Napadi i rizici

Na sigurnost bežičnih sistema (mreže tipa 802.11), kao i na druge aspekte bezbednosti, može se primeniti teorija rizika. Dakle, što bolje poznajete rizike, to ćete lakše da odbranite svoju mrežu i svoje korisnike...

Među najčešćim napadima na mrežu su DoS napadi (Denial-of-Service Attacks).

Tipičan DoS napad podrazumeva obasipanje mreže nekom vrstom zahteva, kako bi se mreža opteretila i postala nedostupna za legitimne korisnike. Ovi napadi mogu da budu usmereni na različite slojeve mreže, a odbijanje napada ima za cilj  izolovanje mrežnih resursa od onih koji je ugrožavaju.

Tipovi DoS napada

Aplikacija (OSI sloj 7)
DoS napad na aplikacionom OSI sloju se vrši slanjem većeg broja (legitimnih) zahteva aplikaciji u odnosu na broj za koji je ona dimenzionisana (npr. slanje enormno velikog broja zahteva za stranicama na Web serveru). Server obično pokušava da ispuni zahteve korisnika, ali i da održi servise u životu (kako bi oni bili dostupni). U jednom momentu DoS napada, server ne može da odgovori na sve zahteve, pa odbija izvršenje usluga. Mreža i dalje može da se koristi, ali kako serverski procesi ne mogu da odgovore na upite korisnika, pristup servisima je zabranjen.

Transport (OSI sloj 4)
DoS napad na OSI sloju 4 se odnosi na zahteve za uspostavljanjem veze ka hostu. Ovaj tip napada je usmeren protiv TCP/IP steka u operativnom sistemu računara. Najčešće se radi o tzv. SYN poplavi. (SYN paketi su prvi korak pri uspostavljanju veze TCP protokolom.) Napadač šalje veliki broj TCP zahteva za vezom da bi smanjio mogućnosti operativnog sistema da održava TCP sesije. Najveći broj operativnih sistema je limitiran po pitanju broja uspostavljenih veza u jedinici vremena koje može da obradi. DoS napad teži prekoračenju limita, što za posledicu ima zabranu pristupa servisima koji se izvršavaju na hostu. Kao i u prethodnom slučaju, mreža funkcioniše, ali ciljni host  ne odgovara.

Mreža (OSI sloj 3)
Mrežni sloj se onesposobljava slanjem velike količine podataka na mrežu. Žrtva napada ovog tipa je mrežna infrastruktura. (Na primer, napadač šalje podatke preko 100Mb/s linka na mrežu koja je u stanju da prenese samo 10Mb/s, koja onda odbacuje pakete.) Ovaj saobraćaj takođe može da izazove prevelika opterećenja procesora i da isprovocira dodatne probleme.

Napadač stvara ogromnu količinu ICMP saobraćaja na ciljanom mrežnom uređaju (ICMP se koristi za upravljanje radom mrežnih uređaja). Izolovanjem   mrežnog segmenta na kome se nalazi žrtva od ostatka Interneta, eliminiše se mogućnost proširenja napada.

Data-Link (OSI sloj 2)
Data-link DoS napad ima za cilj ili pojedinačni računar ili deo mreže. Ovakav tip napada pokušava da onemogući hostu pristup lokalnoj mreži čak i ako su hostovi povezani. Primer za ovo je poplava nesvičovane Ethernet mreže nekorektno formatiranim paketima (frejmovima). Napadač (ponekad to može da bude i loša mrežna kartica) šalje ponovljena zaglavlja frejmova, koji se dalje reemituju po mreži. Ovaj tip napada se ne sreće kod ožičenih mreža.

Fizički (OSI sloj 1)
Fizički napadi, takođe, nisu uobičajeni u žičanim mrežama, jer njihov glavni cilj je ugrožavanje prenosnog medijuma mreže.

DoS napadi na bežičnu mrežu

Kritične razlike između napada na ožičene i bežične mreže manifestuju se kod  fizičkog i Data-link DoS napada.

802.11b fizički napadi
Kod bežičnih mreža prenosni medijum je svuda oko nas, te napadač može da preduzme napad i sa udaljenih lokacija. Za razliku od žičanih mreža gde bi   posledice ovakvog napada bile evidentne, ovde nema vidljivih tragova napada.

Specifikacija 802.11 PHY definiše ograničeni broj frekvencija za komunikaciju. Meta napadača je uređaj koji radi po standardu 802.11, a cilj da se on zasiti RF šumovima, odnosno smanji odnos signal-šum do nivoa neupotrebljivog. Ako napadač emituje potrebnu količinu RF šuma, bežični uređaj postaje "ućutkan", te  više nije u stanju da prihvati validni mrežni signal. U tom slučaju bi i validan mrežni signal generisao šum.

Pravljenje ometača na osnovnoj frekvenciji od 2,4GHz je relativno jeftino i lako. Takođe je moguće kupiti i komercijalne uređaje koji mogu daljinski da ugase bilo koju mrežu. Na nesreću, mnogi bežični telefoni koji rade na 2,4 GHz mogu da dođu u interferenciju sa bežičnom mrežom.

Takođe postoje i problemi različitih mrežnih protokola. Bluetooth na primer, koristi isti ISM pojas kao i 802.11b i 802.11g. DSSS modulacija 802.11b protokola je podložna interferenciji sa modulacijom koja se koristi u Bluetooth mrežama.

802.11b Data-link DoS napadi
Mogućnost direktnog pristupa Data-link sloju daje nove šanse napadačima. Naime, napadač može da pristupi ovom sloju čak i ako je WEP enkripcija uključena, a ako nije uključena onda ima mogućnost potpune manipulacije akcija između stanica i AP-ova. Ako klijent ne koristi WEP autentifikaciju (ili je napadaču poznat WEP ključ), onda je klijent izložen DoS napadu.

Kod AP-ova sa dva antenska priključka može da se desi da AP ne podesi antene kako treba, pa se opet javlja mogućnost direktnog pristupa Data-link sloju. Uobičajeno je da se dve antene postave u situacijama kada prenos želi da se zakloni zidom, pa antene mogu da budu podešene i različito.

802.11b mrežni DoS napadi
Ako mreža dozvoljava bilo kom klijentu da se asocira, ona postaje ranjiva na napad na mrežnom nivou. Pošto je 802.11 mreža podeljeni medijum, napadač može da poplavi mrežu saobraćajem i tako onemogući pristup drugim uređajima asociranim na dati AP. Primer je sledeći: napadač šalje veliku količinu saobraćaja na AP - ovaj je zagušen samo zbog poplave saobraćaja od strane jednog korisnika - ostali korisnici ne mogu da pristupe preostalom delu mreže jer sa taj AP bori sa velikom količinom saobraćaja koji treba da obradi.

Napadi po principu "čovek u sredini"

Napad "čovek u sredini" (Man-in-the-Middle, MITM) ima dva oblika: prisluškivanje i manipulaciju.

Prisluškivanje
Prisluškivanje se ne može smatrati direktnim napadom, već više liči na špijunsku aktivnost. Osoba koja prisluškuje neovlašćeno dolazi do podataka, koje onda može da analizira, ali i da ih izmeni i tako izmenjene prosledi. Kod bežičnih mreža prisluškivanje je lako jer je, kako je objašnjeno, lakši pristup na fizičkom nivou. Da bi se ono sprečilo primenjuje se nekoliko nivoa kriptozaštite. Najčešće korišćeni su oni na bazi WEP protokola, ali na žalost ni WEP nije svemoguć, pa čak i ako je uključen, napadač može da se uloguje i "progura" koji gigabajt podataka.

Manipulacija
Manipulacija ide korak dalje od prisluškivanja. Ona podrazumeva prepravku podataka radi njihovog slanja na odredišnu adresu. Ova akcija se odvija u smeru od napadača ka računaru žrtve. 

Nezakonito korišćenje

Ono podrazumeva korišćenje mreže od stane napadača radi povezivanja na ostale mreže. Recimo, napadač može da se poveže na Internet preko najbližeg AP-a, bespravno koristeći resurse "domaćina".

Kako AP-e nije teško naći, iskusnom hakeru nije problem da se "ušunja" u mrežu domaćina i počini različita nedela. 

Kako se boriti protiv ovih situacija?

Osnovni preduslov je edukacija. Poznavanje načina zaštite i odgovarajućih alata, odnosno njihova adekvatna primena, omogućavaju administratoru kontrolu na svakom delu mreže. Dakle, iako rizik postoji, on se može preduprediti i korisnici mreže efikasno zaštititi.