Podczas gdy większość z nas najprawdopodobniej nigdy nie będzie musiała się martwić, że ktoś włamie się do naszej sieci Wi-Fi, jak trudno jest entuzjastom włamać się do sieci Wi-Fi danej osoby? Dzisiejszy post z pytaniami SuperUser zawiera odpowiedzi na pytania jednego z czytelników dotyczące bezpieczeństwa sieci Wi-Fi.
Dzisiejsza sesja pytań i odpowiedzi przychodzi do nas dzięki uprzejmości SuperUser - poddziału Stack Exchange, społecznościowego forum z pytaniami i odpowiedziami.
Zdjęcie dzięki uprzejmości Briana Klug (Flickr).
Czytnik SuperUser Sec chce wiedzieć, czy większość hakerów potrafi hakować sieci Wi-Fi:
Słyszałem od zaufanego eksperta ds. Bezpieczeństwa komputerowego, że większość entuzjastów (nawet jeśli nie są profesjonalistami) używających jedynie przewodników z Internetu i specjalistycznego oprogramowania (tj. Kali Linux z dołączonymi narzędziami), może przebić się przez domowe bezpieczeństwo routera.
Ludzie twierdzą, że jest to możliwe, nawet jeśli:
- Silne hasło sieciowe
- Silne hasło routera
- Ukryta sieć
- Filtrowanie MAC
Chcę wiedzieć, czy to mit, czy nie. Jeśli router ma silne hasło i filtrowanie adresów MAC, jak można go ominąć (wątpię, czy użyje on brutalnej siły)? Lub, jeśli jest to ukryta sieć, jak mogą ją wykryć, a jeśli to możliwe, co możesz zrobić, aby sieć domowa była naprawdę bezpieczna?
Jako młodszy student informatyki czuję się źle, ponieważ czasami hobbystki kłócą się ze mną na takie tematy i nie mam mocnych argumentów lub nie potrafię tego wyjaśnić technicznie.
Czy to naprawdę możliwe, a jeśli tak, jakie są "słabe" punkty w sieci Wi-Fi, na których koncentrowałby się entuzjasta?
Dostawcy SuperUser davidgo i reirab mają dla nas odpowiedź. Najpierw up, davidgo:
Bez argumentowania semantyki, tak, stwierdzenie jest prawdziwe.
Istnieje wiele standardów szyfrowania Wi-Fi, w tym WEP, WPA i WPA2. WEP jest zagrożony, więc jeśli używasz go, nawet z silnym hasłem, może być trywialnie uszkodzony. Uważam, że WPA i WPA2 są znacznie trudniejsze do złamania (ale możesz mieć problemy bezpieczeństwa związane z WPS, które to obchodzą). Ponadto nawet rozsądnie twarde hasła mogą być wymuszone. Moxy Marlispike, znany haker, oferuje usługę za około 30 USD za pomocą chmury obliczeniowej - choć nie jest to gwarantowane.
Silne hasło routera nic nie da, aby uniemożliwić komuś po stronie Wi-Fi przesyłanie danych przez router, więc nie ma to znaczenia.
Ukryta sieć to mit. Chociaż istnieją pola, które sprawiają, że sieć nie pojawia się na liście witryn, klienci sygnalizują router WIFI, a zatem jego obecność jest banalnie wykrywana.
Filtrowanie MAC jest żartem, ponieważ wiele (większość / wszystkie?) Urządzeń Wi-Fi można zaprogramować / przeprogramować w celu sklonowania istniejącego adresu MAC i obejścia filtrowania MAC.
Bezpieczeństwo sieci jest dużym tematem, a nie czymś, co może być przedmiotem pytań SuperUser. Ale podstawą jest to, że bezpieczeństwo jest budowane w warstwach, tak że nawet jeśli niektóre z nich są zagrożone, nie wszystkie są. Ponadto każdy system może zostać przeniknięty, mając wystarczająco dużo czasu, zasobów i wiedzy; więc bezpieczeństwo nie jest tak naprawdę kwestią "może zostać zhackowane", ale "jak długo potrwa", aby hakować. WPA i bezpieczne hasło chronią przed "Joe Średnia".
Jeśli chcesz zwiększyć ochronę swojej sieci Wi-Fi, możesz wyświetlić ją tylko jako warstwę transportową, a następnie zaszyfrować i przefiltrować wszystko, co przechodzi przez tę warstwę. Jest to przesada w przypadku większości ludzi, ale jednym ze sposobów, w jaki można to zrobić, byłoby ustawienie routera tak, aby zezwalał na dostęp tylko do danego serwera VPN pod kontrolą i wymagał od każdego klienta uwierzytelniania za pośrednictwem połączenia Wi-Fi w całym systemie. VPN. Tak więc, nawet jeśli Wi-Fi jest zagrożone, istnieją inne (twardsze) warstwy do pokonania. Podzbiór tego zachowania nie jest niczym niezwykłym w dużych środowiskach korporacyjnych.
Prostszą alternatywą dla lepszego zabezpieczenia sieci domowej jest całkowite zrzucenie Wi-Fi i wymagają tylko rozwiązań przewodowych. Jeśli masz takie rzeczy jak telefony komórkowe lub tablety, może to nie być praktyczne. W takim przypadku można zmniejszyć ryzyko (na pewno nie wyeliminować ich), zmniejszając siłę sygnału routera. Możesz także osłonić swój dom, aby częstotliwość wycieku była mniejsza. Nie zrobiłem tego, ale mocna plotka (badana) głosi, że nawet siatka aluminiowa (taka jak siatka na muchy) na zewnątrz domu z dobrym uziemieniem może zrobić ogromną różnicę do ilości sygnału, który ucieknie. Ale oczywiście, pa pa zasięgu telefonii komórkowej.
Jeśli chodzi o ochronę, inną alternatywą może być uzyskanie routera (jeśli jest w stanie to zrobić, większość nie jest, ale wyobrażam sobie, że routery działające openwrt i prawdopodobnie tomato / dd-wrt mogą), aby rejestrować wszystkie pakiety przechodzące przez sieć i pilnując go. Nawet monitorowanie anomalii z łącznymi bajtami na i z różnych interfejsów może zapewnić dobry stopień ochrony.
Pod koniec dnia, może zadać sobie pytanie: "Co muszę zrobić, aby nie było to warte przypadkowego czasu hakerów na penetrację mojej sieci?" Lub "Jaki jest faktyczny koszt związany z uszkodzeniem mojej sieci?", i stamtąd. Nie ma szybkiej i łatwej odpowiedzi.
Poniżej znajduje się odpowiedź od reirab:
Jak powiedzieli inni, ukrywanie SSID jest trywialne. W rzeczywistości twoja sieć pojawi się domyślnie na liście sieci Windows 8, nawet jeśli nie będzie transmitować swojego SSID. Sieć nadal transmituje swoją obecność przez ramki nawigacyjne w obu kierunkach; po prostu nie zawiera identyfikatora SSID w ramce sygnału nawigacyjnego, jeśli ta opcja jest zaznaczona. Identyfikator SSID jest trywialny, aby uzyskać dostęp do istniejącego ruchu sieciowego.
Filtrowanie adresów MAC również nie jest pomocne. Może to na krótko zwolnić kiddie skryptu, który pobrał pęknięcie WEP, ale na pewno nie powstrzyma nikogo, kto wie, co robi, ponieważ może podrobić poprawny adres MAC.
Jeśli chodzi o WEP, jest całkowicie zepsuty. Siła twojego hasła nie ma tu większego znaczenia. Jeśli korzystasz z WEP, każdy może pobrać oprogramowanie, które dość szybko włamie się do twojej sieci, nawet jeśli masz silne hasło.
WPA jest znacznie bezpieczniejsze niż WEP, ale nadal jest uznawane za zepsute. Jeśli twój sprzęt obsługuje WPA, ale nie WPA2, jest lepszy niż nic, ale zdeterminowany użytkownik może prawdopodobnie złamać go za pomocą odpowiednich narzędzi.
WPS (Wireless Protected Setup) to zmora bezpieczeństwa w sieci. Wyłącz tę funkcję, niezależnie od tego, z jakiej technologii szyfrowania sieciowego korzystasz.
WPA2, w szczególności jego wersja korzystająca z AES, jest dość bezpieczna. Jeśli masz hasło zniżania, znajomy nie dostanie się do sieci zabezpieczonej WPA2 bez uzyskania hasła. Teraz, jeśli NSA próbuje dostać się do twojej sieci, to już inna sprawa. Następnie należy całkowicie wyłączyć bezprzewodowo. I prawdopodobnie także twoje połączenie z Internetem i wszystkie twoje komputery. Biorąc pod uwagę wystarczającą ilość czasu i zasobów, WPA2 (i cokolwiek innego) może zostać zhackowane, ale prawdopodobnie będzie wymagało dużo więcej czasu i znacznie więcej możliwości niż przeciętny hobbysta będzie miał do swojej dyspozycji.
Jak powiedział David, prawdziwym pytaniem nie jest "Czy można to zhackować?", Ale raczej "Jak długo potrwa ktoś, kto ma określony zestaw możliwości, aby go zhakować?". Oczywiście odpowiedź na to pytanie różni się znacznie w zależności od tego, jaki jest ten konkretny zestaw zdolności. Jest również absolutnie poprawny, że bezpieczeństwo powinno być wykonywane warstwami. Rzeczy, na których Ci zależy, nie powinny przechodzić przez twoją sieć bez uprzedniego zaszyfrowania. Tak więc, jeśli ktoś włamie się do twojej sieci bezprzewodowej, nie powinien mieć dostępu do niczego znaczącego poza możliwością korzystania z połączenia internetowego. Każda komunikacja, która musi być bezpieczna, powinna nadal korzystać z silnego algorytmu szyfrowania (takiego jak AES), ewentualnie skonfigurowanego za pomocą TLS lub jakiegoś takiego schematu PKI. Upewnij się, że Twój adres e-mail i inny poufny ruch sieciowy są zaszyfrowane i że nie korzystasz z usług (takich jak udostępnianie plików lub drukarek) na komputerach bez odpowiedniego systemu uwierzytelniania.
Czy masz coś do dodania do wyjaśnienia? Dźwięk w komentarzach. Chcesz przeczytać więcej odpowiedzi od innych użytkowników Stack Exchange, którzy znają się na technologii? Sprawdź cały wątek dyskusji tutaj.
