WPA2-Enterprise veya Wi-Fi ağ güvenliğine doğru yaklaşım. WPA ve WPA2 arasındaki fark
Kablosuz ağların çoğalmasıyla, WPA ve WPA2 şifreleme protokolleri, Wi-Fi'ye bağlanan cihazların hemen hemen tüm sahipleri tarafından bilinir hale gelmiştir. Bağlantı özelliklerinde belirtilirler ve çoğu kullanıcının dikkatini çekmez. sistem yöneticileri, minimum çek. WPA2'nin WPA'nın evriminin bir ürünü olduğu konusunda yeterli bilgi vardır ve bu nedenle WPA2, modern ağlar için daha yeni ve daha uygundur.
tanım
WPA - Wi-Fi Alliance tarafından 2003 yılında geliştirilmiş olan IEEE 802.11 kablosuz ağlarını eski ve güvenli olmayan WEP protokolünün yerine koymak üzere tasarlanmış bir şifreleme protokolü.
WPA2- Wi-Fi İttifakı tarafından 2004 yılında sunulan WPA'nın geliştirilmiş bir gelişmesi olan şifreleme protokolü.
karşılaştırma
WPA ve WPA2 arasındaki farkın aranması, çoğu kullanıcı için bir önemi yoktur, çünkü tüm koruma kablosuz ağ aşağı yukarı karmaşık bir erişim şifresi seçmeye gelir. Günümüzde bu durum, Wi-Fi ağlarında çalışan tüm cihazların WPA2'yi desteklemesi için gerekli olduğu için, WPA'nın seçimi sadece standart olmayan durumlardan kaynaklanıyor olabilir. Örneğin işletim sistemleri Windows XP SP3'ten daha eski, WPA2 ile yamaları uygulamadan desteklemez, bu nedenle bu tür sistemler tarafından yönetilen makineler ve aygıtlar ağ yöneticisinin dikkatini gerektirir. Bazı modern akıllı telefonlar bile yeni şifreleme protokolünü desteklemeyebilir, esas olarak marka olmayan Asya araçlarını ilgilendirir. Öte yandan, bazı windows sürümleri XP'den daha eski, WPA2 ile GPO seviyesinde çalışmayı desteklemez, bu nedenle bu durumda ağ bağlantılarının daha hassas ayarlanmasını gerektirirler.
WPA ve WPA2 arasındaki teknik fark, özellikle kullanılan protokollerde, şifreleme teknolojisidir. WPA TKIP'yi kullanır, WPA2 AES protokolünü kullanır. Pratikte, bu daha modern WPA2'nin daha yüksek bir ağ güvenliği sağladığı anlamına gelir. Örneğin, TKIP protokolü en çok 128 bit, AES - 256 bite kadar bir kimlik doğrulama anahtarı oluşturmanıza olanak tanır.
Bulgular sitesi
- WPA2, geliştirilmiş bir WPA'dır.
- WPA2, AES protokolünü kullanır, WPA, TKIP protokolünü kullanır.
- WPA2, tüm modern kablosuz cihazlar tarafından desteklenmektedir.
- WPA2, eski işletim sistemleri tarafından desteklenmeyebilir.
- WPA2, WPA'dan daha güvenlidir.
Merhaba sevgili okuyucular. Zayıf bir yönlendirici güvenlik sistemi ağınızı riske sokar. Yönlendirme güvenliğinin ne kadar önemli olduğunu hepimiz biliyoruz, ancak çoğu kişi bazı güvenlik ayarlarının tüm ağı yavaşlatabileceğini bilmiyor.
Yönlendirici üzerinden geçen verilerin şifrelenmesi için ana seçenekler protokollerdir WPA2-AES ve WPA2-TKIP. Bugün her biri hakkında konuşacak ve neden AES'i seçmeniz gerektiğini açıklayacaksınız.
WPA ile tanışın
WPA veya güvenli Wi-Fi erişimi, WEP protokolünde bol miktarda bulunan İttifak'ın Wi-Fi güvenlik açıklarının cevabıydı. Bunun tam bir çözüm olarak tasarlanmadığını belirtmek önemlidir. Aksine, insanların güvenlik tehditlerini de içeren WEP'e başvurmadan mevcut yönlendiricileri kullanmasına izin vermek geçici bir seçenek haline gelmelidir.
WPA, WEP'den üstün olmasına rağmen, kendi güvenlik sorunları da vardı. Saldırılar genellikle 256 bit şifrelemeye sahip TKIP algoritmasını (Geçici Anahtar Bütünlüğü Protokolü) geçemese de, bu protokole eklenen ek sistemi bypass edebilir ve WPS veya korumalı Wi-Fi kurulumu .
Wi-Fi Korumalı Kurulum, cihazların birbirine bağlanmasını kolaylaştırmak için tasarlanmıştır. Bununla birlikte, piyasaya sürüldüğü sayısız güvenlik deliğinden dolayı WPS, WPA ile birlikte alınıp kaybolmaya başladı.
Şu anda, hem WPA hem de WEP kullanılmıyor, bu yüzden ayrıntılara gireceğiz ve bunun yerine protokolün yeni versiyonunu ele alacağız - WPA2.
WPA2 neden daha iyi?
2006 yılında WPA eski bir protokol haline geldi ve yerini WPA2 aldı.
TKIP şifrelemesini yeni ve güvenli bir AES (Gelişmiş Şifreleme Standardı) algoritmasıyla değiştirmek, daha hızlı ve daha güvenli Wi-Fi ağları ile sonuçlandı. Nedeni TKIP'nin tam teşekküllü bir algoritma değil, geçici bir alternatif olmasıdır. Basitçe söylemek gerekirse, WPA-TKIP protokolü, WPA-TKIP'nin gelişi ile WPA2-AES'in piyasaya sürülmesi arasında üç yıl boyunca ağların kullanılabilirliğini sağlayan bir ara seçimdi.
Gerçek şu ki, AES sadece için değil, gerçek bir şifreleme algoritmasıdır. wi-Fi koruması ağlar. Bu hükümet tarafından kullanılan ciddi bir dünya standardıdır, bir kez popüler bir TrueCrypt programı ve diğer pek çok kişi de verileri meraklı gözlerden korur. Bu standardın ev ağınızı koruduğu güzel bir bonus olsa da, bu yeni bir yönlendirici satın almanızı gerektirir.
Güvenlik açısından AES ve TKIP
TKIP aslında bir WEP yamasıdır. problem çözücü nedeniyle saldırgan, yönlendiriciden geçen nispeten az miktarda trafiği inceledikten sonra anahtarınızı alabilir. TKIP, her iki dakikada bir yeni bir anahtar yayınlayarak bu güvenlik açığını giderdi. Teoride, hacker'ın, algoritmanın dayandığı anahtar veya RC4 akış şifresinin şifresini çözmek için yeterli veri toplamasına izin vermeyecekti.
TKIP, bir zamanlar güvenlik açısından önemli bir gelişme olsa da, bugün artık ağları bilgisayar korsanlarından korumak için yeterince güvenli kabul edilmeyen eski bir teknolojiye dönüşecek. Örneğin, chop-chop saldırı olarak bilinen en büyük, ancak tek değil, güvenlik açığı, şifreleme yönteminin kendisi ortaya çıkmadan önce halka açtı.
Chop-chop saldırısı, ağ tarafından oluşturulan akış verilerinin nasıl engelleneceğini ve analiz edileceğini bilen korsanlara izin verir, bunları anahtarın şifresini çözmek ve şifrelenmek yerine düz metin biçiminde görüntülemek için kullanır.
AES, TKIP'nin özelliklerini aşan tamamen farklı bir şifreleme algoritmasıdır. Bu algoritma, TKIP'nin sahip olduğu güvenlik açıklarından etkilenmeyen 128, 192 veya 256 bitlik bir şifredir.
Eğer algoritma basit bir dilde açıklanırsa, düz metnini alır ve şifrelenmiş metne dönüştürür. Bir anahtarı olmayan bir dış gözlemci için, bu metin bir dizi rasgele karaktere benziyor. Aktarımın diğer tarafındaki aygıt veya kişi, verilerin kilidini açan veya çözen bir anahtara sahiptir. Bu durumda, yönlendirici ilk anahtara sahiptir ve aktarımdan önce verileri şifreler ve bilgisayarın bilgileri açarak ekranınızda görüntülenmesine izin veren ikinci bir anahtarı vardır.
Şifreleme seviyesi (128, 192 veya 256-bit), veriye uygulanan permütasyonların sayısını ve bu nedenle, hacklemek için girdiğinizde olası kombinasyonların olası sayısını belirler.
Mevcut bir hesaplama gücünün bilgisayarının, bu algoritma için doğru çözümü bulmak için 100 milyar yıl alacağı için, en zayıf AES şifreleme seviyesi (128 bit) bile teorik olarak çatlamak imkansızdır.
Hız açısından AES vs TKIP
TKIP, güncel olmayan bir şifreleme yöntemidir ve güvenlik sorunlarının yanı sıra, hala çalışmakta olan sistemleri de yavaşlatır.
Çoğu yeni yönlendirici (tüm standart 802.11n veya daha eski) varsayılan olarak WPA2-AES şifrelemesini kullanır, ancak eski bir yönlendirici ile çalışıyorsanız veya bir nedenden dolayı WPA-TKIP şifrelemeyi seçerseniz, hızın önemli bir bölümünü kaybetmeniz olasılığı yüksektir.
Güvenlik ayarlarında WPA veya TKIP etkinleştirildiğinde 802.11n standardını destekleyen bir yönlendirici (yine de bir AC yönlendirici satın almanıza rağmen) 54 Mbps'ye kadar yavaşlar. Bu, güvenlik protokollerinin eski cihazlarla doğru şekilde çalışmasını sağlamak için yapılır.
WPA2-AES şifrelemeli 802.11ac standardı, teorik olarak en uygun (okuma: imkansız) koşullarda maksimum 3.46 Gbps hız sunar. Fakat bunu hesaba katmasanız bile, WPA2 ve AES hala TKIP'den daha hızlıdır.
sonuçlar
AES ve TKIP hiç karşılaştırılamaz. AES, kelimenin her anlamında daha ileri bir teknolojidir. Yönlendiricilerin yüksek hızı, güvenli tarama ve en büyük ülkelerin hükümetlerinin bile tüm yeni ve mevcut Wi-Fi ağları için tek doğru seçim yapmasını sağlayan algoritma.
Tüm bu AES'in sunduğu göz önüne alındığında, bu algoritmayı kullanmayı durdurmak için herhangi bir iyi sebep var mı? ev ağı? Ve neden başvuruyorsunuz (ya da uygulamıyorsunuz)?
Bu makalede alabileceğiniz bilgiler ağlara yetkisiz erişim elde etmek için kullanılabilir ve eylemleriniz Rusya Federasyonu Ceza Kanunu'nun 272-273. Bu bilgi sadece bilgilendirme amaçlı yayınlanmıştır ve sadece bunları yasa dışı amaçlar için kullanmaktan sorumlusunuz. Bu makalede, “Güvenli Kablosuz Ağlar (WPA2)” adlı MGUPI Kullanıcı Grubu toplantısında kutsanan konu ele alınmıştır.
tanıtım
Bir önceki yazıda, kablosuz ağların genel prensipleri ve güvenliklerinin sağlanması anlatıldı. Kablosuz ağ türlerinin ve güvenliklerinin genel ilkelerinin yanı sıra WEP şifrelemeli bir ağa erişimin ne kadar kolay olduğunun bir örneği anlatıldı.
Bu makalede, WPA'nın nasıl çalıştığı ve içindeki ana güvenlik açıklarının saldırganlar tarafından ağınızı kurcalamak için nasıl kullanılabileceği açıklanacaktır.
WEP üzerinden WPA avantajları
WPA, WiFi Korumalı Erişim - şu anda yeni, en modern, kablosuz ağların yetkisiz erişime karşı korunması için mekanizma. WPA ve onun daha da geliştirilmesi WPA2, o zamana kadar modası geçmiş olan WEP mekanizmasının yerini almıştır. Bir kez daha, WEP ilkesini göz önünde bulundurun:1. Bir veri çerçevesi şifrelenmiş ve şifrelenmemiş bir parçadan oluşur. Şifrelenmiş parça, veri ve sağlama toplamları (CRC32) içerecektir, şifrelenmemiş, başlatma vektörünü ve anahtar tanımlayıcısını içerecektir.
2. Her bir veri çerçevesi, şifreleme anahtarı olarak WEP anahtarına eklenmiş olan başlatma vektörü kullanılarak RC4 akış şifresi ile şifrelenmektedir.
Böylece, her veri çerçevesi kendi şifreleme anahtarını üretir, fakat aynı zamanda her yeni şifreleme anahtarı diğerinden sadece başlangıç vektörü ile farklılık gösterir. (Anahtar uzunluğu 40 veya 104 bit olduğunda 24 bit) Böylece, bir saldırgan çok sayıda paketi yakalarsa, aşağıdakileri alır: - çok sayıda başlatma vektörü
-çok miktarda şifrelenmiş veri
-bir sonraki her çerçeve için şifreleme anahtarı bir öncekinden 4 bit (başlatma vektörünün uzunluğu) ile farklıdır
Böylece, paketler üzerinde matematiksel işlemler yaparak anahtarı ayıklamak mümkündür.
Başarıyla elde etmek için wEP anahtarısaldırganın aşağıdakilere ihtiyacı vardır:
- Bir ağ sinyali alma ihtimalinin olduğu yerde olmak (-85 dBm'lik RSSI yeterli olacaktır)
- Anahtarın uzunluğuna (WEP-40 veya WEP-104) bağlı olarak yaklaşık 100-200 bin başlatma vektörünü yakalayın. Genellikle, bu amaçla, bir ağda aktarılan trafiğin 25-50 Mb'ını kestirmek gerekir. Yüksek ağ aktivitesinin varlığında (bir video konferansın dosyaları (özellikle eşler arası ağlar kullanarak)), 5-10 dakika, gerekli miktarda trafiği yakalamak için yeterli olacaktır.
Ayrıca saldırganın trafiği nasıl yakaladığını da not edin.
Genellikle, kablosuz ağ bağdaştırıcıları normal modda çalışırlar - yalnızca bu kablosuz ağa bağlı olmaları koşuluyla MAC adreslerine gönderilen paketleri kabul ederler. Ancak, fiziksel olarak hiçbir şey kablosuz bağlantıya engel olmaz ağ bağdaştırıcısı seçili kanaldaki menzilindeki tüm paketleri yakala. Bu olasılığı gerçekleştirmek için özel gayri resmi sürücüler ve yazılım. Ayrıca, bu tür yazılım yasal olarak satılmaktadır ve kablosuz ağları izlemek için kullanılır. Böyle bir programın bir örneği, TamoSoft'un WiFi için CommView. Saldırgan daha sonra yakalanan trafiği analiz eder. WEP yıllar önce saldırıya uğradığı için, Internet üzerinden CAP dosyasındaki anahtarı otomatik olarak çıkararak, aralarında en yaygın olanı Aircrack olan, Internet'te yardımcı programları bulabilirsiniz.
Böylece, WEP aşağıdaki dezavantajlara sahiptir
çerçeve için şifreleme anahtarının tahmin edilebilirliği
-Ağ üzerindeki kimlik doğrulama araçları yok
-weak veri bütünlüğü kontrol mekanizması
Bu nedenle, birçok şirket kurumsal bilgilerin sızmasını önlemek için genel olarak kablosuz ağları kullanmayı reddetti. Bununla birlikte, WPA'nın ve daha sonra WPA2'nin gelişiyle birlikte durum değişti ve giderek daha fazla sayıda kurumsal kullanıcı WPA'yı kullanmaya başladı. Gerçekten de, WEP ile karşılaştırıldığında, birkaç avantajı vardır:
- Her paket için birbirinin şifreleme anahtarlarının matematiksel bağımsızlığı
-Yeni kontrol sayım mekanizması
-WPA 802.1X protokolü kimlik doğrulamasını içerir.
WPA çalışma prensibi
İlk WPA modifikasyonları gelişmiş bir WEP idi.
WPA, WPA-TKIP ilk protokollerinden birini düşünün
48 bitlik bir başlatma vektörü kullanır ve vektör yapım kuralları değiştirildi, aynı zamanda MIC (Message Integrity Code), eski ve daha az güvenilir CRC32 yerine kullanılan sağlama toplamını hesaplamak için kullanılır.
Ve en önemli gelişme şifreleme anahtarı uzunluğunun şu an 40 yerine 128 bit olmasıdır. Anahtarların yönetilmesi için her bir çerçeve için şifreleme anahtarının tahmin edilebilirliğini önleyecek özel bir hiyerarşi vardır. TKIP sayesinde, her veri çerçevesinin şifreleme anahtarı, sadece kısmen olsa bile birbirini tekrar etmeyecek şekilde üretilir.
Bu nedenle, WPA ağ tam olarak CRC32-sağlama baypas ve tam olarak aynı şifreleme anahtarı ile çerçeve göndermek mümkün WEP'ten, bahsedilen edilemez tekrarlanan saldırılara (anahtar tekrarı) ve sahte (yerine paket içeriği), karşı korunur önceki gibi.
Aynı zamanda, kimlik doğrulama mekanizmaları WPA: EAP'a entegre edilmiştir ve kimlik doğrulama için 802.1X standartlarına tam destek uygulanmıştır. EAP - En yaygın kimlik doğrulama protokollerinden biri olan Genişletilebilir Kimlik Doğrulama Protokolü. Kablolu ağlarda kimlik doğrulama için kullanılır ve bu nedenle WPA-kablosuz ağ mevcut altyapıya kolayca entegre edilir. Kimlik doğrulama için bir ön koşul, erişim belirtecinin, ağa erişim hakkını onaylayan kullanıcı tarafından sunulmasıdır. Bir jeton elde etmek için, özel bir veritabanına bir talep yapılır ve kimlik doğrulama olmadan, kullanıcı için ağ işlemi yasaklanır. Doğrulama sistemi özel bir RADIUS sunucusunda bulunur ve Active Directory veritabanı olarak kullanılır (Windows sistemlerinde)
Böylece, WPA aşağıdaki teknolojilerin ve standartların bir sentezidir:
WPA = 802.1X + EAP + TKIP + MIC
Bununla birlikte, 2008 yılında TKIP koruması kısmen kırılmıştır. Bunu başarılı bir şekilde atlatmak için, kablosuz yönlendirici QoS kullanıldı. Bir saldırgan ağda iletilen verileri kesip şifresini çözebilir ve ayrıca ağda iletilen paketleri oluşturabilir. Bu nedenle, gelişmiş bir WPA olan WPA2 mekanizması geliştirilmiştir.
WPA2 nasıl çalışır?
WPA'daki güvenlik açıklarını bulmak, WPA2 güvenlik yönteminin oluşturulmasını sağladı. WPA'nın temel farkı, ağdaki trafiğin sadece bu ağa bağlı olmayan cihazlardan değil, birbirlerinden de şifrelenmesidir. Başka bir deyişle, her cihazın erişim noktası ile iletişim kurmak için kendi şifreleme anahtarları vardır. Ağda birkaç şifreleme anahtarı vardır:
1) Çift Yönlü Geçici Anahtar (PTK). Bu tür anahtarla, her müşterinin kişisel trafiği şifrelenir. Böylece ağ, içeriden korunmaktadır, böylece ağ üzerinde yetkilendirilmiş bir müşteri, diğerinin trafiğini engellememektedir.
2) Grup Zamansal Anahtarı (GTK). Bu anahtar, yayın verilerini şifreler.
WPA2, CCMP şifreleme algoritması olarak kullanılır
CCMP (Şifreli Blok Zincirleme İleti Kimlik Doğrulama Kodu Protokolü ile Sayaç Modu), mesaj kimlik doğrulama koduyla blok şifreleme protokolünü ve blok ve karşı kuplaj modunu, WPA2 ağı için şifreleme protokolüdür, AES algoritmasını kullanarak veri şifreleme için temel oluşturur. FIPS-197 standardına uygun olarak, 128 bit şifreleme anahtarı kullanılır.
TKIP ve WEP'in ana farkı, AES seviyesinde gerçekleştirilen paket bütünlüğünün merkezi yönetimidir.
Paket şifreli CCMP yapısı
CCMP paketi 16 oktet tarafından artırıldı. CCMP başlığı üç bölümden oluşur: PN (paket numarası, 48 bit), ExtIV (başlatma vektörü) ve anahtar tanıtıcısı.
CCMP kullanarak veri kapsülleme:
1) Paket numaralarını çoğaltmak için paket numarası bir miktar artırılır.
2) Ek kimlik doğrulama verileri oluşturulur.
3) Bir hizmet dışı alan oluşturulur.
4) Paket numarası ve anahtar tanımlayıcı paket başlığına yerleştirilir.
5) Alan dışı alan ve ek kimlik doğrulama verileri geçici bir anahtar kullanılarak şifrelenir. 
CCMP kullanarak veri kapatma:
1) Paket veri kullanılarak ek tanımlama veri alanları ve alan dışı alanlar oluşturulur.
2) Şifrelenmiş paketin başlığından ek tanımlama verileri alanı çıkarılır.
3) A2 alanı, paket numarası ve öncelik alanı alınır.
4) MIC alanı alındı
5) Paket şifresi çözülür ve paketin şifresi, ek tanımlama verileri, geçici bir anahtar ve MIC'in kendisi kullanılarak bütünlüğü kontrol edilir.
6) Paket, şifresi çözülmüş formda toplanıyor.
7) Yinelenen numaralı paketler atılmıştır.
Ağdaki bu şifreleme yöntemi şu anda en güvenilir olanıdır.
WPA \\ WPA2'de Kimlik Doğrulama Yöntemleri
Kimlik doğrulaması, yani kullanıcının kaynaklara erişim haklarının onayı, WPA \\ WPA2'nin çalışması için bir önkoşuldur.
Bunu yapmak için klasik WAP \\ WPA2 uygulaması 802.11 ve EAP desteği içerir.
Başka bir deyişle, müşteri cihazının bağlantı sürecini başarıyla tamamlaması için, kendini tanımlaması gerekir. Pratikte, şuna benzer: kullanıcının ağa erişmek için bir giriş ve şifre girmesi istenir. Kimlik bilgileri, kimlik doğrulama sunucusuyla iletişim kurduğu RADIUS sunucusunda doğrulanır. Windows Server 2008R2 etki alanı denetleyicisi bir kimlik doğrulama sunucusu olarak kullanılır ve ayrıca bir RADIUS sunucusu olarak kullanılır.
WPA \\ WPA2'nin uygulanmasına yönelik bu yaklaşım, WPA-Enterprise olarak adlandırılmaktadır. Active Directory altyapısının zaten kurulu olduğu büyük üretim ağlarında kullanılır.
Ancak, Active Directory ve RADIUS'un küçük bir işletmede veya evde dağıtılmasının neredeyse imkansız olduğu açıktır. Bu nedenle, WPA \\ WPA2 evde kullanılabilecek standartlar, Wi-Fi Alliance organizasyonu WPA-PSK (Ön Paylaşımlı Anahtar) olarak adlandırılan basitleştirilmiş bir uygulama, geliştirmiştir. Aynı şifreleme protokollerini kullanır, ancak içindeki kullanıcı doğrulama şeması büyük ölçüde basitleştirilmiştir. Cihazın bir ağ erişim belirteci alması için, önceden Paylaşılan Anahtar adı verilen özel bir parola cihaza girilmelidir. Uzunluk 8 ila 32 karakter arasında olmalı, ayrıca, özel karakterler ve ulusal alfabe sembolleri de kullanabilirsiniz. Parola girildikten sonra, erişim noktasına aktarılan özel bir ilişkilendirme paketine (anahtar değişim paketi, el sıkışma) yerleştirilir. Parola doğruysa, aygıta bir ağ erişim belirteci verilir. Bu yaklaşım, WPA-Enterprise'dan çok daha basittir ve bu nedenle küçük işletmeler ve ev kullanıcıları arasında yaygın kullanım bulmuştur.
WPA \\ WPA2'deki güvenlik açıkları
Tüm hakları için WPA \\ WPA2, güvenlik açıkları olmadan değildir.
Başlangıç olarak, 2006'da WPA şifreli TKIP şifrelemesi. Yararlanma, erişim noktasından istemci makineye iletilen verileri okumanın yanı sıra, istemci makineye taklit bilgileri iletmenizi sağlar. Bu saldırıyı uygulamak için ağda QoS kullanmanız gerekir.
Bu nedenle, kablosuz ağınızı korumak için WPA'yı kullanmanızı önermiyorum. Tabii ki, bu WEP olana göre daha zordur ve WPA Aircrack ile saldırılar okul korur, ancak, o kuruluşunuz kasıtlı saldırı dayanacak şekilde yapabiliyor. En fazla koruma için WPA2'yi kullanmanızı tavsiye ederim
Ancak WPA2, güvenlik açıkları olmadan kullanılamaz. 2008'de, merkezde bir saldırıya izin veren bir güvenlik açığı keşfedildi. Ağ katılımcısının, diğer ağ üyeleri arasında Doublewise Geçici Anahtarlarını kullanarak iletilen verileri kesip çözmesine izin verdi. Böyle bir ağda çalışırken nedenle, duyu bu güvenlik açığından yararlanabilmesi için, saldırganın kimliği doğrulanmış ve ağa bağlı olması gerekir ki aynı zaman not At (örneğin PCDST "Şipka") bilgisi şifreleme. aktarılan ek fon kullanmayı kolaylaştırır.
Ancak, WPA-PSK'nın “ev” uygulamasına odaklanmak istiyorum. Bu basitleştirilmiş yetkilendirme düzeni, böyle bir "dar" bir yer orada kendisidir Ön Paylaşımlı Anahtar, bu tuş giriş cihazı ağa tam erişim sağlar çünkü (MAC-filtrasyon etkin değilse).
Anahtarın kendisi erişim noktasında saklanır. Cihazın modeline ve ürün yazılımına bağlı olarak, koruma yöntemleri uygulanır. Bazı durumlarda, bir saldırganın web kontrol paneline erişim kazanması ve orada açık metin içinde saklanan Ön Paylaşımlı Anahtarı alması yeterlidir. Bazı durumlarda, onunla alan bir şifre ile bir alan olarak, korunan, ancak saldırganın cihaz bellek çipi ayıklamak ve düşük seviyede erişebilir ise iyileşme ihtimali hala var. Bu nedenle kablosuz cihazınızın fiziksel güvenliğine dikkat edin.
Son olarak, en son güvenlik açığı, aygıt ağa bağlandığında Ön Paylaşımlı Anahtar iletildiği el sıkışma paketlerini engelleme kabiliyetidir. Ön Paylaşımlı anahtarın ne kadar şifrelenmiş olduğuna göre, saldırganın yalnızca bir olasılığı kalmıştır - yakalanan ilişki paketlerine bir kaba kuvvet saldırısı. Bir yandan, bu mantıksız, ama bu bir erişim noktasına yakın olması ihtiyacı olmadığını anlamak için gereklidir ve bir saldırganın bir kaba kuvvet saldırısı (veya sözlüğe) için işlem çok fazla kaynak kullanabilirsiniz.
Ayrıca, bir el sıkışmasının engellenmesi için saldırganın ağa yeni bir cihaz bağlandığında anı beklemesi gerekmediğini de belirtmek gerekir. Bazılarında kablosuz adaptörlerStandart olmayan sürücüler kullanıldığında, ağ bağlantısı kesintiye ve müşteri erişim noktası arasındaki ağ yeni bir anahtar değişimi başlatır reassotsionnyh paket ağda gönderme imkanı vardır. Bu durumda, gerekli paketleri yakalamak için, ağa en az bir müşterinin bağlı olması gerekir. Ayrıca, saldırgan onun adaptörü (ve genellikle düşük hassasiyet ve düşük enerjili çalışma sırasında ısınmış şiddetle ve böyle adaptörleri) paket yeniden dernek (trafik sadece "yakalamak" yeterli miktarda vardı WEP, hatırlamak göndermek için yeterliydi iktidara erişim noktasına yakın olması gerekir ). Sonunda, kaba kuvvetler tarafından yapılan saldırı uzun sürüyor, ancak bir hesaplama kümesinin kullanılması görevi büyük ölçüde basitleştiriyor.
Sonuç
Bu makalede, WPA \\ WPA2 mekanizmasının yanı sıra ana güvenlik açıkları nasıl çalıştığı tartışıldı.
Bu nedenle, WPA \\ WPA2'yi evde korumak için, uzun, karmaşık (sözlük dışı) şifreler kullanın ve özel karakterler ve tercihen yazdırılamayan ASCII karakterleri kullanın. Ancak, bu durumda pek çok bağlantı yeteneği anlaşılmalıdır. mobil cihazlar şifre bu cihazdan girilemezse sınırlı olacaktır.
İşinizde, özellikle de zaten dağıtılmış bir Active Directory ağınız varsa, WPA-Enterprise'ı kullanın. Bu, ağınızı çoğu saldırıdan koruyacaktır. Ama aynı zamanda altyapınızı korumak için diğer araçları da unutma.
Bu dizinin bir sonraki makalesinde, saldırganın WPA2-PSK ağına zayıf bir parola kullanarak nasıl erişebileceği ve Hizmet Reddine saldırmak suretiyle WPA ağını geçici olarak devre dışı bırakabileceği bir örnek verilecektir.
protokol WPA2 2004 yılında değiştirilmek üzere IEEE 802.11i standardı tarafından tanımlanmış olarak tanımlanmıştır. Uygulandı CCMP ve şifreleme AESne yüzünden WPA2 selefinden daha güvenli oldu. 2006'dan beri destek WPA2 tüm sertifikalı cihazlar için bir zorunluluktur.
WPA ve WPA2 arasındaki fark
WPA2 ve çoğu kullanıcı arasındaki farkın aranması uygun değildir, çünkü bir kablosuz ağın tüm koruması, daha fazla veya daha az karmaşık bir erişim şifresi seçmek için aşağı iner. Günümüzde bu durum, Wi-Fi ağlarında çalışan tüm cihazların WPA2'yi desteklemesi için gerekli olduğu için, WPA'nın seçimi sadece standart olmayan durumlardan kaynaklanıyor olabilir. Örneğin, Windows XP SP3'ten daha eski işletim sistemleri, WPA2 ile yamaları uygulamadan desteklemez, bu nedenle bu tür sistemler tarafından yönetilen makineler ve aygıtlar ağ yöneticisinin dikkatini gerektirir. Bazı modern akıllı telefonlar bile yeni şifreleme protokolünü desteklemeyebilir, esas olarak marka olmayan Asya araçlarını ilgilendirir. Öte yandan, Windows XP'den eski Windows sürümleri, GPO'lar düzeyinde WPA2 ile çalışmayı desteklemez, bu nedenle bu durumda ağ bağlantılarının daha ince ayarını gerektirirler.
WPA ve WPA2 arasındaki teknik fark, özellikle kullanılan protokollerde, şifreleme teknolojisidir. WPA, AES protokolünü kullanırken WPA, TKIP protokolünü kullanır. Pratikte, bu daha modern WPA2'nin daha yüksek bir ağ güvenliği sağladığı anlamına gelir. Örneğin, TKIP protokolü en çok 128 bit, AES - 256 bite kadar bir kimlik doğrulama anahtarı oluşturmanıza olanak tanır.
WPA2 ve WPA arasındaki fark aşağıdaki gibidir:
- WPA2, geliştirilmiş bir WPA'dır.
- WPA2, AES protokolünü, WPA - TKIP protokolünü kullanır.
- WPA2, tüm modern kablosuz cihazlar tarafından desteklenmektedir.
- WPA2, eski işletim sistemleri tarafından desteklenmeyebilir.
- WPA2, WPA'dan daha güvenlidir.
WPA2 kimlik doğrulaması
Hem WPA hem de WPA2, iki kimlik doğrulama modunda çalışır: kişisel (Kişisel) ve kurumsal (Enterprise). WPA2-Kişisel modunda, bazen önceden paylaşılmış bir anahtar olarak adlandırılan düz metin tarafından girilen paroladan bir 256 bit anahtar oluşturulur. PSK anahtarı, ikincisinin tanımlayıcı ve uzunluğunun yanı sıra, ana çift anahtarın oluşturulması için matematiksel temeli oluşturur PMK (Çift Ana Anahtar)Dört yönlü el sıkışmasını başlatmak ve geçici bir çift veya oturum anahtarı oluşturmak için kullanılır PTK (Çift Yönlü Geçici Anahtar)Kablosuz kullanıcı cihazının erişim noktası ile iletişim kurması için. Statik olarak, WPA2-Personal protokolü, anahtar dağıtım ve destek sorunlarına sahip olmanın doğasında bulunur, bu da işletmelere göre daha küçük ofislerde kullanılmasını daha uygun hale getirir.
Ancak, WPA2-Enterprise protokolü, statik anahtar dağıtımı ve yönetimi ile ilgili sorunları başarılı bir şekilde çözer ve çoğu kurumsal kimlik doğrulama hizmetiyle bütünleşmesi, kullanıcı hesaplarına dayalı erişim denetimi sağlar. Bu modda çalışmak için kullanıcı adı ve şifre, güvenlik sertifikası veya bir kerelik şifre gibi kayıt verilerini gerektirir; iş istasyonu ve merkezi kimlik doğrulama sunucusu arasında kimlik doğrulama yapılır. Bir erişim noktası veya kablosuz denetleyici bağlantıyı izler ve kimlik doğrulama paketlerini, genellikle bu kimlik doğrulama sunucusuna gönderir. WPA2-Enterprise modu için temel, hem kablolu hem de kablosuz erişim noktaları için uygun olan port ve port tabanlı kullanıcı ve makine doğrulamasını destekleyen 802.1X standardıdır.
WPA2 Şifreleme
WPA2 standardı, DES ve 3DES standartlarını fiili endüstri standardı olarak alan AES şifreleme yöntemine dayanmaktadır. Çok fazla hesaplama gerektiren AES standardı, eski WLAN ekipmanlarında her zaman bulunmayan donanım desteğine ihtiyaç duyar.
Kimlik doğrulama ve veri bütünlüğü için, WPA2 CBC-MAC protokolünü kullanır (Şifre Blok Zincirleme Mesaj Kimlik Doğrulama Kodu) ve Sayaç Modu (CTR) verileri ve MIC sağlama toplamını şifrelemek için kullanılır. WPA2 protokolünün mesaj bütünlüğü kodu (MIC) bir sağlama toplamından başka bir şey değildir ve WPA'nın aksine, değişmez 802.11 başlık alanları için veri bütünlüğü sağlar. Bu, paketlerin şifresini çözmek veya kriptografik bilgileri tehlikeye atmak için paket tekrar saldırılarını engeller.
MIC'yi, AES yöntemini hesaplamak için 128 bitlik bir başlatma vektörü (Initialization Vector - IV) kullanılır ve şifreleme IV için geçici bir anahtar kullanılır ve sonuç 128 bitlik bir sonuçtur. Ayrıca, bu sonuç ve sonraki 128 veri biti üzerinde özel bir OR işlemi gerçekleştirilir. Sonuç, AES ve TK kullanılarak şifrelenir ve daha sonra XOR işlemi, son sonuçta ve sonraki 128 bit veride tekrar gerçekleştirilir. İşlem, tüm yük bitene kadar tekrarlanır. Son adımda elde edilen sonucun ilk 64 biti, MİK değerini hesaplamak için kullanılır.
Veri şifreleme ve MIC için sayaç tabanlı bir algoritma kullanılır. MIC başlatma vektörünün şifrelenmesinde olduğu gibi, bu algoritmanın yürütülmesi 128 bitlik bir sayıcının ön yüklemesi ile başlar, burada veri uzunluğuna tekabül eden değer yerine sayaç alanında bire karşı ayarlanan sayaç değeri alınır. Böylece, her bir paketi şifrelemek için ayrı bir sayaç kullanılır.
AES ve TK kullanımıyla, ilk 128 bit veri şifrelenir ve daha sonra, 128-bit üzerinden bu şifrelenmenin sonucu, özel bir VEYA işlemidir. İlk 128 bit veri, ilk 128 bit şifreli bloğu verir. Önceden yüklenmiş sayaç değeri aşamalı olarak artırılır ve AES ve bir veri şifreleme anahtarı ile şifrelenir. Daha sonra bu şifreleme ve bir sonraki 128 bitlik veri sonucunda XOR işlemi tekrar gerçekleştirilir.
Tüm 128 bit veri blokları şifrelenene kadar prosedür tekrarlanır. Bundan sonra, sayaç alanındaki son değer sıfırlanır, sayaç AES algoritması kullanılarak şifrelenir ve daha sonra şifreleme sonucu ve MIC üzerinde bir XOR işlemi gerçekleştirilir. Son işlemin sonucu şifreli çerçeveye yerleştirilir.
MIC, CBC-MAC protokolü kullanılarak hesaplandıktan sonra, veri ve MIC şifrelenir. Daha sonra, bu bilgilere 802.11 üstbilgisi ve bir CCMP paket numarası alanı eklenir, 802.11 fragmanı yerleştirilir ve bunların tümü hedef adrese gönderilir.
Veri şifre çözme, ters sırada şifreleme ile gerçekleştirilir. Sayacı ayıklamak için şifrelemede olduğu gibi aynı algoritma kullanılır. Sayaç moduna ve TK anahtarına dayalı bir şifre çözme algoritması, sayacın ve yükün şifreli kısmının şifresini çözmek için kullanılır. Bu işlemin sonucu, şifrelenmiş veri ve MIC'nin sağlama toplamıdır. Bundan sonra, CBC-MAC algoritması kullanılarak, şifresi çözülmüş veriler için MIC yeniden hesaplanır. MIC değerleri uyuşmuyorsa, paket düşürülür. Belirtilen değerler eşleşirse, şifrelenmiş veri ağ kümesine ve daha sonra istemciye gönderilir.
