Scarica Reti Wireless: Classificazione e Sicurezza e più Appunti in PDF di Sistemi di reti solo su Docsity!
LE RETI WIRELESS
SCENARI DI RETI SENZA FILI
CLASSIFICAZIONE DELLE RETI SENZA FILI
Le reti wireless sono anche molto utili per estendere reti aziendali senza cavi costosi e per non dover allestire piu postazioni fisse di lavoro. Il sistema di elaborazione si sposta con l’utente. esistono molti tipi di comunicazione wireless che condividono solo la comunicazione fra tablet pc… con schede wireless e antenne. Le reti wireless usano onde radio o segnali infrarossi per comunicare e, come le reti ethernet, possono essere classificate in base all’estensione dell’area fisica che coprono: WPAN, WLAN, WMAN, WWAN
WPAN
La WPAN copre il campo d’azione di una persona (10-15 metri) e sono adatte per reti domestiche, come consentire la sincronizzazione di tablet con pc per uno scambio di dati in modo wireless, oppure l’installazione di periferiche come stampanti wireless. Uno dei campi dove le WPAN sono piu sviluppate e’ la domotica, la disciplina che si occupa di migliorare la qualita delle case creando le smart home. Per comunicare, usano le onde radio. L’esempio piu famoso di WPAN e’ il bluetooth, che usa una banda di ISM (frequenze usate per scopi medici, industriali e scientifici) a 2.4GHz con velocita di trasmissione di 2mbps. Questa specifica e’ adatta per i dispositivi di piccole dimensioni a corto raggio, a basso consumo e poco rumorosi (IEE 802.15). I dispositivi che rispettano gli standard bluetooth sono gli SRD e possono operare senza restrizioni su qualsiasi banda. Una connessione bluetooth e; avviata da qualsiasi dispositivo che assume il ruolo di master rispetto a uno slave, creando una piconet. I dispositivi che vogliono collegarsi ad una piconet ascoltano ogni 2,56 secondi il segnale del master. La connessione viene stabilita in 1,28 secondi e questa connessione viene chiamata pairing. Il pairing avviene tramite software specifico attivato da casella di controllo o pulsante. La connessione deve essere poii autorizzata da un PIN mostrato dallo slave. Il dispositivo viene cosi accoppiato e salvato in una lista e si connette automaticamente appena entra nel raggio della piconet purche il bluetooth sia attivo. Essa e’ costituita massimo da 8 dispositivi attivi. Un dispositivo puo partecipare a 10 piconet contemporaneamente come slave ma solo ad una come master. 10 piconet formano una scatternet, con velocita risentite. Per comunicare un dispositivo deve disporre di un software di controllo del trasferimento di dati e di un particolare chip bluetooth dotato di una unita trasmettente e ricevente installate nel suo hardware. Il bluetooth 5.2 e’ l’ultima versione, usato per cuffie wireless e altri dispositivi. Viene anche utilizzato per l’IoT. I principali vantaggi sono maggiore velocita e portata, con velocita fino a 2mbps e portata fino a 240m, insieme al bluetooth low energy che garantisce anche un risparmio di energia Altre WPAN usano gli infrarossi invece che onde radio. IrDA (infrared data association) definisce le specifiche dei protocolli che fanno uso della radiazione infrarossa per la trasmissione wireless a breve
distanza, con una tecnologia point to point bidirezionale tra dispositivi posizionati in modo tale da essere visibili l’uno con l’altro fisicamente, con range fino a 2m. La velocita puo arrivare fino a 4mbps. Quando essa avviene fra due dispositivi con velocita massima differente, essa viene negoziata prima della connessione. Il vantaggio di questa tecnologia e’ la mancanza di interferenze radio. Come contro, c’e’ la necessita del contatto visivo (los) fra i due dispositivi. Per questo la tecnologia e’ usata per connettere tastiere o mouse con PC, anche se ormai cio e’ stato sostituito dal bluetooth
WLAN
Sono le LAN wireless, infatti sono molto simili alle LAN ethernet. Anche i protocolli sono quelli, con i formati di essi compatibili fra di loro al 100%, rendendo facile estendere una rete cablata con componenti wireless. La specifica piu veloce e’ la 802.11ac I dispositivi che costituiscono le reti wireless sono il wireless terminal (end devices) e gli access point, che sono usati sia per collegare i wt agendo da gatweay sia per fare da bridge che collegano parte cablata con quella wireless. L’insieme di access point e delle stazioni di collegamento/wireless teminals (quindi gli end device) nella zona di copertura forma il basic service set BSS che costituisce una cella ed è identificato da un ID a 6 byte, che corrisponde anche all’indirizzo MAC del’AP in modalita’ infrastruttura nel momento in cui un client wireless si collega ad un BSS. Piu AP collegati fra di loro o collegati con rete cablata creano un wireless distribution system WDS, come puo essere uno switch. Gli AP funzioneranno come bridge fra BSS e WDS. Due BSS collegati fra di loro da un WDS formano un extended service set, ovvero un'unica WLAN esempio di ESS I BSS possono essere posizionati parzialmente sovrapposti con copertura continua, fisicamente disgiunti oppure co-locati, quindi diversi BSS nella stessa area, fornendo ridondanza e prestazioni superiori
Le WMAN forniscono interconnessioni fra utenti fissi, come aziende che si vogliono collegare ma ci sono divieti di posamento dei cavi. I WISP mettono a disposizioni MAN wireless nelle citta e aree rurali. La connessione puo essere point-to-point o to-multipoint:
- Il point-to-point viene realizzato mediante una coppia di dispositivi che supportano la connettivita’ fisica da un punto all’altro, come due bridge wireless, che hanno una porta cablata che li collega alla rete aziendale e una che li collega ad un antenna
- Il point-to-multipoint prevede invece un antenna centralizzata omnidirezionale (posta per esempio al centro di una citta) e una serie di antenne direzionali puntate verso l’antenna centrale Nel progetto WiMAX, La trasmissione dei dati puo avvenire attraverso due modalita’: none line of sight, su frequenze basse utilizzate in ambienti urbani dove il segnale puo essere schermato/disturbato. Il range va da 2GHz a 11GHz, dove il pc si connette al WiMAX con antenne piccole, dongle, portatili, mentre la seconda, line of sight, avviene su frequenze molto piu alte, usate dove la probabilita che il segnale venga schermato sono molto basse. Funziona con frequenze vicine ai 60GHz ed e’ ideale per coprire aree molto estese, fino a 50km di distanza a 70mbps
WWAN
Le WAN wireless coprono vaste aree come stati o continenti tramite l’utilizzo di tecnologie differenti offerte dagli WISP. Gli accordi di roaming (permettere agli utenti mobili di collegarsi tra loro utilizzando eventualmente anche una rete non di loro proprietà dietro una quota di pagamento all'altro operatore) fra gli altri operatori consentono la connettività anche globalmente. Pagando un solo WISP un utente puo accedere a servizi WWAN da qualsiasi luogo. I costi delle infrastrutture sono divisi fra gli utenti tramite abbonamenti. Lo svantaggio e’ la limitata disponibilità dello spettro in frequenza, che implica basse prestazioni e sicurezza limitata. La velocita si avvicina a quella di WiMAX, 70mbps, ma aumentano se si usano le tencologie di telefonia mobile. Il vantaggio invece e’ quello di consentire di controllare le email in viaggio senza dover aspettare di usare la WLAN e il conseguente WIFI dell’albergo. Nel 2017 nasce wifi.italia.it che ha come obiettivo quello di connettersi gratis alle reti wifi libere sparse su tutta l’italia in modo semplice, utilizzando appunto la tecnologia WWAN. Si puo definire, brevemente, come la classica rete cellulare 4/5G.
LA SICUREZZA NELLE RETI WIRELESS
PRINCIPLAI RISCHI PER LA SICUREZZA
Garantire la sicurezza nelle reti wireless e molto importante soprattutto perché i segnali si propagano attraverso un mezzo impossibile da isolare, ovvero l’aria. Le tecniche usate per rafforzare la sicurezza sono legate alla crittografia e all'autenticazione. Lo sniffing e’ attività di intercettazione passiva dei dati che transitano in una rete. Un hacker esperto puo facilmente monitorare i pacchetti di dati wireless tramite software appositi, detti sniffer, che oltre a memorizzare il traffico offrono l'analisi del traffico stesso. Lo sniffing e’ sia usato per scopi legittimi come l'individuazione di congestione ma anche per intercettazione di password e altre informazioni sensibili. gli sniffer intercettano i singoli pacchetti, decodificano gli header dei vari livelli e ricostruiscono lo scambio di dati che sta avvenendo fra le applicazioni. Solo la crittografia può prevenire questo tipo di attacco Un'altro rischio per la sicurezza e’ l'accesso non autorizzato. infatti, secondo la legge italiana è illegale procurarsi l'accesso ad una rete privata senza autorizzazione. Tuttavia, i cosidetti wardriver (Gente che intercetta reti Wi-Fi girando in macchina), infrangono le scarse misure di sicurezza delle reti private, soprattutto domestiche, per avere il Wi-Fi gratis, ma anche esplorare le risorse di qualsiasi altro computer collegato alla medesima rete. la tecnica più usata per accedere a una rete aziendale senza autorizzazione è quella di servirsi di un Access point rogue, ovvero non autorizzato sulla rete, installato all’interno di essa senza adeguate tecniche di crittografia Il problema di questi tipi di Access point non riguarda solo le reti wireless, infatti posso anche collegare un APR a qualsiasi rete ethernet. Il team di sicurezza informatica deve Quindi costantemente verificare la presenza di questi APR Nella rete. per ovviare a questo problema è opportuno prevedere un meccanismo di autenticazione reciproca fra end devices e AP. Inoltre, Access point devono eseguire l’autenticazione con degli switch in modotale da impedire la connessione di un APR A ogni account In una rete viene assegnato un identificativo SID univoco a cui vengono associate autorizzazioni precise. per un hacker è possibile effettuare la sostituzione del SID posizionando un dispositivo intermedio detto WTR tra un utente della rete e un Access point. questo tipo di attacco può sfruttare il protocollo ARP mettendo in atto lo Spoofing ARP, ma ce ne sono di diversi tipi in quanto può avvenire in qualunque livello della pila ISO/OSI.
La modifica del IV è fortemente consigliata perché rende più difficile la decrittografia non autorizzata, mentre la chiave di crittografia resta invece uguale per lunghi periodi. Il WEP e’ molto vulnerabile e rappresenta perciò il livello minimo di sicurezza, adeguato per case o piccoli uffici. Il TKIP e un'evoluzione del precedente, noto anche come WEP2, volto a migliorarne il livello di vulnerabilità. infatti utilizza ancora l’RC4 ma parte con una chiave temporale simmetrica, combinando essa all'indirizzo MAC dell’end device/wireless terminal e Aggiungendoci un IV per creare la chiave crittografata. Essa viene generata a ogni pacchetto o a ogni raffica di pacchetti inviati, avendo così una distribuzione dinamica delle chiavi. Il passaggio fra WEP e questo e’ Facilmente realizzabile attraverso semplici aggiornamenti e sono anche compatibili fra di loro L'AES (advanced encryption standard) e’ un’alternativa che Garantisce una crittografia più sicura, praticamente indecifrabile, grazie all'utilizzo dell'algoritmo a blocchi RIJNDAEL al posto del RC4. tuttavia lo svantaggio e’ che richiede una grande capacità di elaborazione che non tutti gli Access point in commercio possono supportare. questo protocollo necessità perciò di hardware aggiuntivo, rendendo l'installazione e il passaggio da WEP molto costoso. Questo protocollo ha sostituto il DES. Il piu famoso, il WPA, e’ un aggiornamento del WEP dotato di distribuzione dinamica delle chiavi e autenticazione reciproca, realizzata includendo TKIP (prende il nome di WPA1) WPA2 e’ una nuova versione. Si divisono in personal ed enterprise, il primo usa una passphrase key di autenticazione condivisa mentre i secondi usano direttamente un server di autenticazione. Dal 2018 e’ uscito anche WPA3, con l'obiettivo di fornire miglioramenti e il blocco degli attacchi basati su KRACK. ci sono due versioni anche di questo, il personal che garantisce la sicurezza tramite SAE (simultaneous auth of equals), una tecnica di scambio di password peer to peer in grado di garantire una sicurezza equivalente a quella di una crittografia tramite certificato, garantendo una sicurezza anche da attacchi bruteforce. WPA3 Personal risulta sicuro anche quando le password sono deboli. La versione enterprise è pensata per le grandi installazioni wifi e permette la cifratura a 192 bit allineata alla suite di algoritmi di sicurezza nazionale, pensata quindi per le reti in ambito governativo industriale e nel settore della difesa WPA3 è anche pensato per durare anni, rivolto anche all’IoT. per quest'ultimo è stato introdotto WIFI Easy connect, un nuovo protocollo di connessione per reti WPA2 e 3, semplifica la connessione dei dispositivi molto essenziali, quelli senza display come alexa. easy Connect utilizza un dispositivo terzo dotato di un'interfaccia più completa, come uno smartphone, per scannerizzare un codice QR. uno smartphone quindi funge da configuratore. la sequenza di passi per collegare al wifi dispositivi mediante uno smartphone configuratore riguarda tre passi: il configuratore effettua la registrazione alla rete wifi mediante il QR code dell'access point; configuratore effettua la registrazione e il provisioning (l'assegnazione di risorse e privilegi agli utenti di una rete) dei dispositivi client mediante la scansione del QR code di ciascuno; i dispositivi si connettono senza difficoltà alla rete
I router e gli access point marchiati WIFI CERTIFIED aderiscono pienamente allo standard WPA3 e tutte le sue funzionalita’
AUTENTICAZIONE
l'autenticazione reciproca nelle reti wireless può risolvere parecchi problemi di sicurezza, come gli attacchi DoS. è importante che l'autenticazione sia reciproca e non unilaterale per rendere più difficili le operazioni di intrusione. ciò che si richiede per l'autenticazione reciproca è che il cliente riconosca la rete wireless come quella di appartenenza e che la rete riconosca il client come parte della rete stessa. la prima forma di riconoscimento è realizzata tramite SSID. l'access point consente l'accesso alla rete wireless solo ai dispositivi il cui SSID coincide con quello inviato dall'access point stesso, anche se ovviamente il fatto che l’SSID sia chiaro rende facile il lavoro agli sniffer, questo perché una volta scoperto l’SSID diventa automatico potersi collegare alla rete se non vi sono altri accorgimenti. Infatti lo standard 802.11 applica di default la forma di autenticazione OSA, che fa si che l'access point accolga qualunque richiesta che disponga del SSID corretto, per questo affidarsi solo ad esso non è assolutamente sufficiente. 802.11 consente anche un processo di autenticazione facoltativo più avanzato, anche se tutto cio prova solo che il client disponga della WEP corretta. Un'altra forma di autenticazione prevede che l'amministratore della rete autorizzi l'accesso alla rete a un elenco di indirizzi Mac. ghiaccio sponte rifiuteranno i frame con indirizzi Mac non in elenco. il problema di questa tecnica è che la crittografia WEP non crittografa il campo del frame dedicato all'indirizzo MAC, consentendo ad uno sniffer che analizza il traffico di individuare gli indirizzi MAC validi e di sostituirsi a un client quando questi non è collegato. Ciò, il problema della vulnerabilità di tipo MAC, è tuttavia risolvibile mediante la protezione delle porte. l'autenticazione tramite elenco di MAC non è adatta a reti i cui utenti cambiano di frequente perché costringe l'amministratore al continuo aggiornamento degli elenchi. un miglioramento notevole lo si ottiene anche utilizzando come metodo di autenticazione la WPA enterprise, aggiungi un server di autenticazione per il riconoscimento dei device. (?, non capita la parte dell’EAP) Tuttavia, la miglior forma di autenticazione possibile e ottenuta utilizzando lo standard IEE 802.1x, che definisce uno schema architetturale nel quale possono essere usate varie metodologie. per questo, una delle sue caratteristiche fondamentali è la versatilità. la metodologia più diffusa implementa il protocollo EAP (extensivle auth protocol) su entrambi i supporti di rete, wireless e non. con questo protocollo, all’end device che cerca di utilizzare la rete viene consentito solo il passaggio dei pacchetti EAP. questo processo si avvale di un server di autenticazione posizionato nella parte cablata della rete, come per esempio il RADIUS, per eseguire l’autenticazione con l’utilizzo dei soli paccehtti EAP, nessun’altro tipo (ICMP, SMTP...).
