VELEUILITE U RIJECI POSLOVNI ODJEL W-LAN TEHNOLOGIJA I ZATITA Seminarski rad Rijeka,2005.

VELEUILITE U RIJECI POSLOVNI ODJEL W-LAN TEHNOLOGIJA I ZATITA Seminarski rad Predmet: Mentor: Studenti: Smjer : Sigurnost informacijskih sustava Ante Deulovi mr.sc. David Krnjak Poslovna informa tika Rijeka, Sijeanj 2005.

Sadrzaj SADRZAJ ........................................................................ ......................................................... 3 UVOD U WIRELESS SVIJ ET ............................................................................. .................. 5 WIRELESS NETWORK PROTOCOLS................................. .............................................. 6 Uvod .......................... ................................................................................ ......................... 6 O SAMOM 802.11 STANDARDU............................ .................................................................... 7 LAN i IEE E............................................................................... .......................................... 7 Razumijevanje CSMA/CD ............. ................................................................................ ..... 8 Frekvencije ............................................................ ............................................................. 9 2,4 GHz......... ................................................................................ ...................................... 9 DSSS (Direct-Sequence Spread Spectrum). ................................................................................ . 9 802.11A..................................................................... ............................................................ 10 5GHz............ ................................................................................ ..................................... 10 OFDM (Orthogonal Frequency Division Mul tiplexing) .............................................................. 10 802 .11G............................................................................ ..................................................... 11 HOMERF ................ ................................................................................ ............................... 11 FHSS (Frequency Hopping Spread Spectrum) .... ....................................................................... 11 IRDA. ................................................................................ .................................................... 12 BLUETOOTH .............. ................................................................................ ............................ 14 Zakljuak ........................................ ................................................................................ .. 15 WIRELESS PRIJETNJE ....................................................... ............................................... 16 Uvod ........................ ................................................................................ ......................... 16 Sniffing .......................................... ................................................................................ ... 16 Spoofing and Session Hijacking........................................... ............................................ 17 Buffer Overflows ............... ................................................................................ ............... 18 Denial of Service Napad (DoS)................................ ........................................................ 18 Lociranje wireless m rea ............................................................................. .................... 19 802.11 WIRELESS SECURITY METODE......................... ................................................ 20 Uvod ....................... ................................................................................ .......................... 20 KRIPTOGRAFIJA..................................... ................................................................................ 20 Simetrina enkripcija ........................................................ ............................................... 20 Asimetrina enkripcija ........ ................................................................................ ............. 20 Zakljuak ....................................................... ................................................................... 20 RC4...... ................................................................................ ................................................. 21 WEP ....................... ................................................................................ .............................. 23 O WEP algoritmu .............................. ............................................................................... 23 802.1X ...................................................................... ............................................................ 25 Uvod ...........

................................................................................ ...................................... 25 O IEEE 802.1X......................... ................................................................................ ........ 25 Kako radi IEEE 802.1X............................................... ..................................................... 26 NOVE WIRELESS SECURITY METODE ......................................................................... ........... 29 Uvod ............................................................ ..................................................................... 29 IEEE 80 2.11i .......................................................................... .......................................... 29 WPA............................... ................................................................................ ................... 29 TKIP .................................................... ............................................................................. 30

AES ............................................................................ ....................................................... 30 OSIGURANJE WIRELESS M REZE ........................................................................... ....... 31 Uvod ................................................................ ................................................................. 31 AP BASED SE CURITY METHODS ................................................................. .......................... 31 WEP............................................... ................................................................................ ... 31 MAC Filtriranje.......................................................... ...................................................... 33 Zatita Kontrolom Radija cijske Zone..................................................................... .......... 35 THIRD PARTY SECURITY ............................................. .......................................................... 37 Zatita pomou DMZ a... ................................................................................ ................ 37 VPN (Virtual Private Network) .............................. .......................................................... 38 LITERATURA ....... ................................................................................ ................................ 39 Online Literatura: ......................... ................................................................................ ... 39

Uvod u Wireless Svijet Posljednjih godina svjedoci smo naglog irenja trita mobilnih usluga i ureaja. Najsvj etliji primjer zasigurno je trite mobilne telefonije o ijoj rasprostranjenosti najb olje govori injenica da se danas teko moe pronai osoba koja ne posjeduje mobilni tel efon. Pojava runih raunala (engl. handheld) i pad cijene prijenosnih raunala obeava da bi se isto moglo dogoditi i na tritu mobilne raunalne opreme. Zapravo pogledamo li prednosti ovakvih ureaja to je i neizbjeno. Zato imati jedno raunalo na poslu, je dno kui, jedno u drugom gradu kada sve to moe zamijeniti mobilno raunalo. A da ne g ovorim o podatcima koji trebaju biti sinkronizirani i update na svi tim raunalima . Uz to pogledamo li unutar zidova naeg doma mnogi od nas u radnoj sobi imaju met re i metre kabela. Iza stolova, ispod tepiha, po zidovima ma gdje ne. Nabavimo l i novi ureaj vrlo je vjerojatno da e njegov "kabelski sustav" prolaziti istim onim putem kuda i drugi, a elimo li sve to nekako drati uredno imati emo podosta posla. A to je sa onim ureajima koji moraju biti udaljeni od naeg centralnog mjesta? Pove zati ga sa 100 metara kabela moe biti veliki problem. Tu su i ureaji za koje nam s e danas ini ugodnije tu, sutra dva metra iza, preksutra lijevo. Ako vam se to nik ada nije desilo onda oito niste gledali filmove na kompjuteru, moda sluali muziku i td. Nije li lake, i ugodnije, jednostavno uzeti tipkovnicu metar dva iza sebe do nekog u tom trenu prikladnijeg mjesta. Koji puta kabel nam jednostavno ne dolazi u obzir. Imamo li ve adaptiran ured (stan) bez provuenih mrenih kablova i nabavimo raunala koja trebaju internet, file, printer sharing a nalaze se u razliitim pros torijama to onda? Buenje zidova, postavljanje i provoenje kablova je skupo elimo li zadrati prvobitan izgled prostorije. Na sva ova pitanja postoji jednostavan odgov or, wireless tehnologija. Ovaj je seminar usmjeren na wireless mrene tehnologije i njihovu zatitu. U njemu e biti govora o wireless mrenim protokolima, WLAN Securit y protokolima, Wireless prijetnjama i na kraju o implementaciji svega ovog spome nutog u nau mreu.

Wireless Network Protocols Uvod Zbog brzog razvoja wireless tehnologija danas imamo cijeli niz proizvoda i proto kola dostupnih kako kunoj tako i profesionalnoj uporabi. Da to ne bi bilo tako je dnostavno svaka ta tehnologija ima svoje specifino trite, a tako i ureaje. Uz to stv ari komplicira i tolika masa samih ureaja na tritu koji imaju svoj hardware, svoje protokole i svoj software sto na kraju dovodi do nekompatibilnosti izmeu njih, a jo gore i do interferencije. U nastavku slijedi kratak uvod u danas najrairenije w ireless network protokole na podruju potroake elektronike, a i ire. Raznolikost wireless okoline

O samom 802.11 standardu 802.11 standard definira protokol koji se tie openito svih ethernet ureaja okrenuti m wireless prometu. No unutar samog standarda postoje pod standardi koji se takm ie za svoje mjesto na tritu. LAN i IEEE Puno prije nego sto su wireless mree izale iz na svijetlo dana, IEEE (Institute of Electrical and Electronics Engineers) je napravio sistem po kojem se nove tehno logije mogu certificirati. IEEE certifikat osigurava da neka tehnologije moe biti kompatibilna sa dugim proizvodom koristei istu certificiranu tehnologiju. Naravn o jedna od mnogih tehnologija koja je prola kroz taj postupak certifikacije je Lo cal Area Network. LAN je jednostavno lokalna grupa spojenih raunala uz naravno ha rdware i software koji omoguuje komunikaciju izmeu njih. Kako god, ima mnogo pravi la i specifikacija koje su potrebne da bi proizvod bio proglaen LAN kompatibilan. Iz tog razloga IEEE je napravio 802 grupu, koja je odgovorna za ispitivanje kak o starih tako i novih mrenih tehnologija da bi osigurao njihov pouzdan rad, a i t akoer rad bez konflikata. Kada doe nova tehnologija na certificiranje, grupa je po mno istrazi i ispita uz naravno podosta testova koje mora proi da bi dokazala da stvarno zasluila certifikat. 802 certifikat sadri i mnoge pod grupe, koje predstav ljaju pojedina "odjeljenja" mree. 802.3 primjera radi je standard koji definira k ako Ethernet radi. Ako e se neki proizvod smatrati ethernet, on mora ispunjavati sve zahtjeve specificirane u 802.3. Ovo nas na kraju vodi i do wireless ethernet a, koji je klasificiran i kontroliran sa strane 802.11grupe. 802.3 mrea Uz dodatak tome 802.11 je opet razdijeljen u vise manjih specifinih certifikata, kao npr. 802.11b, 802.11g. Svaka ta grupa definira metodu za omoguavanje wireless etherneta. Svaki taj protokol navodi razne aspekte prijenosa podataka koji ih d alje razlikuju od druge grupe.

Razumijevanje CSMA/CD Jedan od najpopularnijih standarda postavljenih od 802 grupe je 802.3 standard.. To je certifikat koji dobivaju ethernet ready ureaji. Tako svaki ethernet proizv od mora imati tehnologiju poznatu pod CSMA/CD (Carrier Sense Multiple Access/Col lision Detection). CSMA/CD nije nita drugo nego podizanje ruke u uionici. Kada se prepolovi ta cijela rije na dijelove CS znai da samo jedan ureaj moe priati u isto vr ijeme. MA je tehniki reeno da ima vie ureaja koji sluaju. Da se vratim na uionicu. Svi uju to drugi priaju no obraa li se netko odreenoj osobi za nas je to potpuno nebitno i moemo to ignorirati. Sada nam jos ostaje CD. To oznaava da svaki ethernet moe pr imijetiti da su dva ureaja poela priati u isto vrijeme. Kada se to desi oboje zaute na tren (random broj). Ureaj sa manjim vremenom ekanja poinje prvi. U wireless svij etu dosta se esto koristi CA (collision avoidance). To je najava nekoga da e poeti priati pa tako nee doi do istovremenog rada dva ureaja. 802.11 - CA RTS - Request to Send CTS - Clear to Send

Frekvencije Svi 802.11x standardi koriste ISM (Industrial, Science, and Medical) frekvencije , postavljene sa strane FCC (Federal Communications Commission). Te su frekvanci je otvorene frekvencije i moe ih koristiti bilo tko. To su 900 MHz, 2,5GHz i 5GHz . Nakon to je IEEE prihvatio 802.11 u 1997, tri su tehnologije postale glavne za prienos podataka u wireless svijetu. To su FHSS (frequency -hopping spread spect rum), DSSS (direct sequence spread sequence) i IrDA. 2,4 GHz 2,4 GHz polje je otvoreno frekventno polje u kojem rade mnogi ureaji, ukljuujui tel efone i mikrovalne. FCC je otvorio takvo polje da bi omoguio proizvoaima da naprave ureaje koji ne trebaju posebno FCC odobrenje. Tako bilo tko moe napraviti 2,4 GHz ureaj i sluiti se njime bez straha da e upasti u radio Policije ili Hitne pomoi. To je na prvi pogled dobro rjeenje no toliko je ureaja danas u ovome spektru, da emo prije ili kasnije naletiti na neke interferencije i smetnje. Mada e ureaj i dalje raditi moglo bi se desiti da 11Mbps postane 3Mbps DSSS (Direct-Sequence Spread Spectrum) Prikazan na slici dole pomae u sprjeavanju interferencija tako da rastegne signal preko vie frekvencija u isto vrijeme. Drugim rijeima DSSS moe prepoloviti podatke i poslati ga u vie dijelova na razliitim frekvencijama. To pomae u bandwidthu ali i omoguava vie ureaja u jednom W-Lanu. Frequency hopping preko DSSS a

802.11a 802.11a je zapravo prvi potvreni (prihvaeni) wireless standard mada je u komercija lnu uporabu zakasnio za b standardom. Moe prenositi do 54Mbps, to je otprilike 5x bre nego b ureaji. 802.11a nije previe zaivio u svijetu, a glavni razlog je njegov 5 Ghz spektar. Njegova metoda za prijenos takoer se razlikuje. On koristi OFDM meto du koja je opisana u nastavku. 5GHz Kao to sam rekao 2,4GHz polje je odavno pretrpano ureajima. 5GHz je recimo jo uvije k dosta slobodan. Ovo duplo poveanje frekvencije je i preko 2 puta bre to uz promje nu prijenosne metode dovodi do oko 5 puta poveanja u brzini. No sve ima prednosti i mana. Cijena i smanjeni domet nisu ili na ruku a standarda i danas se ova frek vencija jo uvijek ne koristi u tako irokoj primjeni kao 2,4. OFDM (Orthogonal Frequency Division Multiplexing) 802.11a koristi OFDM tako da uzme 5GHz i prepolovi ga u nekoliko preklapajuih fre kvencija. Drugim rijeima OFDM u jednom ciklusu moe prenijeti puno vie podataka. U n ekom pogledu, 802.11a moe slati podatke na frekvenciji od preko15GHz. Slika ispod pokazuje primjer OFDM signala na kojoj se vidi zapravo poluperioda pune frekven cije razdijeljena u vie manjih. To ne samo da ubrzava prijenos nego i sprjeava kol izije wireless ureaja. Primjer OFDM signala

802.11g Mada je b sporiji od a standarda ima neke prednosti koje su mu doprinijele tako veliku popularnost. Za razliku od a on ima stabilan signal na veim udaljenostima zbog duplo manje frekvencije te i niu cijenu. Tu dolazi g standard. G radi takoer na 2,4GHz, a brzina mu je teoretski 54Mbps. Mada su se sada poeli pojavljivati i g ureaji sa teoretskom brzinom od 108 Mbps, tih 108 se ipak jo uvijek odnosi na ko ritenje istih ureaja i slino. G standard takoer koristi OFDM koja mu omoguuje poveanje brzine naspram b. HomeRF Otprilike kada je WECA odobrila 802.11 standard, nekoliko je tipova wireless teh nologije predstavljeno svijetu. Mada je malo njih uope ulo u PAN (Personal Area Ne twork) trite neke su tehnologije zamalo porazile 802.11. Jedna od tih je bila Home RF. Koristei Shared Wireless Access Protocol (SWAP), HomeRF je spoila FHSS sa 6 g lasovnih kanala temeljenih na DECT u (Digital Enhanced Cordless Telecommunication s). Znai da HomeRF moe prenositi kako dana tako i voice stream koji mogu raditi u isto vrijeme. Uz to ova tehnologija ne zahtjeva centralne toke ona sve radi sama. FHSS (Frequency Hopping Spread Spectrum) HomeRF koristi novu frequency control tehniku (standard) FHSS. Kada se koristi u kombinaciji sa 2,4GHz frekvencijom, signal moe promijeniti kanal 50 puta u sekun di. Ovo pomae pri stabilnosti mree, i uz neku drugu postojeu HomeRF mreu. Koristei ci jeli frekvencijski spektar vie mrea mogu djelovati u isto vrijeme bez straha od in terferencije. FHSS - Frequency Hopping Spread Spectrum Sam FHSS se koristio i kod prvih implem entacija 802.11 standarda. Tada je HomeRF koristila napredniju verziju i mogla p ostii 1,6Mbps, za razliku od 802.11 koje je mogao 1Mbps. Ova se tehnologija nije dugo zadrala na tritu zbog relativno niskog bandwidtha, a isto tako i dometa. Glavn a prednost bila joj je niska cijena ali i to kasnije, nakon pada cijena 802.11 u reaja, nije previe znailo.

IrDA IrDA je skraenica od Infrared Data Association. To je standard kontroliran od str ane IrDA consortium a. IrDA specifikacije obuhvaaju i fizike ureaje ali i protokole koje ih povezuju. IrDA je wireless tehologija koja se ugrauje u ureaje koji zahtij evaju beini prijenos malih koliina podataka. Zbog relativno niske cijene ove tehnol ogije integrira se u mnoge satove, PDA, telefone, laptope, tipkovnice, mieve itd. Mada je u zadnje vrijeme ugroena sa strane Bluetooth tehnologije IrDA neide nigd je jo neko vrijeme. Primjer IrDA okoline IrDA ina snaga je u svestranosti. Ona je standard sam za seb e to rezultira jednostavnu i jeftinu ugradnju u skoro bilo to. Ali uz to ima i vel ike nedostatke to ga ograniava u funkcionalnou. IrDA koristi vremenski pulsirajui sno p svijetla za prijenos podataka. Palei i gasei ta svijetla ona prenosi bit po bit tako sve do 4Mbps. Ovo je dovoljno za neke ureaje no za mnoge nije jer se podatci od par MB prenose par minuta i sve to ako su jedan do drugoga.

IrDA kao prijenosni medij koristi svijetlo to znai da nita ne smije zaprijeiti vidlj ivi pravac izmeu dva ureaja. Isto tako zna se desiti da je osjetljiva na jako osvi jetljenu prostore zbog frekvencije treptanja arulja. Sve te stvari vrlo lako dove du do greka u prijenosu. Uzo sve to udaljenost za normalan rad IrDA e ne bi smjeo prelaziti 1m. To su glavni prepreke daljnjeg velikoga razvoja IrDA e. IrDA izvor svijetla (transmitter)

Bluetooth Do sada sam pisao o razliitim wireless tehnologijama. Neke imaju veliku udaljenos t i kompliciranije konfiguriranje dok drugi malu udaljenost i skoro nikakvo konf iguriranje. Tu izmeu njih svoju uporabu i trite nalazi bluetooth. On je nastao kao rezultat suradnje preko 1000 firmi. Zadaa im je bila napraviti tehnologiju koja j e jeftina, kojom se jednostavno sluiti i koja je naravno beina. Kao i 802.11b i g, bluetooth radi u 2,4GHz ISM polju. Mada je to polje ve dovoljno zagueno i bez njeg a, njegov mali domet, od desetak metara, ne stvara velike probleme. Bluetooth ko risti FHSS ali ne na prije opisani nain. On skae preko 79 kanala 1600 puta u sekun di. Ova tehnologija i mala izlazna snaga omoguuju Bluetooth u funkcioniranje sa sk oro zanemarivom interferencijom. BT nema nikakve basnoslovne brzine. Brzina mu i de do 730Kbps. No njegova snaga je u konfiguriranju tj. u ne konfiguriranju. Dov oljno je ui u domet i poeti shareati podatke. Kada BT ureaj zatrai podatke od drugog BT ureaja, prvi postaje master. Ovo je vaan dio BT a jer master ureaj kontrolira ka ko e podatci tei. Kao to sam rekao BT koristi FHSS komunikaciju. Znai da se frekvenc ija brzo mijenja dok ureaji komuniciraju. Svaka promjena frekvencije predstavlja drugi kanal. Tako je mogue imati vie BT ureaja koji komuniciraju meusobno u malom pr ostoru. Master ureaj odluuje koje frekvencije se koriste i po kojem redu. To se po stie pomou identifikacijskog broja poznatog pod BD_ADDR (Bluetooth Device Address) . Svaki ureaj ima jedinstveni BD_ADDR pa su vrlo male vjerojatnosti da e dvije BT komunikacije dijeliti istu frequency hopping shemu. No ni tu nije kraj BT mogunos tima. BT ureaj moe posredovati prijenos i tako formirati takozvani piconet. Picone t isto koristi BD_ADDR za kontrolu prijenosa slave ureaja. Piconet primjer

Na slici se vidi da ne komuniciraju svi ureaji direktno jedan sa drugim. Oni pren ose podatke BT ureaja koji nisu u dometu mastera. Sam BT ima nekoliko zatitnih opc ija za autentifikaciju, autorizaciju i enkripciju. Prvi je PIN. To je najstandar dniji tip zatite koji ukoliko obje strane nemaju isti PIN komunikacija ne moe poeti . PIN inae nije kriptiran no ne moe ga se tako lako otkriti jer bi za to trebao do sta nepredan snifer. Snifer koji bi mogao prvo saznati BD_ADDR pa biti spreman n a skok sa frekvencije i na kraju mora nadgledati podosta frekvencija da zna na k oju e skoiti. I enkripcija se moe postii unutar BT a. Ureaji tada kombiniraju BD_ADDR, PIN i ugraeni klju u master ureaju da bi napravili enkriptiranu komunikaciju. Uz t o postoji i opcija napredne zatite pomou protokola koji se slui BT om. To moe biti i TCP/IP pa tako i SSL dolazi kao opcija. Zakljuak Ovdje sam naveo dosta wireless protokola. Svi su imali svoje prednosti, svoje ma ne i slino. No iz razloga to prua najvie za prihvatljivu cijenu, najraireniji protoko l dananjice je 802.11 sa svim svojim oblicima. Relativno se jednostavno integrira , postavlja i odrava. Napredne mogunosti daju mu veliku fleksibilnost te se tako m oe integrirati i u SOHO i u zahtjevnijim okruenjima. Daljnji razvoj (802.11i) jo e v ie, po mome miljenju, ovaj standard udomaiti na wireless tritu. Iz tih razloga ja u se nadalje baviti sigurnou wireless mrea baziranim na 802.11 protokolima.

Wireless Prijetnje Uvod Wireless mrea je kao i svaka mrea dostupna raznim vrstama napada. Neki su isti kao i na konvencionalne (iane) mree dok su neke nastale uiskljuivo za wireless. Ovdje u ukratko navesti principe i prijetnje s kojima se moemo susreti u wireless svijetu . Sniffing Snifer je program koji prati cjelokupan promet na mrei. On vrlo lako odreuje od ku da je paket doao, kome je namijenjen i to je uope u tom paketu. Uz dobro podeene fil tre moe promatrati samo odreene podatke npr. username i password, e-mail poruke, w eb stranice i slino. Neki sniferi idu ak toliko daleko da mogu rebuild -at poslane podatke u prvobitno stanje tako da osoba sa pokrenutim programom dobije na zasl onu isto ono to je i user na drugom raunalu. Mada je snifer vrlo moan alat za siste m administratore isto tako pa ak i vie koristi hackerima. On prua potpuni uvid u to pologiju mree, ip adrese, podatke poslane preko mree, passworde itd. Sniferi rade tako da NIC(network interface cards) prebacuju u takozvani promiscuous mode. Kar tica u tom modu prima sav promet preko mree bio on namijenjen njoj ili ne. Kod wi reless sustava stvar je jo kompliciranija. Potpuno je nepotrebno imati pristup pr ei kao to je to potrebno za prijanji sluaj. Signal wireless a je svugdje oko nas i sv e to trebamo je moda okrenuti antenu u dobrom smjeru i pokrenuti wireless snifere u takozvanom monitor modu. Za taj mod nije potrebno imati pristup mrei nego jedno stavno pratiti to se deava na odreenim frekvencijama. Zatita od monitor moda je nemo gua poto takva WNIC kartica uope ne komunicira sa naom mreom ali protiv promiscuous m ode a postoji u obliku programa koji mogu to detektirati. Jedan takav program je i Antisnif. No 100% sigurnost je vrlo teka pa je jedino sigurno rijeene tuneliranj e podataka. Na slici dole primjer je jednog od najpoznatijih mrenih snifera na dj elu. U njemu se moe vidjeti sve od ARP request a do samih podataka koji su proli mr eom.

Spoofing and Session Hijacking Spoofing je naziv za in lairanja informacija poslanih nekom raunalu. Uz sam naziv es to se dodaje i nain lairanja npr. MAC Spoofing i slino. Bilo kako bilo funkcija mu je uvijek ista, maskirati napadaa. Spoofing se esto izvodi uz neke druge napade, t ipa DoS ili Flood mree, za skrivanje vlastitog identiteta. No prava snaga mu se v idi u postupku zvanom Session Hijacking. Hacker se tu pretvara da je netko drugi iz razloga da dobije podatke namijenjene upravo tom nekom drugom.

Buffer Overflows Buffer Overflow je napredna hack tehnika. Ona je trenutno jedna od vodeih sigurno snih ranjivosti uope. Ono to se zapravo njome moe uraditi je pokretanje malicioznog koda na napadaevom raunalu. Uspjenim napadom, meu ostalim, moemo dobiti potpunu kont rolu tog raunala. Ovaj napad se izvodi tako da se programu koji kada se pokrene i smjesti u svoj dio RAM prostora, dodijeljen samo njemu, poalje vie podataka nego t o on moe primiti. U tom trenu memorijski prostor tih podataka prelazi u nedozvolj eno mu RAM podruje (prelijeva se). U uspjenom napadu to prelijevanje dovodi do itan ja nove instrukcije pohranjenih u memoriji i daje hackeru ono to je zamislio. Mad a je vrlo teko napraviti uspjean Buffer Overflow napad i neuspjeli moe biti opasan. Dobije li na program podatke koje nije oekivao odnosno koje jednostavno ne zna ob raditi moe se zamrznuti i sruiti. Mada je to malen problem na desktop raunalima na serverskim bi moglo predstavljati povee probleme. Uz to u nadodati da postoje goto vi programi, koje i djeca mogu pokrenuti, za izvoenje ovakvih napada. Tako da ova j napad predstavlja jo vei problem jer ga bilo tko moe izvesti.

Denial of Service Napad (DoS) Hacker moe biti opasan i uope ne ulazei u nae raunalo. On moe vrlo uspjeno ugasit nae nalo ili jednostavno ometati mu rad izvana. Najpoznatiji takav napad je takozvan i DoS ili u prijevodu uskraivanje servisa (usluge). Izvodi se najee Flood anjem ili B uffer Overflow tehnikama s ciljem ruenja sistema. Najpoznatiji DoS napadi su SYN Flooding, Smurf Attacks te System Overloads napadi. SYN napad iskoritava TCP/IP h andshaking protokol. Svako raunalo ima odreeni broj omoguen za spajanje klijenata. Ovo se moe iskoristiti tako da se sa vie raunala u isti as poalje SYN paket sa lanom p ovratnom adresom. Napadnuto raunalo odgovara na SYN sa SYN ACK i eka odgovor nazad . Taj odgovor nikada nee doi zbog lane povratne adrese. I dok on eka na odgovor dobi va novi val SYN paketa i tako u krug. Smurf Attacks iskoritava broadcast komunika ciju tako to poalje nekoliko tisua paketa sa, naravno, krivom povratnom adresom na koje e svako raunalo odgovoriti jer je to broadcast paket. Od jednom 1000 paketa p ostaje nekoliko stotina tisua paketa. I dou li ti svi paketi na neku odreenu adresu zaguenje ili pad tog raunala neizbjean je. Za ovaj napad mora se imati pristup mrei poto broadcast paketi ne mogu biti poslani preko vanjske mree. System Overloads j e napad na program pokrenut na raunalu. Ako napada pozna odreeni program i zna za n eki nug on moe vrlo brzo sruiti nae raunalo. Poznat je ovakav napad na web servere k oji su padali u roku ode sekunde zbog odreenih http zahtjeva. Ovaj se napad esto i zvodi Buffer Overflow tehnikama no tu je cilj ruenje sistema. Ovo je zato mnogo l aki napad nego puni Buffer Overflow.

Lociranje wireless mrea Ovo samo po sebi i nije napad no vrlo lako kasnije moe dovesti do napada. Da bi n etko mogao napasti wireless mreu prvo mora saznati da ta mrea uope postoji i gdje s e nalazi. Za to pronalaenje i lociranje mree postoje sada ve profesionalni i ureaji veliine privjesaka. No sve to moe se i postii dobrim starim nainima kao irom otvorene oi. Da bi netko opravdano posumnjao da je tu neka wireless mrea dovoljno je vidje ti Ap ili antene koje bi mogle sugerirati na postojanje wireless opreme. Ova slika slikana je na jednom eljeznikom kolodvoru. Ta je mrea moda javna ali moda i nije pa to moe dovesti do nepotrebnih izlaganja opasnosti. Uz ovaj nain postoje i malo sofisticiraniji naini kao skeniranje podruja alatima poput NetStumblera (dol jnja slika) ili War Driving tehnika. Od svih tehnika daleko je najjai War Driving . War Driving je spoj obinog skeniranja podruja s recimo NetStumblerom i prijevozn og sredstva. S tom tehnikom se moe skenirati podruje cijelog grada u vrlo kratkom roku. Napredni War Driver i danas ve koriste i GPS pa se tako pronaeni rezultati au tomatski ucrtavaju u kartu. Mnogi rezultati uploadaju se na Internet pa je i raz mjena podataka vrlo lako izvediva. Ove tehnike potpuno su legalne i ne moemo ih n ikome zabranit no postoji rjeenje koje radi s alatima poput NetStumblera. Iskljuiv anje Beacon signala na naem AP u Stumbler nas nee otkriti a nai e se korisnici i dalj e moi spajati. Ovo je dobro rjeenje za odreene vrste alata koji rade na otkrivanju AP a pomou beacon frameova no postoje i alati koji pasivno prislukuju frekvencijski spektar i protiv njih ovo ne bi radilo.

802.11 Wireless Security Metode Uvod Nakon svih tih nabrojanih prijetnji i hacking metoda dolo je i vrijeme za zatitne metode i protokole. Ovdje u ukratko opisati pozadinu svega toga, njihove prednost i i mane i slino. Poznavanje ovih metoda uvelike nam pomae u kvalitetnom osiguranj e wireless mree. Kriptografija Prije nego ponem o samim metodama neto o Kriptografiji. Kriptografija je nauka o a lgoritmima za enkripciju i dekripciju. Algoritam predstavlja set instrukcija koj e treba napraviti da se doe do neega. On znai ima svoj poetak i svoj kraj. Ekripcija je jednostavno dovoenje poruke u nerazumno stanje. Suprotno tome je dekripcija. Postoje dvije glavne vrste enkripcije, simetrina i asimetrina. Svaka ima prednosti i mane te se stoga koriste na odreenim podrujima. Simetrina enkripcija U njoj su enkripcija i dekripcija obavljene koristei isti klju. One su puno bre od asimetrinih ali ovise o tome koliko je password dobro skriven. Mada i o tome ovis e i jedna i druga tu je to puno vie izraeno. Jednom pronaeni password omoguuje dekri pciju bilo koje sljedee enkriptirane rijei. Asimetrina enkripcija Ova je vrsta enkripcije puno kompleksnija, sigurnije no i puno sporija. Temelji se na dva kljua, takozvane privatni i javni kljueve. Privatni je poznat samo nama i njegovo kompromitiranje predstavlja potpun gubitak sigurnosti. Nemogue ga je ob noviti ako se izgubi jer jednostavno nitko ne zna za taj klju osim vas. Javni klj u se dobije iz privatnoga s time da je obrnuti postupak nemogu. Ovaj klju nam slui d a bi ga javno objavili. Dakle svi ga mogu vidjeti i on ne predstavlja nikakvu ta jnu. Jednom enkriptirana poruka naim javnim kljuem moe se dekriptirati jedino naim p rivatnim kljuem i tu je snaga ovakve enkripcije. Zakljuak elimo li osigurati nae podatke tako da ih nitko ne moe itati enkripcija je jedini pr avi izbor. Ovo se oituje upravo u wireless sustavima. Dok je za iane mree trebalo ka ko tako fiziki doi do mree, u wirelessu se deava upravo obrnuto. Mrea je tu, doslovce dola u stan potencijalnog napadaa. Pokretanje snifera je postupak od nekoliko sek undi i u tom trenu nai podatci postaju vidljivi bilo kome.

RC4 RC4 je trenutno temelj wireless zatita. To e i ostati dok AES ne ue u iroku primjenu . Bilo kako bilo to je vrlo jak algoritam i sa trenutnom tehnologijom bi trebale godine da se probije kriptirana poruka. Ono to je glavna prednost RC4 je velika brzina za relativno veliku sigurnost. RC4 algoritam razvio je Ron Rivest 1987. g odine za RSA Data Security, Inc. Algoritam je bio tajan sve do 1994. godine kada je izvorni kod algoritma anonimno objavljen na Internetu.

RC4 je simetrini znakovni (engl. stream) algoritam svaka rije kriptira i dekriptir a se zasebno. Najee se koristi rije duine jedan bajt. Klju koji se pri tome koristi mo biti duine do 256 bajtova. Algoritam generira niz pseudosluajnih brojeva proizvol jne duljine (slika 1). XOR mijeanjem tog niza s podacima dobiva se kriptirani niz . Na prijemnoj strani generira se isti niz pseudosluajnih brojeva (prijemna stran a koristi isti klju) i XOR mijea sa kriptiranim nizom. Zbog svojstva (p XOR z) XOR z = p prijemna strana nakon toga dobiva izvorne podatke (slika 2).

Generiranje niza izvodi se u dva koraka. Prvi korak (engl. KSA Key Scheduling Al gorithm) inicijalizira S-kutiju. U drugom koraku (engl. PRGA Pseudo Random Gener ation Algorithm) koritenjem inicijalizirane S-kutije generira se niz pseudosluajni h brojeva. Inicijalizacija S-kutije je parametrizirana kljuem enkripcije prema sl ijedeem algoritmu: KSA(K): Inicijalizacija: for i = 0 ... N-1 S[i] = i j=0 Mijeanje: for i = 0 ... N -1 j = j + S[i] + K[i mod l] zamijeni(S[i], S[j]) U prvom dijelu KSA algoritma S-kutija (koji predstavlja permutaciju niza 0 ... N -1) se postavlja u poetno stanje identitet. S-kutija preslikava svaki broj u samo ga sebe. U drugom dijelu KSA algoritma koritenjem dva brojaa (i,j) obavlja se mijea nje. Broja i se pomie linearno, dok se j mijenja pseudosluajno (zbog S[i]) i ovisno o kljuu (zbog K[i mod l]). U svakom koraku zamjenjuju se elementi S-kutije na ko je pokazuju brojai. Vano je napomenuti da se sve operacije zbrajanja obavljaju mod ulo N. Ovako inicijalizirana S-kutija koristi se za generiranje pseudosluajnog ni za u PRGA algoritmu: PRGA(S): Inicijalizacija: i=0 j=0 Generiranje pseudosluajnog niza: i=i+1 j = j + S[i] zamijeni(S[i], S[j]) generiraj z = S[S[i] + S[j]] Prvi dio PRGA algoritma inicijalizira brojae na nulu. S-kutija je inicijalizirana u prethodnom koraku (KSA). Nakon toga brojai se poveavaju: i linearno, j pseudosl uajno. Vrijednosti u S-kutiji na koje pokazuju se zamjenjuju i generira se jedna rije pseudosluajnog niza (z). Tijekom generiranja pseudosluajnog niza S-kutija se z bog zamjene elemenata i dalje polako mijenja. Brojai i i j, te S-kutija predstavl jaju stanje algoritma. Razliitih stanja ima N!N2 (broj razliitih permutacija S-kut ije * broj razliitih vrijednost brojaa i * broj razliitih vrijednosti brojaa j). Za n=8 (tj. N=256) postoji oko 21700 razliitih stanja. Zbog toga je otkrivanje stanj a algoritma koritenjem grube sile neisplativo.

WEP Logino je da su wireless prijenosi dostupni kako nama tako i nekome drugome. irenj e wireless signala vrlo je teko ograniiti na neko maleno podruje, pogotovo pri veim udaljenostima. Upravo radi ovih razloga je 802.11 od samih poetaka ukljuivao jednu vrstu zatite, tonije reeno ukljuivao je wep zatitu. Wep (Wired Equivalent Privacy) d efinira set instrukcija i pravila po kojima beini podatci mogu putovati zrakom na siguran nain. Kada se tek pojavio vjerovalo se da e wep pruati dosta veliku sigurno st naspram hackera. No sa rastom popularnosti wireless mrea one su se poele korist iti unutra sveuilita. Tada su poeli glavni problemi. Walker 2000 (Walker, J. 2000. Unsafe at any key size; an analysis of the WEP encapsulation. IEEE 802.11-00/362 ), Arbaugh 2001 (Arbaugh, W. A., N. Shankar, and J. Wan. 2001. Your 802.11 netwo rk has no clothes. In Proceedings of the First IEEE International Conference on Wireless LANs and Home Networks), Borisov 2001 (Borisov, N, I. Goldberg, and D. Wagner. 2001. Intercepting mobile communications: the insecurity of 802.11. In P roceedings of the Seventh Annual International Conference on Mobile Computing an d Networking) su pokazali da je wep potpuno podbacio. Pri stvaranju wepa zbog br zine integracije vrlo je malo kriptografskih strunjaka sudjelovalo u njegovom stv aranju odnosno odobrenju. Upravo u tome mnogi vide razlog da wep ima tako ogromn e propuste.

O WEP algoritmu WEP kao osnovu koristi RC4 algoritam. Klju kojim se inicijalizira RC4 algoritam s astoji se od dva dijela: inicijalizacijskog vektora (engl. IV Initialization Vec tor) i tajnog kljua (slika 3). Tajni klju (esto nazivan WEP klju) poznat je svim ovl atenim korisnicima mree i jednak je za sve korisnike. Distribucija tajnog kljua nij e definirana standardom i najee se obavlja runo2. Inicijalizacijski vektor obino je ra liit za svaki okvir, dok je tajni klju stalan. Posljedica toga je da za okvire sa razliitim IV-om RC4 generira razliite nizove pseudosluajnih brojeva. IV je duine 3 b ajta te se nakon nekog vremena nuno mora dogoditi ponavljanje. Da bi prijemna str ana mogla dekriptirati sadraj okvira, IV se alje nekriptiran u zaglavlju okvira. R adi zatite okvira od izmjena, za sadraj okvira rauna se CRC32 suma (engl. ICV Integ rity Check Value) i kriptira zajedno sa podacima. Prijemna strana nakon dekripti ranja rauna ICV za sadraj okvira i usporeuje ga sa ICV-om dobivenim nakon dekripcij e okvira (slika 4).

Zaglavlje okvira sadri i identifikator koritenog tajnog kljua. Identifikator je duin e 2 bita pa je mogue istovremeno koristiti 4 razliita tajna kljua. Ukoliko se u mrei koristi vie kljueva bitno je da na svim ureajima isti tajni kljuevi budu pridrueni i stim identifikatorima. Ako, na primjer, ureaj A kriptira okvir tajnim kljuem s ide ntifikatorom 2, tada ureaj B mora imati isti klju pridruen identifikatoru 2 da bi m ogao ispravno dekriptirati sadraj okvira. Prema tome, identifikatori tajnog kljua predstavljaju indekse polja tajnih kljueva. Standard 802.11 opisuje i koritenje ra zliitih WEP kljueva za razliite MAC adrese. Ta mogunost obino nije dostupna preko uob iajenog Web suelja pristupne toke (eventualno samo preko SNMP-a), pa se rijetko kor isti. WEP kljuevi mogu biti dugi 40 bita (dodavanjem IV-a dobiva se 64 bitni RC4 klju) ili 104 bita (128 bitni RC4 klju).

802.1X Uvod 802.1X koncept je zapravo vrlo jednostavan. Njegova je zadaa da implementira acce ss kontrolu u toki u kojoj korisnik pristupa mrei. Ta toka se esto naziva i port. Ia ko je ovaj standard nastao nakon 802.11 standarda, naao je iroku primjenu unutar n aprednijih wireless sustava. Ubudue 802.11i e jo vie doprinijeti rairenosti ovog stan darda u wireless svijetu.

O IEEE 802.1X IEEE 802.1X standard, Port Based Network Access Control, definira mehanizme za p ortno orijentiranu kontrolu mrenom pristupu te koritenje fizikog pristupa karakteri stikama IEEE 802 LAN infrastrukture. On omoguava sredstva za autentifikaciju i au torizaciju ureaja spojenih na LAN port koji ima karakteristike point-to-point vez e. On takoer onemoguava pristup u sluaju u kojem autentifikacija i autorizacija nis u uspjeno provedene. Ovaj standard je prvotno razvijen za oiene ethernet mree, ali j e kasnije prilagoen za koritenje na 802.11 beinim mreama (WLAN). Ovo ukljuuje mogunost da pristupna toka WLAN-a distribuira ili dobije global key information za/od prik ljuenih stanica pomou EAPOLporuke s kljuem. IEEE 802.1X definira sljedee pojmove: En titet za portni pristup ( Port access entity ) Autentifikator Pristupnik ( Suppl icant ) Autentifikacijski server 1.1. Entitet za portni pristup Port access enti tiy (PAE), takoer znan i kao LAN port, je logiki entitet koji podrava IEEE 802.1X p rotokol koji je pridruen portu. LAN port moe preuzeti ulogu autentifikatora, prist upnika ili oboje. Svaki od portova komunicira jedan na jedan sa portom na stanic i. 1.2. Autentifikator Autentifikator je LAN port koji prisiljava na izvoenje aut entifikacije prije doputanja pristupa uslugama kojima se pristupa preko porta. Au tentifikator je odgovoran za komunikaciju sa pristupnikom te za prosljeivanje inf ormacija dobivenih od pristupnika odgovarajuem autentifikacijskom serveru. Ovo om oguava verifikaciju pristupnikovih prava te odreivanje stanja porta. Vano je primij etiti da funkcionalnost autentifikatora ne ovisi o autentifikacijskoj metodi. On funkcionira kao prolaz za izmjenu autentifikacija. Za beine mree, autentifikator j e logiki LAN port na beinoj pristupnoj toki (access point - AP) kroz koju klijenti s a beinim pristupom djeluju za dobivanje pristupa oienoj mrei. 1.3. Pristupnik Pristup nik je LAN port koji zahtjeva pristup uslugama kojima se pristupa preko autentif ikatora. Pristupnik je odgovoran za odgovaranje na zahtjeve autentifikatora koji ma trai informacije za potvrivanje autentinosti Kod beinih mrea pristupnik je logiki L N port na beinom mrenom adapteru koji zahtjeva pristup mrei. To radi prvo povezivanj em a autetifikatorom, a zatim i autentifikacijom.

Bez obzira koristimo li oiene ili beine mree, pristupnik i autentifikator su logiki il i fiziki spojeni kao point-to-point LAN segment. 1.4. Autentifikacijski server Da bi potvrdili autentinost pristupnika, autentifikator koristi autentifikacijski s erver. Autentifikacijski server provjerava pristupnikova prava na pristup i odgo vara autentifikatoru. Autentifikacijski server moe biti: komponenta pristupne toke (Access Point - AP). AP mora biti konfiguriran setom korisnikovih kredibiliteta koji odgovaraju klijentima koji se pokuavaju spojiti na mreu. Tipino, ovo se ne im plementira kod beinih AP. posebni entitet. AP proslje_uje kredibilitet od pokuaja p ristupa posebnom autentifikacjskom serveru. Tipi_no, bei_ni AP koristi Remote Aut hentication Dial-In User Server (RADIUS) protokol za slanje parametara pokuaja pr istupa RADIUS-u. Kako radi IEEE 802.1X Princip rada 802.1X esto se usporeuje sa preklopnikom (en. Switch). Kada se netko spoji sklopka je otvorena (Slika 5) i on ne moe ui u mreu. Da pristupi mrei on mora traiti odobrenje. Ako ga dobije onda moe ui u mreu. Oito je da ako nema pristup mrei on ne moe nikoga ni pitati za taj pristup. Tu dola zi takozvani Authenticator. On je zapravo posrednik izmeu user a (Supplicant) i nae g centralnog mjesta koje zna kome je ulaz doputen, takozvanog Authentication serv er a.

Na slici 6 No zapravo ijske baze rvo stupit

moemo pomisliti da zapravo Authenticator odluuje o tome tko e ui ili ne. stvari su drugaije. Uglavnom se o tome odluuje posredstvom autentifikac kontrolirane od strane administratora. Zbog toga Authenticator mora p u kontakt sa Authentication Serverom i on mu onda kae da ili ne.

Posljednje slike (Slika 7 i 8) prikazuju punu komunikaciju kako bi to izgledalo u stvarnom svijetu. Mada to ne mora uvijek izgledati tako, u veini sluajeva ovo vr ijedi. U slici 8 spominje se PAE to nije nita drugo nego skraenica od port access e ntity odnosno puno ime porta.

Nove Wireless Security Metode Uvod Sljedei protokoli i enkripcije su vrlo novi na wireless prostorima. Neki se jo raz vijaju neki su ve i uli u iroku potronju no svi se oni jo moraju pokazati u stvarnom svijetu. Ja se neu toliko u detalje bavit njima iz razloga to to ve polako izlazi i z granica mog seminara. Tako da je ovdje kratak uvod u njih. IEEE 802.11i Sljedea generacija wireless sigurnosti trebala bi biti definirana unutar ovog sta ndarda. On jo uvijek nije dovren ali neke osnove se ve poznaju. 802.11i definira no vu vrstu wireless mree nazvanu RSN (robust security network). U neki pogledima to je obina "wep" mrea no da bi postala RSN mora zadovoljavati odreena zahtjeve. U ist om RSN u acess point e doputati spajanje samo RSN ureaja. No mnogi e ljudi, vrlo vjer ojatno, htjeti upgrade ati svoje ureaje kroz neko vrijeme pa 802.11i definira i TS N (translation security network) u kojoj mogu i RSN i WEP sistemi raditi paralel no. Trenutno ne postoje RSN na tritu zbog toga to 802.11i jo ne postoji u cijelosti. Dok se sve to promijeni proi e moda jo dosta vremena, a do tada to? Ipak je netko mi slio i na to i proizveo WPA. WPA (Wireless Protected Access) se moe implementirat i unutar trenutne mree kao firmware nadogradnja, a puno su sigurnije nego wep. WPA Kada su se uoile greke wep a Wi-Fi grupa je htjela to prije izbaciti zamjenu za njeg a. No nije bila samo zamjena bitna nego i to da malo tko je spreman odbaciti cje lokupni hardware koji je kupio tek nedavno Radi toga su trebali nai rjeenje koje s e moe implementirati u postojeu infrastrukturu. To je dovelo TKIP (Temporal Key In tegrity Protocol). Ovaj je protokol e biti podran i unutar 802.11i ali trite nije mo glo ekati toliko pa je Wi-Fi alliance odobrila ovaj podsustav RSN a nazvan WPA. RS N i WPA imaju isti pristup i arhitekturu. RSN je naravno napredniji pa e podravati i AES algoritam uz TKIP. TKIP je raen tako da se integrira unutar wep sustava, a AES je graen od poetka bez ikakvih ogranienja i veza na starije sustave. To ga ini i jaim. TKIP uzima sve stare dijelove wep -a i mijenja ih tako da postaju za sada dosta sigurni od napada. S time se postiglo to da se na ve postojee sustave samo nadogradi wpa i bez prevelike strke prieka dovretak 802.11i standarda.

TKIP Temporal Key Integrity Protocol (TKIP) je jedna od najnovijih security metoda po nuenih od, danas, veine proizvoaa wireless opreme. Napravljen je iz razloga da ispra vi wep propuste i to je, za sada se ini, odradio je vrlo dobro. Razvijali su ga, meu ostalima, upravo oni koji su i nali probleme u wep u to bi ga trebalo initi i jo j aim. Ovaj protokol i dalje koristi RC4 kao enkripcijski algoritam, ali on uklanja problem oko wep kljua tako to svakih 10000 paketa taj klju promijeni. U TKIP u IV s e poveava 32 bita te se ovaj put vodilo i rauna o takozvanim weak keys tako sa se prvih 8 bitova odbacuje. TKIP takoer rjeava problem oko vjerodostojnosti poruke ta ko to ukljuuje Message Integrity Check koji onemoguuje napadaevo mijenjanje poruke. Mada je zapravo ovo puno napredniji sustav od wep a on je i dalje samo nadogradnj a na wep. Pa se tako, u veini sluajeva, nudi kao jednostavno skidanje novih firmwa re a za nae ureaje. AES Advanced Encryption Standard je nova enkripcijska metoda odabrana od U.S. Goverm ent a da zamjeni DES kao njihov standard. Ovaj je algoritam vrlo jak i vjerojatno e biti temelj 802.11i standarda. Mada jo nije prihvaen od ire strane WLAN proizvoaa n eki ga ve ugrauju u svoje ureaje. AES zapravo za kodiranje koristi algoritam poznat pod imenom Rijndael. Izumili su ga Joan Deamen i Vincent Rijmen, te on ulazi u AES pobijedivi pri odabiru RSA, IBM te jo nekolicinu ponuaa. To natjecanje je organi ziralo National Institute of Standards and Technology radei to za dobro nam znanu NSA (National Security Agency). Snaga AES a se jo mora pokazati ali vjeruje se da e ovo postati standard za enkripciju i tako ostati podosta godina. Tehnologija k oja je probila DES, AES bi probijala ni manje ni vie nego 149 triliona godina. Is tina je da je DES probijen prije dosta godina no i dalje ova brojka puno govori. Ali kao i svaka enkripcija AES e se probiti jednom, u to ne treba sumnjati, no n itko u ovom trenu ne vjeruje da bi se to moglo desiti u tako skoro vrijeme. Glav na mana AES a je to da je puno kompliciraniji od primjerice RC4. To za sobom povl ai potrebu za veom procesorskom snagom. Za primjer navesti u to da bi se RC4 napisa o u prosjeku potrebno je oko 50 linija koda, dok je to god AES a 350. Ovo pokazuj e da je AES u potrebno vie hardware skih resursa no nita previe da ga dananja tehnika ne moe podrati.

Osiguranje wireless mreze Uvod Osiguranje wireless mree se moe podijeliti u dvije kategorije. Access Point securi ty metode i Third Party Security metode. AP metode predstavljaju prvu stepenicu ka cilju. AP se mora podesiti tako da slui kao prva crta obrane a ne kao izvor pr oblema. Third Party metode predstavljaju nastavak poto su one kompleksnije i puno naprednije naspram AP metoda.

AP Based Security Methods WEP Mada sam prije naveo wep kao veliki promaaj netko se moe pitati emu onda to no wep ima jednu veliku prednost. On je moda neuinkovit protiv nekoga upornog, s odreenom ciljem i znanjem no za sluajne, pass by, napade je vrlo uinkovit. Mnogi koji ele sa mo pronjukati po diskovima i serverima vrlo e brzo odustati od mree zatienom Wep om. I li jer nemaju znanja za probiti wep ili im se jednostavno ne da trudit. Mada je osoba moda dola iz iste znatielje ta znatielja moe dovesti do pokretanja sniffera i kr ae vrlo vanih informacija. Ako im je do iste etnje odabrati e neku drugu mreu bez zati e koristei ve spomenuti NetStumbler. Drugim rijeima ako omoguimo wep koji je potpuno nepovjerljiv eliminirati emo 99% prijetnji. Wep je zapravo vrlo slian blokadi vol ana u autu. Lopov koji doe onako u prolazu do vaeg auta primijeti li da va auto ima zatitu ukrasti e onaj do vas bez zatite. No ako lopov ima razlog iz kojeg oe ba va au to, blokadu volana skoro da nee ni primijetiti. NetStumbler i popis mreza

WEP postavke AP -a

MAC Filtriranje Svaki ureaj na mrei, po defaultu, ima jedinstvenu adresu koja koristi da bi se raz likovao jedan NIC od drugoga. Ta adresa se zove MAC (media access control ) adre sa. Po toj teoriji da svaki NIC ima svoj jedinstveni broj koji mu je dodijelio p roizvoa, na AP se moe postaviti da proputa odreenu listu MAC ova. Naravno ovo su prepo znali proizvoai wireless opreme i ugradili to u svoje ureaje. Kao to se dole na slic i vidi tu nema puno filozofije, ili si na listi ili nisi. Ako jesi ovisno o post avkama biti e ti doputen ili odbijen pristup mrei. Da bi ovo sve funkcioniralo admi nistrator mora imati listu MAC ova to i nije neki problem jer MAC adresa nije tajn a. Veina Windows OS a to pokazuje naredbom ipconfig, a i linux nije nita drugaiji. Z nai kada se skupi lista svih MAC ova moemo ukljuiti filtriranje.MAC filtirranje na D -Linku Ovaj postavke sa slike odbiti e sve MAC adrese osim onih koji se nalaze na listi. Pokua li neko ui sa nedozvoljenim MAC om to emo vidjeti u Log u. Deny Log file

No teorija i praksa su uvijek bile dosta razliite pa tako i ovdje nije sve bajno. Sve bi bilo super da ne postoji jedna sitnica, a to je da se MAC adrese mogu mi jenjati. Nekada su MAC adrese bile dodijeljene hardwareskim postavkama jumpera, no danas se veinom pohranjuju u flash memorijama i mogu se mijenjati ak i proizvoaev im softwareima. Dell TrueMobile MAC kartica

Uz to neki OS ovi spremaju te informacije u njihove sistemske datoteke koje se mo gu promijeniti, a tako i na laki nain doi do eljenog rezultata, neovlatenog ulaz u mr eu. Zato je to tako? Iz razloga to mijenjanje MAC ova moe pomoi administratoru u rjeav nju nekih problema. No po meni to je puno rjee nego spoofanje MAC ova za ulaz u mr ee. To nas opet vraa na ono ako netko oe ui, ui e ali velika veina okrenuti e se i pr a neku drugu mreu.

Zatita Kontrolom Radijacijske Zone Dok je wireless mreau funkciji ona odailje RF (radi frequency) signale. Oni su nos ioci podataka izmeu AP a i ostalih WNIC a. Bila to ad-hock mrea ili mrea PDA ureaja i dalje sve je to RF signal. Kada god mi neto odailjemo uvijek je pitanje koliki je domet. Zbog prepreka svih moguih vrsta pa ak i zraka smanjuje se domet WiFi ureaja. Ono to je zanimljivo je to da radijacijsko polje moe biti dosta veliko zavisno od samih ureaja i antene koje se koriste. Mada potporni zidovi, metalne povrine, ele ktrine instalacije umanjuju domet on je u veini sluajeva vei nego to dokumentacija kae . Ako je nekoga ikada zanimao domet beinog telefona pa se udaljavao dok ne ostane bez signala vrlo je vjerojatno da je doao do istoga zakljuka kao i ja. Kod mene je izdrao skoro 2 puta vie. Pri tome high gain antena moe poveati domet na nekoliko de setaka kilometara pa mi moemo traiti, kroz prozor, do mile volje nekoga tko nam je sruio server. tovie signal se u gradskom okruenju moe toliko izodbijati na sve stran e pa je mogue da nam je zapravo uljez iza lea. Curenje W-lana zbog pozicije AP na strani zgrade No na sreu za ovo postoji rjeenje. Prvo i najjednostavnije je odrediti poziciju AP -a. Ako je AP u kutu sobe puno e vie signala "iscuriti" izvan nego to bi to bio slua j da je u centru sobe. Ako se treba postaviti vie AP a trebamo paziti da su to blie centru zgrade, a ne uz vanjski zid ili jo gore uz prozor.

Ispravljena pozicija AP -a U ovom primjeru vidi se da pozicija AP a moe znaiti jako puno u velikim zgradama. M ada su krunice i dalje izvan zgrade, najua i najjaa je unutar kue to je velika predno st. S ovim smo dobili bolji signal u samoj kui i oduzeli dobar signal moguem uljez u. Ovo nije jednini nain kontrole odaslanog signala. Veina proizvoaa ukljuuju opciju kontrole izlazne snage. Neki ak daju opciju ukljuivanja i iskljuivanja signala sa l ijeve ili desne strane. To je vrlo korisno kod eliminiranja i restrikcije nepotr ebnog signala. Primjer Linksys rjeenja za lijevu i desnu antenu te D-Link ov za ko ntrolu izlazne snage. S ovim antena managment tehnikama moemo dakle kontrolirati domet naeg wlana. U vis okim zgradama ovo moe biti vrlo vano zbog interferencije i "glasnih" susjeda. S ti me da iskljuimo jednu antenu, smanjimo snagu ili promijenimo njezinu poziciju moem o vrlo dobro stisnuti signal unutar potrebnih nam dimenzija.

Third Party Security Zatita pomou DMZ a DMZ ili Demilitarized Zone je zapravo koncept a ne konkretni proizvod (rjeenje). DMZ predstavlja nain organizacije raunala (servera) koji mogu predstavljati rizik za mreu. To doputa bilo kojem Internet korisniku da pristupi tom serveru no desi l i se da server doe pod neovlatene ruke to se raunalo nee moi koristiti za pristup ost atku mree. Mada je logino da e sam server biti pod firewall om taj firewall mora ign orirati dosta prometa jer, server slui da bi mu se pristupilo. To ga naravno ini r anjivim. Da bi se ograniilo pristupanje servera mrei firewall hardware (software) konfigurira se tako da ima posebne portove samo za DMZ. Veinom to izgleda tako da postoje 3 porta. Za Internet, za LAN i za DMZ. U te portove tada idu switchevi i u njih raunala koliko elimo. Tako mi moemo i na AP staviti tu u DMZ to rjeava proble m ulaska u mreu iza firewall-a no wireless korisnici (klijent raunala) tu ostaju k ratkih rukava. Ovo se ne odnosi na njih poto su i oni i potencijalni uljez stavlj eni u isti ko pa oni ostaju bez zatite DMZ a. Primjer DMZ -a

VPN (Virtual Private Network) Kad priamo o firewall -u treba spomenuti i VPN. VPN je virtualna, kriptirana mrea koja je podignuta na postojeu mreu. Ovaj sistem je poznat pod tunneling, jer je kr iptirani data tok poslan preko obine mree tj unutar kriptiranog tunela. VPN produl juje sigurnu lokalnu mreu do korisnika izvan nje. Pa tako wireless korisnik moe bi ti unutar wireless mree ali ga VPN spaja na siguran nain u internu mreu. Na slici uz VPN se vidi i firewall. On je tu zato to ta dva proizvode esto dolaze zajedno. Uljez moda ne vidi to mi aljemo ali ga to ne sprjeava da skenira mreu i vidi potencijalne ulaze, pa na kraju i da napadne mreu. Zato nam je i dalje firewall potreban. Paralelno s time mi na firewall u moemo zabraniti sve to eli proi a nije na VPN. Kao to sam prije rekao wep enkripcija nije nikakva velika zatita. Nakon to net ko probije wep on moe jednostavno vidjeti sve to putuje mreom. Tu spadaju i passwor d i, e-mail, dokumenti itd. No ukljuimo li VPN na sam wep stvari se podosta mijenj aju. Da bi sada netko "proitao" nau mreu mora probiti dva sloja. Prvo wep pa zatim VPN. VPN enkripcija je robusna enkripcija i nije ju lako probiti, dapae vrlo se t eko probijaju. E sada kada god negdje uloimo vie resursa negdje smo ih oduzeli. Ova j put to je u bandwidth -u. Kada bi ukljuili wep enkripciju nad VPN om bandwidth b i na pao za otprilike 70-80%. to znai da za neto to nam je prije trebalo 2 min sada nam treba 10 ak min. To su ogromne razlike za mree sa veim prometima pa ovo postaje vrlo upitno rijeene za takve sustave.

Literatura Jahanzeb Khan, Anis Khwaja: Building Secure Wireless Networks with 802.11 Planet3 Wireless: Certified Wireless Network Administrator OReilly - Building Wi reless Community Networks Online Literatura: http://www.oreillynet.com/wireless/ http://wifinetnews.com/ http://www.wirelesswarrior.org/index.php http://www.arrl.org/tis/info/antheory.html http://www.cisc o.com/univercd/cc/td/doc/product/wireless/airo_350/350cards/msdos/instlcfg/ dosa ppb.htm http://www.hyperlinktech.com/web/hg2419g.html http://www.hyperlinktech.c om/web/hg2415y.html http://www.netgear.com/product_view.asp?xrp=11&yrp=30&zrp=92 http://www.linksys.com/products/product.asp?grid=22&prid=157 http://www.signull .com http://athome.compaq.com/showroom/static/iPaq/3765.asp http://www.jneuhaus. com/fccindex/spectrum.html http://www.howstuffworks.com/radio-spectrum1.htm http ://www.howstuffworks.com/radio1.htm http://www.80211-planet.com/tutorials/articl e/0,4000,10724_953511,00.html http://documents.iss.net/whitepapers/wireless_LAN_ security.pdf