27/3/2010. Ασφάλεια Ασύρματων & Κινητών Επικοινωνιών. Περιεχόμενα εισαγωγή /1 ΙΕΕΕ Εισαγωγή. Λειτουργικό μοντέλο 802.

Transcript

1 Ασφάλεια Ασύρματων & Κινητών Επικοινωνιών Ασύρματες Επικοινωνίες Μέρος I Χρήστος Ξενάκης Τμήμα Ψηφιακών Συστημάτων Πανεπιστήμιο Πειραιώς Slide: 1/30 Περιεχόμενα ΙΕΕΕ Εισαγωγή Λειτουργικό μοντέλο Στοίβα πρωτοκόλλων του Δομή πλαισίων Υπηρεσίες Slide: 2/ εισαγωγή /1 Ανήκει στην οικογένεια των προτύπων IEEE 802 Περιλαμβάνει το IEEE Ethernet. Τα ασύρματα τοπικά δίκτυα συχνά αναφέρονται ως Wi-Fi Wireless Fidelity (Ψηφιακή φ Πιστότητα) ) Δίνει τη δυνατότητα σύνδεσης με το Διαδίκτυο (Internet) Σύνδεση με άλλα ετερογενή δίκτυα όπως τα κινητά δίκτυα επικοινωνιών δεύτερης (2/2.5G) και τρίτης γενιάς (3G). Slide: 3/30 1

2 εισαγωγή /2 Οι ασύρματη τεχνολογία πρόσβασης Αντικαθιστά ή επεκτείνει το Ethernet επιτρέπει στον κινούμενο χρήστη την ασύρματη μετάδοση και λήψη δεδομένων. Οι αναλυτές της εταιρείας Gartner προβλέπουν ότι μέχρι το έτος 2008 θα υπάρχουν περισσότερα από 167 χιλιάδες hot-spots δημόσιας πρόσβασης (public access) σε όλη την υφήλιο. Slide: 4/ εισαγωγή /3 Το αποτελείται από: Σημείο πρόσβασης (Access Point): γέφυρα μεταξύ του ενσύρματου και του ασύρματου δικτύου. Σύστημα διανομής (Distribution System): ενώνει τα διάφορα AP του ίδιου δικτύου Ασύρματο μέσο μετάδοσης (Wireless Medium): ραδιοσυχνότητες είτε υπέρυθρες ακτίνες Σταθμοί (Stations): φορητές συσκευές φορητοί υπολογιστές (laptops) υπολογιστές παλάμης (PDAs) κ.α. Slide: 5/ εισαγωγή /4 Βασική δομική μονάδα κάθε Basic Service Set (BSS) μία ομάδα σταθμών που επικοινωνούν μεταξύ τους. όρια του BSS περιοχή ραδιοκάλυψης, ονομάζεται Basic Service Area (BSA). BSA_2 AP_4 Χρήστης AP_2 Χρήστης Εξυπηρετητής BSA_1 AP_1 Χρήστης Χρήστης AP_3 Slide: 6/30 2

3 εισαγωγή /5 Αρχιτεκτονική - τοπολογία των WLANs, δύο οργανωτικές μορφές: Τη δομημένη (Infrastructure mode) καλείται τεχνικά και με τον όρο Extended Service Set (ESS) απαιτεί τη χρήση AP(s), ευρεία κάλυψη, σύνδεση με το Διαδίκτυο, υπηρεσίες περιαγωγής (roaming) μεταξύ ομοιογενών αλλά και ετερογενών δικτύων διαφορετικών παρόχων (providers) τυχαία (Ad-Hoc mode). Independent BSS (IBSS) δεν απαιτεί τη χρήση AP, κάθε σταθμός μπορεί να εκπέμψει απευθείας σε οποιοδήποτε άλλο βρίσκεται μέσα στην εμβέλειά του. το ασύρματο δίκτυο θα πρέπει να είναι δυνατό να «στηθεί» οπουδήποτε και σε ελάχιστο χρόνο. Slide: 7/ εισαγωγή /6 Από πλευράς ασφάλειας στη δομημένη μορφή οργάνωσης μπορούν να αναπτυχθούν καλύτερα πολιτικές ασφαλείας. Slide: 8/ εισαγωγή /7 Για την εξέλιξη του δημιουργήθηκαν διάφορα υπο-πρότυπα. IEEE a: Ζώνη συχνοτήτων των 5 GHz, OFDM, < 54 Μbps. IEEE b: Ζώνη των 2.4 GHz, DSSS, < 11Μbps. IEEE e: Εγγυήσεις Quality of Service, QoS. IEEE f: Κινητικότητα των σταθμών μέσα σε ένα IP δίκτυο (Intra - network Handover). Το πρωτόκολλο Inter-Access Point Protocol (IAPP) IEEE g: Επεκτείνει το b για ταχύτητες < = 54 Μbps. IEEE i: θέματα ασφάλειας στα WLANs. IEEE h: Έλεγχος συγκρούσεων (collisions) στο α IEEE n: Προσπάθειες αύξησης της ταχύτητας των a, b, and g στα 108 Mbps. Δεν είναι ακόμα επίσημο. Slide: 9/30 3

4 Λειτουργικό μοντέλο /1 Μόλις ενεργοποιηθεί το τερματικό του χρήστη (Station, STA) θα αναζητήσει ασύρματα δίκτυα προκειμένου να συνδεθεί. Κάθε AP κάνει γνωστή την ύπαρξή του με σύντομα ραδιο-μηνύματα Ονομάζονται φάροι (beacon frames) 10 φορές έως 100 φορές το δευτερόλεπτο επιτρέπουν σε κάθε STA να ανακαλύψει την ταυτότητα των APs. Πολλές φορές ένα STA είναι προ-διαμορφωμένο να αναζητά συγκεκριμένο(α) δίκτυα (APs) Η διαδικασία ανακάλυψης των AP, δηλαδή των beacons, ονομάζεται σάρωση (scanning). Slide: 10/30 Λειτουργικό μοντέλο /2 Συνήθως, το STA θα προσπαθήσει να συνδεθεί στο AP που διαθέτει το πιο ισχυρό σήμα. Αρχικά, αποστέλλει μια αίτηση σύνδεσης στο AP authentication request message. Αν το AP δεν χρησιμοποιεί μηχανισμούς ασφαλείας θα αποστείλει ένα μήνυμα αποδοχής authentication i response Ακολούθως, το STA αποστέλλει μια αίτηση συσχέτισης στο AP association request Το AP απαντάει με ένα μήνυμα ένδειξη επιτυχούς συσχέτισης και σύνδεσης στο δίκτυο association response Slide: 11/30 Λειτουργικό μοντέλο /3 H διαδικασία σύνδεσης (συσχέτισης) συνοψίζεται στα ακόλουθα βήματα: 1. Ο σταθμός αναζητά και επιλέγει ένα αναγνωριστικό δικτύου SSID 2. Ο σταθμός αυθεντικοποιείται στο AP. 3. Ο σταθμός αποστέλλει μια αίτηση (πλαίσιο) συσχέτισης στο AP και ακολούθως λαμβάνει αντίστοιχα από αυτό μια απάντηση. Αποτέλεσμα Ο σταθμός έχει πιστοποιηθεί στο δίκτυο Έχει συσχετισθεί (associated) με το δίκτυο μέσω του AP. Slide: 12/30 4

5 Λειτουργικό μοντέλο /4 Το πρότυπο IEEE ορίζει τρεις διαφορετικές κατηγορίες μηνυμάτων (πλαισίων): 1. Μηνύματα ελέγχου (control messages): Ειδοποιούν τις ασύρματες συσκευές για διάφορα γεγονότα, όπως το πότε να αρχίσουν ή να σταματήσουν να εκπέμπουν, αν έχει συμβεί κάποιο λάθος στην επικοινωνία, επιβεβαίωση παραλαβής δεδομένων, κλπ. 2. Μηνύματα διαχείρισης (management messages): Χρησιμοποιούνται για την ανταλλαγή πληροφοριών μεταξύ STA και AP. Π.χ. μηνύματα Beacon, Probe, Association, Authentication. 3. Μηνύματα δεδομένων (data messages): Μεταφορά δεδομένων μεταξύ STA και AP μετά από επιτυχή σύνδεση. Κάθε μια από τις παραπάνω κατηγορίες έχει μια κεφαλίδα με διάφορα πεδία σε επίπεδο Medium Access Control (MAC) Slide: 13/30 Λειτουργικό μοντέλο /5 Το STA μπορεί να επιχειρήσει να συσχετισθεί με κάποιο άλλο (νέο) AP που διαθέτει ισχυρότερο σήμα. Στέλνει ένα διαχειριστικό μήνυμα αποσυσχέτισης στο παλιό AP disassociation message Επιχειρεί σύνδεση ύδ με το νέο AP - reassociation message Περιέχει βασικές πληροφορίες για το παλιό AP Το νέο ΑP θα πρέπει να μπορεί να επικοινωνήσει με το παλιό AP, να επιβεβαιώσει ότι έγινε μετάβαση να μεταφέρει τυχόν πληροφορίες για το χρήστη και την υπηρεσία Slide: 14/30 Λειτουργικό μοντέλο /6 Το δεύτερο επίπεδο υποδιαιρείται Στο υποεπίπεδο ελέγχου προσπέλασης μέσου (Medium Access Control, MAC), Ορίζει τον τρόπο με τον οποίο γίνεται η εκχώρηση του καναλιού ποιος σταθμός θα μεταδώσει την επόμενη χρονική στιγμή, Στο υποεπίπεδο έλεγχου λογικού συνδέσμου (Logical Link Layer, LLC). Κάνει διαφανή στο επίπεδο δικτύου τον τρόπο που τα δεδομένα μεταδίδονται, δηλαδή ποια παραλλαγή του χρησιμοποιείται. Slide: 15/30 5

6 Λειτουργικό μοντέλο /7 Το υποστηρίζει τρεις διαφορετικές κατηγορίες πλαισίων MAC τα πλαίσια δεδομένων, ελέγχου, και διαχείρισης. Στο παρακάτω σχήμα περιγράφεται η γενική μορφή ενός πλαισίου δεδομένων. Slide: 16/30 Λειτουργικό μοντέλο /8 Το πρώτο πεδίο - έλεγχος πλαισίου (frame control) αποτελείται από 11 υποπεδία. Έκδοση πρωτοκόλλου (protocol version) λειτουργία διαφορετικών εκδόσεων του πρωτοκόλλου στην ίδια κυψέλη (cell). Τα πεδία τύπος (type) και υποτύπος (subtype) τύπος πλαισίου (δεδομένα, διαχείριση, έλεγχος) Από DS και προς DS εάν το πλαίσιο κατευθύνεται ή προέρχεται από το σύστημα διανομής πλαισίων (distribution system) Slide: 17/30 Λειτουργικό μοντέλο /9 MF (More Fragments) θα ακολουθήσουν περισσότερα θραύσματα (fragments). R (Retry) αναμετάδοση πλαισίου που στάλθηκε νωρίτερα. PM (Power Management) θέτει τον παραλήπτη σε κατάσταση νάρκης (power save mode, 0) ή να τον επανα-ενεργοποιεί (active mode, 1). MD (More Data) ο αποστολέας έχει επιπλέον πλαίσια προς αποστολή. WEP (Wired Equivalent Privacy) 0 δεν έχει χρησιμοποιηθεί ο αλγόριθμος WEP, ενώ αν είναι 1 το αντίθετο ORD (Order) 1 ο παραλήπτης θα επεξεργαστεί τα πλαίσια που λαμβάνει σε αύξουσα σειρά (strictly ordered). Slide: 18/30 6

7 Λειτουργικό μοντέλο /10 Διάρκεια (Duration ID) πόσο χρόνο θα απασχολήσουν το κανάλι μετάδοσης το πλαίσιο και η επιβεβαίωσή του. Διευθύνσεις (δύο από αυτές) προέλευσης και προορισμού Π.χ. διεύθυνση του STA και τελική διεύθυνση προορισμού. Η τελευταία μπορεί να είναι μια διεύθυνση αποκλειστικής διανομής (unicast) ή μια διεύθυνση πολυδιανομής (multicast), Slide: 19/30 Λειτουργικό μοντέλο /11 Σε αντίθεση με το Ethernet, οι MAC κεφαλίδες του είναι περισσότερο σύνθετες. Μπορεί να έχουμε μέχρι τέσσερις διευθύνσεις: Τη διεύθυνση του πομπού (Transmitter Address, TA). Τη διεύθυνση του δέκτη (Receiver Address, RA). Τη διεύθυνση πηγής (Source Address, SA). Τη διεύθυνση προορισμού (Destination Address, DA), Slide: 20/30 Λειτουργικό μοντέλο /12 Όταν το δίκτυο λειτουργεί σε Ad-Hoc η MAC κεφαλίδα περιέχει μόνο δύο διευθύνσεις (SA & DA) όλα τα STA επικοινωνούν απευθείας μεταξύ τους. Αντίθετα, όταν το δίκτυο λειτουργεί σε Infrastructure mode, όλα τα STA στέλνουν τις πληροφορίες τους μέσω των AP Τρεις διευθύνσεις: SA = TA (STA πηγή / πομπός), RA (η διεύθυνση του AP) και DA (τελικός προορισμός) Προς την αντίθετη φορά δηλαδή: SA (συσκευή που δημιούργησε το μήνυμα), TA (η διεύθυνση του AP), RA = DA (UA προορισμός / δέκτης). Όλες οι διευθύνσεις χρησιμοποιούνται όταν έχουμε μετάδοση από ένα AP σε ένα άλλο, - bridging μεταξύ κυψελών. Slide: 21/30 7

8 Λειτουργικό μοντέλο /13 Οι διευθύνσεις MAC, είναι πολύ σημαντικά πεδία για την ασφάλεια, οι επιτιθέμενοι πολύ συχνά προσπαθούν να τα αλλάξουν Προσποιούμενοι νόμιμους χρήστες του δικτύου. Η επίθεση αυτή αποτελεί το hijacking. Οι διευθύνσεις MAC δεν μπορούν να προστατευτούν, Μεταδίδονται σε μορφή αρχικού κειμένου (cleartext). Είναι ορατές από οποιαδήποτε εμπλεκόμενη συσκευή του δικτύου προκειμένου τα πλαίσια να μπορούν να φτάσουν στον τελικό προορισμό τους. Slide: 22/30 Λειτουργικό μοντέλο /14 Ακολουθία (Sequence Control) αρίθμηση των θραυσμάτων. τα πρώτα 12 bit προσδιορίζουν το πλαίσιο τα υπόλοιπα 4, τον αύξοντα αριθμό θραύσματος. Δεδομένα (data) ωφέλιμο φορτίο, μήκος μέχρι 2312 bytes Άθροισμα ελέγχου (Cyclic Redundancy Check, CRC) Ανίχνευση λαθών στη μετάδοση. Slide: 23/30 Λειτουργικό μοντέλο /15 Τα πλαίσια ελέγχου και διαχείρισης είναι μικρότερα από τα πλαίσια δεδομένων. Πλαίσια διαχείρισης Beacon, Probe (αίτηση και απάντηση), Authenticate (αίτηση και απάντηση), Associate (αίτηση και απάντηση), Reassociate (αίτηση και απάντηση), Disassociate (αίτηση και απάντηση), Deauthenticate (αίτηση ί και απάντηση) ) δεν περιέχουν τέταρτη διεύθυνση, Εμπλέκονται σε πρωτόκολλα ασφάλειας Πλαίσια ελέγχου Περιέχουν μια ή δύο διευθύνσεις δεν περιέχουν πεδίο δεδομένων και ακολουθίας. Slide: 24/30 8

9 Λειτουργικό μοντέλο /16 Πλαίσια διαχείρισης, αποτελούνται από δύο μέρη. 1. Ένα σύνολο από σταθερά πεδία (fixed fields), 2. διάφορα στοιχεία (elements). Π.χ., πλαίσια beacon απαρτίζονται από τα παρακάτω πεδία: Slide: 25/30 Λειτουργικό μοντέλο /17 ΙΕΕΕ παρέχει εννέα υπηρεσίες Εντάσσονται στις εξής δύο κατηγορίες: (α) Υπηρεσίες διανομής, πέντε (5) υπηρεσίες παρέχονται από τα APs σχετίζονται με την κινητικότητα των σταθμών, όπως σύνδεση (συσχέτιση), αποσύνδεση, κλπ αναφέρονται στη διαχείριση των μελών κάθε κυψέλης στην αλληλεπίδραση των μελών της κυψέλης με άλλους σταθμούς, εκτός αυτής (β) Υπηρεσίες σταθμών, τέσσερις (4) υπηρεσίες σχετίζονται με γεγονότα που συμβαίνουν μέσα σε κάθε κυψέλη λαμβάνουν χώρα μετά τη σύνδεση κάποιου σταθμού σε ένα AP Slide: 26/30 Λειτουργικό μοντέλο /18 Συσχέτιση (Association): H υπηρεσία αυτή χρησιμοποιείται από τους σταθμούς των χρηστών προκειμένου να συνδεθούν σε κάποιο AP. Mόλις κάποιος σταθμός μετακινηθεί στην εμβέλεια ενός AP του ανακοινώνει την ταυτότητα και τις δυνατότητές του. Tο AP μπορεί να αποδεχθεί ή να απορρίψει τον σταθμό. Ο σταθμός θα πρέπει επίσης να αυθεντικοποιηθεί στο AP. Αποσυσχέτιση (Disassociation): Mπορεί να εκκινηθεί είτε από το STA είτε από το AP Slide: 27/30 9

10 Λειτουργικό μοντέλο /19 Επανασυσχέτιση (Reassociation): Κάνοντας χρήση της συγκεκριμένης υπηρεσίας ένας σταθμός μπορεί να μετακινηθεί σε ένα άλλο (νέο) AP. ιδιαίτερα χρήσιμη σε σταθμούς που περιάγονται Διανομή (Distribution): Καθορίζει το πώς δρομολογούνται τα πλαίσια που αποστέλλονται στα APs. Σε περίπτωση που ο αποδέκτης βρίσκεται εκτός κυψέλης, τα πλαίσια πρέπει να προωθηθούν μέσω του ασύρματου δικτύου ή μιας ασύρματης γέφυρας. Slide: 28/30 Λειτουργικό μοντέλο /20 Ενοποίηση (Integration): Σχετίζεται με ετερογενές περιβάλλον δικτύωσης. Όταν ένα πλαίσιο πρέπει να δρομολογηθεί διαμέσου ενός δικτύου που δεν ακολουθεί το πρότυπο Η υπηρεσία είναι υπεύθυνη για τη μετατροπή του πλαισίου από στη μορφή που απαιτεί το δίκτυο προορισμού. Πιστοποίηση ταυτότητας (Authentication): Κάθε σταθμός είναι υποχρεωμένος να πιστοποιήσει την ταυτότητά του πριν του επιτραπεί να στείλει και να λάβει δεδομένα. Slide: 29/30 Λειτουργικό μοντέλο /21 Ακύρωση πιστοποίησης ταυτότητας (Deauthentication): Σε περίπτωση εγκατάλειψης του δικτύου από ένα σταθμό, ακυρώνεται παράλληλα η πιστοποίηση που είχε λάβει ο σταθμός ο σταθμός δεν μπορεί να χρησιμοποιήσει τους πόρους του δικτύου. Προστασία απορρήτου ή εμπιστευτικότητα (Confidentiality): fd Κρυπτογράφηση ώστε να διατηρείται το απόρρητο των επικοινωνιών. Παράδοση δεδομένων (Data delivery): Η μετάδοση στο δεν είναι 100% αξιόπιστη. Είναι ευθύνη των ανώτερων επιπέδων να αντιμετωπίσουν τυχόν σφάλματα και αν είναι δυνατόν να τα επιδιορθώσουν. Slide: 30/30 10