В качестве источников угроз могут выступать как субъекты (личность) так и объективные проявления. Причем, источники угроз могут находиться как внутри защищаемой организации – внутренние источники, так и вне ее – внешние источники. В нашей работе мы будем рассматривать антропогенные источники угроз, которые свойственны беспроводным сетям стандарта IEEE 802.11.
Нарушитель – это лицо, предпринявшее попытку выполнения запрещенных операций (действий) по ошибке, незнанию или осознанно со злым умыслом (из корыстных интересов) или без такового (ради игры или удовольствия, с целью самоутверждения и т.п.) и использующее для этого различные возможности, методы и средства [16].
Для достижения своих целей нарушитель должен приложить некоторые усилия, затратить определенные ресурсы. Исследовав причины нарушений, можно либо повлиять на сами эти причины (если это возможно), либо точнее определить требования к системе защиты от данного вида нарушений или преступлений.
Существует ряд причин, по которым нарушитель выбирает для взлома беспроводные сети стандарта IEEE 802.11 [8]:
1 Беспроводная компьютерная сеть для злоумышленника более уязвима, чем обычная проводная, так как вопрос физического доступа к трафику решается наличием недорогого радиооборудования. Стоимость комплекта оборудования для подключения к сети (беспроводной адаптер и, при необходимости, внешняя антенна) редко превышает 100 долларов. Подключение же к проводной сети требует проникновения на территорию объекта или применения высокотехнологичного специального оборудования для съема информации, которое, к тому же, не поступает в свободную продажу.
2 Мировые производители абонентского беспроводного оборудования для частных домашних сетей и небольших компаний пока не смогли предложить простые и легкие механизмы защиты от стороннего проникновения.
3 При взломе беспроводных сетей доступ оказывается анонимным, и нарушителя трудно проследить. При взломе проводных сетей, если атакующий заходит со своей учетной записью, полученной от сервис-провайдера, то его координаты можно легко проследить. При взломе же беспроводных сетей сервис-провайдер не участвует, а след ведет к атакованной и скомпрометированной беспроводной сети. Даже если вблизи этой сети и найден человек с ноутбуком или машина с антенной, то вину нарушителя будет сложно доказать. А если до или после атаки нарушитель изменил MAC-адрес своей сетевой платы для беспроводного доступа и удалил все программы и данные, связанные с атакой, то доказать его вину практически невозможно.
4 Нарушитель, присоединившийся к плохо спроектированной сети, часто оказывается прямо в проводной сети за корпоративным межсетевым экраном и видит перед собой в качестве возможных целей множество не защищенных сервисов. Администратор может вообще не позаботиться о безопасности внутренней сети, считая, что безопасность целиком и полностью определяется настройками межсетевого экрана, защищающего периметр.
Можно выделить следующие основные мотивы нарушений [45, 46]:
безответственность (непреднамеренные ошибки, неосознанные, немотивированные действия под влиянием алкоголя или других наркотических веществ, халатность);
самоутверждение;
корыстный интерес (желание приобрести материальные ценности );
конкурентная борьба;
сведение личных счетов;
политические мотивы;
религиозные мотивы;
любопытство.
При нарушениях, вызванных безответственностью, пользователь целенаправленно или случайно производит какие-либо разрушающие действия, не связанные тем не менее со злым умыслом. В большинстве случаев это следствие некомпетентности или небрежности.
Некоторые пользователи считают получение доступа к системным наборам данных крупным успехом, затевая своего рода игру "пользователь – против системы" ради самоутверждения либо в собственных глазах, либо в глазах коллег.
Нарушение безопасности сети может быть вызвано и корыстным интересом пользователя системы. В этом случае он будет целенаправленно пытаться преодолеть систему защиты для доступа к хранимой, передаваемой и обрабатываемой в сети информации. Даже если сеть имеет средства, делающие такое проникновение чрезвычайно сложным, полностью защитить ее от проникновения практически невозможно [45].
Учитывая вышеописанные мотивы, разделим нарушителей на внутренних и внешних. По данным многих источников и статистических исследований, отношение внутренних инцидентов к внешним оценивается примерно в 75 % [46].
Среди внутренних нарушителей можно выделить следующие категории:
1 Администраторы, сотрудники служб ИБ. Они обладают высокими знаниями в области структуры сети, систем защиты. Обладают доступом в контролируемую зону.
2 Прикладные и системные программисты. Обладают глубокими знаниями в области компьютерных технологий, знаниями структуры сети, имеют доступ в контролируемую зону, но обладают меньшими привилегиями и правами, чем администраторы сети.
3 Непосредственные пользователи и операторы беспроводной сети, технический персонал по обслуживанию зданий и вычислительной техники, вспомогательный персонал и временные работники. Необязательно обладают глубокими знаниями в области компьютерных технологий, но имеют частичный или полный доступ в контролируемую зону, а также потенциально могут выяснить структуру сети.
Группу внешних нарушителей могут составлять:
1 Любопытствующие. Чаще всего использует готовые компьютерные программы, доступные в сети Интернет, для реализации угроз через давно известные уязвимости. Их действия больше носят экспериментальный характер, т.е. они занимаются этим ради забавы и самоутверждения, он не стремятся получить доступ к определенной информации или модифицировать ее с целью извлечения выгоды. Такие взломщики обычно не представляют серьезной угрозы беспроводным сети и могут оказать услугу, публично известив об обнаруженных небезопасных сетях, что заставит заинтересованных лиц обратить внимание на имеющиеся проблемы.
2 Охотник за бесплатным трафиком сети Интернет. К данной категории относятся распространители рекламы, торговцы пиратскими программами, а также люди, которых привлекает возможность использовать сеть Интернет без материальных затрат. Останавливаются при наличии средств защиты, отличных от базовых. Имеют представление о принципах функционирования сети, и обладают знаниями по преодолению минимальных средств защиты.
3 Группа взломщиков. Они достаточно скованы в своих финансовых возможностях. Не обладают вычислительными мощностями уровня крупного предприятия и подобным пропускным каналом в Интернет. Но обладание суммарными знаниями в области компьютерных технологий представляют большую опасность. Такие злоумышленники используют всевозможные приемы для организации сканирования информационных систем с целью выявления новых уязвимостей, применяются также методы реализации угроз через уже известные уязвимости. Они в состоянии написать программы, которые используют обнаруженные уязвимости. При использовании таких программ они могут получить доступ к большим компьютерным мощностям вычислительных сетей крупных организаций, а также к каналу с высокой пропускной способностью, который соединяет пораженную сеть с Интернет. Они хорошо знают, как вторгаться в чужие сети и компьютеры, знакомы с теоретической и практической радиофизикой, вследствие чего их трудно поймать. Чаще всего они действуют целенаправленно и могут предпринимать определенные усилия для получения представления о принципах функционирования системы защиты сети. Спектр их действий – от подделки суммы на счете (модификация данных) до получения или уничтожения критичных данных по заказу. Планируя свои действия, группа предпринимает все возможные усилия для сокрытия факта несанкционированного доступа [8].
4 Конкуренты. Данная модель включает в себя: собственные мощные вычислительные сети и каналы передачи данных с высокой пропускной способностью для выхода в Интернет; большие финансовые возможности; высокие знания компьютерных специалистов как самой компании, так и нанимаемых «под заказ». Возможны попытки подкупа сотрудников службы безопасности или иные действия из области социальной инженерии. Они могут предпринять серьезные усилия для получения сведений функционирования системы информационной защиты, в том числе внедрить своего агента. Среди целей могут быть: блокирование функционирования информационной системы конкурента, подрыв имиджа, деструктивные действия, направленные на причинение непоправимого ущерба конкуренту, вплоть до его разорения и банкротства. Для этого используются самые изощренные методы проникновения в информационные системы и воздействия на потоки данных в ней. Действия конкурентов могут носить как скрытый, так и открытый, демонстративный характер [48].
5 Враждебно настроенные бывшие служащие. Их действия против бывшей компании носят намеренный характер, и в этом большая опасность. Мотивами обычно являются обида и личная неприязнь. Такие сотрудники опасны, так как, во-первых, действуют умышленно, во-вторых, имеют представление об устройстве и структуре сети, а также систем защиты. Степень опасности зависит от квалификации сотрудника. Но и при невысоком уровне ущерб может быть большим, если нелояльный сотрудник действует в связке с внешним противником.
Угрозы, как возможные опасности совершения какого-либо действия, направленного против объекта защиты, проявляются не сами по себе, а через уязвимости (факторы), приводящие к нарушению безопасности информации на конкретном объекте информатизации [49].
Уязвимости присущие беспроводным сетям стандарта IEEE 802.11, неотделимы от них и обуславливаются недостатками процесса функционирования, свойствами архитектуры сети, протоколами обмена и интерфейсами, применяемыми программным обеспечением и аппаратной платформой, условиями эксплуатации и расположения.
Источники угроз могут использовать уязвимости для нарушения безопасности информации, получения незаконной выгоды (нанесения ущерба собственнику, владельцу, пользователю информации). Кроме того, возможны не злонамеренные действия источников угроз по активизации тех или иных уязвимостей, наносящих вред.
Каждой угрозе могут быть сопоставлены различные уязвимости. Устранение или существенное ослабление уязвимостей влияет на возможность реализации угроз безопасности информации.
Для беспроводных сетей стандарта IEEE 802.11 характерны следующие виды уязвимостей [50]:
а) уязвимости, обусловленные средой передачи и диапазоном рабочих частот;
б) уязвимости системы аутентификации;
в) уязвимости криптографических протоколов;
г) уязвимости используемого программного обеспечения;
д) уязвимость, обусловленная человеческим фактором.
Рассмотрим подробнее каждый из этих видов:
а) Диапазон рабочих частот стандарта IEEE 802.11 является не лицензируемым. В диапазоне рабочих частот 2,4 ГГц работают некоторые модели радиотелефонов, бытовые устройства, протокол Bluetooth , которые создают помехи. Все стандарты IEEE 802.11 подвержены влиянию следующих явлений, связанных со средой передачи [8, 51]:
– помехи от других источников, в частности от передатчиков, работающих на той же частоте, обертоны от других радиоэлектронных станций, шум от силовых устройств;
– многолучевые эффекты при прохождении листвы деревьев, находящиеся в сильной зависимости от ветра;
– влияние прочих препятствий.
Помимо проблем связанных с распространением радиоволн, среда передачи определяет следующую проблему. Информация, циркулирующая в беспроводных сетях подвержена перехвату. Это объясняется тем, что переносчиком информации являются радиоволны. Т.е. для перехвата информации злоумышленнику достаточно иметь недорогой набор устройств, аналогичный комплекту оборудования пользователя беспроводной сети [52].
б) Основными системами аутентификации в беспроводных сетях являются базовая аутентификация, аутентификация с использованием общих PSK-ключей, аутентификация по стандарту IEEE 802.1X и протоколу EAP.
Уязвимости системы аутентификации складываются из следующих составляющих:
– Проблемы идентификатора беспроводной сети. Идентификатор SSID регулярно передается точками радиодоступа и любой сторонний наблюдатель в состоянии определить SSID с помощью анализатора трафика протокола IEEE 802.11. Некоторые точки радиодоступа позволяют административно запретить широковещательную передачу SSID. Однако и в этом случае SSID можно легко определить путем захвата кадров, посылаемых точками радиодоступа [8].
– Уязвимость открытой аутентификации. Открытая аутентификация не позволяет точке радиодоступа определить, является ли абонент легитимным или нет. Это становится серьезной брешью в системе безопасности в том случае, если в беспроводной сети не используется шифрование [36].
– Уязвимость аутентификации с общим ключом. Аутентификация с общим ключом требует настройки у абонента статического WEP-ключа для шифрования специального сообщения, отправленного точкой радиодоступа. Точка радиодоступа аутентифицирует абонента посредством дешифрования его ответа на специальное сообщение и сравнения его с отправленным оригиналом. Наблюдатель может принять как нешифрованное специальное сообщение, так и то же сообщение, но уже в шифрованном виде (рисунок 1.1). Шифрование WEP производится путем выполнения побитовой операции «исключающее или» над текстом сообщения и ключевой последовательностью, в результате чего получается зашифрованное сообщение. Важно понимать, что выполнение побитовой операции «исключающее или» над зашифрованным сообщением и ключевой последовательностью имеет результатом текст исходного сообщения. Таким образом, наблюдатель может легко вычислить сегмент ключевой последовательности путем анализа кадров в процессе аутентификации абонента [53].
– Уязвимость аутентификации по MAC-адресу. Стандарт IEEE 802.11 требует передачи MAC-адресов абонента и точки радиодоступа в открытом виде. В результате этого в беспроводных сетях, использующих аутентификацию по MAC-адресу, нарушитель может обмануть метод аутентификации путём подмены своего MAC-адреса на легитимный. Подмена MAC-адреса возможна в беспроводных адаптерах, допускающих использование локально администрируемых MAC-адресов. Нарушитель может воспользоваться анализатором трафика протокола IEEE 802.11 для выявления MAC-адресов легитимных абонентов [8, 36].
в) В настоящий момент, из всех криптографических протоколов, применяемых при организации беспроводной сети, уязвимости найдены только в протоколе WEP.
В качестве алгоритма шифрования WEP применяется потоковый шифратор RC4. Стандартом не оговорены шаги, которые следует предпринять, чтобы обеспечить ввод случайных элементов (ключа и IV), усложняющих ключевой поток. Поэтому поставщики обычно реализуют методы с избыточными ключами и значениями IV, что снижает сложность ключевого потока [53].
Ключевой поток алгоритма шифрования RC4 – длинная последовательность псевдослучайных байтов, которые используются для получения шифртекста, путем выполнения логической операции «исключающее или» над символами текстового сообщения. Если взломщик располагает ключевым потоком, с помощью которого было зашифровано сообщение, то для восстановления текстового сообщения достаточно выполнить обратную логическую операцию.
Рассмотрим выявленные в настоящий момент уязвимости протокола шифрования WEP [8, 53, 54, 55].
– В стандарте 802.11 не указан метод, с помощью которого можно было бы предоставить каждому пользователю свой ключ, поэтому во многих организациях все пользователи работают с одним ключом. Этот ключ хранится в каждом компьютере и устройстве. Если взломщик получит секретный ключ для одного устройства, он будет обладать ключом для всех устройств в сети.
– Вектор IV – случайное общедоступное число длиной не более 24 разрядов. Если в организации используется один секретный ключ, необходимо задействовать все возможные значения IV; в противном случае ключевой поток будет избыточным и менее устойчивым к попыткам взлома. Уникальность каждого ключевого потока обеспечивается случайной природой вектора IV. Но в стандарте 802.11 для значения IV отведено всего 24 разряда (224 возможных варианта). Это говорит о том, что все уникальные значения будут исчерпаны быстрее, чем за один день, поэтому значения ключа IV и ключевые потоки придется использовать повторно, что приводит к уменьшению времени необходимого взломщику для получения всего множества ключевых потоков.
– Основные недостатки WEP связаны с генерацией значений вектора инициализации IV. В идеале все пакеты должны иметь разные значения IV и, следовательно, разные значения ключевого потока. Тогда любые попытки собрать и отслеживать подобную информацию были бы связаны со слишком большим объемом вычислений для современного уровня развития техники. Но в стандарте 802.11 не содержатся требования того, чтобы каждый пакет имел иное значение IV, и нет метода для вычисления случайных значений IV.
– Секретный ключ шифрования WEP может быть вычислен с использованием определенных кадров, пассивно собранных в беспроводной локальной сети. Причиной уязвимости послужила реализация в WEP метода планирования ключей алгоритма потокового шифрования RC4. Некоторые векторы инициализации дают возможность установить побайтовый состав секретного ключа, применяя статистический анализ. Подобная уязвимость делает шифрование с использованием WEP неэффективным.
– Уязвимость, обусловленная отсутствием действенных средств контроля целостности сообщений. Принимающая сторона не в состоянии распознать факт модификации содержимого кадра в процессе передачи по общедоступному радиоканалу. Более того, значение ICV, предусмотренное стандартом для контроля целостности сообщений, вычисляется с помощью функции CRC32 (контроль с помощью циклического 32-битного избыточного кода). Если взломщик сможет нарушить функционирование механизма CRC, изменив некоторые разряды в сообщении, то ему удастся изменить исходное текстовое сообщение, и принимающий компьютер не обнаружит подмены. С другой стороны, взломщик может перенаправить трафик, если он перехватит данные во время передачи и изменит IP-адрес отправителя, то любые ответы на запрос этого пакета будут направлены взломщику, а не законному адресату.