Лабораторная работа Исследование системы анализа рисков и проверки политики информационной безопасности предприятия

130 
втором этапе осуществляется непосредственно шифрование. Ключ для WEP-
шифрования - общий секретный ключ, который должны знать устройства на обеих 
сторонах беспроводного канала передачи данных. Этот секретный 40-битный ключ 
вместе со случайным 24-битным IV является входной последовательностью для 
генератора псевдослучайных чисел, базирующегося на шифре Вернама для 
генерации строки случайных символов, называемой ключевым потоком (key 
stream). Данная операция выполняется с целью избежания методов взлома, 
основанных на статистических свойствах открытого текста. 
Initialization Vector (IV) используется, чтобы обеспечить для каждого 
сообщения свой уникальный ключевой поток. Зашифрованное сообщение 
образуется в результате выполнения операции XOR над незашифрованным 
сообщением с ICV и ключевым потоком. Чтобы получатель мог прочитать его, в 
передаваемый пакет в открытом виде добавляется IV. Когда информация 
принимается на другой стороне, производится обратный процесс. 
Таким образом, мы можем получить незашифрованный текст, являющийся 
результатом операции XOR между двумя другими оригинальными текстами. 
Процедура их извлечения не составляет большого труда. Наличие оригинального 
текста и IV позволяет вычислить ключ, что в дальнейшем даст возможность читать 
все сообщения данной беспроводной сети. 
После несложного анализа можно легко рассчитать, когда повторится 
ключевой поток. Так как ключ постоянный, а количество вариантов IV составляет 
2
24
=16 777 216, то при достаточной загрузке точки доступа, среднем размере пакета 
в беспроводной сети, равном 1500 байт (12 000 бит), и средней скорости передачи 
данных, например 5 Mbps (при максимальной 11 Mbps), мы получим, что точкой 
доступа будет передаваться 416 сообщений в секунду, или же 1 497 600 сообщений 
в час, т. е. повторение произойдет через 11 ч 12 мин (2
24
/1 497 600=11,2 ч). Данная 
проблема носит название "коллизия векторов". Существует большое количество 
способов, позволяющих ускорить этот процесс. Кроме того, могут применяться 
атаки "с известным простым текстом", когда одному из пользователей сети 

131 
посылается сообщение с заранее известным содержанием и прослушивается 
зашифрованный трафик. В этом случае, имея три составляющие из четырех 
(незашифрованный текст, вектор инициализации и зашифрованный текст), можно 
вычислить ключ. В работе "Intercepting Mobile Communications: The Insecurity of 
802.11" было описано множество типов атак, включая довольно сложные, 
использующие манипуляции с сообщениями и их подмену, основанные на 
ненадежном методе проверки целостности сообщений (CRC-32) и аутентификации 
клиентов. С ICV, используемым в WEP-алгоритме, дела обстоят аналогично. 
Значение CRC-32 подсчитывается на основе поля данных сообщения. Это хороший 
метод для определения ошибок, возникающих при передаче информации, но он не 
обеспечивает целостность данных, т. е. не гарантирует, что они не были подменены 
в процессе передачи. Контрольная сумма CRC-32 имеет линейное свойство: CRC(A 
XOR B)=CRC(A)XOR CRC(B), предоставляющее нарушителю возможность легко 
модифицировать зашифрованный пакет без знания WEP-ключа и пересчитать для 
него новое значение ICV. Появившаяся в 2001 г. спецификация WEP2, которая 
увеличила длину ключа до 104 бит, не решила проблемы, так как длина вектора 
инициализации и способ проверки целостности данных остались прежними. 
Большинство типов атак реализовывались так же просто, как и раньше. На 
сегодняшний день использование алгоритма WEP для построение защищенных 
беспроводных сетей не допустимо. 
VPN 
Сегодня технология VPN (Virtual Private Network - виртуальная частная сеть) 
завоевала всеобщее признание и практически все компания организовывают VPN-
каналы для сотрудников, работающих вне офиса. C помощью VPN можно 
организовать защищенный виртуальный канал через публичные сети. Зашита 
трафика основана на криптографии. Наиболее часто используемым алгоритмом 
кодирования является Triple DES, который обеспечивает тройное шифрование (168 
разрядов) с использованием трех разных ключей. Технология включает в себя 

132 
проверку целостности данных и идентификацию пользователей, задействованных в 
VPN. Первая гарантирует, что данные дошли до адресата именно в том виде, в 
каком были посланы. Самые популярные алгоритмы проверки целостности данных 
- MD5 и SHA1. Далее система проверяет, не были ли изменены данные во время 
движения по сетям, по ошибке или злонамеренно. Таким образом, построение VPN 
предполагает создание защищенных от постороннего доступа туннелей между 
несколькими локальными сетями или удаленными пользователями. Для построения 
VPN необходимо иметь на обоих концах линии связи программы шифрования 
исходящего и дешифрования входящего трафиков. Они могут работать как на 
специализированных аппаратных устройствах, так и на ПК с такими 
операционными системами как Windows, Linux или NetWare. Чтобы организовать 
надежную защиту передаваемых данных и обеспечить прозрачность для устройств 
находящихся между концами виртуального туннеля применяется инкапсуляция, т.е.
кадр 
сгенерированный 
узлом-отправителем 
шифруется 
и 
снабжается 
дополнительным заголовком содержащим информацию о маршруте. На другом 
конце туннеля заголовок отбрасывается, кадр дешифруется и доставляется по 
указанному в нем адресу.
Для формирования туннелей VPN используются протоколы PPTP, L2TP, 
IPsec, IP-IP. Протокол PPTP - позволяет инкапсулировать IP-, IPX- и NetBEUI-
трафик в заголовки IP для передачи по IP-сети, например Internet.
Протокол L2TP - позволяет шифровать и передавать IP-трафик с 
использованием любых протоколов, поддерживающих режим `точка-точка` 
доставки дейтаграмм. Например, к ним относятся протокол IP, ретрансляция кадров 
и асинхронный режим передачи (АТМ). Протокол IPsec - позволяет шифровать и 
инкапсулировать полезную информацию протокола IP в заголовки IP для передачи 
по IP-сетям.
Для технической реализации VPN, кроме стандартного сетевого 
оборудования, понадобится шлюз VPN, выполняющий все функции по 
формированию туннелей, защите информации, контролю трафика, а нередко и 

133 
функции централизованного управления. Рассмотренная технология является 
достаточно мощным средством зашиты передаваемого трафика, однако ее 
применение в беспроводных сетях имеет ряд недостатков. Основной из них: для 
реализации технологии необходим VPN шлюз, для большого числа клиентов этот 
участок сети может стать узким местом и снизит пропускную способность. К тому 
же 
беспроводным 
клиентам 
придется 
сначала 
проходить 
процедуру 
аутентификации на точке а затем устанавливать VPN соединение, что не совсем 
удобно. По этой причине рассматривать технологию VPN как вариант зашиты при 
проектировании беспроводной сети не стоит, технология может применятся лишь в 
сетях не поддерживающих современные методы зашиты данных (WPA или WPA2) 
как последняя возможность повышения безопасности без глобального обновления 
оборудования.

жүктеу/скачать 7,35 Mb.

Достарыңызбен бөлісу: