11.4. Simsiz tarmoqlar xavfsizligi

Simsiz tarmoqlar qulayligi tufayli keng tarqaldi, biroq ular xavfsizlik nuqtai nazaridan simli tarmoqlardan tubdan farq qiladi. Simli tarmoqqa ulanish uchun jismonan kabelga yetib borish kerak, ya'ni binoga kirish talab qilinadi. Simsiz tarmoqda esa signal havo orqali tarqaladi va u bino devorlari bilan chegaralanmaydi.

Bu shuni anglatadiki, tashkilot tarmog'i, mohiyatan, uning jismoniy chegarasidan tashqariga chiqadi. Ko'chada yoki qo'shni binoda turgan shaxs ham signalni qabul qila oladi. Aynan shu sababli simsiz tarmoqda shifrlash tanlov emas, balki asosiy himoya vositasi hisoblanadi: u yagona to'siq bo'lib, uzatilayotgan ma'lumotni radius doirasidagi har qanday shaxs o'qishidan asraydi.

Simsiz tarmoqlarni himoyalash protokollari bir necha avlodni bosib o'tdi va ularning har biri oldingisining zaifliklarini bartaraf etish uchun yaratilgan (11.8-rasm).

Birinchi protokol WEP 1999-yilda ishlab chiqilgan bo'lib, u RC4 algoritmiga tayanardi. Vaqt o'tishi bilan unda jiddiy zaifliklar aniqlandi va bugungi kunda maxsus vositalar yordamida WEP himoyasini bir necha soniyada buzish mumkin. Shu sababli u eskirgan hisoblanadi va umuman ishlatilmasligi kerak.

WPA protokoli WEP ning o'rnini bosish uchun yaratilgan va kalitlarni dinamik almashtirish mexanizmini joriy etgan edi, biroq u ham keyinchalik buzildi. WPA2 protokoli AES algoritmiga tayanadi va uzoq vaqt davomida asosiy standart bo'lib keldi; u hozirda ham keng qo'llaniladi va yetarli darajada ishonchli hisoblanadi. WPA3 esa 2018-yilda ishlab chiqilgan bo'lib, u eng zamonaviy yechim sifatida qaraladi va imkoniyat bo'lganda aynan shu protokolni tanlash tavsiya etiladi.

Amaliy jihatdan bu shuni anglatadiki, tarmoq qurilmasini sozlashda protokol tanlash birinchi navbatdagi qaror bo'lishi kerak. Eski qurilmalar bilan moslikni saqlash uchun zaif protokolni yoqib qo'yish keng tarqalgan xato hisoblanadi: bunda butun tarmoq eng zaif protokol darajasiga tushadi.

Simsiz tarmoqqa qaratilgan hujumlarning bir necha xarakterli turi mavjud va ularning har biri o'z himoya chorasini talab qiladi (11.9-rasm).

Birinchi tur, tarmoqni tinglash. Signal bino tashqarisiga tarqalgani uchun uni qabul qilish mumkin. Yagona ishonchli himoya, kuchli shifrlash protokolidan foydalanishdir. Ikkinchi tur, soxta kirish nuqtasi: tajovuzkor haqiqiy tarmoq nomiga o'xshash nom bilan o'z kirish nuqtasini yaratadi va foydalanuvchilar unga ulanadi. Shundan keyin butun trafik tajovuzkor orqali o'tadi, ya'ni o'rtadagi shaxs hujumi amalga oshadi. Bunday hujumdan himoyalanishda tarmoq nomini diqqat bilan tekshirish va ochiq tarmoqlarda VPN dan foydalanish yordam beradi.

Uchinchi tur, qurilmaning zavod sozlamalarida qoldirilgan parollari bilan bog'liq. Ko'plab tarmoq qurilmalari standart parol bilan yetkaziladi va bu parollar hammaga ma'lum. Agar tarmoq administratori uni almashtirishni unutsa, tajovuzkor qurilmani to'liq boshqarish imkonini oladi. Shu sababli qurilmani ishga tushirishdan oldin parolni almashtirish majburiy qadam hisoblanadi. To'rtinchi tur, ruxsatsiz ulanish: begona qurilma tarmoqqa kiradi. Bunga qarshi kirishni cheklash va mehmonlar uchun alohida tarmoq ajratish qo'llaniladi.

Ushbu choralardan tashqari bir necha qo'shimcha tavsiya mavjud. Tarmoq nomini oshkor qilmaslik hujumchining ishini biroz qiyinlashtiradi, garchi bu mustaqil himoya vositasi hisoblanmasa ham. Kirish nuqtasining signal quvvatini kerakli darajada cheklash signalning bino tashqarisiga ortiqcha tarqalishini kamaytiradi. Qurilma dasturiy ta'minotini muntazam yangilab turish esa ma'lum zaifliklarni bartaraf etadi.

Alohida e'tibor jamoat joylaridagi ochiq simsiz tarmoqlarga qaratilishi kerak. Kafedagi yoki aeroportdagi ochiq tarmoq shifrlanmagan bo'lishi mumkin va uni kim boshqarayotgani noma'lum bo'ladi. Bunday tarmoqdan foydalanishda ikki qoidaga rioya qilish zarur: faqat HTTPS orqali ishlaydigan xizmatlardan foydalanish va imkon bo'lsa VPN yoqib qo'yish. Nozik ishlarni, masalan ichki tizimga kirishni esa bunday tarmoqda umuman qilmaslik ma'qul.