БЕЗОПАСНОСТЬ В БСПД
МИФЫ и РЕАЛЬНОСТИ
Федиенко А.П.
Кто хочет сделать все как можно лучше, должен быть в курсе современных методов атак, а также надлежащих контрмер и ожидаемых новшеств в этой области.
Итак, что такое безопасность в беспроводных сетях передачи данных (БСПД)? Ответить на этот вопрос одной небольшой статьей невозможно, мало того, думаю, это будет сделать невозможно никогда. Причина проста и банальна, параллельно с развитием беспроводных технологий развиваются и средства перехвата беспроводных сигналов.
Изначально с момента появления этих сетей БСПД они обладали очень низкой защищенностью от перехвата данных. В отличие от проводных сетей, где перехват невозможен без физического доступа к среде передачи. Радиосети оказываются практически беззащитными, если не применять специальных средств, аппаратных или программных средств защиты информации.
Не будем останавливаться, на том, что такое абонентская станция, а что такое базовая станция, попробую обойти так называемую безопасность на протокольном уровне. Уделим больше внимания тем методам безопасности, с которыми пришлось сталкиваться нашей компании как интегратора при построении сетей БСПД.
Попытаемся открыть основные моменты, от которых в конечном итоге зависит безопасности в БСПД.
Итак, БСПД сеть с помощью, которой осуществляется передача информация, которую и нужно защитить, защита информации (ЗИ). В настоящее время практически везде ведутся исследования по двум направлениям. Первое направление можно охарактеризовать, как:
- Идентификация угроз, присущих БСПД с целью ЗИ
Второе направление, это :
- Разработка и внедрение плана мобильной (фиксированной) безопасности, защита от нападения из вне.
Таким образом, прежде, чем приступить к строительству сети, интеграторы обязаны выявить все возможные направления, по которым будут идти атаки, проанализировать вероятность угрозы для строящейся БСПД, и главное быть готовыми к противостоянию данных атак.
Что мы подразумеваем под словом атаки в БСПД. Разделим их на физические и виртуальные (анонимные, удаленные).
Физические атаки – это атаки, которые присущи с непосредственным физическим соприкосновением атакующего с оборудованием оператора.
Виртуальные – это удаленные атаки посредством, подслушиваний, радиоперехвата, глушение, создание ложных точек доступа.
Типичная (виртуальные) атака состоит из следующих шагов:
- Идентификации атакуемой БСПД;
- Широкополосное чтение трафика БСПД;
- Инъекции пакетов, генерации трафика, с целью определения кодового ключа БСПД (с помощью программного обеспечения).
- Взлом кодового ключа, защиты, или пароля (с помощью программного обеспечения) при наличии достаточного количества перехваченных пакетов.
- При необходимости расшифровка перехваченного трафика.
- Участие в работе сети, и проведение атак против самой БСПД или ее абонентов.
Пакеты, передаваемые в радиосетях, в радиоэфире едва ли можно контролировать. Поэтому необходимо исходить из того, что злоумышленник способен прочитать все передаваемые в радиоэфире пакеты, к примеру, при помощи сканирующего радиоприемника оснащенного декодирующими модулями, работающей в режиме радиочастотного мониторинга.
Как же это все начиналось, давайте вернемся к истокам беспроводной передачи, вначале голоса, затем данных.
Вспомним самые простые аналоговые радиостанции, я уверен, что многие пользовались и пользуются данным видом беспроводной радиосвязи. Практически во всех аналоговых сетях передачи данных канал передачи информации не закрыт. В свое время такие сети, как SmarTrunk II (транкинг) имел открытый канал передачи (вначале шла цифровая посылка кода вызываемого, затем устанавливалось аналоговое соединение), не безызвестная сотовая сеть NMT450 имела такой же открытый канал. Скорее всего, в те недалекие времена, данный вопрос, для производителя был не актуальным, или не настолько критичным.
Имея недорогой сканер радиоэфира злоумышленник, легко мог прослушать все переговоры корреспондентов между собой, декодировать тональные посылки системы идентификации и доступа к сети. Таким образом получить доступ к информации, передаваемой в радиоканале, а зачастую и стать нелегальным абонентом сети.
Дабы избежать утечки информации, производители пошли по пути закрытия каналов передачи данных, изменению видов модуляции и физического доступа к каналу связи (FDMA, TDMA, CDMA). Так появились первые устройства скремблирования. Первые скремблеры основывались на инверсии голоса (эти скремблеры можно было легко декодировать), позже появились цифровые скремблеры, разбивающие голосовой поток на составляющие цифр и букв (для декодирования таких скремблеров требовалось специальное оборудование, а главное нужно было знать код комбинации). Таким образом, уже начались работы по защите каналов передачи данных. Правда, как было сказано выше, не стояли на месте и производители средств перехвата беспроводных сигналов. Но эти средства были уже дороже предыдущих, и не так доступны. Вот примерно, таким образом, происходила эволюция защиты каналов беспроводных сетей и устройств перехвата информации в этих сетях.
Эволюция не стояла на месте, аналоговые сети переросли в цифровые. В последующем в широкополосные беспроводные сети. Устройства скремблирования из миниатюрных отдельно продающихся плат, переросли в программно-аппаратные системы, интегрированные в радиомодемы, с криптозащитой. В последующем менялись только протоколы кодирования, методы доступа к среде и.т.д.
Очень часто для обеспечения безопасности достаточно простого здравого смысла. Для того, кто хочет украсть или нанести вред вашему оборудованию нужно противостоять пассивными и активными методами защиты.
Вот так мы подошли к вопросы физической защиты БСПД. Прежде, чем начинать строить БСПД спланируйте ее безопасность. Причем каждого узла в отдельности, каждой соты, каждой БС станции. Практически на всех аудитах проводимых специалистами нашей компании по запросу операторов выявлялись моменты ненадежной физической защиты оборудования.
Например, один из операторов, расположивший свое оборудование на отметке 80 метров одной из высотных вышек, даже не удосужился его механически защитить. За что очень быстро поплатился. Злоумышленники полностью демонтировали оборудование, разрезав ножницами то, что называлось металлическим шкафом (его роль, выполнял электрошкаф). Скорее всего, нет таких замков, которые нельзя открыть, но, создав дополнительный барьер вы тем самым увеличили время злоумышленника доступа к вашему оборудованию, увеличили живучесть вашей БСПД. Ваша задача, состоит в том, чтоб как можно больше создать таких барьеров.
Помимо воровства оборудования, злоумышленник может просто вывести ваше оборудование из строя, тем самым, остановив работу вашей БСПД. Поэтому все проводные коммуникации должны быть надежно защищены, а по возможности и зарезервированы. Иметь разные трассы прокладки к гермошкафу (гермокомнате).
Все кабельные коммуникации идущие к вашему шкафу обязаны быть уложены в металлические трубы, иметь жесткое крепление к стенам. Исключайте открытых переходов кабельных коммуникаций. Нам доводилось сталкиваться, когда атакующие делали повреждение проводных коммуникаций, путем вырезания кабелей, установки короткозамкнутых шунтов (в ВЧ кабелях), были даже случаи, когда в фидер вводилась активные кислоты, в результате ВЧ кабель терял свои радиофизические свойства, хотя внешне оставался безупречным. Поиск и устранение таких атак невозможен без соответствующего оборудования.
Отдельное слово о гермошкафах, Из тех БСПД, на которых мы делали аудит безопасности, гермокомнаты строят единицы, как правило это сотовые операторы. Все остальные беспроводные операторы, как правило, пользуются металлическими шкафами, да именно шкафами, не путать с сейфами. Данные шкафы представляют не вандалоустойчивые металлические шкафы толщина стенки 2мм. Такие шкафы, злоумышленниками легко вскрываются за считанные минуты.
Своим заказчикам мы рекомендуем установку так называемого несгораемого шкафа с двойными стенками разработанный с учетом ГОСТ Р 50862-96, международным стандартам EMV, ISO 7816. Подобие старого доброго сейфа из кинофильма «Зеленый фургон», но со своими секретами. Шкаф имеет двойные стенки, между стенками расположены несгораемые компоненты, датчики пожарной и охранной сигнализации. При несанкционированном доступе, сработают датчики, и встроенная сигнализация подаст сигнал на охранный пульт. Там же между стенками расположен GSM передатчик данного сигнала и источник бесперебойного питания.
Таким образом, злоумышленник, при вскрытии первой стенки шкафа не подозревая, уже оповестил службу охраны. При начальной деформации второй стенки шкафа, подается звуковой сигнал, по месту установки шкафа. По требованию заказчиков, шкафы могут комплектоваться и дополнительными средствами защиты, относящиеся к средствам спец-защита, или средствам локального пожаротушения.
Монтаж, такого рода шкафов желательно производить к бетонной стене, по возможности со стороны ввода ВЧ кабеля и иных проводных коммуникаций, дабы обеспечить закрытый ввод кабельной инфраструктуры. При монтаже, как минимум две стороны шкафа соприкасались с несущими бетонными стенами. Дабы исключить отрыв конструкции от стены. Или привлекать для таких работы специалистов, имеющие навыки монтажа подобного рода шкафов.
Не забывайте, что зачастую ваши гермозоны, или металлические боксы (шкафы) расположены на высотных жилых (административных) зданиях, высотных вышках, или иных высотных конструкциях доступ на данные объекты, как правило, не охраняем. Поэтому не стоит пренебрегать оснащением вашего объекта сигнализацией. Если вам не по карману государственная служба охраны ГСО, заключите контракт с частным охранным агентством. Предпочтение отдавайте, охранным агентствам имеющие большой парк патрульных авто. И время подъезда охраны на вашу станцию, не должна превышать десяти минут.
Многие пренебрегают услугами страховой компании, на наш взгляд, это необходимая мера. И мы настоятельно рекомендуем страховать оборудование ваших базовых станций.
Есть еще одна ниша БСПД это так называемые внутриофисные сети. По каким-то необъяснимым причинам организаторы внутриофисных БСПД нередко считают, что при их включении, автоматически обеспечивается надлежащий уровень безопасности. Дело в том, что производители устанавливают самый низкий уровень безопасности, или и вовсе отключает безопасность, чтобы при развертывании сети, клиенты случайно не столкнулись с невозможностью доступа к сети.
При минимальных настройках безопасности оборудование лучше всего совместимо с самым широким спектром других устройств и практически с любым современным программным обеспечением.
Поэтому после настройки и проверки сети на совместимость с существующей инфраструктурой системный администратор обязан изменить настройки безопасности, для предотвращение несанкционированного доступа в корпоративную сеть.
Две главнейшие угрозы, связанные с эксплуатацией беспроводных локальных сетей, это чтение и изменение данных, и неавторизованное вторжение атакующего с целью проведения атаки на сетевые системы.
Поэтому эффективную защиту обеспечивают только шифрование трафика и указание станций, «входящих в состав сети», т. е. имеющих право отправлять пакеты, создание так называемых Access list.
Многие делают разделение, БСПД отдельно, а информацию и ЗИ отдельно, эти решения самые живучие с точки зрения безопасности и устойчивости к потере информации.
Таким образом, БСПД выступит только в роли транспорта по передаче информации. И злоумышленник, перехватывая пакеты вашей БСПД не сможет декодировать информацию. Схема выглядит примерно так. Источник генерации информации –криптокодер-передатчик БСПД-приемник БСПД-криптодекодер-источник приемки информации. При организации канала передачи данных, между удаленными объектами использование VPN соединения на порядок повышают устойчивость к взлому, и использованию вашей информации.
Первой реализацией системы защиты с шифрованием данных стала спецификация WEP (Wireless Equivalent Privacy), принятая IEEE в 1999 году и основанная на шифровании данных с помощью 24-битного ключа RC4. Однако уже в следующем году были найдены способы, позволяющие либо быстро определить ключ на основе анализа передаваемых данных, либо подменить нешифруемый заголовок пакета для того, чтобы перенаправить декодированный точкой доступа пакет другому получателю, для которого он будет закодирован уже его собственным ключом.
Значительным недостатком протокола WEP является использование статических общих ключей, что было вполне приемлемо для небольших корпоративных сетей, где в случае утраты адаптера можно было поменять ключи на всех остальных. Очевидно, что для оператора такой подход неприемлем. Кроме того, использование WEP со статическими ключами оказалось ненадежным и с точки зрения конфиденциальности данных: после того, как в конце 2001 года появились программы, позволяющие взламывать 40-битный WEP за 15-20 минут, а 128-битный — за 3-4 часа, репутация WEP была подмочена окончательно.
Позже рабочий комитет IEEE одобрил спецификации стандарта 802.11i, которыми определяется алгоритм защиты под названием TKIP (temporal key integrity protocol). Данный протокол предусматривает формирование новых ключей шифрования для каждых 10 КБ передаваемых данных.
Продолжается подготовка спецификации нового алгоритма, основанного на протоколе AES (advanced encryption standard) со 128-разрядным ключом. Этот метод шифрования считается более надежным, чем TKIP, и считается, что он должен прийти ему на смену.
Основные принципы этой защиты — это шифрация трафика передаваемого в БСПД.
Шифрация осуществляется достаточно длинными ключами (сейчас это в основном 128 бит) и является динамической, то есть даже в течение одной сессии, одного сеанса связи с базовой станцией ключи шифрования меняются, и, таким образом, подбор ключа становится бессмысленным.
Тем не менее, оборудование БСПД постоянно совершенствуется и в современных устройствах поддерживается новая, ещё более защищённая версия WPA2, работающая с динамическими ключами длиной 128, 192 и 256 бит. К таким устройствам, относится, например, трёхдиапазонный контроллер Intel PRO/Wireless 2915ABG.
Из чего состоит «набор» атакующего (злоумышленника) пытающегося удаленно произвести перехват информации. Зачастую, это переносной компьютер с установленным программным обеспечением. Набор радиокарт поддерживающих различный беспроводные стандарты и типы модуляций, и программное обеспечение. Обязательный атрибут сканер радиоэфира, протокольный сканер, программное обеспечение, для декодирования защитного ключа. Портативная узконаправленная антенна.
Методы, с которыми доводилось сталкиваться специалистов департамента безопасности нашей компании, мы приводим ниже.
Один из самых распространенных, это метод «ГЛУШЕНИЕ», БСПД конкурента. Специалисты нашей компании, сталкивались с методом, когда совершалась атака с использованием подобного оборудования и одинакового протокола обмена. Но оборудование атакующего работало на передачу, и отправляло так называемый пакет, при котором все абоненты атакованного оператора, прекращали передачу и переходили в режим ожидания приема. Как правило, такие атаки осуществляются на конкретном частотном канале.
DSSS уровень RSSI в dBm помехи (радиопомехи) должен быть ниже ~11dBm по отношению к RSSI в dBm полезного сигнала.
Для OFDM, разница в уровнях полезного сигнала и помехи должна быть намного больше, где-то ~20dBm
Редко используемое глушение, в сетях БСПД, когда преднамеренная или непреднамеренная интерференция (широкополосный мощной передатчик) превышает возможности передатчика отправителя, или приемника получателя в канале связи обмениваться информацией, таким образом, выводя канал обмена информацией БСПД из строя.
Полную парализацию самой сети может вызвать атака типа DoS (Denial of Service – отказ в обслуживании). В результате данной атаки (как правило, атака идет с земли на базовые станции) на всех базовых станциях возникает такая сильная интерференция, что БСПД прекращает свою работу, абоненты теряют БС (базовые станции). Атака DoS, трудно остановить или предотвратить.
«ГЛУШЕНИЕ КЛИЕНТА», глушение идет в два этапа, вначале происходит, глушение настоящего клиента, после того как клиент «теряет» соединение с БС станцией БСПД, вместо него подставляется ложный клиент. Как правило, используется, для сбора информации передаваемой от оператора к клиенту.
«ГЛУШЕНИЕ БАЗОВОЙ СТАНЦИИ», принцип тот же, что и «глушение клиента». За исключением того, что атакующие должны примерно знать, где расположена ваша БС станция, и иметь возможность установить ложную БС-станцию недалеко, от вашей. Такое глушение, лишает клиента доступа к сервису, атакующий собирает передаваемую информацию от всех клиентов приступившие к работе с ложной БС-станцией. Клиент, ничего не подозревая, сообщает свою важную информацию.
В целом можно сказать, что провести атаку на беспроводную сеть сравнительно просто. Выбор технологии, пригодной для указанной цели, определяется различными факторами и должен стать предметом тщательного анализа рисков.
Разумеется, стопроцентной гарантии безопасности дать невозможно, но некоторые действенные способы затруднения несанкционированного доступа в беспроводные сети мы описали в данном материале. Более подробные инструкции по реализации этих методов на практике обычно вырабатывает оператор создаваемой БСПД с привлечением компаний специализирующихся на вопросах безопасности.
Надеемся, что этот материал привлечёт внимание к проблеме обеспечения защиты беспроводных сетей.
