Всем кому интересны темы р/связи и ПСГО — Страница 5 — СЦБИСТ — железнодорожный форум, блоги, фотогалерея, социальная сеть

Но развитие индустрии беспроводных технологий, которое шло быстрыми темпами в конце 90-х годов, привело к тому, что сотовые компании обратили внимание на предоставление услуг связи в- зданиях, жилых районах и старых районах городов. Во многих больших зданиях (таких, как торговые центры, отели, стадионы и аэропорты) операторы сотовой связи начали устанавливать новые базовые станции или микросоты. Упор все больше делался на создание точек доступа (хот спотов) беспроводного стандарта связи 802.11 — Wireless Fidelity (Wi-Fi), который является эффективной двухрежим­ной системой, позволяющей передавать как речевую информацию, так и данные.

Но’ существовали определенные препятствия для построения беспро­водной системы связи внутри зданий. Некоторые из них имеют металличе­ское покрытие на окнах, отражающее тепло солнечного света. Такие здания имеют вид, как будто их окна сделаны из золотого или зеленого зеркала. Но не только инфракрасные лучи задерживаются такими зеркалами; очень час­то и радиоволны таКже отражаются от их поверхности. Причиной этого яв­ляется металлическое покрытие стекол, отражающих сигнал базовых стан­ций. Именно поэтому сигналу трудно пробиться внутрь здания. В таких случаях операторы сотовой связи устанавливают в зданиях усилители или микросоты для того, чтобы компенсировать, потерю сигнала от базовых станций. Это означает, что нужно, установить базовую станцию в здании (на крыше или в любом арендованном месте внутри здания) и протянуть неплотный коаксиальный кабель через все здание. На рис. 3.14 приведено фото неплотного коаксиального кабеля. На рисунке 4.3 показано, как неплотный коаксиальный кабель используется для обеспечения связи в много­этажном здании.

Частотное координирование, означает логическое назначение частот для ба­зовых станций с тем, чтобы избежать интерференции сигнала как между соб­ственными базовыми станциями одного сотового оператора, так и между станциями других операторов. Существует два вида частотного координиро­вания: внутреннее внешнее.

Внутреннее координирование означает планирование частотного диапа­зона базовых станций таким образам, чтобы соседние соты одной сети не мешали рабате друг друга. Она выполняется для установки базовых станций с одной частотой на значительном расстоянии друг от друга, для того чтобы выполнялся план повторного использования частоты при концепции построения сети в виде шестиугольников.

Внешнее частотное координирование предназначено для управления частотами базовых станций в пределах границы одной системы таким обра­зам, чтобы не возникала конфликтных ситуаций с другими операторами со­товой связи. При этом приходится производить частотное координирование с соседними сотами в пределах границы в 70 миль (112 километров) в соот­ветствии с правилами, установленными Комиссией по связи. Комиссия по связи установила, что «все явления резонанса между двумя различными бес­проводными системами связи должны быть сведены к минимуму». Существу­ет два подхода осуществления частотного координирования. Первое: инже­неры одного оператора должны связаться с инженерами другого оператора и совместными действиями разрешить возникающие проблемы. Второе: для решения задачи могут быть наняты сторонние инженеры. Этот путь нежела­телен, так как является дорогостоящим и результаты могут не всегда соответ­ствовать желаемым.

Рисунок 4.3 – Построение сотовой сети внутри здания

Интерференция — это неблагоприятное взаимодействие двух или более ра­диосигналов, при котором происходит либо частичное, либо полное затуха­ние обоих сигналов. Интерференция часто происходит между двумя сигнала­ми, частоты которых либо практически одинаковы, либо идентичны.

Передаваемые сигналы с телефона и с базовой станции обычно разделе­ны по времени для того, чтобы избежать эффекта интерференции. Это разделение ‘необходимо для того, чтобы правильно использовать данные частоты. Однако в беспроводных системах интерференция частот все же существует» во многих случаях — это побочный продукт повторного использования частоты.

Более высокие частоты могут иметь меньшее различие между передаваемым и принимаемым сигналом, для того чтобы уменьшить либо избежать интерференции.

Внутриканальная помеха происходит, когда сигнал с двух отдельных передат­чиков (базовых станций) достигает одного приемника (мобильного телефона).

Этот тип интерференции обычно происходит, когда каналы присвоены двум базовым станциям, находящимся на небольшом расстоянии друг от друга, и их сигналы достаточно сильны для того, чтобы наложиться друг на друга, что и вызывает интерференцию.

Интерференция совмещения каналов — это побочное явление основы со­товой связи, повторного использования частоты. Основным принципом по­строения беспроводной системы связи является повторное использование час­тот, разрешенных комиссией по связи, снова и снова. Важно то, что базовые станции с одинаковыми частотами располагаются на большом расстоянии друг от друга, для того чтобы избежать интерференции между одинаковыми часто­тами/каналами. Поэтому между такими базовыми станциями должны стоять другие, работающие на других частотах, которые будут 9беспечивать некото­рую защиту от этого эффекта. Такое расположение делается для того, чтобы базовые станции, работающие на одних частотах, находились на большом рас­стоянии друг от друга, при этом уровень мощности излучаемого сигнала дол­жен соответствовать этому расстоянию. Если мощность сигналов с одной из базовых станций превышает допустимый, то такой сигнал может достигнуть базовой станции, работающей на такой же частоте, и вызвать интерференцию. На рисунке 4.4 показан пример интерференции совмещения каналов.

Таким образом, при построении беспроводной системы связи должны учитываться следующие факторы для уменьшения внутриканальной помехи:

— уровень мощности сигналов в сотах, использующих одинаковые каналы (самый важный фактор);

— расстояние между базовыми станциями; ,

— тип антенн, используемых на ячейках с одинаковыми частотами.

Чем большее количество базовых станций присутствует в беспроводной системе, тем сложнее избегать эффекта интерференции. Интерференция совмещения каналов может проявить себя в виде прерывающейся речи, статического шума, изменяющегося тона голоса либо пропущенного вызова.

Рисунок 4.4 – Внутриканальная помеха

Интерференция совмещения каналов не должна распространяться на соседние либо любые другие беспроводные системы связи. Для того чтобы из­бежать ее, рядом друг с другом должны устанавливаться только базовые станции, работающие на разных частотах. Управление интерференцией со­вмещения каналов — это еще один фактор, ограничивающий наращивание емкости беспроводной системы связи.

Для того чтобы избежать интерференции совмещения каналов, операто­рами сотовой связи используются следующие методы:

— использование направленных вниз антенн там, где это необходимо;

— использование антенн с небольшим коэффициентом усиления;

— уменьшение мощности сигнала, излучаемого базовой станцией;

— уменьшение высоты вышек.

Межканальная интерференция подразумевает неспособность мобильного телефона выделить нужный ему сигнал (частоту) среди двух и более смеж­ных каналов (например, канал 361 соты А и канал 362 соты D, причем соты находятся в одном кластере из 7 ячеек). Межканальная интерференция происходит наиболее часто среди сильно загруженных базовых станций. Тщательная разработка системы может минимизировать межканальную интерференцию, предотвращая одновременное использование смежных ка­налов в соседних ячейках.

Интермодуляционная интерференция. Другим типом интерференции, которая может навредить беспроводной сис­теме, является интермодуляционная интерференция. (она часто называется «imod» теми, кто работает в индустрии беспроводных технологий). Интермодуляционная интерференция может возникнуть в случае, если базовая стан­ция находится рядом с другим передатчиком. Это эффект совмещения нескольких радиосигналов, при котором получается новый сигнал, отличный от сигналов, его породивших. В другом случае такой вид интерференции может возникнуть из-за непосредственной близости ‘двух радиотелефонов. Если абонент находится вблизи базовой станции, то частотный диапазон, излучае­мый ее антенной, может привести к перегрузке приемного устройства в мо­бильном телефоне, что в результате приведет к разрыву связи. Единственным выходом из этой ситуации является установка операторами сотовой связи базовых станций рядом друг с другом так, чтобы мощность сигнала, прихо­дящего на мобильный телефон с разных станций, была одинакова. Сейчас это уже не является проблемой, так как практически все операторы устанавлива­ют базовые станции совместно. Новые технические методы без труда преодо­левают интермодуляционную интерференцию.

Разделение радиочастоты на каналы.Все операторы беспроводной телефонной связи используют выделенный им комиссией по связи диапазон частот маленькими дискретными порциями. Правилам разде­ления спектра подчиняются все операторы сотовой связи. Каждая из беспро­водных технологий связи (AMPS, GSM, CDMA) имеет свой собственный стандартный метод разделения каналов.

Парные каналы.Независимо от того, какая технология связи используется, все беспроводные сеансы связи нуждаются в хотя бы одной паре каналов. Так как мобильный сервис основан на дуплексном режиме работы (одновременная передача дан­ных в двух направлениях), то для каждого разговора необходимо два канала. В зависимости от того, какая используется технология, эти каналы могут как использовать одну частоту, так и не использовать. Когда каналы используют разные частоты — это называется частотным разделением. Когда Каналы используют одну частоту — временное разделение. Два канала не будут использоваться только в случае односторонней передачи информации, например l3 случае передачи SMS (short message service — сервис коротких сообщений), или в случае передачи мультимедийной информации. Потоковая передача мультимедийной информации использует только один канал для передачи музыки, видеоклипов, другой информации непосредственно на мобильный телефон.

Канал, по которому передается информация с базовой Станции, на мобильный телефон, называется нисходящим, или прямым. Канал, по которому информация передается с телефона к базовой станции, называется восходящим, или обратным каналом.

Пара каналов, состоящая из нисходящего и входящего канала,- это все, что нужно, чтобы сделать беспроводной телефонный звонок.

В конце 70-х годов комиссией FСС в сотовой связи было разрешено использовать 832 пары каналов (постредстом MSA и RSA). Так как беспроводная индустрия была разделена на два рынка, то каждому оператору связи досталось по 416 пар каналов. Четыреста шестнадцать каналов использовались на передачу информации с телефона на базовую станцию, и столько же на обратную передачу. Операторам сотовой связи пришлось делить свои 416 пар каналов на группы по семь, для того, чтобы обеспечить повторное использование частоты в кластере. Базовые станции принимают и передают сигналы на частоте 850 МГц (традиционный сотовый спектр), разделенной на 45 МГц для того, чтобы избежать эффекта интерференции между нисходящим и входящим каналом.

Промежутки между каналами.Промежутки между каналами подразумевают участок Спектра между всеми каналами в диапазоне частот, разрешенном к использованию оператору сотовой связи комиссией FСС. Они присутствуют между каждой парой нисходящего и входящего канала. .

Усовершенствованная система мобильной телефонной связи (Advanced Mobile Phone System — AMPS) — самая старшая система беспроводной связи в США. Так как это самый старый стандарт, то в нем и началось разделение каналов промежутками, что было продолжено в последующих цифровых и системах беспроводной связи, которые были разработаны и выпущены для массового использования в середине 90-х годов.

В AMPS промежуток между каналами составлял 30 кГц. Каждый нисходящий и входящий канал занимал 30 кГц диапазона. Это значит, что каждый телефонный звонок в системе AMPS занимал всего 60 кГц спектра, разрешенного для использования FСС: 30 кГц на нисходящий и 30 кГц на входящий канал. Каждая пара используемых частот имела специальный номер канала, определенный РСС как стандарт. Этот номер относился строго к определенной паре каналов и к их частотам.

Рис. 4.5 — Парные каналы

Глобальной системе мобильной связи (Global System for Mobile Communications — GSM) спектр разделяется на диапазоны 200 кГц, где каждый нисходящий, либо входящий канал занимает 25 кГц. .

Множественный доступ с разделением каналов (Code Division Multiple Access — CDMA) по определению уникален в разделении каналов. В буквальном смысле промежутки между каналами в системе CDMA составляют 1,25 МГц, так как все. вызовы распространяются по всему спектру частот, в IО’I’ОIЮМ работает данный оператор. Вот почему CDMA более известна как технология расширения спектра (Так же ее еще называют технологией шумоподобных каналов).

Термины «повторное использование частоты» и «повторное использование канала» являются синонимами в системах беспроводной связи, так как все час­тоты в разрешенном FCC спектре разделены на определенное количество каналов.

В настоящее время применяются как различные виды повторного использования, так и различные частотные планы. 24-канальное разделение используется так же часто, как и 4-канальное и 12-канальное в одиночных ячейках. Однако 7-канальное все же используется гораздо чаще, чем все остальные.

Контрольные каналы.Контрольные каналы — это сигнальные каналы, предназначенные для администрирования беспроводной системы путем передачи данных между мобильными телефонами, сотовыми базовыми станциями, контроллерами базовых станций и мобильным центром коммутации, Они используют для управления следующими действиями:

— осуществление вызова как с мобильного телефона, так и на него, а также отслеживание местонахождения телефона для осуществления вызова;

— сбор информации о вызовах для осуществления операции по составлению счетов;

— сбор информации о трафике, проходящем через базовую станцию;

— автономная мобильная регистрация, включая регистрирование телефонов в системе (как в домашней, сети, так и в роуминге);

— инициализация или помощь в передаче вызова.

Каждый канал в беспроводной системе связи имеет по крайней мере один закрепленный за ним контрольный канал. В базовых станциях, разбитых секторы, каждый сектор имеет свой собственный набор каналов.

Все мобильные телефоны при включении настраиваются на тот кон­трольный канал в своем диапазоне частот, который является самым мощным. Этa частота — одна из набора частот, помеченная как контрольный канал, ко­торые оператор сотовой связи предусмотрел при разработке беспроводной системы, она запрограммирована в телефоне. Каждый сотовый телефон автоматически настраивается на контрольный канал в своем диапазоне с определенными интервалами времени, установленными оператором. Величина этого интервала может быть различной: от 2 минут до 60.

Когда абонент нажимает клавишу вызова на мобильном телефоне, происходит автоматический поиск сильнейшего контрольного канала в разрешенном диапазоне.

Сотовая связь на основе CDMA использует так называемый канал тональной сигнализации, который функционирует так же, как и контрольный.

Стандарт IEEE 802.11 поддерживает следующие режимы работы. В режиме Ad Hoc рисунок 1, станции непосредственно взаимодействуют друг с другом. Для этого режима требуется минимум оборудования: каждая станция должна быть оснащена беспроводным адаптером.

Рисунок 4.6 – Режим работы Ad Hoc

При такой конфигурации не требуется создания сетевой инфраструктуры. Основным недостатком режима Ad Hoc является ограниченный диапазон действия возможной сети и невозможность подключения к внешней сети (например, к Интернету).

В заключение нашего обзора физического уровня стандартов IEEE 802.11a, IEEE 802.11b и IEEE 802.11g, рассмотрим базовые архитектуры беспроводных сетей, определяемых на MAC-уровне.

Infrastructure Mode. В режиме Infrastructure Mode рисунок 4.7 станции взаимодействуют друг с другом не напрямую, а через точку доступа (Access Point), которая выполняет в беспроводной сети роль своеобразного(аналогично тому, как это происходит в традиционных кабельных сетях). Рассматривают два режима взаимодействия с точками доступа — BSS (Basic Service Set) и ESS (Extended Service Set).

В режиме BSS все станции связываются между собой только через точку доступа, которая может выполнять также роль моста к внешней сети.

Рисунок 4.7 – Режим работы Infrastructure Mode

В расширенном режиме ESS рисунок 4.8 существует инфраструктура нескольких сетей BSS, причём сами точки доступа взаимодействуют друг с другом, что позволяет передавать трафик от одной BSS к другой. Сами точки доступа соединяются между собой с помощью либо сегментов кабельной сети, либо радиомостов.

Рисунок 4.8 – Расширенном режиме ESS

Для доступа к среде передачи данных в беспроводных сетях применяется метод коллективного доступа с обнаружением несущей и избежанием коллизий (Carrier Sense Multiple Access / Collision Avoidance, CSMA/CA). Собственно, этот метод даже по своему названию напоминает технологию коллективного доступа, реализованную в сетях Ethernet, где используется метод коллективного доступа с опознанием несущей и обнаружением коллизий (Сarrier-Sense-Multiply-Access With Collision Detection, CSMA/CD). Единственное различие состоит во второй части метода — вместо обнаружения коллизий используется технология избежания коллизии. Перед тем как послать данные в «эфир», станция сначала отправляет специальное сообщение, называемое RTS (Ready To Send), которое трактуется как готовность данного узла к отправке данных. Такое RTS-сообщение содержит информацию о продолжительности предстоящей передачи и об адресате и доступно всем узлам в сети. Это позволяет другим узлам задержать передачу на время, равное объявленной длительности сообщения. Приёмная станция, получив сигнал RTS, отвечает посылкой сигнала CTS (Clear To Send), свидетельствующего о готовности станции к приёму информации. После этого передающая станция посылает пакет данных, а приёмная станция должна передать кадр ACK, подтверждающий безошибочный прием. Если АСК не получен, попытка передачи пакета данных будет повторена. Таким образом, с использованием подобного четырёхэтапного протокола передачи данных реализуется регламентирование коллективного доступа с минимизацией вероятности возникновения коллизий.При развертывании беспроводных сетей и систем СВЧ диапазона необходим расчет радиолиний. Подобный расчет является традиционной радиорелейной задачей, для решения которой требуется знание большого количества исходных данных и профессиональные знания и навыки. В то же время задачи, связанные с предварительной оценкой реализуемости радиолинии, оценкой состава оборудования и возможностей подключения новых абонентов к существующей базовой станции, не требуют полного расчета. Используемая упрощенная методика позволяет решить эти задачи.

Беспроводная технология на базе Wi-Fi с традиционной безопасностью TSN (Tradition Security Network) предусматривает два механизма аутентификации беспроводных абонентов: открытую аутентификацию (Open Authentication) и аутентификацию с общим ключом (Shared Key Authentication). В аутентификации в беспроводных сетях также широко используются два других механизма, выходящих за рамки стандарта 802.11, а именно назначение идентификатора беспроводной локальной сети SSID (Service Set Identifier) и аутентификация абонента по его MAC-адресу (MAC Address Authentication).

Идентификатор беспроводной локальной сети (SSID) представляет собой атрибут беспроводной сети, позволяющий логически отличать сети друг от друга. В общем случае абонент беспроводной сети должен задать у себя соответствующий SSID для того, чтобы получить доступ к требуемой беспроводной локальной сети. SSID ни в коей мере не обеспечивает конфиденциальность данных, равно как и не аутентифицирует абонента по отношению к точке радиодоступа беспроводной локальной сети. Существуют точки доступа, позволяющие разделить абонентов, подключаемых к точке на несколько сегментов, — это достигается тем, что точка доступа может иметь не один, а несколько SSID.

Принцип аутентификации абонентов технологий Wi-Fi. Аутентификация в беспроводных технологиях на базе Wi-Fi ориентирована на аутентификацию абонентского устройства радиодоступа, а не конкретного абонента как пользователя сетевых ресурсов. Процесс аутентификации абонента беспроводной локальной сети Wi-Fi состоит из следующих этапов.

Абонент (Client) посылает фрейм Probe Request во все радиоканалы.

Каждая точка радиодоступа AP (Access Point), в зоне радиовидимости которой находится абонент, посылает в ответ фрейм Probe Response.

Абонент выбирает предпочтительную для него точку радиодоступа и посылает в обслуживаемый ею радиоканал запрос на аутентификацию (Authentication Request). Точка радиодоступа посылает подтверждение аутентификации (Authentication Reply).

В случае успешной аутентификации абонент посылает точке радиодоступа фрейм ассоциации (Association Request). Точка радиодоступа посылает в ответ фрейм подтверждения ассоциации (Association Response).

Абонент может теперь осуществлять обмен пользовательским трафиком с точкой радиодоступа и проводной сетью.

Рисунок 4.9 – Аутентификация технологии Wi-Fi

При активизации беспроводный абонент начинает поиск точек радиодоступа в своей зоне радиовидимости с помощью управляющих фреймов Probe Request. Фреймы Probe Request посылаются в каждый из радиоканалов, поддерживаемых абонентским радиоинтерфейсом, чтобы найти все точки радиодоступа с необходимыми клиенту идентификатором SSID и поддерживаемыми скоростями радиообмена. Каждая точка радиодоступа из находящихся в зоне радиовидимости абонента, удовлетворяющая запрашиваемым во фрейме Probe Request параметрам, отвечает фреймом Probe Response, содержащим синхронизирующую информацию и данные о текущей загрузке точки радиодоступа. Абонент определяет, с какой точкой радиодоступа он будет работать, путем сопоставления поддерживаемых ими скоростей радиообмена и загрузки. После того как предпочтительная точка радиодоступа определена, абонент переходит в фазу аутентификации.

Открытая аутентификация по сути не является алгоритмом аутентификации в привычном понимании. Точка радиодоступа удовлетворит любой запрос открытой аутентификации. На первый взгляд использование этого алгоритма может показаться бессмысленным, однако следует учитывать, что разработанные в 1997 году методы аутентификации Wi-Fi ориентированы на быстрое логическое подключение к беспроводной локальной сети. Вдобавок к этому многие Wi-Fi технологии совместимые устройства представляют собой портативные блоки сбора информации (сканеры штрих-кодов и т. п.), не имеющие достаточной процессорной мощности, необходимой для реализации сложных алгоритмов аутентификации.

В процессе открытой аутентификации происходит обмен сообщениями двух типов:

— запрос аутентификации (Authentication Request);

— подтверждение аутентификации (Authentication Response).

Таким образом, при открытой аутентификации возможен доступ любого абонента к беспроводной локальной сети. Если в беспроводной сети шифрование не используется, любой абонент, знающий идентификатор SSID точки радиодоступа, получит доступ к сети. При использовании точками радиодоступа шифрования WEP сами ключи шифрования становятся средством контроля доступа. Если абонент не располагает корректным WEP-ключом, то даже в случае успешной аутентификации он не сможет ни передавать данные через точку радиодоступа, ни расшифровывать данные, переданные точкой радиодоступа (рисунок 5).

Безопасность беспроводных технологий на базе Wi-Fi сетей. Как и любая компьютерная сеть, Wi-Fi – является источником повышенного риска несанкционированного доступа. Кроме того, проникнуть в беспроводную сеть значительно проще, чем в обычную, – не нужно подключаться к проводам, достаточно оказаться в зоне приема сигнала.

Рисунок 4.10– Открытая аутентификация

Беспроводные сети отличаются от кабельных только на первых двух – физическом Phy и отчасти канальном MAC – уровнях семиуровневой модели взаимодействия открытых систем. Более высокие уровни реализуются как в проводных сетях, а реальная безопасность сетей обеспечивается именно на этих уровнях. Поэтому разница в безопасности тех и других сетей сводится к разнице в безопасности физического и MAC-уровней.

Хотя сегодня в защите Wi-Fi-сетей применяются сложные алгоритмические математические модели аутентификации, шифрования данных и контроля целостности их передачи, тем не менее, вероятность доступа к информации посторонних лиц является весьма существенной. И если настройке сети не уделить должного внимания злоумышленник может заполучить доступ к ресурсам и дискам пользователей Wi-Fi-сети, а через неё и к ресурсам LAN, подслушивать трафик, извлекать из него конфиденциальную информацию, искажать проходящую в сети информацию, воспользоваться интернет-траффиком, атаковать ПК пользователей и серверы сети внедрять поддельные точки доступа, рассылать спам, и совершать другие противоправные действия от имени вашей сети.

Для защиты Wi-Fi предусмотрен комплекс мер безопасности передачи данных. На раннем этапе использования Wi-Fi сетей таковым являлся пароль SSID (Server Set ID) для доступа в локальную сеть, но со временем оказалось, что данная технология не может обеспечить надежную защиту.

Главной же защитой долгое время являлось использование цифровых ключей шифрования потоков данных с помощью функции WEP (Wired Equivalent Privacy). Сами ключи представляют из себя обыкновенные пароли с длиной от 5 до 13 символов ASCII. Данные шифруются ключом с разрядностью от 40 до 104 бит. Но это не целый ключ, а только его статическая составляющая. Для усиления защиты применяется так называемый вектор инициализации IV (Initialization Vector), который предназначен для рандомизации дополнительной части ключа, что обеспечивает различные вариации шифра для разных пакетов данных. Данный вектор является 24-битным. Таким образом, в результате мы получаем общее шифрование с разрядностью от 64 (40 24) до 128 (104 24) бит, в результате при шифровании мы оперируем и постоянными, и случайно подобранными символами.

Но, как оказалось, взломать такую защиту можно соответствующие утилиты присутствуют в Интернете (например, AirSnort, WEPcrack). Основное её слабое место – это вектор инициализации. Поскольку мы говорим о 24 битах, это подразумевает около 16 миллионов комбинаций, после использования этого количества, ключ начинает повторяться. Хакеру необходимо найти эти повторы (от 15 минут до часа для ключа 40 бит) и за секунды взломать остальную часть ключа. После этого он может входить в сеть как обычный зарегистрированный пользователь.

Как показало время, WEP тоже оказалась не самой надёжной технологией защиты. После 2001 года для проводных и беспроводных сетей был внедрён новый стандарт IEEE 802.1X, который использует вариант динамических 128-разрядных ключей шифрования, то есть периодически изменяющихся во времени. Таким образом, пользователи сети работают сеансами, по завершении которых им присылается новый ключ. Например, Windows XP поддерживает данный стандарт, и по умолчанию время одного сеанса равно 30 минутам. IEEE 802.1X – это новый стандарт, который оказался ключевым для развития индустрии беспроводных сетей в целом. За основу взято исправление недостатков технологий безопасности, применяемых в 802.11, в частности, возможность взлома WEP, зависимость от технологий производителя и т. п. 802.1X позволяет подключать в сеть даже PDA-устройства, что позволяет более выгодно использовать саму идею беспроводной связи. С другой стороны, 802.1X и 802.11 являются совместимыми стандартами. В 802.1X применяется тот же алгоритм, что и в WEP, а именно – RC4, но с некоторыми отличиями. 802.1X базируется на протоколе расширенной аутентификации EAP, протоколе защиты транспортного уровня TLS и сервере доступа Remote Access Dial-in User Server. Протокол защиты транспортного уровня TLS обеспечивает взаимную аутентификацию и целостность передачи данных. Все ключи являются 128-разрядными по умолчанию.

В конце 2003 года был внедрён стандарт WPA (Wi-Fi Protected Access), который совмещает преимущества динамического обновления ключей IEEE 802.1X с кодированием протокола интеграции временного ключа TKIP, протоколом расширенной аутентификации EAP и технологией проверки целостности сообщений MIC. WPA – это временный стандарт, о котором договорились производители оборудования, пока не вступил в силу IEEE 802.11i. По сути, WPA = 802.1X EAP TKIP MIC, где:

WPA – технология защищённого доступа к беспроводным сетям; EAP – протокол расширенной аутентификации (Extensible Authentication Protocol); TKIP – протокол интеграции временного ключа (Temporal Key Integrity Protocol); MIC – технология проверки целостности сообщений (Message Integrity Check).

Стандарт TKIP использует автоматически подобранные 128-битные ключи, которые создаются непредсказуемым способом, и общее число вариаций которых достигает 500 миллиардов. Сложная иерархическая система алгоритма подбора ключей и динамическая их замена через каждые 10 Кбайт (10 тыс. передаваемых пакетов) делают систему максимально защищённой.

От внешнего проникновения и изменения информации также обороняет технология проверки целостности сообщений (Message Integrity Check). Достаточно сложный математический алгоритм позволяет сверять отправленные в одной точке и полученные в другой данные. Если замечены изменения и результат сравнения не сходится, такие данные считаются ложными и выбрасываются.

Правда, TKIP сейчас не является лучшим в реализации шифрования, поскольку в силу вступают новые алгоритмы, основанные на технологии AES (Advanced Encryption Standard), которая, уже давно используется в VPN. Что касается WPA, поддержка AES уже реализована в Windows XP, пока только опционально.

Помимо этого, параллельно развивается множество самостоятельных стандартов безопасности от различных разработчиков, в частности, в данном направлении преуспевают Intel и Cisco. В 2004 году появляется WPA2, или 802.11i, который, в настоящее время является максимально защищённым.

Таким образом, на сегодняшний день у обычных пользователей и администраторов сетей имеются все необходимые средства для надёжной защиты Wi-Fi, и при отсутствии явных ошибок (пресловутый человеческий фактор) всегда можно обеспечить уровень безопасности, соответствующий ценности информации, находящейся в такой сети.

Сегодня беспроводную сеть считают защищенной, если в ней функционируют три основных составляющих системы безопасности: аутентификация пользователя, конфиденциальность и целостность передачи данных. Для получения достаточного уровня безопасности необходимо воспользоваться рядом правил при организации и настройке частной Wi-Fi-сети:

— шифровать данные путем использования различных систем. Максимальный уровень безопасности обеспечит применение VPN;

— использовать протокол 802.1X;

— запретить доступ к настройкам точки доступа с помощью беспроводного подключения;

— управлять доступом клиентов по MAC-адресам;

— запретить трансляцию в эфир идентификатора SSID;

— располагать антенны как можно дальше от окон, внешних стен здания, а также ограничивать мощность радиоизлучения;

— использовать максимально длинные ключи;

— изменять статические ключи и пароли;

— использовать метод WEP-аутентификации «Shared Key» так как клиенту для входа в сеть необходимо будет знать WEP-ключ;

— пользоваться сложным паролем для доступа к настройкам точки доступа;

— по возможности не использовать в беспроводных сетях протокол TCP/IP для организации папок, файлов и принтеров общего доступа. Организация разделяемых ресурсов средствами NetBEUI в данном случае безопаснее;

— не разрешать гостевой доступ к ресурсам общего доступа, использовать длинные сложные пароли;

— не использовать в беспроводной сети DHCP. Вручную распределить статические IP-адреса между легитимными клиентами безопаснее;

— на всех ПК внутри беспроводной сети установить файерволлы, не устанавливать точку доступа вне брандмауэра, использовать минимум протоколов внутри WLAN (например, только HTTP и SMTP);

— регулярно исследовать уязвимости сети с помощью специализированных сканеров безопасности (например NetStumbler);

— использовать специализированные сетевые операционные системы такие как, Windows Nt, Windows 2003, Windows Xp.

Так же угрозу сетевой безопасности могут представлять природные явления и технические устройства, однако только люди (недовольные уволенные служащие, хакеры, конкуренты) внедряются в сеть для намеренного получения или уничтожения информации и именно они представляют наибольшую угрозу.