Поставь вардрайверов на колени

Andrey Matveev

Хакер, номер #082, стр. 082-106-1

(andrushock@real.xakep.ru)

Совершенная защита беспроводной сети

Не трудно представить, какой урон может нанести проникновение злоумышленника в незащищенную беспроводную сеть. И совсем не важно, принадлежит этот сегмент крупной компании, университетскому кампусу или рядовому пользователю - последствия могут быть катастрофическими. Выход один: исключить вероятность несанкционированного доступа и утечки конфиденциальной информации, обеспечив надежную и одновременно гибкую защиту. Но как это сделать, когда криптографической слабостью WEP может воспользоваться любой желающий, новые механизмы безопасности WPA/WPA2 пока не получили широкого распространения, а стоимость аппаратных VPN-решений стремится к бесконечности?

[роль шипастой рыбки в спасении утопающих]

В настоящее время все больше и больше моделей ноутбуков и КПК оснащаются беспроводными сетевыми адаптерами стандарта IEEE 802.11. Казалось бы, о таком развитии событий можно только мечтать. Однако у этой тенденции есть и оборотная сторона - удобство и мобильность планомерно отодвигают вопросы безопасности на второй план. Существующая проблема стоит настолько остро, что может серьезно затормозить триумфальное шествие цифровых технологий в целом. Это прекрасно понимали разработчики OpenBSD, создавая инструментальную связку authpf, isakmpd, openssh и pf, которая позволяет не только выполнять криптостойкое шифрование передаваемых данных, но и проводить аутентификацию клиента с помощью пароля, либо на базе публичного ключа.

[brainstorm: особенности фортификации]

Рассмотрим вариант, когда функции шлюза, объединяющего проводной и беспроводной участки сети, выполняет компьютер под управлением OpenBSD 3.8. Помимо нэйтивной поддержки вышеперечисленных программных средств, в пользу сделанного выбора говорит и тот факт, что реализация IPSec как в ядре операционной системы, так и в пространстве пользователя выполнена (без преувеличения) на высочайшем уровне. Спешу успокоить противников опенка - настройка FreeBSD, NetBSD и DragonflyBSD будет отличаться минимально.

[ LAN ]----------(fxp0)

\

[ GATEWAY ]-(fxp1)-------[ ISP ]--

/

[ LAPTOP ] - - - (ral0)

В приведенном сценарии ral0 - это сетевой интерфейс, закрепленный за PCI'ной карточкой Gigabyte GN-WPKG 802.11 b/g (~25$) и осуществляющий работу по спецификации 802.11g (mode 11g) на 11-ом частотном канале (chan 11) в режиме точки доступа (mediaopt hostap) с уникальным идентификатором сети (nwid wlan):

# vi /etc/hostname.ral0

inet 192.168.2.1 255.255.255.0 NONE media autoselect mode 11g \

mediaopt hostap nwid wlan chan 11

Предлагаю действовать следующим образом: если у беспроводного клиента (тестирование проводилось на ноуте с WinXP SP2) соответствующим образом настроена политика IPSec, весь внутренний трафик будет шифроваться за счет организации IPSec-туннеля с аутентификацией на основе парольной фразы ("preshared key" станем называть именно так, чтобы избежать путаницы с другими ключами); как только со стороны пользователя будет проведена аутентификация с помощью ssh-клиента, на шлюзе автоматически вступят в силу персональные правила файервола, и юзер, в зависимости от привилегий, получит полный или ограниченный доступ в Сеть.