|
هفت مشكل امنيتي مهم شبكه هاي بي سيم 802.11 – بخش آخر
در
مقاله قبل با پنجمين مسأله مربوط به شبكه هاي بي سيم آشنا
شديم. در اين شماره به مساله ششم و هفتم و راه حل مربوط به آن ها
مي پردازيم.
مسأله شماره ۶: تحليل ترافيك و استراق سمع
802.11 هيچ محافظتي عليه حملاتي كه بصورت غيرفعال (passive)
ترافيك را مشاهده مي كنند، ارائه نمي كند. خطر اصلي اين است كه
802.11 روشي براي
تامين
امنيت ديتاي در حال انتقال و جلوگيري از استراق سمع فراهم نمي
كند.
Header
فريم ها هميشه «in
the clear»
هستند و براي هركس با در اختيار داشتن يك آنالايزر شبكه بي سيم
قابل مشاهده هستند. فرض بر اين بوده است كه جلوگيري از استراق
سمع در مشخصات
(WEP
(Wired
Equivalent Privacy
ارائه گردد. بخش زيادي در مورد رخنه هاي
WEP
نوشته شده است كه فقط
از اتصال
ابتدايي بين شبكه و فريم هاي ديتاي كاربر محافظت مي كند. فريم
هاي مديريت و كنترل توسط
WEP
رمزنگاري و تصديق هويت نمي شوند و به اين ترتيب
آزادي عمل زيادي به يك نفوذگر مي دهد تا با ارسال فريم هاي جعلي
اختلال به وجود آورد. پياده سازي هاي اوليه
WEP
نسبت به ابزارهاي
crack
مانند
AirSnort
و
WEPcrack
آسيب پذير هستند، اما آخرين نسخه ها تمام حملات شناخته شده را
حذف مي كنند. به
عنوان يك اقدام احتياطي فوق العاده، آخرين محصولات
WEP
يك گام فراتر مي روند و از پروتكل هاي مديريت
كليد براي تعويض كليد
WEP
در هر پانزده دقيقه استفاده مي كنند. حتي مشغول ترين
LAN
بي سيم آنقدر ديتا توليد نمي كند كه بتوان در
پانزده دقيقه كليد را بازيافت كرد.
راه حل شماره۶ : انجام تحليل خطر
هنگام بحث در مورد خطر استراق سمع، تصميم كليدي برقراري توازن
بين خطر استفاده از
WEP
تنها و پيچيدگي بكارگيري راه حل اثبات شده
ديگري است.
در
وضعيت فعلي براي امنيت لايه لينك، استفاده از
WEP
با كليدهاي طولاني و توليدكليد پويا توصيه مي شود.
WEP
تا حد زيادي مورد كنكاش قرار گرفته است و
پروتكل هاي امنيتي عليه تمام حملات شناخته شده تقويت شده اند. يك
قسمت بسيار مهم در اين تقويت، زمان كم توليد مجدد كليد است كه
باعث مي شود نفوذگر نتواند در مورد خصوصيات كليد
WEP
، قبل از جايگزين شدن،
اطلاعات عمده اي كسب كند.
اگر شما استفاده از
WEP
را انتخاب كنيد، بايد شبكه بي سيم خود را نظارت كنيد تا مطمئن
شويد كه مستعد حمله
AirSnort
نيست. يك موتور آناليز قوي به
طور خودكار تمام ترافيك دريافت شده را تحليل مي كند و ضعف هاي
شناخته شده را در فريم هاي محافظت شده توسط
WEP
بررسي مي كند. همچنين ممكن است بتواند نقاط دسترسي و ايستگاه
هايي را كه
WEP
آنها فعال نيست نشان گذاري كند تا بعداً توسط مديران شبكه بررسي
شوند. زمان كوتاه توليد مجدد كليد ابزار بسيار مهمي است كه در
كاهش خطرات مربوط به شبكه هاي بي سيم استفاده مي شود. بعنوان
بخشي از نظارت سايت، مديران شبكه مي توانند از آنالايزرهاي قوي
استفاده كنند تا مطمئن شوند كه سياست هاي توليد كليد مجدد
WEP
توسط تجهيزات مربوطه پياده سازي شده اند.
اگر
از
LAN
بي سيم شما براي
انتقال
ديتاي حساس استفاده مي شود، ممكن است
WEP
براي نياز شما كافي نباشد. روش هاي رمزنگاري
قوي مانند
SSH،
SSL
و
IPSec
براي انتقال ديتا به
صورت امن روي كانال هاي عمومي طراحي شده اند و براي سال ها
مقاومت آنها در برابر حملات ثابت شده است، و يقيناً سطوح بالاتري
از امنيت را ارائه مي كنند. نمايشگرهاي وضعيت نقاط دسترسي مي
توانند بين نقاط دسترسي كه از
WEP،
802.1x
و
VPN
استفاده مي كنند، تمايز قائل شوند تا مديران شبكه بتوانند بررسي
كنند كه
آيا
در آنها از سياست هاي رمزنگاري قوي تبعيت مي شود
يا خير.
علاوه بر استفاده از پروتكل هاي
VPN
قوي، ممكن است كه تمايل به استفاده از تصديق هويت قوي كاربر با
استفاده از
802.1x
داشته باشيد. بعضي جزئيات آناليز وضعيت تصديق
802.1x،
نتايج باارزشي روي قسمت بي سيم تبادل تصديق هويت
802.1x
ارائه مي كند. آنالايزر هنگام انجام نظارت بر سايت، نوع تصديق
هويت را مشخص مي كند و اين بررسي به مديران شبكه اجازه مي دهد كه
محافظت از كلمات عبور توسط رمزنگاري قوي را تضمين كنند.
مسأله شماره ۷: حملات سطح بالاتر
هنگامي كه يك نفوذگر به يك شبكه دسترسي پيدا مي كند، مي تواند از
آنجا به
عنوان نقطه اي براي
انجام
حملات به ساير سيستم ها استفاده كند. بسياري از شبكه ها يك پوسته
بيروني سخت دارند كه از ابزار امنيت پيراموني تشكيل شده،
به
دقت پيكربندي شده و مرتب ديده باني مي شوند. اگرچه درون پوسته يك
مركز آسيب پذير نرم قرار دارد.
LANهاي
بي سيم مي توانند به سرعت با اتصال به شبكه هاي اصلي آسيب پذير
مورد استفاده قرار گيرند، اما به اين ترتيب شبكه در معرض حمله
قرار مي گيرد. بسته به امنيت پيرامون، ممكن است ساير شبكه ها را
نيز در معرض حمله قرار دهد، و مي توان شرط بست كه اگر از شبكه
شما به
عنوان نقطه اي براي حمله به ساير شبكه ها استفاده شود، حسن شهرت
خود را از دست خواهيد داد.
راه حل شماره۷ : هسته را از
LAN
بي سيم محافظت كنيد
به
دليل استعداد شبكه هاي بي سيم براي حمله، بايد به عنوان شبكه هاي
غيرقابل اعتماد مورد استفاده قرار بگيرند. بسياري از شركت ها
درگاه هاي دسترسي
guest
در اتاق هاي آموزش يا سالن ها ارائه مي كنند. شبكه هاي بي سيم به
دليل احتمال دسترسي توسط كاربران غيرقابل اعتماد مي توانند به
عنوان درگا ه هاي دسترسي
guest
تصور شوند. شبكه بي سيم را بيرون منطقه پيرامون امنيتي شركت قرار
دهيد و از تكنولوژي كنترل دسترسي قوي و ثابت شده مانند يك
فايروال بين
LAN
بي سيم و شبكه مركزي استفاده كنيد، و سپس دسترسي به شبكه مركزي
را از طريق روش هاي
VPN
تثبيت شده ارائه كنيد.
نتيجه گيري
يك موضوع مشترك مسائل امنيت اين است كه مكانيسم هاي تكنولوژيكي
براي بسياري از رخنه هاي مشاهده شده وجود دارد و به خوبي درك مي
شوند، اما بايد به
منظور محافظت از شبكه فعال شوند. اقدامات پيشگيرانه معقول مي
توانند شبكه هاي بي سيم را براي هر سازماني كه مي خواهد فوائد
سيار بودن و انعطاف پذيري را در كنار هم گرد آورد، امن كنند.
همراه با به كارگيري بسياري از
تكنولوژي
هاي شبكه، ايده اصلي و كليدي، طراحي شبكه با در نظر داشتن امنيت
در ذهن است. بعلاوه انجام نظارت هاي منظم را براي تضمين اينكه
طراحي انجام شده اساس پياده سازي است،
بايد در نظر داشت. يك آنالايزر شبكه بي سيم يك ابزار ضروري براي
يك مهندس شبكه بي سيم است.
|
