«...امنیت اطلاعات و شبکه های بی سیم؟
اما آیا این مفاهیم متقابلاً منحصر به فرد نیستند؟»
از گفتگو در نمایشگاه Svyazexpocom-2004"

امروزه دستگاه های ارتباطی بی سیم بر اساس استانداردهای 802.11x به شدت در بازار تجهیزات شبکه حرکت می کنند. این تعجب آور نیست: سهولت استفاده برای کاربران تلفن همراه و شبه موبایل، سازماندهی نقاط تجاری و شرکتی، "آخرین مایل"، اتصال شبکه های محلی (LAN) با یکدیگر - همه اینها فهرست کاملی از دلایل پیاده سازی نیست. چنین راه حل هایی در واقع، تعداد انواع تجهیزات 802.11x در حال کار در جهان قابل توجه است: به گفته J"son & Partners، تعداد نقاط داغ به تنهایی در پایان سال 2003 از 43 هزار فراتر رفت و تا پایان سال 2004 باید به آن برسد. 140 هزار. سهم روسیه در این شاخص ها اندک است، اما تعداد شبکه های ارتباطی بی سیم (از جمله نقاط داغ) به طور پیوسته در کشور ما در حال رشد است. همچنین توجه داریم که در کشور ما بیش از 80 درصد از شبکه های ارتباطی بی سیم شرکت ها بر روی "قدیمی ترین" و پرکاربردترین تجهیزات - Cisco Aironet.

اما این فقط اعداد نیستند که چشمگیر هستند. تعجب آورتر این است که تعداد تصورات نادرست مرتبط با اطمینان از انتقال امن داده در چنین شبکه هایی است. طیف نظرات در اینجا گسترده ترین است: از اعتماد کامل به هر تجهیزات و هر یک از تنظیمات آن گرفته تا ویژگی های نامطلوب آن گونه که ما به عنوان اپیگراف ذکر کردیم.

802.11x - حساسیت به تهدیدات خارجی

ماهیت اصلی انتقال داده های بی سیم مملو از امکان اتصالات غیرمجاز به نقاط دسترسی، رهگیری داده ها و سایر مشکلات است. عدم وجود کابل، که از نظر سازمانی محافظت از آن آسان است، احساس باز بودن و دسترسی ناخوشایند را ایجاد می کند.

شایان ذکر است تهدیدات "غیر پروتکلی" - آنها اساس مشکل هستند. هنگام توسعه یک شبکه شرکتی بی سیم، مدیران در درجه اول به پوشش با کیفیت بالای منطقه اداری اهمیت می دهند. خیلی اوقات، هیچ کس به سادگی این را در نظر نمی گیرد که هکرهای موذی می توانند مستقیماً از یک ماشین پارک شده در خیابان به شبکه متصل شوند. علاوه بر این، شرایطی وجود دارد که در اصل، از بین بردن امکان "شنیدن" ترافیک ارسال شده غیرممکن است. نمونه آنتن های خارجی است. به هر حال، در کشورهای CIS اتصال دفاتر LAN به یکدیگر با استفاده از بی سیم یک راه حل بسیار محبوب است.

یک تهدید به همان اندازه خطرناک احتمال سرقت تجهیزات است. اگر خط مشی امنیتی یک شبکه بی سیم مبتنی بر آدرس های MAC باشد، هر مولفه (کارت شبکه، نقطه دسترسی) که توسط مهاجم به سرقت رفته باشد، بلافاصله این شبکه را باز می کند.

و در نهایت، مشکل کاربران "بیش از حد باهوش". اغلب، اتصال غیرمجاز اکسس پوینت ها به شبکه های LAN کار خود کارمندان سازمان است. علاوه بر این، این کار صرفاً برای راحتی کار انجام می شود، حتی گاهی اوقات با نیت خیر. البته، این کارمندان هنگام اتصال چنین دستگاه هایی به شبکه به تنهایی از محافظت از اطلاعات نیز اطمینان حاصل می کنند و همیشه عواقب چنین "دفاع از خود" را تصور نمی کنند.

این مشکلات و مشکلات مشابه باید به طور جامع حل شود. بیایید فوراً توجه کنیم که اقدامات سازمانی در چارچوب این مقاله در نظر گرفته نمی شود - آنها اغلب بر اساس شرایط عملیاتی هر شبکه خاص انتخاب می شوند. در مورد اقدامات فنی، احراز هویت اجباری متقابل دستگاه ها و معرفی ابزارهای کنترل فعال (به عنوان مثال Observer 8.3، Airopeek NX 2.01، Wireless Sniffer 4.75) و غیرفعال (مانند APTools 0.1.0، xprobe 0.0.2) بسیار مفید است. نتیجه خوب .

آسیب پذیری روش های امنیتی "قدیمی".

کمیته IEEE 802.11 همیشه در حفاظت از داده ها در شبکه های بی سیم نقش داشته است. متأسفانه، روش‌های مورد استفاده برای تضمین امنیت شبکه‌های 802.11x در مرحله توسعه اولیه آنها (1997-1998)، به بیان ملایم، ناموفق بود. آنها شامل رمزگذاری و احراز هویت WEP (Wired Equivalent Privacy) بودند: مبتنی بر آدرس MAC، کلید باز و PreShared.

بیایید روش های ذکر شده را به ترتیب در نظر بگیریم. پروتکل رمزگذاری کلاسیک WEP که توسط RSA Data Security توسعه یافته است، از یک کلید 40 بیتی استفاده می کند که به بردار اولیه سازی تولید شده اضافه می شود (IV، طول آن 24 بیت است). با استفاده از کلید به دست آمده، داده های کاربر و یک چک جمع با استفاده از الگوریتم RC4 رمزگذاری می شوند. بردار IV به صورت شفاف منتقل می شود.

اولین عیب این روش این است که یک کلید 40 بیتی برای آرامش خاطر کافی نیست. حتی DES با کلید 56 بیتی خود مدتهاست که غیرقابل اعتماد شناخته شده است. عیب دوم تغییر ناپذیری کلید است. استفاده از یک کلید ثابت مشکل هک را ساده می کند. از آنجایی که کلید 40 بیتی غیرقابل اعتماد است، من می خواهم آن را بیشتر تغییر دهم. و در نهایت، رویکرد رمزگذاری به خودی خود بسیار مشکوک است. اندازه IV 24 بیت است، یعنی حداکثر بعد از 5 ساعت تکرار می شود (طول بسته 1500 بایت، سرعت 11 مگابیت بر ثانیه).

نیکیتا بوریسوف، ایان گلدبرگ و دیوید واگنر اولین کسانی بودند که این مشکل را بررسی کردند و در سال 2001، اولین پیاده سازی درایورها و برنامه ها برای مقابله با رمزگذاری WEP ظاهر شد. سندی که این آسیب‌پذیری را توصیف می‌کند در: http://www.isaac.cs.berkeley.edu/isaac/wep-faq.htm l منتشر شده است.

روش های احراز هویت نیز چندان قابل اعتماد نیستند. به عنوان مثال، "شنود" کل فرآیند احراز هویت توسط آدرس MAC هیچ هزینه ای ندارد - بالاخره آدرس های MAC در قاب به صورت رمزگذاری نشده ارسال می شوند. اگر یک مهاجم از روش تأیید اعتبار پذیرفته شده اطلاع داشته باشد، تقریباً آماده ورود به شبکه است. قابل اطمینان ترین روش های ذکر شده PreShared Key است، اما تنها زمانی خوب است که به طور ایمن رمزگذاری شده باشد و به طور منظم رمزهای عبور با کیفیت بالا را جایگزین کند.

این یک تصور غلط رایج است که استفاده از شناسه مجموعه خدمات منحصر به فرد (SSID) از اتصالات غیرمجاز جلوگیری می کند. افسوس، SSID فقط برای تقسیم منطقی دستگاه های شبکه به گروه ها مناسب است - نه بیشتر. تنها کاری که می توانید با SSID انجام دهید این است که یک هکر جوان را با استفاده از کاراکترهای "غیر قابل چاپ" گیج کنید. نقاط دسترسی (نقطه دسترسی، AP)، به عنوان مثال، از سیستم های سیسکو، به شما اجازه انجام این کار را می دهد (شما می توانید کاراکترهای موجود در SSID را به صورت هگزادسیمال مشخص کنید - \xbd\xba).

بنابراین، اگر انبوه نوجوانان کنجکاو با لپ‌تاپ را نیز در نظر بگیریم، یک شبکه ارتباطی بی‌سیم ناگزیر با مشکل محافظت در برابر حملات WEP تقریباً تضمین شده مواجه می‌شود.

حملات WEP

طول کلید ناکافی، عدم چرخش کلید، و خود اصل رمزگذاری RC4 که در بالا توضیح داده شد، سازماندهی یک حمله غیرفعال بسیار مؤثر را ممکن می سازد. علاوه بر این، مهاجم نیازی به انجام هیچ عملی ندارد که توسط آن شناسایی شود؛ کافی است به سادگی به کانال گوش دهید. در این مورد، هیچ تجهیزات خاصی مورد نیاز نیست - یک کارت WLAN معمولی که با قیمت 20-25 دلار خریداری شده است، و همچنین برنامه ای که بسته ها را روی هارد دیسک جمع می کند تا زمانی که مقادیر بردار IV همزمان شود، کافی است. وقتی تعداد بسته ها کافی شد (معمولاً از 1 میلیون تا 4 میلیون)، محاسبه کلید WEP آسان است. یکی از محبوب ترین برنامه ها برای چنین "تمریناتی" AirSnort (http://airsnort.shmoo.com) است. این نرم افزار با کارت های شبکه سیسکو سیستمز، کارت های مبتنی بر NMC Prism-2 (تعداد کمی از آنها وجود دارد) و همچنین روی کارت های Orinoco یا کلون های آنها کار می کند.

یک هکر با استفاده از روش های حمله فعال می تواند به نتایج خوبی دست یابد. به عنوان مثال، می توانید داده های شناخته شده را از خارج از شبکه محلی، مثلاً از اینترنت، ارسال کنید، در حالی که به طور همزمان تجزیه و تحلیل کنید که چگونه نقطه دسترسی آن را رمزگذاری کرده است. این روش به شما امکان می دهد هم کلید را محاسبه کنید و هم داده ها را دستکاری کنید.

یکی دیگر از روش های حمله فعال، حمله Bit-Flip است. الگوریتم اقدامات در اینجا به شرح زیر است (شکل 1):

1. ما یک قاب رمزگذاری شده WEP را رهگیری می کنیم.
2. ما به طور تصادفی چندین بیت را در قسمت "داده" تغییر می دهیم و جمع کنترلی CRC-32 را دوباره محاسبه می کنیم.
3. فریم اصلاح شده را به نقطه دسترسی می فرستیم.
4. نقطه دسترسی قاب را در لایه پیوند می پذیرد زیرا جمع کنترلی صحیح است.
5. نقطه دسترسی سعی می کند داده ها را رمزگشایی کند و با یک متن شناخته شده پاسخ دهد، به عنوان مثال: "کلید رمزگذاری شما نادرست است."
6. مقایسه متن رمزگذاری شده و غیر رمزگذاری شده می تواند امکان محاسبه کلید را فراهم کند.

در این مقاله، ما یک حمله احتمالی DOS به تجهیزات با استفاده از روش مدولاسیون پهنای باند DSSS را در نظر نخواهیم گرفت. این نوع تجهیزات شامل دستگاه های 802.11b و 802.11a است که در سرعت های پایین کار می کنند.

نتیجه گیری موقت

همه موارد فوق نشان می دهد که روش های قدیمی تضمین امنیت در شبکه های بی سیم غیر قابل اعتماد هستند. و اگر تجهیزات اجازه اجرای راه حل های مدرن برای حفاظت از اطلاعات را نمی دهد، انتخاب استراتژی ها کوچک است: یا از سخت ترین سیاست های اداری استفاده کنید (به نوار کناری "اقدامات اداری" مراجعه کنید)، یا از فناوری IPSec - ESP استفاده کنید.

IPSec - فناوری ESP مطمئنا از داده ها محافظت می کند، اما عملکرد LAN را تا حد زیادی کاهش می دهد. با این حال، این فناوری برای شبکه های جهانی توسعه یافته است و استفاده از آن در یک شبکه محلی بی سیم بیهوده است. استفاده از آن بر روی کانال های بی سیم تنها در مورد اتصال شاخه ها یا سایر راه حل های مشابه قابل توجیه است.

الزامات امنیتی مدرن یا "زندگی با سیسکو"

برای آسودگی خاطر هر کاربر، تنها سه موضوع برای ترافیک آنها باید مورد توجه قرار گیرد: محرمانه بودن (داده ها باید به طور ایمن رمزگذاری شوند)، یکپارچگی (داده ها باید تضمین شود که توسط شخص ثالث تغییر نخواهند کرد) و صحت ( اطمینان از اینکه داده ها از منبع صحیح دریافت شده است).

احراز هویت

استاندارد 802.1x به عنوان مدرن تر از استانداردهای 1997-1998 تعریف شده است. یک روش احراز هویت که به طور گسترده در تجهیزات شبکه های مختلف از جمله دستگاه های بی سیم استفاده می شود. تفاوت اساسی آن با روش های احراز هویت قدیمی به شرح زیر است: تا زمانی که تأیید متقابل انجام نشود، کاربر نه می تواند هیچ داده ای را دریافت و نه ارسال کند. این استاندارد همچنین مدیریت پویا کلیدهای رمزگذاری را ارائه می دهد که به طور طبیعی حمله غیرفعال به WEP را دشوارتر می کند.

برای مثال، تعدادی از توسعه‌دهندگان از پروتکل‌های EAP-TLS و PEAP برای احراز هویت در دستگاه‌های خود استفاده می‌کنند، اما Cisco Systems (http://www.cisco.com) به این مشکل «به‌طور گسترده‌تری» نزدیک می‌شود و در کنار اینها، برای شبکه های بی سیم خود تعدادی پروتکل را دنبال می کند.

پروتکل تأیید اعتبار توسعه پذیر - امنیت لایه حمل و نقل(EAP-TLS) یک استاندارد IETF است که احراز هویت را از طریق تبادل دو طرفه گواهی های دیجیتال فراهم می کند.

EAP محافظت شده(PEAP) هنوز یک پیش نویس استاندارد توسط IETF است. این امکان تبادل گواهی های دیجیتال و تأیید اضافی نام و رمز عبور را از طریق یک تونل رمزگذاری شده ویژه ایجاد می کند.

EAP سبک وزن(LEAP) یک پروتکل اختصاصی سیسکو سیستمز است. یک پروتکل احراز هویت متقابل "سبک" مشابه پروتکل احراز هویت چالش دو طرفه (CHAP). از یک کلید مشترک استفاده می کند، بنابراین در هنگام تولید رمز عبور نیاز به هوش دارد. در غیر این صورت، مانند هر روش دیگری، PreShared Key مستعد حملات فرهنگ لغت است.

EAP - احراز هویت انعطاف پذیر از طریق تونل زنی امن(EAP-FAST) - توسط Cisco بر اساس پیش نویس استاندارد IETF برای محافظت در برابر حملات فرهنگ لغت توسعه یافته و بسیار قابل اعتماد است. به حداقل تلاش مدیر برای پشتیبانی نیاز دارد. اصل عملکرد آن شبیه به LEAP است، اما احراز هویت از طریق یک تونل امن انجام می شود. اولین پیاده سازی ها در آوریل 2004 ظاهر شد. از نسخه های نرم افزار IOS 12.2(11)JA، VxWorks 12.01T، Cisco Secure ACS 3.2.3 پشتیبانی می شود.

همه روش‌های احراز هویت مدرن (به جدول مراجعه کنید) دلالت بر پشتیبانی از کلیدهای پویا دارند که خبر خوبی است. با این حال، اگر همه این استانداردها را از جنبه های دیگر مقایسه کنیم، روش های EAP-TLS و PEAP دست و پا گیرتر به نظر می رسند. و در واقع همینطور است. آنها برای استفاده در شبکه های ساخته شده بر روی تجهیزات تولید کنندگان مختلف مناسب تر هستند.

ویژگی های روش های احراز هویت

فهرست مطالب	مسیر
	جهش	EAP-FAST	PEAP	EAP-TLS
پشتیبانی از سیستم عامل مدرن	آره	آره	نه همه	نه همه
پیچیدگی نرم افزار و شدت منابع احراز هویت	کم	کم	میانگین	بالا
دشواری کنترل	کم*	کم	میانگین	میانگین
Single Sign on (یک ورود به سیستم در ویندوز)	آره	آره	خیر	آره
کلیدهای پویا	آره	آره	آره	آره
رمزهای عبور یکبار مصرف	خیر	آره	آره	خیر
پشتیبانی از پایگاه داده های کاربر که در فرمت مایکروسافت ویندوز نیستند	خیر	آره	آره	آره
رومینگ سریع امن	آره	آره	خیر	خیر
قابلیت احراز هویت محلی	آره	آره	خیر	خیر

روش های احراز هویت توسعه یافته توسط سیسکو زیباتر به نظر می رسند. چیزی که آنها را به ویژه جذاب می کند پشتیبانی آنها از فناوری رومینگ سریع امن است که به شما امکان می دهد بین نقاط دسترسی مختلف سوئیچ کنید (زمان سوئیچینگ تقریباً 100 میلی ثانیه است) که به ویژه هنگام انتقال ترافیک صوتی مهم است. با EAP-TLS و PEAP، احراز هویت مجدد به میزان قابل توجهی زمان می برد و منجر به حذف مکالمه می شود. نقطه ضعف اصلی LEAP و LEAP-FAST واضح است - این پروتکل ها فقط در تجهیزات سیستم های سیسکو پشتیبانی می شوند.

رمزگذاری و یکپارچگی

بر اساس توصیه های 802.11i، سیسکو سیستمز پروتکل TKIP (پروتکل یکپارچگی کلید زمانی) را پیاده سازی کرده است که تغییر کلید رمزگذاری PPK (Per Packet Keying) در هر بسته و نظارت بر یکپارچگی پیام های MIC (بررسی یکپارچگی پیام) را تضمین می کند.

روش PPK شامل تغییر IV در هر بسته است. علاوه بر این، رمزگذاری با استفاده از مقدار تابع هش از IV و خود کلید WEP انجام می شود. اگر همچنین در نظر بگیریم که کلیدهای WEP به صورت پویا تغییر می کنند، قابلیت اطمینان رمزگذاری بسیار بالا می شود.

تضمین یکپارچگی بر عهده رویه MIC است. فیلدهای MIC و SEQuence number به فریم تولید شده اضافه می شوند؛ شماره توالی بسته در قسمت SEQ نشان داده شده است که به شما امکان می دهد بر اساس تکرارها و نقض ترتیب از حملات محافظت کنید. بسته ای با شماره دنباله نادرست به سادگی نادیده گرفته می شود. فیلد MIC 32 بیتی حاوی مقدار تابع هش است که از مقادیر خود هدر بسته 802.11، فیلد SEQ و داده های کاربر محاسبه شده است (شکل 2).

یکی دیگر از پروتکل های رمزگذاری و یکپارچگی امیدوارکننده که قبلاً خود را در راه حل های سیمی ثابت کرده است AES (استاندارد رمزگذاری پیشرفته) است. این نسبتاً اخیراً - در اکتبر 2001 توسعه یافته است و در مقایسه با DES و GOST 28147-89 از قدرت رمزنگاری بهتری برخوردار است. طول کلید AES 128، 192 یا 256 بیت است. همانطور که اشاره شد، هم رمزگذاری و هم یکپارچگی را فراهم می کند.

توجه داشته باشید که الگوریتم مورد استفاده در آن (Rijndael) چه در حین اجرا و چه در هنگام بهره برداری به منابع زیادی نیاز ندارد که برای کاهش تاخیر داده ها و بار پردازنده بسیار مهم است.

AES در حال حاضر در Cisco IOS (k9) با 12.2 (13)T اجرا می شود. در حال حاضر، تقریباً تمام دستگاه‌های Cisco Systems 802.11g آماده پشتیبانی از AES هستند. جامعه آنلاین منتظر اعلام انتشار این نرم افزار است، اما ضرب الاجل های مکرر اعلام شده رعایت نمی شود. با این حال، اکنون برخی از وضوح ظاهر شده است. این شرکت اعلام کرد که تمامی دستگاه هایی که در استاندارد 802.11g کار می کنند را می توان به صورت کاملا آزاد به نرم افزار جدیدی مجهز کرد که مطمئناً به زودی ظاهر می شود ... اما تنها پس از تصویب استاندارد 802.11i. این استاندارد در پایان ماه ژوئن توسط IEEE تصویب شد (به نوار کناری "802.11i استاندارد تایید شده" مراجعه کنید). پس منتظریم قربان

دسترسی محافظت شده از Wi-Fi

استاندارد Wi-Fi Protected Access (WPA) مجموعه ای از قوانین برای اجرای حفاظت از داده ها در شبکه های 802.11x است. از آگوست 2003، انطباق با WPA بخشی از الزامات تجهیزات دارای گواهی Wi-Fi Certified (http://www.wi-fi.org/OpenSection/pdf/Wi-Fi_Protected_Access_Overview.pdf) بوده است.

توجه داشته باشید که مشخصات WPA شامل یک پروتکل TKIP-PPK کمی تغییر یافته است. رمزگذاری بر روی "مخلوطی" از چندین کلید - کلیدهای فعلی و بعدی - انجام می شود. در این حالت طول IV به 48 بیت افزایش می یابد.

WPA همچنین کنترل یکپارچگی پیام را بر اساس یک نسخه ساده شده از MIC (Michael MIC) تعریف می کند، که با آنچه توضیح داده شده تفاوت دارد در اینکه تابع هش بر اساس فیلدهای کمتری محاسبه می شود، اما خود فیلد MIC طولانی تر است - 64 بیت. این امکان اجرای اقدامات حفاظتی اطلاعات اضافی را فراهم می کند، به عنوان مثال، سخت تر کردن الزامات مربوط به ارتباط مجدد، احراز هویت مجدد و غیره.

این مشخصات همچنین شامل پشتیبانی از 802.1x/EAP و احراز هویت کلید مشترک و البته مدیریت کلید است.

این بسیار خوشحال کننده است که دستگاه های WPA هم با کلاینت هایی که تجهیزات آنها استانداردهای مدرن را پشتیبانی می کند و هم با مشتریانی که کاملاً نگران امنیت خود نیستند و از تجهیزات یا نرم افزارهای قدیمی استفاده می کنند آماده همکاری هستند. نویسنده به طور قاطع توصیه می کند: کاربران با درجات مختلف امنیت را در شبکه های محلی مجازی مختلف توزیع کنید و خط مشی امنیتی خود را مطابق با آن اجرا کنید.

امروزه به شرط استفاده از تجهیزات و نرم افزارهای مدرن، ساخت یک شبکه بی سیم امن و مقاوم در برابر حملات بر اساس استانداردهای 802.11x کاملاً امکان پذیر است. برای انجام این کار، فقط باید چندین فرض معقول را برای آن اعمال کنید.

باید به یاد داشته باشیم که یک شبکه بی سیم تقریبا همیشه به یک شبکه سیمی متصل است. علاوه بر نیاز به محافظت از کانال های بی سیم، این واقعیت به عنوان انگیزه ای برای معرفی روش های امنیتی جدید در شبکه های سیمی عمل می کند. در غیر این صورت، وضعیتی ممکن است ایجاد شود که در آن شبکه امنیت چندپاره داشته باشد، که اساساً یک تهدید امنیتی بالقوه ایجاد می کند.

توصیه می شود از تجهیزاتی استفاده کنید که دارای گواهینامه Wi-Fi Certified بعد از آگوست 2003 هستند، یعنی تأییدیه انطباق با WPA.

بسیاری از مدیران، هنگام نصب دستگاه ها بر روی LAN، تنظیمات پیش فرض سازنده را ذخیره می کنند. در شبکه های بی سیم جدی این کاملا غیر قابل قبول است.

البته ما نیاز به پیاده سازی 802.1x/EAP/TKIP/MIC و مدیریت کلید پویا داریم. اگر شبکه مختلط است، از شبکه های محلی مجازی استفاده کنید. اکنون تقریباً هر سازنده اکسس پوینت جدی از این فناوری پشتیبانی می کند. و اگر او از آن پشتیبانی نمی کند، پس شما نباید با خرید تجهیزات او از چنین سازنده ای حمایت کنید. اگر از آنتن های خارجی استفاده می شود (مثلاً هنگام اتصال LAN های مختلف)، فناوری شبکه خصوصی مجازی VPN توصیه می شود.

ارزش ترکیب پروتکل ها و روش های نرم افزاری حفاظت با روش های اداری را دارد. همچنین منطقی است که در مورد پیاده سازی فناوری سیستم تشخیص نفوذ (IDS) برای شناسایی نفوذهای احتمالی فکر کنیم. همچنین می توانید از محصولات نرم افزاری که در بالا توضیح داده شد استفاده کنید.

در نهایت، و مهمتر از همه، هنگام برنامه ریزی یک شبکه بی سیم امن، از عقل سلیم استفاده کنید. به یاد داشته باشید: هر گونه رمزگذاری یا دستکاری دیگر داده ها به ناچار تاخیر اضافی ایجاد می کند، میزان ترافیک سرویس و بار روی پردازنده های دستگاه های شبکه را افزایش می دهد. البته امنیت یک عامل مهم در شبکه های مدرن است، اما اگر ترافیک کاربر پهنای باند مناسبی دریافت نکند، بی معنا می شود. از این گذشته، متأسفانه، هر شبکه ای در نهایت برای کاربران ایجاد می شود و نه برای مدیران. با این حال، موضوع QoS در شبکه های بی سیم 802.11x شایسته یک مقاله جداگانه است.

استاندارد 802.11i تایید شده است در 25 ژوئن 2004، موسسه مهندسین برق و الکترونیک (IEEE) استاندارد امنیتی LAN بی سیم 802.11i را که مدت ها در انتظار آن بودیم را تصویب کرد. قبل از تصویب، در سال 2002، کنسرسیوم صنعتی اتحاد Wi-Fi پیشنهاد استفاده از پروتکل WPA را به عنوان یک گزینه میانی ارائه کرد. این شامل برخی مکانیسم های 802.11i، از جمله رمزگذاری TKIP و امکان استفاده از سیستم احراز هویت کاربر 802.1x بر اساس پروتکل RADIUS است. پروتکل WPA در دو تغییر وجود دارد: سبک وزن (برای کاربران خانگی) و شامل استاندارد احراز هویت 802.1x (برای کاربران شرکتی). استاندارد رسمی 802.11i الزام استفاده از استاندارد رمزگذاری AES را به پروتکل WPA اضافه می کند که سطحی از امنیت را فراهم می کند که الزامات کلاس 140-2 FIPS (استاندارد پردازش اطلاعات فدرال) مورد استفاده در دولت ایالات متحده را برآورده می کند. با این حال، در بسیاری از شبکه‌های موجود، پروتکل AES ممکن است به تجهیزات جایگزین نیاز داشته باشد، مگر اینکه مجهز به قابلیت‌های رمزگذاری و رمزگشایی خاص باشد. علاوه بر این، استاندارد جدید چندین ویژگی نسبتاً کمتر شناخته شده را به دست آورده است. یکی از آنها - ذخیره کلید - اطلاعات مربوط به او را بدون توجه کاربر ثبت می کند و به او اجازه می دهد در هنگام خروج از منطقه تحت پوشش شبکه بی سیم و سپس بازگشت به آن، دیگر تمام اطلاعات مربوط به خود را وارد نکند. نوآوری دوم احراز هویت از قبل است. ماهیت آن به شرح زیر است: از نقطه دسترسی که کاربر در حال حاضر به آن متصل است، یک بسته احراز هویت به یک نقطه دسترسی دیگر ارسال می شود که حتی قبل از ثبت نام در نقطه جدید، احراز هویت پیش از این کاربر را فراهم می کند و در نتیجه زمان مجوز را کاهش می دهد. حرکت بین نقاط دسترسی Wi-Fi Alliance قصد دارد تا قبل از سپتامبر سال جاری آزمایش دستگاه ها را برای انطباق با استاندارد جدید (که WPA2 نیز نامیده می شود) آغاز کند. به گفته نمایندگان آن، تعویض گسترده تجهیزات ضروری نخواهد بود. و در حالی که دستگاه‌های دارای WPA1 می‌توانند در محیط‌هایی کار کنند که نیازی به رمزگذاری پیشرفته و احراز هویت RADIUS نیست، محصولات 802.11i را می‌توان تجهیزات WPA در نظر گرفت که از AES پشتیبانی می‌کنند.

شبکه های بی سیم امن نیستند. بگذارید تکرار کنم: شبکه های بی سیم امن نیستند. اکثر اوقات برای اکثر کاربران به اندازه کافی امن هستند، اما چنین شبکه هایی نمی توانند کاملا خصوصی شوند.

حقیقت ساده این است که یک شبکه بی‌سیم از سیگنال‌های رادیویی با مجموعه‌ای از ویژگی‌های مشخص استفاده می‌کند، بنابراین هر کسی که مایل است زمان و تلاش کافی را برای نظارت بر این سیگنال‌ها اختصاص دهد، احتمالاً می‌تواند راهی برای رهگیری و خواندن داده‌های موجود در آنها پیدا کند. اگر اطلاعات حساسی را از طریق یک اتصال بی سیم ارسال کنید، مهاجم می تواند آن را کپی کند. شماره کارت اعتباری، رمز عبور حساب و سایر اطلاعات شخصی آسیب پذیر هستند.

رمزگذاری و سایر روش‌های امنیتی می‌تواند رهگیری داده‌ها را کمی دشوارتر کند، اما محافظت کامل در برابر یک جاسوس واقعاً پیچیده را فراهم نمی‌کنند. همانطور که هر افسر پلیس می تواند به شما بگوید، قفل ها از افراد صادق می آیند، اما دزدان باتجربه می دانند چگونه با آنها برخورد کنند. یافتن کاتالوگ کاملی از ابزارها برای شکستن رمزگذاری WEP در اینترنت آسان است.

با خطرناک‌تر کردن وضعیت، بسیاری از مدیران شبکه و کاربران بی‌سیم خانگی درها و پنجره‌های شبکه‌های خود را بدون استفاده از رمزگذاری و سایر ویژگی‌های امنیتی ادغام شده در هر نقطه و گره شبکه بی‌سیم 802.11b کاملاً باز می‌گذارند. ورود به شبکه های خصوصی ناامن در بسیاری از مناطق شهری و در تعداد زیادی از شبکه های محلی امکان پذیر است. در بهار سال 2001، سانفرانسیسکو کرونیکل گزارش داد که یک متخصص امنیت شبکه با یک آنتن جهت دار که روی سقف یک ون در مرکز شهر سانفرانسیسکو نصب شده بود، توانست به طور متوسط ​​به 22 شبکه بی سیم در هر بلوک وارد شود. تعداد چنین شبکه هایی به طور پیوسته در حال افزایش است. یک سال بعد، گروهی از کارمندان مایکروسافت در حال انجام یک "تست غیررسمی" بیش از 200 نقطه دسترسی باز ناامن را در یک شبکه محله حومه شهر سیاتل کشف کردند. و فروشگاه های قهوه تالی گزارش می دهند که متوجه ورود مشتریان خود به شبکه های Wi-Fi از طریق هات اسپات در فروشگاه های استارباکس در سراسر خیابان شده اند.

محاسبات ساده کافی است: نقطه دسترسی شما در همه جهات بردی 100 متر یا بیشتر دارد، بنابراین سیگنال احتمالاً فراتر از ملک شما (یا دیوارهای آپارتمان شما) گسترش می یابد. یک دستگاه شبکه در اتاق بعدی ساختمان یا آن طرف خیابان به احتمال زیاد می تواند شبکه را شناسایی کند. لپ تاپ یا PDA قرار داده شده در خودروی پارک شده در خیابان نیز قادر به انجام کار مشابهی است. در صورت عدم رعایت برخی اقدامات احتیاطی، اپراتور این دستگاه می تواند در شبکه شما ثبت نام کند، فایل ها را از سرورها بدزدد و برای پخش ویدیو یا بازی های آنلاین به اتصال اینترنت شما نفوذ کند.

درک این نکته مهم است که ما در مورد دو نوع مختلف از تهدیدات امنیتی بی سیم صحبت می کنیم. اولین مورد خطر اتصال شخص دیگری بدون اطلاع یا اجازه شما به شبکه شماست. دوم این امکان وجود دارد که یک مهاجم پیشرفته بتواند داده ها را هنگام ارسال و دریافت آنها بدزدد. هر یک از آنها یک مشکل بالقوه جداگانه است و هر یک به روش خاصی برای پیشگیری و حفاظت نیاز دارد. اگرچه ممکن است درست باشد که هیچ یک از ابزارهای موجود در حال حاضر نمی توانند محافظت کامل را ارائه دهند، اما می توانند زندگی را برای اکثر مهاجمان معمولی دشوارتر کنند.

شبکه های بی سیم نشان دهنده یک مبادله بین امنیت و قابلیت استفاده است. مزایای آشکار اتصال شبکه بی سیم - دسترسی سریع و آسان به شبکه از لپ تاپ یا مکان ایزوله - هزینه دارد. برای اکثر کاربران، این هزینه ها از راحتی یک شبکه بی سیم بیشتر نیست. اما همانطور که هنگام پارک ماشین خود را قفل می کنید، باید اقدامات مشابهی را برای محافظت از شبکه و داده های خود انجام دهید.

محافظت از شبکه و داده های شما

به عنوان یک اپراتور شبکه بی سیم برای محافظت از خود در برابر بیگانگان چه کاری می توانید انجام دهید؟ شما دو گزینه دارید: می‌توانید این واقعیت را بپذیرید که شبکه‌های 802.11b کاملاً ایمن نیستند، اما از ویژگی‌های امنیتی شبکه داخلی برای کاهش سرعت بازیگران بد استفاده کنید. می توانید ابزارهای داخلی را کنار بگذارید و به جای آن از فایروال برای جداسازی استفاده کنید.

واضح است که ویژگی های امنیتی در پروتکل های 802.11b یکپارچه شده است.

برای حفاظت مطلق از داده های ارسالی غیر قابل قبول است. اگر مقالاتی در مورد امنیت شبکه های بی سیم در مجلات تجاری خوانده باشید و مباحثات را در انجمن های آنلاین مطالعه کرده باشید، به راحتی می توانید باور کنید که شبکه های Wi-Fi مانند غربال ضرب المثل نشتی دارند. اما این ممکن است تهدید واقعی شبکه شما را اغراق کند. به یاد داشته باشید که اکثر افرادی که به سرقت پیام‌های شما یا نفوذ به شبکه شما نزدیک هستند، تنها نمی‌نشینند و منتظر نمی‌مانند تا شما شروع به انتقال داده‌ها کنید. و اگر بخواهیم کاملاً صادق باشیم، بیشتر داده هایی که از طریق شبکه شما ارسال می شوند در واقع هیچ علاقه ای ندارند. اما ابزارهای رمزگذاری در هر شبکه Wi-Fi در دسترس هستند، بنابراین شما باید در واقع از آنها استفاده کنید.

تهدید جدی تر این نیست که ارتباطات شما رهگیری شود، بلکه این است که ارتباطات غیرقانونی با آن ایجاد شود. این به یک کاربر غیرمجاز اجازه می‌دهد تا فایل‌های ذخیره‌شده در رایانه‌های دیگر شبکه را بخواند یا از اتصال اینترنت پهن باند شما بدون اطلاع یا اجازه شما استفاده کند.

منطقی است که مراقب مدیریت شبکه خود باشید. اگر می خواهید امنیت 802.11b را پیاده سازی کنید، مراحل خاصی وجود دارد که باید دنبال کنید:

نقطه دسترسی خود را در وسط ساختمان قرار دهید، نه در کنار پنجره. این باعث کاهش مسافتی می شود که سیگنال های شما باید از طریق دیوارها طی کنند.

از رمزگذاری WEP (Wired Equivalent Privacy) استفاده کنید که در تمام گره های شبکه 802.11b موجود است. با توجه به زمان کافی و تجهیزات مناسب، کرک کردن WEP کار سختی نیست، اما باز هم خواندن بسته های رمزگذاری شده دشوارتر از داده های ارسال شده بدون رمزگذاری است. این فصل اطلاعات بیشتری در مورد رمزگذاری WEP ارائه می دهد.

کلیدهای WEP را مرتباً تغییر دهید. استخراج کلیدهای رمزگذاری WEP از یک جریان داده زمان می‌برد و هر بار که کلیدها را تغییر می‌دهید، بازیگران بدی که سعی در سرقت داده‌های شما دارند باید از اول شروع کنند. تغییر کلیدهای خود یک یا دو بار در ماه زیاد نیست.

کلیدهای WEP را در مکانی به راحتی در دسترس قرار ندهید. در یک شبکه بزرگ، ممکن است سعی شود آنها در یک صفحه وب محلی یا در یک فایل متنی ذخیره شوند. آن را انجام نده؛

از ایمیل برای انتقال کلیدهای WEP استفاده نکنید. اگر یک فرد خارجی نام و رمز عبور حساب را بدزدد، دزد قبل از اینکه کاربران قانونی شما آنها را دریافت کنند، پیام هایی را با کلیدهای جدید شما دریافت می کند.

لایه دیگری از رمزگذاری مانند Kerberos، SSH یا VPN را در بالای رمزگذاری WEP یکپارچه در شبکه بی سیم اضافه کنید.

از SSID پیش فرض نقطه دسترسی خود استفاده نکنید. این تنظیمات برای هکرهای شبکه به خوبی شناخته شده است.

SSID را به چیزی تغییر دهید که شغل یا مکان شما را مشخص نمی کند. اگر مهاجمی نام BigCorpNet را کشف کند و به اطراف نگاه کند و دفتر مرکزی BigCorp را در آن طرف خیابان ببیند، احتمالاً شبکه شما را هدف قرار خواهد داد. همین امر در مورد شبکه خانگی شما نیز صدق می کند. اگر این نام در بیرون صندوق پستی شماست، آن را Perkins صدا نکنید. از SSID استفاده نکنید که به نظر می رسد شبکه شما حاوی نوعی اطلاعات فریبنده است - از یک نام غیرقابل توجه مانند یک فیلد خالی، "network-" یا حتی یک رشته از کاراکترهای تصادفی (W24rnQ) استفاده کنید.

آدرس IP و رمز عبور اکسس پوینت خود را تغییر دهید. گذرواژه‌های پیش‌فرض برای اکثر ابزارهای پیکربندی نقطه دسترسی به راحتی یافت می‌شوند (و اغلب از یک فروشنده به فروشنده دیگر تکرار می‌شوند - نکته: از "admin" استفاده نکنید)، بنابراین حتی برای محافظت در برابر کاربران خود به اندازه کافی خوب نیستند. به تنهایی افراد خارجی قصد دارند از شبکه شما برای اهداف خود استفاده کنند.

ویژگی SSID Broadcast را برای یک نقطه دسترسی که امکان اتصال از مشتریان بدون SSID صحیح را فراهم می کند، غیرفعال کنید. این تضمین نمی کند که شبکه شما نامرئی خواهد بود، اما ممکن است کمک کند.

ویژگی کنترل دسترسی را برای نقطه دسترسی خود فعال کنید. کنترل دسترسی اتصالات را به کلاینت های شبکه با آدرس های MAC مشخص محدود می کند. نقطه دسترسی از اتصال به هر آداپتوری که آدرس آن در لیست نیست خودداری می کند. اگر بخواهید به سایر بازدیدکنندگان اجازه دهید از شبکه شما استفاده کنند، ممکن است عملی نباشد، اما ابزار مفیدی برای شبکه های خانگی و اداری کوچک است که در آن همه کاربران بالقوه خود را می شناسید. مشابه ویژگی "پخش SSID"، این تضمینی نیست، اما ضرری هم نخواهد داشت.

با تلاش برای یافتن آن از خیابان، امنیت شبکه خود را آزمایش کنید. لپ تاپی را با یک برنامه اسکن در حال اجرا، مانند Network Stumbler یا ابزاری که وضعیت آداپتور شبکه شما را نشان می دهد، بردارید و از ساختمان دور شوید. اگر بتوانید شبکه خود را از یک بلوک دورتر شناسایی کنید، یک فرد خارجی نیز می تواند. به یاد داشته باشید که افراد بدخواه می توانند از آنتن های جهت دار با بهره بالا استفاده کنند که این فاصله را افزایش می دهد.

در نظر بگیرید که شبکه برای اشتراک گذاری کاملاً باز است. اطمینان حاصل کنید که همه افرادی که از شبکه استفاده می کنند آگاه هستند که از یک سیستم ناامن استفاده می کنند.

دسترسی فایل را فقط به فایل هایی که واقعاً می خواهید به اشتراک بگذارید گسترش دهید. کل دیسک را باز نکنید. از محافظت از رمز عبور برای هر مورد در دسترس استفاده کنید.

از همان ابزار امنیتی استفاده کنید که در شبکه های سیمی استفاده می کنید. در بهترین حالت، بخش بی سیم شبکه LAN شما امن تر از بخش سیمی نیست، بنابراین باید همان اقدامات احتیاطی را انجام دهید. در بیشتر موارد، بخش بی سیم شبکه بسیار کمتر از قسمت سیمی ایمن است.

برای محافظت بیشتر از یک شبکه خصوصی مجازی (VPN) استفاده کنید.

برخی از کارشناسان از روش متفاوتی برای ایمن سازی شبکه بی سیم استفاده می کنند. آنها این ایده را می پذیرند که شبکه 802.11b ناامن است، بنابراین حتی سعی نمی کنند از ویژگی های امنیتی داخلی استفاده کنند. به عنوان مثال، تیم امنیت شبکه بخش پیشرفته سوپرکامپیوتر ناسا در کالیفرنیا دریافت که "شبکه به خودی خود احراز هویت قوی و حفاظت از دستکاری را ارائه نمی دهد" و "ویژگی های امنیتی 802.11b فقط منابع را بدون ارائه هیچ گونه امنیت واقعی در ازای آن مصرف می کند." بنابراین تمام ویژگی های امنیتی 802.11b را غیرفعال می کند و به جای آن از فایروال بی سیم خود، Wireless Firewall Gateway (WFG) استفاده می کند. WFG روتری است که بین بی سیم و بقیه شبکه قرار می گیرد، بنابراین تمام ترافیک شبکه به و از دستگاه های بی سیم (از جمله دسترسی به اینترنت) باید از طریق دروازه عبور کند.

به عنوان یک مزیت اضافی، این روش امنیتی ردپای اداری هر بسته را به حداقل می رساند، زیرا آنها حاوی احراز هویت یا رمزگذاری نیستند. این باعث کاهش تعداد بیت ها در هر بسته می شود که سرعت انتقال داده موثر شبکه را افزایش می دهد.

سایر اپراتورهای شبکه بی سیم از VPN برای کنترل دسترسی از طریق دروازه های بی سیم خود استفاده می کنند. VPN یک لایه دیگر از امنیت نقطه به نقطه را به لایه IP اضافه می کند (به جای لایه فیزیکی که در آن رمزگذاری در 802.11b رخ می دهد) قبل از اینکه کاربر بتواند در شبکه گشت و گذار کند.

امنیت شبکه در دو مورد ضروری است - یک مدیر شبکه نمی‌خواهد به کاربران غیرمجاز اجازه ورود به شبکه آنها را بدهد و کاربران فردی نمی‌خواهند کسی به فایل‌های شخصی آنها دسترسی پیدا کند. هنگامی که وارد یک شبکه مشترک می شوید، باید اقدامات احتیاطی را نسبت به خواندن فایل های خود از طریق شبکه انجام دهید.

برای غیر فعال کردن اشتراک گذاری فایل(دسترسی به فایل) قبل از اتصال به یک شبکه مشترک، از روش زیر در Windows 95، Windows 98 و Windows ME استفاده کنید:

1. ب صفحه کنترل(کنترل پنل) کادر محاوره ای را باز کنید شبکه(خالص).

2. انتخاب کنید به اشتراک گذاری فایل و چاپگر(دسترسی به فایل ها و چاپگرها).

3. در کادر محاوره ای Fi le و به اشتراک گذاری چاپگرعملکرد را غیر فعال کنید من می خواهم به دیگران اجازه دسترسی به فایل های من را بدهم(به دیگران اجازه دسترسی به فایل های من را بدهید).

ویندوز 2000 و ویندوز XP مکان مرکزی برای غیرفعال کردن دسترسی به فایل ها ندارند، بنابراین باید هر دسترسی را به صورت جداگانه غیرفعال کنید.

1. یک پنجره را باز کنید کامپیوتر من(کامپیوتر من).

2. نمادهای تمام درایوها و پوشه های موجود شما دارای نماد دست هستند. برای غیرفعال کردن دسترسی، روی نماد کلیک راست کرده و انتخاب کنید اشتراک گذاری و امنیت(دسترسی و امنیت) در منو.

3. ویژگی را غیرفعال کنید این پوشه را در شبکه به اشتراک بگذارید(دسترسی به این پوشه را از طریق شبکه باز کنید).

4. روی دکمه کلیک کنید خوب(بله) برای بستن کادر محاوره ای.

5. فرآیند را برای هر پوشه یا فایل موجود تکرار کنید. پوشه را فراموش نکنید اسناد مشترک(اسناد عمومی).

هنگام بازگشت به دفتر یا شبکه خانگی خود، باید این روند را معکوس کنید تا دوباره به فایل های خود دسترسی پیدا کنید.

مشکل دیگر خطر ردیابی داده های جاسوسی است که از طریق ارتباطات رادیویی ارسال می شود و اطلاعات محرمانه را در حال سرقت می کند. این به اندازه دسترسی یک جاسوس به شبکه و خواندن فایل ها رایج نیست، اما ممکن است. رمزگذاری و سایر ابزارهای امنیتی می تواند رمزگشایی داده ها را دشوار کند، اما بهتر است با شبکه Wi-Fi مانند تلفن همراه رفتار کنید: هرگز پیام یا فایلی با اطلاعات حساس ارسال نکنید.

ابزارهای امنیتی 802.11b

ابزارهای امنیتی در مشخصات 802.11b کامل نیستند، اما بهتر از هیچ هستند. حتی اگر تصمیم دارید از آنها استفاده نکنید، مهم است که قبل از خاموش کردن آنها بدانید که آنها چیست و چگونه کار می کنند.

نام شبکه (SSID)

همانطور که در فصل 1 بحث شد، هر شبکه بی سیم یک نام دارد. در شبکه ای که تنها یک نقطه دسترسی دارد، نام آن شناسه مجموعه خدمات پایه (BSSID) است. هنگامی که یک شبکه دارای بیش از یک نقطه دسترسی باشد، نام به یک شناسه مجموعه خدمات توسعه یافته (ESSID) تبدیل می شود. نام استاندارد برای همه نام‌های شبکه SSID است - اصطلاحی که اغلب در ابزارهای پیکربندی برای نقاط دسترسی بی‌سیم و کلاینت‌ها مشاهده می‌کنید.

هنگام پیکربندی نقاط دسترسی برای یک شبکه، باید یک SSID به آن اختصاص دهید. هر نقطه دسترسی و مشتری شبکه در شبکه باید از یک SSID استفاده کند. در رایانه های ویندوزی، SSID آداپتور بی سیم نیز باید نام گروه کاری باشد.

هنگامی که دو یا چند نقطه دسترسی با SSID یکسان شناسایی می شوند، کاربر فرض می کند که همه آنها بخشی از یک شبکه هستند (حتی اگر نقاط دسترسی در کانال های رادیویی مختلف کار کنند) و با نقطه دسترسی که قوی ترین یا واضح ترین سیگنال را ارائه می دهد تماس می گیرد. اگر به دلیل تداخل یا تضعیف این سیگنال بدتر شود، مشتری سعی می کند به نقطه دسترسی دیگری که معتقد است متعلق به همان شبکه است، حرکت کند.

اگر دو شبکه مختلف با همپوشانی سیگنال نام یکسانی داشته باشند، مشتری فرض می‌کند که هر دو بخشی از یک شبکه هستند و ممکن است برای انتقال تلاش کنند. از دیدگاه کاربر، چنین انتقال اشتباهی مانند قطع کامل اتصال شبکه به نظر می رسد. بنابراین، هر شبکه بی سیمی که ممکن است با شبکه دیگر همپوشانی داشته باشد باید یک SSID منحصر به فرد داشته باشد.

استثناهای قانون SSID منحصر به فرد، شبکه های عمومی و گروهی هستند که فقط به اینترنت دسترسی دارند و نه سایر رایانه ها یا دستگاه های موجود در شبکه محلی. چنین شبکه‌هایی اغلب یک SSID مشترک به اشتراک می‌گذارند تا مشترکین بتوانند آن‌ها را از مکان‌های مختلف کشف کرده و به آنها متصل شوند.

برخی از نقاط دسترسی، از جمله ایستگاه پایه AirPort اپل و سیستم های مشابه Orinoco، دارای ویژگی هستند که به شما امکان می دهد بین دسترسی "باز" ​​و "بسته" یکی را انتخاب کنید. هنگامی که یک نقطه دسترسی برای دسترسی عمومی پیکربندی شده است، اتصالات را از یک کلاینت می پذیرد که SSID آن روی تنظیم شده است. هر(هر کدام)، مانند دستگاه هایی که برای برقراری ارتباط با استفاده از SSID خود نقطه دسترسی پیکربندی شده اند. هنگامی که یک نقطه دسترسی روی خصوصی تنظیم می شود (اپل آن را "شبکه پنهان" می نامد)، فقط اتصالاتی را می پذیرد که SSID با SSID آن مطابقت داشته باشد. این یک راه خوب برای محافظت از شبکه شما در برابر افراد خارجی است، اما تنها زمانی کار می کند که هر گره در شبکه از آداپتور Orinoco استفاده کند (Apple AirPort Card نسخه اختصاصی آداپتور Orinoco است). اگر یک آداپتور ساخته شده توسط هر سازنده دیگری سعی کند به یک نقطه دسترسی بسته متصل شود، آن را نادیده می گیرد، حتی اگر SSID مطابقت داشته باشد.

شبکه SSID شکل بسیار محدودی از کنترل دسترسی را ارائه می دهد زیرا باید SSID را هنگام تنظیم اتصال بی سیم خود مشخص کنید. ویژگی SSID نقطه دسترسی همیشه یک فیلد متنی است که هر نامی را که می خواهید به آن بدهید می پذیرد. با این حال، بسیاری از برنامه های پیکربندی شبکه (از جمله ابزارهای شبکه بی سیم در ویندوز XP و آنهایی که با برخی از مارک های اصلی آداپتورهای شبکه ارائه می شوند) به طور خودکار SSID هر شبکه فعال را در محدوده سیگنال خود شناسایی و نمایش می دهند. بنابراین، همیشه لازم نیست قبل از اتصال، SSID شبکه را بدانید. گاهی اوقات یک ابزار پیکربندی (یک مانیتور شبکه یا یک برنامه اسکن شبیه به Network Stumbler) نام هر شبکه مجاور را در یک لیست یا منو به شما نشان می دهد.

به عنوان مثال در شکل. شکل 14.1 نتیجه یک اسکنر شبکه استامبلر در فرودگاه سیاتل-تاکوما را نشان می دهد، جایی که WayPort به ترمینال مسافربری سرویس می دهد و MobileStar در کلوپ VIP خطوط هوایی آمریکا پوشش می دهد. (MobileStar مدت کوتاهی پس از اینکه من این طرح را انجام دادم بخشی از سرویس دیگری شد، بنابراین نام شبکه تغییر کرده است، اما سرویس به همان صورت باقی مانده است).

هر نقطه دسترسی با یک تنظیم پیش فرض SSID ارائه می شود. این تنظیمات پیش‌فرض به خوبی شناخته شده و در جوامع جاسوسی منتشر شده‌اند (برای مثال، http://www.wi2600.org/mediawhore/nf0/wireless/ssid_defaults را ببینید). بدیهی است که تنظیمات پیش فرض نباید در هیچ شبکه ای استفاده شود.

برنج. 14.1

بسیاری از نقاط دسترسی دارای یک ویژگی مخفی SSID هستند که اغلب نامیده می شود شبکه پنهانیا شبکه پنهان. این ویژگی به جلوگیری از کشف نام شبکه شما توسط برخی جاسوسان کمک می کند، اما هر زمان که یک کلاینت جدید به آن متصل شود یا یک کلاینت موجود سیگنال ضعیفی دریافت کند، SSID پخش می شود و برنامه ای مانند Kismet آن را شناسایی می کند. پنهان کردن SSID ممکن است مهمان گاه به گاه را کند کند، اما امنیت واقعی را فراهم نمی کند.

رمزگذاری WEP

رمزگذاری WEP یکی از ویژگی‌های هر سیستم 802.11b است، بنابراین مهم است که بدانید چگونه کار می‌کند، حتی اگر ترجیح دهید از آن استفاده نکنید. همانطور که از نام آن پیداست، هدف اصلی Wired Equivalent Privacy (WEP) ارائه سطحی از امنیت برای شبکه های بی سیم مشابه با شبکه های سیمی بود. اما یک ادعای بسیار رایج وجود دارد که یک شبکه مبتنی بر رمزگذاری WEP تقریباً به اندازه یک شبکه بدون امنیت در برابر نفوذ آسیب پذیر است. در برابر جاسوسان گاه به گاه محافظت می کند، اما در برابر یک سارق دائمی موثر نخواهد بود.

WEP سه عملکرد را انجام می دهد: از دسترسی غیرمجاز به شبکه جلوگیری می کند، یکپارچگی هر بسته را تأیید می کند و از داده ها در برابر افراد بدخواه محافظت می کند. برای رمزگذاری بسته های داده، WEP از یک کلید رمزگذاری مخفی قبل از اینکه کلاینت شبکه یا نقطه دسترسی آن را ارسال کند، استفاده می کند و از همان کلید برای رمزگشایی داده ها پس از دریافت استفاده می کند.

هنگامی که یک کلاینت سعی می کند با استفاده از کلید دیگری با شبکه ارتباط برقرار کند، نتیجه مخدوش و نادیده گرفته می شود. بنابراین، تنظیمات WEP باید در هر نقطه دسترسی و آداپتور مشتری در شبکه دقیقاً یکسان باشد. این به اندازه کافی ساده به نظر می رسد، اما گیج کننده می شود زیرا فروشندگان از روش های مختلفی برای تعیین اندازه و قالب کلید WEP استفاده می کنند. عملکردها از برندی به برند دیگر یکسان هستند، اما تنظیمات یکسان همیشه دارای عناوین یکسانی نیستند.

چند بیت در کلید WEP شما وجود دارد؟

اول، کلید WEP می تواند 64 یا 128 بیتی باشد. شکستن کلیدهای 128 بیتی دشوارتر است، اما زمان انتقال هر بسته را نیز افزایش می دهند.

سردرگمی بین پیاده سازی های مختلف فروشندگان به این دلیل است که WEP 40 بیتی همان کلید WEP 64 بیتی است و کلید 104 بیتی همان کلید 128 بیتی است. یک کلید استاندارد 64 بیتی WEP رشته ای است که شامل یک بردار اولیه 24 بیتی تولید شده داخلی و یک کلید مخفی 40 بیتی است که توسط مدیر شبکه اختصاص داده شده است. برخی از مشخصات و برنامه های پیکربندی سازندگان این را «رمزگذاری 64 بیتی» و برخی دیگر آن را «رمزگذاری 40 بیتی» می نامند. در هر صورت، طرح رمزگذاری یکسان باقی می ماند، بنابراین آداپتوری که از رمزگذاری 40 بیتی استفاده می کند، با یک نقطه دسترسی یا آداپتوری که از رمزگذاری 64 بیتی استفاده می کند، کاملاً سازگار است.

بسیاری از آداپتورهای شبکه و نقاط دسترسی نیز دارای ویژگی "رمزگذاری قوی" هستند که از یک کلید 128 بیتی (که در واقع یک کلید مخفی 104 بیتی با بردار اولیه سازی 24 بیتی است) استفاده می کند.

رمزگذاری قوی با رمزگذاری 64 بیتی یک طرفه سازگار است، اما خودکار نیست، بنابراین تمام اجزای یک شبکه مختلط از دستگاه ها با یک کلید 128 بیتی و 64 بیتی با رمزگذاری 64 بیتی کار می کنند. اگر نقطه دسترسی و همه آداپتورها از رمزگذاری 128 بیتی پشتیبانی می کنند، از یک کلید 128 بیتی استفاده کنید. اما اگر می خواهید شبکه شما با آداپتورها و نقاط دسترسی که فقط رمزگذاری 64 بیتی را تشخیص می دهند سازگار باشد، کل شبکه خود را طوری پیکربندی کنید که از کلیدهای 64 بیتی استفاده کند.

کلید اسکی یا هگزادسیمال؟

اما طول کلید به تنهایی هنگام تنظیم رمزگذاری WEP گیج کننده است. برخی از برنامه ها به کلید به عنوان رشته ای از کاراکترهای متنی نیاز دارند، در حالی که برخی دیگر به آن به عنوان یک عدد هگزادسیمال نیاز دارند. دیگران می توانند یک کلید از یک عبارت عبور اختیاری تولید کنند.

هر کاراکتر ASCII از 8 بیت تشکیل شده است، بنابراین یک کلید 40 بیتی (یا 64 بیتی) WEP شامل 5 کاراکتر و یک کلید 104 بیتی (یا 128 بیتی) از 13 کاراکتر تشکیل شده است. در هگزادسیمال، هر عدد از 4 بیت تشکیل شده است، بنابراین یک کلید 40 بیتی شامل 10 کاراکتر هگزادسیمال و یک کلید 128 بیتی دارای 26 کاراکتر است.

در شکل در شکل 14.2، که پنجره Wireless Setting را برای یک نقطه دسترسی D-Link نشان می دهد، قسمت امنیت کلید مشترک 40 بیتی از کاراکترهای هگزا دسیمال استفاده می کند و فضایی برای ده کاراکتر دارد. برنامه D-Link شامل هر ده کاراکتر در یک خط است، اما برخی دیگر آنها را به پنج گروه دو عددی یا به دو گروه پنج عددی تقسیم می کنند.

برنج. 14.2

برای یک کامپیوتر، کلید در هر صورت یکسان به نظر می رسد، اما کپی کردن رشته زمانی که به قطعات تقسیم می شود آسان تر است.

بسیاری از ابزارهای سرویس گیرنده، مانند کادر محاوره ای Wireless Network Properties در ویندوز XP (نشان داده شده در شکل 14.3)، انتخاب کد هگزا دسیمال یا متن را ارائه می دهند، بنابراین می توانید از فرمت مناسب برای نقطه دسترسی استفاده کنید.

عبارت عبور یک رشته متنی است که آداپتورها و نقاط دسترسی به طور خودکار به رشته ای از کاراکترهای هگزا دسیمال تبدیل می کنند. از آنجایی که مردم عموماً کلمات یا عبارات معنی دار را راحت تر از gobbledygook هگزادسیمال به خاطر می آورند، انتقال عبارت عبور آسان تر از رشته هگزا دسیمال است. با این حال، یک عبارت عبور تنها زمانی مفید است که همه آداپتورها و نقاط دسترسی در شبکه توسط یک سازنده ساخته شده باشند.

برنج. 14.3

چه ویژگی هایی وجود دارد؟

مشابه تقریباً تمام تنظیمات در ابزار پیکربندی 802.11b، نام توابع WEP از یک برنامه به برنامه دیگر ثابت نیست.

برخی از مجموعه ای باز از ویژگی ها مانند "فعال کردن رمزگذاری WEP" استفاده می کنند، در حالی که برخی دیگر از اصطلاحات فنی برگرفته از مشخصات رسمی 802.11 استفاده می کنند. Open System Authentication دومین نوع نام "WEP Encryption Disabled" است.

برخی از نقاط دسترسی نیز یک ویژگی تأیید اعتبار کلید عمومی اختیاری را ارائه می دهند که از رمزگذاری WEP استفاده می کند، جایی که مشتری شبکه کلید را دارد اما داده های رمزگذاری نشده از سایر گره های شبکه پذیرفته می شود.

ترکیب کلیدهای هگزادسیمال و متنی

راه اندازی یک شبکه مختلط زمانی پیچیده تر می شود که برخی از گره های شبکه فقط از کلیدهای هگزا دسیمال استفاده می کنند در حالی که برخی دیگر به کلیدهای متنی نیاز دارند. اگر این وضعیت در شبکه شما رخ دهد، باید قوانین زیر را دنبال کنید تا آنها را با WEP پیکربندی کنید:

تمام کلیدهای متنی را به هگزادسیمال تبدیل کنید. اگر برنامه پیکربندی به کلید متنی نیاز دارد، کاراکترها را وارد کنید اوه(صفر و به دنبال آن یک حرف کوچک x) قبل از رشته هگزادسیمال. اگر از نرم افزار AirPort اپل استفاده می کنید، به جای اوهدر ابتدای کلید hessadecimal، باید نماد دلار را وارد کنید ( $ );

مطمئن شوید که همه کلیدهای رمزگذاری شما دارای تعداد صحیح کاراکتر هستند.

اگر همه چیز هنوز کار نمی کند، بخش های امنیتی را در دفترچه های راهنمای مربوط به آداپتورهای شبکه و نقاط دسترسی خود بخوانید. این امکان وجود دارد که یک یا چند دستگاه از این دستگاه‌های موجود در شبکه دارای ویژگی‌های شخصیتی پنهانی باشند که شما از آن بی‌خبر باشید.

تغییر کلیدهای WEP

بسیاری از نقاط دسترسی و آداپتورهای کلاینت شبکه می توانند تا چهار کلید WEP 64 بیتی مختلف را پشتیبانی کنند، اما همانطور که در شکل 1 نشان داده شده است، در هر زمان تنها یکی فعال است. 14.4. کلیدهای دیگر کلیدهای یدکی هستند که می توانند به مدیر شبکه اجازه دهند امنیت شبکه را با یک اطلاعیه کوتاه تنظیم کنند. آداپتورها و نقاط دسترسی که از رمزگذاری 128 بیتی پشتیبانی می کنند، هر بار فقط از یک کلید WEP 128 بیتی استفاده می کنند.

برنج. 14.4

در شبکه ای که در آن رمزگذاری WEP به طور جدی سازماندهی شده است. کلیدهای WEP باید طبق یک برنامه به طور مرتب تعویض شوند. برای شبکه ای که داده های مهمی را ارسال نمی کند یک ماه کافی است، اما برای شبکه جدی تر، یک یا دو بار در هفته یک کلید جدید باید نصب شود. به یاد داشته باشید که کلیدهای WEP فعلی خود را در مکانی امن یادداشت کنید.

در یک شبکه خانگی یا اداری کوچک، به احتمال زیاد تمام کلیدهای WEP را خودتان تغییر خواهید داد. در غیر این صورت، مدیر شبکه یا متخصص امنیت باید کلیدهای WEP جدید را به جای از طریق ایمیل، روی کاغذ، در یادداشت توزیع کند. برای سطح امنیت بیشتر در شبکه‌هایی که از رمزگذاری 64 بیتی استفاده می‌کنند، به کاربران خود دستور دهید دو کلید را در یک زمان تغییر دهند (نه پیش‌فرض فعلی). یک یادداشت جداگانه ارسال کنید و به کاربران اطلاع دهید که کدام کلید به عنوان پیش فرض جدید تبدیل شده است و چه زمانی باید تغییر کند.

یک دستورالعمل هفتگی معمولی ممکن است به شکل زیر باشد:

لطفاً کلیدهای WEP 64 بیتی جدید زیر را وارد کنید:

کلید 1: XX XX XX XX XX

کلید 4: YY YV YY YY YY

یادداشت دیگری یک هفته بعد کدهای کلید 2 و کلید 3 را ارائه می دهد.

یک یادداشت جداگانه ممکن است بگوید: "شبکه ما در نیمه شب سه شنبه به کلید 3 تغییر خواهد کرد. لطفا کلید پیش فرض آداپتور شبکه خود را تغییر دهید." برای تغییر، زمانی را انتخاب کنید که کمترین تعداد کاربران از شبکه بی‌سیم استفاده می‌کنند، زیرا هر اتصال فعال در نقطه دسترسی در زمان تغییر کلیدها قطع می‌شود و تا زمانی که کلیدهای آداپتور مشتری تغییر نکنند، قابل بازیابی نیست. کاربران می توانند کلیدهای جدید را از قبل به عنوان جایگزین کلید فعال فعلی وارد کرده و با اعمال کلید جدید با چند کلیک آنها را تغییر دهند.

آیا حفاظت WEP کافی است؟

چندین دانشمند کامپیوتر گزارش‌هایی در مورد رمزگذاری WEP منتشر کرده‌اند و مخالف استفاده از آن برای محافظت از داده‌های حساس هستند. همه آنها به کاستی های جدی در تئوری و عمل رمزنگاری مورد استفاده در ترکیب الگوریتم های رمزگذاری WEP اشاره می کنند. این کارشناسان در توصیه خود متفق القول هستند: هرکسی که از شبکه بی سیم 802.11 استفاده می کند نباید برای اهداف امنیتی به WEP اعتماد کند. برای محافظت از شبکه های خود باید از روش های دیگری استفاده کنید.

تیمی از دانشگاه کالیفرنیا، برکلی، نقص‌های متعددی در الگوریتم WEP پیدا کرده‌اند که آن را در برابر حداقل چهار نوع حمله آسیب‌پذیر می‌کند:

حملات غیرفعال با استفاده از تجزیه و تحلیل آماری برای رمزگشایی داده ها.

حملات فعال با ایجاد بسته های رمزگذاری شده که نقطه دسترسی را مجبور به پذیرش دستورات نادرست می کند.

حمله با تجزیه و تحلیل بسته های رمزگذاری شده برای ایجاد یک فرهنگ لغت، که سپس می تواند برای رمزگشایی خودکار داده ها در زمان واقعی استفاده شود.

حملاتی که هدر بسته ها را تغییر می دهند تا داده ها را به مقصدی که توسط مهاجم کنترل می شود هدایت کنند.

گزارش برکلی با این بیانیه صریح به پایان می رسد: «امنیت WEP معادل امنیت سیمی نیست. مشکلات پروتکل نتیجه درک نادرست برخی از اصول رمزنگاری و در نتیجه استفاده ناامن از روش های رمزگذاری است."

محققان دانشگاه رایس و آزمایشگاه AT&T توضیحات خود را از حملات خود به شبکه های رمزگذاری شده WEP (http://www.cs.rice.edu/~astubble/wep) منتشر کردند که آنها را به نتیجه مشابهی رساند: "WEP در 802.11 کاملا ناامن است." آنها توانستند تجهیزات لازم را سفارش داده و دریافت کنند، یک میز آزمایش راه اندازی کنند، ابزار حمله خود را توسعه دهند و در کمتر از یک هفته با موفقیت یک کلید WEP 128 بیتی به دست آورند.

هر دو گزارش آزمایشگاه‌های برکلی و AT&T توسط کارشناسان فنی، برای کارشناسان فنی نوشته شده‌اند و رمزنگاری را تحلیل می‌کنند. استدلال های آنها قابل درک است، اما روش های آنها پیش فرض می گیرد که بدخواه دانش فنی جدی دارد. با این حال، ابزارهایی برای کدشکن های کمتر پیچیده را می توان به همین راحتی پیدا کرد. هر دو AirSnort (http://airsnort.shmoo.com) و WEPCrack() برنامه های لینوکس هستند که سیگنال های شبکه بی سیم را نظارت می کنند و از نقاط ضعف الگوریتم WEP برای به دست آوردن کلید رمزگذاری سوء استفاده می کنند.

توسعه دهندگان AirSnort ادعا می کنند که برنامه آنها می تواند اکثر شبکه ها را در عرض دو هفته با موفقیت هک کند. این فناوری سیگنال های شبکه را بدون تأثیرگذاری بر آنها نظارت می کند، بنابراین مدیر شبکه نمی تواند وجود یک حمله را تشخیص دهد. این برنامه برای بدتر کردن مشکل منتشر می شود. اگر رمزگذاری WEP به راحتی شکسته می شود، گروه های استاندارد مجبور می شوند یا راهی برای ایمن تر کردن آن بیابند یا آن را با گزینه ای که شکستن آن دشوارتر است جایگزین کنند.

به طور خلاصه: آن را ساده نگه دارید و داده های شبکه خود را رمزگذاری کنید.

داده های رمزگذاری شده امن تر از انتقال متن ساده هستند و شکستن کلید WEP زمان بر است، بنابراین WEP یک لایه امنیتی دیگر (احتمالاً ضعیف) اضافه می کند، به خصوص اگر کلیدها را مرتباً تغییر دهید. رمزگذاری WEP نمی تواند کمک زیادی به محافظت از شما در برابر دشمنان جدی کند، اما از شما در برابر بدخواهان تصادفی محافظت می کند. نفوذ به شبکه‌ای که از رمزگذاری استفاده نمی‌کند بسیار ساده‌تر است (که اکثراً این کار را انجام می‌دهند)، بنابراین هکری که سیگنال رمزگذاری شده‌ای را کشف می‌کند احتمالاً با امنیت کمتری به سمت هدف حرکت می‌کند.

کمک در راه است

بدیهی است که طراحی امنیتی با سوراخ‌هایی به اندازه کافی بزرگ برای راندن یک کامیون دیجیتال غول‌پیکر تقریباً به همان اندازه بد است که اصلاً امنیت ندارد. حملات موفقیت‌آمیز به رمزگذاری WEP و ابزارهای در دسترس برای بهره‌برداری از نقص‌های پروتکل امنیتی، اعضای Wi-Fi Alliance را وادار می‌کند تا به طور جدی از مجوز خود به عنوان استاندارد واقعی برای شبکه‌های بی‌سیم حمایت کنند. آنها از کلماتی مانند "بحران" برای توصیف توجه به این موضوعات استفاده می کنند.

آنها می خواهند راه حلی بیابند قبل از اینکه بدنام نقض های امنیتی بر تقاضا برای تجهیزات اترنت بی سیم که آنها با دقت ایجاد و تبلیغ کرده اند، بیشتر شود.

استانداردهای جدیدی که این مشکل را حل خواهند کرد 802.11i.IEEE نام خواهند داشت. کمیته استانداردهای 802.11 چندین ماه قبل از اینکه به اطلاع عموم برسد، بحث درباره این مشکل را آغاز کرد. کمیته ای به نام Task Group i (TGi) در حال کار بر روی مشخصات امنیتی جدید و بهبود یافته ای است که (امیدواریم) تمام نقاط ضعف شناخته شده استانداردهای رمزگذاری WEP را برطرف کند. این گروه قول می دهد که ابزارهای امنیتی جدید به طور خودکار کار می کنند و با تجهیزات قدیمی که از ابزارهای جدید استفاده نمی کنند، سازگار خواهند بود. گروه تحقیقاتی یک وب سایت به آدرس http://grouper.ieee.Org/groups/802/11/Reports دارد که می توانید اطلاعات جلسه را بیابید و برخی از مقالات فنی را بخوانید.

اتحاد Wi-Fi از اعضای خود می خواهد که در سریع ترین زمان ممکن از محصول TGi استفاده کنند. این می تواند وضعیت را قبل از تبدیل شدن به یک فاجعه تجاری خنثی کند. هنگامی که مهندسان راه حلی را گزارش می دهند، همه سازندگان نقطه دسترسی و آداپتورهای شبکه، روش های امنیتی جدید را در محصولات خود ادغام می کنند و اتحاد آنها را به مجموعه تست گواهی Wi-Fi اضافه می کند. نرم افزار و سیستم عامل به روز شده سازگاری محصولات 802.11b موجود با پروتکل های جدید 802.11i را تضمین می کند.

کنترل دسترسی

اکثر نقاط دسترسی دارای ویژگی هستند که به مدیر شبکه اجازه می دهد دسترسی به آداپتورهای مشتری را از یک لیست مشخص محدود کند. اگر دستگاه شبکه ای که آدرس MAC آن در لیست کاربران مجاز نیست، سعی کند متصل شود، نقطه دسترسی درخواست ارتباط با شبکه را نادیده می گیرد. این روش می تواند در جلوگیری از اتصال افراد غریبه به شبکه بی سیم موثر باشد، اما مدیر شبکه را مجبور می کند لیست کاملی از آداپتورهای کاربران و آدرس MAC آنها را نگه دارد. هر بار که یک کاربر جدید می خواهد به شبکه متصل شود و هر بار که یک کاربر قانونی آداپتورها را تغییر می دهد، یک نفر باید آدرس MAC دیگری را به لیست اضافه کند. این در یک شبکه خانگی یا اداری کوچک امکان پذیر است، اما می تواند یک مشکل بزرگ برای یک سازمان بزرگ یا سیستم پردیس باشد.

هر ابزار پیکربندی نقطه دسترسی از فرمت متفاوتی برای لیست های دسترسی استفاده می کند. اسناد دستی و آنلاین ارائه شده با نقطه دسترسی شما باید دستورالعمل های دقیقی در مورد نحوه ایجاد و استفاده از لیست کنترل دسترسی ارائه دهد. استاندارد 802.11b حداکثر اندازه ACL را برای یک نقطه دسترسی تعریف نمی کند، بنابراین اعداد در سراسر کارت توزیع می شوند. برخی از نقاط دسترسی لیست را به چند ده پارامتر محدود می کنند. سایرین، مانند Proxim Harmony AP Controller، تا 10000 آدرس جداگانه را پشتیبانی خواهند کرد. بقیه به تعداد نامحدود اجازه می دهند. اگر قصد دارید از یک لیست آدرس برای کنترل دسترسی به شبکه خود استفاده کنید، مطمئن شوید که نقطه دسترسی فهرستی به اندازه کافی بزرگ دارد که از همه کاربران با فضای سر کافی برای آینده پشتیبانی کند. یک قانون کلی این است که نقطه دسترسی باید حداقل دو برابر تعداد آدرس های MAC در مقایسه با تعداد کاربران فعلی شبکه شما اجازه دهد.

احراز هویت MAC نمی تواند در برابر همه نفوذها محافظت کند، زیرا تغییر آدرس MAC در اکثر کارت های شبکه بی اهمیت است: تنها کاری که مهاجم باید انجام دهد این است که به اندازه کافی ترافیک شبکه شما را نظارت کند تا یک کاربر معتبر پیدا کند و آدرس MAC او را کپی کند.

با این حال، این می تواند یک راه بسیار موثر برای کاهش سرعت جاسوسی گاه به گاه باشد.

احراز هویت: استاندارد 802.1x

به دلیل حفره های امنیتی در مشخصات رمزگذاری WEP، بسیاری از تولیدکنندگان تجهیزات شبکه بی سیم و توسعه دهندگان نرم افزار قبلاً استاندارد جدید IEEE - 802.1x - را برای اضافه کردن یک لایه امنیتی دیگر به شبکه های خود تطبیق داده اند. استاندارد 802.1x چارچوبی را تعریف می‌کند که می‌تواند چندین اشکال مختلف احراز هویت، از جمله گواهی‌ها، کارت‌های هوشمند و رمزهای عبور یک‌بار مصرف را پشتیبانی کند، که همگی امنیت بیشتری نسبت به کنترل‌های دسترسی ادغام شده در 802.11 فراهم می‌کنند.

در شبکه‌های بی‌سیم 802.11، فناوری به نام شبکه امنیتی قوی در بالای چارچوب 802.1x ساخته شده است تا دسترسی شبکه به دستگاه‌های مجاز را محدود کند.

اکثر کاربران نهایی باید دو چیز را در مورد 802.1x بدانند: اول اینکه در برخی از سخت افزارها و نرم افزارهای 802.11b (اما نه همه آنها)، از جمله ابزار پیکربندی بی سیم که با Windows XP و بسیاری از نقاط دسترسی مدرن ارائه می شود، یکپارچه شده است، بنابراین می تواند یکی دیگر از نقاط دسترسی را ارائه دهد. سطح بالقوه حفاظت؛ و ثانیا، هنوز هم دارای نقص های جدی است که یک هکر شبکه ماهر می تواند از آنها برای نفوذ به یک شبکه بی سیم سوء استفاده کند. جزئیات فنی ناخوشایند که توسط دو محقق دانشگاه مریلند تجزیه و تحلیل شده است، به صورت آنلاین در http://www.cs.umd.edu/~waa/1x.pdf موجود است.

به نظر می رسد یک نقطه عطف ظاهر شده است، اینطور نیست؟ مهندسان شرکت های علاقه مند سخت افزار و نرم افزار زیر پرچم یک گروه تحقیقاتی گرد هم می آیند

چه باید کرد؟ آیا یک شبکه بی سیم امن یک ایده آل دست نیافتنی است؟ اگر به امنیت بی سیم به عنوان یک بازی موش و گربه نگاه کنید، کاملاً واضح است که موش ها (جاسوسان و کرکرهای شبکه) برنده هستند. اما این موش ها برای غلبه بر ابزارهای رمزگذاری و احراز هویت موجود به دانش و سخت افزار پیشرفته نیاز دارند.

آن را مانند درب ورودی خانه خود در نظر بگیرید: اگر آن را کاملاً باز بگذارید، هر کسی می تواند وارد شود و وسایل شما را بدزدد، اما اگر در را قفل کنید و پنجره ها را ببندید، ورود سارق به داخل بسیار دشوارتر می شود. . یک متخصص می تواند قفل را باز کند، اما این کار زمان و تلاش زیادی می برد.

فایروال ها

اگر قبول دارید که رمزگذاری WEP و 802.1x امنیت بی سیم کافی را فراهم نمی کند، قدم منطقی بعدی یافتن راه دیگری برای جلوگیری از دسترسی افراد خارجی به شبکه شما است. شما نیاز به فایروال دارید.

فایروال یک سرور پراکسی است که بسته به مجموعه ای از قوانین تنظیم شده توسط مدیر شبکه، تمام داده های ارسال شده از طریق آن به یا از شبکه را فیلتر می کند. به عنوان مثال، یک فایروال ممکن است داده های یک منبع ناشناخته یا فایل های مرتبط با یک منبع خاص (ویروس ها) را فیلتر کند. یا ممکن است به تمام داده های ارسال شده از شبکه محلی به اینترنت اجازه دهد، اما فقط انواع خاصی از داده ها را از اینترنت مجاز می کند. همانطور که در شکل نشان داده شده است رایج ترین استفاده از فایروال شبکه به عنوان دروازه ای به اینترنت است. 14.5. فایروال تمام داده هایی را که بین شبکه محلی از یک طرف و اینترنت از طرف دیگر می آیند و می روند، نظارت می کند. این نوع فایروال برای محافظت از کامپیوترهای موجود در شبکه در برابر دسترسی غیرمجاز اینترنت طراحی شده است.

برنج. 14.5

در یک شبکه بی سیم، فایروال نیز ممکن است در دروازه بین نقاط دسترسی بی سیم و شبکه سیمی قرار گیرد. چنین دیوار آتشی بخش بی سیم شبکه را از شبکه سیمی جدا می کند، بنابراین بدخواهانی که کامپیوترهای خود را بدون اجازه به شبکه متصل می کنند، نمی توانند از اتصال بی سیم برای دسترسی به اینترنت یا بخش سیمی شبکه استفاده کنند. در شکل شکل 14.6 محل فایروال را در یک شبکه بی سیم نشان می دهد.

برنج. 14.6

به مهاجمان شبکه بی سیم فرصت ندهید

اکثر افرادی که سعی می کنند به یک شبکه بی سیم بپیوندند نگران رایانه های دیگر نیستند. آنها علاقه مند به دسترسی رایگان به اینترنت پرسرعت هستند. اگر آنها نمی توانند از شبکه شما برای دانلود فایل ها یا اتصال به صفحات وب مورد علاقه خود استفاده کنند، احتمالاً سعی می کنند نقطه بی سیم ناامن دیگری را پیدا کنند. این بدان معنا نیست که شما باید داده‌های حساس را در فایل‌های قابل دسترس روی رایانه‌های ناامن ذخیره کنید، اما اگر بتوانید دسترسی به اینترنت را محدود یا منع کنید، جذابیت شبکه‌تان را برای مخالفان بسیار کمتر می‌کنید. فایروال در یک شبکه بی سیم می تواند چندین عملکرد را انجام دهد: به عنوان یک روتر بین شبکه بی سیم و سیمی یا به عنوان یک پل بین شبکه و اینترنت عمل می کند و تمام ترافیک را از شبکه بی سیم به سمت سیمی که از یک شبکه احراز هویت شده منشأ نمی گیرد مسدود می کند. کاربر. اما با دستورات، پیام‌ها یا انتقال فایل‌های انجام‌شده توسط کاربران قابل اعتماد تداخلی ندارد.

از آنجایی که هم کاربران مجاز و هم افراد خارجی در سمت ناامن فایروال قرار دارند، این امر گره های بی سیم را از یکدیگر جدا نمی کند. مهاجم همچنان می تواند به رایانه دیگری در همان شبکه بی سیم دسترسی داشته باشد و فایل های موجود را بخواند، بنابراین بهتر است غیرفعال شود اشتراک گذاری فایل(دسترسی به فایل ها) در هر رایانه ای که به شبکه بی سیم متصل است.

یک فایروال بی سیم باید از نوعی احراز هویت استفاده کند تا به کاربران مجاز اجازه عبور از دروازه را بدهد و بقیه را فیلتر کند. اگر کنترل دسترسی مبتنی بر آدرس MAC در سیستم‌های 802.11b تعبیه شده باشد و احراز هویت اضافی در 802.1x قابل قبول نباشد، فایروال خارجی باید هر کاربر را قبل از اتصال به اینترنت، یک لاگین و رمز عبور وارد کند.

اگر شبکه بی سیم شما حاوی رایانه هایی است که چندین سیستم عامل را اجرا می کنند، فایروال باید از ورود به سیستمی استفاده کند که روی هر پلتفرمی کار می کند. ساده ترین راه برای انجام این کار استفاده از یک سرور احراز هویت مبتنی بر وب است، مانند سرور موجود در وب سرور آپاچی (http://httpd.apache.org).

ناسا از آپاچی بر روی یک سرور اختصاصی برای ایجاد یک وب سایت استفاده می کند که کاربران را هنگام وارد کردن نام حساب و رمز عبور مطلع می کند.

سرور از یک اسکریپت Perl/CGI برای مقایسه لاگین و رمز عبور با پایگاه داده استفاده می کند. اگر آنها درست باشند، به سرور دستور می دهد تا دستورات و داده ها را از آدرس IP کاربر بپذیرد. اگر ورود به پایگاه داده وجود نداشته باشد یا رمز عبور نادرست باشد، سرور آپاچی صفحه وب "نام کاربری و رمز عبور نامعتبر" را نمایش می دهد.

وب سرور آپاچی به عنوان یک برنامه یونیکس در دسترس است که بر روی یک رایانه قدیمی و کند با یک پردازنده پنتیوم اولیه یا حتی 486 CPU اجرا می شود، بنابراین اغلب امکان استفاده مجدد از رایانه قدیمی که دیگر به عنوان فایروال مورد استفاده روزانه نیست، وجود دارد. هم برنامه آپاچی و هم سیستم عامل یونیکس به عنوان نرم افزار منبع باز در دسترس هستند، بنابراین باید بتوان یک فایروال مبتنی بر آپاچی را با هزینه بسیار کم ساخت.

اگر ترجیح می دهید به جای یونیکس از ویندوز استفاده کنید، چندین گزینه دارید. می توانید از نسخه Windows NT/2000 Apache یا یک ابزار تجاری مانند Wireless Enforcer Sygate (http://www.sygate.com/prodacls/sse/sse_swe_securjty.htm) استفاده کنید - Wireless Enforcer با سایر عناصر Sygate کار می کند. Secure Enterprise Suite Sygate Security) برای اختصاص و تأیید یک اثر انگشت منحصر به فرد به هر کاربر مجاز. اگر افراد خارجی سعی کنند بدون اثر انگشت مورد نیاز به نقطه دسترسی متصل شوند، شبکه آنها را مسدود می کند.

جداسازی شبکه از اینترنت

همه حملات به یک شبکه بی سیم از طریق هوا انجام نمی شود. یک شبکه بی سیم به همان نوع پشتیبانی از فایروال در برابر حملات اینترنتی مانند هر شبکه دیگری نیاز دارد. بسیاری از نقاط دسترسی دارای عملکرد فایروال قابل تنظیم هستند، اما اگر شما اینگونه نیست، شبکه شما باید دارای یک یا چند فایروال زیر باشد:

برنامه فایروال در هر کامپیوتر.

یک روتر جداگانه یا رایانه اختصاصی که به عنوان دیوار آتش شبکه عمل می کند.

یک بسته امنیتی یکپارچه، مانند بسته Sygate که در بخش قبل توضیح داده شد.

برنامه های سرویس گیرنده فایروال خط دفاعی دیگری در برابر حملات شبکه شما از طریق اینترنت ارائه می دهند. برخی از آنها از افراد بدخواه می آیند که به دنبال راهی برای خواندن فایل های شما و سایر منابعی هستند که می خواهید از دنیای خارج پنهان کنید. دیگران ممکن است بخواهند از رایانه شما به عنوان یک نقطه توزیع برای تلاش های هرزنامه یا نفوذ در رایانه دیگری در جهان استفاده کنند تا ردیابی منبع واقعی را سخت تر کنند. برخی دیگر ویروس ها را توزیع می کنند یا از برنامه های ناخواسته استفاده می کنند که کنترل رایانه را به دست می گیرند و پیام های ترسناک یا تبلیغاتی را نمایش می دهند. بعلاوه، یک ماشین ناامن با فضای ذخیره‌سازی استفاده نشده زیاد می‌تواند هدف جذابی برای هکرهایی باشد که به دنبال توزیع نرم‌افزار، موسیقی یا فایل‌های ویدئویی غیرقانونی هستند (فکر نمی‌کنید آنها ممکن است این مزخرفات را روی رایانه‌های خود ذخیره کنند؟).

اگر فایروالی راه‌اندازی کنید که وقتی یک رایانه خارجی سعی می‌کند به شبکه شما متصل شود، به شما اطلاع می‌دهد، احتمالاً هر روز چندین تلاش برای نفوذ خواهید دید.

نقاط دسترسی با فایروال

ساده ترین گزینه برای استفاده از فایروال بی سیم استفاده از فایروال تعبیه شده در نقطه دسترسی است. برخی عملکردهای یک نقطه دسترسی بی سیم را با یک روتر باند پهن و یک سوئیچ اترنت ترکیب می کنند، بنابراین از کلاینت های شبکه سیمی و بی سیم پشتیبانی می کنند.

همانطور که می دانید، یک روتر شبکه ترجمه بین یک آدرس IP عددی که دروازه یک شبکه محلی را تعریف می کند و آدرس های IP داخلی که رایانه های جداگانه را در آن تعریف می کند، ارائه می دهد. یک فایروال معمولاً تمام درخواست‌های داده ورودی به میزبان‌های شبکه محلی را مسدود می‌کند، اما زمانی که می‌خواهید از یک یا چند رایانه شبکه محلی به عنوان سرور فایل استفاده کنید، این مشکل ایجاد می‌کند. برای حل این مشکل، فایروال شامل یک سرور مجازی است که درخواست های نوع خاصی را به کامپیوتر مناسب در شبکه هدایت می کند.

هر درخواست برای اتصال به سرور حاوی شماره پورت خاصی است که نوع سرور را تعیین می کند. به عنوان مثال، وب سرورها از پورت 80 و FTP از پورت 21 استفاده می کنند، بنابراین این شماره پورت ها بخشی از درخواست دسترسی هستند. هنگام پذیرش درخواست‌ها برای دسترسی به سرور، باید عملکرد ترجمه آدرس شبکه (NAT) را در فایروال فعال کنید تا این درخواست‌ها به یک رایانه مشخص در شبکه محلی هدایت شود. در شکل 14.7 سرور مجازی برای استفاده از رایانه ای با آدرس IP محلی 192.168.0.177 به عنوان سرور وب و 192.168.0.164 به عنوان سرور فایل FTP پیکربندی شده است. روی میز جدول 14.1 رایج ترین شماره پورت های سرویس را نشان می دهد.

جدول 14.1 شماره پورت سرویس TCP/IP مشترک

صدها شماره پورت دیگر در شبکه‌های مختلف استفاده می‌شود، اما اکثر آنها را هرگز در استفاده واقعی نخواهید دید. لیست رسمی پورت های اختصاص داده شده در http://www.iana.org/assignments/port-numbers است.

برنج. 14.7

ترجمه NAT فرض می کند که آدرس های IP هر سرور مجازی نباید از یک درخواست به درخواست بعدی تغییر کند. یک وب سرور با شماره فعلی 192.168.0.23 نباید در یک هفته به 192.168.0.47 سوئیچ کند. این معمولاً در یک شبکه سیمی مشکلی ندارد، بلکه در یک شبکه بی سیم، جایی که کلاینت های شبکه به طور مداوم در حال اتصال و خروج هستند، مشکلی نیست. سرور DHCP به طور خودکار شماره موجود بعدی را به هر کلاینت جدید اختصاص می دهد. اگر یکی از این کاربران محل یکی از پورت های سرویس شبکه باشد، NAT ممکن است آن را تشخیص ندهد. این مشکل خیلی رایج نیست، زیرا اکثر شبکه ها از لپ تاپ به عنوان سرور استفاده نمی کنند، اما گاهی اوقات اتفاق می افتد. راه حل این است که یا سرور DHCP را غیرفعال کنید و یک آدرس IP دائمی را به هر کلاینت اختصاص دهید یا پورت سرویس را به رایانه ای منتقل کنید که اتصال سیمی به شبکه دارد.

نرم افزار فایروال

فایروال دروازه بی سیم در رابط بین نقطه دسترسی و بخش سیمی شبکه LAN شما، از استفاده افراد خارجی از شبکه برای دسترسی به اینترنت جلوگیری می کند و فایروال اتصال به اینترنت، تلاش برای اتصال به شبکه از اینترنت را رد می کند، اما شکل دیگری. امنیت برای یک شبکه بی سیم مورد نیاز است. اگر شخصی بدون اجازه به شبکه بی سیم شما دسترسی داشته باشد، می خواهید سایر رایانه های قانونی موجود در همان شبکه را از شر آن خلاص کنید. این بدان معناست که برای هر گره شبکه به یک برنامه فایروال مشتری نیاز دارید.

فایروال مشتری همان عملکردهایی را در رابط شبکه کامپیوتر انجام می دهد که فایروال شبکه یا سازمانی برای کل شبکه انجام می دهد. تلاش‌های اتصال در پورت‌های TCP را شناسایی می‌کند و اگر با یک یا چند تنظیمات پیکربندی برنامه فایروال مطابقت نداشته باشند، آنها را نادیده می‌گیرد.

برخی از فایروال ها به صورت آزمایشی در دسترس هستند، در حالی که برخی دیگر برای کاربران غیرتجاری رایگان هستند، بنابراین می توانید به راحتی آنها را در سیستم خود امتحان کنید و ببینید کدام یک را بیشتر دوست دارید.

در زیر چند برنامه برای ویندوز آورده شده است:

کاربران یونیکس و لینوکس نیز ویژگی های فایروال زیادی دارند. بسیاری از آنها برای استفاده در رایانه های فایروال مستقل نوشته شده اند، که به طور گسترده به عنوان دروازه های شبکه مورد استفاده قرار می گیرند، اما می توانند به همان اندازه به عنوان محافظت از مشتریان شبکه عمل کنند.

در لینوکس، فایروال بخشی از هسته است، کاربر با آن از طریق ابزارهای کنسول کار می کند - ipchains یا iptables. هر دو به ترتیب در http://linuxdoc.org/HOWTO/IPCHAINS-HOWVTO.html و http://www.netfilter.org/unreliable-guides/packet-filtering-HOWTO مستند شده اند. IP Filter یک بسته نرم افزاری است که خدمات فایروال را برای سیستم های FreeBSD و NetBSD ارائه می دهد. وب سایت رسمی IP Filter در http://coombs.anu.edu.au/-avalon است و http://www.obfuscation.org/ipf/ipf-howto.txt یک سند عالی در مورد استفاده از آن دارد. این برنامه می‌تواند هر بسته‌ای را که از فایروال عبور می‌کند رد یا اجازه دهد، همچنین می‌تواند توسط ماسک شبکه یا آدرس میزبان فیلتر کند، محدودیت‌های پورت سرویس را اجرا کند و خدمات ترجمه NAT را ارائه دهد.

فایروال NetBSD/i386 یکی دیگر از فایروال های رایگان یونیکس است.

بر روی هر رایانه شخصی با پردازنده 486 یا بالاتر با حداقل 8 مگابایت حافظه اجرا می شود. صفحه اصلی پروژه فایروال NetBSD/i386 در http://www.dubbele.com است.

PortSentry یک ابزار اسکن پورت است که در چندین نسخه پرکاربرد لینوکس از جمله Red Hat، Caldera، Debian و Turbo Linux ادغام می شود. برای دانلود در http://www.psionic.com/products/portsentry.html موجود است.

شبکه های خصوصی مجازی

با جدا کردن اتصال بین گره های شبکه از سایر ترافیک شبکه، یک VPN می تواند یک لایه حفاظتی دیگر اضافه کند. VPN یک کانال انتقال رمزگذاری شده است که دو نقطه پایانی شبکه را از طریق یک "تونل داده" به هم متصل می کند. بسیاری از کارشناسان امنیت شبکه VPN را به عنوان روشی موثر برای محافظت از شبکه بی سیم در برابر بدخواهان و کاربران غیرمجاز توصیه می کنند. می توانید اطلاعات بیشتری در مورد راه اندازی و استفاده از VPN در فصل بعدی بیابید.

حفاظت فیزیکی

تاکنون در مورد جلوگیری از دسترسی سارقان الکترونیکی به شبکه شما صحبت کرده ایم. دسترسی به شبکه با استفاده از سخت افزار موجود که هنوز برای آن پیکربندی نشده است به اندازه کافی آسان است. در صورتی که مهاجم کامپیوتری را از یک کاربر مجاز به سرقت برده باشد، این امر حتی ساده تر می شود.

از دست دادن لپ تاپ خوشایند نیست. حتی بدتر از آن است که به یک دزد اجازه دهید از رایانه دزدیده شده برای ردیابی مجدد شبکه استفاده کند. به عنوان یک اپراتور شبکه، باید به کاربران خود یادآوری کنید که دستگاه های قابل حمل آنها اهداف جذابی برای سارقان هستند و نکاتی در مورد نحوه محافظت از آنها ارائه دهید. به عنوان یک کاربر، شما خودتان باید به همان قوانین پایبند باشید.

قانون اول ساده است - فراموش نکنید که کامپیوتر پوشیده اید. بدیهی به نظر می رسد، اما رانندگان تاکسی در لندن تقریباً 2900 لپ تاپ (و 62000 تلفن همراه!) را در طی یک دوره شش ماهه در اتومبیل ها پیدا کردند. تعداد بیشماری دیگر در هواپیماها، اتاق‌های هتل، قطارهای مسافربری و اتاق‌های کنفرانس رها شده‌اند. تبلیغ نکنید که کامپیوتر حمل می کنید. کیسه های نایلونی با لوگوی بزرگ "IBM" یا "COMPAQ" در کنار ممکن است شیک به نظر برسند، اما به اندازه یک کیف معمولی یا کیف خرید امن نیستند.

وقتی کامپیوتر در کمد یا انباری قفل نیست، همیشه کامپیوتر را در دستان خود یا روی شانه خود حمل کنید. برای یک دقیقه حواس خود را پرت کنید و یک دزد با تجربه می تواند آن را بدزدد. ترمینال های فرودگاه، ایستگاه های قطار و لابی هتل ها مکان های رایج برای سرقت هستند. یک کامپیوتر شخصی غیر ایمن را یک شبه در دفتر رها نکنید. اجازه ندهید از اسکنرهای فرودگاه عبور کند. از بازرس بخواهید که شخصاً آن را بازرسی کند یا مطمئن شوید که می توانید بلافاصله پس از پایان حرکت رایانه در امتداد تسمه نقاله، آن را بازگردانید. دو نفر که با هم کار می کنند می توانند به راحتی شما را بازداشت کنند و قبل از اینکه کامپیوترتان را داشته باشید، آن را بدزدند. اگر شخصی سعی کرد رایانه شما را در حین بررسی چمدان بدزدد، سر و صدا کنید و از نیروهای امنیتی کمک بگیرید. اطمینان حاصل کنید که رایانه ها و اجزای جداگانه مانند کارت های رایانه شخصی دارای برچسب مالکیت در داخل و خارج هستند.

ردیابی امنیتی اموال اداری (http://www.stoptheft.com) برچسب های امنیتی چسب سیانواکریلات چاپ شده و قابل ضبط را ارائه می دهد که برای برداشتن آنها به 360 کیلوگرم نیرو نیاز دارد، با علامت شیمیایی دائمی "Stolen Property" که در صورت حذف یا حذف شخصی ظاهر می شود. میانبر

اگر بتوانید مشتریان خود را متقاعد کنید که از دستگاه های هشدار در رایانه هایشان استفاده کنند، می تواند شانس بازگشت آنها را افزایش دهد. Trackit (http://www.trackit-corp.co m) یک دستگاه هشدار دو قسمتی است که از یک فرستنده گیره دار و یک گیرنده مینیاتوری واقع در یک کیسه کامپیوتر استفاده می کند. هنگامی که فرستنده بیش از 12 متر از گیرنده فاصله داشته باشد، گیرنده یک آژیر 110 دسی بل را منتشر می کند که معمولاً باعث می شود سارق یک کیسه سرقتی را رها کند.

در نهایت، لیستی از شماره مدل و سریال را جدا از خود دستگاه ها نگه دارید. برای ادعای بیمه خود به این اطلاعات نیاز دارید.

هنگامی که متوجه می شوید یکی از رایانه های متصل به شبکه شما گم شده یا به سرقت رفته است، مهم است که از بقیه شبکه محافظت کنید. در صورت امکان، SSID شبکه، رمز عبور و کلیدهای WEP را در اسرع وقت تغییر دهید. اگر شبکه شما از لیستی از آدرس های MAC برای کنترل دسترسی استفاده می کند، آدرس MAC دستگاه دزدیده شده را از لیست اتصالات مجاز حذف کنید.

اتصال شبکه خود به جهان

اگر از یک شبکه بی سیم برای اشتراک گذاری دسترسی به اینترنت یک شبکه محله یا محوطه دانشگاه استفاده می کنید، یا می خواهید به مشتریان و سایر بازدیدکنندگان اجازه دهید به شبکه بی سیم خود متصل شوند، نباید از WEP یا سایر ابزارهای امنیتی برای محدود کردن دسترسی به کاربران شناخته شده استفاده کنید. اما هنوز باید برخی از اقدامات امنیتی را ارائه دهید.

تمایل شما به دادن اتصال مستقیم به مردم به اینترنت به این معنی نیست که می خواهید به آنها اجازه دهید در رایانه های دیگر در شبکه خود پرسه بزنند، بلکه می خواهید نقاط دسترسی بی سیم را از بقیه شبکه خود جدا کنید.

اگر تمام هاست های محلی شبکه شما سیمی هستند، بهترین کار این است که یک فایروال بین نقطه دسترسی بی سیم و شبکه LAN سیمی قرار دهید و به نقطه دسترسی (و رایانه های متصل به آن از طریق اتصالات بی سیم) اجازه دهید فقط به اینترنت وصل شوند و به هیچ یک از شبکه های سیمی میزبان محلی، همانطور که در شکل نشان داده شده است، نیست. 14.8.

با این حال، اگر برخی از رایانه های خانگی شما از اتصالات بی سیم استفاده می کنند، باید از آنها در برابر دسترسی دیگران با استفاده از بخش مشترک شبکه خود محافظت کنید. چند راه برای اجرای این طرح وجود دارد: در شکل 1. شکل 14.9 یک شبکه بی سیم را با یک فایروال نرم افزاری در هر کامپیوتر خانگی نشان می دهد و شکل 1. 14.10 - سیستمی با استفاده از دو شبکه بی سیم مجزا با SSID های مختلف متصل به یک گره اینترنتی. قاعده کلی این است که از یک یا چند فایروال برای جداسازی بخش عمومی شبکه خود از رایانه‌هایی که نمی‌خواهید در معرض بقیه دنیا قرار گیرند، استفاده کنید.

برنج. 14.8

برنج. 14.9

برنج. 14.10

یادداشت:

برای کنترل مرکزی دسترسی به فایل‌ها در Windows XP و Windows 2000، روی منوی زمینه کلیک راست کنید کامپیوتر منو انتخاب کنید مدیریت کنید. در قسمت سمت راست، یک نشانک را انتخاب کنید پوشه های مشترک، سپس سهام. - توجه داشته باشید علمی ویرایش

در چند سال گذشته شاهد ظهور فناوری بی سیم بوده ایم. شبکه‌های Wi-Fi (شبکه‌های استاندارد 802.11a/b/g) به طور فزاینده‌ای محبوب می‌شوند، و اگر قبلاً عمدتاً در مورد استفاده از شبکه‌های بی‌سیم در ادارات و نقاط داغ بود، اکنون به طور گسترده هم در خانه و هم برای استقرار تلفن‌های همراه استفاده می‌شود. دفاتر (دفاتر در طول سفرهای کاری). نقاط دسترسی بی سیم و روترهای بی سیم کلاس SOHO به ویژه برای کاربران خانگی و دفاتر کوچک و روترهای بی سیم جیبی برای کاربران موبایل فروخته می شوند. با این حال، هنگام تصمیم گیری برای تغییر به یک شبکه بی سیم، باید به خاطر داشت که در مرحله فعلی توسعه یک اشکال قابل توجه دارد - نقص از نظر امنیت. در این مقاله در مورد آسیب پذیرترین مناطق شبکه های بی سیم صحبت خواهیم کرد و با مثال های عملی نحوه هک شدن آنها را نشان خواهیم داد. دانش به دست آمده را می توان با موفقیت برای ممیزی امنیت شبکه های بی سیم مورد استفاده قرار داد، که به شما امکان می دهد از اشتباهات سنتی در هنگام استقرار شبکه های بی سیم جلوگیری کنید. ابتدا به تدابیر امنیتی اساسی که امروزه برای محافظت از شبکه‌های بی‌سیم استفاده می‌شود نگاهی می‌اندازیم و سپس در مورد چگونگی غلبه بر آنها توسط مهاجمان صحبت خواهیم کرد.

روش های امنیتی شبکه بی سیم

استانداردهای شبکه بی سیم 802.11a/b/g چندین مکانیسم امنیتی را ارائه می دهند:

• احراز هویت و حالت رمزگذاری داده ها با استفاده از پروتکل WEP (Wired Equivalent Privacy)؛
• احراز هویت و حالت رمزگذاری داده ها با استفاده از پروتکل WPA (دسترسی محافظت شده از Wi-Fi).
• فیلتر کردن توسط آدرس های MAC.
• با استفاده از حالت شناسه شبکه پنهان

پروتکل WEP

همه دستگاه های بی سیم مدرن (نقاط دسترسی، آداپتورهای بی سیم و روترها) از پروتکل امنیتی WEP پشتیبانی می کنند که در ابتدا در مشخصات شبکه بی سیم IEEE 802.11 گنجانده شده بود.

پروتکل WEP به شما اجازه می دهد تا جریان داده ارسالی را بر اساس الگوریتم RC4 با اندازه کلید 64 یا 128 بیت رمزگذاری کنید. برخی از دستگاه‌ها نیز از کلیدهای 152، 256 و 512 بیتی پشتیبانی می‌کنند، اما این یک استثنا از قاعده است. کلیدها برای کلیدهای 64 و 128 بیتی به ترتیب دارای مولفه ایستا با طول 40 و 104 بیت و همچنین یک مؤلفه دینامیکی اضافی با اندازه 24 بیت هستند که بردار اولیه سازی (IV) نامیده می شود.

در ساده ترین سطح، روش رمزگذاری WEP به شرح زیر است. در ابتدا، داده های ارسال شده در بسته از نظر یکپارچگی بررسی می شود (الگوریتم CRC-32)، پس از آن جمع کنترلی (Integrity Check Value, ICV) به فیلد سرویس هدر بسته اضافه می شود. سپس، یک بردار اولیه 24 بیتی (IV) تولید می شود که یک کلید مخفی استاتیک (40 یا 104 بیتی) به آن اضافه می شود. کلید 64 یا 128 بیتی به دست آمده، کلید اولیه برای تولید عدد شبه تصادفی است که برای رمزگذاری داده ها استفاده می شود. در مرحله بعد، داده ها با استفاده از عملیات منطقی XOR با یک دنباله کلید تصادفی شبه ترکیب می شوند (رمزگذاری می شوند) و بردار اولیه به فیلد سرویس فریم اضافه می شود.

در سمت دریافت، داده ها را می توان رمزگشایی کرد، زیرا اطلاعات مربوط به بردار اولیه همراه با آن منتقل می شود و جزء ثابت کلید توسط کاربری که داده ها به او منتقل می شود ذخیره می شود.

پروتکل WEP دو روش برای احراز هویت کاربر ارائه می دهد: Open System (باز) و Shared Key (به اشتراک گذاشته شده). با احراز هویت باز، هیچ احراز هویتی در واقع رخ نمی دهد، به این معنی که هر کاربری می تواند به شبکه بی سیم دسترسی پیدا کند. با این حال، حتی در مورد یک سیستم باز، رمزگذاری داده های WEP مجاز است.

پروتکل WAP

در سال 2003 استاندارد امنیتی دیگری معرفی شد - WPA که ویژگی اصلی آن فناوری تولید پویا کلیدهای رمزگذاری داده است که بر اساس TKIP (پروتکل یکپارچگی کلید موقت) ساخته شده است که توسعه بیشتر رمزگذاری RC4 است. الگوریتم تحت پروتکل TKIP، دستگاه های شبکه با یک بردار اولیه 48 بیتی (برخلاف بردار WEP 24 بیتی) کار می کنند و قوانینی را برای تغییر دنباله بیت های آن پیاده می کنند که استفاده مجدد از کلید را حذف می کند. پروتکل TKIP تولید یک کلید 128 بیتی جدید را برای هر بسته ارسالی فراهم می کند. علاوه بر این، جمع‌های چک رمزنگاری در WPA با استفاده از روش جدیدی - MIC (کد یکپارچگی پیام) محاسبه می‌شوند. هر فریم حاوی یک کد یکپارچگی پیام هشت بایتی ویژه است که تأیید آن به شما امکان می دهد با استفاده از بسته های جعلی حملات را دفع کنید. در نتیجه، معلوم می شود که هر بسته داده ای که از طریق شبکه منتقل می شود، کلید منحصر به فرد خود را دارد و هر دستگاه شبکه بی سیم دارای یک کلید در حال تغییر است.

علاوه بر این، پروتکل WPA از رمزگذاری با استفاده از استاندارد پیشرفته AES (Advanced Encryption Standard) پشتیبانی می کند که در مقایسه با پروتکل های WEP و TKIP از الگوریتم رمزنگاری امن تری برخوردار است.

هنگام استقرار شبکه‌های بی‌سیم در خانه یا دفاتر کوچک، معمولاً از یک نوع پروتکل امنیتی WPA مبتنی بر کلیدهای مشترک - WPA-PSK (کلید قبلی مشترک) استفاده می‌شود. در آینده، ما فقط گزینه WPA-PSK را بدون دست زدن به گزینه های پروتکل WPA با هدف شبکه های شرکتی در نظر خواهیم گرفت، جایی که مجوز کاربر در یک سرور RADIUS جداگانه انجام می شود.

هنگام استفاده از WPA-PSK، رمز عبور 8 تا 63 کاراکتر در تنظیمات نقطه دسترسی و پروفایل های اتصال بی سیم مشتری مشخص می شود.

فیلتر کردن آدرس MAC

فیلتر آدرس MAC، که توسط تمام نقاط دسترسی مدرن و روترهای بی سیم پشتیبانی می شود، اگرچه بخشی از استاندارد 802.11 نیست، با این وجود برای بهبود امنیت یک شبکه بی سیم در نظر گرفته می شود. برای پیاده سازی این عملکرد، جدولی از آدرس های MAC آداپتورهای بی سیم مشتریان مجاز برای کار در این شبکه در تنظیمات نقطه دسترسی ایجاد می شود.

حالت SSID پنهان

یکی دیگر از اقدامات احتیاطی که اغلب در شبکه های بی سیم مورد استفاده قرار می گیرد، حالت شناسه شبکه پنهان است. به هر شبکه بی سیم یک شناسه منحصر به فرد (SSID) اختصاص داده می شود که نام شبکه است. هنگامی که کاربر سعی می کند وارد یک شبکه شود، درایور آداپتور بی سیم ابتدا امواج رادیویی را برای وجود شبکه های بی سیم اسکن می کند. هنگام استفاده از حالت شناسه پنهان (به عنوان یک قاعده، این حالت Hide SSID نامیده می شود)، شبکه در لیست موارد موجود نمایش داده نمی شود و فقط در صورتی می توانید به آن متصل شوید که اولاً SSID آن دقیقاً مشخص باشد و ثانیاً یک نمایه از قبل اتصالات به این شبکه ایجاد شده است.

هک شبکه های بی سیم

پس از آشنایی با روش های اصلی حفاظت از شبکه های 802.11a/b/g، راه هایی را برای غلبه بر آنها در نظر خواهیم گرفت. توجه داشته باشید که از همان ابزارها برای هک شبکه های WEP و WPA استفاده می شود، بنابراین ابتدا به شما خواهیم گفت که چه چیزی در زرادخانه مهاجم گنجانده شده است.

اول از همه، ما به یک لپ تاپ با آداپتور بی سیم نیاز داریم. مشکل اصلی که در فرآیند انتخاب ابزارهای هک بی سیم ایجاد می شود، اطمینان از سازگاری بین تراشه آداپتور بی سیم مورد استفاده توسط نرم افزار و سیستم عامل است.

انتخاب آداپتور بی سیم

واقعیت این است که اکثر ابزارهایی که به شما امکان هک شبکه های بی سیم را می دهند، برای سیستم های لینوکس طراحی شده اند. نسخه هایی از برخی ابزارهای کمکی برای ویندوز XP وجود دارد. با این حال، بسته به تراشه آداپتور بی‌سیم، کارت‌های بی‌سیم خاصی را می‌توان با برنامه‌های کاربردی برای سیستم‌های لینوکس و ویندوز XP استفاده کرد، و برخی از آداپتورهای بی‌سیم را می‌توان با برنامه‌های کاربردی فقط برای لینوکس یا فقط برای سیستم‌های Windows XP استفاده کرد. آداپتورهای بی سیمی وجود دارند که توسط لینوکس یا ویندوز XP پشتیبانی نمی شوند. علاوه بر این، تراشه هایی وجود دارند که اگرچه توسط برنامه های کاربردی پشتیبانی می شوند، اما بسیار کند کار می کنند (از نظر گرفتن و تجزیه و تحلیل بسته ها).

واقعیت این است که برای انجام وظیفه هک شبکه های بی سیم، درایورهای ویژه (غیر استاندارد) برای آداپتورهای شبکه بی سیم مورد نیاز است. حالت های استاندارد هر آداپتور بی سیم عبارتند از Infrastructure (Basic Service Set, BSS) و ad-hoc (Independent Basic Service Set, IBSS). در حالت زیرساخت، هر کلاینت از طریق یک اکسس پوینت به شبکه متصل می شود و در حالت ad-hoc، آداپتورهای بی سیم می توانند مستقیماً بدون استفاده از اکسس پوینت با یکدیگر ارتباط برقرار کنند. با این حال، هر دوی این حالت‌ها به آداپتور بی‌سیم اجازه نمی‌دهند به هوا گوش دهد و بسته‌ها را رهگیری کند. در هر دو مورد، آداپتور شبکه بسته هایی را می گیرد که فقط برای شبکه ای که برای آن پیکربندی شده است در نظر گرفته شده است. برای اینکه بتوانید شبکه‌های دیگر را ببینید (دارای یک ESSID مخفی) و بسته‌ها را ضبط کنید، یک حالت نظارت ویژه (حالت مانیتور) وجود دارد که هنگام سوئیچ کردن به آن آداپتور با هیچ شبکه خاصی مرتبط نیست و همه بسته‌های موجود را می‌گیرد. به طور معمول، درایورهای ارائه شده توسط سازنده آداپتور بی سیم از حالت نظارت پشتیبانی نمی کنند و برای فعال کردن آن، باید درایورهای خاصی را نصب کنید که اغلب توسط گروهی از توسعه دهندگان شخص ثالث نوشته شده است. بلافاصله باید توجه داشت که برای سیستم عامل های ویندوز چنین درایورهای خاصی فقط برای آداپتورهای بی سیم مبتنی بر تراشه های Hermes، Realtek، Aironet و Atheros وجود دارد. پشتیبانی درایور از این حالت برای سیستم عامل های خانواده Linux/BSD تا حد زیادی با باز بودن مشخصات کارت تعیین می شود، با این حال، لیست دستگاه های پشتیبانی شده بسیار گسترده تر از خانواده ویندوز است. درایورهای سیستم‌های لینوکس/BSD با پشتیبانی از حالت نظارت را می‌توان برای آداپتورهای بی‌سیم مبتنی بر چیپ‌ست‌های زیر یافت: Prism، ​​Orinoco، Atheros، Ralink، Aironet، Realtek، Hermes و Intel، اگرچه درایورهای مبتنی بر تراشه‌های اینتل برای همه مناسب نیستند. دستگاه ها

در حال حاضر، تمام لپ‌تاپ‌های مبتنی بر فناوری موبایل اینتل Centrino دارای آداپتورهای بی‌سیم داخلی مبتنی بر تراشه‌های اینتل هستند (تراشه‌های IPW2100، IPW2200، IPW2915، IPW3945)، اما برای اهداف ما این آداپتورها مناسب نیستند - اگرچه با ابزارهای لینوکس سازگار هستند. برای هک، این تراشه ها بسیار کند کار می کنند و به طور کلی با برنامه های کاربردی ویندوز ناسازگار هستند.

انتخاب یک سیستم عامل

در مورد انتخاب سیستم عامل می توان توصیه های زیر را ارائه داد. سیستم‌های لینوکس برای این اهداف ارجح‌تر هستند، زیرا هنگام استفاده از لینوکس دامنه ابزارهای ممکن بسیار گسترده‌تر است و ابزارهای لینوکس بسیار سریع‌تر کار می‌کنند. اما این بدان معنا نیست که نمی توانید از ویندوز XP همراه با برنامه های کاربردی ویندوز استفاده کنید. در آینده، ما هر دو گزینه را برای هک شبکه های بی سیم در نظر خواهیم گرفت - یعنی استفاده از هر دو ابزار لینوکس و ویندوز. در عین حال، ما به خوبی درک می کنیم که همه کاربران برای تغییر از ویندوز به لینوکس عجله ندارند. با وجود تمام کاستی هایش، سیستم عامل ویندوز بسیار گسترده تر است و یادگیری آن برای یک کاربر تازه کار بسیار آسان تر است. بنابراین، به نظر ما، گزینه بهینه استفاده از ویندوز XP به عنوان سیستم عامل اصلی در لپ تاپ و برای کارهای هک شبکه بی سیم - لینوکس Live CD است که از یک سی دی اجرا می شود و نیازی به نصب بر روی هارد کامپیوتر ندارد. راندن. بهترین راه حل در مورد ما دیسک BackTrack است که بر روی سیستم عامل لینوکس (نسخه هسته 2.6.18.3) ساخته شده است و شامل تمام بسته های ابزار لازم برای هک شبکه ها است. تصویری از این دیسک را می توان با استفاده از لینک: http://www.remote-exploit.org/backtrack.html از وب سایت دانلود کرد.

مجموعه نرم افزار

به طور سنتی، برای هک شبکه های بی سیم، از بسته نرم افزاری aircrack استفاده می شود که در نسخه های ویندوز XP (aircrack-ng 0.6.2-win) و لینوکس (aircrack-ng 0.7) وجود دارد. این بسته کاملاً رایگان توزیع می شود و می توانید آن را از وب سایت رسمی www.aircrack-ng.org دانلود کنید. به سادگی هیچ فایده ای برای جستجوی ابزارهای دیگر وجود ندارد، زیرا این بسته بهترین راه حل در کلاس خود است. علاوه بر این، آن (البته نسخه لینوکس) در دیسک BackTrack گنجانده شده است.

هک کردن شبکه‌های بی‌سیم با استفاده از سی‌دی BackTrack Live

بنابراین، مهم نیست که چه سیستم عاملی را روی لپ تاپ خود نصب کرده اید، ما از دیسک بوت BackTrack برای هک شبکه بی سیم استفاده می کنیم. توجه داشته باشید که علاوه بر ابزارهایی که برای هک یک شبکه بی سیم به آن نیاز داریم، این دیسک شامل بسیاری از ابزارهای کاربردی دیگر است که به ما امکان می دهد شبکه ها را ممیزی کنیم (اسکنر پورت، اسنیفر و غیره). به هر حال، چنین دیسکی برای هر مدیر سیستمی که درگیر ممیزی شبکه است مفید است.

هک کردن هر شبکه بی سیم با استفاده از دیسک BackTrack در سه مرحله انجام می شود (جدول 1):

• جمع آوری اطلاعات در مورد شبکه بی سیم؛
• ضبط بسته؛
• تجزیه و تحلیل بسته

اولین قدم جمع آوری اطلاعات دقیق در مورد شبکه بی سیمی است که هک می شود: آدرس MAC نقطه دسترسی و مشتری فعال شبکه بی سیم، نام شبکه (شناسه شبکه) و نوع رمزگذاری استفاده شده. برای انجام این کار، از ابزارهای airmon-ng، airodump-ng و Kismet استفاده کنید - اولین مورد برای پیکربندی درایور آداپتور شبکه بی سیم برای نظارت بر شبکه بی سیم ضروری است، و دو مورد دیگر به شما امکان می دهند اطلاعات لازم را در مورد بی سیم به دست آورید. شبکه. همه این ابزارها قبلاً در دیسک BackTrack گنجانده شده اند.

جدول 1. مراحل هک کردن یک شبکه بی سیم با استفاده از سی دی BackTrack Live

شماره مرحله	شرح	ابزارهای استفاده شده	نتیجه
	جمع آوری اطلاعات شبکه بی سیم	airmon-ng airodump-ng Kismet	آدرس مک نقطه دسترسی، آدرس مک کلاینت فعال، نوع شبکه، شناسه شبکه، نوع رمزگذاری (WEP، WPA-PSK)، شماره کانال ارتباطی
	رهگیری بسته ها	airodump-ng Kismet airoplay-ng
	تجزیه و تحلیل بسته ها		انتخاب کلید	انتخاب رمز عبور

گام بعدی گرفتن بسته ها با استفاده از ابزار airodump-ng است. در مواردی که از رمزگذاری WEP در شبکه استفاده می شود، لازم است بسته های IV حاوی بردارهای اولیه جمع آوری شوند. اگر ترافیک شبکه کم است (مثلاً کلاینت غیرفعال است)، می توانید علاوه بر این می توانید از ابزار airoplay-ng برای افزایش ترافیک بین مشتری و نقطه دسترسی استفاده کنید.

اگر شبکه از رمزگذاری WPA-PSK استفاده می‌کند، لازم است بسته‌هایی را جمع‌آوری کرد که حاوی اطلاعاتی در مورد روش احراز هویت مشتری در شبکه است (رویال دست دادن). برای اینکه کلاینت را مجبور کنید تا در شبکه احراز هویت شود، می توانید از ابزار airoplay-ng برای شروع فرآیند قطع اجباری آن از شبکه و سپس بازیابی اتصال استفاده کنید.

در آخرین مرحله، اطلاعات رهگیری شده با استفاده از ابزار aircrack-ng تجزیه و تحلیل می شود. در مورد رمزگذاری WEP، احتمال حدس زدن کلید به تعداد بسته های IV جمع آوری شده بستگی دارد و رمزگذاری WPA-PSK به فرهنگ لغت مورد استفاده برای حدس زدن رمز عبور بستگی دارد.

مثال های کاربردی

پس از توضیح مختصری در مورد روش هک یک شبکه بی سیم، به بررسی مثال های عملی با شرح دقیق هر مرحله و ابزارهای مورد استفاده می پردازیم.

در مورد ما، ما با یک شبکه آزمایشی متشکل از یک نقطه دسترسی D-Link DWL-7000AP و یک کلاینت شبکه با آداپتور بی‌سیم PCI گیگابایت GN-WPEAG سروکار داشتیم.

برای هک شبکه، از یک لپ‌تاپ با آداپتور PCMCIA بی‌سیم GN-WMAG گیگابایت مبتنی بر تراشه Atheros استفاده کردیم. توجه داشته باشید که هنگام استفاده از دیسک BackTrack، هیچ درایور اضافی برای آداپتور Gigabyte GN-WPEAG لازم نیست - همه چیز از قبل روی دیسک است.

مرحله 1. جمع آوری اطلاعات در مورد شبکه بی سیم

بنابراین، در مرحله اول باید اطلاعاتی در مورد شبکه بی سیم جمع آوری کنیم. آداپتور بی سیم را وارد لپ تاپ می کنیم و سیستم عامل را از روی سی دی بارگذاری می کنیم. سپس با کنسول تماس بگیرید و ابزار airmon-ng موجود در بسته aircrack-ng را راه اندازی کنید.

این ابزار به شما امکان می دهد رابط های بی سیم موجود را تعیین کنید و حالت نظارت شبکه را به یکی از رابط های موجود اختصاص دهید.

نحو استفاده از دستور airmon-ng به شرح زیر است:

airmon-ng ,

گزینه ها کجا هستند شروع یا توقف حالت نظارت را تعیین کنید، - رابط بی سیم در حال نظارت، و پارامتر اختیاری تعداد کانالی را در شبکه بی سیم که در حال نظارت است مشخص می کند.

در ابتدا دستور airmon-ng بدون پارامتر مشخص می شود که به شما امکان می دهد لیستی از رابط های بی سیم موجود را دریافت کنید. به عنوان مثال، در مورد ما، پاسخ به دستور airmon-ng به شرح زیر بود:

استفاده: airmon-ng

درایور چیپست رابط

wifi0 Atheros madwifi-ng

ath0 Atheros madwifi-ng VAP (والد: wifi0)

با انتخاب wifi0 به عنوان رابط بی سیم، دستور airmon-ng start wifi0 را وارد کنید. در نتیجه، یک رابط دیگر ath1 دریافت می کنیم که در حالت نظارت است (شکل 1).

برنج. 1. تنظیم حالت نظارت شبکه بی سیم

در مرحله بعد، باید ابزار airodump-ng را اجرا کنید، که هم برای گرفتن بسته ها در شبکه های بی سیم 802.11 و هم برای جمع آوری اطلاعات در مورد شبکه بی سیم استفاده می شود. سینتکس استفاده از دستور به صورت زیر است:

airodump-ng .

گزینه های فرمان ممکن در جدول نشان داده شده است. 2.

جدول 2. گزینه های ممکن برای دستور airodump-ng

	معنی احتمالی	شرح
		فقط بسته های IV را ذخیره کنید
		از دیمون GPS استفاده کنید. در این صورت مختصات نقطه دریافت نیز ثبت خواهد شد
بنویسید (یا -w)	نام فایل	تعیین نام فایلی که باید ضبط شود. اگر فقط نام فایل را مشخص کنید، در پوشه کاری برنامه ذخیره می شود
		تمام بسته ها را بدون فیلتر ضبط کنید
	شماره کانال (1 تا 11)	تعیین شماره کانال به طور پیش فرض، به همه کانال ها گوش داده می شود.
		تعیین پروتکل 802.11a/b/g

در مورد ما، رابط ath1 روی حالت نظارت تنظیم شده است.

با این حال، تا کنون اطلاعاتی در مورد نوع شبکه (802.11a/b/g)، نوع رمزگذاری در شبکه نداریم و بنابراین نمی دانیم که کدام بسته ها باید رهگیری شوند (همه یا فقط بسته های IV) . بنابراین، در ابتدا نباید از گزینه ها در دستور airodump-ng استفاده کنید، بلکه فقط باید رابط را مشخص کنید - این به ما امکان می دهد اطلاعات لازم را در مورد شبکه جمع آوری کنیم.

بنابراین، در مرحله اول، دستور airodump-ng را با استفاده از نحو زیر اجرا می کنیم:

airodump-ng-ath1

این به ما امکان می دهد اطلاعات لازم را در مورد شبکه به دست آوریم، یعنی:

• آدرس MAC نقطه دسترسی؛
• آدرس مک مشتری؛
• نوع شبکه؛
• شبکه ESSID؛
• نوع رمزگذاری؛
• شماره کانال ارتباطی

در مثال ما، با وارد کردن دستور airodump-ng ath1، توانستیم تمام پارامترهای شبکه لازم را تعیین کنیم (شکل 2):

برنج. 2. جمع آوری اطلاعات در مورد شبکه
با استفاده از ابزار airodump-ng

• آدرس MAC نقطه دسترسی 00:0D:88:56:33:B5 است.
• آدرس مک مشتری - 00:0E:35:48:C4:76
• نوع شبکه - 802.11g؛
• شبکه ESSID - dlinkG؛
• نوع رمزگذاری - WEP؛
• شماره کانال ارتباطی - 11.

توجه داشته باشید که ابزار airodump-ng به شما امکان می دهد شناسه شبکه (ESSID) را بدون توجه به اینکه آیا نقطه دسترسی روی حالت SSID مخفی تنظیم شده است یا خیر، تعیین کنید.

برای جمع آوری اطلاعات در مورد شبکه، می توانید از ابزار Kismet موجود در دیسک BackTrack نیز استفاده کنید - بر خلاف airodump-ng، به شما امکان می دهد اطلاعات بیشتری در مورد شبکه بی سیم جمع آوری کنید و از این نظر یک ابزار کامل و در کلاس است. تحلیلگر شبکه بی سیم این ابزار دارای یک رابط گرافیکی است (شکل 3) که کار با آن را تا حد زیادی تسهیل می کند.

برنج. 3. جمع آوری اطلاعات در مورد شبکه
با استفاده از ابزار Kismet

مرحله 2: رهگیری بسته ها

پس از جمع‌آوری اطلاعات دقیق در مورد شبکه بی‌سیم، می‌توانید با استفاده از همان ابزارهایی که برای جمع‌آوری اطلاعات در مورد شبکه مورد استفاده قرار می‌گرفتند، رهگیری بسته‌ها را آغاز کنید - airodump-ng یا Kismet. با این حال، در این مورد به یک دستور دستوری کمی متفاوت نیاز خواهیم داشت.

رمزگذاری WEP

ابتدا، بیایید گزینه ای را در نظر بگیریم که شبکه از رمزگذاری WEP استفاده می کند. در این حالت، ما باید فقط بسته‌هایی را با بردار اولیه (بسته‌های IV) فیلتر کرده و در فایلی بنویسیم که بعداً برای انتخاب یک کلید استفاده می‌شود.

به عنوان مثال، اگر مشخص شود که شبکه مورد حمله یک شبکه 802.11g است، از رمزگذاری WEP استفاده می کند و انتقال در کانال 11 انجام می شود، دستور دستور برای رهگیری بسته ها می تواند به صورت زیر باشد:

airodump-ng --ivs –w dump --band g --channel 11 ath1

در این مثال، ما فقط بسته های IV را در فایلی به نام dump می نویسیم. احتمال انتخاب موفق کلید به تعداد بسته های IV انباشته شده و طول کلید بستگی دارد. به عنوان یک قاعده، با طول کلید 128 بیت، کافی است حدود 1-2 میلیون بسته IV جمع آوری شود، و با طول کلید 64 بیت - به ترتیب چند صد هزار بسته. با این حال، طول کلید از قبل ناشناخته است و هیچ ابزاری نمی تواند آن را تعیین کند. بنابراین، برای تجزیه و تحلیل، مطلوب است که حداقل 1.5 میلیون بسته را رهگیری کنید. در شکل شکل 4 نمونه ای از گرفتن 1,137,637 بسته IV در ابزار airodump-ng را نشان می دهد.

برنج. 4. با استفاده از ابزار airodump-ng بسته ها را ضبط کنید

تعداد بسته های گرفته شده به صورت تعاملی در ابزار airodump-ng نمایش داده می شود و برای توقف فرآیند ضبط بسته ها فقط باید کلید ترکیبی Ctrl+C را فشار دهید.

ابزار Kismet همچنین می تواند برای گرفتن بسته ها استفاده شود. در واقع، فرآیند رهگیری بلافاصله پس از راه‌اندازی ابزار شروع می‌شود و ضبط در فایلی با پسوند dump ساخته می‌شود که در فهرست کاری برنامه ذخیره می‌شود. با این حال، بر خلاف ابزار airodump-ng، در این مورد، فیلتر کردن بسته های IV و تنظیم شماره کانال ارتباطی غیرممکن است. بنابراین، هنگام استفاده از ابزار Kismet، کارایی (نرخ تجمع) بسته ها کمتر است و تعداد بسته هایی که باید رهگیری شوند باید بیشتر از زمانی باشد که از ابزار airodump-ng استفاده می شود.

اغلب، هنگام رهگیری بسته ها، وضعیتی ایجاد می شود که تبادل ترافیک فشرده بین نقطه دسترسی و مشتری وجود ندارد، بنابراین، برای جمع آوری تعداد بسته های مورد نیاز برای هک شبکه موفق، باید مدت زمان زیادی منتظر بمانید. با این حال، این فرآیند را می توان با وادار کردن مشتری به برقراری ارتباط با نقطه دسترسی با استفاده از ابزار aireplay-ng تسریع کرد (شکل 5). این ابزار به موازات برنامه airodump-ng راه اندازی می شود که برای آن باید یک جلسه کنسول دیگر راه اندازی کنید.

برنج. 5. استفاده از ابزار aireplay-ng برای مقداردهی اولیه ترافیک
بین نقطه دسترسی و مشتری

دستور دستور به صورت زیر است:

aireplay-ng

این دستور دارای تعداد بسیار زیادی گزینه مختلف است که با اجرای دستور بدون پارامتر می توانید آنها را پیدا کنید.

برای اهداف ما، دستور دستور به شکل زیر خواهد بود:

aireplay –ng -e dlinkG -a 00:0d:88:56:33:b5 -c 00:0f:ea:91:7d:95 --deauth 20 ath1

در این مورد، پارامتر -e dlinkG شناسه شبکه بی سیم را مشخص می کند. پارامتر -a 00:0d:88:56:33:b5 - آدرس MAC نقطه دسترسی. پارامتر -c 00:0f:ea:91:7d:95 - آدرس MAC مشتری. گزینه --deauth 20 - حمله برای قطع اتصال (20 بار) و به دنبال آن احراز هویت مشتری. هنگامی که یک کلاینت احراز هویت می شود، ترافیک بین آن و نقطه دسترسی به شدت افزایش می یابد و تعداد بسته های قابل رهگیری افزایش می یابد. در صورت لزوم، می توانید تعداد قطع های اتصال را افزایش دهید یا این دستور را تکرار کنید تا تعداد بسته های مورد نیاز جمع شود.

رمزگذاری WPA-PSK

با رمزگذاری WPA-PSK در یک شبکه بی سیم، الگوریتم رهگیری بسته ها کمی متفاوت است. در این حالت ، ما نیازی به فیلتر کردن بسته های IV نداریم ، زیرا با رمزگذاری WPA-PSK آنها به سادگی وجود ندارند ، اما گرفتن همه بسته ها در یک ردیف نیز معنی ندارد. در واقع، تنها چیزی که ما نیاز داریم، بخش کوچکی از ترافیک بین نقطه دسترسی و کلاینت شبکه بی سیم است که حاوی اطلاعاتی در مورد روش احراز هویت کلاینت در شبکه است (رویه دست دادن). اما برای رهگیری رویه احراز هویت مشتری در شبکه، ابتدا باید با استفاده از ابزار aireplay-ng به اجبار شروع شود.

بنابراین با رمزگذاری WPA-PSK الگوریتم رهگیری بسته ها به صورت زیر خواهد بود. دو جلسه کنسول را باز می کنیم و در جلسه اول دستوری را برای وادار کردن شبکه به قطع اتصال و سپس شناسایی مجدد مشتری (ابزار airplay-ng، حمله احراز هویت) و در جلسه دوم با یک یا دو مکث اجرا می کنیم. در ثانیه فرمانی را برای رهگیری بسته ها اجرا می کنیم (ابزار airodump-ng). دستورات دستوری به شرح زیر است:

aireplay–ng -e dlinkG -a 00:0d:88:56:33:b5 -c 00:0f:ea:91:7d:95 -deauth 10 ath1

airodump-ng –w dump -band g -channel 11 ath1

همانطور که می بینید، نحو دستور aireplay-ng دقیقاً مشابه رمزگذاری WEP است، زمانی که از این دستور برای مقداردهی اولیه ترافیک بین نقطه دسترسی و مشتری شبکه استفاده می شد (تنها تفاوت این است که بسته های احراز هویت کمتری وجود دارد) . دستور دستور airodump-ng فاقد فیلتر بسته IV است.

فرآیند گرفتن بسته ها فقط برای چند ثانیه باید ادامه یابد، زیرا با فعال شدن حمله احراز هویت، احتمال گرفتن بسته های دست دادن تقریباً صد درصد است.

مرحله 3: تجزیه و تحلیل بسته ها

در آخرین مرحله، بسته های رهگیری شده با استفاده از ابزار aircrack-ng که در یک جلسه کنسول راه اندازی می شود، تجزیه و تحلیل می شوند. به طور طبیعی، نحو دستور aircrack-ng برای رمزگذاری WEP و WPA-PSK متفاوت است. دستور کلی دستور به شرح زیر است:

aircrack-ng

گزینه های فرمان ممکن در جدول ارائه شده است. 3. توجه داشته باشید که چندین فایل با پسوند *.cap یا *.ivs را می توان به عنوان فایل های حاوی بسته های ضبط شده (فایل(های) ضبط شده) مشخص کرد. علاوه بر این، هنگام هک کردن شبکه ها با رمزگذاری WEP، ابزارهای airodump-ng و aircrack-ng می توانند به طور همزمان راه اندازی شوند (دو جلسه کنسول استفاده می شود). در این صورت aircrack-ng به طور خودکار پایگاه داده بسته های IV را به روز می کند.

جدول 3. گزینه های ممکن برای دستور aircrack-ng

	معنی احتمالی	شرح
	1 = استاتیک WEP، 2 = WPA-PSK	نوع حمله را مشخص می کند (WEP یا WPA-PSK)
		اگر این گزینه داده شود، از تمام بسته های IV با مقدار ESSID یکسان استفاده می شود. این گزینه همچنین برای هک شبکه های WPA-PSK در صورت پخش نشدن ESSID استفاده می شود (حالت شناسه شبکه پنهان)
	آدرس مک نقطه دسترسی	انتخاب شبکه بر اساس آدرس MAC نقطه دسترسی
		حالت عملیات پنهان تا زمانی که کلید پیدا نشود یا کلید پیدا نشود، اطلاعات نمایش داده نمی شود
		برای شبکه های WEP، انتخاب کلید را فقط به مجموعه ای از اعداد و حروف محدود می کند
		برای شبکه‌های WEP، حدس زدن کلید را فقط به مجموعه‌ای از نویسه‌های هگزادسیمال محدود می‌کند
		برای شبکه های WEP، انتخاب کلید را فقط به مجموعه ای از اعداد محدود می کند
		برای شبکه های WEP، شروع کلید را در قالب هگزادسیمال مشخص می کند. برای رفع اشکال برنامه استفاده می شود
	آدرس مک مشتری	برای شبکه های WEP، یک فیلتر بسته را بر اساس آدرس MAC مشتری تنظیم می کند. -m ff:ff:ff:ff:ff:ff برای جمع آوری تمام بسته های IV استفاده می شود
	64 (برای کلید 40 بیتی) 128 (برای کلید 104 بیتی) 152 (برای کلید 128 بیتی) 256 (برای کلید 232 بیتی) 512 (برای کلید 488 بیتی)	برای شبکه های WEP، طول کلید را مشخص می کند. طول کلید پیش فرض 104 بیت است
		برای شبکه های WEP، مجموعه ای از بسته های IV را نشان می دهد که دارای یک شاخص کلیدی (از 1 تا 4) هستند. به طور پیش فرض این گزینه نادیده گرفته می شود
		این پارامتر هنگام شکستن شبکه‌های WEP استفاده می‌شود - برای یک کلید 104 بیتی مقدار پیش‌فرض 2، برای کلیدهای 40 بیتی - 5 است. مقدار بالاتر این پارامتر به شما امکان می‌دهد کلیدها را با بسته‌های کمتر، اما در مدت زمان طولانی‌تری محاسبه کنید.
		هنگام هک شبکه های WEP استفاده می شود. این پارامتر به شما امکان می دهد انواع خاصی از حملات korek را حذف کنید (در مجموع 17 نوع حمله کورک وجود دارد)
		هنگام هک شبکه های WEP استفاده می شود. جستجوی آخرین کاراکتر در یک کلید را غیرفعال می کند
		هنگام هک شبکه های WEP استفاده می شود. امکان جستجوی آخرین کاراکتر در یک کلید (پیش‌فرض)
		هنگام هک شبکه های WEP استفاده می شود. به جستجوی دو کاراکتر آخر در یک کلید اجازه می دهد
		هنگام هک شبکه های WEP استفاده می شود. استفاده از چندین پردازنده در سیستم های SMP را ممنوع می کند
		هنگام هک شبکه های WEP استفاده می شود. به شما امکان می دهد از یک نوع حمله خاص (تجربی) برای انتخاب یک کلید استفاده کنید. زمانی استفاده می شود که حملات استاندارد هنگام استفاده از بیش از 1 میلیون بسته IV امکان یافتن کلید را نمی دهد
	مسیری به فرهنگ لغت	در طول حمله WPA-PSK، مسیر دیکشنری مورد استفاده را مشخص می کند

هنگام استفاده از رمزگذاری WEP، مشکل اصلی این است که ما از قبل طول کلید مورد استفاده برای رمزگذاری را نمی دانیم. بنابراین، می توانید چندین گزینه را برای طول کلید، که با پارامتر -n مشخص می شود، امتحان کنید. اگر این پارامتر مشخص نشده باشد، به طور پیش فرض طول کلید روی 104 بیت (-n 128) تنظیم می شود.

اگر اطلاعاتی در مورد خود کلید می دانید (به عنوان مثال، این کلید فقط از اعداد یا فقط حروف یا فقط از مجموعه ای از حروف و اعداد تشکیل شده است، اما حاوی کاراکترهای خاصی نیست)، می توانید از -c استفاده کنید. گزینه های -t و -h.

در مورد ما، از دستور aircrack-ng با دستور زیر استفاده کردیم:

aircrack-ng –a 1 –e dlinkG –b 00:0d:88:56:33:b5 –c 00:0f:ea:91:7d:95 –n 128 dump.ivs.

در اینجا، تعیین آدرس MAC نقطه دسترسی و کلاینت و همچنین ESSID شبکه، اضافی است، زیرا فقط یک نقطه دسترسی و یک مشتری بی سیم استفاده شده است. با این حال، اگر چندین مشتری وجود دارد و چندین نقطه دسترسی وجود دارد، این پارامترها نیز باید مشخص شوند.

در نتیجه، ما توانستیم یک کلید 128 بیتی را تنها در 25 ثانیه پیدا کنیم (شکل 6). همانطور که می بینید، هک کردن یک شبکه مبتنی بر رمزگذاری WEP یک مشکل جدی نیست، اما همیشه به موفقیت ختم نمی شود. ممکن است معلوم شود که بسته های IV کافی برای انتخاب یک کلید انباشته نشده اند.

برنج. 6. انتخاب یک کلید 128 بیتی
با استفاده از ابزار aircrack-ng

رمزگذاری WPA-PSK از دستور دستور زیر استفاده می کند:

aircrack-ng –a 2 –e dlinkG–b 00:0d:88:56:33:b5 –w dict dump.cap.

در این حالت احتمال نتیجه مثبت یعنی احتمال حدس زدن کل رمز عبور به دیکشنری مورد استفاده بستگی دارد. اگر رمز عبور در دیکشنری باشد، پیدا می شود. فرهنگ لغت مورد استفاده برنامه aircrack-ng ابتدا باید در پوشه کاری برنامه نصب شود یا مسیر کامل دیکشنری مشخص شود. مجموعه ای از فرهنگ لغت های خوب را می توانید در وب سایت www.insidepro.com پیدا کنید. اگر کمکی نکردند، به احتمال زیاد رمز عبور مجموعه ای از کاراکترهای بی معنی است. از این گذشته، دیکشنری ها حاوی کلمات یا عبارات و همچنین میانبرهای صفحه کلید راحت و آسان برای به خاطر سپردن هستند. واضح است که در لغت نامه ها مجموعه ای از شخصیت های دلخواه وجود ندارد. اما حتی در این مورد نیز راهی برای خروج وجود دارد. برخی از برنامه های کاربردی طراحی شده برای حدس زدن رمز عبور می توانند فرهنگ لغت را از مجموعه معینی از کاراکترها و حداکثر طول کلمه تولید کنند. نمونه ای از این برنامه ها PasswordPro v.2.2.5.0 است.

با این حال، بار دیگر متذکر می شویم که احتمال هک رمز عبور WPA-PSK بسیار کم است. اگر رمز عبور در قالب هیچ کلمه ای مشخص نشده باشد، اما ترکیبی تصادفی از حروف و اعداد باشد، حدس زدن آن تقریبا غیرممکن است.

تعمیم

برای خلاصه کردن تمام آنچه در بالا در مورد هک شبکه های بی سیم گفته شد، یک بار دیگر مراحل اصلی این فرآیند و دستورات استفاده شده در هر یک از آنها را لیست می کنیم.

مرحله 1. جمع آوری اطلاعات در مورد شبکه:

Airmon-ng شروع wifi0.

Airodump-ng ath1.

مرحله 2. جمع آوری بسته ها:

• کیس WEP:

Airodump-ng --ivs -w dump --band g --channel 11 ath1,

Aireplay -ng -e dlinkG -a 00:0d:88:56:33:b5 -c 00:0f:ea:91:7d:95 --deauth 20 ath1

(اگر ترافیک کافی وجود ندارد. دستور در یک جلسه کنسول جداگانه راه اندازی می شود).

• کیس WPA-PSC:

-aireplay-ng -e dlinkG -a 00:0d:88:56:33:b5 -c 00:0f:ea:91:7d:95 --deauth 10 ath1,

Airodump-ng -w dump --band g --channel 11 ath1

(فرمان در یک جلسه کنسول جداگانه اجرا می شود).

مرحله 3. تجزیه و تحلیل بسته:

• کیس WEP:

Aircrack-ng -a 1 -e dlinkG -b 00:0d:88:56:33:b5 -c 00:0f:ea:91:7d:95 -n 128 dump.ivs;

• مورد WPA-PSK:

Aircrack-ng -a 2 -e dlinkG-b 00:0d:88:56:33:b5 -w dict dump.cap.

هک شبکه های بی سیم با استفاده از بسته aircrack-ng 0.6.2-win و ویندوز XP

همانطور که قبلاً در ابتدای مقاله اشاره کردیم، نسخه ای از بسته aircrack-ng 0.6.2-win وجود دارد که توسط سیستم عامل Windows XP پشتیبانی می شود. بیایید فوراً توجه داشته باشیم که قابلیت های بسته در مقایسه با همتای لینوکس آن گسترده نیست، و بنابراین، اگر تعصب شدیدی نسبت به لینوکس وجود ندارد، بهتر است از گزینه با دیسک BackTrack استفاده کنید.

اولین چیزی که هنگام استفاده از نسخه ویندوز برنامه aircrack-ng باید با آن روبرو شوید، نیاز به جایگزینی درایورهای استاندارد سازنده آداپتور شبکه بی سیم با درایورهای ویژه ای است که از حالت نظارت و رهگیری بسته پشتیبانی می کنند. علاوه بر این، مانند نسخه لینوکس برنامه، نسخه خاص درایور بستگی به تراشه ای دارد که آداپتور شبکه روی آن ساخته شده است. به عنوان مثال، هنگام استفاده از آداپتور PCMCIA بی‌سیم گیگابایت GN-WMAG مبتنی بر تراشه Atheros AR5004، از درایور نسخه 5.2.1.1 WildPackets استفاده می‌کنیم.

روش هک کردن یک شبکه بی سیم با استفاده از نسخه ویندوز بسته aircrack-ng بسیار ساده است و از نظر مفهومی روش هک شبکه های بی سیم با استفاده از نسخه لینوکس بسته را تکرار می کند. به طور سنتی در سه مرحله انجام می شود: جمع آوری اطلاعات در مورد شبکه، رهگیری بسته ها و تجزیه و تحلیل آنها.

برای شروع کار با ابزار، باید فایل Aircrack-ng GUI.exe را اجرا کنید که دارای رابط گرافیکی مناسبی است و در واقع یک پوسته گرافیکی برای تمام ابزارهای موجود در aircrack-ng 0.6.2-win است. بسته بندی پنجره اصلی برنامه (شکل 7) دارای چندین تب است که با جابجایی بین آنها می توانید ابزارهای ضروری را فعال کنید.

برنج. 7. پنجره اصلی ابزار رابط کاربری گرافیکی Aircrack-ng

برای جمع آوری اطلاعات لازم در مورد شبکه، باید به تب airdump-ng بروید، پس از آن، ابزار airdump-ng 0.6.2 در یک پنجره جداگانه راه اندازی می شود.

هنگامی که برنامه airdump-ng 0.6.2 را اجرا می کنید (شکل 8)، کادر محاوره ای باز می شود که در آن باید آداپتور شبکه بی سیم (شماره شاخص رابط شبکه)، نوع رابط شبکه (o/a) تراشه را مشخص کنید. ارتباطات شماره کانال بی سیم (کانال(ها): 1 تا 14، 0 = همه) (اگر شماره کانال ناشناخته است، می توانید همه کانال ها را اسکن کنید). علاوه بر این، نام فایل خروجی که بسته های ضبط شده در آن ذخیره می شوند مشخص شده است (پیشوند نام فایل خروجی) و مشخص می شود که آیا لازم است تمام بسته ها (فایل های CAP) ضبط شوند یا فقط بخشی از بسته ها با بردارهای اولیه گرفته شوند. (فایل های IVS) (فقط WEP IVs (y/n) را بنویسید). با رمزگذاری WEP، برای انتخاب یک کلید مخفی، تنها کافی است یک فایل IVS تولید کنید، اما هنگام استفاده از رمزگذاری WPA-PSK، به یک فایل cap نیاز دارید. به طور پیش فرض، فایل های IVS یا CAP در همان دایرکتوری برنامه airdump-ng 0.6.2 ایجاد می شوند.

برنج. 8. راه اندازی ابزار airdump-ng 0.6.2

پس از پیکربندی تمام گزینه های ابزار airodump-ng 0.6.2، یک پنجره اطلاعاتی باز می شود که اطلاعات مربوط به نقاط دسترسی بی سیم شناسایی شده، اطلاعات مربوط به مشتریان شبکه و آمار بسته های رهگیری شده را نمایش می دهد (شکل 9).

برنج. 9. پنجره اطلاعات ابزار airodump-ng 0.6.2

اگر چندین نقطه دسترسی وجود داشته باشد، آمار برای هر یک از آنها نمایش داده می شود.

اولین قدم این است که آدرس MAC نقطه دسترسی، SSID شبکه بی سیم و آدرس MAC یکی از کلاینت های متصل به آن (در صورت وجود چندین مورد) را یادداشت کنید. سپس باید منتظر بمانید تا تعداد کافی بسته رهگیری شود. برای توقف فرآیند ضبط بسته (عملیات ابزار)، از کلیدهای ترکیبی Ctrl+C استفاده کنید. توجه داشته باشید که نسخه ویندوز بسته روش هایی برای افزایش اجباری ترافیک بین نقطه دسترسی و مشتری شبکه ارائه نمی دهد (به یاد داشته باشید که نسخه لینوکس بسته ابزار aireplay-ng را برای این کار ارائه می دهد).

مشکل اصلی هنگام هک کردن شبکه های WPA-PSK با استفاده از نسخه ویندوز برنامه Aircrack-ng GNU 0.6.2 این است که رویه اولیه سازی کلاینت در شبکه باید در فایل CAP ثبت شود، یعنی باید در کمین بنشینید. با اجرای برنامه airodump-ng. هنگامی که روش اولیه سازی کلاینت شبکه در فایل CAP ثبت شد، می توانید برنامه airodump را متوقف کرده و فرآیند رمزگشایی را آغاز کنید. در واقع، در این مورد نیازی به جمع آوری بسته های رهگیری شده نیست، زیرا تنها بسته هایی که بین نقطه دسترسی و کلاینت در حین مقداردهی اولیه ارسال می شوند برای محاسبه کلید مخفی استفاده می شوند.

در مورد رمزگذاری WEP، پس از تولید فایل IVS خروجی، می‌توانید با استفاده از ابزار aircrack-ng 0.6.2 شروع به تجزیه و تحلیل آن کنید، برای راه‌اندازی که مجدداً باید پنجره اصلی برنامه Aircrack-ng GUI را باز کنید. برگه مناسب و پیکربندی ابزار aircrack-ng. با رمزگذاری WEP، راه اندازی ابزار شامل تنظیم طول کلید WEP، تعیین ESSID شبکه بی سیم، تنظیم آدرس MAC نقطه دسترسی، به استثنای انواع خاصی از حملات (حملات RoreK)، تنظیم، در صورت لزوم، مجموعه کاراکترهای مورد استفاده برای کلید و غیره تمام تنظیمات مشابه در مورد نسخه لینوکس این ابزار در اینجا ارائه شده است. تنها تفاوت این است که در نسخه لینوکس همه تنظیمات به عنوان گزینه در خط فرمان مشخص می شوند، در حالی که در نسخه ویندوز یک رابط گرافیکی مناسب برای پیکربندی ابزار استفاده می شود (شکل 10).

برنج. 11. نتیجه تجزیه و تحلیل فایل IVS
ابزار aircrack-ng 0.6.2

نتیجه تجزیه و تحلیل فایل IVS در شکل نشان داده شده است. 11. بعید است که خط KEY FOUND! نیاز به نظرات دارد لطفا توجه داشته باشید: کلید مخفی فقط در 1 ثانیه محاسبه شد!

هنگام استفاده از رمزگذاری WPA-PSK در تنظیمات ابزار aircrack-ng 0.6.2، لازم است از فایل CAP به عنوان فایل خروجی استفاده شود و نه فایل IVS. علاوه بر این، باید مسیر دیکشنری مورد استفاده برای هک را که از قبل با برنامه aircrack-ng 0.6.2 در دایرکتوری نصب شده است، مشخص کنید (شکل 12).

برنج. 12. نتیجه تجزیه و تحلیل فایل ivs
ابزار aircrack-ng 0.6.2

نتیجه تجزیه و تحلیل فایل CAP در شکل نشان داده شده است. 13. با این حال، باید در نظر داشت که نتیجه مثبت جستجوی کلید تنها در صورت وجود رمز عبور در فرهنگ لغت تجزیه و تحلیل شده امکان پذیر است.

برنج. 13. نتیجه تجزیه و تحلیل فایل CAP

دور زدن حفاظت از فیلتر آدرس MAC

در همان ابتدای مقاله، اشاره کردیم که علاوه بر رمزگذاری WEP و WPA-PSK، اغلب از عملکردهایی مانند حالت شناسه شبکه پنهان و فیلتر کردن آدرس MAC استفاده می شود. اینها به طور سنتی به عنوان ویژگی های امنیتی بی سیم طبقه بندی می شوند.

همانطور که قبلاً با بسته aircrack-ng نشان داده‌ایم، به هیچ وجه نمی‌توانید به حالت شناسایی شبکه پنهان اعتماد کنید. ابزار airodump-ng که ذکر کردیم همچنان SSID شبکه را به شما نشان می دهد که بعداً می تواند برای ایجاد یک پروفایل اتصال (غیر مجاز!) به شبکه استفاده شود.

خوب، اگر در مورد چنین اقدام امنیتی مانند فیلتر کردن آدرس های MAC صحبت کنیم، همه چیز در اینجا بسیار ساده است. در اینترنت می توانید ابزارهای بسیار زیادی را برای لینوکس و ویندوز پیدا کنید که به شما امکان می دهد آدرس MAC یک رابط شبکه را جایگزین کنید. به عنوان مثال، می‌توان به ابزارهای زیر ویندوز اشاره کرد: SMAC 2.0 (ابزار پولی، http://www.klcconsulting.net/smac)، MAC MakeUP (ابزار رایگان، www.gorlani.com/publicprj/macmakeup/macmakeup.asp - شکل 14) یا MAC Spoofer 2006 (ابزار رایگان).

برنج. 14. جعل آدرس مک با استفاده از ابزار MAC MakeUP

با انجام چنین جایگزینی، می توانید وانمود کنید که متعلق به خود هستید و دسترسی غیرمجاز به شبکه بی سیم را اجرا کنید. علاوه بر این، هر دو کلاینت (واقعی و ناخوانده) کاملاً با آرامش در یک شبکه با همان آدرس MAC وجود خواهند داشت، علاوه بر این، در این حالت مهمان ناخوانده دقیقاً همان آدرس IP مشتری واقعی شبکه را تخصیص می دهد.

نتیجه گیری

بنابراین، غلبه بر کل سیستم امنیتی یک شبکه بی سیم مبتنی بر رمزگذاری WEP دشوار نیست. شاید بسیاری بگویند که این بی ربط است، زیرا پروتکل WEP مدت هاست که مرده است - از آن استفاده نمی شود. با پروتکل قوی تر WPA جایگزین شد. با این حال، در نتیجه گیری عجله نکنیم. این درست است، اما فقط تا حدی. واقعیت این است که در برخی موارد برای افزایش برد یک شبکه بی سیم، به اصطلاح شبکه های بی سیم توزیع شده (WDS) بر اساس چندین نقطه دسترسی مستقر می شوند. جالب ترین نکته این است که چنین شبکه هایی از پروتکل WPA پشتیبانی نمی کنند و تنها اقدام امنیتی قابل قبول در این مورد استفاده از رمزگذاری WEP است. در این حالت، شبکه‌های WDS دقیقاً مانند شبکه‌های مبتنی بر یک نقطه دسترسی هک می‌شوند. علاوه بر این، PDA های مجهز به ماژول بی سیم نیز از پروتکل WPA پشتیبانی نمی کنند، بنابراین برای گنجاندن یک کلاینت مبتنی بر PDA در یک شبکه بی سیم، باید از پروتکل WEP در آن استفاده کنید. در نتیجه، پروتکل WEP برای مدت طولانی در شبکه های بی سیم مورد تقاضا خواهد بود.

نمونه هایی از هک شبکه های بی سیم که در نظر گرفته ایم به وضوح آسیب پذیری آنها را نشان می دهد. اگر ما در مورد پروتکل WEP صحبت کنیم، می توان آن را با حفاظت بدون خطا مقایسه کرد. این تقریباً مشابه زنگ اتومبیل است - فقط شما را از شر هولیگان ها نجات می دهد. در مورد اقدامات احتیاطی مانند فیلتر آدرس MAC و حالت شناسه پنهان شبکه، به هیچ وجه نمی توان آنها را به عنوان محافظت در نظر گرفت. با این وجود، حتی چنین وسایلی را نباید نادیده گرفت، اگرچه تنها در ترکیب با سایر اقدامات.

پروتکل WPA اگرچه شکستن آن بسیار دشوارتر است، اما آسیب پذیر است. با این حال، دل خود را از دست ندهید - همه چیز آنقدر ناامید کننده نیست. واقعیت این است که موفقیت در هک کردن یک کلید مخفی WPA بستگی به این دارد که آیا در فرهنگ لغت وجود دارد یا خیر. دیکشنری استانداردی که ما استفاده کردیم کمی بیش از 40 مگابایت حجم دارد که معمولاً زیاد نیست. پس از سه بار تلاش، موفق شدیم کلیدی را پیدا کنیم که در فرهنگ لغت وجود نداشت و هک شبکه غیرممکن بود. تعداد لغات این دیکشنری تنها 6475760 کلمه است که البته بسیار کم است. می توانید از دیکشنری هایی با ظرفیت بیشتر استفاده کنید، به عنوان مثال، در اینترنت می توانید یک دیکشنری را در سه سی دی، یعنی تقریباً 2 گیگابایت، سفارش دهید، اما حتی شامل تمام رمزهای عبور ممکن نیست. در واقع، بیایید به طور تقریبی تعداد رمزهای عبور از 8 تا 63 کاراکتر را محاسبه کنیم که می توان با استفاده از 26 حرف الفبای انگلیسی (حساس به حروف بزرگ)، ده عدد و 32 حرف الفبای روسی ایجاد کرد. به نظر می رسد که هر نماد را می توان به 126 روش انتخاب کرد. بر این اساس، اگر فقط رمزهای عبور با طول 8 کاراکتر را در نظر بگیریم، تعداد ترکیبات ممکن 1268=6.3·1016 خواهد بود. اگر اندازه هر کلمه از 8 کاراکتر 8 بایت باشد، حجم چنین دیکشنری 4.5 میلیون ترابایت خواهد بود. اما اینها فقط ترکیبی از هشت نماد هستند! اگر تمام ترکیبات ممکن از 8 تا 63 کاراکتر را مرور کنید، چه دیکشنری به دست خواهید آورد؟! برای محاسبه اینکه اندازه چنین فرهنگ لغتی تقریباً 1.2·10119 ترابایت خواهد بود، لازم نیست ریاضیدان باشید.

پس ناامید نشو احتمال زیادی وجود دارد که رمز عبوری که استفاده می کنید در فرهنگ لغت وجود نداشته باشد. به سادگی، هنگام انتخاب رمز عبور، نباید از کلمات منطقی استفاده کنید. بهتر است مجموعه ای تصادفی از کاراکترها باشد - چیزی مانند "FGproukqweRT4j563app".

دسترسی غیرمجاز - خواندن، به روز رسانی یا از بین بردن اطلاعات بدون مجوز مناسب برای انجام این کار.

دسترسی غیرمجاز معمولاً با استفاده از نام شخص دیگری، تغییر آدرس فیزیکی دستگاه ها، استفاده از اطلاعات باقی مانده پس از حل مشکلات، تغییر نرم افزار و اطلاعات، سرقت رسانه ذخیره سازی، نصب تجهیزات ضبط انجام می شود.

برای محافظت موفقیت آمیز از اطلاعات شما، کاربر باید درک کاملاً واضحی از راه های احتمالی دسترسی غیرمجاز داشته باشد. راه های معمولی اصلی برای به دست آوردن اطلاعات غیرمجاز:

· سرقت رسانه های ذخیره سازی و ضایعات تولید.

· کپی کردن رسانه های ذخیره سازی با غلبه بر اقدامات امنیتی.

مبدل به عنوان یک کاربر ثبت نام شده.

· جعل (تبدیل به عنوان درخواست سیستم).

بهره برداری از کاستی های سیستم عامل ها و زبان های برنامه نویسی.

· استفاده از نشانک های نرم افزاری و بلوک های نرم افزاری از نوع "اسب تروا"؛

رهگیری تشعشعات الکترونیکی.

رهگیری تشعشعات صوتی.

· عکاسی از راه دور

· استفاده از دستگاه های شنود.

· غیرفعال کردن مخرب مکانیسم های حفاظتی و غیره

برای محافظت از اطلاعات در برابر دسترسی غیرمجاز، از موارد زیر استفاده می شود:

1) رویدادهای سازمانی؛

2) وسایل فنی؛

3) نرم افزار؛

4) رمزگذاری

رویدادهای سازمانی عبارتند از:

· حالت دسترسی.

· ذخیره سازی رسانه ها و دستگاه ها در گاوصندوق (فلاپی دیسک، مانیتور، صفحه کلید و غیره).

· محدود کردن دسترسی افراد به اتاق های کامپیوتر و غیره.

وسایل فنی عبارتند از:

· فیلترها، صفحه نمایش برای تجهیزات.

· کلید برای قفل کردن صفحه کلید.

· دستگاه های احراز هویت - برای خواندن اثر انگشت، شکل دست، عنبیه، سرعت تایپ و تکنیک ها و غیره.

· کلیدهای الکترونیکی روی ریز مدارها و غیره

ابزارهای نرم افزاری عبارتند از:

· دسترسی به رمز عبور - تنظیم مجوزهای کاربر.

· قفل صفحه و صفحه کلید با استفاده از یک کلید ترکیبی در ابزار Diskreet از بسته Norton Utilites.

· استفاده از ابزارهای محافظت از رمز عبور BIOS - در خود بایوس و در کل رایانه شخصی و غیره.

رمزگذاری تبدیل (کدگذاری) اطلاعات باز به اطلاعات رمزگذاری شده است که برای افراد خارجی غیرقابل دسترسی است. روش های رمزگذاری و رمزگشایی پیام ها توسط علم رمز شناسی مورد مطالعه قرار می گیرد که تاریخچه آن به حدود چهار هزار سال قبل باز می گردد.

2.5. حفاظت از اطلاعات در شبکه های بی سیم

سرعت فوق‌العاده سریع اجرای راه‌حل‌های بی‌سیم در شبکه‌های مدرن باعث می‌شود تا به قابلیت اطمینان حفاظت از داده‌ها فکر کنیم.

اصل انتقال داده های بی سیم شامل امکان اتصال غیرمجاز به نقاط دسترسی است.

یک تهدید به همان اندازه خطرناک احتمال سرقت تجهیزات است. اگر خط‌مشی امنیتی شبکه بی‌سیم مبتنی بر آدرس‌های MAC باشد، کارت شبکه یا نقطه دسترسی دزدیده شده توسط مهاجم می‌تواند دسترسی به شبکه را باز کند.

اغلب، اتصال غیرمجاز نقاط دسترسی به LAN توسط خود کارمندان سازمانی انجام می شود که به حفاظت فکر نمی کنند.

چنین مشکلاتی باید به طور جامع حل شود. اقدامات سازمانی بر اساس شرایط عملیاتی هر شبکه خاص انتخاب می شوند. در مورد اقدامات فنی، نتایج بسیار خوبی با استفاده از احراز هویت اجباری متقابل دستگاه ها و معرفی کنترل های فعال به دست می آید.

در سال 2001، اولین پیاده‌سازی درایورها و برنامه‌هایی ظاهر شد که می‌توانستند با رمزگذاری WEP مقابله کنند. موفق ترین کلید PreShared است. اما تنها زمانی خوب است که رمزگذاری قابل اعتماد و جایگزینی منظم رمزهای عبور با کیفیت بالا وجود داشته باشد (شکل 1).

شکل 1 - الگوریتم تجزیه و تحلیل داده های رمزگذاری شده

الزامات حفاظتی مدرن

احراز هویت

در حال حاضر، در تجهیزات شبکه های مختلف، از جمله دستگاه های بی سیم، روش احراز هویت مدرن تری به طور گسترده استفاده می شود که در استاندارد 802.1x تعریف شده است - تا زمانی که تأیید متقابل انجام نشود، کاربر نه می تواند هیچ داده ای را دریافت و نه ارسال کند.

تعدادی از توسعه دهندگان از پروتکل های EAP-TLS و PEAP برای احراز هویت در دستگاه های خود استفاده می کنند.سیسکو سیستمز علاوه بر موارد ذکر شده پروتکل های زیر را برای شبکه های بی سیم خود ارائه می دهد: EAP-TLS، PEAR، LEAP، EAP-FAST.

همه روش های مدرن احراز هویت نیاز به پشتیبانی از کلیدهای پویا دارند.

عیب اصلی LEAP و EAP-FAST این است که این پروتکل ها عمدتاً در تجهیزات سیستم سیسکو پشتیبانی می شوند (شکل 2).

شکل 2 - ساختار بسته 802.11x با استفاده از رمزگذاری TKIP-PPK، MIC و WEP.

رمزگذاری و یکپارچگی

بر اساس توصیه های Cisco Systems 802.11i، پروتکل TCIP (پروتکل یکپارچگی زمانی) پیاده سازی شده است که تغییر کلید رمزگذاری PPK (Per Packet Keying) در هر بسته و نظارت بر یکپارچگی پیام های MIC (Message Integrity Check) را تضمین می کند.

یکی دیگر از پروتکل های رمزگذاری و یکپارچگی امیدوارکننده AES (استاندارد رمزگذاری پیشرفته) است. در مقایسه با DES و GOST 28147-89 قدرت رمزنگاری بهتری دارد. هم رمزگذاری و هم یکپارچگی را فراهم می کند.

توجه داشته باشید که الگوریتم مورد استفاده در آن (Rijndael) چه در حین اجرا و چه در هنگام بهره برداری به منابع زیادی نیاز ندارد که برای کاهش تاخیر داده ها و بار پردازنده بسیار مهم است.

استاندارد امنیتی برای شبکه های محلی بی سیم 802.11i است.

استاندارد Wi-Fi Protected Access (WPA) مجموعه ای از قوانین است که اجرای حفاظت از داده ها را در شبکه های 802.11x تضمین می کند. از آگوست 2003، انطباق با استانداردهای WPA برای تجهیزات دارای گواهی Wi-Fi Certified یک الزام اجباری بوده است.

مشخصات WPA شامل یک پروتکل اصلاح شده TKOP-PPK است. رمزگذاری با استفاده از ترکیبی از چندین کلید - کلیدهای فعلی و بعدی - انجام می شود. در این حالت طول IV به 48 بیت افزایش می یابد. این امکان اجرای اقدامات اضافی برای محافظت از اطلاعات را فراهم می کند، به عنوان مثال، برای سخت تر کردن الزامات برای ارتباط مجدد و احراز هویت مجدد.

این مشخصات شامل پشتیبانی از 802.1x/EAP، احراز هویت کلید مشترک و البته مدیریت کلید است.

جدول 3 - روشهای اجرای سیاست امنیتی

فهرست مطالب
پشتیبانی از سیستم عامل مدرن
پیچیدگی نرم افزار و شدت منابع احراز هویت
دشواری کنترل
Single Sign on (یک ورود به سیستم در ویندوز)
کلیدهای پویا
رمزهای عبور یکبار مصرف

ادامه جدول 3

به شرط استفاده از تجهیزات و نرم افزارهای مدرن، اکنون ساخت یک شبکه بی سیم امن و مقاوم در برابر حمله بر اساس استانداردهای سری 802.11x کاملاً امکان پذیر است.

تقریباً همیشه یک شبکه بی سیم به یک شبکه سیمی متصل است و این امر علاوه بر نیاز به محافظت از کانال های بی سیم، محافظت در شبکه های سیمی نیز ضروری است. در غیر این صورت، شبکه دارای امنیت پراکنده خواهد بود که اساساً یک خطر امنیتی است. توصیه می شود از تجهیزاتی استفاده کنید که دارای گواهینامه Wi-Fi Certified، یعنی تایید انطباق با WPA است.

ما باید 802.11x/EAP/TKIP/MIC و مدیریت کلید پویا را پیاده سازی کنیم. در مورد یک شبکه مختلط، VLAN ها باید استفاده شوند. در صورت وجود آنتن خارجی، از فناوری شبکه خصوصی مجازی VPN استفاده می شود.

ترکیب هر دو روش حفاظت از پروتکل و نرم افزار و همچنین روش های اداری ضروری است.

چه چیزی در زمان ما می تواند مهمتر از محافظت از شبکه وای فای خانگی شما باشد :) این یک موضوع بسیار محبوب است که بیش از یک مقاله تنها در این سایت در مورد آن نوشته شده است. تصمیم گرفتم تمام اطلاعات لازم در مورد این موضوع را در یک صفحه جمع آوری کنم. اکنون به طور مفصل به موضوع محافظت از شبکه Wi-Fi خواهیم پرداخت. من به شما می گویم و به شما نشان می دهم که چگونه از Wi-Fi با یک رمز عبور محافظت کنید، چگونه این کار را به درستی در روترهای سازنده های مختلف انجام دهید، کدام روش رمزگذاری را انتخاب کنید، چگونه یک رمز عبور انتخاب کنید، و آنچه که باید بدانید اگر هستید. برنامه ریزی برای تغییر رمز عبور شبکه بی سیم

در این مقاله دقیقا صحبت خواهیم کرد در مورد محافظت از شبکه بی سیم خانگی شما. و فقط در مورد محافظت از رمز عبور. اگر امنیت برخی از شبکه های بزرگ را در ادارات در نظر بگیریم، بهتر است کمی متفاوت به امنیت در آنجا نگاه کنیم (حداقل حالت احراز هویت متفاوت). اگر فکر می کنید که یک رمز عبور برای محافظت از شبکه وای فای شما کافی نیست، به شما توصیه می کنم که خود را خسته نکنید. با استفاده از این دستورالعمل ها یک رمز عبور خوب و پیچیده تنظیم کنید و نگران نباشید. بعید است که کسی زمان و تلاش خود را برای هک کردن شبکه شما صرف کند. بله، به عنوان مثال، می توانید نام شبکه (SSID) را مخفی کنید و فیلتر را با آدرس های MAC تنظیم کنید، اما اینها دردسرهای غیر ضروری هستند که در واقعیت فقط هنگام اتصال و استفاده از یک شبکه بی سیم باعث ناراحتی می شوند.

اگر به محافظت از Wi-Fi خود فکر می کنید یا شبکه را باز نگه می دارید، تنها یک راه حل می تواند وجود داشته باشد - محافظت از آن. بله، اینترنت نامحدود است و تقریباً همه افراد در خانه روتر خود را دارند، اما در نهایت یک نفر به شبکه شما متصل می شود. چرا ما به این نیاز داریم، زیرا مشتریان اضافی بار اضافی روی روتر هستند. و اگر گران نباشد، به سادگی این بار را تحمل نخواهد کرد. همچنین، اگر شخصی به شبکه شما متصل شود، می‌تواند به فایل‌های شما دسترسی داشته باشد (اگر شبکه محلی پیکربندی شده باشد)و به تنظیمات روتر خود دسترسی داشته باشید (پس از همه، شما به احتمال زیاد رمز عبور استاندارد مدیریت را که از کنترل پنل محافظت می کند، تغییر نداده اید).

مطمئن شوید که از شبکه وای فای خود با یک رمز عبور خوب با روش رمزگذاری صحیح (مدرن) محافظت کنید. توصیه می کنم هنگام راه اندازی روتر فوراً محافظت را نصب کنید. همچنین، بهتر است هر از چند گاهی رمز عبور خود را تغییر دهید.

اگر نگران این هستید که کسی شبکه شما را هک کند یا قبلاً این کار را انجام داده اید، به سادگی رمز عبور خود را تغییر دهید و در آرامش زندگی کنید. ضمناً، از آنجایی که شما همچنان وارد کنترل پنل روتر خود خواهید شد، من نیز توصیه می کنم که برای ورود به تنظیمات روتر استفاده می شود.

حفاظت مناسب از شبکه Wi-Fi خانگی: کدام روش رمزگذاری را انتخاب کنیم؟

در طول فرآیند تنظیم رمز عبور، باید یک روش رمزگذاری شبکه Wi-Fi را انتخاب کنید (روش احراز هویت). توصیه میکنم فقط نصب کنید WPA2 - شخصی، با الگوریتم رمزگذاری AES. برای یک شبکه خانگی، این بهترین راه حل، در حال حاضر جدیدترین و قابل اطمینان ترین است. این نوعی محافظ است که سازندگان روتر نصب آن را توصیه می کنند.

فقط تحت یک شرط که دستگاه های قدیمی که می خواهید به Wi-Fi وصل شوید ندارید. اگر پس از راه اندازی، برخی از دستگاه های قدیمی شما از اتصال به شبکه بی سیم خودداری کردند، می توانید یک پروتکل نصب کنید WPA (با الگوریتم رمزگذاری TKIP). من نصب پروتکل WEP را توصیه نمی کنم، زیرا قبلا قدیمی است، ایمن نیست و به راحتی قابل هک است. بله، و ممکن است مشکلاتی در اتصال دستگاه های جدید وجود داشته باشد.

ترکیب پروتکل WPA2 - شخصی با رمزگذاری AES، این بهترین گزینه برای شبکه خانگی است. خود کلید (رمز عبور) باید حداقل 8 کاراکتر باشد. رمز عبور باید از حروف، اعداد و علائم انگلیسی تشکیل شده باشد. رمز عبور حساس به حروف کوچک است. یعنی «111AA111» و «111aa111» رمزهای عبور متفاوتی هستند.

من نمی دانم چه روتری دارید، بنابراین دستورالعمل های کوتاهی را برای محبوب ترین سازندگان آماده خواهم کرد.

اگر پس از تغییر یا تنظیم رمز عبور در اتصال دستگاه ها به شبکه بی سیم با مشکل مواجه شدید، توصیه های انتهای این مقاله را ببینید.

من به شما توصیه می کنم بلافاصله رمز عبوری که تعیین می کنید را یادداشت کنید. اگر آن را فراموش کردید، باید یک مورد جدید نصب کنید، یا .

محافظت از Wi-Fi با رمز عبور در روترهای Tp-Link

اتصال به روتر (از طریق کابل یا وای فای)، هر مرورگری را راه اندازی کنید و آدرس 192.168.1.1 یا 192.168.0.1 را باز کنید (آدرس روتر شما و همچنین نام کاربری و رمز عبور استاندارد روی برچسب در پایین خود دستگاه نشان داده شده است). نام کاربری و رمز عبور خود را وارد کنید. به طور پیش فرض، اینها admin و admin هستند. در، وارد کردن تنظیمات را با جزئیات بیشتر توضیح دادم.

در تنظیمات به تب بروید بي سيم(حالت بی سیم) - امنیت بی سیم(امنیت بی سیم). کادر کنار روش حفاظت را علامت بزنید WPA/WPA2 - شخصی (توصیه می شود). در منوی کشویی نسخه(نسخه) انتخاب کنید WPA2-PSK. در منو رمزگذاری(رمزگذاری) نصب کنید AES. در زمینه رمز عبور بی سیم(رمز عبور PSK) یک رمز عبور برای محافظت از شبکه خود وارد کنید.

تنظیم رمز عبور در روترهای ایسوس

در تنظیمات باید تب را باز کنیم شبکه بی سیمو تنظیمات زیر را انجام دهید:

• در منوی کشویی «روش احراز هویت»، WPA2 - Personal را انتخاب کنید.
• "رمزگذاری WPA" - نصب AES.
• در قسمت "WPA Pre-Shared Key"، رمز عبور شبکه ما را یادداشت کنید.

برای ذخیره تنظیمات، روی دکمه کلیک کنید درخواست دادن.

دستگاه های خود را با یک رمز عبور جدید به شبکه متصل کنید.

محافظت از شبکه بی سیم روتر D-Link شما

به تنظیمات روتر D-Link خود در 192.168.0.1 بروید. می توانید دستورالعمل های دقیق را مشاهده کنید. در تنظیمات، تب را باز کنید وای فای - تنظیمات امنیتی. نوع امنیتی و رمز عبور را مانند تصویر زیر تنظیم کنید.

تنظیم رمز عبور در روترهای دیگر

ما همچنین دستورالعمل های دقیقی برای روترهای ZyXEL و Tenda داریم. لینک ها را ببینید:

اگر دستورالعملی برای روتر خود پیدا نکردید، می توانید حفاظت شبکه Wi-Fi را در کنترل پنل روتر خود در قسمت تنظیمات به نام تنظیمات امنیتی، شبکه بی سیم، Wi-Fi، Wireless و غیره تنظیم کنید. فکر می کنم می توانم آن را پیدا کنم، سخت نخواهد بود. و من فکر می کنم شما از قبل می دانید که چه تنظیماتی را تنظیم کنید: WPA2 - رمزگذاری شخصی و AES. خوب، این کلید است.

اگر متوجه نشدید، در نظرات بپرسید.

در صورت عدم اتصال دستگاه ها پس از نصب یا تغییر رمز عبور چه باید کرد؟

خیلی اوقات پس از نصب و به خصوص پس از تغییر رمز عبور، دستگاه هایی که قبلاً به شبکه شما متصل بوده اند، تمایلی به اتصال به آن ندارند. در رایانه ها، اینها معمولاً خطاهای "تنظیمات شبکه ذخیره شده در این رایانه الزامات این شبکه را برآورده نمی کند" و "ویندوز نمی تواند به ... متصل شود" است. در تبلت‌ها و گوشی‌های هوشمند (اندروید، iOS)، خطاهایی مانند «نمی‌توان به شبکه متصل شد»، «متصل شد، محافظت می‌شود» و غیره نیز ممکن است ظاهر شوند.

این مشکلات را می توان به سادگی با حذف شبکه بی سیم و اتصال مجدد با یک رمز عبور جدید حل کرد. نحوه حذف شبکه در ویندوز 7 را نوشتم. اگر ویندوز 10 دارید، باید با استفاده از "شبکه را فراموش کنید". در دستگاه های تلفن همراه، شبکه خود را فشار داده و نگه دارید و انتخاب کنید "حذف".

اگر مشکلات اتصال در دستگاه های قدیمی رخ می دهد، پروتکل امنیتی WPA و رمزگذاری TKIP را در تنظیمات روتر تنظیم کنید.