Jak zwiększyć bezpieczeństwo WLAN? Poznaj porady ekspertów

Przestarzałe technologie

Większość użytkowników, którzy padli ofiarą włamań do sieci bezprzewodowej, korzysta z przestarzałych urządzeń. Stosując kilkuletnie urządzenia WLAN, jesteś zdany na leciwe oprogramowanie i przestarzałe standardy bezpieczeństwa. Większość starszych urządzeń ma do zaoferowania tylko szyfrowanie metodą WEP (Wired Equivalent Privacy), która już od 2001 r. uchodzi za niepewną. Można ją złamać w ciągu niecałej minuty. Służy do tego chociażby stworzone na bazie wolnego oprogramowania narzędzie Aircrack-ng. Wprawdzie niektórzy twierdzą, że program ten pozwala każdemu wedrzeć się do obcej sieci WLAN zaledwie kilkoma kliknięciami myszy, jednak to nie do końca prawda. Największa przeszkoda polega na tym, że zdecydowana większość kart WLAN (szczególnie w środowisku Windows) wcale nie współpracuje z Aircrack-ng. Niemniej jednak gdy wymagania zostaną spełnione, złamanie szyfrowania WEP naprawdę nie przysparza problemów. Przyczyną są pewne potknięcia w podstawowych założeniach standardu WEP. W dużym uproszczeniu można ustalić klucz WEP z określonej liczby przechwyconych podczas transmisji pakietów danych. Jeśli Twój ruter zapewnia tylko szyfrowanie metodą WEP, powinieneś zainwestować w nowszy, który obsługuje WPA2.

WiFi Protected Access

Nowszy standard szyfrowania WPA uchodzi nadal za bezpieczny. Dotychczas nikomu nie udało się złamać tego szyfrowania w możliwych do zaakceptowania ramach czasu. Można jednak zainicjować atak metodą siłową na sieć WLAN. W trakcie takiego ataku agresor wypróbowuje wszystkie kombinacje znaków do momentu odgadnięcia prawidłowego hasła. Również do tego celu cyberprzestępcom może posłużyć narzędzie Aircrack-ng. Jednak nie uda im się odnieść sukcesu, jeśli ustawisz wystarczająco długie i skomplikowane hasło. W trosce o bezpieczeństwo swojej sieci bezprzewodowej należy stosować klucz WPA o długości co najmniej 20 znaków. Odradza się używać w nim słów występujących w jakimkolwiek słowniku. Klucz powinien składać się z wielkich i małych liter, cyfr i znaków specjalnych. Ponadto zaleca się zmienić od razu fabryczną nazwę sieci bezprzewodowej (identyfikator SSID) zdefiniowaną przez producenta, bo także ta nazwa jest wykorzystywana, oprócz hasła, do szyfrowania ruchu w sieci.

Czynności przygotowawcze

Jeśli chcesz się przekonać, że Twój WLAN jest dobrze zabezpieczony, możesz przeprowadzić próbę, na własnej skórze atakując… swoją sieć. Do wykonania tego eksperymentu potrzebny jest wspomniany powyżej program Aircrack-ng. Jednak wersja działająca w systemie Windows obsługuje tylko nieliczne karty sieciowe WLAN. Dlatego warto skorzystać z wersji przeznaczonej do środowiska Linux. Poniżej opisujemy szczegółowo poszczególne czynności, które należy wykonać. Najpierw pobierz z Internetu plik ISO linuksowej dystrybucji BackTrack. Jeśli nie możesz lub nie chcesz ściągać tak dużej ilości danych (plik ma rozmiar ok. 3 GB), radzimy zaopatrzyć się w numer 10/2012 PC Worlda. Na płycie dołączonej do październikowego wydania pisma zamieściliśmy tę dystrybucję w wersji 5 R2. Świadomie zrezygnowaliśmy z odsłony 5 R3, bo w przeciwieństwie do wcześniejszej nie była wyposażona w polski interfejs. Dołączony na płycie program Universal USB Installer pomoże Ci zainstalować system na kieszonkowym dysku USB. Wystarczy uruchomić wspomniane narzędzie, wskazać wersję dystrybucji na wyświetlonej liście, po czym wybrać plik ISO i dysk docelowy.

Natomiast pobierając obraz ISO z Internetu, masz do wyboru 32-bitową i 64-bitową wersję BackTracka, a także dwie wersje interfejsu – Gnome i KDE. W odróżnieniu od wielu innych dystrybucji Linuksa, takich jak Ubuntu czy Knoppix, BackTrack nie zapewnia programów użytkowych w rodzaju fotoedytora czy pakietu biurowego LibreOffice. Specjalizuje się tylko w analizowaniu zabezpieczeń i wykrywaniu luk. Pamiętaj, że używanie pakietu BackTrack w obcych sieciach bezprzewodowych jest nielegalne. Wolno go stosować tylko we własnej sieci. Na stronie autorów systemu (www.backtrack-linux.org/tuturials) znajdziesz szczegółowe instrukcje dotyczące jego obsługi, a także instalacji na twardym dysku lub na kluczu USB.

Podłączanie systemu BackTrack do sieci WLAN

Po uruchomieniu systemu ze startowej płyty DVD lub klucza USB naciśnij klawisz [Enter] i wybierz pierwszą pozycję z listy. Uruchom graficzny interfejs użytkownika, wpisując polecenie startx. Najpierw sprawdź, czy BackTrack samodzielnie wykrył i skonfigurował Twoje karty sieciowe. Przywołaj w tym celu okno konsoli tekstowej, klikając ikonę w dolnej części ekranu, po czym wprowadź polecenie ipconfig. Na podstawie informacji wyświetlonych na ekranie ustalisz, czy Twoja karta sieciowa została wykryta. BackTrack wyszczególnia karty bezprzewodowe pod nazwami wlan<numer>. Chcąc upewnić się, że dana karta jest włączona, wprowadź w konsoli tekstowej polecenie ifconfig <nazwa_karty> up, np. ifconfig wlan0 up. Gdy wpiszesz polecenie dhclient <nazwa_karty>, karta sieciowa pozyska adres IP z serwera DHCP.

Narzędziem Etherape sprawdzisz, czy BackTrack prawidłowo podłączył się do sieci. Przywołasz je z poziomu menu System. Ten program wyświetli wszystkie komputery, które BackTrack znalazł w badanej sieci.

Wspomniane testy są bardzo istotne, bo systemowi BackTrack często nie udaje się prawidłowo wykryć podzespołów sieciowych w komputerach podłączonych do sieci. BackTrack musi mieć możliwość odwoływania się do wewnętrznych funkcji karty WLAN, więc nie korzysta ze standardowych sterowników dostępnych w innych dystrybucjach Linuksa. W razie problemów zajrzyj na stronę go.pcworld.pl/3dfc7. Zamieszczono na niej instrukcję zainstalowania właściwego sterownika zależnie od chipsetu.

Jednak nie tylko BackTrack musi poprawnie połączyć się z kartą WLAN. Także narzędzie Aircrack-ng powinno bezbłędnie wykryć Twój sprzęt sieciowy. Sprawdź to, wpisując sudo airmon-ng w oknie wiersza poleceń. Narzędzie to wchodzi w skład pakietu Aircrack, w który jest wyposażony system BackTrack. W oknie pojawią się karta sieciowa, chipset i zastosowany sterownik. Zapamiętaj lub zanotuj nazwę karty sieciowej.

Przechwytywanie danych w sieci

Do przechwytywania danych przesyłanych w obrębie sieci bezprzewodowej trzeba przełączyć kartę sieciową w tryb nadzorowania. Wprawdzie w tym trybie karta nie jest w stanie podłączyć się do sieci, za to ma możliwość rejestrowania całego ruchu sieciowego. W tym celu wprowadź polecenie sudo airmon-ng start <karta_sieciowa>, np. sudo airmon-ng start wlan0. W oknie konsoli tekstowej pojawi się komunikat informujący, że udało się włączyć tryb nadzorowania. Oprócz tego możesz w tej chwili podmienić adres MAC karty sieciowej (a więc sprzętowy adres tej karty), aby przypisać jej jeden z adresów dozwolonych w badanej sieci WLAN. Zestaw adresów MAC dopuszczonych w sieci bezprzewodowej ustalisz na podstawie przechwyconych danych.

Aby zmienić adres MAC, wpisz w oknie konsoli tekstowej polecenie sudo macchanger -mac <nowy_adres_MAC> <karta_sieciowa>. Uprzednio musisz jednak wyłączyć nasłuchiwanie za pomocą polecenia sudo airmon-ng stop <karta_sieciowa> i wstrzymać działanie karty poleceniem ifconfig <karta_sieciowa> down. Potem możesz ponownie włączyć tryb nadzorowania – wpisz w tym celu polecenie sudo airmon-ng start <karta_sieciowa>.

W dalszej kolejności trzeba ustalić, jakie sieci WLAN są w zasięgu. Wprowadź polecenie sudo airodump-ng <karta_sieciowa>, a więc np. sudo airodump-ng wlan0. Narzędzie wyświetli spis wszystkich komputerów podłączonych do sieci bezprzewodowej, ich adresy MAC, natężenie sygnału i wiele innych informacji o sieci WLAN i poszczególnych pecetów. Zauważ, że te informacje są dostępne bez konieczności logowania się w sieci, a więc mogą być przechwycone przez każdą osobę postronną, która wykona te same czynności. Już na tym etapie szpiegowanie w sieci bezprzewodowej i zdobywanie poufnych danych okazuje się zadziwiająco łatwe. Od razu widać, dlaczego filtrowanie adresów MAC w sieciach WLAN nie przynosi żadnych korzyści. Można zbyt łatwo przechytrzyć ten mechanizm. Aby rozpocząć rejestrowanie danych przesyłanych drogą bezprzewodową, wystarczy wpisać polecenie sudo airodump-ng -c <numer_kanału> -bssid <adres_MAC_punktu_dostępowego> -w <nazwa_pliku_bez_przedrostka> <karta_sieciowa>.

Przechwycone dane narzędzie zapisuje w podanym pliku, który później można poddać analizie. Jeśli chcesz ustalić hasło WEP na podstawie zdobytych danych, wprowadź polecenie sudo aircrack-ng <nazwa_pliku>. W ten sposób sprawdzisz, czy klucz Twojej sieci bezprzewodowej da się szybko złamać. Oprócz opisanych powyżej znajdziesz w systemie BackTrack wiele innych narzędzi służących do analizowania zabezpieczeń.

Oprócz Aircracka masz jeszcze do dyspozycji dodatkowe programy do badania zabezpieczeń. Należą do nich m.in. Freeradius, Pyrit i Reaver. Wszystkie aplikacje dotyczące zabezpieczeń są dostępne z poziomu polecenia Backtrack w menu Start. Zestaw narzędzi nie ogranicza się do testowania bezpieczeństwa w sieci WLAN, lecz ponadto zapewnia profesjonalne aplikacje do wykrywania niedociągnięć w oprogramowaniu i konfiguracji.

Jak zabezpieczyć sieć bezprzewodową?

Korzystając z poniższych wskazówek, możesz podnieść poziom bezpieczeństwa w swojej sieci WLAN. Chcąc zmienić ustawienia rutera WLAN, przywołaj jego stronę konfiguracyjną. Wystarczy uruchomić przeglądarkę internetową i wpisać adres wspomnianej strony.

Stosowny adres powinien być wyszczególniony w instrukcji obsługi rutera.

1. Sprawdź metodę szyfrowania stosowaną w połączeniach bezprzewodowych. Obecnie za bezpieczny uchodzi standard WPA2. Jeśli masz nowoczesny ruter, wybierając standard WPA2, od razu włącz szyfrowanie CCMP (Counter Mode with Cipher Block Chaining Message Authentication Code Protocol). W niektórych ruterach szyfrowanie to nosi nazwę AES (Advanced Encryption Standard). Stosuje się w nim klucz o długości 256 bitów. Moc obliczeniowa obecnych komputerów nie pozwala złamać go w akceptowalnym okresie. Mniej skuteczne szyfrowanie WPA-PSK (Pre-shared key) w połączeniu z TKIP (Temporal Key Integrity Protocol) wykorzystuje klucz długości 40 lub 128 bitów. Jeśli agresor ma do dyspozycji sprzęt o dużej mocy obliczeniowej, może – przynajmniej teoretycznie – złamać szyfrowanie i wedrzeć się do sieci metodą wielokrotnych prób (atak metodą siłową).

2. Zmień ustawienia fabryczne. Musisz koniecznie zmienić hasło sieci WLAN, nadane domyślnie przez producenta, na własne. Mowa o haśle, które przeważnie widnieje na naklejce umieszczonej na tylnej ścianie rutera. W niektórych przypadkach można ustalić hasło na podstawie adresu MAC, co umożliwiłoby agresorowi łatwe włamanie się do sieci bezprzewodowej. Nowe hasło powinno składać się z wielkich i małych liter, cyfr i znaków specjalnych, a jego długość powinna wynosić co najmniej 20 znaków.

3. Wyłącz w swoim ruterze DSL funkcję WPS (WiFi Protected Setup). WPS ma zapewniać użytkownikowi większą wygodę podczas nawiązywania połączeń w sieci WLAN. Jednak funkcja ta może równie dobrze ułatwiać hakerom wdzieranie się do cudzych sieci.

4. Wyłącz zdalny dostęp do swojego rutera. Jeśli funkcja ta nie jest Ci koniecznie potrzebna, wyłącz zdalne konfigurowanie (remote) swojego rutera WLAN. Umożliwia ona uzyskanie dostępu do rutera z poziomu Internetu – wystarczy wpisać odpowiednie hasło.

5. Wgrywaj aktualizacje. Oprócz tego warto przywoływać regularnie stronę konfiguracyjną rutera i sprawdzać kliknięciem stosownego odnośnika, czy producent oferuje nowszą wersję oprogramowania. Aktualizując je, usuniesz ewentualne luki w zabezpieczeniach tego urządzenia.