Algoritmi wpa și wpa2 caracteristici comparative. Care este diferența dintre WPA și WPA2. Experimentarea canalului pe care funcționează rețeaua Wi-Fi

Există multe riscuri periculoase asociate cu protocoalele wireless și metodele de criptare. Astfel, designul robust al diferitelor protocoale de securitate wireless este folosit pentru a le minimiza. Aceste protocoale de securitate wireless asigură prevenirea accesului neautorizat la computere prin criptarea datelor transmise într-o rețea fără fir.

Diferența dintre protocoalele Wi-Fi WPA2, WPA, WEP

Cele mai multe puncte acces wireless au opțiunea de a activa unul dintre cele trei standarde de criptare fără fir:

1. WEP (confidențialitate echivalentă prin cablu)
2. WPA2

WEP sau confidențialitate echivalentă prin cablu

Prima rețea de securitate fără fir a fost WEP sau protocolul Wired Equivalent Privacy. A început cu criptarea pe 64 de biți (slab) și în cele din urmă a mers până la criptarea pe 256 de biți (puternic). Cea mai populară implementare în routere este încă criptarea pe 128 de biți (în mijloc). Aceasta a fost considerată ca posibila solutie până când cercetătorii de securitate au descoperit mai multe vulnerabilități în el, permițând hackerilor să spargă cheia WEP în câteva minute. El a folosit CRC sau Verificarea redundanței ciclice.

Acces protejat WPA sau Wi-Fi

Pentru a depăși deficiențele WEP, WPA a fost dezvoltat ca nou standard securitate pentru protocoale wireless. Pentru a asigura integritatea mesajului, a folosit protocol de integritateTKIP sau Integritatea cheii temporale. Acesta a fost diferit de WEP în anumite privințe, care a folosit CRC sau Cyclic Redundancy Check. TKIP a fost considerat a fi mult mai puternic decât CRC. Utilizarea sa a asigurat că fiecare pachet de date a fost transmis folosind o cheie unică de criptare. Combinația de taste a crescut dificultatea decodării cheilor și, prin urmare, a redus numărul de intruziuni din exterior. Cu toate acestea, ca și WEP, WPA a avut și un dezavantaj. Astfel, WPA a fost extins în WPA 2.

WPA2

WPA 2 este în prezent recunoscut drept cel mai sigur protocol. Una dintre cele mai importante schimbări vizibile între WPA și WPA2 este utilizarea obligatorie a algoritmilor AES (Criptare avansată Standard) și introducere CCMP (Mod Counter Cipher with Blockchain Authentication Code Protocol) ca înlocuitor pentru TKIP. Modul CCM combină modul de confidențialitate (CTR) și autentificarea codului în lanț (CBC-MAC) pentru autentificare. Aceste moduri au fost studiate pe scară largă și s-au dovedit a avea proprietăți criptografice bine înțelese care oferă securitate și performanță bune în software sau hardware astăzi.

Criptarea WPA implică utilizarea unei rețele Wi-Fi securizate. În general, WPA înseamnă Wi-Fi Protected Access, adică protejat.

Majoritatea administratorilor de sistem știu cum să configureze acest protocol și știu multe despre el.

Dar oamenii obișnuiți pot învăța multe despre ce este WPA, cum să-l configureze și cum să-l folosească.

Adevărat, pe Internet puteți găsi multe articole pe acest subiect, din care este imposibil să înțelegeți nimic. Așa că astăzi vom vorbi într-un limbaj simplu O lucruri dificile.

Puțină teorie

Deci, WPA este un protocol, tehnologie, program care conține un set de certificate utilizate în timpul transmiterii.

Pentru a spune simplu, această tehnologie permite utilizarea diferitelor metode pentru Protecție Wi-Fi retelelor.

Ar putea fi cheie electronică, care este, de asemenea, un certificat special de drept de utilizare a acestei rețele (vom vorbi despre asta mai târziu).

În general, cu ajutorul acestui program, doar cei care au dreptul să facă acest lucru vor putea folosi rețeaua și asta este tot ce trebuie să știi.

Pentru referință: Autentificarea este un instrument de securitate care vă permite să stabiliți identitatea unei persoane și dreptul acesteia de a accesa rețeaua comparând datele raportate și așteptate.

De exemplu, o persoană poate fi autentificată atunci când atașează fișierul . Dacă pur și simplu își introduce autentificarea și parola, aceasta este doar autorizare.

Dar o amprentă vă permite să verificați dacă această persoană se conectează cu adevărat și nu cineva i-a luat datele și a intrat cu ajutorul lor.

Orez. 1. Scaner de amprentă pe smartphone-ul dvs

Și, de asemenea, pe diagramă există un WLC - controler fără fir retea locala. În dreapta este serverul de autentificare.

Toate acestea sunt conectate printr-un Switch obișnuit (un dispozitiv care pur și simplu se conectează diferit dispozitive de rețea). Cheia este trimisă de la controler la serverul de autentificare și stocată acolo.

Când un client încearcă să se conecteze la o rețea, trebuie să transmită la LAP o cheie pe care o cunoaște. Această cheie merge la serverul de autentificare și este comparată cu cu cheia potrivită.

Dacă cheile se potrivesc, semnalul se propagă liber către client.

Orez. 2. Exemplu de schemă WPA în Cisco Pocket Tracer

Componentele WPA

După cum am spus mai sus, WPA utilizează chei speciale care sunt generate de fiecare dată când încercați să începeți să transmiteți un semnal, adică porniți Wi-Fi și, de asemenea, schimbați de fiecare dată.

WPA include mai multe tehnologii care ajută la generarea și transmiterea acestor chei.

Figura de mai jos prezintă formula generală, care include toate componentele tehnologiei luate în considerare.

Orez. 3. Formula cu ingrediente WPA

Acum să ne uităm la fiecare dintre aceste componente separat:

• 1X este un standard care este folosit pentru a genera aceeași cheie unică, cu ajutorul căreia are loc autentificarea în viitor.
• EAP este așa-numitul protocol de autentificare extensibilă. Este responsabil pentru formatul mesajelor cu care sunt transmise cheile.
• TKIP este un protocol care a făcut posibilă extinderea dimensiunii cheii la 128 de octeți (anterior, în WEP, era de doar 40 de octeți).
• MIC este un mecanism de verificare a mesajelor (în special, acestea sunt verificate pentru integritate). Dacă mesajele nu îndeplinesc criteriile, acestea sunt trimise înapoi.

Merită spus că acum există deja WPA2, care, pe lângă toate cele de mai sus, folosește și criptarea CCMP și AES.

Nu vom vorbi despre ce este acum, dar WPA2 este mai sigur decât WPA. Asta e tot ce trebuie să știi cu adevărat.

Încă o dată de la început

Deci, ai. Rețeaua folosește tehnologia WPA.

Pentru a se conecta la Wi-Fi, fiecare dispozitiv trebuie să furnizeze un certificat de utilizator sau, mai simplu, o cheie specială emisă de serverul de autentificare.

Abia atunci va putea folosi rețeaua. Asta este!

Acum știi ce este WPA. Acum să vorbim despre ce este bine și ce este rău la această tehnologie.

Avantajele și dezavantajele criptării WPA

Avantajele acestei tehnologii ar include următoarele:

1. Securitate îmbunătățită a transmisiei de date (comparativ cu WEP, predecesorul său, WPA).
2. Control mai strict al accesului la Wi-Fi.
3. Compatibil cu un număr mare dispozitive care sunt utilizate pentru a organiza o rețea fără fir.
4. Management centralizat de securitate. Centrul în acest caz este serverul de autentificare. Din acest motiv, atacatorii nu pot obține acces la datele ascunse.
5. Întreprinderile își pot folosi propriile politici de securitate.
6. Ușor de configurat și utilizat.

Desigur, această tehnologie are și dezavantaje, iar acestea sunt adesea destul de semnificative. În special, despre asta vorbim:

1. O cheie TKIP poate fi spartă în maximum 15 minute. Acest lucru a fost declarat de un grup de specialiști în 2008 la conferința PacSec.
2. În 2009, specialiștii de la Universitatea din Hiroshima au dezvoltat o metodă de a pirata orice rețea care folosește WPA într-un minut.
3. Folosind o vulnerabilitate numită Hole196 de către experți, poți folosi WPA2 cu propria ta cheie, și nu cu cea cerută de serverul de autentificare.
4. În cele mai multe cazuri, orice WPA poate fi spart folosind o simplă căutare a tuturor opțiuni posibile(forța brută), precum și utilizarea așa-numitului atac de dicționar. În al doilea caz, opțiunile sunt folosite nu într-o ordine haotică, ci conform dicționarului.

Desigur, pentru a profita de toate aceste vulnerabilități și probleme, trebuie să aveți cunoștințe speciale în domeniul construcțiilor rețele de calculatoare.

Toate acestea sunt inaccesibile pentru majoritatea utilizatorilor obișnuiți. Prin urmare, nu trebuie să vă faceți griji prea mult pentru ca cineva să obțină acces la Wi-Fi.

Orez. 4. Hoț și computer

WPA2-Enterprise. Cum să creați o rețea Wi-Fi sigură

Problema protecției datelor corporative devine din ce în ce mai presantă în fiecare an. Din ce în ce mai multe date critice sunt transmise prin rețelele wireless, iar securitatea informațiilor (IS) depinde din ce în ce mai mult de calificările specialiștilor IT.

În 2015, pentru prima dată, hackerii din Rusia au reușit să comită trei furturi majore pentru o sumă totală record de 721 de milioane de ruble. Au avut de suferit organizațiile financiare aparent bine protejate. Aceste evenimente semnificative au avut loc pe fondul unei situații economice nefavorabile, ceea ce face dificilă investiția în securitatea informației.

Wi-Fi - o poveste a succesului hackerilor

Inițial, standardul Wi-Fi 802.11 includea un mod de autentificare WEP cu un algoritm de criptare RC4, care folosește o cheie statică sau dinamică obișnuită de 64 sau 128 de biți lungime. WEP a fost spart pentru prima dată în 2000. Calculatorul popular în acei ani procesor Pentium 4 a avut nevoie de aproximativ 1 oră pentru a decripta. Utilizarea resurselor serverelor cloud moderne și a internetului mobil accesibil prin 3G/LTE vă permite să deschideți protecția în câteva secunde.

Fotografia 1: Tipuri de rețele în funcție de puterea criptării

În 2003, a apărut WPA cu algoritmul TKIP, care generează o cheie pentru fiecare pachet. Astăzi, cu puțin noroc, WPA-TKIP poate fi spart în câteva ore. De exemplu, în vara lui 2015, cercetătorii belgieni au reușit să intercepteze module cookie criptate și să obțină acces la un computer în decurs de o oră.

Din 2006, un standard obligatoriu pentru Dispozitive Wi-Fi este suport pentru algoritmul de criptare WPA2 AES mai avansat. Este mai fiabil, așa că nu are rost să folosiți algoritmi anteriori. Cu toate acestea, la fel ca TKIP, acest algoritm poate fi, de asemenea, spart direct prin opțiunile de parolă de forțare brută folosind un dicționar. Software-ul special folosește un atac masiv DDoS pentru a dezactiva punctul de acces. Apoi, emulează funcționarea unui punct cu același SSID. După ce a încercat să autorizeze „victima” la un astfel de moment, hackerul primește funcția hash a tastei PMK-R0. Următorul pas este procesul de selectare a parolei. Parole simple sunt selectate în câteva ore, în timp ce selecția parole complexe poate dura câteva săptămâni sau chiar luni.

Măsuri suplimentare de protecție

Uneori pentru protectie suplimentara rețeaua utilizează filtrarea adresei MAC (un număr unic pentru fiecare unitate activă online). La filtrare, numai dispozitivele ale căror adrese MAC le-a introdus administratorul în tabelul de încredere de pe router sau punct de acces se pot conecta la rețea. În teorie, acest lucru poate împiedica conexiunile neautorizate. Dar, în practică, filtrarea adreselor MAC se întrerupe rapid, de exemplu folosind „ forta bruta„(brute foss), adică scanarea adresei MAC a clientului conectat și atacul ulterior „nerăbdător” numit deautentificare și conectarea dispozitivului cu o adresă MAC modificată.

Astfel, filtrarea adreselor MAC nu este o protecție serioasă, dar în același timp creează multe inconveniente. În special, trebuie să adăugați manual fiecare dispozitiv nou la tabelul de încredere.

Modul ID ascuns SSID de rețea - o modalitate populară de a proteja suplimentar o rețea Wi-Fi. Fiecare rețea are propria sa identificator unic SSID (numele rețelei). În modul de identificare ascuns, dispozitivele client nu văd rețeaua în lista celor disponibile. Vă puteți conecta la o rețea în modul Ascundere SSID numai dacă cunoașteți exact identificatorul acesteia și aveți un profil de conexiune pregătit în prealabil.

Detectarea unei rețele ascunse este destul de ușoară folosind utilitare precum Kismet. Conexiunea în sine rețea ascunsă dezvăluie existența și identificatorul hackerului. Atunci scenariul de hacking este același ca în rețele obișnuite Wifi. După cum puteți vedea, Hide SSID nu este, de asemenea, o metodă fiabilă de protecție, dar creează și probleme. În primul rând, trebuie să conectați manual dispozitivele noi. Pe lângă asta Standarde Wi-Fi furnizat inițial pentru difuzarea SSID-ului deschis, așa că majoritatea dispozitivelor vor avea probleme de conectare automată la Ascunderea SSID-ului. În general, utilizarea unui SSID Ascundere nu este recomandabilă.

Diferențele dintre personal (PSK) și corporativ (Enterprise)

Este necesar să se facă distincția între diferitele abordări pentru furnizarea de rețele personale și corporative. Acasa si in birouri mici De obicei se folosește PSK (Pre-Shared Key) - o parolă de 8 caractere. Această parolă este aceeași pentru toată lumea și este adesea prea simplă, deci este vulnerabilă la ghiciri sau scurgeri (concedierea unui angajat, un laptop dispărut, un autocolant cu o parolă blocată neglijent la vedere etc.). Chiar și cele mai multe ultimii algoritmi criptare la folosind PSK nu garantează o protecție fiabilă și, prin urmare, nu sunt utilizate în rețele serioase. Soluțiile pentru întreprinderi utilizează o cheie dinamică pentru autentificare, care modifică fiecare sesiune pentru fiecare utilizator. Cheia poate fi actualizată periodic în timpul sesiunii folosind un server de autorizare - de obicei un server RADIUS.

WPA2-Enterprise + 802.1X și certificate de securitate - cea mai fiabilă protecție

Rețelele corporative cu criptare WPA2-Enterprise sunt construite pe autentificare folosind protocolul 802.1x prin intermediul unui server RADIUS. Protocolul 802.1x (EAPOL) definește metode pentru trimiterea și primirea cererilor de date de autentificare și este de obicei integrat în sisteme de operareși pachete software speciale.

802.1x își asumă trei roluri în rețea:

• client (solicitant) - un dispozitiv client care are nevoie de acces la rețea;
• server de autentificare (de obicei RADIUS);
• autentificator - un router/comutator care conectează multe dispozitive client la serverul de autentificare și deconectează/conectează dispozitivele client.

Fotografia 3: Diagrama de funcționare WPA2-Enterprise 802.1x

Există mai multe moduri de operare a 802.1x, dar cel mai comun și mai fiabil este următorul:

• Autentificatorul emite o solicitare EAP către dispozitivul client de îndată ce detectează o conexiune activă.
• Clientul trimite un răspuns EAP - un pachet de identificare. Autentificatorul transmite acest pachet către serverul de autentificare (RADIUS).
• RADIUS verifică pachetul și drepturile de acces ale dispozitivului client în raport cu baza de date a utilizatorului sau cu alte criterii și apoi trimite permisiunea sau refuzul autentificatorului pentru a se conecta. În consecință, autentificatorul permite sau interzice accesul la rețea.

Foto 2: Protocoale (metode) interne ale EAP

Utilizarea unui server RADIUS vă permite să abandonați PSK și să generați chei individuale care sunt valabile doar pentru o anumită sesiune de conexiune. Mai simplu spus, cheile de criptare nu pot fi preluate de pe dispozitivul client. Protecția împotriva interceptării pachetelor este asigurată prin criptare folosind diferite protocoale EAP interne, fiecare având propriile sale caracteristici. Astfel, protocolul EAP-FAST vă permite să vă autentificați folosind un login și o parolă, iar PEAP-GTC - folosind un token special (card de acces, carduri cu parole unice, unități flash etc.). Protocoalele PEAP-MSCHAPv2 și EAP-TLS oferă autorizare folosind certificate de client.

Doar certificatele WPA2-Enterprise și de securitate digitală combinate cu EAP-TLS sau EAP-TTLS oferă securitate maximă a rețelei Wi-Fi. Certificatul este fișiere pre-generate pe serverul RADIUS și pe dispozitivul client. Clientul și serverul de autentificare verifică reciproc aceste fișiere, garantând astfel protecție împotriva conexiunilor neautorizate de la dispozitive străine și puncte de acces false. Protocoalele EAP-TTL/TTLS fac parte din standardul 802.1X și folosesc infrastructura RADIUS pentru a face schimb de date între client și RADIUS chei publice(PKI). PKI este utilizat pentru autorizare cheie secretă(cunoscută de utilizator) și o cheie publică (stocată în certificat, potențial cunoscută de toată lumea). Combinația acestor chei oferă o autentificare puternică.

Certificatele digitale trebuie create pentru fiecare dispozitiv wireless. Acesta este un proces care consumă mult timp, astfel încât certificatele sunt utilizate de obicei numai în rețelele Wi-Fi care necesită protectie maxima. În același timp, puteți revoca cu ușurință certificatul și blocați clientul.

Astăzi, WPA2-Enterprise, combinat cu certificate de securitate, oferă protecţie fiabilă rețelele Wi-Fi corporative. La setare corectă iar în utilizare, este aproape imposibil să piratați o astfel de protecție „din stradă”, adică fără acces fizic la dispozitivele client autorizate. Cu toate acestea, administratorii de rețea fac uneori greșeli care lasă „lacune” atacatorilor să pătrundă în rețea. Problema este complicată de disponibilitatea software-ului de hacking și instrucțiuni pas cu pas, pe care o pot folosi chiar și amatorii.

Software-ul hacker este disponibil pentru toată lumea

WPA2-Enterprise cu autentificare de autentificare și parolă fără a utiliza certificate poate fi piratat folosind distribuția de hackeri Kali Linux și un card Wi-Fi în modul punct de acces. Esența hack-ului este crearea unui punct de acces fals cu un server RADIUS pentru a primi pachete EAP și a vă conecta la o rețea securizată. Crearea unui punct fals nu este o problemă astăzi cu ajutorul unor utilități precum Mana Toolkit integrat în Kali.

Fotografia 4: Atacatorii folosesc de obicei un smartphone cu un card conectat și versiunea mobilă Kali NetHunter

Folosind un punct de acces MANA fals, hackerul obține hash-uri de parole și autentificări ale utilizatorilor rețelei, apoi folosește forța brută pentru a ghici parolele pe un computer puternic. Acest lucru se realizează destul de rapid datorită puterii mari de calcul a procesoarelor moderne. În plus, există algoritmi pentru parole de forțare brută folosind plăcile video GPU, ceea ce accelerează procesul cu câteva ore.

Drept urmare, hackerul obține acces la conturile de conectare în rețeaua Wi-Fi sau VPN corporativă.

Pentru a preveni astfel de atacuri, este necesar să folosiți certificate de securitate pe toate dispozitivele mobile și desktop care au acces la rețea. De asemenea, nu este recomandat să folosiți certificate autosemnate, adică cele create de administratorul de rețea. Faptul este că atunci când conectează dispozitive noi, utilizatorii de încredere pot vedea mesaje despre potențiala nesiguranță a certificatelor autosemnate. După ce s-a obișnuit cu astfel de mesaje, este posibil ca utilizatorul să nu acorde atenție mesajului care apare atunci când se conectează la un punct de acces fals. Pentru o protecție maximă, este mai bine să folosiți certificate de la furnizori oficiali.

„Omul de la mijloc” este principala amenințare

Un atac de hacker numit „Man in the middle” (sau MITM pe scurt) este cea mai serioasă amenințare pentru o întreprindere WPA2 bine organizată, cu certificate de securitate.

Fotografia 5: Esența atacului „om în mijloc”: hackerul transformă o conexiune directă sigură în două diferite cu clientul hacker la mijloc

Schema este foarte simplă: la cererea unei chei publice nu răspunde un utilizator de încredere, ci un intermediar care se pretinde a fi un utilizator de încredere. Computerul atacatorului acționează ca un server PROXY. Ca urmare, are loc un schimb informații confidențiale, iar un atacator poate intercepta, falsifica, șterge sau modifica pachete de date.

O schemă similară de introducere a comunicațiilor confidențiale a fost inventată chiar înainte de Internet - pe vremea scrisorilor pe hârtie, când scrisorile originale au fost înlocuite cu altele false pe parcurs.

Introducerea în rețea se face printr-un sistem deja autorizat cont, adică necesită o piratare inițială a rețelei Wi-Fi. Cu alte cuvinte, pentru un atac de succes, un hacker trebuie să găsească punct slabîntr-o rețea WPA2-Enterprise. De obicei, acesta este un atac printr-un punct de acces necinstite, așa cum este descris mai sus, sau un dispozitiv autorizat fără certificate de securitate instalate. Un atac prin HTTPS este și mai simplu: browserul stabilește o conexiune SSL protejată prin certificat cu un om-in-the-middle, iar atacatorul stabilește o altă conexiune SSL cu serverul web. Browserul avertizează utilizatorul că certificatul SSL este nesigur, dar acest avertisment este adesea ignorat.

Astfel de atacuri sunt deosebit de periculoase pentru sistemele financiare care efectuează plăți prin sisteme de plată online. Un hacker poate infecta cod rău intenționat e-mailuri, pagini web, DBMS, acces online banking, conturi de social media, site-uri CMS etc.

Protecție față de intermediar

Atacul MITM nu este arma supremă a unui hacker. Dacă sunt îndeplinite toate cerințele de securitate a informațiilor, introducerea unui intermediar este imposibilă.

În primul rând, pentru un atac ascuns, omul din mijloc trebuie să intercepteze toate mesajele dintre client și server, adică să fie continuu în aria de acoperire a rețelei Wi-Fi corporative.

Prin urmare, atunci când implementați o rețea wireless, este important să contactați specialiști și să o proiectați cu o acoperire minimă în afara clădirii (comandați planificare radio - http://site/pred_obsledovanie/). Există și vulnerabilități neevidente. De exemplu, un utilizator poate aduce o tastatură wireless (pentru smartphone-uri, PC-uri) la birou, ceea ce creează riscul de interceptare de la distanță a numelui de utilizator și a parolei. Pentru a preveni astfel de cazuri, ar trebui să utilizați numai tastaturi cu fir sau speciale tastaturi fără fir cu criptare AES încorporată. Atunci utilizarea keylogger-urilor devine imposibilă.

De asemenea, angajații ar trebui să fie conștienți de certificatele nesigure pentru a evita să devină o victimă a conectării la un punct de acces fals. Certificatele SSL pentru client și server trebuie verificate de o autoritate de certificare de încredere pentru a preveni atacurile HTTP să preia conturile de pe site-uri web, inclusiv de serviciile bancare online ale organizației.

Un loc special în prevenirea MITM îl ocupă refuzul de a utiliza filtrarea ssl-bump. Este adesea folosit în birouri pentru a interzice intrarea pe anumite site-uri (rețele sociale, resurse de divertisment etc.). Într-o conexiune sigură, traficul este criptat pe partea destinatarului și a expeditorului, iar atunci când se utilizează filtrarea ssl-bump, este criptat la gateway. Adică, filtrarea ssl-bump în sine este un atac MITM peste HTTP. În primul rând, acest lucru ridică întrebări juridice despre acces ascuns administrator de rețea la datele personale ale angajaților, cum ar fi conturile de rețele sociale sau serviciile bancare online. Dar, cel mai important, ssl-bump „deschide poarta” pentru un hacker care trebuie doar să ia în posesia poarta de acces. De altfel, administratorul însuși efectuează toate operațiunile pregătitoare pentru un atac asupra rețelei sale.

Concluzie: Prin urmare, pregătirea specialiştilor şi utilizare eficientă tehnologiile existente de protecție a datelor. Astfel, criptarea WPA2-Enterprise poate deveni o barieră de nepătruns pentru atacatori dacă știi să o organizezi corect. Încredințați problema securității informațiilor unor profesioniști!

Am nevoie de un sfat. Contactați-mă.

Astăzi nu poate fi numită ceva ieșit din comun. Cu toate acestea, mulți utilizatori (în special proprietarii de dispozitive mobile) se confruntă cu problema ce sistem de securitate să folosească: WEP, WPA sau WPA2-PSK. Vom vedea acum ce fel de tehnologii sunt acestea. Cu toate acestea, cea mai mare atenție va fi acordată WPA2-PSK, deoarece această protecție este cea mai solicitată astăzi.

WPA2-PSK: ce este?

Să spunem imediat: acesta este un sistem pentru a proteja pe oricine conexiune locală la o rețea wireless bazată pe WI-Fi. Acest lucru nu are nimic de-a face cu sistemele cu fir bazate pe plăci de rețea care utilizează o conexiune directă folosind Ethernet.

Cu ajutorul tehnologiei, WPA2-PSK este cel mai „avansat” astăzi. Chiar și metodele oarecum învechite care necesită un nume de utilizator și o parolă și, de asemenea, implică criptarea datelor confidențiale în timpul transmiterii și recepționării, uite, pentru a le spune ușor, cum ar fi baby talk. Și iată de ce.

Tipuri de protecție

Deci, să începem cu faptul că până de curând cel mai mult tehnologie sigură Structura WEP a fost considerată pentru a proteja conexiunea. A folosit verificarea integrității cheii atunci când a conectat orice dispozitiv fără fir și a fost un standard IEEE 802.11i.

Protecția rețelei WiFi WPA2-PSK funcționează, în principiu, aproape la fel, dar verifică cheia de acces la nivelul 802.1X. Cu alte cuvinte, sistemul verifică toate opțiunile posibile.

Cu toate acestea, există o tehnologie mai nouă numită WPA2 Enterprise. Spre deosebire de WPA, necesită nu numai o cheie de acces personală, ci și prezența unui server Radius care oferă acces. Mai mult, un astfel de algoritm de autentificare poate funcționa simultan în mai multe moduri (de exemplu, Enterprise și PSK, folosind criptarea la nivel AES CCMP).

Protocoale de bază de protecție și securitate

La fel ca cele din trecut, metodele moderne de securitate folosesc același protocol. Acesta este TKIP (sistem de securitate bazat pe actualizare WEP) softwareși algoritmul RC4). Toate acestea necesită introducerea unei chei temporare pentru a accesa rețeaua.

După cum a arătat utilizarea practică, un astfel de algoritm singur nu a furnizat conexiuni deosebit de sigure la o rețea fără fir. Acesta este motivul pentru care au fost dezvoltate noi tehnologii: mai întâi WPA și apoi WPA2, completate de PSK ( cheia personală acces) și TKIP (cheie temporară). În plus, aici au fost incluse și datele din timpul recepției și transmisiei, cunoscute astăzi ca standardul AES.

Tehnologie învechită

Tipul de securitate WPA2-PSK este relativ nou. Înainte de aceasta, după cum sa menționat mai sus, sistemul WEP a fost utilizat în combinație cu TKIP. Protecția TKIP nu este altceva decât un mijloc de creștere a adâncimii de biți a cheii de acces. Momentan se crede că modul de bază vă permite să măriți cheia de la 40 la 128 de biți. Cu toate acestea, puteți schimba și o singură cheie WEP cu mai multe chei diferite, generate și trimise automat de serverul însuși, care autentifică utilizatorul la autentificare.

În plus, sistemul în sine implică utilizarea unei ierarhii stricte a distribuției cheilor, precum și a unei tehnici care vă permite să scăpați de așa-numita problemă de predictibilitate. Cu alte cuvinte, atunci când, să zicem, pentru o rețea fără fir care utilizează securitatea WPA2-PSK, parola este setată sub forma unei secvențe precum „123456789”, nu este greu de ghicit că aceleași programe generatoare de chei și parole, numite de obicei KeyGen sau ceva de genul acesta, Când introduceți primele patru caractere, următoarele patru caractere pot fi generate automat. Aici, după cum se spune, nu trebuie să fii o persoană unică pentru a ghici tipul de secvență folosit. Dar acesta, după cum probabil s-a înțeles deja, este cel mai simplu exemplu.

În ceea ce privește data de naștere a utilizatorului în parolă, acest lucru nu este deloc discutat. Puteți fi ușor identificat folosind aceleași date de înregistrare în rețelele sociale. Parolele digitale de acest tip în sine sunt absolut nesigure. Este mai bine să folosiți numere, litere, precum și simboluri (puteți folosi chiar și pe cele care nu sunt imprimabile dacă specificați o combinație de taste „hot”) și spațiu. Cu toate acestea, chiar și cu această abordare, WPA2-PSK poate fi spart. Aici este necesar să se explice metodologia de operare a sistemului în sine.

Algoritm de acces tipic

Acum câteva cuvinte despre sistemul WPA2-PSK. În ce constă asta aplicare practică? Aceasta este o combinație de mai mulți algoritmi, ca să spunem așa, în modul de funcționare. Să explicăm situația cu un exemplu.

În mod ideal, succesiunea de execuție a procedurii de protejare a conexiunii și de criptare a informațiilor transmise sau primite se rezumă la următoarele:

WPA2-PSK (WPA-PSK) + TKIP + AES.

În acest caz, rolul principal este jucat de cheia publică (PSK) cu o lungime de la 8 la 63 de caractere. În ce secvență exactă vor fi utilizați algoritmii (dacă criptarea are loc mai întâi, sau după transmitere, sau în procesul folosind chei intermediare aleatorii etc.) nu este important.

Dar chiar și cu protecție și un sistem de criptare la nivel AES 256 (adică adâncimea de biți a cheii de criptare), piratarea WPA2-PSK pentru hackeri cunoscători în această problemă va fi o sarcină dificilă, dar posibilă.

Vulnerabilitate

În 2008, la conferința PacSec, a fost prezentată o tehnică care permite hacking-ul conexiune fără firși citiți datele transmise de la router către terminalul client. Toate acestea au durat aproximativ 12-15 minute. Cu toate acestea, nu a fost posibilă piratarea transmisiei inverse (client-router).

Faptul este că atunci când modul router QoS este pornit, nu numai că puteți citi informațiile transmise, ci și le puteți înlocui cu informații false. În 2009, experții japonezi au prezentat o tehnologie care ar putea reduce timpul de hacking la un minut. Și în 2010, pe internet au apărut informații conform cărora cel mai simplu mod de a pirata modulul Hole 196 prezent în WPA2 este să folosești propria cheie privată.

Nu se vorbește despre vreo interferență cu cheile generate. În primul rând, un așa-numit atac de dicționar este folosit în combinație cu forța brută, iar apoi spațiul este scanat conexiune fără firîn scopul interceptării pachetele transmiseși înregistrarea lor ulterioară. Este suficient ca utilizatorul să facă o conexiune, iar acesta este imediat dezautorizat și transmisia pachetelor inițiale este interceptată (strângere de mână). După aceasta, nici măcar nu trebuie să fii aproape de punctul de acces principal. Puteți lucra cu ușurință offline. Cu toate acestea, pentru a efectua toate aceste acțiuni veți avea nevoie de software special.

Cum să piratați WPA2-PSK?

Din motive evidente, algoritmul complet pentru piratarea unei conexiuni nu va fi dat aici, deoarece acesta poate fi folosit ca un fel de instrucțiune pentru acțiune. Să ne oprim doar asupra punctelor principale și apoi numai în termeni generali.

De regulă, atunci când accesați direct routerul, acesta poate fi comutat la așa-numitul mod Airmon-NG pentru a monitoriza traficul (airmon-ng start wlan0 - redenumirea adaptorului wireless). După aceasta, traficul este capturat și înregistrat utilizând comanda airdump-ng mon0 (urmărirea datelor canalului, viteza beaconului, viteza și metoda de criptare, cantitatea de date transferată etc.).

În continuare, se folosește comanda de remediere a canalului selectat, după care se introduce comanda Aireplay-NG Deauth cu valori însoțitoare (acestea nu sunt date din motive de legalitate a utilizării unor astfel de metode).

După aceasta (când utilizatorul a fost deja autorizat la conectare), utilizatorul poate fi pur și simplu deconectat de la rețea. În acest caz, atunci când vă conectați din nou din partea de hacking, sistemul va repeta autorizarea de conectare, după care va fi posibilă interceptarea tuturor parolelor de acces. În continuare, va apărea o fereastră cu o „strângere de mână”. Apoi puteți aplica lansarea dosar special WPACrack, care vă permite să spargeți orice parolă. Desigur, nimeni nu va spune nimănui exact cum este lansat. Să remarcăm doar că, dacă aveți anumite cunoștințe, întregul proces durează de la câteva minute la câteva zile. De exemplu, un procesor la nivel Intel care rulează pe standard frecvența ceasului 2,8 GHz, capabil să proceseze nu mai mult de 500 de parole pe secundă sau 1,8 milioane pe oră. În general, așa cum este deja clar, nu trebuie să vă amăgiți.

În loc de postfață

Asta este pentru WPA2-PSK. Ce este, probabil, nu va fi clar de la prima lectură. Cu toate acestea, cred că orice utilizator va înțelege elementele de bază ale protecției datelor și sistemele de criptare utilizate. Mai mult, astăzi aproape toți proprietarii se confruntă cu această problemă. gadgeturi mobile. Ați observat vreodată că atunci când creați o nouă conexiune pe același smartphone, sistemul sugerează utilizarea unui anumit tip de securitate (WPA2-PSK)? Mulți pur și simplu nu acordă atenție acestui lucru, dar în zadar. În setările avansate puteți folosi suficient număr mare parametri suplimentari pentru îmbunătățirea sistemului de securitate.

Recent, au apărut multe publicații „dezvăluitoare” despre piratarea unui alt protocol sau tehnologie care compromite securitatea rețelelor wireless. Este cu adevărat așa, de ce ar trebui să vă fie teamă și cum vă puteți asigura că accesul la rețeaua dvs. este cât mai sigur posibil? Cuvintele WEP, WPA, 802.1x, EAP, PKI înseamnă puțin pentru tine? Acest scurtă recenzie va contribui la reunirea tuturor tehnologiilor aplicabile de criptare și autorizare a accesului radio. Voi încerca să arăt că o rețea wireless configurată corespunzător reprezintă o barieră de netrecut pentru un atacator (până la o anumită limită, desigur).

Bazele

Orice interacțiune între punctul de acces (rețea) și client wireless, construit pe:

• Autentificare- modul în care clientul și punctul de acces se prezintă unul față de celălalt și confirmă că au dreptul de a comunica unul cu celălalt;
• Criptare- ce algoritm de codificare pentru datele transmise este utilizat, cum este generată cheia de criptare și când se modifică.

Parametrii unei rețele fără fir, în primul rând numele acesteia (SSID), sunt anunțați în mod regulat de punctul de acces în pachete de semnalizare. Pe lângă setările de securitate așteptate, se transmit solicitări pentru QoS, parametri 802.11n, viteze acceptate, informații despre alți vecini etc. Autentificarea determină modul în care clientul se prezintă la obiect. Opțiuni posibile:

• Deschide- așa-numitul rețea deschisă, în care toate dispozitivele conectate sunt autorizate simultan
• Partajat- autenticitatea dispozitivului conectat trebuie verificată cu o cheie/parolă
• EAP- autenticitatea dispozitivului conectat trebuie verificată folosind protocolul EAP de către un server extern

Deschiderea rețelei nu înseamnă că oricine poate lucra cu ea cu impunitate. Pentru a transmite date într-o astfel de rețea, algoritmul de criptare utilizat trebuie să se potrivească și, în consecință, conexiunea criptată trebuie stabilită corect. Algoritmii de criptare sunt:

• Nici unul- fără criptare, datele sunt transmise în text clar
• WEP- cifrare bazată pe algoritmul RC4 cu diferite lungimi de chei statice sau dinamice (64 sau 128 de biți)
• CKIP- înlocuire proprietară pentru WEP Cisco, versiunea timpurie a TKIP
• TKIP- Înlocuire WEP îmbunătățită cu verificări și protecție suplimentare
• AES/CCMP- cel mai avansat algoritm bazat pe AES256 cu verificări și protecție suplimentare

Combinaţie Deschideți autentificare, fără criptare utilizat pe scară largă în sisteme acces oaspeților cum ar fi furnizarea de internet într-o cafenea sau hotel. Pentru a vă conecta, trebuie doar să știți numele rețelei wireless. Adesea această conexiune este combinată cu verificare suplimentară către Portalul Captiv prin redirecționarea solicitării HTTP a utilizatorului către pagină suplimentară, unde puteți solicita confirmare (login-parolă, acord cu regulile etc.).

Criptare WEP este compromisă și nu poate fi utilizată (chiar și în cazul cheilor dinamice).

Termeni care apar frecvent WPAŞi WPA2 determina, de fapt, algoritmul de criptare (TKIP sau AES). Datorită faptului că adaptoarele client acceptă WPA2 (AES) de ceva timp, nu are rost să folosiți criptarea TKIP.

Diferența între WPA2 PersonalŞi WPA2 Enterprise de unde provin cheile de criptare folosite în mecanică algoritmul AES. Pentru aplicațiile private (acasă, mici), se utilizează o cheie statică (parolă, cuvânt cod, PSK (Pre-Shared Key)) cu o lungime minimă de 8 caractere, care este setată în setările punctului de acces și este aceeași pentru toți clienții unei rețele wireless date. Compromisul unei astfel de chei (au vărsat boabele unui vecin, un angajat a fost concediat, un laptop a fost furat) necesită o schimbare imediată a parolei pentru toți utilizatorii rămași, ceea ce este realist doar dacă există un număr mic de ei. Pentru aplicațiile corporative, după cum sugerează și numele, este utilizată o cheie dinamică, individuală pentru fiecare client care rulează în prezent. Această cheie poate fi actualizată periodic în timpul funcționării fără întreruperea conexiunii și este responsabilă pentru generarea acesteia componentă suplimentară- un server de autorizare și aproape întotdeauna acesta este un server RADIUS.

Toate parametrii posibili informațiile de siguranță sunt rezumate în această placă:

În timp ce WPA2 Personal (WPA2 PSK) este clar, o soluție de întreprindere necesită o atenție suplimentară.

WPA2 Enterprise

Aici avem de-a face cu un set suplimentar de protocoale diferite. Pe partea de client, o componentă software specială, solicitantul (de obicei parte a sistemului de operare) interacționează cu partea de autorizare, serverul AAA. ÎN în acest exemplu afișează funcționarea unei rețele radio unificate construite pe puncte de acces ușoare și un controler. În cazul utilizării punctelor de acces cu „creiere”, întregul rol de intermediar între clienți și server poate fi preluat de punctul însuși. În acest caz, datele solicitantului client sunt transmise prin radioul format în protocolul 802.1x (EAPOL), iar pe partea controlerului sunt împachetate în pachete RADIUS.

Utilizarea mecanismului de autorizare EAP în rețeaua dvs. duce la faptul că, după autentificarea cu succes (aproape sigur deschisă) a clientului de către punctul de acces (împreună cu controlorul, dacă există), acesta din urmă cere clientului să autorizeze (confirmă autoritatea acestuia) cu serverul de infrastructură RADIUS:

Utilizare WPA2 Enterprise necesită un server RADIUS în rețeaua dvs. În prezent, cele mai eficiente produse sunt următoarele:

• Microsoft Network Policy Server (NPS), fost IAS- configurat prin MMC, gratuit, dar trebuie să cumpărați Windows
• Cisco Secure Access Control Server (ACS) 4.2, 5.3- poate fi configurat printr-o interfață web, este sofisticat în funcționalitate, vă permite să creați sisteme distribuite și tolerante la erori, este costisitor
• FreeRADIUS- gratuit, configurat folosind configurații text, nu este convenabil de gestionat și monitorizat

În acest caz, controlorul monitorizează cu atenție schimbul de informații în curs și așteaptă autorizarea sau refuzul cu succes a acestuia. Dacă are succes, serverul RADIUS poate transfera parametri suplimentari către punctul de acces (de exemplu, în ce VLAN să plaseze abonatul, ce adresă IP să-l atribuie, profilul QoS etc.). La sfârșitul schimbului, serverul RADIUS permite clientului și punctului de acces să genereze și să schimbe chei de criptare (individuale, valabile doar pentru această sesiune):

EAP

Protocolul EAP în sine este containerizat, adică mecanismul de autorizare propriu-zis este lăsat la latitudinea utilizatorului protocoale interne. Pe momentul prezent Următoarele au primit o distribuție semnificativă:

• EAP-RAPID(Flexible Authentication via Secure Tunneling) - dezvoltat de Cisco; permite autorizarea folosind un login și o parolă transmise în tunelul TLS între solicitant și serverul RADIUS
• EAP-TLS(Transport Layer Security). Utilizează o infrastructură de cheie publică (PKI) pentru a autoriza clientul și serverul (subiect și server RADIUS) prin certificate emise de o autoritate de certificare (CA) de încredere. Necesită emiterea și instalarea de certificate de client pe fiecare dispozitiv wireless, deci este potrivit doar pentru un mediu corporativ gestionat. Windows Certificate Server are facilități care permit clientului să-și genereze propriul certificat dacă clientul este membru al unui domeniu. Blocarea unui client se poate face cu ușurință prin revocarea certificatului acestuia (sau prin conturi).
• EAP-TTLS(Tunneled Transport Layer Security) este similar cu EAP-TLS, dar nu necesită un certificat de client la crearea unui tunel. Într-un astfel de tunel, similar unei conexiuni SSL de browser, se efectuează o autorizare suplimentară (folosind o parolă sau altceva).
• PEAP-MSCHAPv2(EAP protejat) - similar cu EAP-TTLS în ceea ce privește stabilirea inițială a unui tunel TLS criptat între client și server, necesitând un certificat de server. Ulterior, autorizarea are loc într-un astfel de tunel folosind binecunoscutul protocol MSCHAPv2.
• PEAP-GTC(Generic Token Card) - similar cu cel precedent, dar necesită carduri parole unice(și infrastructura aferentă)

Toate aceste metode (cu excepția EAP-FAST) necesită un certificat de server (pe serverul RADIUS) emis de o autoritate de certificare (CA). În acest caz, certificatul CA în sine trebuie să fie prezent pe dispozitivul clientului în grupul de încredere (care este ușor de implementat folosind politica de grup pe Windows). În plus, EAP-TLS necesită un certificat de client individual. Autentificarea clientului se realizează după cum urmează: semnătură digitală, deci (opțional) prin compararea certificatului furnizat de client către serverul RADIUS cu ceea ce serverul a preluat din infrastructura PKI (Active Directory).

Suportul pentru oricare dintre metodele EAP trebuie să fie furnizat de un solicitant de partea clientului. Standardul încorporat Windows XP/Vista/7, iOS, Android oferă cel puțin EAP-TLS și EAP-MSCHAPv2, ceea ce face ca aceste metode să fie populare. Adaptoarele client Intel pentru Windows vin cu un utilitar ProSet care se extinde lista disponibila. Clientul Cisco AnyConnect face același lucru.

Cât de fiabil este?

La urma urmei, ce este nevoie pentru ca un atacator să-ți pirateze rețeaua?

Pentru autentificare deschisă, fără criptare - nimic. Conectat la rețea și atât. Deoarece mediul radio este deschis, semnalul circulă înăuntru laturi diferite, blocarea nu este ușoară. Dacă aveți adaptoare client adecvate care vă permit să ascultați emisiunea, trafic de rețea vizibil ca și cum atacatorul s-ar fi conectat la fir, la hub, la portul SPAN al switch-ului.
Criptarea bazată pe WEP necesită doar timp de forță brută IV și unul dintre multele utilitare de scanare disponibile gratuit.
Pentru criptarea bazată pe TKIP sau AES, decriptarea directă este posibilă în teorie, dar în practică nu au existat cazuri de hacking.

Desigur, puteți încerca să ghiciți cheia PSK sau parola pentru una dintre metodele EAP. Nu există atacuri comune cunoscute împotriva acestor metode. Puteți încerca să utilizați metode inginerie socială, sau criptoanaliza termorectală.

Puteți obține acces la o rețea protejată de EAP-FAST, EAP-TTLS, PEAP-MSCHAPv2 numai dacă cunoașteți parola de conectare a utilizatorului (piratarea ca atare este imposibilă). Atacurile cu forță brută prin parolă sau atacurile care vizează vulnerabilitățile din MSCHAP nu sunt, de asemenea, posibile sau dificile din cauza faptului că canalul EAP client-server este protejat de un tunel criptat.

Accesul la o rețea închisă de PEAP-GTC este posibil fie prin piratarea serverului de token, fie prin furtul jetonului împreună cu parola acestuia.

Accesul la o rețea închisă de EAP-TLS este posibil prin furtul unui certificat de utilizator (împreună cu cheia sa privată, desigur) sau prin eliberarea unui certificat valid, dar fals. Acest lucru este posibil doar dacă centrul de certificare este compromis, care în companiile normale este protejat ca cea mai valoroasă resursă IT.

Deoarece toate metodele de mai sus (cu excepția PEAP-GTC) permit stocarea (caching) parolelor/certificatelor, atunci când un dispozitiv mobil este furat, atacatorul primește acces complet fără întrebări din rețea. Ca măsură preventivă, complet criptare hard disc cu o cerere de parolă la pornirea dispozitivului.

Amintiți-vă: cu un design adecvat, o rețea fără fir poate fi foarte sigură; Nu există mijloace de a pirata o astfel de rețea (într-o anumită măsură)