Ασφάλεια Ασύρματων & Κινητών Επικοινωνιών Πλαίσιο Μαθήματος και Εισαγωγή Slide: 1/67
Πλαίσιο μαθήματος /1 Ι. ΘΕΩΡΗΤΙΚΟ ΜΕΡΟΣ Οι βασικές ενότητες, οι οποίες θα αναπτυχθούν στα πλαίσια του μαθήματος, είναι: Γενικά ζητήματα ασφαλείας σε ασύρματο περιβάλλον Περίληψη: Ρήγματα ασφάλειας, απειλές, σημεία ευπάθειας, κατηγορίες και μοντέλα επιθέσεων σε ασύρματα δίκτυα επικοινωνιών. Ζητήματα ασφάλειας στο πρότυπο IEEE 802.11 Περίληψη: Λειτουργικό μοντέλο 802.11, γενικά ζητήματα ασφάλειας 802.11, πρωτόκολλο WEP, ασφάλεια 802.11i, CCMP, TKIP, μελέτες περίπτωσης. Ζητήματα ασφάλειας στα δίκτυα GSM & UMTS Περίληψη: Εισαγωγή, πιστοποίηση ταυτότητας και προστασία της ιδιωτικότητας, προστασία της ραδιοζεύξης, δια-δικτυακοί και ενδοδικτυακοί μηχανισμοί ασφαλείας Ζητήματα ασφάλειας στο πρότυπο IEEE 802.16 Περίληψη: Γενικά ζητήματα, λειτουργικό μοντέλο 802.16, πρωτόκολλο PKM. Slide: 2/67
Πλαίσιο μαθήματος /2 II. ΕΚΠΟΝΗΣΗ ΕΡΓΑΣΙΩΝ Οι φοιτητές, σε ομάδες το πολύ δύο ατόμων (μόνο για θέματα που απαιτούν υλοποίηση), θα εκπονήσουν μια εργασία σε θέματα που προτείνονται παρακάτω. Οι δηλώσεις των εργασιών θα γίνουν μέχρι 24 Απριλίου με email στη διεύθυνση gkamb@aegean.gr. Για όλα τα θέματα θα αξιοποιηθεί διαθέσιμο βιβλιογραφικό υλικό (βιβλίο μαθήματος, σύγχρονα άρθρα σε επιστημονικά περιοδικά και πρακτικά διεθνών συνεδρίων, φωτοτυπίες από σχετικά βιβλία, διευθύνσεις ιστοσελίδων κλπ). Slide: 3/67
Πλαίσιο μαθήματος /3 Οι προτεινόμενες εργασίες, αναφέρονται στις παρακάτω θεματικές περιοχές: Ζητήματα ασφάλειας στο υποσύστημα IP Multimedia Subsystem (IMS) του UMTS. Μελέτη του περιβάλλοντος προσομοίωσης TOSSIM και εφαρμογή μικρής κλίμακας. Δύναται να χρησιμοποιηθεί και άλλο εργαλείο της επιλογής σας. Συγκριτική θεώρηση μηχανισμών ασφαλείας 3GPP - 3GPP2. Συγκριτική αξιολόγηση διαφόρων μεθόδων πιστοποίησης ταυτότητας συστημάτων RFID. Μελέτη επιθέσεων τύπου DoS σε περιβάλλον GSM/UMTS. Σχεδίαση και υλοποίηση ενός ασφαλούς συστήματος mobile Wiki Μελέτη περίπτωσης: Ασφάλεια περιβάλλοντος 802.11. Μελέτη και συγκριτική θεώρηση μηχανισμών και ζητημάτων ασφαλείας / ιδιωτικότητας Ambience Intelligence (AmI). Δίκτυα αισθητήρων και μηχανισμοί δημόσιου κλειδιού. Υλοποίηση εργαλείου επιθέσεων σε δίκτυα 802.11i. Θέματα επιλογής σας (συζητήσιμα). Slide: 4/67
Ασύρματες επικοινωνίες Περιεχόμενα Σύντομη ιστορική αναδρομή. Ασφάλεια ασύρματων επικοινωνιών Σύντομη ιστορική αναδρομή. Βασικές κατηγορίες απειλών Παθητικού και ενεργητικού τύπου επιθέσεις. Επιθέσεις ενδιάμεσου και επιθέσεις μεταβολής πληροφοριών. Επιθέσεις παρεμβολών ή παρακώλυσης επικοινωνιών. Βασικές αρχές ασφαλείας Αρχιτεκτονικές ασφαλείας Slide: 5/67
Σύντομα ιστορικά στοιχεία /1 Η ασύρματη τεχνολογία έχει τις ρίζες της πίσω στα τέλη του 19ου αιώνα (1896) με την εφεύρεση του ασύρματου τηλέγραφου από τον Ιταλό Μαρκόνι. ο Αμερικανός εφευρέτης Reginald Fessenden έκανε πραγματικότητα την πρώτη ραδιοφωνική μετάδοση δώδεκα χρόνια μετά το 1906. Η ανάπτυξη και διάδοση του ραδιοφώνου (AM radio) ήταν τέτοια έτσι ώστε το 1929, 6 εκατομμύρια ραδιοφωνικές συσκευές είχαν αναπτυχθεί μόνο στις Η.Π.Α. Slide: 6/67
Σύντομα ιστορικά στοιχεία /2 O δεύτερος παγκόσμιος πόλεμος επιτάχυνε ακόμα περισσότερο τις εξελίξεις. Σταθμός στον τομέα των ασύρματων επικοινωνιών μπορεί να χαρακτηριστεί η εκτόξευση του δορυφόρου Sputnik από τη πρώην Σοβιετική Ένωση το 1957. Ο ανταγωνισμός των δύο υπερδυνάμεων που ήλθε ως φυσικό επακόλουθο επιτάχυνε τις εξελίξεις στο συγκεκριμένο τομέα εφοδιάζοντάς τον με τεράστια ποσά ανθρώπινου και μη δυναμικού. Slide: 7/67
Σύντομα ιστορικά στοιχεία /3 Στις Ηνωμένες Πολιτείες τα πρώτα ασύρματα αναλογικά τηλέφωνα εμφανίστηκαν τη δεκαετία του 1970 και χαρακτηρίζονταν από πολλούς περιορισμούς συμπεριλαμβανομένου της αδυναμίας περιαγωγής κλήσεων (roaming). Η χρήση κελιών περιορισμένης ακτίνας επέτρεψε τελικά τη περιαγωγή των κλήσεων. Tο πρώτο σύστημα αυτού του τύπου αναπτύχθηκε στο Σικάγο το 1979 με το όνομα Advanced Mobile Phone Service (AMPS). Slide: 8/67
Σύντομα ιστορικά στοιχεία /4 Παρόμοια συστήματα κινητής τηλεφωνίας έκαναν την εμφάνισή τους τόσο στην Ιαπωνία όσο και στην Ευρώπη στις αρχές της δεκαετίας του 80. Κατά τη διάρκεια της δεκαετίας του 90, οι ασύρματες τεχνολογίες γνωρίζουν μεγάλη ανάπτυξη. Το 1991, τα πρώτα εμπορικά GSM δίκτυα κάνουν την εμφάνισή τους από τις Σκανδιναβικές χώρες, ενώ ένα χρόνο αργότερα ακολουθεί η Αυστραλιανή ήπειρος. Χαρακτηριστικό επίσης είναι το γεγονός ότι το 1992 υπογράφηκε η πρώτη συμφωνία περιαγωγής πελατών (roaming agreement) μεταξύ δύο παρόχων που δραστηριοποιούνταν στον Ευρωπαϊκό χώρο: τη Vodafone και την Telecom Φιλανδίας. Slide: 9/67
Σύντομα ιστορικά στοιχεία /5 Παράλληλα με την ανάπτυξη των ασύρματων υπηρεσιών φωνής η δεκαετία του 90 χαρακτηρίζεται από τη διάδοση διαφόρων υπηρεσιών δεδομένων όπως τα συστήματα τηλεειδοποίησης (paging systems). Η τηλεειδοποίηση ως μονόδρομη (one-way) υπηρεσία έκανε την εμφάνισή της ήδη από τη δεκαετία του 60, αλλά η χρήση της περιορίζονταν μόνο στους τομείς της υγείας και της επιβολής του νόμου. Αντιθέτως, τη δεκαετία του 90 οι πάροχοι ανάλογων υπηρεσιών εξέλιξαν τεχνολογικά τα αμφίδρομα (twoway) πλέον συστήματά τους προσθέτοντας διάφορα χαρακτηριστικά και υπηρεσίες, όπως η αποστολή αλφαριθμητικών δεδομένων. Slide: 10/67
Σύντομα ιστορικά στοιχεία /6 Στο χώρο των ασύρματων δικτύων δεδομένων εντάσσεται και το TCP/IP based δίκτυο με την ονομασία Cellular Digital Packet Data (CDPD), το οποίο έκανε την εμφάνισή του το 1992 με ρυθμούς μετάδοσης μέχρι 19,2 Kbps. Είναι χαρακτηριστικό ότι στα τέλη του 20ου αιώνα το δίκτυο CDPD διέθετε πάνω από 10 εκατομμύρια συνδρομητές στις Η.Π.Α. Στο πλαίσιο αυτό η ανάπτυξη και προτυποποίηση ασύρματων τοπικών δικτύων (Wireless Local Area Networks, WLAN) ξεκίνησε το 1990 όταν το γνωστό ινστιτούτο ηλεκτρολόγων και ηλεκτρονικών μηχανικών (IEEE) δημιούργησε την επιτροπή 802.11. Slide: 11/67
Σύντομα ιστορικά στοιχεία /7 Αν και το πρότυπο WLAN (802.11) δεν είχε οριστικοποιηθεί μέχρι το 1997, διάφοροι κατασκευαστές υλικού (Intel, 3COM, Cisco, κλπ) προωθούσαν ήδη αρκετά προϊόντα που βασίζονταν σε αυτό. Λίγα χρόνια αργότερα και παράλληλα με την ανάπτυξη ασύρματων δικτύων για επικοινωνία σε μεγάλες αποστάσεις (long range), ξεκίνησε η προσπάθεια για σχεδιασμού και υλοποίησης ασύρματων συστημάτων μικρής εμβέλειας. Το πρότυπο Bluetooth αποτέλεσε προϊόν της ειδικής ομάδας με την ονομασία Bluetooth Special Interest Group (SIG), η οποία ιδρύθηκε το 1998 από τις εταιρίες Ericsson, IBM, Intel, Nokia και Toshiba. Όταν οι πρώτες συσκευές που υποστήριζαν το πρότυπο Bluetooth εμφανίστηκαν στην αγορά το 2001, η ομάδαsig απαρτίζονταν ήδη από 1800 μέλη. (ΙΕΕΕ 802.15.1) Slide: 12/67
Σύντομα ιστορικά στοιχεία /8 Ως φυσικό επακόλουθο, η πρώτη προσπάθεια συνδυασμού της ασύρματης τεχνολογίας με το Διαδίκτυο έγινε από την εταιρία Unwired Planet, η οποία ιδρύθηκε το 1995. Μέσα σε δύο χρόνια η συγκεκριμένη εταιρία κατάφερε σχεδόν ότι η Netscape με το φυλλομετρητή της (Unwired Planet browser) πείθοντας τις μεγάλες εταιρίες του χώρου (Motorola, Ericsson και Nokia) να δημιουργήσουν το Wireless Application Protocol (WAP) forum. Μέχρι το τέλος του 1997 πάνω από 90 διαφορετικές εταιρίες είχαν προσεταιριστεί το εν λόγω φόρουμ, ενώ οι πρώτες προδιαγραφές, WAP 1.0, έκαναν την εμφάνισή τους στα τέλη του 1997. Slide: 13/67
Σύντομα ιστορικά στοιχεία /9 Παρόλα αυτά το ασύρματο Διαδίκτυο με τη μορφή του WAP: Ήταν πολύ αργό σε ταχύτητα για να προσελκύσει μεγάλη μερίδα καταναλωτών. Παράλληλα, πολλές εταιρείες του χώρου δίσταζαν να επενδύσουν σε αυτό εξαιτίας του ότι απαιτούσε αλλαγή των υποδομών τους και ανανέωση των φορητών συσκευών των τελικών χρηστών, προκειμένου να το υποστηρίζουν. Τελικά, το 1999 οι πάροχοι υπηρεσιών άρχισαν να δοκιμάζουν νέες υπηρεσίες βασισμένες στο WAP. Παρά τις μεγάλες επενδύσεις των εταιριών και των παρόχων των σχετικών υπηρεσιών το WAP δεν γνώρισε την αναμενόμενη αποδοχή από τους καταναλωτές. Χαρακτηριστικά αναφέρεται ότι στα τέλη του 2000 στις Η.Π.Α. μόνο 1 εκατομμύριο χρήστες ήταν εγγεγραμμένοι σε WAP υπηρεσίες. Slide: 14/67
Σύντομα ιστορικά στοιχεία /10 Τα πράγματα όμως δεν ήταν καλύτερα τα πρώτα χρόνια ούτε για τις τεχνολογίες WLAN και Bluetooth, οι οποίες: Δεν γνώρισαν τη γρήγορη και ευρεία αποδοχή που αναμενόταν. Η γκάμα συσκευών Bluetooth ήταν πολύ περιορισμένη και η απόκτησή τους κόστιζε πάρα πολύ, Από την άλλη, σημαντικές αδυναμίες στην ασφάλεια των δικτύων WLAN καθυστέρησαν την ευρεία αποδοχή τους δημιουργώντας αρνητικό κλίμα και δυσπιστία στους τελικούς καταναλωτές. Slide: 15/67
Σύντομα ιστορικά στοιχεία /11 Ρυθμός ανάπτυξης του GSM (gsmworld.com) Slide: 16/67
Σύντομα ιστορικά στοιχεία: Ασφάλεια /1 Ήδη από τη δεκαετία του 40 η πρόοδος στην ανάπτυξη των ασύρματων τεχνολογιών συμβαδίζει με την ανάπτυξη εργαλείων και μεθόδων που έχουν ως στόχο την υποκλοπή των πληροφοριών που μεταδίδονται. Κατά τη διάρκεια του δευτέρου παγκοσμίου πολέμου, όπου και οι δύο αντιμαχόμενες πλευρές χρησιμοποιούσαν ευρέως ραδιοεπικοινωνίες, τα εργαλεία υποκλοπής αποτέλεσαν μια αναγκαιότητα αφού όπως ήταν φυσικό μπορούσαν να προσφέρουν στρατηγικό πλεονέκτημα έναντι του αντιπάλου. Χαρακτηριστικό παράδειγμα τέτοιου πλεονεκτήματος αποτελεί η μάχη του Midway, όπου το Αμερικανικό ναυτικό κατάφερε να κατανοήσει και ακολούθως να διασπάσει τον κώδικα επικοινωνίας γνωστό ως JN-25 που χρησιμοποιούσαν οι Ιάπωνες. Slide: 17/67
Σύντομα ιστορικά στοιχεία: Ασφάλεια /2 Μηχανές Enigma Κατά τη διάρκεια επίσης του ψυχρού πολέμου (1950 1980) η ανάγκη για προστασία των ραδιο-επικοινωνιών βοήθησε ώστε να αναπτυχθούν και ακολούθως να βελτιστοποιηθούν νέες μέθοδοι εξασφάλισης των εκπεμπόμενων δεδομένων. Τη δεκαετία του 80 η υποκλοπή ασύρματων μεταδόσεων ήταν εφικτή ακόμα και με ένα απλό ραδιοδέκτη / ανιχνευτή (radio scanner) που μπορούσε κάποιος να αγοράσει από ένα κατάστημα ηλεκτρονικών. Slide: 18/67
Σύντομα ιστορικά στοιχεία: Ασφάλεια /3 Η κατάσταση αυτή οδήγησε κάποιες κυβερνήσεις να απαγορεύσουν τη χρήση ανάλογων ραδιο-ανιχνευτών και τις εταιρείες κατασκευής συσκευών ασύρματων επικοινωνιών να αρχίσουν να σκέφτονται την υιοθέτηση κρυπτογραφικών μεθόδων για τη προστασία των εκπεμπόμενων δεδομένων. Παραδείγματος χάριν, στις Η.Π.Α. ο σχετικός νόμος ψηφίστηκε από το Κογκρέσο το 1986 και είναι γνωστός ως Electronic Communications Privacy Act. Slide: 19/67
Σύντομα ιστορικά στοιχεία: Ασφάλεια /4 Παράλληλα με τη δυνατότητα υποκλοπής ή παρακολούθησης (intercepting / eavesdropping) των ασύρματων επικοινωνιών, μεγάλη απήχηση, ειδικά για στρατιωτικούς σκοπούς, είχε και η παρεμπόδισή τους μέσω παρεμβολών (jamming). Αν και τέτοιου είδους εξοπλισμός παρεμβολών απαγορεύτηκε από πολλά κράτη, διάφοροι ανεξάρτητοι κατασκευαστές κατασκευάζουν και πωλούν παρόμοια προϊόντα παρανόμως. Οι συσκευές αυτές μπορούν να παρεμποδίσουν την επικοινωνία όχι μόνο ενός ατόμου, αλλά και μιας ολόκληρης περιοχής αν ο επιτιθέμενος έχει ως στόχο για παράδειγμα μια κεραία κινητής τηλεφωνίας (radio tower) ή ένα ασύρματο σημείο πρόσβασης (Access point, AP). Slide: 20/67
Σύντομα ιστορικά στοιχεία: Ασφάλεια /5 Με την έλευση του ασύρματου Διαδικτύου και σε συνδυασμό με τα ενσύρματα δίκτυα, τα ζητήματα και περιστατικά παραβίασης της ασφάλειας και ιδιωτικότητας (privacy) των χρηστών άρχισαν να πληθαίνουν και να γίνονται περισσότερο πιεστικά ως προς την αντιμετώπισή τους. Στο πλαίσιο αυτό, η πρωτοπόρος στο λογισμικό φυλλομετρητών εταιρεία Netscape σε συνεργασία με τη Microsoft ανέπτυξαν το γνωστό πρωτόκολλο ασφάλειας Secure Sockets Layer / Transport Layer Security (SSL/TLS) για χρήση στο Διαδίκτυο. Δυστυχώς όμως το συγκεκριμένο πρωτόκολλο, αν και έγινε πολύ γρήγορα το de-factο πρότυπο για την εξασφάλιση των επικοινωνιών στο ενσύρματο Διαδίκτυο, δεν μπορούσε εύκολα, τουλάχιστον μέχρι πρόσφατα, να χρησιμοποιηθεί ως είχε στις ασύρματες επικοινωνίες. Τούτο οφείλονταν σε παράγοντες, όπως το περιορισμένο εύρος (bandwidth) του ασύρματου δικτύου και οι εν γένει αδυναμίες των φορητών συσκευών των χρηστών σε επεξεργαστική ισχύ, μνήμη και μπαταρία. Slide: 21/67
Σύντομα ιστορικά στοιχεία: Ασφάλεια /6 Αντί λοιπόν του SSL το WAP φόρουμ σχεδίασε και υλοποίησε ένα παρόμοιο πρωτόκολλο με την ονομασία Wireless Transport Layer Security (WTLS). Το εν λόγω εγχείρημα δέχθηκε πολλές κριτικές εξαιτίας του ότι το WTLS δεν εξασφάλιζε απ άκρο σε άκρο (end-to-end) τα επικοινωνούντα δεδομένα, όπως φαίνεται στο σχήμα: WTLS/WML SSL/HTML Κινητή συσκευή χρήστη Δίκτυο παρόχου WAP πύλη WAP gap Internet Εξυπηρετητής στο Διαδίκτυο Slide: 22/67
Ασφάλεια σε ασύρματο περιβάλλον: Γενικά /1 Είναι γενικά γνωστό πως τα ασύρματα δίκτυα καλούνται να αντιμετωπίσουν περισσότερες απειλές σε σχέση με τα αντίστοιχα ενσύρματα. Έτσι, γίνεται σαφές ότι η ανάλυση των πιθανών αυτών απειλών αλλά και νέων που ενδέχεται να προκύψουν στο μέλλον πρέπει να αποτελεί σημαντική προτεραιότητα για κάθε ασύρματο σύστημα, δίκτυο ή τεχνολογία. Η βασικότερη διαφορά μεταξύ ενσύρματων και ασύρματων δικτύων στον τομέα της ασφάλειας είναι η απουσία οποιοδήποτε ελέγχου πρόσβασης στην περιοχή κάλυψης του ασύρματου δικτύου. Δηλαδή, η δυνατότητα του επιτιθέμενου να κινείται μέσα στην περιοχή κάλυψης ανώνυμα και κατά βούληση επιχειρώντας μια πλειάδα επιθέσεων, οι οποίες δεν συναντώνται στα ενσύρματα δίκτυα. Ειδικά στην περίπτωση των ασύρματων δικτύων ευρείας περιοχής (Wireless Wide Area Networks, W-WAN) π.χ. Mobile, 802.16 (Wi-Max), το μέσο πρόσβασης στο δίκτυο είναι αδύνατον να ελεγχθεί. Η μοναδική ίσως γνωστή χωροταξική παράμετρος για ένα ασύρματο δίκτυο είναι τα όρια ή η εμβέλεια του σήματος. Δρόμοι, πάρκα, γειτονικά κτίρια, αυτοκίνητα, κτλ., στην περιοχή αυτή μπορούν να προσφέρουν μια πιθανή πόρτα εισόδου στον επιτιθέμενο. Slide: 23/67
Ασφάλεια γενικά /2 Είναι χαρακτηριστικό ότι το ασύρματο μέσο μπορεί πολλές φορές να εξασφαλίσει απόλυτη ανωνυμία (anonymity) στον επιτιθέμενο π.χ. μέσω ενός ασύρματου σημείου πρόσβασης (Access Point, AP), προκειμένου αυτός να επιτεθεί σε ενσύρματα δίκτυα. Οι επιθέσεις του τύπου αυτού κατατάσσονται στην κατηγορία που είναι γνωστή ως illicit network use. Σημειώστε επίσης ότι αν και οι επιθέσεις αυτές μπορούν να εκδηλωθούν σε διάφορα επίπεδα του OSI μοντέλου, τα ασύρματα δίκτυα ευνοούν τις επιθέσεις που εκδηλώνονται στα 3 τελευταία επίπεδα. Αντίθετα, οι απειλές στα επίπεδα εφαρμογής (application) και μεταφοράς (transport) είναι κατά βάση όμοιες με αυτές που αντιμετωπίζουν τα ενσύρματα δίκτυα, με την παρατήρηση ότι στο ασύρματο περιβάλλον αυξάνονται σημαντικά οι πιθανότητες εκδήλωσής τους λόγω της σχέσης των επιπέδων αυτών με τα αμέσως κατώτερά τους. Slide: 24/67
Παθητικού και Ενεργητικού τύπου επιθέσεις /1 H απουσία ελέγχων πρόσβασης στο (ραδιο)μέσο δίνει τη δυνατότητα στους επιτιθέμενους να παρακολουθούν (eavesdrop) π.χ. παθητικά (passively) τις επικοινωνίες. Πιθανόν να τις καταγράφουν και την ίδια στιγμή ή αργότερα να τις αποκωδικοποιούν αποκτώντας πρόσβαση στις πληροφορίες που ανταλλάχθηκαν μεταξύ των νομίμων χρηστών και του δικτύου. Ο επιτιθέμενος στη γενική περίπτωση δεν χρειάζεται τίποτα περισσότερο από μια απλή συσκευή πρόσβασης στο δίκτυο π.χ. μια ασύρματη κάρτα δικτύου. Όλες οι ασύρματες συσκευές έχουν τη δυνατότητα να εκπέμψουν και να λάβουν δεδομένα στο ραδιο-μέσο. Με μικρές δε τροποποιήσεις στο υλικό ή στο λογισμικό τους ορισμένες από αυτές είναι ικανές να λαμβάνουν ο,τιδήποτε εκπέμπεται μέσα στην εμβέλειά τους. Από την άλλη πλευρά, οι παθητικού τύπου επιθέσεις δεν είναι πάντοτε κακόβουλες. Παραδείγματος χάριν, πολλοί οπαδοί του wardriving, δηλαδή της αναζήτησης ασύρματων δικτύων από κινούμενο όχημα, υποστηρίζουν ότιοισκοποίτουςείναικαθαράεκπαιδευτικούχαρακτήρα. Γι αυτό το λόγο δεν είναι ακόμα ξεκάθαρο το κατά πόσο και σε ποια ακριβώς περίπτωση οι δραστηριότητες wardriving είναι παράνομες. Slide: 25/67
Παθητικού και Ενεργητικού τύπου επιθέσεις /2 Από την άλλη πλευρά, τέτοιου είδους συν-ακροάσεις είναι πολύ δύσκολο αν όχι αδύνατο να ανιχνευτούν ή να εμποδιστούν. Παραδείγματος χάριν, ακόμα και στην περίπτωση των ασύρματων δικτύων που ακολουθούν το πρότυπο IEEE 802.11 ο επιτιθέμενος με τη βοήθεια κατάλληλης κεραίας και πιθανώς ενισχυτών μπορεί να βρίσκεται αρκετά μακρύτερα (ακόμα και 20 χιλιόμετρα) απότοστόχο του π.χ. ένα σημείο ασύρματης πρόσβασης. Πολλές φορές επίσης, οι διαχειριστές ασύρματων δικτύων για χάριν ευκολίας χρησιμοποιούν το πρωτόκολλο DHCP γιανααποδίδουνμε δυναμικό τρόπο διευθύνσεις IP στους υπολογιστές που συνδέονται σε αυτά. Έγκειται στην παρατηρητικότητα λοιπόν του διαχειριστή να προσέξει στα αρχεία καταγραφής (log files) αν σε κάποια άγνωστη διεύθυνση MAC έχει ανατεθεί κάποια διεύθυνση IP του οικείου δικτύου. Slide: 26/67
Παθητικού και Ενεργητικού τύπου επιθέσεις /3 Επιπλέον, πρέπει να σημειωθεί πως τα σημεία ασύρματης πρόσβασης σε ένα δίκτυο WLAN λειτουργούν όπως ακριβώς οι επαναλήπτες (repeater) και οι κατανεμητές καλωδίων (hub). Αυτό έχει ως αποτέλεσμα όλες οι συσκευές που είναι συνδεδεμένες στο δίκτυο να μπορούν υπό προϋποθέσεις: Π.χ. όταν ο προσαρμογέας δικτύου τους τεθεί σε promiscuous λειτουργία να ακούσουν την κίνηση δεδομένων από τις υπόλοιπες συσκευές. Η μοναδική πραγματικά αποτελεσματική στρατηγική για την αντιμετώπιση των ωτακουστών σε ένα ασύρματο δίκτυο είναι η κρυπτογράφηση όλων των πληροφοριών από το δεύτερο επίπεδο του OSI μοντέλου ή/και πάνω από αυτό. Slide: 27/67
Παθητικού και Ενεργητικού τύπου επιθέσεις /4 Συνήθως, η παρακολούθηση του δικτύου δεν αποσκοπεί, τουλάχιστον αρχικά, στην υποκλοπή των δεδομένων που μεταδίδονται, αλλά στην συλλογή διάφορων πληροφοριών, οι οποίες θα επιτρέψουν στον επιτιθέμενο αργότερα - ύστερα από σχετική ανάλυση - να εξαπολύσει την πραγματική (ενεργητική, active) επίθεση εναντίων των αδύνατων σημείων που πιθανώς ανακάλυψε. Μερικές από τις πληροφορίες που είναι χρήσιμες σε κάθε επιτιθέμενο ενώ είναι παθητικός ωτακουστής μπορεί να είναι: το ποιος χρησιμοποιεί το δίκτυο, η τοπολογία του δικτύου, οι δυνατότητες και τα χαρακτηριστικά των συσκευών, IP και Media Access Control (MAC) διευθύνσεις, η εμβέλειά του, πρωτόκολλα, κλπ. Πολλά επίσης πρωτόκολλα δικτύου είναι πιθανό να μεταδίδουν υπό ορισμένες συνθήκες ή και συνεχώς, απροστάτευτα σε μορφή αρχικού κειμένου (cleartext) ευαίσθητα δεδομένα των χρηστών, όπως είναι το όνομα πρόσβασης (login name) και το συνθηματικό τους (password). Slide: 28/67
Παθητικού και Ενεργητικού τύπου επιθέσεις /5 Ακόμα και στην περίπτωση που όλα τα δεδομένα μεταδίδονται μεταξύ των σταθμών του δικτύου κρυπτογραφημένα υπάρχει η δυνατότητα καταγραφής τους με σκοπό για παράδειγμα την εξαντλητική αναζήτηση του κλειδιού κρυπτογράφησης. Template attacks? Ακόμα χειρότερα, πολλοί αλγόριθμοι κρυπτογράφησης παρουσιάζουν εν γένει αδυναμίες, όπως είναι για παράδειγμα: O αλγόριθμος A5/1 (Biryukov & Shamir, 1999) του συστήματος GSM. O αλγόριθμος αυθεντικοποίησης Windows NT LAN Manager (NTLM) της Microsoft (http://davenport.sourceforge.net/ntlm.html). Tο πρωτόκολλο αυθεντικοποίησης HTTP Digest που χρησιμοποιείται από συστήματα τηλεφωνίας μέσω δικτύων δεδομένων (Voice over IP). Tο πρωτόκολλο WEP σχεδιάστηκε να κάνει χρήση ενός στατικού κλειδιού που θα χρησιμοποιούνταν από όλους τους χρήστες του ασύρματου δικτύου. H υλοποίηση του αλγορίθμου RC4 (REF) στο WEP αποκάλυψε σημαντικές αδυναμίες, οι οποίες επέτρεπαν σε ένα επιτιθέμενο να αποκαλύψει το κλειδί κρυπτογράφησης μετά την καταγραφή ικανού ποσού δεδομένων που μεταδίδονταν στο δίκτυο. Όλες οι παραπάνω περιπτώσεις εντάσσονται στην κατηγορία των κρυπτογραφικών απειλών. Slide: 29/67
Παθητικού και Ενεργητικού τύπου επιθέσεις /6 Ειδικά στο χώρο της κινητής τηλεφωνίας η παρακολούθηση συνομιλιών είναι αρκετά απλή και δεν χρειάζεται καν παρακολούθηση του δικτύου. Μπορεί π.χ. να γίνει αξιοποιώντας φθηνό λογισμικό σε αρκετά μοντέλα κινητών τηλεφώνων. Παραδείγματος χάριν, μπορείτε να επισκεφθείτε τους ιστοχώρους των ακόλουθων προϊόντων: Call Magic Pro for Nokia 3230 και Bass-Tech Call Magic Spy Phone, καθώς και τον ιστοχώρο: http://www.global-securitysolutions.com/gsaudiosurv.htm. Εκτός από την παθητική παρακολούθηση των δεδομένων του ασύρματου δικτύου, πολλές φορές οι επιτιθέμενοι εφαρμόζουν τακτικές ενεργού ωτακουστή (active eavesdropping). Παραδείγματος χάριν, ο εισβολέας εκμεταλλεύεται το πρωτόκολλο Address Resolution Protocol (ARP), το οποίο χρησιμοποιείται από τους σταθμούς του δικτύου για να ανακαλύψουν την MAC διεύθυνση άλλων σταθμών δεδομένης της IP διεύθυνσής τους. Slide: 30/67
Παθητικού και Ενεργητικού τύπου επιθέσεις /7 Για παράδειγμα, ο επιτιθέμενος απαντάει στις ARP αιτήσεις διάφορων σταθμών στέλνοντας τη δική του MAC, με αποτέλεσμα τελικώς να λαμβάνει πληροφορίες, οι οποίες απευθύνονταν στους σταθμούς «θύματα». Η επίθεση αυτή αναφέρεται συχνά ως ARP poisoning. Ο επιτιθέμενος μπορεί επίσης να(επανα)προωθεί τα μηνύματα που λαμβάνει στα θύματά του δρώντας σαν ενδιάμεσος (man-inthe-middle). Οι περισσότερες ενεργητικού τύπου μέθοδοι επιθέσεων στα ασύρματα δίκτυα προσομοιάζουν με αυτές που αντιμετωπίζονται στα ενσύρματα δίκτυα. Αυτές περιλαμβάνουν μεταξύ άλλων: Πρόσβαση στο δίκτυο χωρίς εξουσιοδότηση (unauthorized access), πλαστογράφηση των δεδομένων, της σηματοδοσίας ή ακόμα και υπόδηση κόμβων του δικτύου (spoofing / masquerading / impersonating), επιθέσεις άρνησης πρόσβασης (Denial of Service, DoS), επιθέσεις πλημμύρας (flooding), εισαγωγή κακόβουλου κώδικα (malware), παρακώλυση επικοινωνιών (jamming), κλπ. Slide: 31/67
Παθητικού και Ενεργητικού τύπου επιθέσεις /8 Είναι επίσης γεγονός πως με την εξέλιξη των ασύρματων δικτύων συνεχώς παρουσιάζονται και νέες παραλλαγές επιθέσεων. Μια από αυτές είναι η λεγόμενη drive-by-spamming. Σύμφωνα με αυτή, ο επιτιθέμενος που είναι εγκατεστημένος σε κινούμενο όχημα στέλνει εκατοντάδες χιλιάδες ενοχλητικά μηνύματα spam σε δίκτυα στα οποία έχει καταφέρει να αποκτήσει πρόσβαση. Slide: 32/67
Παθητικού και Ενεργητικού τύπου επιθέσεις /9 Μια κοινή επίθεση τύπου spoofing / masquerading / impersonating λαμβάνει χώρα όταν ο επιτιθέμενος είναι σε θέση να χρησιμοποιήσει ένα πλαστό στοιχείο δικτύου που εισάγεται κατάλληλα από αυτόν και ταυτόχρονα να το παρουσιάζει στους υπολοίπους σταθμούς ως απολύτως νόμιμο. Παραδείγματος χάριν, στο σύστημα GSM μόνο ο συνδρομητής αυθεντικοποιείται στο δίκτυο και όχι το αντίθετο (one-way authentication) Έτσι, ο επιτιθέμενος θα μπορούσε έχοντας στη διάθεσή του κατάλληλο εξοπλισμό να παριστάνει την κεραία και το σταθμό βάσης που συνδέονται οι συνδρομητές. Slide: 33/67
Παθητικού και Ενεργητικού τύπου επιθέσεις /10 Από την άλλη πλευρά Σε ένα δίκτυο τύπου WLAN ο επιτιθέμενος μπορεί να προσποιηθεί ένα σημείο ασύρματης πρόσβασης (rogue access point). Ο πλέον κοινός τρόπος για να προστατευτεί ένα ασύρματο τοπικό δίκτυο από μη εξουσιοδοτημένους χρήστες είναι το φιλτράρισμα των διευθύνσεων MAC. Με άλλα λόγια, ο διαχειριστής εισάγει π.χ. στο σημείο ασύρματης πρόσβασης ή στον RADIUS εξυπηρετητή μια λίστα με τις διευθύνσεις MAC που επιτρέπεται να έχουν πρόσβαση στο δίκτυο. Οι επιτιθέμενοι όμως έχουν τρόπο να παρακάμψουν σχετικά εύκολα τη συγκεκριμένη μέθοδο προστασίας αλλάζοντας κατάλληλα τη διεύθυνση MAC του προσαρμογέα δικτύου τους. Για παράδειγμα, στο λειτουργικό σύστημα Windows αυτό μπορεί να γίνει αλλάζοντας μια τιμή στο μητρώο του συστήματος. Εξάλλου, συνήθως οι διευθύνσεις MAC μεταδίδονται σε μορφή αρχικού κειμένου στα ασύρματα δίκτυα. Slide: 34/67
Επιθέσεις ενδιάμεσου και επιθέσεις μεταβολής πληροφοριών /1 Οι επιθέσεις τύπου MITM μπορούν να εκδηλωθούν με διαφόρους τρόπους σε ένα ασύρματο δίκτυο έχοντας κύριο στόχο να υπονομεύσουν την ακεραιότητα ή / και την εμπιστευτικότητα της συνόδου (session). Παραδείγματος χάριν, ο επιτιθέμενος μπορεί να υποδύεται ένα σταθμό βάσης σε ένα δίκτυο κινητών επικοινωνιών ή ένα σημείο ασύρματης πρόσβασης (AP) σε ένα τοπικό ασύρματο δίκτυο. Με αυτό τον τρόπο ενεργεί ως ενδιάμεσος μεταξύ του χρήστη και του νόμιμου δικτύου, υποκλέπτοντας και πιθανώς μεταβάλλοντας τις πληροφορίες που ανταλλάσσονται μεταξύ των δύο άκρων και κατόπιν προωθώντας τις κατάλληλα στον νόμιμο αποδέκτη τους. Slide: 35/67
Επιθέσεις ενδιάμεσου και επιθέσεις μεταβολής πληροφοριών /2 Υπάρχουν δύο τρόποι τουλάχιστον για την μεταβολή ενός μηνύματος. Ο πρώτος θεωρεί την επιτόπου (on-the-fly) αλλαγή του, ενώ ο δεύτερος εφαρμόζει τακτικές καταγραφής του μηνύματος, αλλαγής του και τέλος επαναπροώθησής του σε ύστερο χρόνο (store and forward). Η πρώτη μέθοδος αν και θεωρητικά εφαρμόσιμη είναι στην πράξη πολύ δύσκολο να υλοποιηθεί. Ημεταβολήτων(modification) πληροφοριών μπορεί να περιλαμβάνει και εισαγωγή (injection) παραπλανητικού ή κακόβουλου περιεχομένου και εντολών, αλλά και την τροποποίηση των δεδομένων σηματοδοσίας (control messages) του δικτύου, έτσι ώστε να προκαλείται κατάσταση DoS. Slide: 36/67
Επιθέσεις ενδιάμεσου και επιθέσεις μεταβολής πληροφοριών /3 Για παράδειγμα, ο επιτιθέμενος μπορεί εισάγοντας κατάλληλες εντολές να επιτύχει την βίαιη αποσύνδεση (disassociation) των χρηστών από το δίκτυο. Επίσης, ο εισβολέας είναι πιθανό να πλημμυρίσει (flood) το δίκτυο με μηνύματα σύνδεσης (connect messages) στα σημεία πρόσβασης αποκλείοντας με αυτό τον τρόπο τους εξουσιοδοτημένους χρήστες να συνδεθούν. Ο αποτελεσματικότερος τρόπος άμυνας για επιθέσεις αυτού του τύπου είναι η προστασία της ακεραιότητας (integrity) των δεδομένων που μεταδίδονται. Slide: 37/67
Επιθέσεις ενδιάμεσου και επιθέσεις μεταβολής πληροφοριών /4 Στην πράξη μια επίθεση MITM σε ασύρματο περιβάλλον ακολουθεί τα επόμενα βήματα: Ο επιτιθέμενος κρυφακούει για μηνύματα που προέρχονται από τη συσκευή του χρήστη και κατευθύνονται στη κεραία του δικτύου (π.χ. σε κάποιο σημείο πρόσβασης) Μόλις αντιληφθεί κάποιο μήνυμα το αποθηκεύει Αλλοιώνει το άθροισμα ελέγχου (checksum) του πλαισίου δεδομένων του μηνύματος, το οποίο χρησιμοποιείται από τον δέκτη προκειμένου να αντιληφθεί σφάλματα στα δεδομένα. Αυτό θα αναγκάσει το σημείο πρόσβασης να αγνοήσει το μήνυμα ως λανθασμένο (αλλοιωμένο). Η αλλοίωση μπορεί να γίνει εκπέμποντας μια ξαφνική ριπή θορύβου. Παραλλάσσει ένα μήνυμα επιβεβαίωσης (Acknowledgement) λήψης τοποθετώντας τη διεύθυνση του AP και ακολούθως το αποστέλλει στον σταθμό του χρήστη. Έτσι ο τελευταίος πιστεύει ότι το μήνυμα που έστειλε παρελήφθη κανονικά από το AP. Επανασυνθέτει το αρχικό μήνυμα υπολογίζοντας το άθροισμα ελέγχου και το προωθεί στο AP. Το τελευταίο πιστεύει πως το μήνυμα προέρχεται από το σταθμό του χρήστη. Αναμένει για μήνυμα επιβεβαίωσης από το AP προς το σταθμό του χρήστη και μόλις το αντιληφθεί εκπέμπει ριπή θορύβου έτσι ώστε το μήνυμα να αγνοηθεί από το δέκτη. Με αυτόν τον τρόπο ο δέκτης δεν θα λάβει δύο επιβεβαιώσεις για το ίδιο μήνυμα. Slide: 38/67
Επιθέσεις ενδιάμεσου και επιθέσεις μεταβολής πληροφοριών /5 Στην περίπτωση των δικτύων που ακολουθούν το πρότυπο IEEE 802.11, η τοποθέτηση από τον επιτιθέμενο ενός πλαστού σημείου πρόσβασης (rogue AP) αποτελεί στην ουσία μια παραλλαγή της επίθεσης τύπου MITM. Αν ο εισβολέας γνωρίζει το Service Set Identifier (SSID), το οποίο χαρακτηρίζει μοναδικά ένα δίκτυο WLAN, και το σημείο πρόσβασης που τοποθέτησε έχει αρκετά ισχυρό σήμα, τότε οι χρήστες δεν έχουν τρόπο να γνωρίζουν το που ακριβώς συνδέονται. Αυτό συμβαίνει διότι αν κάποια συσκευή πελάτη έχει διαμορφωθεί να συνδέεται π.χ. στο ασύρματο δίκτυο π.χ. με το SSID topwlan, τότε μόλις ενεργοποιηθεί θα αναζητήσει όλα τα διαθέσιμα APs με το συγκεκριμένο SSID. Τέλος, θα συνδεθεί με το AP που διαθέτει το δυνατότερο σήμα από όλα τα υπόλοιπα. Slide: 39/67
Επιθέσεις ενδιάμεσου και επιθέσεις μεταβολής πληροφοριών /6 Οι πληροφορίες που μπορεί να μεταδίδονται στο πλαστό σημείο πρόσβασης μπορεί να περιλαμβάνουν αιτήσεις αυθεντικοποίησης, μυστικά κλειδιά, κλπ. Επιπλέον, ο επιτιθέμενος μπορεί να διαθέτει ένα φορητό υπολογιστή με δύο προσαρμογείς δικτύου (network interfaces) έτσι ώστε ο ένας να χρησιμοποιείται μεταξύ του πλαστού AP και του υπολογιστή του, ενώ ο άλλος είναι επιφορτισμένος με το να προωθεί τα μηνύματα που λαμβάνονται από τον πρώτο στο νόμιμο AP. Ο αποτελεσματικότερος τρόπος άμυνας σε αυτού του είδους τις επιθέσεις είναι η φυσική διασφάλιση της περιοχής κάλυψης του ασύρματου δικτύου όπου αυτό είναι εφικτό, και η τακτική επιθεώρησή του με λογισμικό όπως το Netstumbler (http://www.netstumbler.com), το AiroPeek (http://www.wildpackets.com), κλπ. Slide: 40/67
Επιθέσεις παρεμβολών ή παρακώλυσης επικοινωνιών (Jamming) /1 Παρακώλυση ή παρεμπόδιση των επικοινωνιών έχουμε στην περίπτωση που το σήμα του πομπού, του δέκτη ή του σημείου ασύρματης πρόσβασης (π.χ. κεραία) σε μια ασύρματη ζεύξη παρεμποδίζεται ή αλλοιώνεται εξαιτίας κάποιων παρεμβολών ή θορύβων (noise) που προκαλούνται ηθελημένα ή αθέλητα. Οι τεχνικές jamming αναπτύχθηκαν ιδιαίτερα κατά τη διάρκεια αλλά και μετά το δεύτερο παγκόσμιο πόλεμο με χαρακτηριστικό παράδειγμα την παρακώλυση σημάτων ραντάρ. Το αποτέλεσμα της επίθεσης αυτής είναι να καταστεί το κανάλι επικοινωνίας ακατάλληλο. Γι αυτό το λόγο θεωρείται κατά βάση επίθεση που εντάσσεται στη γενική κατηγορία DoS και εκδηλώνεται κατά βάση στο φυσικό επίπεδο (PHY layer) του OSI μοντέλου. Το εύρος (range) της περιοχής παρεμβολών εξαρτάται άμεσα από την ισχύ του πομπού που έχει στη διάθεσή του ο επιτιθέμενος. Slide: 41/67
Επιθέσεις παρεμβολών ή παρακώλυσης επικοινωνιών (Jamming) /2 Είναι γνωστό ότι τα ασύρματα δίκτυα στο φυσικό επίπεδο του OSI μοντέλου χρησιμοποιούν τεχνολογίες απλωμένου φάσματος συχνοτήτων (ή αναπήδησης συχνοτήτων) (spread spectrum technology / Frequency hopping spread spectrum) προκειμένου να είναι ανθεκτικά σε παρεμβολές, θορύβους και παρακολουθήσεις. Ένας πομπός φάσματος συχνοτήτων αποστέλλει μηνύματα σε μια γκάμα (εύρος) συχνοτήτων σε αντίθεση με τους πομπούς τύπου narrow band που εκπέμπουν σε μια μοναδική συχνότητα. Παραδείγματα τεχνικών φάσματος συχνοτήτων είναι οι: Frequency Hopping Spread Spectrum (FHSS) (REF) π.χ. Bluetooth, η Direct Sequence Spread Spectrum (DSSS) (REF) π.χ. 802.11b και η Orthogonal Frequency Division Multiplexing (OFDM) π.χ. 802.11a, 802.11g, 802.16. Για παράδειγμα, στο Bluetooth τα δεδομένα τεμαχίζονται σε πακέτα και μεταδίδονται στο δέκτη του παραλήπτη χρησιμοποιώντας ένα αριθμό διαφορετικών συχνοτήτων (ή καναλιών-79 στο σύνολο σε διαστήματα του 1 MHz) ακολουθώντας ένα ψευδοτυχαίοπρότυποήμοντέλο(pseudorandom pattern). Με αυτό τον τρόπο, μόνο οι απολύτως συγχρονισμένοι μεταξύ τους πομποί και δέκτες στο ίδιο πρότυπο συχνοτήτων μπορούν να έχουν πρόσβαση στα δεδομένα που μεταδίδονται. Ο πομπός μεταβάλει τη συχνότητά του 1,600 φορές το δευτερόλεπτο προκειμένου να εξασφαλίζει ένα υψηλό επίπεδο ασφαλείας. Slide: 42/67
Επιθέσεις παρεμβολών ή παρακώλυσης επικοινωνιών (Jamming) /3 Ορισμένες φορές, οι παρεμβολές δεν διενεργούνται κακοβούλως αλλά οφείλεται στην παρουσία συσκευών όπως οι φούρνοι μικροκυμάτων, ασύρματα τηλέφωνα, Bluetooth συσκευές, συσκευές εποπτείας βρεφών, κλπ, που τυγχάνει να χρησιμοποιούν το ίδιο φάσμα συχνοτήτων με αυτό του ασύρματου δικτύου. Αυτό οφείλεται στο ότι οι περισσότερες ασύρματες τεχνολογίες WLAN χρησιμοποιούν τη μη αδειοδοτημένη περιοχή συχνοτήτων (Industrial, Scientific and Medical (ISM) radio band) των 2.4 GHz και την Unlicensed National Information Infrastructure (UNII) μπάντα των 5 GHz (802.11a), σύμφωνα με τους κανονισμούς που θέτει ο οργανισμός International Telecommunications Union (ITU) αλλά και ο υπεύθυνος οργανισμός σε κάθε κράτος, όπως για παράδειγμα ο Federal Communications Commission (FCC) στις Η.Π.Α. Παραδείγματος χάριν, τα τοπικά ασύρματα δίκτυα που ακολουθούν τα πρότυπα 802.11b, 802.11g λειτουργούν στην περιοχή των 2.4 GHz, ενώ αυτά του προτύπου 802.11a στην μπάντα των 5 GHz. Επίσης, γνωστή είναι η έννοια του παθητικού (passive) jamming με την έννοια ότι σε ορισμένα κτίρια οι τοίχοι κατασκευάζονται ή επενδύονται με τέτοιο υλικό ώστε να παρεμποδίζουν π.χ. το σήμα των κινητών τηλεφώνων. Slide: 43/67
Παράδειγμα παρεμβολών συχνοτήτων 2480 2480 2402 Time Σποραδικές συγκρούσεις συχνοτήτων μεταξύ Bluetooth και WLAN 2402 Time Αποφυγή συγκρούσεων όταν π.χ. το Bluetooth χρησιμοποιεί την τεχνική Adaptive Frequency Hopping (AFH) Slide: 44/67
Επιθέσεις παρεμβολών ή παρακώλυσης επικοινωνιών (Jamming) /4 Προκειμένου ο επιτιθέμενος να εξαπολύσει μια επίθεση παρεμβολής και παρακώλυσης επικοινωνιών σε ένα ασύρματο δίκτυο θα πρέπει πρώτα να αναλύσει το φάσμα συχνοτήτων που αυτό χρησιμοποιεί και κατόπιν να εκπέμψει με τη βοήθεια κάποιας σχετικής συσκευής ένα ισχυρό σήμα που συγκρούεται, παρεμποδίζει ή παρεμβαίνει (interfere) στις συχνότητες που το δίκτυο θύμα χρησιμοποιεί. Παραδείγματος χάριν, είναι γνωστό ότι ακόμα και μερικά χαμηλής ποιότητας ασύρματα τηλέφωνα μπορούν να προκαλέσουν παρεμβολές στην συχνότητα των 2.4 GHz, στην οποία όπως είπαμε λειτουργούν τα ασύρματα δίκτυα που ακολουθούν το πρότυπο 802.11b. Στη χειρότερη περίπτωση ο επιτιθέμενος μπορεί να παρεμβάλει όλο το διαθέσιμο φάσμα συχνοτήτων, οπότε οι προαναφερόμενες τεχνικές φάσματος συχνοτήτων και αναπήδησης συχνοτήτων δεν προσφέρουν καμία απολύτως προστασία Η παρεμπόδιση των επικοινωνιών που εκδηλώνεται (για παράδειγμα) εναντίον ενός συγκεκριμένου χρήστη ή σταθμού δίνει την ευκαιρία στον επιτιθέμενο να υποδυθεί το σταθμό αυτό. Παραδείγματος χάριν, η παρεμπόδιση του σήματος ενός AP του δικτύου, μπορεί να αναγκάσει όλους τους χρήστες να συνδεθούν στο ασύρματο σημείο πρόσβασης που εν τω μεταξύ εγκατέστησε ο επιτιθέμενος. Slide: 45/67
Επιθέσεις παρεμβολών ή παρακώλυσης επικοινωνιών (Jamming) /5 Από την άλλη πλευρά, έναςαπλόςτρόποςόπωςήδηειπώθηκε στα παραπάνω για την παρακώλυση των επικοινωνιών είναι η συνεχής πλημμύρα με άχρηστα δεδομένα των σημείων πρόσβασης έτσι ώστε αυτά να υπερφορτωθούν και να μην είναι διαθέσιμα στους εξουσιοδοτημένους χρήστες. Παραδείγματος χάριν, μια επίθεση στο επίπεδο δικτύου (network layer) μπορεί να εκδηλωθεί πλημμυρίζοντας το δίκτυο με πλήθος αιτήσεων ping (ping flood attack), αμέσως μόλις ο επιτιθέμενος αποκτήσει πρόσβαση σε ένα AP. Η εισαγωγή θορύβου (noise) είναι ακόμα μια αποτελεσματική τεχνική. Ο εισαγόμενος στο δίκτυο θόρυβος πρέπει να είναι χαμηλής εντάσεως (amplitude) έτσι ώστε να προκαλέσει το φαινόμενο θανάτου από επανειλημμένη προσπάθεια (Death by Retry, DBR). Αυτό συμβαίνει όταν ο δέκτης ζητάει συνεχώς την επανάληψη αποστολής των μηνυμάτων, που σκοπίμως δεν εκπέμπονται όπως πρέπει, με αποτέλεσμα να εμπλακεί σε κατάσταση ατέρμονα βρόγχου. Slide: 46/67
Επιθέσεις παρεμβολών ή παρακώλυσης επικοινωνιών (Jamming) /6 Επίσης, μια κοινή τεχνική για την εκδήλωση επίθεσης παρεμπόδισης επικοινωνιών που εκδηλώνεται όμως στο επίπεδο σύνδεσης δεδομένων (data link layer) του OSI μοντέλου είναι αυτή που εκμεταλλεύεται την ύπαρξη δύο ή περισσότερων κεραιών (diversity antennas) σε ένα AP. Ας υποθέσουμε ότι ένα AP διαθέτει δύο κεραίες. Η πρώτη(1) καλύπτει την περιοχή αριστερά, ενώ η δεύτερη (2) την περιοχή δεξιά του AP. Ως αποτέλεσμα, οι χρήστες Α και Β ευρισκόμενοι αριστερά και δεξιά του AP θα συνδεθούν στις κεραίες 1 και 2 αντίστοιχα. Ακολούθως, ο Β αλλάζει τη MAC διεύθυνσή του σε αυτή του A και μέσω ενός ενισχυτή ενισχύει το σήμα του έτσι ώστε να είναι τουλάχιστον ίσο ή (καλύτερα) δυνατότεροαπόαυτότουα. Τότε ο Α αποκλείεται από την επικοινωνία με το AP και για όσο διάστημα ο Β εξακολουθεί να εκπέμπει στη συγκεκριμένη MAC. Slide: 47/67
Επιθέσεις παρεμβολών ή παρακώλυσης επικοινωνιών (Jamming) /7 Slide: 48/67
Επιθέσεις παρεμβολών ή παρακώλυσης επικοινωνιών (Jamming) /8 Oι περισσότεροι χρήστες δεν έχουν τρόπο να αντιληφθούν ότι μια επίθεση παρακώλυσης είναι σε εξέλιξη. Γι αυτούς η συγκεκριμένη επίθεση εμφανίζεται σαν απουσία δικτύου και υπηρεσιών, όπως στην περίπτωση των κινητών τηλεφώνων όταν δεν υπάρχει δίκτυο. Οι διαχειριστές του δικτύου είναι τις περισσότερες φορές πολύ δύσκολο να ανακαλύψουν την πηγή των παρεμβολών γιατί κάτι τέτοιο απαιτεί φυσική επιτήρηση του χώρου. H απόκτηση μιας συσκευής παρεμβολών από το Διαδίκτυο για παράδειγμα δεν απαιτεί ιδιαίτερο κόστος (www.spyequipment.co.uk/jammers/jammers.html). Slide: 49/67
Βασικές αρχές ασφαλείας /1 Ορισμένες βασικές αρχές ασφαλείας, οι οποίες πρέπει να ακολουθούνται από όλους τους εμπλεκόμενους σε οποιοδήποτε δίκτυο. Πολύ περισσότερο στα δίκτυα ασύρματων και κινητών επικοινωνιών Slide: 50/67
Βασικές αρχές ασφαλείας /2 Μην επικοινωνείς με αγνώστους Μιλώντας για ασφάλεια αυτή η φράση σημαίνει ότι πρέπει να είσαι απολύτως βέβαιος (ή τουλάχιστον σχεδόν βέβαιος) για την ταυτότητα μιας συσκευής ή / και ενός χρήστη πριν επικοινωνήσεις μαζί του. Όλες οι παραδοσιακές μέθοδοι επικοινωνίας βασίζονται σε κάποιου είδους αναγνώριση της ταυτότητας του συνομιλητή. Παραδείγματος χάριν, όταν μιλάμε στο τηλέφωνο αναγνωρίζουμε το συνομιλητή από τη φωνή του αλλά και έμμεσα από το περιεχόμενο των πληροφοριών που μεταδίδει. Στην περίπτωση των ασύρματων ή κινητών δικτύων δεν αρκεί πάντοτε η επαλήθευση της ταυτότητας του συνομιλούντος στοιχείου δικτύου κάνοντας χρήση κάποιας διαδικασίας αυθεντικοποίησης (authentication). Είναι επίσης απαραίτητο να γνωρίζουμε ότι κάθε μήνυμα που λαμβάνουμε προέρχεται από συγκεκριμένο στοιχείο δικτύου. Η απλούστερη μέθοδος για να το επιτύχουμε αυτό είναι να ζητούμε από το συνομιλητή να αποδείξει ότι γνωρίζει ένα μυστικό κλειδί ή συνθηματικό (password). Αν αυτό ισχύει τότε η επικοινωνία μπορεί να ξεκινήσει. Η περαιτέρω ενσωμάτωση του μυστικού κλειδιού σε κάθε μήνυμα που λαμβάνεται ή αποστέλλεται μπορεί (υπό προϋποθέσεις) να εγγυηθεί την αυθεντικότητα των επιμέρους μηνυμάτων. Αυτό σημαίνει ότι αν οι επιτιθέμενοι δεν καταφέρουν με κάποιο τρόπο να αποκτήσουν το μυστικό κλειδί δεν θα είναι σε θέση να δημιουργήσουν αυθεντικά μηνύματα και να ξεγελάσουν τον πομπό ή το δέκτη. Στην ιδέα αυτή βασίζονται πολλά πρωτόκολλα ή μέθοδοι ασφαλείας των ασύρματων και κινητών επικοινωνιών, όπως ο μηχανισμός αυθεντικοποίησης του GSM, το WEP, κ.ά. Slide: 51/67
Βασικές αρχές ασφαλείας /3 Μην αποδέχεσαι τίποτα χωρίς εγγυήσεις Στο χώρο της ασφάλειας επικοινωνιών ο όρος εγγύηση σημαίνει εγγύηση αυθεντικότητας. Δηλαδή απόδειξη ότι κάποιο μήνυμα δεν έχει αλλοιωθεί. Αν και ο συνομιλητής πρέπει να αυθεντικοποιηθεί πριν γίνουν αποδεκτά τα μηνύματά του, δεν είμαστε σε θέση να γνωρίζουμε αν τα μηνύματα που λαμβάνουμε αμέσως μετά τη διαδικασία αυθεντικοποίησης είναι αυτά που αυτός έστειλε ή κατά κάποιο τρόπο αλλοιώθηκαν, καθυστέρησαν ή έχουν αντικατασταθεί εξ ολοκλήρου με κάποια άλλα. Παραδείγματος χάριν, ο εισβολέας τοποθετείται μεταξύ του πομπού και του δέκτη, λαμβάνει τα μηνύματα του πομπού, τα αλλοιώνει κατά το δοκούν και αμέσως μετά τα προωθεί στον δέκτη. Ο δέκτης δεν είναι σε θέση να γνωρίζει ποιος (τελικά) του έστειλε το μήνυμα. Επιπλέον, δεν έχει άλλο τρόπο να αντιληφθεί την αλλοίωση ενός μηνύματος παρά μόνο κοιτάζοντας τα περιεχόμενά του. Γιααυτότολόγοείναιαπαραίτητηηπροστασίατηςακεραιότητας των μηνυμάτων που μεταδίδονται μεταξύ των επικοινωνούντων στοιχείων δικτύου. Τη συγκεκριμένη αρχή υλοποιεί όπως θα δούμε ο μηχανισμός προστασίας της ακεραιότητας των μηνυμάτων σηματοδοσίας του UMTS. Slide: 52/67
Βασικές αρχές ασφαλείας /4 Όλοι πρέπει να αντιμετωπίζονται ως εν δυνάμει εχθροί μέχρι αποδείξεως του εναντίου: Στο ενσύρματο περιβάλλον του γραφείου μας είμαστε σε θέση - με κάποιο βαθμό βεβαιότητας - να γνωρίζουμε το που (π.χ. σε ποιο δίκτυο) συνδεόμαστε με την έννοια ότι τοποθετούμε το καλώδιο δικτύου στην πρίζα του τοίχου που ανήκει στην επιχείρηση στην οποία εργαζόμαστε. Αν ο συγκεκριμένος χώρος επιτηρείται σωστά και τα ερμάρια καλωδιώσεων είναι κλειδωμένα τότε μπορούμε να έχουμε ένα μεγάλο βαθμό εμπιστοσύνης στοδίκτυόμας. Αντίθετα, σε ένα ασύρματο περιβάλλον, οι σταθμοί των χρηστών είναι κατασκευασμένοι ώστε μόλις ενεργοποιούνται να αναζητούν τα δίκτυα με τα οποία μπορούν να συνδεθούν. Παραδείγματος χάριν, τα ασύρματα σημεία πρόσβασης (APs) ενός WLAN δημοσιοποιούν την ταυτότητά τους εκπέμποντας κατά διαστήματα σήματα ταυτότητας του δικτύου στο οποίο ανήκουν (beacon frames). Υπό αυτή την έννοια, δεν είναι καθόλου δύσκολο για οποιονδήποτε επιτιθέμενο να εγκαταστήσει ένα πλαστό AP στο απέναντι κτίριο ή στο φορτηγάκι του, το οποίο θα εκπέμπει την ταυτότητα του γνήσιου δικτύου αναμένοντας ότι πολλές συσκευές χρηστών θα εξαπατηθούν και θα συνδεθούν τελικά σε αυτό. Slide: 53/67
Βασικές αρχές ασφαλείας /5 Μην εμπιστεύεσαι κανέναν και τίποτα για μεγάλο διάστημα Όπως είδαμε η εγκαθίδρυση σχέσεων εμπιστοσύνης (trust) μεταξύ των επικοινωνούντων μερών είναι πολύ σημαντική (παράδειγμα;). Στην περίπτωση όμως των ασύρματων και κινητών δικτύων επικοινωνιών η τακτική αναθεώρηση αυτών των σχέσεων εμπιστοσύνης είναι και απαραίτητη. Συνήθως, η συσκευή μας επικοινωνεί μόνο με συσκευές άλλων χρηστών με τις οποίες έχει προηγουμένως ανταλλάξει κάποιου είδους τεκμήριο ασφάλειας (security token). Παραδείγματος χάριν, ένα μυστικό κλειδί, ένα ψηφιακό πιστοποιητικό, κλπ. Παρόλα αυτά, όλατατεκμήριαασφαλείαςέχουνσυνήθως περιορισμένη διάρκεια ζωής και πρέπει να ανανεώνονται τακτικά. Slide: 54/67
Βασικές αρχές ασφαλείας /6 Πάντα να χρησιμοποιείς καλά δοκιμασμένες και αποτελεσματικές λύσεις Πάγια τακτική στο χώρο της ασφάλειας επικοινωνιών είναι η δυσπιστία για καθετί καινούργιο, όπως μια νέα πολιτική, ένα νέο πρωτόκολλο ή μηχανισμός ασφαλείας. Παραδείγματος χάριν, ένας νέος αλγόριθμος κρυπτογράφησης θα πρέπει να τεθεί στη δοκιμασία του χρόνου για αρκετά μεγάλο διάστημα προκειμένου να μπορούμε να πούμε με κάποιο ποσοστό βεβαιότητας ότι είναι ασφαλής με τα μέσα που προς το παρόν διαθέτουμε. Επιπλέον, στο χώρο των ασύρματων και κινητών επικοινωνιών οι αλγόριθμοι κρυπτογράφησης και γενικά τα πρωτόκολλα ασφάλειας είναι σχεδιασμένα έτσι ώστε να είναι αποδοτικά σε φορητές συσκευές περιορισμένων δυνατοτήτων σε επεξεργαστική ισχύ και μνήμη. Αυτό φυσικά σημαίνει ότι οι επιτιθέμενοι έχοντας στη διάθεσή τους ισχυρά συστήματα μπορούν ευκολότερα να ανακαλύψουν εγγενείς αδυναμίες και να τις εκμεταλλευτούν προς όφελος τους. Χαρακτηριστικό παράδειγμα αποτελεί ο αλγόριθμος A5/1 του συστήματος GSM που αποδείχθηκε ανεπαρκής. Από την άλλη μεριά, το πρωτόκολλο ασφάλειας SSL/TLS έχει δοκιμαστεί επί μακρόν στα ενσύρματασυστήματαεπικοινωνιώνκαιέχειαποδείξειότιμπορείναπροσφέρει υψηλής ποιότητας υπηρεσίες ασφαλείας. Αντιθέτως, όπως είπαμε, η προσπάθεια δημιουργίας ενός «ελαφρύτερου» πρωτοκόλλου που θα βασίζονταν στο TLS και θα απευθύνονταν στα κινητά δίκτυα επικοινωνιών με το όνομα WTLS αντιμετώπισε στην πορεία σημαντικά προβλήματα ασφαλείας. Τέλος, οι μηχανισμοί ασφαλείας που χρησιμοποιούνται αποκλειστικά στην περιοχή των ασύρματων και κινητών επικοινωνιών θα πρέπει να αντιμετωπίζονται με σκεπτικισμό καθότι αρκετά νέοι ακόμα μέχρις ότου αποδείξουν ότι είναι πραγματικά ασφαλείς. Slide: 55/67
Βασικές αρχές ασφαλείας /7 Πάνταναβρίσκεσαισεεπιφυλακή Όλα τα συστήματα μη εξαιρουμένων του λογισμικού και του υλικού κατασκευάζονται κάνοντας κάποιες υποθέσεις συνειδητές ή ασυνείδητες. Συμπεριλαμβανομένων και των αναπόφευκτών κατασκευαστικών λαθών, τις υποθέσεις αυτές προσπαθούν οι επιτιθέμενοι να εκμεταλλευτούν. Παραδείγματος χάριν, οι υπεύθυνοι ανάπτυξης ενός αρθρώματος λογισμικού αναλυτή μηνυμάτων (parser module) για ένα εξυπηρετητή ή μια φορητή συσκευή μπορούν (ασυνείδητα) να υποθέσουν ότι ο εξυπηρετητής θα δέχεται πάντα σωστά μηνύματα κωδικοποιημένα σύμφωνα με τα ισχύοντα πρότυπα. Τι θα συμβεί όμως αν ένας επιτιθέμενος αρχίσει να αποστέλλει μηνύματα που ο αναλυτής του εξυπηρετητή δεν μπορεί να επεξεργαστεί; Ένα διαφορετικό παράδειγμα αποτελεί η δημιουργία ενός νέου ή η παράλλαξη ενός υπάρχοντος ιομορφικού λογισμικού, το οποίο τα ήδη εγκατεστημένα αντίμετρα δεν μπορούν να ανιχνεύσουν. Τέτοιου είδους ζητήματα υποδεικνύουν ότι πρέπει πάντα να είμαστε σε επιφυλακή προκειμένου να μπορούμε να αντιμετωπίσουμε νέες απειλές και παραλλαγμένους τρόπους επιθέσεων, που δεν έχουν ακόμα εκδηλωθεί και (λογικά) οι κατασκευαστές των συστημάτων που χρησιμοποιούμε δεν τις έχουν λάβει υπόψη. Με άλλα λόγια, κανένα προϊόν, μέθοδος, πρωτόκολλο, μηχανισμός ή πολιτική ασφάλειας δεν μπορεί να θεωρηθεί 100% ασφαλής, ακόμα και αν έχει δοκιμαστεί στην πράξη για μεγάλο χρονικό διάστημα. Slide: 56/67
Αρχιτεκτονική ασφαλείας και ασύρματα δίκτυα επικοινωνιών /1 Παραδοσιακά, μια αρχιτεκτονική ασφαλείας περιλαμβάνει δύο διακριτά τμήματα ή ζώνες: Την έμπιστη (trusted) και τη μη έμπιστη (untrusted) ζώνη ασφαλείας. Η έμπιστη ζώνη ορίζει την περιοχή στην οποία υπάρχει πλήρης έλεγχος σχετικά με το ποιος έχει πρόσβαση, σε ποιες υποπεριοχές ακριβώς και υπό ποιο καθεστώς (π.χ. τι είδους ενέργειες είναι εξουσιοδοτημένος να κάνει). Με άλλα λόγια, είναι μια πλήρως εποπτευόμενη και προστατευμένη ζώνη, όπως για παράδειγμα το σπίτι μας το βράδυ όπου έχει τεθεί σε λειτουργία ο συναγερμός ή το εσωτερικό τοπικό ενσύρματο δίκτυο της επιχείρησής μας. Κάποιος μπορεί με σχετική βεβαιότητα να υποθέσει ότι δεν υπάρχουν ή είναι πολύ δύσκολο να παρεισφρήσουν παρείσακτοι στη συγκεκριμένη περιοχή. Slide: 57/67
Αρχιτεκτονική ασφαλείας και ασύρματα δίκτυα επικοινωνιών /2 Από την άλλη μεριά, στη μη έμπιστη ζώνη καραδοκούν κάθε είδους κακόβουλοι χρήστες, που ενδέχεται να εξαπολύσουν μια πλειάδα επιθέσεων στα δεδομένα που μεταδίδονται μέσω αυτής. Κλασσικό παράδειγμα μη έμπιστης ζώνης αποτελεί το διαδίκτυο. Για οποιοδήποτε δίκτυο, τα προβλήματα ανακύπτουν ακριβώς στο σημείο διεπαφής των δύο αυτών ζωνών. Δηλαδή στο σημείο που οι δύο παραπάνω ζώνες συναντώνται. Τυπικά στο σημείο αυτό οι διαχειριστές του δικτύου τοποθετούν ένα ανάχωμα ασφαλείας (firewall) προκειμένου να προστατέψουν την έμπιστη ζώνη από αυτούς που βρίσκονται εκτός αυτής. Μη έμπιστη ζώνη Έμπιστη ζώνη Π.χ. εταιρικό δίκτυο Ανάχωμα ασφαλείας Slide: 58/67
Αρχιτεκτονική ασφαλείας και ασύρματα δίκτυα επικοινωνιών /3 Αλλά και πάλι, σημαντικά ζητήματα ασφαλείας προκύπτουν όταν εξουσιοδοτημένοι χρήστες που βρίσκονται στη μη έμπιστη ζώνη επιθυμούν να προσπελάσουν την έμπιστη. Παραδείγματος χάριν, οι αντιπρόσωποι μιας εταιρείας χρειάζεται να επικοινωνούν τακτικά με το εταιρικό (έμπιστο) δίκτυό τους ενώ βρίσκονται μακριά από αυτό. Μια λύση στο συγκεκριμένο πρόβλημα παρέχεται στο επίπεδο δικτύου του OSI μοντέλου με την ανάπτυξη εικονικών ιδιωτικών δικτύων (Virtual Private Network, VPN). Είναι γνωστό πως ένα VPN εκτείνει το έμπιστο τμήμα του δικτύου με τη δημιουργία έμπιστων, κρυπτογραφημένων διόδων (tunnels) μέσω των οποίων μπορούν να μεταφέρονται με ασφάλεια τα δεδομένα των χρηστών. Κάποιος θα μπορούσε να πει πως ένα VPN μοιάζει με τη μεταφορά πόσιμου νερού από ένα σημείο σε ένα άλλο μέσω ενός σωλήνα που εκτείνεται μέσα σε μια μολυσμένη περιοχή. Slide: 59/67
Αρχιτεκτονική ασφαλείας και ασύρματα δίκτυα επικοινωνιών /4 Slide: 60/67
Αρχιτεκτονική ασφαλείας και ασύρματα δίκτυα επικοινωνιών /5 Όλα τα παραπάνω λειτουργούν σχετικά καλά σε ενσύρματο περιβάλλον. Ισχύει το ίδιο όμως και για τα ασύρματα και κινητά δίκτυα επικοινωνιών; Και βέβαια το κρίσιμο ερώτημα σε σχέση με την παραπάνω διττή αρχιτεκτονική έμπιστης και μη έμπιστης ζώνης είναι το πού ακριβώς τα ασύρματα δίκτυα πρέπει να ενταχθούν. Θα πρέπει να τα τοποθετήσουμε μέσα στην έμπιστη ζώνη ή στη μη έμπιστη πίσω δηλαδή από το ανάχωμα ασφαλείας; Η συγκεκριμένη ερώτηση μπορεί να απαντηθεί με δύο τρόπους και όπως θα δούμε στα παρακάτω είναι βασικά θέμα των ιδιαίτερων συνθηκών που έχουμε να αντιμετωπίσουμε αλλά και διάφορων άλλων επιλογών. Slide: 61/67
Αρχιτεκτονική ασφαλείας και ασύρματα δίκτυα επικοινωνιών /6 Ορισμένες φορές είναι ξεκάθαρο ότι ένα ασύρματο δίκτυο πρέπει να θεωρείται ότι ανήκει στη μη έμπιστη ζώνη. Παραδείγματος χάριν, τα κινητά δίκτυα επικοινωνιών και τα WLAN που αναπτύσσονται σε δημόσιους χώρους όπως ένα αεροδρόμιο, ένας σιδηροδρομικός σταθμός ή ένα ξενοδοχείο ανήκουν σε αυτή την κατηγορία. Από την άλλη μεριά, ακόμα και το ασύρματο δίκτυο του σπιτιού ή της επιχείρησής μας μπορεί να θεωρηθεί ότι βρίσκεται στη μη έμπιστη ζώνη αφού το σήμα ταξιδεύει εκτός του κτιρίου και εύκολα μπορεί να παρακολουθηθεί από αυτούς που βρίσκονται έξω από αυτό. Επιπλέον, αν υποθέσουμε ότι τα ασύρματα σημεία πρόσβασης είναι συνδεδεμένα στο ενσύρματο τμήμα του δικτύου μας, όπως συνήθως συμβαίνει, και δεν υπάρχουν αξιόπιστοι μηχανισμοί ασφαλείας μπορούμε να πούμε ότι το σύνολο του δικτύου μας βρίσκεται σε κίνδυνο. Slide: 62/67
Αρχιτεκτονική ασφαλείας και ασύρματα δίκτυα επικοινωνιών /7 Slide: 63/67
Αρχιτεκτονική ασφαλείας και ασύρματα δίκτυα επικοινωνιών /8 Η προφανής απάντηση σε αυτές τις περιπτώσεις είναι η αντιμετώπιση όλων των χρηστών του ασύρματου τομέα δικτύου ως να ήταν απομακρυσμένοι χρήστες. Δηλαδή, να καταστήσουμε τη χρήση VPN γι αυτούς υποχρεωτική παρά το ότι μπορεί να βρίσκονται στο γραφείο τους μέσα στο κτίριο της επιχείρησης μαζί με όλους τους υπολοίπους. Η επιλογή αυτή μεταφράζεται στα εξής: Η κίνηση των δεδομένων των συγκεκριμένων χρηστών πρέπει να τυγχάνει επεξεργασίας από το VPN λογισμικό πριν ακόμα διοχετευτεί στο ασύρματο δίκτυο. Κατόπιν, μέσω των ασύρματων σημείων πρόσβασης τα δεδομένα θα πρέπει να περνούν πρώτα από το ανάχωμα ασφαλείας και έπειτα μέσω του VPN εξυπηρετητή πριν τελικά να φτάσουν στον προορισμό τους. Προσοχή όμως τα ασύρματα σημεία πρόσβασης πρέπει να συνδέονται στο ενσύρματο δίκτυο σε κατάλληλη διεπαφή εκτός της έμπιστης ζώνης δηλαδή πριν το ανάχωμα ασφαλείας. Όμως, η συγκεκριμένη λύση χαρακτηρίζεται από όλα τα γνωστά από τη βιβλιογραφία μειονεκτήματα των VPN, όπως για παράδειγμα αυξημένα διαχειριστικά κόστη π.χ. σε VPN λογισμικό, αυξημένη πολυπλοκότητα και μείωση της ταχύτητας του δικτύου, κλπ. Slide: 64/67
Αρχιτεκτονική ασφαλείας και ασύρματα δίκτυα επικοινωνιών /9 Slide: 65/67
Αρχιτεκτονική ασφαλείας και ασύρματα δίκτυα επικοινωνιών /10 Η δεύτερη επιλογή είναι να αντιμετωπίζουμε ένα ασύρματο δίκτυο ως αναπόσπαστο τμήμα της έμπιστης ζώνης. Βέβαια, αν και κάτι τέτοιο είναι αρκετά δύσκολο να πραγματωθεί στην περίπτωση των κινητών ασύρματων δικτύων επικοινωνιών και των ασύρματων δικτύων ευρείας περιοχής (W-WLAN), στα οποία το παρεχόμενο επίπεδο ασφαλείας έγκειται κυρίως στον πάροχο της υπηρεσίας είναι αρκετά εφικτό για τα δίκτυα τύπου WLAN. Κινούμενοι προς την κατεύθυνση αυτή πρέπει να καταστήσουμε τον ασύρματο τομέα του δικτύου μας πραγματικά ασφαλή, τόσο ώστε να παρέχει τουλάχιστον το ίδιο επίπεδο ασφάλειας με το ενσύρματο τμήμα της έμπιστης ζώνης. Βεβαίως, η προσέγγιση αυτή γεννά ένα ακόμα ερώτημα: είναιοιδιάφοροιμηχανισμοί ασφαλείας που προσφέρονται για τα ασύρματα και κινητά δίκτυα επικοινωνιών τόσο αποτελεσματικοί ώστε να μπορούν να εγγυηθούν σε υψηλό βαθμό μια λύση αυτής της μορφής; Αν ναι, τότε ασφαλώς και μπορούμε να εντάξουμε τα ασύρματα δίκτυα στην έμπιστη ζώνη υποθέτοντας ότι όλοι οι υπόλοιποι παράγοντες (διαχειριστές, χρήστες, κλπ) συνεργάζονται προς την ίδια κατεύθυνση. Slide: 66/67
Αρχιτεκτονική ασφαλείας και ασύρματα δίκτυα επικοινωνιών /11 Slide: 67/67