Revista >> Numarul 95 [mai 2007] >> Securitate

Scurtă istorie a securităţii în reţelele radio de calculatoare

Andrei Ciornei

30 Mai 2007

„Aşa cum, cu câţiva ani în urmă, fibra optică se detaşa din ipostaza de lux tehnologic - accesibil doar furnizorilor de servicii Internet multinaţionali şi companiilor globale de telecomunicaţii, devenind accesibilă chiar şi firmelor mici sau utilizatorilor individuali, la fel şi legăturile radio/wireless (mai precis tehnologia asociată lor şi echipamentele care le deservesc) îşi intră acum deplin în drepturi, putând fi întâlnite pe majoritatea covârşitoare a calculatoarelor portabile (laptop).”

Evoluţia reţelelor wireless
Prima astfel de reţea a fost pusă în funcţiune în 1971 la Universitatea din Hawaii sub forma unui proiect de cercetare numit ALOHANET. Topologia folosită era de tip stea bidirecţională şi avea ca noduri constituente un număr de şapte calculatoare împrăştiate pe patru insule din arhipelag ce comunicau cu un nod central aflat pe insula Oahu doar prin legături radio.
Iniţial, echipamentele WLAN erau destul de scumpe, fiind folosite doar acolo unde amplasarea de cabluri ar fi fost tehnic imposibilă. Ca şi în alte cazuri din istoria tehnicii de calcul, primele soluţii produse pe scară largă au fost cele proprietare (nestandard) şi orientate pe diverse nişe de piaţă, dar odată cu sfârşitul anilor ‘90 acestea au fost înlocuite de cele standard şi generice cum ar fi cele descrise de familia de standarde 802.11 emise de IEEE.

Evoluţia standardului IEEE 802.11
Versiunea iniţială a standardului IEEE 802.11 lansată în 1997 prevedea două viteze (1 şi 2 Mbps) de transfer a datelor peste infraroşu sau unde radio. Transmisia prin infraroşu rămâne până astăzi o parte validă a standardului, fară a avea însă implementări practice.
Au apărut atunci cel puţin şase implementări diferite, relativ interoperabile şi de calitate comercială, de la companii precum Alvarion (PRO.11 şi BreezeAccess-II), BreezeCom, Digital/Cabletron, Lucent, Netwave Technologies (AirSurfer Plus şi AirSurfer Pro), Symbol Technologies (Spectrum24) şi Proxim (OpenAir). Un punct slab al acestei specificaţii era că permitea o varietate mare a designului, astfel încât interoperabilitatea era mereu o problemă. 802.11 a fost rapid înlocuit (şi popularizat) de 802.11b în 1999 ce aducea, pe lângă multe îmbunătăţiri în redactare, şi o viteză crescută de transmisie a datelor de până la 11Mbps. Adoptarea pe scară largă a reţelelor 802.11 a avut loc numai după ce 802.11b a fost ratificat ca standard, iar produsele diverşilor producători au devenit interoperabile.
Cam în aceeaşi perioadă (1999) a apărut şi 802.11a, o versiune pentru banda de 5GHz a aceluiaşi protocol. Acesta a fost urmat de 802.11g, în iulie 2003, ce aducea performanţe sporite, atât în ceea ce priveşte viteza de transmisie (ce urca la 54Mbps), cât şi distanţa de acoperire în jurul antenei.
Standardul aflat în prezent în elaborare de către IEEE este 802.11n – acesta aduce şi el îmbunătăţiri, cum ar fi o viteză teoretică de transmisie de 270Mbps. 802.11n a fost aprobat prin vot pe data de 9 martie a.c. şi urmează (conform procesului intern IEEE de redactare şi promulgare a standardelor) a fi publicat în martie 2009.

Apariţia interesului şi necesităţii pentru securitate
Ca în cazul oricărei tehnici de transmisie sau comunicaţie care se dezvoltă rapid şi ajunge să fie universal folosită, apare la un moment dat necesitatea de a implementa diverse tehnici de protecţie a informatiilor transmise prin reţelele de acest tip. În cazul 802.11, securitatea se referă atât la topologia şi componenţa reţelei (i.e. asigurarea accesului nodurilor autorizate şi interzicerea accesului celorlalte în reţea), cât şi la traficul din reţea (i.e. găsirea şi folosirea unei metode de securizare a datelor, de criptare, astfel încât un nod care nu este parte din reţea şi care, deci, nu a fost autentificat să nu poată descifra „conversaţiile” dintre două sau mai multe terţe noduri aflate în reţea). Un ultim aspect al securităţii
îl constituie autentificarea fiecărui nod, astfel încât orice comunicaţie originată de un nod să poată fi verificată criptografic sigur ca provenind, într-adevăr, de la nodul în cauză.

Tehnicile de generaţia zero (la nivel fizic)
Primele tehnici de securitate ce au fost folosite în astfel de reţele au fost cele din clasa „security by obscurity”, adică se încerca atingerea siguranţei prin menţinerea secretă a specificaţiilor tehnice şi/sau prin devierea de la standard – nu de puţine ori în măsură considerabilă. Aceste tehnici însă, aşa cum s-a arătat mai devreme, au adus în mare parte neajunsuri implementatorilor, deoarece făceau echipamentele diferiţilor producători vag interoperabile. Alte probleme apăreau din însăşi natura proprietară a specificaţiilor folosite.

Tehnicile de generaţia întâi (WEP)
Prima tehnică de securitate pentru reţele 802.11 ce a fost cuprinsă în standard (implementată de marea majoritate a producătorilor de echipamente) a fost WEP - Wired Equivalent Privacy. Această tehnică a fost concepută pentru a aduce reţelele radio cel puţin la gradul de protecţie pe care îl oferă reţelele cablate – un element important în această direcţie este faptul că, într-o reţea 802.11 WEP, participanţii la trafic nu sunt protejaţi unul de celălalt, sau, altfel spus, că odată intrat în reţea, un nod are acces la tot traficul ce trece prin ea. WEP foloseşte algoritmul de criptare RC-4 pentru confidenţialitate şi algoritmul CRC-32 pentru verificarea integrităţii datelor. WEP a avut numeroase vulnerabilităţi de design care fac posibilă aflarea cheii folosite într-o celulă (reţea) doar prin ascultarea pasivă a traficului vehiculat de ea. Prin metodele din prezent, o celulă 802.11 WEP ce foloseşte o cheie de 104 biţi lungime poate fi „spartă” în aproximativ 3 secunde de un procesor la 1,7GHz.

Tehnicile de generaţia a doua (WPA, WPA2)
Având în vedere eşecul înregistrat cu tehnica WEP, IEEE a elaborat standardul numit 802.11i, a cărui parte ce tratează securitatea accesului la reţea este cunoscută în practică şi ca WPA (Wi-Fi Protected Access). WPA poate folosi certificate, chei publice şi private, mesaje cu cod de autentificare (MAC), precum şi metode extensibile de autentificare, cum ar fi protocoalele de autentificare EAP sau RADIUS. Pentru a veni în întâmpinarea utilizatorilor casnici sau de arie restrânsă, IEEE a dezvoltat şi o variantă mai simplă a standardului şi anume WPA-PSK (< Pre-Shared Key mode). În acest mod, în loc de un certificat şi o pereche de chei (publică şi privată), se foloseşte o singură cheie sub forma unei parole care trebuie cunoscută de toţi membrii reţelei.

Apariţia interesului şi necesităţii pentru administrarea centralizată a securităţii
Odată cu apariţia unor astfel de tehnici şi metode avansate de securizare a accesului la mediul de transmisie, s-a făcut simţită şi nevoia de a administra o astfel de structură de autentificare dintr-o locaţie centrală.
Aşa se face că tot mai multe dispozitive de tip Access Point (echipamentele ce fac legătura dintre reţeaua cablată şi cea transportată prin unde radio, având un rol primordial în menţinerea securităţii reţelei) pot fi configurate automat dintr-un punct central. Există chiar seturi preconfigurate de echipamente ce sunt destinate de către producător implementării de hotspot-uri (locuri unde se poate beneficia de acces la Internet prin 802.11 gratis sau contra cost). Aceste seturi conţin de obicei un echipament de gestiune a reţelei, o consolă de administrare, un terminal de taxare şi unul sau mai multe Access Point-uri. Atunci când sunt puse în funcţiune, acestea funcţionează unitar, accesul şi activitatea oricărui nod putând fi atent şi în detaliu supravegheată de la consola de administrare.

Apariţia interesului şi necesităţii pentru integrarea cu alte sisteme de securitate
Imediat după perfectarea schemelor de administrare centralizată a securităţii în reţelele 802.11, a apărut necesitatea integrării cu sistemele de securitate ce existau cu mult înainte de implementarea reţelei 802.11 în acel loc. Această tendinţă este naturală; cu cât interfaţa de administrare a unui sistem alcătuit din multe componente este mai uniformă, cu atât administrarea sa tinde să fie mai eficientă şi mai predictibilă – ceea ce duce la creşterea eficienţei întregului sistem.
WPA a fost prima tehnologie care a facilitat integrarea pe scară largă a administrării reţelelor radio cu cele cablate, deoarece se baza pe principii comune descrise de standardul 802.1X. Astfel, o companie poate refolosi întreaga infrastructură pentru autentificarea şi autorizarea accesului în reţeaua sa cablată şi pentru reţeaua radio. WPA poate fi integrat cu RADIUS, permiţând astfel administrarea şi supravegherea unei reţele de dimensiuni mari ca şi număr de noduri participante la trafic (e.g. un campus universitar, un hotel, spaţii publice) dintr-un singur punct, eliminând astfel necesitatea supravegherii fizice a aparaturii de conectare (i.e. porturi de switch).

Ce ne pregăteşte viitorul?
Standardul 802.11n ne rezervă multe surprize plăcute în ceea ce priveşte tehnologia viitoare. Viteze de acces de până la 270Mbps, optimizări agresive în ceea ce priveşte puterea de emisie şi puterea consumată, eficienţe spectrale care sfidează limita lui Shannon; acces controlat şi autorizat criptografic, trafic controlat, semnat şi verificat criptografic; control centralizat al resurselor şi al utilizării acestora; evidenţă automată a nodurilor prezente în reţea şi facilităţi de roaming, probabil inclusiv cu reţelele altor servicii de astăzi (e.g. GSM sau UMTS) – toate acestea vor susţine nevoia pentru metode de securitate mai avansate, mai sigure şi mai precise; toate concepute pentru a păzi „liniştea” nodurilor din reţea şi confidenţialitatea datelor tranzitate.
n Radu Mihăilescu, Security Consultant radu@provision.ro

Provision Security Distribution, unicul distribuitor specializat în domeniul securităţii informaţiei, pune la dispoziţia companiilor româneşti soluţii avansate de securitate şi management al reţelelor wireless, furnizate de leader-ul în domeniu, Bluesocket. Pentru mai multe detalii privind aceste soluţii, ne puteţi contacta la itsecurity@provision.ro sau la sediul nostru din Bucureşti, Piaţa Alba Iulia, Bl. I7, Sc. 3, tel: +40 21 321.15.68, fax: +40 21 323.65.70.