VISOKA ŠKOLA STRUKOVNIH STUDIJA ZA INFORMACIONE I KOMUNIKACIONE TEHNOLOGIJE

SEMINARSKI RAD
Predmet: Jebi ga
Tema: BEZBEDNOST BEŽIČNIH MREŽA

Mentor: Student:
dr Zoran Zajić Nikola Kovinić, 2034/17

Beograd, februar 2018. godine

 Sadržaj
1 Uvod3

2 Bežične mreže4

3 Vrste napada5

4 Vrste zaštite bežičnih mreža8

5 Primeri10

6 Zaključak12

7 Literatura13

Slike
No table of figures entries found.

2
 1 Uvod
Računarske mreže su danas širok pojam. Bežične mreže su samo jedan deo koji se koristi sve
više. Bežične mreže se danas koriste na javnim mestima kao što su kafići, autobuske stanice,
aerodromi, železničke stanice, biblioteke, javne ustanove.
Postavlja se pitanje koliko je bezbedno koristiti bežične mreže? Da li je bezbedno dok smo u
kafiću prebacivati neku sumu novca preko mobilne aplikacije dok koristimo bežičnu mrežu kafića. Ili
da li je bezbedno da se prijavljujemo na naše omiljene društvene mreže, proveravamo elektronsku
poštu ili da koristimo servise.
Koliko je naša kućna mreža bezbedna? Šta nam je potrebno od bezbednosti za kućne i lične
uslove? Naravno sve zavisi od potreba korisnika i mogućnosti uređaja koje koristimo u našoj kućnoj
mreži.
Na sva ova pitanja pokušaću da pružim odgovor u ovom radu. U poglavlju “Bežične mreže“
predstaviću vam najkorišćenije vrste bežičnih mreža i standarde koji se koriste u njima. U poglavlju
„Vrste napada“ ću izložiti koje napade mogu koristiti napadači na mreže naše kompanije i naše lične
mreže, kao i uređaje koje koristimo. U poglavlju „Vrste zaštite bežičnih mreža“ navešću najčešće
upotrebljavane zaštite bežičnih mreža. U poglavlju „Primeri“ ću prikazati nekoliko primera
neovlašćenog pristupa bežičnoj mreži.

3
 2 Bežične mreže
Wi-Fi, Wireless-Fidelity (IEEE 802.11) je bežična mreža gde se podaci između dva ili više
računara prenose pomoću radio frekvencija (RF) i odgovarajućih antena.
Razlika u odnosu na povezivanje putem kabla je da kabl povezuje uređaj neposredno sa
ruterom i samim tim ograničava protok na vrlo specifičan prostor - samo kroz kabl. Bežična mreža,
sa druge strane, emituje signal koji pokriva manji ili veći prostor, prostor koji često nije ograničen
zidovima, stepenicama, spratovima i sličnim. Zbog toga se upotreba bežične konekcije mora svesno
ograničiti ili kontrolisati, inače može biti zloupotrebljena.
Standardi u bežičnim mrežama:
802.11a standard ima teoretsku brzinu od 54 Mbps, ali najčešće ona iznosi oko 30 Mbps. Ovaj
standard je skuplji jer bežične kartice zasnovane na a standardu rade na višim frekvencijama (5GHz,
za razliku od 2.4 GHz koje se koriste kod b i g standarda)
802.11b standard predstavljen 1999. u isto vreme kada i 802.11. U ovakvim mrežama brzina
protoka podataka je do 11 Mbps, ali uz velike prepreke i smetnje brzina može spasti na malih 1 do
2 megabita/s. Ovo je ujedno i najjeftinija varijanta bežične mreže.
802.11g je predstavljen 2003. godine i objedinio je prethodna dva standarda. Radi na 2.4 GHz,
ali ima skoro istu brzinu kao i 802.11a standard.
802.11n je predstavljen sredinom 2007. godine. Prema očekivanjima standard bi trebao raditi
na 2.4 GHz, sa dosta povećanom najvišom brzinom koja iznosi do 540 Mbps.
Bežične mreže rade uz pomoć veoma jednostavne radio tehnologije, jedina razlika je to što se
radio signali pretvaraju u nule i jedinice. Sva radio tehnologija se nalazi u bežičnim karticama koje
ugrađujemo u računar i to je praktično sve što treba za bežično umrežavanje. Zbog toga se bežično
umrežavanje smatra jednim od najjednostavnijih umrežavanja koje se nalaze trenutno u ponudi, a
dodatni razlog je što uklanja potrebu za kablovima i ostalim mrežnim uređajima.

4
 3 Vrste napada
Bezbednost bežičnih mreža je prevencija od pristupa neautorizovanih korisnika zaštićenoj
mreži. Ali kao i u svim tipovima mreža postoje slabosti koje se mogu iskoristiti i „upasti“ na mrežu.
Neki od načina za neovlašćeno korišćenje mreža su:
 Accidental association
 Malicious association
 Ad hoc networks
 Identity theft (MAC spoofing)
 Man-in-the-middle attacks
 Denial of service
 Network injection
 Caffe Latte attack
Slučajno udruživanje (Accidental association) - kada korisnik uključi računar i poveže se na
bežičnu pristupnu tačku (AP) iz preklapajuće susedne mreže druge kompanije, korisnik možda ne
zna ni da se to dogodilo. Međutim, to je kršenje bezbednosti u informacijama o vlasništvu kompanije
koje su izložene, jer sada postoji veza sa jedne kompanije na drugu.
Zlonamerno udruživanje (Malicious association) - je kada napadači mogu aktivirati svoje
bežične uređaje za povezivanje na mrežu kompanije preko svog laptopa umesto pristupne tačke
kompanije (AP). Ovi tipovi prenosnih računara poznati su kao „meke“ pristupne tačke i kreirani su
kad napadač pokreće neki softver koji čini da njegova bežična mrežna kartica izgleda kao legitimna
pristupna tačka. Kada napadač dobije pristup, on može ukrasti lozinke, pokrenuti napade na žičnu
mrežu ili neki drugi napad. Budući da bežične mreže funkcionišu na nivou 2 (OSI modela),
bezbednost na nivou 3 kao što su mrežna autentifikacija i virtuelne privatne mreže (VPN) ne pružaju
nikakvu prepreku. U ovom napadu napadač pokušava da preuzme klijentski računar na nivou 2.
Ad hoc networks - Ad hoc mreže su definisane kao P2P1 mreže između bežičnih računara koji
nemaju pristupnu tačku između njih. Iako ove vrste mreža obično imaju malo zaštite, metode
kriptovanja se mogu koristiti za obezbeđenje. Ovakvi napadi su uglavnom vezani lošim
konfigurisanjem zaštitnog zida (firewall) na računaru korisnika ili samog operativnog sistema. Tako
da korisnik ako ima uključenu bežičnu konekciju, a preko kabla je povezan na mrežu kompanije,
napadač može da iskoristi korisnikovu bežičnu konekciju za upad na mrežu kompanije.

1
Peer to peer - mreže računara istog prioriteta
5
 Krađa identiteta (MAC2 spoofing) - Krađa identiteta se javlja kada je napadač sposoban da
analizira mrežni saobraćaj i identifikuje MAC adresu računara sa mrežnim privilegijama. Većina
pristupnih tačaka omogućava neku vrstu MAC filtriranja, dozvoljavaju samo ovlašćenim računarima
sa specifičnim MAC adresama pristup i korišćenje mreže. Međutim, postoje programi koji imaju
mogućnost mrežnog analiziranja. Kombinacijom ovih programa sa drugim programima koji
omogućavaju računaru da se pretvara da ima bilo koju MAC adresu koju napadač želi. Svaki 802.11
uređaj „u vazduhu“ slobodno prenesi svoju nekriptovanu MAC adresu u svoja 802.11 zaglavlja i ne
zahteva nikakvu specijalnu opremu ili softver za njegovo otkrivanje.
Man-in-the-middle - Napadač podstiče računare da se prijavljuju na računar koji je postavljen
kao „meka“ pristupna tačka. Napadač se povezuje sa stvarnom pristupnom tačkom preko druge
bežične kartice koja nudi stalan tok saobraćaja preko transparentnog napadačkog računara do prave
mreže. Napadač onda može prisluškivati saobraćaj. Jedan tip napada između ljudi u sredini se
oslanja na sigurnosne greške u zadacima i protokolima rukovanja (handshake) kako bi izvršio
„deautentifikacijski napad“. Ovaj napad primorava računare povezane na pristupnu tačku da
prekinu svoju vezu i ponovo se povežu sa napadačevom „mekom“ pristupnom tačkom (isključuje
korisnika sa rutera, tako da se moraju ponovo povezati koristeći svoju lozinku koja se može izvući iz
praćenja događaja).
Onemogućavanje usluge (DoS) - Javlja se kada napadač stalno napada ciljanu pristupnu tačku
ili mrežu sa lažnim zahtevima. Ovo uzrokuje da korisnici ne mogu da se povežu na mrežu ili do pada
mreže. Ovi napadi se oslanjaju na zloupotrebu protokola kao što je prošireni protokol provere
autentičnosti (EAP).
Uobičajeni razlog za izvršavanje DoS napada je posmatranje oporavka bežične mreže, tokom
koje se svi početni protokoli rukovanja prenose svi uređaji, pružajući mogućnost zlonamernom
napadaču da zabeleži ove lozinke i koristi različite alatke da analiziraju nedostatak bezbednosti i
iskoriste ih da bi dobili neovlašćeni pristup sistemu.
Mrežna injekcija - Napadač može da koristi pristupnu tačku koja je izložena nefiltriranom
mrežnom saobraćaju, posebnom emitovanju mrežnog saobraćaja kao što je „Spanning Tree“
(802.1D), OSPF, RIP i HSRP3. Napadač unosi lažne komande za ponovno konfigurisanje koje utiču na
rutere i svičeve. Cela mreža se može oboriti na ovaj način i zahtevati ponovno pokretanje ili čak
reprogramiranje svih mrežnih uređaja.

2
Media Access Control
3
Open Shortest Path First, Routing Information Protocol, Hot Standby Router Protocol
6
 Caffe Latte napad - Napad Caffe Latte je još jedan način da probije WEP4 enkripcija. Nije
neophodno da napadač bude u području mreže koristeći ovaj resurs. Korišćenjem procesa koji cilja
Windows bežični stek, moguće je dobiti ključ WEP od udaljenog klijenta.
Slanjem velikog broja kriptovanih zahteva protokolu ARP5, napadač koristi autentifikaciju
zajedničkog ključa i greške u modifikaciji poruke u 802.11 WEP enkripciji. Napadač koristi odgovore
protokola ARP za dobijanje WEP ključa za manje od 6 minuta.

4
Wired Equivalent Privacy
5
Address Resolution Protocol
7
 4 Vrste zaštite bežičnih mreža
Postoje više vrsta zaštita bežičnih mreža. Neke od njih su:
 SSID hiding  TKIP
 MAC ID filtering  EAP
 Static IP addressing  LEAP
 WEP  PEAP
 WPA/WPA2
SSID hiding - jednostavan, ali neefikasan metod za bezbednost bežične mreže.
MAC ID filtering - jedna od najjednostavnijih tehnika, a to je da se omogući pristup samo
poznatim, unapred odobrenim MAC adresama. Većina bežičnih pristupnih tačaka sadrže neku vrstu
filtriranja po MAC adresama. Međutim, napadač može jednostavno može otkriti MAC adresu
ovlašćenog klijenta.
Static IP addressing - Tipične bežične pristupne tačke dodeljuju IP adrese klijentima preko
DHCP-a. Ako se klijentu postave „ručno“ statičke adrese, to otežava napadaču da se prijavi na mrežu.
WEP 6- Standard enkripcije WEP bio je izvorni standard enkripcije za bežično povezivanje, ali
od 2004. sa ratifikacijom WPA2 IEEE je objavio da je „zastarela“.
WPA/WPA27 - Zaštitni protokoli WPA i WPA2 su stvoreni kasnije da bi se rešili problemi sa
WEP standardom. Druga generacija protokola WPA zasnovana je na konačnom IEEE 802.11i
amandmanu na 802.11 standard i ispunjava uslove za FIPS 140-2 usklađenost. TKIP algoritam za
kriptovanje razvijen je za WPA. Služi da se obezbedi poboljšanje WEP standarda koji se mogu
dopuniti nadogradnjom firmvera na postojeće uređaje 802.11. Profil protokola WPA takođe nudi
opcionu podršku za AES-CCMP algoritam koji je preferirani algoritam u 802.11i i WPA2. WPA
Enterprise pruža autentičnost zasnovanu na protokolu RADIUS8 koristeći 802.1x. WPA Personal
koristi unapred deljen ključ (Pre-shared key) za uspostavljanje bezbednosti koristeći lozinku od 8 do
63 karaktera. PSK se takođe može uneti kao heksadecimalni niz od 64 karaktera. Snažne PSK lozinke
mogu se prekinuti korišćenjem „rečnik van mreže“ (off-line dictionary) napada tako što se snimaju
poruke u četvorosmernoj razmeni kada se klijent ponovo priključi posle deautentifikacije.
TKIP9 - Ovo je deo IEEE 802.11i standarda. TKIP implementira mešanje ključa po paketu
pomoću sistema za ponovno generisanje ključeva i takođe obezbeđuje proveru integriteta poruke.

6
Wired Equivalent Privacy
7
WiFi Protected Access
8
Remote Authentication Dial-In User Service
9
Temporal Key Integrity Protocol
8
 EAP10 - Prošireni protokol provere autentičnosti (EAP) daju veću sigurnost. EAP koristi
centralni server za autentifikaciju. Nova verzija EAP-a se sada zove Extended EAP i dostupna je u
nekoliko verzija: EAP-MD5, PEAPv0, PEAPv1, EAP-MSCHAPv2, LEAP, EAP-FAST, EAP-TLS, EAP-TTLS,
MSCHAPv2 i EAP-SIM.
LEAP11 - Ovaj protokol zasnovan je na 802.1x i pomaže u smanjenju originalnih bezbednosnih
propusta pomoću WEP standarda i sofisticiranog sistema upravljanja ključevima. Ova EAP verzija je
sigurnija od EAP-MD5. Takođe koristi autentifikaciju MAC adrese. LEAP nije toliko siguran. THC-
LeapCracker se može koristiti za razbijanje Cisco verzije protokola LEAP i može se koristiti protiv
računara povezanih na pristupnu tačku u vidu „dictionary“ napada.
PEAP12 - Je zaštićeni protokol za proveru autentičnosti. Ovaj protokol omogućava siguran
transport podataka, lozinki i ključeva za kriptovanje bez potrebe za serverom sertifikata. Razvili su
ga kompanije Cisco, Microsoft i RSA Security.

10
Extensible Authentication Protocol
11
Lightweight Extensible Authentication Protocol
12
Protected Extensible Authentication Protocol
9
 5 Primeri
Danas u knućnim uslovima uglavnom se koristi WPA2 – Personal (WPA2-PSK-”pre-shared key.”)
enkripcija. Što je sasvim dovoljno da nas zaštiti od neautorizovanih korisnika.
Pre nego što nastavim sa konkretnim primerom, prvo ću objasniti par termina.

Pre-shared key – je deljeni tajni ključ koji je prvobitno razmenjen između dva uređaja sigurnosnim
kanalom. Ključ se kreira raznim funkcijama, i to su sistemi koji uglavnom koriste simtrične
kriptografske algoritme za kreiranje ključeva. Karakteristiku tajnog ključa određuje sistem koji ga
kreira. Tako da to može biti lozinka, heksa decimalni niz i slično.

EAP-PSK – je definisan RFC 5931 standardom. Ovo je metoda koja koristi zajedničku lozinku za
autetifikaciju.

WPS (Wi-FI Protected Setup) - služ da reši problem ponovnog unošenja šifri prilikom čestog
korišćenja iste WiFi mreže. Postoje par načina za podešavanja WPS-a.
1. PIN: ruter ima osmocifreni pin koji moramo da unesemo na urađaj sa kojeg se povezujemo. Ruter
proverava tih osam cifara u delve, četri po četri. Što olakšava bruteforce skriptama (kao što su River)
da lako dobiju koji je PIN. Ukupno oko 11000 mogućim konbinacija može da se napravi.
2. Push-Button-Connect : Ova metoda je malo bezbednija od PIN metode. Jedan način je da na
ruteru se pritisne taster i nakon toga, postoji određeno vreme za koje može željeni uređaj da se
uloguje u mrežu (taster može biti i softrversko rešenje).
Ovaj primer se bazira na sledećoj konfiguraciji:
Security metod: WPA2 – Personal
Pre-Shered-Key: Neka šifra
Auth key menagment: WPS
Da bi ovaku konfiguraciju i bezbednost probili, potreban nam je Linu operativni sistem, konkretno
Kali je korišćen za testiranje. Kali u sebi već ima predefinisane skripte za testiranje WiFi bezbednosti.
Nama je interesatna skripta River.

10
Ono što

11
 6 Zaključak
Ne postoji idealno rešenje ni za jedan problem, pa ni u mrežama ne postoji idealna zaštita.
Iako koristimo najjače metode zaštite, komplikovane lozinke, uvek postoji faktor ljudske greške. Bez
obzira ako sve obezbedimo, neko od radnika kompanije može slučajno ili namerno da potencijalnom
napadaču pruži lozinku za bežičnu mrežu ili pristup svom računaru koji ima izlaz na mrežu kompanije.
Trebalo bi obratiti pažnju da korišćenje finansijskih servisa ili servisa koji su bitni za nas ili našu
kompaniju ne koristimo na javno otvorenim mrežama ili na nepoznatim mrežama. U protivnom
rizikujemo da potencijalni napadač može da analizira naše pakete i iz njih izvuče korisne podatke
kao što su lozinke za pristup servisima.
Za kućne mreže i bezbednost kućnih mrežnih uređaja, danas se uobičajeno koristi WPA2
standard. Dodatna mera bezbednosti je da omogućimo MAC filtriranje i IP statičke adrese. Samim
tim otežavamo potencijalnom napadaču da pristupi našoj kućnoj mreži. Ali ako kućnu mrežu
koristimo samo za lične potrebe, sasvim je dovoljna WPA2 enkripcija sa dužom i komplikovanijom
lozinkom u kojoj se koriste mala i velika slova, specijalni znaci i brojevi.

12
7 Literatura

13