قبل از جايگزين شدن، اطلاعات عمده اي كسب كند.

اگر شما استفاده از WEP را انتخاب كنيد، بايد شبكه بي سيم خود را نظارت كنيد تا مطمئن شويد كه مستعد حمله AirSnort  نيست. يك موتور آناليز قوي به طور خودكار تمام ترافيك دريافت شده را تحليل مي كند و ضعف هاي شناخته شده را در فريم هاي محافظت شده توسط WEP بررسي مي كند. همچنين ممكن است بتواند نقاط دسترسي و ايستگاه هايي را كه WEP آنها فعال نيست نشان گذاري كند تا بعداً توسط مديران شبكه بررسي شوند. زمان كوتاه توليد مجدد كليد ابزار بسيار مهمي است كه در كاهش خطرات مربوط به شبكه هاي بي سيم استفاده مي شود. بعنوان بخشي از نظارت سايت، مديران شبكه مي توانند از آنالايزرهاي قوي استفاده كنند تا مطمئن شوند كه سياست هاي توليد كليد مجدد WEP توسط تجهيزات مربوطه پياده سازي شده اند.

 

اگر از LAN بي سيم شما براي انتقال ديتاي حساس استفاده مي شود، ممكن است WEP  براي نياز شما كافي نباشد. روش هاي رمزنگاري قوي مانند SSH، SSL و IPSec براي انتقال ديتا به صورت امن روي كانال هاي عمومي طراحي شده اند و براي سال ها مقاومت آنها در برابر حملات ثابت شده است، و يقيناً سطوح بالاتري از امنيت را ارائه مي كنند. نمايشگرهاي وضعيت نقاط دسترسي مي توانند بين نقاط دسترسي كه از WEP، 802.1x و VPN استفاده مي كنند، تمايز قائل شوند تا مديران شبكه بتوانند بررسي كنند كه آيا در آنها از سياست هاي رمزنگاري قوي تبعيت مي شود يا خير

علاوه بر استفاده از پروتكل هاي VPN قوي، ممكن است كه تمايل به استفاده از تصديق هويت قوي كاربر با استفاده از 802.1x داشته باشيد. بعضي جزئيات آناليز وضعيت تصديق 802.1x، نتايج باارزشي روي قسمت بي سيم تبادل تصديق هويت 802.1x ارائه مي كند. آنالايزر هنگام انجام نظارت بر سايت،  نوع تصديق هويت را مشخص مي كند و اين بررسي به مديران شبكه اجازه مي دهد كه محافظت از كلمات عبور توسط رمزنگاري قوي را تضمين كنند.

مسأله شماره ۷: حملات سطح بالاتر

هنگامي كه يك نفوذگر به يك شبكه دسترسي پيدا مي كند، مي تواند از آنجا به عنوان نقطه اي براي انجام حملات به ساير سيستم ها استفاده كند. بسياري از شبكه ها يك پوسته بيروني سخت دارند كه از ابزار امنيت پيراموني تشكيل شده، به دقت پيكربندي شده و مرتب ديده باني مي شوند. اگرچه درون پوسته يك مركز آسيب پذير نرم قرار دارد. LANهاي بي سيم مي توانند به سرعت با اتصال به شبكه هاي اصلي آسيب پذير مورد استفاده قرار گيرند، اما به اين ترتيب شبكه در معرض حمله قرار مي گيرد. بسته به امنيت پيرامون، ممكن است ساير شبكه ها را نيز در معرض حمله قرار دهد، و مي توان شرط بست كه اگر از شبكه شما به عنوان نقطه اي براي حمله به ساير شبكه ها استفاده شود، حسن شهرت خود را از دست خواهيد داد.

راه حل شماره۷ : هسته را از LAN بي سيم محافظت كنيد

به دليل استعداد شبكه هاي بي سيم براي حمله، بايد به عنوان شبكه هاي غيرقابل اعتماد مورد استفاده قرار بگيرند. بسياري از شركت ها درگاه هاي دسترسي guest در اتاق هاي آموزش يا سالن ها ارائه مي كنند. شبكه هاي بي سيم به دليل احتمال دسترسي توسط كاربران غيرقابل اعتماد مي توانند به عنوان درگا ه هاي دسترسي guest تصور شوند. شبكه بي سيم را بيرون منطقه پيرامون امنيتي شركت قرار دهيد و از تكنولوژي كنترل دسترسي قوي و ثابت شده مانند يك فايروال بين LAN  بي سيم و شبكه مركزي استفاده كنيد، و سپس دسترسي به شبكه مركزي را از طريق روش هاي VPN  تثبيت شده ارائه كنيد.

 

نتيجه گيري

يك موضوع مشترك مسائل امنيت اين است كه مكانيسم هاي تكنولوژيكي براي بسياري از رخنه هاي مشاهده شده وجود دارد و به خوبي درك مي شوند، اما  بايد به منظور محافظت از شبكه فعال شوند. اقدامات پيشگيرانه معقول مي توانند شبكه هاي بي سيم را براي هر سازماني كه مي خواهد فوائد سيار بودن و انعطاف پذيري را در كنار هم گرد آورد، امن كنند. همراه با به كارگيري بسياري از تكنولوژي هاي شبكه، ايده اصلي و كليدي، طراحي شبكه با در نظر داشتن امنيت در ذهن است. بعلاوه انجام نظارت هاي منظم را براي تضمين اينكه طراحي انجام شده اساس پياده سازي است، بايد در نظر داشت. يك آنالايزر شبكه بي سيم يك ابزار ضروري براي يك مهندس شبكه بي سيم است.