Megkerülhetetlen kérdések a vezetéknélküli biztonságról.
Manapság egyre többet hallunk a mobilitásban rejlő üzleti előnyök kihasználásáról és a különféle modern kommunikációs eljárásokról. A két terület metszéspontjában található technológiák közül az egyik legellentmondásosabb, de egyben talán legérdekesebb terület a vezetéknélküli (wireless, wifi) hálózatok köre.
Változó és változatos megítélés
A vezetéknélküli hálózatok elterjedése a hordozható számítógépek térnyerésével együtt indult, hiszen éppen a mobil-munkaállomások legfontosabb erényét hivatottak kiszolgálni: a felhasználó és a számítógép nincs helyhez kötve, így a számítógépet az irodán belül be lehet vinni a megbeszélésekre, miközben nem kell lemondani a szervezeti hálózat előnyeiről. Mára oda jutottunk, hogy az ilyen funkciókkal felvértezett kéziszámítógépek és okostelefonok a mindennapjaink részévé váltak, ezért megkerülhetetlen ez a kommunikációs forma.
Magyarországon érdekes kettősség jellemzi a vezetéknélküli hálózatok alkalmazását. Egyfelől szervezeti szinten is egyre elterjedtebbek, és nem csak kiegészítő, kényelmi szolgáltatásként, hanem sok helyen elsődleges platformként jelennek meg, azaz vezetékes kapcsolatot nem is építenek ki a munkaállomások számára. Másfelől sokan még mindig idegenkednek a technológiától. Nem tartják elég biztonságosnak, ezért tiltják az alkalmazását. Ki kell jelentenünk, hogy a vezetéknélküli hálózatokat otthon és szervezeti környezetben is lehet hatékonyan és biztonságosan üzemeltetni, de a két területen más-más megfontolások és intézkedések szükségesek.
Azonosítás és titkosítás
A vezetéknélküli hálózatok védelmét két fő feladatra lehet bontani. Az egyik a felhasználók megfelelően biztonságos azonosítása, a másik a már azonosított, ezért legitimnek tekinthető felhasználók kommunikációjának titkosítása.
A 802.11i szabványt 2004-ben fogadták el, ez írja le a vezetéknélküli hálózatokon használható azonosítási és titkosítási szabályokat. Leszögezhetjük, hogy a korábban használt WEP- (Wired Equivalent Privacy) azonosítás és -titkosítás alkalmazása szervezeti és otthoni felhasználásra sem javasolt, mivel 2001 óta ismert, hogy támadható és feltörhető. Ezzel szemben léteznek olyan szabványok, amelyek segítségével biztonságossá lehet tenni ezeket a rendszereket.
Otthoni környezetben a WEP-et felváltó WPA (Wifi Protected Access) – vagy annak továbbfejlesztett változata, a WPA2 – és egy állandó, úgynevezett előre definiált kulcs (preshared key, psk) javasolt azonosításra és titkosításra. Bár mindkét módszer támadható, javasolt a nagyobb biztonságot nyújtó WPA2 alkalmazása, mert általában nem éri meg a befektetést az otthoni rendszerek feltörése. Amennyiben a felhasználók otthon is dolgoznak bizalmas szervezeti adatokkal, akkor meg kell fontolni a fentieknél nagyobb biztonságot nyújtó megoldás alkalmazását.
Szervezeti környezetben a WPA2 úgynevezett EAP (Extensible Authentication Protocol) azonosítási mechanizmusainak valamelyikét célszerű alkalmazni.
Az azonosítás során a kliens és a Radius szerver között egy x509 digitális tanúsítványon nyugvó titkosított csatorna jön létre, amelyben a felhasználó megadhatja az azonosításhoz szükséges adatokat (jellemzően a felhasználói nevet és a jelszót). A titkosított csatorna a tanúsítvány egyoldalú vagy kétoldalú ellenőrzésével is létrejöhet. Az egyoldalú ellenőrzésnél fennáll a beékelődéses (man in the middle) támadás veszélye, és így a felhasználói adatok megszerzésének kockázata, emiatt javasolt a kétoldalú tanúsítvány-ellenőrzés használata.
Még intelligensebb védelem
A leírt mechanizmusok megoldást jelentenek a legkézenfekvőbb biztonsági problémákra, de fontos, hogy a biztonság kérdése már a hálózat tervezésekor napirendre kerüljön, mert léteznek olyan, kifejezetten vezetéknélküli hálózatokat fenyegető támadások, amelyek kivédésére már a tervezés fázisában célszerű odafigyelni.
A mai fejlett infrastruktúrákban az intelligencia nem a hozzáférési pontokban van, hanem egy központi felügyeleti rendszerben, a kontrollerben. Ezek a rendszerek az előbbiekben ismertetett biztonsági funkciókon és a szolgáltatásmegtagadási támadások kivédésén túl képesek felderíteni és kizárni a szervezet infrastruktúráján belül működő idegen, ezért potenciálisan veszélyes hozzáférési pontokat is, valamint beépített behatolásérzékelőikkel további infrastruktúra alapú támadásokat is képesek megállítani.
Publikus tévhit
Végezetül szeretnénk eloszlatni egy tévhitet. Sokan a vezetéknélküli hálózatok biztonsági kérdései közé sorolják a publikus hot-spoton keresztüli bejelentkezést a szervezeti hálózatba, holott valójában ez a távoli bejelentkezés körébe tartozó felhasználóazonosítás és titkosítás, amelynek helyes megtervezésekor és kialakításakor lényegtelen, hogy vezetéknélküli hálózaton vagy más platformon csatlakozik a felhasználó a rendszerhez.
Hirsch Gábor
