|  

 

با ظهور شاخه های جدید فناوری بی سیم، تعداد شرکت هایی که با استفاده از روش های نامناسب تأمین امنیت، سیستم های خود را در معرض خطر قرار می دهند، باورکردنی نیست. به نظر می رسد، اغلب شرکت های دارای LAN بی سیم، به واسطه شناسایی نقاط دسترسی غیرمعتبر که ابزارها را به طور رایگان مورداستفاده قرار می دهند، به دنبال احراز شرایط استاندارد PCI هستند. با هدف آگاهی کاربران از آخرین ضعف های امنیتی (و البته بعضی از شکاف های امنیتی قدیمی) تصمیم گرفتیم، فهرستی از پنج اشتباه متداول را در تأمین امنیت شبکه های بی سیم در این مقاله ارائه کنیم. شناسایی این اشتباه ها حاصل تجربه های شخصی در جریان آزمون و ایمن سازی شبکه های مشتریان است.

۱) دیواره آتش : تأمین امنیت کامل در برابر ورود غیرمجاز به شبکه
اغلب سازمان ها، شبکه های بی سیم را به عنوان بخش مکملی برای شبکه سیمی خود راه اندازی می کنند. اتصال بی سیم، یک رسانه فیزیکی است و برای تأمین امنیت آن نمی توان تنها به وجود یک دیوار آتش تکیه کرد. کاملاً واضح است که نقاط دسترسی غیرمجاز، به واسطه ایجاد راه های ورود مخفی به شبکه و مشکل بودن تعیین موقعیت فیزیکی آن ها، نوعی تهدید علیه شبکه به شمار می روند. علاوه براین نقاط دسترسی، باید نگران لپ تاپ های بی سیم متصل به شبکه سیمی خود نیز باشید. یافتن لپ تاپ های متصل به شبکه سیمی که یک کارت شبکه بی سیم فعال دارند، اقدامی متداول برای ورود به شبکه محسوب می شود. در اغلب موارد این لپ تاپ ها توسط SSID شبکه هایی را که قبلاً مورد دسترسی قرار داده اند، جست وجو می کنند و در صورت یافتن آن ها صرف نظر از این که اتصال به شبکه قانونی یا مضر باشد یا شبکه بی سیم در همسایگی شبکه فعلی قرار داشته باشد، به طور خودکار به آن وصل می شوند. به محض این که لپ تاپ به یک شبکه مضر متصل شود، مهاجمان آن را مورد حمله قرار داده و پس از اسکن و یافتن نقاط ضعف ممکن است کنترل آن را به دست گرفته و به عنوان میزبانی برای اجرای حمله ها به کار گیرند. در این شرایط علاوه بر افشای اطلاعات مهم لپ تاپ، مهاجم می تواند از آن به عنوان نقطه شروعی برای حمله به شبکه سیمی استفاده کند. مهاجم درصورت انجام چنین اقداماتی، به طور کامل از دیواره آتش شبکه عبور می کند.

ما امنیت شبکه های معتبر و غیرمعتبر را ارزیابی کرده ایم و به این نتیجه رسیدیم که اغلب سازمان ها دیواره آتش شبکه را به گونه ای تنظیم می کنند که از آن ها در برابر حمله های مبتنی بر اینترنت محافظت می کند، اما امنیت شبکه در مقابل خروج از شبکه (Extrusion) و خروج غیرمجاز اطلاعات (leakage) تأمین نمی شود. اصولاً زمانی که درباره خروج غیرمجاز اطلاعات صحبت می کنیم، منظورمان خروج اطلاعات از شبکه است.

بسیاری از سازمان ها تنظیمات دیواره آتش را برای کنترل ترافیک اطلاعات خروجی به درستی انجام نمی دهند. در نتیجه این سهل انگاری معمولاً اطلاعات محرمانه سازمان به خارج منتقل می شود. به عنوان مثال، یکی از متداول ترین مواردی که هنگام انجام آزمون های امنیتی با آن مواجه شدیم، خروج اطلاعات شبکه سیمی از طریق نقاط دسترسی بی سیم بود. در این آزمون ها با استفاده از یک نرم افزار ردیاب (Sniffer) بی سیم توانستیم حجم زیادی از ترافیک اطلاعات خروجی ناخواسته را شناسایی کنیم. این اطلاعات شامل داده های مربوط به IGRP، STP، سایر سرویس های شبکه و حتی در مواردی اطلاعات مربوط به NetBIOS بودند.

چنین نقطه ضعفی شبکه را به یک اسباب سرگرمی برای مهاجم تبدیل می کند. در حقیقت، نفوذ به چنین شبکه ای حتی نیازمند یک اسکن فعال یا حمله واقعی نیست. به واسطه ردیابی جریان اطلاعاتی یک شبکه بی سیم علاوه بر شناسایی توپولوژی بخش سیمی آن می توان اطلاعات مربوط به تجهیزات حیاتی شبکه و حتی گاهی اطلاعات مربوط به حساب های کاربری را به دست آورد.

۲) دیواره آتش : تأمین امنیت کامل در برابر ورود غیرمجاز به شبکه
این تصور اشتباه، بسیار گیج کننده است. چگونه می توان بدون اسکن شبکه از نبود تجهیزات بی سیم در آن مطمئن شد؟! در محل هایی که شبکه های LAN بی سیم راه اندازی نشده اند، علاوه بر نقاط دسترسی غیرمجاز، می توان از شبکه های Ad Hoc، دسترسی تصادفی لپ تاپ ها و ایجاد پل های ارتباطی با شبکه، به عنوان تهدیدات بالقوه برای امنیت شبکه نام برد. دسترسی تصادفی لپ تاپ های بی سیم یک خطر امنیتی برای صاحبان این لپ تاپ ها محسوب می شود. اگر شرکت مجاور شما از یک نقطه دسترسی بی سیم یا یک شبکه Ad Hoc استفاده می کند، احتمال اتصال تصادفی لپ تاپ های بی سیم عضو شبکه شما به این شبکه های بی سیم زیاد است. این اتصال نوعی خروج از شبکه است. مهاجمان نحوه بهره برداری از این شرایط را به خوبی می دانند و در نتیجه می توانند از یک نقطه دسترسی نرم افزاری یا Soft AP (نرم افزاری که از روی یک لپ تاپ اجرا می شود) برای ارسال شناسه های SSID موجود روی لپ تاپ به یک کامپیوتر خارج از شبکه و حتی ارسال آدرس IP لپ تاپ برای کامپیوتر خارجی استفاده کنند. چنان که گفته شد، این نقطه ضعف امکان کنترل لپ تاپ و حمله به شبکه سیمی را برای مهاجمان فراهم می کند. به علاوه، مهاجمان می توانند از طریق لپ تاپ، حمله های MITM (سرواژه Man In The Middle) یا سرقت هویت را به اجرا درآورند.

۳) اسکن دستی : شناسایی تمام نقاط دسترسی غیرمجاز
در این مورد، تلاش مدیران شبکه برای اتخاذ یک رویکرد پیش گیرانه به منظور شناسایی نقاط دسترسی غیرمجاز در شبکه قابل تقدیر است. اما متأسفانه ابزارهایی که در اختیار این افراد قرار دارد، کارایی لازم را برای شناسایی نقاط دسترسی غیرمجاز ندارد. به عنوان مثال، بسیاری از مدیران شبکه از ابزارهای مدیریتی اسکن نقاط ضعف شبکه های سیمی به منظور شناسایی نقاط دسترسی غیرمجاز متصل به شبکه استفاده می کنند. تجربه کاری نگارنده با ابزارهای اسکن نقاط ضعف از هر دو نوع اپن سورس و تجاری، بیانگر این است که اغلب مدیران شبکه با تعداد انگشت شماری نقطه دسترسی مواجه می شوند که توسط سیستم عامل شناسایی شده است و هنگامی که شبکه را اسکن می کنند، این تجهیزات در قالب یک سیستم مبتنی بر لینوکس همراه یک وب سرور شناسایی می شوند. هنگام اسکن شبکه های Class C و بزرگ تر، دستگاه های غیرمجاز بین سایر تجهیزات شبکه پنهان شده و نتایج حاصل از اسکن شبکه برای شناسایی نقاط دسترسی غیرمجاز حقیقی نیست.

کارکرد ابزارهای اسکن بی سیم مانند NetStumbler و Kismet بسیار خوب است، اما زمانی که نوبت به شناسایی نقاط دسترسی غیرمجاز می رسد، این ابزارها از کارایی لازم برخوردار نیستند. به عنوان نمونه این ابزارها نمی توانند مشخص کنند که نقاط دسترسی شناسایی شده واقعاً به شبکه شما متصل هستند یا خیر. علاوه براین، در تعیین موقعیت تقریبی دستگاه بی سیم مشکوک نیز دچار مشکل می شوند. اگر شرکت شما در یک ساختمان چندطبقه یا یک برج قراردارد، باید امواج دریافتی آنتن های بزرگ و دستگاه های منتشرکننده سیگنال را نیز به این مشکلات بیافزایید. در چنین شرایطی یک مدیر شبکه با مهارت متوسط در ردگیری و شناسایی تجهیزات بی سیم شبکه با مشکلات بزرگی روبه رو خواهد شد.

۴) به روزرسانی تمام نقاط دسترسی به منظور حذف پروتکل WEP: تأمین امنیت کامل شبکه
پروتکل WEP سالیان دراز مورد حمله مهاجمان قرار گرفته است. علاوه بر این، براساس اعلان PCI پروتکل WEP باید تا ماه ژوئن سال ۲۰۱۰ به طور کامل کنار گذاشته شود. بعضی از شرکت ها نیز به سراغ روش های توانمندتر کدگذاری و اعتبارسنجی رفته اند.

برای جایگزینی این پروتکل، چندگزینه مختلف وجود دارد. متأسفانه بعضی از این گزینه ها نیز دارای نقاط ضعف هستند. به عنوان مثال، نسخه PSK (سرنامPre Shared Key) از پروتکل WPA به دلیل نیاز به انتشار اطلاعات موردنیاز برای ساخت و تأیید کلید رمزگشایی اطلاعات، در مقابل نوعی حمله Offline که روی واژه نامه آن انجام می شود، آسیب پذیر است. برای اجرای این حمله ها چندین ابزار مختلف شامل coWPAtty و aircrack ng وجود دارد. اغلب حمله ها شامل گردآوری تعداد زیادی از بسته های اطلاعاتی و استفاده از ابزار درمقابل سیستم دریافت بسته های اطلاعاتی است. بسته نرم افزاری Backtrack ۳ تمام ابزارهای لازم را برای اجرای این نوع حمله ها فراهم می کند. در نوامبر سال ۲۰۰۸ به منظور اثبات این ضعف، پروتکل TKIP هک شد.

در این حمله صرف نظر از به کارگیری سیستم اعتبار سنجی PSK یا ۸۰۲.۱x مهاجمان توانستند به تمام نسخه های پروتکل TKIP شامل WPA و WPA۲ نفوذ کنند. با وجود این،کلیدهای TKIP شناسایی نشدند و در نتیجه محتوای تمام قاب های کدشده افشا نشد. یک حمله می تواند در هر دقیقه یک بایت از داده های یک بسته اطلاعاتی رمزنگاری شده را افشا کرده و به ازای هر بسته کدگشایی شده تا پانزده قاب رمزنگاری شده را به سیستم تحمیل می کند. چنین سیستمی، یک گزینه مناسب برای آلودگی ARP محسوب می شود. درک این نکته ضروری است که آن دسته از شبکه های WPA و WPA۲ که الگوریتم های کدگذاری AES CCMP پیچیده تر را مورد استفاده قرار می دهند، در برابر حمله ها مقاوم تر هستند و استفاده از چنین الگوریتم هایی به عنوان بهترین رویکرد تدافعی پیشنهاد می شود. اگر هیچ گزینه دیگری به غیر از راه اندازی یک سیستم WPA PSK پیش رو ندارید، از یک کلمه عبور بسیار مطمئن که حداقل هشت کاراکتر دارد، استفاده کنید. کلمه عبور پیچیده ای که از شش کاراکتر تشکیل شده باشد، به طور متوسط ظرف سیزده روز کشف می شود.

۵) استفاده از نرم افزار کلاینت VPN : محافظت از کارمندان سیار
با وجود این که استفاده از برنامه کلاینت VPN همراه یک دیواره آتش نخستین گام برای حفاظت از کارمندان سیار به شمار می رود، تعداد بسیاری از نقاط ضعف چنین ارتباطی بدون محافظت باقی می ماند. کاربرانی که در حال مسافرت هستند، به ناچار در هتل ها، کافی شاپ ها و فرودگاه ها از شبکه های وای فای استفاده می کنند.
ابزارهایی مانند Hotspotter که در بسته نرم افزاری BackTrack در اختیار همگان قرار می گیرند، برای مهاجم امکان ایجاد یک ناحیه خطرناک را فراهم می کنند که اغلب توسط شبکه به عنوان یک ناحیه خطرناک مجاز شناخته می شود. این فرآیند شامل ایجاد یک نقطه دسترسی جعلی با استفاده از یک شناسه SSID متداول و همچنین صفحات وب شبیه به یک ناحیه خطرناک واقعی است. سپس مهاجم منتظر اتصال کاربران بی اطلاع، به نقطه دسترسی جعلی شده و با استفاده از پروتکل DHCP برای آن ها یک آدرس IP و یک صفحه وب ایجاد می کند. به این ترتیب، کاربر فریب خورده و به منظور ورود به ناحیه خطرناک اعتبارنامه خود را در اختیار مهاجم قرار می دهد. در بعضی موارد مهاجم حتی دسترسی کاربران به اینترنت را امکان پذیر کرده و به این ترتیب برای اجرای حمله های MITM و سرقت سایر اطلاعات مهم کاربران مانند شناسه و کلمه عبور و شماره حساب بانکی آن ها اقدام می کند.

حفاظت از کارمندان سیار به ویژه در برابر این نوع حمله ها، اقدامی چالش برانگیز بوده و علاوه بر استفاده از نرم افزار کلاینت VPN و دیواره آتش نیازمند تمهیدات امنیتی دیگری است. البته، هیچ یک از این اقدامات به طور کامل از کاربر محافظت نمی کند، اما خطرات امنیتی را کاهش می دهند. مدیران شبکه های مبتنی بر ویندوز با استفاده از گزینه Access point (infrastructure) networks only می توانند از اتصال کاربران به شبکه های Ad Hoc جلوگیری می کنند.

بسیاری از ابزارهای مهاجمان که برای شبیه سازی عملکرد نقاط دسترسی به کار گرفته می شوند، در حقیقت، شبکه های Ad Hock را شبیه سازی می کنند. غیرفعال کردن گزینه مذکور در سیستم عامل ویندوز می تواند از کاربران در برابر چنین حمله هایی محافظت کند. به علاوه، غیرفعال کردن گزینه ( Any Available Network (Access Point Preferred نیز از بروز چنین حملاتی جلوگیری می کند. سرانجام، با غیرفعال کردن گزینه Automatically Connect to Non Preferred networks نیز می توان از اتصال تصادفی کاربران به شبکه های Ad Hock جلوگیری کرد.

جمع بندی
در تأمین امنیت شبکه های بی سیم، به کارگیری یک رویکرد چندلایه، کلید اجتناب از بروز مشکلات امنیتی است. درک درست خطرات امنیتی قسمت بزرگی از فرآیند کاهش این خطرات محسوب می شود. اغلب حمله های بی سیم نسبت به لایه دوم شبکه اجرا می شوند. بنابراین، بازبینی تنظیمات دیواره آتش فعلی برای حصول اطمینان از فیلترسازی لایه دوم ضروری است. بسیاری از دیواره های آتش تنها از لایه سوم و لایه های بالاتر حفاظت می کنند و بسیاری از آن ها نیز به جای نظارت دائمی بر ترافیک اطلاعات به صورت یک فیلتر بسته های اطلاعاتی عمل می کنند. پیکربندی فیلتر بسته های اطلاعاتی می تواند به کاری ملال آور تبدیل شود. بنابراین، نظارت دائمی بر لایه های دوم و سوم شبکه رویکرد مناسب تری برای تأمین امنیت شبکه های بی سیم است.

به روزرسانی و تغییرپیکربندی نقاط دسترسی نیز می تواند مکمل خوبی برای سیستم های کدگذاری و اعتبارسنجی ضعیف باشد. همچنین این اقدامات می توانند بسیاری از ملزومات فنی و تکنیکی فعلی و آتی شبکه را تأمین کنند.

بسیاری از حمله های امنیتی نیازمند برقراری شرایط خاص هستند و اجرای آن ها مستلزم بهره مندی از یک سیستم IDS/IPS بی سیم برای شبیه سازی محیط و تدابیرامنیتی موردتأیید برای زیرساخت های بی سیم است. استفاده از یک سیستم IDS/IPS پیشرفته اقدام مؤثری برای شناسایی بسیاری از حمله های مذکور و همچنین محافظت در برابر آن دسته از ابزارهای مهاجمان است که برای انجام حمله های دنباله دار شناخته شده مورد استفاده قرار می گیرند. دیواره های آتش به هیچ وجه قادر به تأمین این نوع امنیت نیستند.

یک سیستم IDS/IPS بی سیم ابزارهای بهتری را برای تشخیص نقاط دسترسی غیرمجاز در اختیار ما می گذارد. اسکنرهای دستی فقط برای بررسی لحظه ای وضعیت شبکه کاربرد دارند و هیچ ابزاری را برای تأمین خودکار امنیت شبکه در برابر نقاط دسترسی غیرمجاز ارائه نمی کنند. استفاده از یک سیستم IDS/IPS بی سیم به منظور نظارت شبانه روزی بر شبکه و نابودی خودکار نقاط دسترسی غیرمجاز رویکرد کارآمدتری برای کاهش خطرات امنیتی شبکه محسوب می شود. به علاوه، این رویکرد موجب صرفه جویی در زمان طولانی موردنیاز برای نظارت و بررسی دستی شبکه می شود.

درباره نویسنده
مایکــــل تــــی راگــــو دارای گــواهینــــامـــه هــای تخصصــی CISSP, NSA IAM, CCSI, SCSA, CSI بوده و در زمینه فناوری های امنیتی تجربه ای بیست ساله دارد. او یکی از ترویج کنندگان تحقیقات و راه حل های تأمین امنیت شبکه های بی سیم است. تجربه های وی آزمون های امنیتی، ارزیابی شبکه های بی سیم، ممیزی شبکه ها، راه اندازی دیواره های آتش و سیستم های IDS/IPS، پاسخ گویی به وقایع، مدیریت خطر و تحقیقات امنیتی را شامل می شود و پیش از این نیز در زمینه آموزش نحوه تأمین امنیت شبکه ها فعالیت کرده است.

منبع: http://www.aftab.ir