Защита трафика беспроводных сетей (часть 1)

Несмотря на то, что Wi-Fi уже существует довольно долго, я периодически получаю сообщения по электронной почте от людей, которым интересны различные аспекты безопасности и конфиденциальности при использовании беспроводных сетей. Обычно, мне задают два вопроса:

1. Надежна ли технология Wi-Fi в плане безопасности?
2. Как сделать Wi-Fi безопасной?

Учитывая эти вопросы, я решил воспользоваться возможностью и обсудить безопасность Wi-Fi. Я планирую потратить большую часть статьи на обсуждение рисков, связанных с использованием Wi-Fi. Далее в этом цикле мы обсудим аспекты безопасности, связанные с аппаратным оборудованием, то, как архитектура беспроводной сети влияет на ее безопасность, и, наконец, мы поговорим о механизмах безопасности беспроводной сети, встроенных в Windows Server.

Каковы риски?

Одним из первых правил, касающихся безопасности, является то, что если у вас нет четкого понимания рисков, практически невозможно избежать их. Другими словами, очень сложно разработать приличный план защиты, если вы не знаете, от каких угроз придется защищаться. Учитывая этот принцип, я решил использовать нетрадиционный подход к обсуждению безопасности Wi-Fi.

В большинстве книг и статей о безопасности Wi-Fi, которые мне довелось читать, основное внимание уделено тому, как настраивать точки беспородного доступа, а также общей сетевой архитектуре и ее влиянию на безопасность. Я тоже собираюсь обсудить эти моменты немного позже. Однако сейчас я хочу полностью отступить от темы безопасности. Я хочу поговорить о том, какой тип информации хакер может получить, если в беспроводной сети нет безопасности.

Итак, я понимаю, что это несколько странный подход рассмотрения безопасности Wi-Fi. Однако, как я уже говорил, важно понимать предстоящие риски. Реальный мир полон незащищенных беспроводных сетей. Большинство ваших мобильных пользователей, скорее всего, будут подключаться к незащищенным беспроводным сетям. Эти сети могут быть в аэропортах, гостиницах, кафетериях или даже дома. Суть в том, что даже если вы проделали огромную работу по защите своей беспроводной сети, ваши пользователи все равно могут подвергать конфиденциальные данные риску, подключаясь к внешним сетям, которые абсолютно незащищены.

Проверка подлинности веб сайта

Итак, учитывая все вышесказанное, давайте притворимся, что у нас есть целый офис, полный людей, которые используют абсолютно незащищенные беспроводные сети. Какая информация подвергается риску, если кто-то использует перехватчик пакетов?

Хотя так и хочется сказать, что все будет подвергнуто риску, ответ будет несколько сложнее. Это потому, что вся концепция ИТ безопасности вращается вокруг многоуровневой защиты. Только тот факт, что беспроводное подключение абсолютно незащищено, еще не означает, что другие механизмы защиты, имеющиеся у вас, перестают действовать.

Чтобы показать, что я имею в виду, давайте рассмотрим то, что случиться, если кто-то войдет в Outlook Web App с помощью незащищенного подключения. Если вы незнакомы с Outlook Web App, могу сказать, что это версия Microsoft Outlook на основе веб-технологии, которая идет с Exchange Server 2010.

Outlook Web App создан, чтобы требовать от SSL веб-браузеров использования SSL шифрования. По этой причине, если пользователь входит в Outlook Web App с незащищённой беспроводной сети, вся информация пользователя будет шифроваться, и останется защищённой, как и при использовании проводного подключения к интернету.

Так значит ли это, что не нужно беспокоиться о безопасности Wi-Fi? Конечно же нет! Только тот факт, что Outlook Web App остается защищенным даже при подключении через незащищенную сеть, не означает, что все остальное будет столь же безопасным. Прежде чем перейти к этому моменту, я хочу обсудить то, как такие простые вещи, как веб-сайт, не принадлежащий компании, могут скомпрометировать вашу безопасность.

Задумайтесь только’ Когда пользователь входит на веб сайт, он обычно вводит набор учетных данных. Эти учетные данные не всегда зашифрованы. Например, есть несколько бесплатных сайтов, которые я использую, и которые требуют регистрации, чтобы можно было принимать участие в онлайн обсуждениях на форумах. Эти сайты не содержат конфиденциальной информации, поэтому процесс проверки подлинности не зашифрован.

Вход на такой сайт не представляет собой проблему. Проблема заключается в том, что некоторые пользователи любят использовать одинаковый пароль для всех своих учетных записей. Если пользователь входит на незащищенный веб сайт через беспроводное подключение, то любой другой пользователь с перехватчиком пакетов может перехватить учетные данные этого пользователя. Следующим логичным шагом для хакера будет проверка того, не использует ли этот пользователь такие же учетные данные где-нибудь еще.

Обмен сообщениями

Среди всех приложений, используемых в средах предприятий, самым уязвимым, возможно, является электронная почта. Прежде чем объяснить, почему это так, необходимо указать, что некоторые почтовые системы более надежны по сравнению с другими. Например, Exchange Server 2010 автоматически шифрует обмен сообщениями между собой и другими серверами Exchange 2010.

Когда речь заходит о базовых POP3 и SMTP взаимодействиях, незащищенные Wi-Fi подключения подвергают всю информацию риску. Несмотря на то, что почтовые серверы, содержащие такие протоколы SMTP, POP3 и IMAP4, обычно требуют проверку подлинности, учетные данные, как правило, пересылаются в виде открытого текста, что делает их уязвимыми для перехвата пакетов.

Даже если организация использует зашифрованный процесс проверки подлинности, сами сообщения не зашифрованы, если в организации не реализовано S/MIME шифрование или подобное решение. Поэтому тем, кто выполняет перехват пакетов в эфире, крайне просто перехватить и прочитать почтовый поток. Хакер даже может ответить на перехваченные сообщения, или отправить ложное сообщение от другого лица.

Ресурсы с общим доступом

Еще одной возможной уязвимостью, связанной с использование незащищенных беспроводных сетей является доступ к ресурсам общего доступа. Одним из таких примеров является то, что произошло со мной около пяти лет назад. Работая над чем-то другим, я заметил, что в моем списке доступных беспроводных сетей появилась новая точка доступа. Одного взгляда на название новой точки беспроводного доступа хватило, чтобы убедиться в том, что она принадлежит моему хорошему другу, который живет по соседству. Поскольку мой сосед не защитил свою точку беспроводного доступа, я счел своим долгом продемонстрировать ему всю опасность работы в такой открытой беспроводной сети. Итак, я написал ему короткое сообщение в Microsoft Word с просьбой позвонить мне, и затем распечатал это сообщение с его принтера.

Открытый доступ к общим ресурсам, как правило, не представляет особой проблемы в корпоративных сетях, поскольку контроллеры домена обеспечивают проверку подлинности с использованием загадки/ответа (challenge / response). Если предположить, что ресурсы сервера надежно защищены, действительная уязвимость находится на компьютере пользователя. Если пользователь использует Windows XP, то довольно просто выяснить имя компьютера и подключиться к любым общим ресурсам на этом компьютере.

Заключение

Как вы видите, есть множество уязвимостей, связанных с работой в незащищенных беспроводных сетях (их гораздо больше, чем мы рассмотрели в этой статье). Во второй части мы продолжим обсуждение разговором о том, как ограничивать свое оборудование беспроводной сети.