Захист інформації у бездротових мережах.

Останні кілька років спостерігається розквіт бездротових технологій. Все більшої популярності набувають мережі Wi-Fi (мережі стандартів 802.11a/b/g), і якщо раніше йшлося переважно про використання бездротових мереж в офісах та хот-спотах, то тепер вони широко застосовуються і в домашніх умовах, і для розгортання мобільних. офісів (офіси за умов відряджень). Спеціально для домашніх користувачів та невеликих офісів продаються точки бездротового доступу та бездротові маршрутизатори класу SOHO, а для мобільних користувачів – кишенькові бездротові маршрутизатори. Однак, приймаючи рішення про перехід до бездротової мережі, слід пам'ятати, що на нинішньому етапі розвитку вона має одну істотну ваду - недосконалість у плані безпеки. У цій статті ми розповімо про найбільш вразливі місця бездротових мереж і на практичних прикладах покажемо, яким чином вони зламуються. Отримані знання можна з успіхом використовувати для аудиту безпеки бездротових мереж, що дозволить уникнути традиційних помилок, які допускаються при розгортанні бездротових мереж. Спочатку ми розглянемо основні заходи безпеки, які застосовуються сьогодні для захисту бездротових мереж, а потім розповімо, як вони долаються зловмисниками.

Методи захисту бездротових мереж

Стандарти бездротових мереж 802.11a/b/g передбачають кілька механізмів безпеки:

• режим аутентифікації та шифрування даних за протоколом WEP (Wired Equivalent Privacy);
• режим аутентифікації та шифрування даних за протоколом WPA (Wi-Fi Protected Access);
• фільтрація за MAC-адресами;
• використання режиму прихованого ідентифікатора мережі.

Протокол WEP

Всі сучасні бездротові пристрої (точки доступу, бездротові адаптери та маршрутизатори) підтримують протокол безпеки WEP, який спочатку був закладений у специфікацію бездротових мереж IEEE 802.11.

Протокол WEP дозволяє шифрувати потік даних на основі алгоритму RC4 з ключем розміром 64 або 128 біт. Деякі пристрої підтримують ключі в 152, 256 і 512 біт, однак це швидше виняток з правила. Ключі мають так звану статичну складову довжиною 40 і 104 біт відповідно для 64 - і 128-бітних ключів, а також додаткову динамічну складову розміром 24 біта, яка називається вектором ініціалізації (Initialization Vector, IV).

На найпростішому рівні процедура WEP-шифрування виглядає так. Спочатку дані, що передаються в пакеті, перевіряються на цілісність (алгоритм CRC-32), після чого контрольна сума (Integrity Check Value, ICV) додається в службове поле заголовка пакета. Далі генерується 24-бітний вектор ініціалізації (IV), до якого додається статичний (40 або 104-бітний) секретний ключ. Отриманий таким чином 64 або 128-бітний ключ є вихідним ключем для генерації псевдовипадкового числа, використовуваного для шифрування даних. Далі дані змішуються (шифруються) за допомогою логічної операції XOR із псевдовипадковою ключовою послідовністю, а вектор ініціалізації додається у службове поле кадру.

На приймальній стороні дані можуть бути розшифровані, оскільки разом із ними передається інформація про вектор ініціалізації, а статична складова ключа зберігається у користувача, якому передаються дані.

Протокол WEP передбачає два способи автентифікації користувачів: Open System (відкрита) та Shared Key (загальна). При відкритій аутентифікації власне жодної аутентифікації не відбувається, тобто отримати доступ до бездротової мережі може будь-який користувач. Однак, навіть у разі відкритої системи допускається застосування WEP-шифрування даних.

Протокол WAP

У 2003 році був представлений ще один стандарт безпеки - WPA, головною особливістю якого є технологія динамічної генерації ключів шифрування даних, побудована на базі протоколу TKIP (Temporal Key Integrity Protocol), що є подальшим розвитком алгоритму шифрування RC4. За протоколом TKIP мережеві пристрої працюють з 48-бітовим вектором ініціалізації (на відміну від 24-бітового вектора WEP) та реалізують правила зміни послідовності його бітів, що виключає повторне використання ключів. У протоколі TKIP передбачена генерація нового, 128-бітного ключа для кожного пакета, що передається. Крім того, контрольні криптографічні суми WPA розраховуються за новим методом - MIC (Message Integrity Code). У кожен кадр тут міститься спеціальний восьмибайтний код цілісності повідомлення, перевірка якого дозволяє відображати атаки із застосуванням підроблених пакетів. У результаті виходить, що кожен пакет даних, що передається по мережі, має власний унікальний ключ, а кожен пристрій бездротової мережі наділяється динамічно змінним ключем.

Крім цього, протокол WPA підтримує шифрування за вдосконаленим стандартом AES (Advanced Encryption Standard), який відрізняється більш стійким у порівнянні з протоколами WEP і TKIP криптоалгоритмом.

При розгортанні бездротових мереж у домашніх умовах або в невеликих офісах зазвичай використовується варіант протоколу безпеки WPA на основі спільних ключів – WPA-PSK (Pre Shared Key). Надалі ми розглядатимемо лише варіант WPA-PSK, не торкаючись варіантів протоколу WPA, орієнтованих на корпоративні мережі, де авторизація користувачів здійснюється на окремому RADIUS-сервері.

При використанні WPA-PSK в установках точки доступу та профілях бездротового з'єднання клієнтів вказується пароль довжиною від 8 до 63 символів.

Фільтрування MAC-адрес

Фільтрування MAC-адрес, яка підтримується всіма сучасними точками доступу та бездротовими маршрутизаторами, хоча і не є складовою стандарту 802.11, проте, як вважається, дозволяє підвищити рівень безпеки бездротової мережі. Для реалізації цієї функції в налаштуваннях точки доступу створюється таблиця MAC-адрес бездротових адаптерів клієнтів, авторизованих для роботи в цій мережі.

Режим прихованого ідентифікатора мережі SSID

Ще один запобіжний засіб, який часто використовують у бездротових мережах, - це режим прихованого ідентифікатора мережі. Кожній бездротовій мережі призначається свій унікальний ідентифікатор (SSID), який є назвою мережі. При спробі користувача увійти в мережу драйвер бездротового адаптера спочатку сканує ефір на наявність бездротових мереж. При використанні режиму прихованого ідентифікатора (зазвичай цей режим називається Hide SSID) мережа не відображається в списку доступних і підключитися до неї можна тільки в тому випадку, якщо, по-перше, точно відомий її SSID, а по-друге, заздалегідь створений профіль підключення до цієї мережі.

Зламування бездротових мереж

Ознайомившись із основними методами захисту мереж стандартів 802.11a/b/g, розглянемо способи їх подолання. Зазначимо, що для злому WEP- та WPA-мереж використовується один і той же інструментарій, тому спочатку розповімо, що входить до арсеналу зловмисника.

Насамперед нам буде потрібно ноутбук з бездротовим адаптером. Основна проблема, що виникає в процесі підбору інструментів для злому бездротових мереж, - це сумісність між чіпом бездротового адаптера, використовуваним програмним забезпеченням, і операційною системою.

Вибір бездротового адаптера

Справа в тому, що більшість утиліт, що дозволяють зламувати бездротові мережі, заточені під Linux-системи. Існують версії деяких утиліт та під Windows XP. Однак, залежно від чіпа бездротового адаптера, певні бездротові карти можна використовувати з утилітами як під Linux-, так і під Windows XP-системи, а деякі бездротові адаптери можуть застосовуватися з утилітами тільки під Linux або тільки під Windows XP-системи. Є бездротові адаптери, які не підтримуються ні Linux, ні Windows XP-утилітами. Крім того, є такі чіпи, які хоч і підтримуються утилітами, працюють дуже повільно (у сенсі захоплення та аналізу пакетів).

Справа в тому, що для виконання завдання злому бездротових мереж необхідні спеціальні (нестандартні) драйвери для безпроводових мережних адаптерів. Штатними режимами будь-якого бездротового адаптера вважаються Infrastructure (Basic Service Set, BSS) та ad-hoc (Independent Basic Service Set, IBSS). У режимі Infrastructure кожен клієнт підключений до мережі через точку доступу, а в режимі ad-hoc бездротові адаптери можуть спілкуватися один з одним без використання точки доступу. Проте ці режими не дозволяють бездротовому адаптеру прослуховувати ефір і перехоплювати пакети. І в тому, і в іншому випадку мережевий адаптер ловитиме пакети, які призначені лише для тієї мережі, на яку він налаштований. Для того щоб можна було побачити інші мережі (мають прихований ідентифікатор ESSID) та захоплювати пакети, існує спеціальний режим моніторингу (Monitor mode), при переведенні в який адаптер не асоціюється з жодною конкретною мережею і ловить усі доступні пакети. Зазвичай драйвери, що постачаються виробником бездротового адаптера, не підтримують режим моніторингу, і для того, щоб задіяти його, необхідно встановити спеціальні драйвери, часто написані групою сторонніх розробників. Слід зазначити, що з операційних систем Windows такі спеціальні драйвери існують лише бездротових адаптерів, заснованих на чіпах Hermes, Realtek, Aironet і Atheros. Підтримка драйвером цього режиму для операційних систем сімейства Linux/BSD багато в чому визначається відкритістю специфікацій на карту, проте список пристроїв, що підтримуються, значно ширший, ніж для сімейства Windows. Драйвери для систем на ОС Linux/BSD з підтримкою режиму моніторингу можна знайти для бездротових адаптерів на основі наступних чіпсетів: Prism, Orinoco, Atheros, Ralink, Aironet, Realtek, Hermes та Intel, при цьому драйвери на основі чіпів Intel підходять далеко не всім пристроїв.

В даний час всі ноутбуки, засновані на мобільній технології Intel Centrino, мають вбудовані бездротові адаптери на базі чіпів від Intel (чіпи IPW2100, IPW2200, IPW2915, IPW3945), проте для наших цілей ці адаптери підходять погано - хоча вони сумісні з Linux-утилітами, використовуються для злому, працюють ці чіпи вкрай повільно, а з Windows-утилітами взагалі несумісні.

Вибір операційної системи

Щодо вибору операційної системи можна надати такі рекомендації. Linux-системи для цих цілей кращі, оскільки при використанні Linux набір можливих інструментів набагато ширший, та й працюють Linux-утиліти значно швидше. Але це зовсім не означає, що не можна застосовувати Windows XP разом з утилітами Windows. Надалі ми розглянемо обидва варіанти зламування бездротових мереж - тобто з використанням і Linux-, і Windows-утиліт. При цьому ми чудово розуміємо, що далеко не всі користувачі поспішають перейти з Windows на Linux. При всіх своїх недоліках ОС Windows поширена куди ширше, до того ж для початківця вона набагато простіше в освоєнні. Тому оптимальним, на наш погляд, варіантом є застосування на ноутбуці як основна операційна система Windows XP, а для завдань злому бездротової мережі - ОС Linux Live CD, що запускається з CD-диска і не потребує інсталяції на жорсткий диск комп'ютера. Найкращим рішенням у нашому випадку буде диск BackTrack, який побудований на основі ОС Linux (ядро версії 2.6.18.3) та містить усі необхідні пакети інструментів для зламування мереж. Образ цього диска можна завантажити з сайту за посиланням: http://www.remote-exploit.org/backtrack.html.

Набір програмного забезпечення

Традиційно для злому бездротових мереж використовується програмний пакет aircrack, який існує у версії як Windows XP (aircrack-ng 0.6.2-win), так і для Linux (aircrack-ng 0.7). Цей пакет розповсюджується абсолютно безкоштовно, і його можна завантажити з офіційного сайту www.aircrack-ng.org. Шукати будь-які інші утиліти просто не має сенсу, оскільки цей пакет є найкращим у своєму класі рішенням. Крім того, він (природно, Linux-версія) входить до диску BackTrack.

Зламування бездротових мереж з використанням Live CD-диску BackTrack

Отже, незалежно від того, яка операційна система у вас встановлена ​​на ноутбуці, для злому бездротової мережі ми скористаємося завантажувальним диском BackTrack. Зазначимо, що крім інструментарію, необхідного нам для злому бездротової мережі, цей диск містить багато інших утиліт, що дозволяють проводити аудит мереж (сканери портів, сніффери тощо). До речі, такий диск корисно мати будь-якому системному адміністратору, який займається аудитом мереж.

Злам будь-якої бездротової мережі з використанням диска BackTrack проводиться в три етапи (табл. 1):

• збір інформації про бездротову мережу;
• захоплення пакетів;
• аналіз пакетів.

На першому етапі необхідно зібрати детальну інформацію про бездротову мережу, яка зазнає злому: MAC-адреси точки доступу та активного клієнта бездротової мережі, назва мережі (ідентифікатор мережі) та тип використовуваного шифрування. Для цього застосовуються утиліти airmon-ng, airodump-ng та Kismet - перша з них необхідна для налаштування драйвера бездротового мережного адаптера на режим моніторингу бездротової мережі, а решта двох дозволяє отримати необхідну інформацію про бездротову мережу. Всі ці утиліти вже є на диску BackTrack.

Таблиця 1. Етапи зламування бездротової мережі за допомогою Live CD-диска BackTrack

Номер етапу	Опис	Використані утиліти	Результат
	Збір інформації про бездротову мережу	airmon-ng airodump-ng Kismet	MAC-адреса точки доступу, MAC-адреса активного клієнта, тип мережі, ідентифікатор мережі, тип шифрування (WEP, WPA-PSK), номер каналу зв'язку
	Перехоплення пакетів	airodump-ng Kismet airoplay-ng
	Аналіз пакетів		Підбір ключа	Підбір пароля

На наступному етапі проводиться захоплення пакетів з використанням утиліти airodump-ng. У тому випадку, коли в мережі використовується шифрування WEP, необхідно зібрати IV-пакети, що містять вектори ініціалізації. Якщо трафік у мережі невисокий (наприклад, клієнт неактивний), то для збільшення трафіку між клієнтом і точкою доступу можна використовувати утиліту airoplay-ng.

Якщо ж в мережі застосовується WPA-PSK-шифрування, необхідно зібрати пакети, в яких міститься інформація про процедуру аутентифікації клієнта в мережі (процедура handshake). Для того, щоб змусити клієнта пройти процедуру аутентифікації в мережі, можна за допомогою утиліти airoplay-ng ініціювати процес примусового відключення від мережі з подальшим відновленням з'єднання.

На останньому етапі проводиться аналіз перехопленої інформації за допомогою утиліти aircrack-ng. У разі WEP-шифрування ймовірність підбору ключа залежить від кількості зібраних IV-пакетів, а WPA-PSK-шифрування – від словника, який використовується для підбору пароля.

Практичні приклади

Після короткого опису процедури зламування бездротової мережі перейдемо до розгляду практичних прикладів з докладним описом кожного етапу та використовуваних утиліт.

У нашому випадку ми мали справу з експериментальною мережею, що складається з точки доступу D-Link DWL-7000AP та клієнта мережі з бездротовим PCI-адаптером Gigabyte GN-WPEAG.

Для злому мережі ми застосовували ноутбук із бездротовим PCMCIA-адаптером Gigabyte GN-WMAG на основі чіпа Atheros. Відзначимо, що при використанні диска BackTrack жодних додаткових драйверів для адаптера Gigabyte GN-WPEAG не потрібно - все вже є на диску.

Етап 1. Збір інформації про бездротову мережу

Отже, на першому етапі нам потрібно зібрати інформацію про бездротову мережу. Вставляємо в ноутбук бездротовий адаптер та завантажуємо з CD-диска операційну систему. Потім викликаємо консоль і запускаємо утиліту airmon-ng, що входить у пакет aircrack-ng.

Ця утиліта дозволяє визначити наявні бездротові інтерфейси та призначити режим моніторингу мережі на один із доступних інтерфейсів.

Синтаксис використання команди airmon-ng наступний:

airmon-ng ,

де опції визначають початок або зупинення режиму моніторингу, - бездротовий інтерфейс, підданий моніторингу, а необов'язковий параметр задає номер каналу бездротової мережі, який підданий моніторингу.

Спочатку команда airmon-ng визначається без параметрів, що дозволяє отримати список доступних бездротових інтерфейсів. Наприклад, у нашому випадку відповідь на команду airmon-ng була така:

Usage:airmon-ng

Interface Chipset Driver

wifi0 Atheros madwifi-ng

ath0 Atheros madwifi-ng VAP (parent: wifi0)

Вибравши як бездротовий інтерфейс wifi0, вводимо команду airmon-ng start wifi0. В результаті отримуємо ще один інтерфейс ath1, який знаходиться у режимі моніторингу (рис. 1).

Рис. 1. Встановлення режиму моніторингу бездротової мережі

Далі необхідно запустити утиліту airodump-ng, що застосовується одночасно і для захоплення пакетів бездротових мережах стандарту 802.11, і для збору інформації про бездротову мережу. Синтаксис використання команди наступний:

airodump-ng .

Можливі опції команди відображені у табл. 2.

Таблиця 2. Можливі опції команди airodump-ng

	Можливе значення	Опис
		Зберігати лише IV-пакети
		Використовувати демон GPS. У цьому випадку також будуть записуватись координати точки прийому
Write (або -w)	Назва файлу	Вказує назву файлу для запису. При вказуванні лише імені файлу він зберігатиметься у робочій директорії програми
		Записувати всі пакети без фільтрації
	Номер каналу (від 1 до 11)	Вказує номер каналу. За промовчанням відбувається прослуховування всіх каналів
		Вказівка ​​протоколу 802.11a/b/g

У нашому випадку режим моніторингу встановлено інтерфейс ath1.

Однак поки що ми не маємо інформації про тип мережі (802.11a/b/g), тип шифрування в мережі, а отже, не знаємо, які пакети потрібно перехоплювати (всі або IV-пакети). Тому спочатку не варто використовувати опції в команді airodump-ng, а потрібно вказати лише інтерфейс – це дозволить нам зібрати потрібну інформацію про мережу.

Таким чином, на першому етапі запускаємо команду airodump-ng за допомогою наступного синтаксису:

airodump-ng ath1

Це дозволить нам отримати необхідну інформацію про мережу, а саме:

• MAC-адреса точки доступу;
• MAC-адреса клієнта;
• тип мережі;
• ESSID мережі;
• тип шифрування;
• номер каналу зв'язку.

У прикладі, ввівши команду airodump-ng ath1, ми змогли визначити всі необхідні параметри мережі (рис. 2):

Рис. 2. Збір інформації про мережу
з використанням утиліти airodump-ng

• MAC-адреса точки доступу - 00:0D:88:56:33:B5;
• MAC-адреса клієнта - 00:0E:35:48:C4:76
• тип мережі – 802.11g;
• ESSID мережі – dlinkG;
• тип шифрування – WEP;
• номер каналу зв'язку – 11.

Зазначимо, що утиліта airodump-ng дозволяє визначати ідентифікатор мережі (ESSID) незалежно від того, чи на точці доступу встановлено режим прихованого ідентифікатора (Hidden SSID) чи ні.

Для збору інформації про мережу можна також використовувати утиліту Kismet, що входить у диск BackTrack, - на відміну від airodump-ng, вона дозволяє зібрати куди більше інформації про бездротову мережу і в цьому сенсі є повноцінним і найкращим у своєму класі аналізатором бездротових мереж. Ця утиліта має графічний інтерфейс (рис. 3), що значно полегшує роботу з нею.

Рис. 3. Збір інформації про мережу
за допомогою утиліти Kismet

Етап 2. Перехоплення пакетів

Після того, як зібрана детальна інформація про бездротову мережу, можна приступати до перехоплення пакетів за допомогою тих же утиліт, які застосовувалися для збору інформації про мережу - airodump-ng або Kismet. Однак у цьому випадку нам знадобиться дещо інший синтаксис команд.

WEP-шифрування

Спочатку розглянемо варіант, коли у мережі використовується WEP-шифрування. У цьому випадку нам потрібно відфільтрувати лише пакети з вектором ініціалізації (IV-пакети) і записати їх у файл, який буде застосовуватися для підбору ключа.

Наприклад, якщо відомо, що мережа, що атакується, є мережею типу 802.11g, в ній використовується шифрування WEP і передача ведеться на 11-му каналі, то синтаксис команди для перехоплення пакетів може бути наступний:

airodump-ng --ivs –w dump --band g --channel 11 ath1

У цьому прикладі ми записуємо у файл з ім'ям dump тільки IV-пакети. Імовірність успішного підбору ключа залежить від кількості накопичених IV-пактів та довжини ключа. Як правило, при довжині ключа 128 біт достатньо накопичити близько 1-2 млн IV-пакетів, а при довжині ключа 64 біта - близько декількох сотень тисяч пакетів. Однак наперед довжина ключа невідома і жодна утиліта не дозволяє її визначити. Тому для аналізу бажано перехопити не менше 1,5 млн. пакетів. На рис. 4 показаний приклад захоплення 1137637 IV-пакетів в утиліті airodump-ng.

Рис. 4. Захоплення пакетів за допомогою утиліти airodump-ng

Кількість перехоплених пакетів інтерактивно відображається в утиліті airodump-ng, а для зупинки процесу захоплення пакетів потрібно просто натиснути на комбінацію клавіш Ctrl+C.

Утиліта Kismet також можна використовувати для захоплення пакетів. Власне, процес перехоплення починається відразу після запуску утиліти, а запис проводиться у файл із розширенням dump, який зберігається у робочій директорії програми. Однак, на відміну від утиліти airodump-ng, в даному випадку неможливо відфільтрувати лише IV-пакети та задати номер каналу зв'язку. Тому у разі застосування утиліти Kismet ефективність (швидкість накопичення) пакетів нижча, а кількість пакетів, які необхідно перехопити, має бути більшою, ніж при використанні утиліти airodump-ng.

Часто при перехопленні пакетів виникає ситуація, коли відсутня інтенсивний обмін трафіком між точкою доступу та клієнтом, тому, щоб накопичити необхідну для успішного злому мережі кількість пакетів, доводиться чекати дуже довго. Однак цей процес можна прискорити, примусово змусивши спілкуватися клієнта з точкою доступу за допомогою утиліти aireplay-ng (рис. 5). Ця утиліта запускається паралельно з утилітою airodump-ng, для чого потрібно запустити ще одну консольну сесію.

Рис. 5. Застосування утиліти aireplay-ng для ініціалізації трафіку
між точкою доступу та клієнтом

Синтаксис команди наступний:

aireplay-ng

Ця команда має дуже багато різноманітних опцій, з якими можна ознайомитися, запустивши команду без параметрів.

Для наших цілей синтаксис команди виглядатиме так:

aireplay -ng -e dlinkG -a 00:0d:88:56:33:b5 -c 00:0f:ea:91:7d:95 --deauth 20 ath1

У цьому випадку параметр -e dlinkG визначає ідентифікатор бездротової мережі; параметр -a 00:0d:88:56:33:b5 - MAC-адреса точки доступу; параметр -c 00:0f:ea:91:7d:95 - MAC-адреса клієнта; опція --deauth 20 - атаку на розрив з'єднання (20 разів) з наступною автентифікацією клієнта. При аутентифікації клієнта трафік між ним та точкою доступу різко підвищується і кількість пакетів, які можна перехопити, зростає. За необхідності можна збільшити кількість розривів з'єднання або повторювати цю команду, доки не накопичиться потрібна кількість пакетів.

WPA-PSK-шифрування

При WPA-PSK-шифруванні в бездротовій мережі алгоритм перехоплення пакетів дещо інший. В даному випадку нам не потрібно відфільтровувати IV-пакети, оскільки при WPA-PSK-шифруванні їх просто не існує, але й захоплювати всі пакети поспіль теж не має сенсу. Власне, все, що нам потрібно, - це невелика частина трафіку між точкою доступу та клієнтом бездротової мережі, в якій містилася б інформація про процедуру автентифікації клієнта в мережі (процедура handshake). Але для того, щоб перехопити процедуру автентифікації клієнта в мережі, перш за все її необхідно примусово ініціювати за допомогою утиліти aireplay-ng.

Тому при WPA-PSK-шифруванні алгоритм перехоплення пакетів буде наступним. Відкриваємо дві консольні сесії і в першій сесії запускаємо команду на примусове роз'єднання мережі з подальшою повторною ідентифікацією клієнта (утиліта aireplay-ng, атака деаутентифікації), а в другій сесії з паузою в одну-дві секунди запускаємо команду на перехоплення пакетів (утиліта ). Синтаксиси команд такі:

aireplay–ng -e dlinkG -a 00:0d:88:56:33:b5 -c 00:0f:ea:91:7d:95 -deauth 10 ath1

airodump-ng-w dump-band g-channel 11 ath1

Як бачите, синтаксис команди aireplay-ng такий самий, як і при WEP-шифруванні, коли дана команда використовувалася для ініціалізації трафіку між точкою доступу та клієнтом мережі (єдина відмінність - це менша кількість пакетів на деаутентифікацію). У синтаксисі команди airodump-ng відсутній фільтр IV-пакетів.

Процес захоплення пакетів потрібно продовжувати лише кілька секунд, оскільки при активованій атаці деаутентифікації ймовірність захоплення handshake-пакетів практично стовідсоткова.

Етап 3. Аналіз пакетів

На останньому етапі проводиться аналіз перехоплених пакетів із використанням утиліти aircrack-ng, яка запускається у консольній сесії. Звісно, ​​синтаксис команди aircrack-ng різний для WEP- і WPA-PSK-шифрування. Загальний синтаксис команди наступний:

aircrack-ng

Можливі опції команди представлені у табл. 3. Зазначимо, що як файли, що містять перехоплені пакети (capture file(s)), можна вказувати кілька файлів з розширенням *.cap або *.ivs. Крім того, при зломі мереж з WEP-шифруванням утиліти airodump-ng та aircrack-ng можуть запускатися одночасно (застосовуються дві консольні сесії). При цьому aircrack-ng автоматично оновлюватиме базу IV-пакетів.

Таблиця 3. Можливі опції команди aircrack-ng

	Можливе значення	Опис
	1 = static WEP, 2 = WPA-PSK	Задає тип атаки (WEP або WPA-PSK)
		Якщо задана опція, будуть використовуватися всі IV-пакети з тим самим значенням ESSID. Ця опція також застосовується для зламування мереж WPA-PSK, якщо ESSID не є широкомовним (режим прихованого ідентифікатора мережі)
	MAC-адреса точки доступу	Вибір мережі на основі MAC-адреси точки доступу
		Режим прихованої роботи. Інформація не відображається доти, доки не знайдено ключа або ключа неможливо підібрати
		Для WEP-мереж обмежує підбір ключа лише набором цифр та літер
		Для WEP-мереж обмежує підбір ключа лише набором шістнадцяткових символів
		Для WEP-мереж обмежує підбір ключа лише набором цифр
		Для WEP-мереж задає початок ключа у шістнадцятковому форматі. Використовується для налагодження програми
	MAC-адреса клієнта	Для WEP-мереж задає фільтр пакетів за MAC-адресою клієнта. -m ff:ff:ff:ff:ff:ff використовується для збору всіх IV-пакетів
	64 (для 40-бітного ключа) 128 (для 104-бітного ключа) 152 (для 128-бітного ключа) 256 (для 232-бітного ключа) 512 (для 488-бітного ключа)	Для WEP-мереж задає довжину ключа. За замовчуванням довжина ключа становить 104 біти
		Для WEP-мереж вказує на збір IV-пакетів, які мають заданий індекс ключів (від 1 до 4). За замовчуванням опція ігнорується
		Параметр застосовується при зломі WEP-мереж - для 104-бітного ключа значення за замовчуванням дорівнює 2, для 40-бітних ключів - 5. Більше високе значення даного параметра дозволяє обчислювати ключі з меншою кількістю пакетів, але за більш тривалий час
		Використовується при зломі WEP-мереж. Даний параметр дозволяє виключити конкретні типи korek-атак (загалом існує 17 типів korek-атак)
		Застосовується при зломі WEP-мереж. Забороняє пошук останнього символу у ключі
		Використовується при зломі WEP-мереж. Дозволяє пошук останнього символу в ключі (за замовчуванням)
		Застосовується при зломі WEP-мереж. Дозволяє пошук двох останніх символів у ключі
		Використовується при зломі WEP-мереж. Забороняє застосування кількох процесорів у SMP-системах
		Застосовується при зломі WEP-мереж. Дозволяє використовувати спеціальний (експериментальний) тип атаки для вибору ключа. Застосовується у випадку, коли стандартні атаки не дозволяють знайти ключ при використанні понад 1 млн. IV-пакетів.
	Шлях до словника	При WPA-PSK-атаці задає шлях до використовуваного словника

При використанні WEP-шифрування основна проблема полягає в тому, що ми не знаємо довжину ключа, що використовується для шифрування. Тому можна спробувати перебрати кілька варіантів довжини ключа, що задається параметром -n. Якщо цей параметр не вказується, то за замовчуванням довжина ключа встановлюється в 104 біта (-n 128).

Якщо відома деяка інформація про сам ключ (наприклад, він складається тільки з цифр, або тільки з літер, або тільки з набору літер і цифр, але не містить спеціальних символів), можна скористатися опціями -с, -t і -h.

У нашому випадку ми застосовували команду aircrack-ng у наступному синтаксисі:

aircrack-ng –a 1 –e dlinkG –b 00:0d:88:56:33:b5 –c 00:0f:ea:91:7d:95 –n 128 dump.ivs.

Тут вказівка ​​MAC-адреси точки доступу та клієнта, а також ESSID мережі є зайвою, оскільки використовувалися лише одна точка доступу та один бездротовий клієнт. Однак якщо клієнтів кілька і є кілька точок доступу, необхідно вказувати і ці параметри.

В результаті нам вдалося підібрати 128-бітний ключ лише за 25 с (рис. 6). Як бачите, злом мережі на основі WEP-шифрування не є серйозною проблемою, проте він далеко не завжди закінчується успіхом. Може виявитися, що для підбору ключа накопичено недостатньо IV-пакетів.

Рис. 6. Підбір 128-бітного ключа
з використанням утиліти aircrack-ng

При WPA-PSK-шифруванні використовується наступний синтаксис команди:

aircrack-ng –a 2 –e dlinkG–b 00:0d:88:56:33:b5 –w dict dump.cap.

У разі ймовірність позитивного результату, тобто ймовірність підбору пароля цілком, залежить від словника. Якщо пароль у словнику є, він буде знайдено. Словник, який використовується програмою aircrack-ng, необхідно попередньо підмонтувати в робочу папку програми або прописати повний шлях до словника. Добірку добрих словників можна знайти на сайті www.insidepro.com. Якщо ж і вони не допоможуть, то, швидше за все, пароль є безглуздим набором символів. Все-таки словники містять слова або фрази, а також зручні сполучення клавіш, що легко запам'ятовуються. Відомо, що довільний набір символів у словниках відсутня. Але навіть у цьому випадку вихід є. Деякі утиліти, призначені для підбору паролів, вміють генерувати словники із заданого набору символів та максимальної довжини слова. Прикладом програми є PasswordPro v.2.2.5.0.

Проте ще раз зазначимо, що ймовірність злому WPA-PSK-паролю дуже невисока. Якщо пароль заданий над вигляді будь-якого слова, а є випадкове поєднання букв і цифр, то підібрати його неможливо.

Узагальнення

Підбиваючи підсумок усьому розказаному вище про злом бездротових мереж, вкотре перерахуємо основні етапи цього процесу використовувані кожному з них команди.

Етап 1. Збір інформації про мережу:

Airmon-ng start wifi0;

Airodump-ng ath1.

Етап 2. Збір пакетів:

• випадок WEP:

Airodump-ng --ivs -w dump --band g --channel 11 ath1,

Aireplay -ng -e dlinkG -a 00:0d:88:56:33:b5 -c 00:0f:ea:91:7d:95 --deauth 20 ath1

(При недостатньому трафіку. Команда запускається в окремій консольній сесії);

• випадок WPA-PSC:

-aireplay-ng -e dlinkG -a 00:0d:88:56:33:b5 -c 00:0f:ea:91:7d:95 --deauth 10 ath1,

Airodump-ng -w dump --band g --channel 11 ath1

(Команда запускається в окремій консольній сесії).

Етап 3. Аналіз пакетів:

• випадок WEP:

Aircrack-ng -a 1 -e dlinkG -b 00:0d:88:56:33:b5 -c 00:0f:ea:91:7d:95 -n 128 dump.ivs;

• випадок WPA-PSK:

Aircrack-ng -a 2 -e dlinkG-b 00:0d:88:56:33:b5 -w dict dump.cap.

Взлом бездротових мереж за допомогою пакету aircrack-ng 0.6.2-win та ОС Windows XP

Як ми вже відзначали на початку статті, існує версія пакету aircrack-ng 0.6.2-win, яку підтримує операційна система Windows XP. Відразу відзначимо, що можливості пакета не настільки великі в порівнянні з його Linux-аналогом, а тому, якщо немає стійкого упередження проти Linux, краще використовувати варіант з диском BackTrack.

Перше, з чим доведеться зіткнутися у разі застосування Windows-версії програми aircrack-ng, це необхідність заміни штатних драйверів від виробника бездротового мережевого адаптера на спеціальні драйвери, які підтримують режим моніторингу та перехоплення пакетів. Причому, як і у випадку з Linux-версією програми, конкретна версія драйвера залежить від чіпа, на якому побудовано адаптер мережі. Наприклад, при використанні нашого бездротового PCMCIA-адаптера Gigabyte GN-WMAG на базі чіпа Atheros AR5004 ми використовували драйвер версії 5.2.1.1 від компанії WildPackets.

Сама процедура злому бездротової мережі за допомогою Windows-версії пакету aircrack-ng досить проста і концептуально повторює процедуру злому бездротових мереж за допомогою Linux-версії пакета. Вона виконується зазвичай у три етапи: збір інформації про мережу, перехоплення пакетів та його аналіз.

Для початку роботи з утилітою необхідно запустити файл Aircrack-ng GUI.exe, що має зручний графічний інтерфейс і є, по суті, графічною оболонкою для всіх утиліт, що входять в пакет aircrack-ng 0.6.2-win. У головному вікні програми (мал. 7) є кілька закладок, перемикаючись між якими можна активувати необхідні утиліти.

Рис. 7. Головне вікно утиліти Aircrack-ng GUI

Для збору необхідної інформації про мережу необхідно перейти на закладку airdump-ng, після чого в окремому вікні запуститься утиліта airdump-ng 0.6.2.

Під час запуску програми airdump-ng 0.6.2 (мал. 8) відкриється діалогове вікно, в якому потрібно вказати бездротовий мережевий адаптер (Network interface index number), тип чіпа мережного адаптера (Network interface type (o/a)), номер безпроводового каналу зв'язку (Channel(s): 1 to 14, 0=all) (якщо номер каналу невідомий, можна сканувати всі канали). Крім того, задається ім'я вихідного файлу, в якому зберігаються пакети (Output filename prefix), і вказується, чи потрібно захоплювати всі пакети повністю (CAP-файли) або тільки частина пактів з векторами ініціалізації (IVS-файли) (Only write WEP IVs (y/n)). При WEP-шифруванні для підбору секретного ключа досить сформувати тільки IVS-файл, а при використанні WPA-PSK-шифрування буде потрібно cap-файл. За замовчуванням IVS- або СAP-файли створюються в тій же директорії, що програма airdump-ng 0.6.2.

Рис. 8. Налаштування утиліти airdump-ng 0.6.2

Після налаштування всіх опцій утиліти airodump-ng 0.6.2 відкриється інформаційне вікно, в якому відображається інформація про виявлені точки бездротового доступу, інформація про клієнтів мережі та статистика перехоплених пакетів (мал. 9).

Рис. 9. Інформаційне вікно утиліти airodump-ng 0.6.2

Якщо точок доступу кілька, то видаватиметься статистика щодо кожної з них.

Насамперед необхідно записати MAC-адресу точки доступу, SSID бездротової мережі та MAC-адресу одного з підключених до неї клієнтів (якщо їх кілька). Потім потрібно почекати, доки не буде перехоплено достатню кількість пакетів. Для зупинки процесу захоплення пакетів (роботи утиліти) є комбінація клавіш Ctrl+C. Зазначимо, що у Windows-версії пакета не передбачено способів, що дозволяють примусово збільшити трафік між точкою доступу та клієнтом мережі (нагадаємо, що у Linux-версії пакета для цього передбачена утиліта aireplay-ng).

Основна проблема при зломі WPA-PSK-мереж з використанням Windows-версії програми Aircrack-ng GNU 0.6.2 полягає в тому, що в CAP-файл необхідно захопити саму процедуру ініціалізації клієнта в мережі, тобто доведеться посидіти «в засідці» із запущеною програмою airodump-ng. Після того, як у CAP-файл захоплена процедура ініціалізації клієнта мережі, можна зупинити програму airodump і приступити до процесу розшифровки. Власне, накопичувати перехоплені пакети в даному випадку не потрібно, оскільки для обчислення секретного ключа застосовуються лише пакети, що передаються між точкою доступу та клієнтом під час ініціалізації.

У разі WEP-шифрування після формування вихідного IVS-файлу можна приступати до його аналізу за допомогою утиліти aircrack-ng 0.6.2, для запуску якої знову необхідно відкрити головне вікно програми Aircrack-ng GUI на відповідній закладці та налаштувати утиліту aircrack-ng. При WEP-шифруванні налаштування утиліти полягає в тому, щоб задати довжину WEP-ключа, вказати ESSID бездротової мережі, задати MAC-адресу точки доступу, виключити деякі типи атак (RoreK-атаки), задати при необхідності набір символів, що використовується для ключа, та і т.д. Тут передбачені ті самі налаштування, що й у випадку Linux-версії даної утиліти. Різниця лише в тому, що у Linux-версії всі налаштування вказуються у вигляді опцій у командному рядку, а у Windows-версії для налаштування утиліти застосовується зручний графічний інтерфейс (рис. 10).

Рис. 11. Результат аналізу IVS-файлу
утилітою aircrack-ng 0.6.2

Результат аналізу IVS-файлу показано на рис. 11. Навряд чи рядок KEY FOUND! потребує коментарів. Зверніть увагу: секретний ключ було обчислено лише за 1 с!

При WPA-PSK-шифруванні в налаштуваннях утиліти aircrack-ng 0.6.2 як вихідний файл необхідно використовувати саме CAP-, а не IVS-файл. Крім того, потрібно вказати шлях до словника, що застосовується для злому, який попередньо встановлюється в директорію з програмою aircrack-ng 0.6.2 (рис. 12).

Рис. 12. Результат аналізу ivs-файлу
утилітою aircrack-ng 0.6.2

Результат аналізу CAP-файлу показано на рис. 13. Однак слід мати на увазі, що позитивний результат пошуку ключа можливий тільки в тому випадку, якщо пароль присутній у словнику, що аналізується.

Рис. 13. Результат аналізу CAP-файлу

Обхід захисту фільтра за MAC-адресами

На початку статті ми відзначали, що крім WEP- і WPA-PSK-шифрування часто використовуються і такі функції, як режим прихованого ідентифікатора мережі та фільтрація за MAC-адресами. Вони зазвичай належать до функцій забезпечення безпеки бездротового з'єднання.

Як ми вже продемонстрували з прикладу пакета aircrack-ng, покладатися на режим прихованого ідентифікатора мережі взагалі не можна. Згадана утиліта airodump-ng все одно покаже вам SSID мережі, який згодом можна використовувати для створення профілю підключення (несанкціонованого!) до мережі.

Ну а якщо говорити про такий захід безпеки, як фільтрація за MAC-адресами, то тут взагалі все дуже просто. В Інтернеті можна знайти досить багато різноманітних утиліт і під Linux, і під Windows, які дозволяють замінювати MAC-адресу мережного інтерфейсу. Як приклад можна навести такі Windows-утиліти: SMAC 2.0 (утиліта платна, http://www.klcconsulting.net/smac), MAC MakeUP (утиліта безкоштовна, www.gorlani.com/publicprj/macmakeup/macmakeup.asp - рис 14) або MAC Spoofer 2006 (утиліта безкоштовна).

Рис. 14. Підміна MAC-адреси за допомогою утиліти MAC MakeUP

Здійснивши таку заміну, можна прикинутися своїм та реалізувати несанкціонований доступ до бездротової мережі. Причому обидва клієнти (справжній і непроханий) будуть абсолютно спокійно існувати в одній мережі з однією MAC-адресою, більш того - у цьому випадку непроханому гостю буде присвоєно таку саму IP-адресу, як і у справжнього клієнта мережі.

Висновки

Отже, подолати всю систему безпеки бездротової мережі на базі WEP-шифрування не важко. Можливо, багато хто скаже, що це неактуально, оскільки WEP-протокол вже давно помер - його не використовують. На зміну йому прийшов стійкіший протокол WPA. Однак не поспішатимемо з висновками. Це справді так, але лише частково. Справа в тому, що в деяких випадках для збільшення радіусу дії бездротової мережі розгортаються так звані розподілені бездротові мережі (WDS) на базі кількох точок доступу. Найцікавіше полягає в тому, що такі мережі не підтримують WPA-протокол і єдиною допустимою мірою безпеки в даному випадку є застосування WEP-шифрування. При цьому зламуються WDS-мережі так само, як і мережі на базі однієї точки доступу. Крім того, КПК, оснащені бездротовим модулем, теж не підтримують протокол WPA, тому для включення клієнта на базі КПК у бездротову мережу необхідно використовувати протокол WEP. Отже, протокол WEP ще довгий час буде потрібний у бездротових мережах.

Розглянуті нами приклади злому бездротових мереж дуже наочно демонструють їхню вразливість. Якщо говорити про WEP-протокол, його можна порівняти із захистом «від дурня». Це приблизно те саме, що сигналізація на машині - тільки від хуліганів і рятує. Що стосується таких запобіжних заходів, як фільтрація за MAC-адресами і режим прихованого ідентифікатора мережі, то їх взагалі розглядати як захист не можна. Тим не менш, навіть такими засобами не варто нехтувати, правда тільки в комплексі з іншими заходами.

Протокол WPA, хоч і набагато складніший для злому, але теж уразливий. Втім, не варто падати духом – не все так безнадійно. Справа в тому, що успіх злому секретного WPA-ключа залежить від того, є він у словнику чи ні. Стандартний словник, який ми використовували, має розмір трохи більше 40 Мбайт, що загалом не так багато. Після трьох спроб ми зуміли підібрати ключ, якого не було у словнику, і злом мережі виявився неможливим. Кількість слів у цьому словнику - всього 6475760, що, звичайно ж, дуже мало. Можна використовувати словники і більшої ємності, наприклад, в Інтернеті можна замовити словник на трьох CD-дисках, тобто розміром майже в 2 Гбайт, але навіть містить далеко не всі можливі паролі. Дійсно, давайте приблизно розрахуємо кількість паролів завдовжки від 8 до 63 символів, які можна сформувати з використанням 26 літер англійського алфавіту (з урахуванням регістрів), десяти цифр та 32 літер російського алфавіту. Вийде, що кожен символ можна вибрати 126 способами. Відповідно, якщо враховувати тільки паролі довжиною 8 символів, то кількість можливих комбінацій складе 1268=6,3·1016. Якщо розмір кожного слова довжиною 8 символів становить 8 байт, то розмір такого словника становитиме 4,5 млн. Тбайт. Адже це тільки комбінації з восьми символів! Який вийде словник, якщо перебрати всі можливі комбінації від 8 до 63 символів?! Не треба бути математиком, щоб підрахувати, що розмір такого словника становитиме приблизно 1,2 10119 Тбайт.

Так що не варто зневірятися. Шанс, що пароль, який ви використовуєте, не міститься в словнику, великий. Просто при виборі пароля не слід використовувати слова, які мають сенс. Найкраще, якщо це буде безладний набір символів - щось типу «FGпроукqweRT4j563апп».

Що в наш час може бути важливішим, ніж захист своєї домашньої Wi-Fi мережі 🙂 Це дуже популярна тема, на яку вже тільки на цьому сайті написана не одна стаття. Я вирішив зібрати всю необхідну інформацію з цієї теми на одній сторінці. Зараз ми докладно розберемося щодо захисту Wi-Fi мережі. Розкажу та покажу, як захистити Wi-Fi паролем, як правильно це зробити на роутерах різних виробників, який метод шифрування вибрати, як підібрати пароль, і що потрібно знати, якщо ви задумали змінити пароль бездротової мережі.

У цій статті ми поговоримо саме про захист домашньої бездротової мережі. І про захист лише паролем. Якщо розглядати безпеку якихось великих мереж в офісах, то там до безпеки краще підходити трохи інакше (як мінімум, інший режим автентифікації). Якщо ви вважаєте, що одного пароля мало для захисту Wi-Fi мережі, то я б радив вам не морочитися. Встановіть хороший, складний пароль за цією інструкцією і не турбуйтеся. Навряд чи хтось витрачатиме час і сили, щоб зламати вашу мережу. Так, можна ще приховати ім'я мережі (SSID), і встановити фільтрацію за MAC-адресами, але це зайві проблеми, які в дійсності будуть тільки приносити незручності при підключенні та використанні бездротової мережі.

Якщо ви думаєте про те, чи захищати свій Wi-Fi, чи залишити мережу відкритою, то рішення тут може бути тільки одним – захищати. Так, інтернет безлімітний, та практично у всіх будинках встановлений свій роутер, але до вашої мережі з часом все рівно хтось підключиться. А навіщо нам це, адже зайві клієнти, це надмірне навантаження на роутер. І якщо він у вас не дорогий, то цього навантаження він просто не витримає. А ще, якщо хтось підключиться до вашої мережі, він зможе отримати доступ до ваших файлів (якщо настроєна локальна мережа), і доступ до настройок вашого роутера (адже стандартний пароль admin, який захищає панель управління, ви, швидше за все, не змінили).

Обов'язково захищайте свою Wi-Fi мережу хорошим паролем із правильним (сучасним) методом шифрування. Встановлювати захист я раджу одразу при налаштуванні маршрутизатора. А ще, добре б час від часу змінювати пароль.

Якщо ви переживаєте, що вашу мережу хтось зламає, або вже це зробив, то просто змініть пароль і живіть спокійно. До речі, так як ви все одно будете заходити в панель управління свого роутера, я б ще радив, який використовується для входу в налаштування маршрутизатора.

Правильний захист домашньої Wi-Fi мережі: який метод шифрування вибрати?

У процесі встановлення пароля вам потрібно буде вибрати метод шифрування Wi-Fi мережі (метод автентичності). Я рекомендую встановлювати тільки WPA2 - Personal, із шифруванням за алгоритмом AES. Для домашньої мережі, це найкраще рішення, на даний момент найновіше та надійне. Саме такий захист рекомендують встановлювати виробники маршрутизаторів.

Тільки за умови, що у вас немає старих пристроїв, які ви захочете підключити до Wi-Fi. Якщо після налаштування у вас якісь старі пристрої відмовляться підключатися до бездротової мережі, то можна встановити протокол WPA (З алгоритмом шифрування TKIP). Не раджу встановлювати протокол WEP, тому що він уже застарілий, не безпечний і легко можна зламати. Та й можуть виникнути проблеми з підключенням нових пристроїв.

Поєднання протоколу WPA2 - Personal із шифруванням за алгоритмом AES, це оптимальний варіант для домашньої мережі. Сам ключ (пароль) має бути мінімум 8 символів. Пароль повинен складатися з англійських букв, цифр та символів. Пароль чутливий до регістру літер. Тобто, "111AA111" та "111aa111" - це різні паролі.

Я не знаю, який у вас роутер, тому підготую невеликі інструкції для найпопулярніших виробників.

Якщо після зміни або встановлення пароля у вас виникли проблеми з підключенням пристроїв до бездротової мережі, дивіться рекомендації в кінці цієї статті.

Раджу відразу записати пароль, який ви встановлюватимете. Якщо ви забудете його, то доведеться встановлювати новий, або .

Захищаємо Wi-Fi паролем на роутерах Tp-Link

Підключаємось до роутера (по кабелю, або по Wi-Fi), запускаємо будь-який браузер та відкриваємо адресу 192.168.1.1, або 192.168.0.1 (адреса для вашого роутера, а також стандартні ім'я користувача та пароль вказані на наклейці знизу самого пристрою). Вкажіть ім'я користувача та пароль. За замовчуванням це admin і admin. У , я докладніше описував вхід у налаштування.

У налаштуваннях перейдіть на вкладку Wireless(Бездротовий режим) - Wireless Security(Захист бездротового режиму). Встановіть позначку біля методу захисту WPA/WPA2 - Personal(Recommended). У меню, що випадає Version(версія) виберіть WPA2-PSK. У меню Encryption(шифрування) встановіть AES. У полі Wireless Password(Пароль PSK) вкажіть пароль для захисту своєї мережі.

Установка пароля на роутерах Asus

У налаштуваннях нам потрібно відкрити вкладку Бездротова мережа, та виконати такі налаштування:

• У меню "Метод автентичності" вибираємо WPA2 - Personal.
• "Шифрування WPA" – встановлюємо AES.
• У полі "Попередній ключ WPA" записуємо пароль для нашої мережі.

Щоб зберегти налаштування, натисніть кнопку Застосувати.

Підключіть пристрої до мережі вже з новим паролем.

Захищаємо бездротову мережу роутера D-Link

Зайдіть до налаштувань свого роутера D-Link за адресою 192.168.0.1. Можете дивитися докладну інструкцію. У налаштуваннях відкрийте вкладку Wi-Fi - налаштування безпеки. Встановіть тип безпеки та пароль, як на скріншоті нижче.

Встановлення пароля на інших маршрутизаторах

У нас ще є докладні інструкції для роутерів ZyXEL і Tenda. Дивіться посилання:

Якщо ви не знайшли інструкції для свого роутера, то налаштувати захист Wi-Fi мережі ви зможете на панелі керування своїм маршрутизатором, в розділі налаштувань, який називається: налаштування безпеки, бездротова мережа, Wi-Fi, Wireless і т. д. Знайти я думаю буде не складно. А які установки встановлювати, я думаю ви вже знаєте: WPA2 - Personal і шифрування AES. Та й ключ.

Якщо не зможете розібратися, запитуйте у коментарях.

Що робити, якщо пристрої не підключаються після встановлення зміни пароля?

Дуже часто, після установки, а особливо зміни пароля, пристрої, які раніше були підключені до вашої мережі, не хочуть до неї підключатися. На комп'ютерах це зазвичай помилки "Параметри мережі, збережені на цьому комп'ютері, не відповідають вимогам цієї мережі" і "Windows не вдалося підключитися до…". На планшетах і смартфонах (Android, iOS) також можуть з'являтися помилки типу "Не вдалося підключитися до мережі", "Підключено, захищено" і т.д.

Вирішуються ці проблеми простим видаленням бездротової мережі, і повторним підключенням вже з новим паролем. Як видалити мережу Windows 7, я писав . Якщо у вас Windows 10, то потрібно "забути мережу". На мобільних пристроях натисніть на свою мережу, потримайте та виберіть "Вилучити".

Якщо проблеми зі з'єднанням спостерігаються на старих пристроях, то встановіть у налаштуваннях роутера протокол захисту WPA та шифрування TKIP.

Ця стаття присвячена питанню безпеки під час використання бездротових мереж WiFi.

Вступ - вразливість WiFi

Головна причина вразливості даних користувача, коли ці дані передаються через мережі WiFi, полягає в тому, що обмін відбувається по радіохвилі. І це дає можливість перехоплення повідомлень у будь-якій точці, де фізично доступний сигнал WiFi. Спрощено кажучи, якщо сигнал точки доступу можна вловити на дистанції 50 метрів, то перехоплення всього мережевого трафіку цієї мережі WiFi можливе в радіусі 50 метрів від точки доступу. У сусідньому приміщенні, на другому поверсі будівлі, на вулиці.

Уявіть таку картину. В офісі локальна мережа побудована через Wi-Fi. Сигнал точки доступу цього офісу ловиться за межами будівлі, наприклад, на автостоянці. Зловмисник, за межами будівлі, може отримати доступ до офісної мережі, тобто непомітно для власників цієї мережі. До мереж WiFi можна отримати доступ легко та непомітно. Технічно значно легше, ніж до провідних мереж.

Так. На сьогоднішній день розроблено та впроваджено засоби захисту WiFi мереж. Такий захист заснований на шифруванні всього трафіку між точкою доступу та кінцевим пристроєм, який підключений до неї. Тобто радіосигнал перехопити зловмисник може, але для нього це буде просто цифрове "сміття".

Як працює захист Wi-Fi?

Точка доступу, включає в свою WiFi мережу тільки той пристрій, який надішле правильний (зазначений в налаштуваннях точки доступу) пароль. У цьому пароль теж пересилається зашифрованим, як хеша. Хеш це результат незворотного шифрування. Тобто дані, переведені в хеш, розшифрувати не можна. Якщо зловмисник перехопить хеш пароля, він не зможе отримати пароль.

Але як точка доступу дізнається правильний вказаний пароль чи ні? Якщо вона також отримує хеш, а розшифрувати його не може? Все просто – в налаштуваннях точки доступу пароль вказаний у чистому вигляді. Програма авторизації бере чистий пароль, створює з нього хеш і потім порівнює цей хеш із отриманим від клієнта. Якщо хеші збігаються, значить у клієнта пароль правильний. Тут використовується друга особливість хешей – вони унікальні. Одинаковий хеш не можна отримати із двох різних наборів даних (паролей). Якщо два хеші збігаються, значить, вони обидва створені з однакового набору даних.

До речі. Завдяки цій особливості хеш використовуються для контролю цілісності даних. Якщо два хеша (створені з проміжком часу) збігаються, то вихідні дані (за цей проміжок часу) не були змінені.

Тим не менш, не дивлячись на те, що найсучасніший метод захисту WiFi мережі (WPA2) надійний, ця мережа може бути зламана. Яким чином?

Є дві методики доступу до мережі під захистом WPA2:

1. Підбір пароля на основі паролів (так званий перебір за словником).
2. Використання вразливості у функції WPS.

У першому випадку зловмисник перехоплює хеш пароля до точки доступу. Потім за базою даних, у якій записані тисячі, чи мільйони слів, виконується порівняння хешів. Зі словника береться слово, генерується хеш для цього слова і потім цей хеш порівнюється з тим хешом, який був перехоплений. Якщо на точці доступу використовується примітивний пароль, тоді зламування пароля, цієї точки доступу, питання часу. Наприклад, пароль з 8 цифр (довжина 8 символів це мінімальна довжина пароля для WPA2) це один мільйон комбінацій. На сучасному комп'ютері зробити перебір одного мільйона значень можна за кілька днів або годин.

У другому випадку використовується вразливість перших версіях функції WPS. Ця функція дозволяє підключити до точки доступу пристрій, на якому не можна ввести пароль, наприклад, принтер. При використанні цієї функції пристрій та точка доступу обмінюються цифровим кодом і якщо пристрій надішле правильний код, точка доступу авторизує клієнта. У цій функції була вразливість – код був із 8 цифр, але унікальність перевірялася лише чотирма з них! Тобто для злому WPS потрібно зробити перебір всіх значень, які дають 4 цифри. В результаті зламування точки доступу через WPS може бути виконаний буквально за кілька годин, на будь-якому, найслабшому пристрої.

Налаштування захисту мережі WiFi

Безпека мережі WiFi визначається настройками точки доступу. Декілька цих налаштувань прямо впливають на безпеку мережі.

Режим доступу до мережі WiFi

Точка доступу може працювати в одному з двох режимів – відкритому або захищеному. У випадку відкритого доступу, будь-який пристрій може підключитися до точки досутності. У разі захищеного доступу під'єднується лише той пристрій, який передає правильний пароль доступу.

Існує три типи (стандарту) захисту WiFi мереж:

• WEP (Wired Equivalent Privacy). Найперший стандарт захисту. Сьогодні фактично не забезпечує захист, оскільки зламується дуже легко завдяки слабкості механізмів захисту.
• WPA (Wi-Fi Protected Access). Хронологічно другий стандарт захисту. На момент створення та введення в експлуатацію забезпечував ефективний захист WiFi мереж. Але наприкінці нульових років було знайдено можливості для злому захисту WPA через вразливість у механізмах захисту.
• WPA2 (Wi-Fi Protected Access). Останній стандарт захисту. Забезпечує надійний захист за дотримання певних правил. На сьогоднішній день відомі лише два способи злому захисту WPA2. Перебір пароля за словником та обхідний шлях через службу WPS.

Таким чином, для забезпечення безпеки WiFi необхідно вибирати тип захисту WPA2. Однак, не всі клієнтські пристрої можуть його підтримувати. Наприклад, Windows XP SP2 підтримує лише WPA.

Крім вибору стандарту WPA2, необхідні додаткові умови:

Використання методу шифрування AES.

Пароль для доступу до мережі WiFi необхідно складати так:

1. Використовуйтелітери та цифри у паролі. Довільний набір букв і цифр. Або дуже рідкісне, значуще лише для вас, слово або фразу.
2. Невикористовуйте прості паролі на кшталт ім'я + дата народження, або якесь слово + кілька цифр, наприклад lena1991або dom12345.
3. Якщо потрібно використовувати тільки цифровий пароль, його довжина повинна бути не менше 10 символів. Тому що восьмисимвольний цифровий пароль підбирається шляхом перебору за реальний час (від декількох годин до декількох днів, залежно від потужності комп'ютера).

Якщо ви будете використовувати складні паролі відповідно до цих правил, то вашу WiFi мережу не можна буде зламати методом підбору пароля за словником. Наприклад, для пароля виду 5Fb9pE2a(довільний буквено-цифровий), максимально можливо 218340105584896 комбінацій. Сьогодні це практично неможливо для підбору. Навіть якщо комп'ютер порівнюватиме 1 000 000 (мільйон) слів на секунду, йому знадобиться майже 7 років для перебору всіх значень.

WPS (Wi-Fi Protected Setup)

Якщо точка доступу має функцію WPS (Wi-Fi Protected Setup), потрібно вимкнути її. Якщо ця функція необхідна, потрібно переконатися, що її версія оновлена ​​до наступних можливостей:

1. Використання всіх 8 символів пінкод замість 4-х, як це було спочатку.
2. Увімкнення затримки після кількох спроб передачі неправильного пінкоду з боку клієнта.

Додаткова можливість покращити захист WPS – це використання цифробуквенного пінкоду.

Безпека громадських мереж WiFi

Сьогодні модно користуватися Інтернет через WiFi мережі у громадських місцях – у кафе, ресторанах, торгових центрах тощо. Важливо розуміти, що використання таких мереж може призвести до крадіжки ваших персональних даних. Якщо ви входите в Інтернет через таку мережу і потім виконуєте авторизацію на будь-якому сайті, то ваші дані (логін та пароль) можуть бути перехоплені іншою людиною, яка підключена до цієї мережі WiFi. Адже на будь-якому пристрої, який пройшов авторизацію і підключений до точки доступу, можна перехоплювати мережевий трафік з усіх інших пристроїв цієї мережі. А особливість громадських мереж WiFi в тому, що до неї може підключитися будь-який бажаючий, у тому числі зловмисник, причому не лише до відкритої мережі, а й захищеної.

Що можна зробити для захисту своїх даних, при підключенні до Інтернету через громадську WiFi мережу? Є лише одна можливість – використовувати протокол HTTPS. В рамках цього протоколу встановлюється зашифроване з'єднання між клієнтом (браузером) та сайтом. Але не всі веб-сайти підтримують протокол HTTPS. Адреси на сайті, що підтримує протокол HTTPS, починаються з префіксу https://. Якщо адреси на сайті мають префікс http:// це означає, що на сайті немає підтримки HTTPS або вона не використовується.

Деякі сайти за замовчуванням не використовують HTTPS, але мають цей протокол і його можна використовувати, якщо явним чином (вручну) вказати префікс https://.

Що стосується інших випадків використання Інтернет - чати, скайп тощо, то для захисту цих даних можна використовувати безкоштовні або платні сервери VPN. Тобто, спочатку підключатися до сервера VPN, а вже потім використовувати чат або відкритий сайт.

Захист пароля WiFi

У другій і третій частинах цієї статті я писав, що у випадку використання стандарту захисту WPA2, один зі шляхів злому WiFi мережі полягає в підборі пароля за словником. Але для зловмисника є ще одна можливість отримати пароль до вашої мережі WiFi. Якщо ви зберігаєте ваш пароль на стікері, приклеєному до монітора, це дає можливість побачити цей пароль сторонній людині. А ще ваш пароль може бути вкрадений з комп'ютера, який підключений до вашої WiFi мережі. Це може зробити стороння людина, якщо ваші комп'ютери не захищені від доступу сторонніх. Це можна зробити за допомогою шкідливої ​​програми. Крім того, пароль можна вкрасти і з пристрою, який виноситься за межі офісу (будинки, квартири) - зі смартфона, планшета.

Таким чином, якщо вам потрібний надійний захист вашої мережі WiFi, необхідно вживати заходів і для надійного зберігання пароля. Захищати його від доступу сторонніх осіб.

Якщо вам виявилася корисною або просто сподобалася ця стаття, тоді не соромтеся - підтримайте матеріально автора. Це легко зробити закинувши грошики на Яндекс Гаманець № 410011416229354. Або на телефон +7 918-16-26-331 .

Навіть невелика сума може допомогти написання нових статей:)

Шифрування даних у бездротових мережах приділяється так багато уваги через самий характер подібних мереж. Дані передаються бездротовим способом, використовуючи радіохвилі, причому у випадку використовуються всеспрямовані антени. Таким чином, дані чують усі не тільки той, кому вони призначені. Звичайно, відстані, на яких працюють бездротові мережі (без підсилювачів або спрямованих антен), невеликі – близько 100 метрів за ідеальних умов. Стіни, дерева та інші перешкоди сильно гасять сигнал, але це все одно не вирішує проблеми.

Спочатку для захисту використовувався лише SSID (ім'я мережі). Але SSID передається у відкритому вигляді і ніхто не заважає зловмиснику його підслухати, а потім підставити у своїх налаштуваннях потрібний. Не кажучи вже про те, що (це стосується точок доступу) може бути включений широкомовний режим SSID, тобто. він примусово розсилатиметься в ефір для всіх, хто слухає.

Тому виникла потреба саме в шифруванні даних. Першим таким стандартом став WEP – Wired Equivalent Privacy. Шифрування здійснюється за допомогою 40 або 104-бітного ключа (потокове шифрування з використанням алгоритму RC4 на статичному ключі). Сам же ключ є набір ASCII-символів довжиною 5 (для 40-бітного) або 13 (для 104-бітного ключа) символів. Набір цих символів переводиться в послідовність шістнадцяткових цифр, які є ключем. Драйвера багатьох виробників дозволяють вводити замість набору ASCII-символів безпосередньо шістнадцяткові значення (той самої довжини). Алгоритми перекладу з ASCII-послідовності символів у шістнадцяткові значення ключа можуть відрізнятися у виробників, тому, якщо в мережі використовується різнорідне бездротове обладнання та налаштування WEP шифрування з використанням ключа-ASCII-фрази ніяк не вдається, необхідно ввести замість неї ключ у шістнадцятковому поданні.

Реально шифрування даних відбувається з використанням ключа довжиною 40 або 104. Але крім ASCII-фрази (статичної складової ключа) є ще таке поняття, як Initialization Vector (IV) – вектор ініціалізації. Він служить для рандомізації частини ключа, що залишилася. Вектор вибирається випадково і динамічно змінюється під час роботи. В принципі, це розумне рішення, тому що дозволяє ввести випадкову складову в ключ. Довжина вектора дорівнює 24 біт, тому загальна довжина ключа в результаті виходить рівною 64 (40 +24) або 128 (104 +24) біт.

Алгоритм шифрування (RC4), що використовується, в даний час не є особливо стійким - при великому бажанні, за відносно невеликий час можна підібрати ключ перебором. Але все ж таки головна вразливість WEP пов'язана саме з вектором ініціалізації. Довжина IV становить лише 24 біти. Це дає приблизно 16 мільйонів комбінацій – 16 мільйонів різних векторів. У реальній роботі всі можливі варіанти ключів будуть використані за проміжок від десяти хвилин до кількох годин (для 40-бітного ключа). Після цього вектор почнуть повторюватися. Зловмиснику достатньо набрати достатню кількість пакетів, просто прослухавши трафік бездротової мережі та знайти ці повтори. Після цього вибір статичної складової ключа (ASCII-фрази) не займає багато часу.

Багато виробників вбудовують у софт (або апаратну частину бездротових пристроїв) перевірку на подібні вектори, і, якщо подібні трапляються, вони мовчки відкидаються, тобто. не беру участь у процесі шифрування.

Для підвищення безпеки бездротових мереж було розроблено протокол WPA (Wi-Fi Protected Access – захищений доступ Wi-Fi). Протокол WPA був покликаний закрити слабкі місця бездротової мережі, де використовується WEP. Специфікація вимагає, щоб мережеві елементи були оснащені засобами динамічної генерації ключів та використовували удосконалену схему шифрування даних RC4 на основі TKIP (Temporal Key Integrity Protocol- Протокол короткострокової цілісності ключів).У такий спосіб вдалося підвищити захищеність пакетів та забезпечити зворотну сумісність із WEP, нехай навіть за рахунок додаткового навантаження на мережеві канали. Крім того, контрольні криптографічні суми WPA розраховуються за новим методом під назвою Michael. Кожний кадр 802.11 тут містить спеціальний восьмибайтний код цілісності повідомлення, перевірка якого дозволяє відображати атаки із застосуванням підроблених пакетів.

Всі пристрої з підтримкою WPA проводять обов'язкову аутентифікацію 802.1х за допомогою протоколу EAP (Extensible Authentication Protocol - Розширений протокол аутентифікації). При цьому застосовується сервер RADIUS (Remote Authentication Dial- In User Service - служба дистанційної аутентифікації користувачів по комутованих лініях)або заздалегідь заданий загальний ключ.

Аутентифікація 802.1х заснована на клієнт-серверній архітектурі та використовує три елементи: клієнтський запитник (client supplicant), аутентифікатор та сервер аутентифікації. Широкому застосуванню цієї технології у корпоративних бездротових ЛОМ сприяють реалізована в ній модель централізованого управління безпекою та можливість інтеграції з діючими схемами корпоративної аутентифікації.

Більшості організацій для використання WPA достатньо встановити нові мікропрограми та клієнти, інтегрувавши їх зі своїми системами аутентифікації. Компаніям же малого та середнього бізнесу, які обходяться без сервера автентифікації, доведеться попередньо встановлювати спільний ключ на кожному клієнті та точці доступу.
WPA вже знаходить підтримку у операційних системах.

Нещодавно вийшов новий стандарт 802.11i, спрямований на підвищення безпеки бездротових мереж: він передбачає застосування шифрування AES (Advanced Encryption Standard)з довжиною ключа 128, 192 або 256 біт та застосовується з пристроями стандартів 802.11b та ​​802.11g.

Стандарт 802.11i, призначений для забезпечення інформаційної безпеки БЛВС великих підприємств та невеликих офісів, задуманий з метою удосконалення захисних функцій стандарту 802.11. Водночас цей стандарт, що передбачає шифрування даних та контроль їх цілісності, відрізняється підвищеною складністю реалізації та може виявитися несумісним із вже існуючим бездротовим обладнанням.

У захисному стандарті 802.11i передбачено проміжну специфікацію на так звану перехідну захищену мережу -Transitional Security Network (TSN), в якій допускається можливість одночасного використання рішень RSN та застарілих систем WEP. Однак бездротова мережа буде захищена не так добре.

За замовчуванням у стандарті IEEE 802.11i механізм забезпечення конфіденційності даних заснований на блоковому шифрі стандарту AES. Захистний протокол, що використовує його, отримав назву Counter-Mode CBC MAC Protocol, або CCMP. На нижніх рівнях моделі OSI, де відбувається шифрування і розшифровування даних AES, що передаються, використовує три тимчасові ключі шифрування. AES (Advanced Encryption Standard - удосконалений стандарт шифрування) відрізняється від включеної в WEP реалізації RC4 набагато стійкішим криптоалгоритмом, проте пред'являє підвищені вимоги до пропускної спроможності каналів зв'язку, тому перехід на новий стандарт потребує модернізації мережевої апаратури. До того ж у AES відсутня зворотна сумісність із нинішнім обладнанням WPA та WEP.

Щоб корпоративні точки доступу працювали в системі мережевої безпеки стандарту 802.11i, вони повинні підтримувати аутентифікацію користувачів за протоколом RADIUS та мати можливість швидко здійснювати повторну аутентифікацію користувачів після розриву з'єднання з мережею. Це особливо важливо для нормального функціонування додатків, що працюють у реальному масштабі часу (наприклад, засобів передачі мови за БЛВС).

Якщо сервер RADIUS, який використовується для контролю доступу користувачів дротової мережі, підтримує потрібні методи аутентифікації EAP, його можна задіяти і для аутентифікації користувачів бездротової мережі. В іншому випадку варто встановити сервер WLAN RADIUS, який буде взаємодіяти з наявним сервером RADIUS як сервер-посередник. Сервер WLAN RADIUS працює таким чином: спочатку він перевіряє автентифікуючу інформацію користувача (на відповідність вмісту своєї бази даних про їх ідентифікатори та паролі) або його цифровий сертифікат, а потім активізує динамічну генерацію ключів шифрування точкою доступу та клієнтською системою для кожного сеансу. У стандарті IEEE 802.11i застосування будь-яких конкретних методів аутентифікації EAP не обумовлюється. Вибір методу аутентифікації EAP визначається специфікою роботи клієнтських програм та архітектурою мережі.

Новий стандарт набув дещо відносно маловідомих властивостей. Одне з них - key-caching - непомітно для користувача записує інформацію про нього, дозволяючи при виході із зони дії бездротової мережі та подальшому поверненні до неї не вводити всю інформацію про себе заново.

Друге нововведення – пре-автентифікація. Суть її в наступному: з точки доступу, до якої в даний час підключений користувач, пакет преаутентифікації направляється в іншу точку доступу, забезпечуючи цьому користувачу попередню аутентифікацію ще до його реєстрації на новій точці і тим самим скорочуючи час авторизації при переміщенні між точками доступу .

Щоб ноутбуки та кишенькові ПК працювали в системі мережевої безпеки стандарту 802.11i, вони мають бути оснащені клієнтськими програмами, що підтримують стандарт 802.1x. Фірма Cisco включила її у свою утиліту Aironet Client Utility. Компанія Microsoft передбачила наявність підтримки стандарту 802.1x в Windows XP, Vista, Seven. На жаль, ці клієнтські програми, що заздалегідь включаються в ОС та інші засоби, як правило, підтримують не всі методи автентифікації EAP, таблиця 4.8

Таблиця 4.8 – Стандарти шифрування даних.

Стандарт	Засоби забезпечення безпеки	Переваги	Недоліки
WEP	Шифрування RC4, статичні ключі, аутентифікація 802.1х - по роботу користувача	Хоч якийсь захист; підтримка WEP у більшості пристроїв 802.11	Занадто багато проломів для використання в корпоративному середовищі; для захисту бездротових ЛОМ часто використовують додаткові засоби на зразок віртуальних приватних мереж
WPA	TKIP, динамічні лючі, Michael, обов'язкова автентифікація 802.1х (EAP та RADIUS або встановлений загальний ключ)	Зворотна сумісність із WEP; можливість інтеграції в існуючі бездротові мережі шляхом простого оновлення мікропрограм.	Тимчасове вирішення проблеми на перехідний період до затвердження надійнішого стандарту 802.11i.
802,11i	Шифрування AES, CCMP, WRAP, керування ключами 802,11i, автентифікація 802.1х.	Більш стійке, ніж WEB-шифрування; надійна схема управління ключами	Необхідність нового обладнання та наборів мікросхем; несумісність зі старим обладнанням Wi-Fi

5 Відмовостійкі системи зберігання даних:
RAID - масиви

Проблема підвищення надійності зберігання інформації та одночасного збільшення продуктивності системи зберігання даних займає уми розробників комп'ютерної периферії вже давно. Щодо підвищення надійності зберігання, все зрозуміло: інформація - це товар, і нерідко дуже цінний. Для захисту від втрати даних придумано чимало способів, найбільш відомий та надійний з яких – це резервне копіювання інформації.

RAID - це надлишковий масив незалежних дисків (Redundant Arrays of Independent Discs) , на який покладається завдання забезпечення відмовостійкості та підвищення продуктивності. Відмовостійкість досягається за рахунок надмірності. Тобто частина ємності дискового простору приділяється для службових цілей, стаючи недоступною для користувача.

Підвищення продуктивності дискової підсистеми забезпечується одночасною роботою кількох дисків, й у сенсі що більше дисків у масиві (до певної межі), краще.

Спільну роботу дисків у масиві можна організувати з допомогою або паралельного, або незалежного доступу.

При паралельному доступі дискове місце розбивається на блоки (смужки) для запису даних. Аналогічно інформація, що підлягає запису на диск, розбивається такі ж блоки. При записі окремі блоки записуються різні диски (рисунок 5.1), причому запис кількох блоків різні диски відбувається одночасно, як і призводить до збільшення продуктивності в операціях записи. Потрібна інформація також зчитується окремими блоками одночасно з кількох дисків (рис. 5.2).

Рисунок 5.1 – Структура запису	Рисунок 5.2 - Структура зчитування

Що також сприяє зростанню продуктивності пропорційно до кількості дисків у масиві.

Слід зазначити, що модель з паралельним доступом реалізується лише за умови, що розмір запиту на запис даних більший за розмір самого блоку. В іншому випадку реалізувати паралельний запис кількох блоків просто неможливо. Уявимо ситуацію, коли розмір окремого блоку становить 8 Кбайт, а розмір запиту запис даних - 64 Кбайт. І тут вихідна інформація нарізається на вісім блоків по 8 Кбайт кожен. Якщо є масив із чотирьох дисків, то одночасно можна записати чотири блоки, або 32 Кбайт, за один раз. Очевидно, що в розглянутому прикладі швидкість запису та швидкість зчитування виявиться вчетверо вище, ніж при використанні одного диска. Однак така ситуація є ідеальною, оскільки далеко не завжди розмір запиту кратний розміру блоку та кількості дисків у масиві.

Якщо ж розмір записуваних даних менше розміру блоку, то реалізується інша модель доступу - незалежний доступ. Більш того, ця модель може бути реалізована і в тому випадку, коли розмір даних, що записуються більше розміру одного блоку. При незалежному доступі всі дані окремого запиту записуються окремий диск, тобто ситуація ідентична роботі з одним диском. Перевага моделі з паралельним доступом у тому, що при одночасному надходженні кількох запитів на запис (читання) всі вони виконуватимуться незалежно на окремих дисках (рисунок 5.3). Подібна ситуація є типовою, наприклад, у серверах.

Відповідно до різних типів доступу існують і різні типи RAID-масивів, які прийнято характеризувати рівнями RAID. Крім типу доступу, рівні RAID розрізняються способом розміщення та формування надмірної інформації. Надмірна інформація може або розміщуватися на спеціально виділеному диску, або перемішуватися між усіма дисками. Способів формування цієї інформації дещо більше. Найпростіший з них – це повне дублювання (100-відсоткова надмірність), або дзеркаловання. Крім того, використовуються коди з корекцією помилок, а також обчислення парності.

В даний час існує кілька стандартизованих RAID-рівень: від RAID 0 до RAID 5. До того ж використовуються комбінації цих рівнів, а також фірмові рівні (наприклад, RAID 6, RAID 7). Найбільш поширеними є рівні 0, 1, 3 та 5.

RAID рівня 0, строго кажучи, не є надмірним масивом і не забезпечує надійності зберігання даних. Проте цей рівень знаходить широке застосування у випадках, коли необхідно забезпечити високу продуктивність дискової підсистеми. Особливо популярний цей рівень у робочих станціях. Під час створення RAID-масиву рівня 0 інформація розбивається на блоки, які записуються деякі диски, тобто створюється система з паралельним доступом (якщо, звісно, ​​розмір блоку це дозволяє). Завдяки можливості одночасного введення-виводу з кількох дисків RAID 0 забезпечує максимальну швидкість передачі даних та максимальну ефективність використання дискового простору, оскільки не потрібні місця для зберігання контрольних сум. Реалізація цього рівня дуже проста. В основному RAID 0 застосовується у тих областях, де потрібна швидка передача великого обсягу даних.

RAID 1 (Mirrored disk)

RAID рівня 1 – це масив дисків зі 100-відсотковою надмірністю. Тобто дані при цьому просто повністю дублюються (дзеркалуються), за рахунок чого досягається дуже високий рівень надійності (як, втім, вартості). Зазначимо, що для реалізації рівня 1 не потрібно попередньо розбивати диски та дані на блоки. У найпростішому випадку два диски містять однакову інформацію та є одним логічним диском. При виході з експлуатації одного диска його функції виконує інший (що абсолютно прозоро для користувача). Крім того, цей рівень подвоює швидкість зчитування інформації, оскільки ця операція може виконуватись одночасно з двох дисків. Така схема зберігання інформації використовується в основному в тих випадках, коли ціна безпеки даних набагато вища за вартість реалізації системи зберігання.

RAID рівня 2 – це схема резервування даних з використанням коду Хеммінга для корекції помилок. Записувані дані формуються не так на основі блокової структури, як і RAID 0, але в основі слів, причому розмір слова дорівнює кількості дисків для запису даних у масиві. Якщо, наприклад, в масиві є чотири диски для запису даних, то розмір слова дорівнює чотирьом дискам. Кожен окремий біт слова записується окремий диск масиву. Наприклад, якщо масив має чотири диски для запису даних, то послідовність чотирьох бітів, тобто слово, запишеться на масив дисків таким чином, що перший біт виявиться на першому диску, другий біт - на другому і т.д.

Крім того, для кожного слова обчислюється код коригування помилок (ECC), який записується на виділені диски для зберігання контрольної інформації. Їх число дорівнює кількості біт у контрольному слові, причому кожен біт контрольного слова записується окремий диск.

RAID 2 - один із небагатьох рівнів, що дозволяють не тільки виправляти «на льоту» поодинокі помилки, але й виявляти подвійні. При цьому він є надлишковим із усіх рівнів з кодами корекції. Ця схема зберігання даних застосовується рідко, оскільки погано справляється з великою кількістю запитів, складна в організації і має незначні переваги перед рівнем RAID 3.

RAID рівня 3 - це стійкий до відмову масив з паралельним введенням-виводом і одним додатковим диском, на який записується контрольна інформація. При записі потік даних розбивається на блоки лише на рівні байт (хоча можливо і лише на рівні біт) і записується одночасно всі диски масиву, крім виділеного зберігання контрольної інформації. Для обчислення контрольної інформації (називається також контрольною сумою) використовується операція «Виключає АБО» (XOR), що застосовується до блоків даних, що записуються. При виході з ладу будь-якого диска дані на ньому можна відновити за контрольними даними та даними, що залишилися на справних дисках.

RAID рівня 3 має набагато меншу надмірність, ніж RAID 2. Завдяки розбиттю даних на блоки RAID 3 має високу продуктивність. При зчитуванні інформації немає звернення до диску з контрольними сумами (у разі відсутності збою), що відбувається щоразу під час операції записи. Оскільки при кожній операції виводу-введення-виводу проводиться звернення практично до всіх дисків масиву, одночасна обробка декількох запитів неможлива. Цей рівень підходить для програм з файлами великого об'єму та малою частотою звернень. Крім того, до переваг RAID 3 відносяться незначне зниження продуктивності при збої та швидке відновлення інформації.

RAID рівня 4 - це масив незалежних дисків з одним диском для зберігання контрольних сум. RAID 4 багато в чому схожий з RAID 3, але відрізняється від останнього насамперед значно більшим розміром блоку даних, що записуються (великим, ніж розмір записуваних даних). У цьому і є головна відмінність між RAID 3 і RAID 4. Після запису групи блоків обчислюється контрольна сума (так само, як і у випадку RAID 3), яка записується на виділений для цього диск. Завдяки більшому, ніж у RAID 3, розмір блоку можливе одночасне виконання декількох операцій читання (схема незалежного доступу).

RAID 4 підвищує продуктивність передачі файлів малого обсягу (за рахунок розпаралелювання операції зчитування). Але оскільки при записі повинна обчислюватися контрольна сума на виділеному диску, одночасне виконання операцій тут неможливе (в наявності асиметричність операцій введення та виведення). Розглянутий рівень не забезпечує переваги швидкості при передачі даних великого обсягу. Ця схема зберігання розроблялася для додатків, у яких дані спочатку розбиті на невеликі блоки, тому немає необхідності їх додатково розбивати. RAID 4 є непоганим рішенням для файл-серверів, інформація з яких переважно зчитується і рідко записується. Ця схема зберігання даних має невисоку вартість, але її реалізація є досить складною, як і відновлення даних при збої.

RAID рівня 5 - це стійкий до відмови масив незалежних дисків з розподіленим зберіганням контрольних сум (рисунок 5.4). Блоки даних і контрольні суми, які розраховуються так само, як і RAID 3, циклічно записуються на всі диски масиву, тобто відсутній виділений диск для зберігання інформації про контрольні суми.

Рисунок 5.4 - Структура RAID 5

У випадку RAID 5 всі диски масиву мають однаковий розмір, однак загальна ємність дискової підсистеми, доступної для запису, стає меншою за один диск. Наприклад, якщо п'ять дисків мають розмір 10 Гбайт, фактичний розмір масиву становить 40 Гбайт, так як 10 Гбайт відводиться на контрольну інформацію.

RAID 5, так само як і RAID 4, має архітектуру незалежного доступу, тобто, на відміну від RAID 3, тут передбачений великий розмір логічних блоків для зберігання інформації. Тому, як і у випадку з RAID 4, основний виграш такий масив забезпечує одночасної обробки декількох запитів.

Головною ж відмінністю між RAID 5 та RAID 4 є спосіб розміщення контрольних сум.

Наявність окремого (фізичного) диска, що зберігає інформацію про контрольні суми, тут, як і в трьох попередніх рівнях, призводить до того, що операції зчитування, що не вимагають звернення до диска, виконуються з великою швидкістю. Однак при кожній операції запису змінюється інформація на контрольному диску, тому схеми RAID 2, RAID 3 та RAID 4 не дозволяють проводити паралельні операції запису. RAID 5 позбавлений цього недоліку, оскільки контрольні суми записуються на всі диски масиву, що забезпечує можливість виконання декількох операцій зчитування або запису одночасно.

Практична реалізація

Для практичної реалізації RAID-масивів необхідні дві складові: власне масив жорстких дисків та RAID-контролер. Контролер виконує функції зв'язку з сервером (робочою станцією), генерації надлишкової інформації під час запису та перевірки під час читання, розподілу інформації по дисках відповідно до алгоритму.

Основною функцією RAID-масиву є не збільшення ємності дискової підсистеми (як видно з його пристрою, таку ж ємність можна отримати і за менші гроші), а забезпечення надійності безпеки даних та підвищення продуктивності. Для серверів, крім того, висувається вимога безперебійності в роботі навіть у разі відмови одного з накопичувачів. Безперебійність у роботі забезпечується за допомогою гарячої заміни, тобто вилучення несправного SCSI-диска та встановлення нового без вимкнення живлення. Оскільки при одному несправному накопичувачі дискова підсистема продовжує працювати (крім рівня 0), гаряча заміна забезпечує відновлення прозоре для користувачів. Однак швидкість передачі і швидкість доступу при одному диску, що не працює, помітно знижується через те, що контролер повинен відновлювати дані з надлишкової інформації. Правда, з цього правила є виняток – RAID-системи рівнів 2, 3, 4 при виході з ладу накопичувача з надмірною інформацією починають працювати швидше! Це закономірно, оскільки в такому випадку рівень «на льоту» змінюється на нульовий, який має чудові швидкісні характеристики.

ВИСНОВОК: Враховуючи специфіку роботи підприємства, найкращим варіантом застосування масиву є масив RAID 5, т.к. він має досить високу швидкість запису-зчитування (швидкість читання нижче, ніж у RAID 4) і мінімальну надмірність, тобто. він економічний.

Пароль та фільтрація за MAC-адресою повинні захистити вас від злому. Насправді безпека більшою мірою залежить від вашої обачності. Невідповідні методи захисту, нехитрий пароль та легковажне ставлення до сторонніх користувачів у домашній мережі дають зловмисникам додаткові можливості для атаки. З цієї статті ви дізнаєтеся, як можна зламати WEP-пароль, чому слід відмовитися від фільтрів і як з усіх боків убезпечити бездротову мережу.

Захист від непроханих гостей

Ваша мережа не захищена, тому рано чи пізно до вашої бездротової мережі приєднається сторонній користувач — можливо навіть не спеціально, адже смартфони та планшети здатні автоматично підключатися до незахищених мереж. Якщо він просто відкриє кілька сайтів, то, швидше за все, не станеться нічого страшного, крім витрати трафіку. Ситуація ускладниться, якщо через ваше інтернет підключення гість почне завантажувати нелегальний контент.

Якщо ви ще не вжили жодних заходів безпеки, зайдіть в інтерфейс роутера через браузер і змініть дані доступу до мережі. Адреса маршрутизатора, як правило, має вигляд: http://192.168.1.1. Якщо це не так, ви зможете з'ясувати IP-адресу свого мережевого пристрою через командний рядок. У операційній системі Windows 7 клацніть по кнопці «Пуск» і вкажіть у рядку пошуку команду «cmd». Викличте налаштування мережі командою «ipconfig» та знайдіть рядок «Основний шлюз». Вказаний IP - це адреса вашого роутера, яку потрібно ввести в адресному рядку браузера. Розташування настройок безпеки маршрутизатора залежить від виробника. Як правило, вони розташовані в розділі під назвою виду «WLAN | Безпека».

Якщо у вашій бездротовій мережі використовується незахищене з'єднання, слід бути особливо обережним з контентом, який розташований у папках із загальним доступом, оскільки без захисту він знаходиться в повному розпорядженні інших користувачів. При цьому в операційній системі Windows XP Home ситуація із загальним доступом просто катастрофічна: за замовчуванням тут взагалі не можна встановлювати паролі - ця функція є тільки у професійній версії. Натомість всі мережеві запити виконуються через незахищений гостьовий обліковий запис. Забезпечити мережу в Windows XP можна за допомогою невеликої маніпуляції: запустіть командний рядок, введіть "net user guest ВашНовийПароль" і підтвердіть операцію натисканням клавіші "Enter". Після перезавантаження Windows отримати доступ до мережевих ресурсів можна буде лише за наявності пароля, проте більш тонке налаштування в цій версії ОС, на жаль, не є можливим. Значно зручніше керування налаштуваннями загального доступу реалізовано в Windows 7. Тут, щоб обмежити коло користувачів, достатньо в Панелі керування зайти в Центр керування мережами та спільним доступом і створити домашню групу, захищену паролем.

Відсутність належного захисту в бездротовій мережі є джерелом інших небезпек, оскільки хакери можуть за допомогою спеціальних програм (сніферів) виявляти всі незахищені з'єднання. Таким чином, зломщикам нескладно буде перехопити ваші ідентифікаційні дані від різних сервісів.

Хакери

Як і раніше, сьогодні найбільшою популярністю користуються два способи захисту: фільтрація за MAC-адресами та приховування SSID (імені мережі): ці заходи захисту не забезпечать вам безпеки. Для того щоб виявити ім'я мережі, зломщику достатньо WLAN-адаптера, який за допомогою модифікованого драйвера перемикається в режим моніторингу, і сніфер - наприклад, Kismet. Зломщик веде спостереження за мережею доти, доки до неї не підключиться користувач (клієнт). Потім він маніпулює пакетами даних і тим самим викидає клієнта з мережі. При повторному підключенні користувача зломщик бачить ім'я мережі. Це здається складним, але насправді весь процес триває лише кілька хвилин. Обійти MAC-фільтр також не важко: зломщик визначає MAC-адресу і призначає його своєму пристрої. Таким чином, підключення стороннього залишається непоміченим для власника мережі.

Якщо ваш пристрій підтримує лише WEP-шифрування, терміново вживіть заходів - такий пароль за кілька хвилин можуть зламати навіть непрофесіонали.

Особливою популярністю серед кібершахраїв користується пакет програм Aircrack-ng, який крім сніфера включає додаток для завантаження і модифікації драйверів WLAN-адаптерів, а також дозволяє виконувати відновлення WEP-ключа. Відомі методи злому - це PTW- та FMS/KoreKатаки, при яких перехоплюється трафік і на основі його аналізу обчислюється WEP-ключ. У цій ситуації у вас є лише дві можливості: спочатку вам слід пошукати для свого пристрою актуальну прошивку, яка підтримуватиме новітні методи шифрування. Якщо ж виробник не надає оновлень, краще відмовитись від використання такого пристрою, адже при цьому ви ставите під загрозу безпеку вашої домашньої мережі.

Популярна порада скоротити радіус дії Wi-Fi дає лише видимість захисту. Сусіди все одно зможуть підключатися до вашої мережі, а зловмисники часто користуються Wi-Fi адаптерами з великим радіусом дії.

Публічні точки доступу

Місця з вільним Wi-Fi приваблюють кібершахраїв, тому що через них проходять величезні обсяги інформації, а скористатися інструментами злому може кожен. У кафе, готелях та інших громадських місцях можна знайти публічні точки доступу. Але інші користувачі цих мереж можуть перехопити ваші дані і, наприклад, взяти під свій контроль ваші облікові записи на різних веб-сервісах.

Захист Cookies.Деякі методи атак справді настільки прості, що ними може скористатися кожен. Розширення Firesheep для браузера Firefox автоматично зчитує та відображає у вигляді списку облікові записи інших користувачів, у тому числі на Amazon, у Google, Facebook і Twitter. Якщо хакер клацне по одному із записів у списку, він відразу ж отримає повний доступ до облікового запису і зможе змінювати дані користувача на свій розсуд. Firesheep не здійснює зламування паролів, а лише копіює активні незашифровані cookies. Щоб захиститись від подібних перехоплень, слід користуватися спеціальним доповненням HTTPS Everywhere для Firefox. Це розширення змушує онлайн-сервіси постійно використовувати зашифроване з'єднання через HTTPS, якщо він підтримується сервером постачальника послуг.

Захист Android.Нещодавно загальну увагу привернула недоробка в операційній системі Android, через яку шахраї могли отримати доступ до ваших облікових записів у таких сервісах, як Picasa і «Календар Google», а також зчитувати контакти. Компанія Google ліквідувала цю вразливість в Android 2.3.4, але на більшості пристроїв, раніше придбаних користувачами, встановлені старіші версії системи. Для їх захисту можна використовувати програму SyncGuard.

WPA 2

Найкращий захист забезпечує технологія WPA2, яка застосовується виробниками комп'ютерної техніки з 2004 року. Більшість пристроїв підтримують цей тип шифрування. Але, як і інші технології, WPA2 теж має своє слабке місце: за допомогою атаки за словником або методом bruteforce («груба сила») хакери можуть зламувати паролі – правда, лише у разі їхньої ненадійності. Словники просто перебирають закладені у тому базах даних ключі - зазвичай, всі можливі комбінації чисел і імен. Паролі на кшталт "1234" або "Ivanov" вгадуються настільки швидко, що комп'ютер зломщика навіть не встигає нагрітися.

Метод bruteforce передбачає використання готової бази даних, а, навпаки, підбір пароля шляхом перерахування всіх можливих комбінацій символів. У такий спосіб зломщик може обчислити будь-який ключ - питання лише в тому, скільки часу йому на це потрібно. NASA у своїх інструкціях з безпеки рекомендує пароль мінімум із восьми символів, а краще – з шістнадцяти. Насамперед важливо, щоб він складався з малих і великих літер, цифр та спеціальних символів. Щоб зламати такий пароль, хакеру знадобиться десятиліття.

Поки що ваша мережа захищена не до кінця, тому що всі користувачі всередині неї мають доступ до вашого маршрутизатора і можуть змінювати його налаштування. Деякі пристрої надають додаткові функції захисту, якими також слід користуватися.

Насамперед відключіть можливість маніпулювання роутером через Wi-Fi. На жаль, ця функція доступна лише в деяких пристроях, наприклад, маршрутизаторах Linksys. Всі сучасні моделі роутерів також мають можливість установки пароля до інтерфейсу управління, що дозволяє обмежити доступ до налаштувань.

Як і будь-яка програма, прошивка роутера недосконала - невеликі недоробки чи критичні дірки у системі безпеки не виключені. Зазвичай інформація про це миттєво поширюється по Мережі. Регулярно перевіряйте наявність нових прошивок для роутера (у деяких моделей є навіть функція автоматичного оновлення). Ще один плюс перепрошивок у тому, що вони можуть додати нові функції до пристрою.

Періодичний аналіз мережного трафіку допомагає розпізнати присутність непроханих гостей. В інтерфейсі керування роутером можна знайти інформацію про те, які пристрої та коли підключалися до вашої мережі. Складніше з'ясувати, який обсяг даних завантажив той чи інший користувач.

Гостьовий доступ – засіб захисту домашньої мережі

Якщо ви захистите роутер надійним паролем під час використання шифрування WPA2, вам вже не загрожуватиме жодна небезпека. Але тільки доти, доки ви не передасте свій пароль іншим користувачам. Друзі та знайомі, які зі своїми смартфонами, планшетами чи ноутбуками захочуть вийти в Інтернет через ваше підключення, є фактором ризику. Наприклад, не можна виключати ймовірність того, що їх пристрої заражені шкідливими програмами. Однак через це вам не доведеться відмовляти друзям, тому що у топових моделях маршрутизаторів, наприклад Belkin N або Netgear WNDR3700, спеціально для таких випадків передбачений гостьовий доступ. Перевага цього режиму полягає в тому, що роутер створює окрему мережу з власним паролем, а домашня не використовується.

Надійність ключів безпеки

WEP (WIRED EQUIVALENT PRIVACY).Використовує генератор псевдовипадкових чисел (алгоритм RC4) для отримання ключа та вектори ініціалізації. Оскільки останній компонент не зашифрований, можливе втручання третіх осіб та відтворення WEP-ключа.

WPA (WI-FI PROTECTED ACCESS)Основується на механізмі WEP, але розширений захист пропонує динамічний ключ. Ключі, що згенеровані за допомогою алгоритму TKIP, можуть бути зламані за допомогою атаки Бека-Тевса або Охігаші-Морії. Для цього окремі пакети розшифровуються, піддаються маніпуляціям і знову надсилаються в мережу.

WPA2 (WI-FI PROTECTED ACCESS 2)Задіює для шифрування надійний алгоритм AES (Advanced Encryption Standard). Поряд із TKIP додався протокол CCMP (Counter-Mode/CBC-MAC Protocol), який також базується на алгоритмі AES. Захищену за цією технологією мережу досі зламати не вдавалося. Єдиною можливістю для хакерів є атака за словником або метод грубої сили, коли ключ вгадується шляхом підбору, але при складному паролі підібрати його неможливо.