مقایسه شبکه های بیسیم با سایر شبکه ها

شبکه بیسیم و دیگر شبکه ها

مقدمه
نياز روز افزون به پويايي كارها ، استفاده از تجهيزاتي مانند تلفن همراه ، پيجرها و ...
بواسطه وجود شبكه هاي بي سيم امكان پذير شده است.
اگر كاربر يا شركت يا برنامه كاربردي خواهان آن باشد كه داده و اطلاعات مورد نياز خود را به صورت متحرك در هر لحظه در اختيار داشته باشند شبكه هاي بي سيم جواب مناسبي براي آنها ست.
اين مقاله دربخش‌هاي مختلفي ارائه ميشود، در بخش حاضر فقط به بيان كلياتي در رابطه با شبكه‌هاي بي‌سيم و كابلي پرداخته شده، در بخش‌هاي بعدي به جزئيات بيشتري در رابطه با شبكه‌هاي بي‌سيم خواهيم پرداخت.

تشريح مقدماتي شبكه هاي بي سيم و كابلي
شبكه هاي محلي (LAN ) براي خانه و محيط كار مي توانند به دو صورت كابلي (Wired ) يا بي سيم (Wireless ) طراحي گردند . درابتدا اين شبكه ها به روش كابلي با استفاده از تكنولوژي Ethernet طراحي مي شدند اما اكنون با روند رو به افزايش استفاده از شبكه هاي بي سيم با تكنولوژي Wi-Fi مواجه هستيم .
در شبكه هاي كابلي (كه در حال حاضر بيشتر با توپولوژي ستاره اي بكار مي روند ) بايستي از محل هر ايستگاه كاري تا دستگاه توزيع كننده (هاب يا سوئيچ ) به صورت مستقل كابل كشي صورت پذيرد(طول كابل ازنوع CAT5 نبايستي 100 متر بيشتر باشد در غير اينصورت از فيبر نوري استفاده ميگردد) كه تجهيزات بكار رفته از دونوع غير فعال (Passive ) مانند كابل ، پريز، داكت ، پچ پنل و.......... . و فعال (Active )مانند هاب ،سوئيچ ،روتر ، كارت شبكه و........... هستند .
موسسه مهندسي IEEE استانداردهاي 802.3u را براي Fast Ethernet و 802.3ab و802.3z را براي Gigabit Ethernet ( مربوط به كابلهاي الكتريكي و نوري ) در نظر گرفته است.
شبكه هاي بي سيم نيز شامل دستگاه مركزي (Access Point ) مي باشد كه هر ايستگاه كاري مي تواند حداكثر تا فاصله 30 متر ي آن (بدون مانع ) قرار گيرد.

شبكه هاي بي سيم (Wlan ) يكي از سه استاندارد ارتباطي Wi-Fi زير را بكار مي برند:
802.11b كه اولين استانداردي است كه به صورت گسترده بكار رفته است .
802.11a سريعتر اما گرانتر از 802.11b مي باشد.
802.11g جديدترين استاندارد كه شامل هر دو استاندارد قبلي بوده و از همه گرانتر ميباشد.
هر دونوع شبكه هاي كابلي و بي سيم ادعاي برتري بر ديگري را دارند اما انتخاب صحيح با در نظر گرفتن قابليتهاي آنها ميسر مي باشد.
عوامل مقايسه

در مقايسه شبكه هاي بي سيم و كابلي مي تواند قابليتهاي زير مورد بررسي قرار گيرد:
نصب و راه اندازي
هزينه
قابليت اطمينان
كارائی
امنيت
نصب و راه اندازي
در شبكه هاي كابلي بدليل آنكه به هر يك از ايستگاههاي كاري بايستي از محل سويئچ مربوطه كابل كشيده شود با مسائلي همچون سوارخكاري ، داكت كشي ، نصب پريز و......... مواجه هستيم در ضمن اگر محل فيزيكي ايستگاه مورد نظر تغيير يابد بايستي كه كابل كشي مجدد و .......صورت پذيرد
شبكه هاي بي سيم از امواج استفاده نموده و قابليت تحرك بالائي را دارا هستند بنابراين تغييرات در محل فيزيكي ايستگاههاي كاري به راحتي امكان پذير مي باشد براي راه اندازي آن كافيست كه از روشهاي زير بهره برد:
Ad hoc كه ارتباط مستقيم يا همتا به همتا (peer to peer ) تجهيزات را با يكديگر ميسر مي سازد.
Infrastructure كه باعث ارتباط تمامي تجهيزات با دستگاه مركزي مي شود.
بنابراين ميتوان دريافت كه نصب و را ه اندازي شبكه هاي كابلي يا تغييرات در آن بسيار مشكلتر نسبت به مورد مشابه يعني شبكه هاي بي سيم است .

هزينه
تجهيزاتي همچون هاب ، سوئيچ يا كابل شبكه نسبت به مورد هاي مشابه در شبكه هاي بي سيم ارزانتر مي باشد اما درنظر گرفتن هزينه هاي نصب و تغييرات احتمالي محيطي نيز قابل توجه است .
قابل به ذكر است كه با رشد روز افزون شبكه هاي بي سيم ، قيمت آن نيز در حال كاهش است .

قابليت اطمينان
تجهيزات كابلي بسيار قابل اعتماد ميباشند كه دليل سرمايه گذاري سازندگان از حدود بيست سال گذشته نيز همين مي باشد فقط بايستي در موقع نصب و يا جابجائي ، اتصالات با دقت كنترل شوند.
تجهيزات بي سيم همچون Broadband Router ها مشكلاتي مانند قطع شدن‌هاي پياپي، تداخل امواج الكترومغناظيس، تداخل با شبكه‌هاي بي‌سيم مجاور و ... را داشته اند كه روند رو به تكامل آن نسبت به گذشته(مانند 802.11g ) باعث بهبود در قابليت اطمينان نيز داشته است .
كارائي
شبكه هاي كابلي داراي بالاترين كارائي هستند در ابتدا پهناي باند 10 Mbps سپس به پهناي باندهاي بالاتر( 100 Mbps و 1000Mbps ) افزايش يافتند حتي در حال حاضر سوئيچهائي با پهناي باند 1Gbps نيز ارائه شده است .
شبكه هاي بي سيم با استاندارد 802.11b حداكثر پهناي باند 11Mbps و با 802.11a و 802.11g پهناي باند 54 Mbps را پشتيباني مي كنند حتي در تكنولوژيهاي جديد اين روند با قيمتي نسبتا بالاتر به 108Mbps نيز افزايش داده شده است علاوه بر اين كارائي Wi-Fi نسبت به فاصله حساس مي باشد يعني حداكثر كارائي با افزايش فاصله نسبت به َAccess Point پايين خواهد آمد. اين پهناي باند براي به اشتراك گذاشتن اينترنت يا فايلها كافي بوده اما براي برنامه هائي كه نياز به رد و بدل اطلاعات زياد بين سرور و ايستگاهاي كاري (Client to Server ) دارند كافي نيست .

امنيت

بدليل اينكه در شبكه هاي كابلي كه به اينترنت هم متصل هستند، وجود ديواره آتش از الزامات است و تجهيزاتي مانند هاب يا سوئيچ به تنهايي قادر به انجام وظايف ديواره آتش نميباشند، بايستي در چنين شبكه هايي ديواره آتش مجزايي نصب شود.
تجهيزات شبكه هاي بي سيم مانند Broadband Routerها ديواره آتش بصورت نرم افزاري وجود داشته و تنها بايستي تنظيمات لازم صورت پذيرد. از سوي ديگر به دليل اينكه در شبكه‌هاي بي‌سيم از هوا بعنوان رسانه انتقال استفاده ميشود، بدون پياده سازي تكنيك‌هاي خاصي مانند رمزنگاري، امنيت اطلاعات بطور كامل تامين نمي گردد استفاده از رمزنگاري WEP (Wired Equivalent Privacy ) باعث بالا رفتن امنيت در اين تجهيزات گرديده است .
انتخاب صحيح كدام است؟
با توجه به بررسي و آناليز مطالبي كه مطالعه كرديد بايستي تصميم گرفت كه در محيطي كه اشتراك اطلاعات وجود دارد و نياز به ارتباط احساس مي شو د كدام يك از شبكه هاي بي سيم و كابلي مناسبتر به نظر مي رسند .
جدول زير خلاصه اي از معيارهاي در نظر گرفته شده در اين مقاله مي باشد . بعنوان مثال اگر هزينه براي شما مهم بوده و نياز به استفاده از حداكثر كارائي را داريد ولي پويائي براي شما مهم نمي باشد بهتر است از شبكه كابلي استفاده كنيد.
بنابراين اگر هنوز در صدد تصميم بين ايجاد يك شبكه كامپيوتري هستيد جدول زير انتخاب را براي شما ساده تر خواهد نمود.

انواع شبكه هاي بي سيم
WLANS(Wireless Local Area Networks )
اين نوع شبكه براي كاربران محلي از جمله محيطهاي(Campus) دانشگاهي يا آزمايشگاهها كه نياز به استفاده از اينترنت دارند مفيد مي باشد. در اين حالت اگر تعداد كاربران محدود باشند مي توان بدون استفاده از Access Point اين ارتباط را برقرار نمود .در غير اينصورت استفاده از Access Point ضروري است.مي توان با استفاده از آنتن هاي مناسب مسافت ارتباطي كاربران را به شرط عدم وجود مانع تاحدي طولاني تر نمود.

WPANS(Wireless Personal Area Networks )
دو تكنولوژي مورد استفاده براي اين شبكه ها عبارت از :IR (Infra Red ) و Bluetooth (IEEE 802.15 ) مي باشد كه مجوز ارتباط در محيطي حدود 90 متر را مي دهد البته در IR نياز به ارتباط مستقيم بوده و محدوديت مسافت وجود دارد .

WMANS(Wireless Metropolitan Area Networks )
توسط اين تكنولوژي ارتباط بين چندين شبكه يا ساختمان در يك شهر برقرار مي شود براي Backup آن مي توان از خطوط اجاره اي ،فيبر نوري يا كابلهاي مسي استفاده نمود .

WWANS(Wireless Wide Area Networks )
براي شبكه هائي با فواصل زياد همچون بين شهرها يا كشورها بكار مي رود اين ارتباط از طريق آنتن ها ي بي سيم يا ماهواره صورت مي پذيرد .


امنيت در شبكه هاي بي سيم
سه روش امنيتي در شبكه هاي بي سيم عبارتند از :

- WEP(Wired Equivalent Privacy )
در اين روش از شنود كاربرهايي كه در شبكه مجوز ندارند جلوگيري به عمل مي آيد كه مناسب براي شبكه هاي كوچك بوده زيرا نياز به تنظيمات دستي( KEY ) مربوطه در هر Client مي باشد.
اساس رمز نگاري WEP بر مبناي الگوريتم RC4 بوسيله RSA مي باشد.

- SSID (Service Set Identifier )
شبكه هاي WLAN داراي چندين شبكه محلي مي باشند كه هر كدام آنها داراي يك شناسه (Identifier ) يكتا مي باشند اين شناسه ها در چندين Access Point قرار داده مي شوند . هر كاربر براي دسترسي به شبكه مورد نظر بايستي تنظيمات شناسه SSID مربوطه را انجام دهد .

- MAC (Media Access Control )
ليستي از MAC آدرس هاي مورد استفاده در يك شبكه به AP (Access Point ) مربوطه وارد شده بنابراين تنها كامپيوترهاي داراي اين MAC آدرسها اجازه دسترسي دارند به عبارتي وقتي يك كامپيوتر درخواستي را ارسال مي كند MAC آدرس آن با ليست MAC آدرس مربوطه در AP مقايسه شده و اجازه دسترسي يا عدم دسترسي آن مورد بررسي قرار مي گيرد .اين روش امنيتي مناسب براي شبكه هاي كوچك بوده زيرا در شبكه هاي بزرگ امكان ورود اين آدرسها به AP بسيار مشكل مي باشد.

انواع استاندارد 802.11
اولين بار در سال 1990 بوسيله انستيتيو IEEE معرفي گرديد كه اكنون تكنولوژيهاي متفاوتي از اين استاندارد براي شبكه هاي بي سيم ارائه گرديده است .
802.11
براي روشهاي انتقال FHSS(frequency hopping spared spectrum ) يا DSSS (direct sequence spread spectrum ) با سرعت 1 Mbpsتا 2Mbps در كانال 2.4 GHz قابل استفاده مي باشد.
802.11a
براي روشهاي انتقال OFDM (orthogonal frequency division multiplexing ) با سرعت 54Mbps در كانال 5GHz قابل استفاده است.
802.11b
اين استاندارد با نام WI-Fi يا High Rate 802.11 قابل استفاده در روش DSSS بوده و در شبكه هاي محلي بي سيم نيز كاربرد فراواني دارد همچنين داراي نرخ انتقال 11Mbps مي باشد.
802.11g
اين استاندارد براي دستيابي به نرخ انتقال بالاي 20Mbps در شبكه هاي محلي بي سيم و در كانال 2.4GHz كاربرد دارد.

Bluetooth
نوع ساده اي از ارتباط شبكه هاي بي سيم است كه حداكثر ارتباط 8 دستگاه را با تكنولوژي Bluetooth پشتيباني مي كند دستگاههايي از قبيل PDA ، نوت بوك ، تلفن هاي همراه و كامپيوترهاي شخصي از جمله اين موارد هستند مي دهد اگرچه اين تكنولوژي ممكن است در صفحه كليدها ،موس ها و Headset و Hands-free تلفن هاي همراه نيز ديده شود اين تكنولوژي در سال 1994 توسط شركت اريكسون ايجاد شد در سال 1998 تعداد كوچكي از كمپانيهاي مشهور مانند اريكسون ،نوكيا ، اينتل و توشيبا استفاده شد . بلوتوس در فواصل كوتاهي بين 9 تا 90 متر كار مي كنند اين فاصله پشتيباني به امنيت اين تكنولوژي مي افزايد .چرا كه اگر كسي بخواهد ارتباط شما را شنود كند گر چه به ابزار خاصي نياز ندارد اما بايستي در فاصله نزديكي از شما قرار بگيرد مهمتري ويژگي بلوتوس اين است كه بر خلاف Infrared موانعي مانند ديوار تاثيري بر روي سيگنال آن ندارند از تكنولوژي راديوئي استفاده كرده كه خيلي گران نبوده و مصرف برق خيلي كمي دارد .

موفقیت حیرت انگیز 802.11 به علت توسعه «اترنت بی سیم» است. همچنانکه 802.11 به ترقی خود ادامه می دهد، تفاوت هایش با اترنت بیشتر مشخص می شود. بیشتر این تفاوت ها به دلیل نا آشنایی نسبی بسیاری از مدیران شبکه با لایه فیزیکی فرکانس رادیویی است. در حالیکه همه مدیران شبکه باید درک پایه ای از لینک رادیویی داشته باشند، تعدادی از ابزارها برای کمک به آنها به خدمت گرفته می شوند. آنالایزرهای (تحلیل کننده ) شبکه های بی سیم برای مدت ها ابزاری لازم برای مهندسان شبکه در اشکال زدایی و تحلیل پروتکل بوده اند. بسیاری از آنالایزرها بعضی کارکردهای امنیتی را نیز اضافه کرده اند که به آنها اجازه کار با عملکردهای بازرسی امنیتی را نیز می دهد.

در این سلسله مقاله هفت مشکل از مهم ترین آسیب پذیری های امنیتی موجود در LANهای بی سیم، راه حل آنها و در نهایت چگونگی ساخت یک شبکه بی سیم امن مورد بحث قرار می گیرد. بسیاری از پرسش ها در این زمینه در مورد ابزارهایی است که مدیران شبکه می توانند استفاده کنند. یک آنالایزر از اولین خریدهایی است که یک مدیر شبکه باید انجام دهد. آنالایزرها علاوه بر عملکردهای سنتی تحلیل پروتکل و ابزار تشخیص عیب، می توانند برای تشخیص بسیاری از نگرانی های امنیتی که استفاده از شبکه بی سیم را کند می کنند، استفاده شوند. این سلسله مقاله هریک از این «هفت مسأله امنیتی» را بررسی می کند و توضیح می دهد که چگونه و چرا آنالایزر بی سیم، یک ابزار حیاتی برای تضمین امنیت شبکه های بی سیم است.



مسأله شماره ۱: دسترسی آسان

LANهای بی سیم به آسانی پیدا می شوند. برای فعال کردن کلاینت ها در هنگام یافتن آنها، شبکه ها باید فریم های Beacon با پارامتر های شبکه را ارسال کنند. البته، اطلاعات مورد نیاز برای پیوستن به یک شبکه، اطلاعاتی است که برای اقدام به یک حمله روی شبکه نیاز است. فریم های Beacon توسط هیچ فانکشن اختصاصی پردازش نمی شوند و این به این معنی است که شبکه 802.11 شما و پارامترهایش برای هر شخصی با یک کارت 802.11 قابل استفاده است. نفوذگران با آنتن های قوی می توانند شبکه ها را در مسیرها یا ساختمان های نزدیک بیابند و ممکن است اقدام به انجام حملاتی کنند حتی بدون اینکه به امکانات شما دسترسی فیزیکی داشته باشند.

راه حل شماره ۱: تقویت کنترل دسترسی قوی

دسترسی آسان الزاماً با آسیب پذیری مترادف نیست. شبکه های بی سیم برای ایجاد امکان اتصال مناسب طراحی شده اند، اما می توانند با اتخاذ سیاستهای امنیتی مناسب تا حد زیادی مقاوم شوند. یک شبکه بی سیم می تواند تا حد زیادی در این اتاق محافظت شده از نظر الکترومغناطیس محدود شود که اجازه نشت سطوح بالایی از فرکانس رادیویی را نمی دهد. به هرحال، برای بیشتر موسسات چنین برد هایی لازم نیستند. تضمین اینکه شبکه های بی سیم تحت تأثیر کنترل دسترسی قوی هستند، می تواند از خطر سوءاستفاده از شبکه بی سیم بکاهد.

تضمین امنیت روی یک شبکه بی سیم تا حدی به عنوان بخشی از طراحی مطرح است. شبکه ها باید نقاط دسترسی را در بیرون ابزار پیرامونی امنیت مانند فایروال ها قرار دهند و مدیران شبکه باید به استفاده از VPNها برای میسر کردن دسترسی به شبکه توجه کنند. یک سیستم قوی تأیید هویت کاربر باید به کار گرفته شود و ترجیحاً با استفاده از محصولات جدید که برپایه استاندارد IEEE 802.1x هستند. 802.1x انواع فریم های جدید برای تأیید هویت کاربر را تعریف می کند و از دیتابیس های کاربری جامعی مانند RADIUS بهره می گیرد. آنالایزرهای باسیم سنتی می توانند با نگاه کردن به تقاضاهای RADIUS و پاسخ ها، امکان درک پروسه تأیید هویت را فراهم کنند. یک سیستم آنالیز خبره برای تأیید هویت 802.11 شامل یک روتین عیب یابی مشخص برای LANهاست که ترافیک تأیید هویت را نظاره می کند و امکان تشخیص عیب را برای مدیران شبکه فراهم می کند که به آنالیز بسیار دقیق و کدگشایی فریم احتیاج ندارد. سیستم های آنالیز خبره که پیام های تأیید هویت 802.1x را دنبال می کنند، ثابت کرده اند که برای استفاده در LANهای استفاده کننده از 802.1x فوق العاده باارزش هستند.

هرگونه طراحی، بدون در نظر گرفتن میزان قدرت آن، باید مرتباً بررسی شود تا سازگاری چینش فعلی را با اهداف امنیتی طراحی تضمین کند. بعضی موتورهای آنالیز تحلیل عمیقی روی فریم ها انجام می دهند و می توانند چندین مسأله معمول امنیت 802.1x را تشخیص دهند. تعدادی از حملات روی شبکه های باسیم در سال های گذشته شناخته شده اند و لذا وصله های فعلی به خوبی تمام ضعف های شناخته شده را در این گونه شبکه ها نشان می دهند. آنالایزرهای خبره پیاده سازی های ضعیف را برای مدیران شبکه مشخص می کنند و به این ترتیب مدیران شبکه می توانند با به کارگیری سخت افزار و نرم افزار ارتقاء یافته، امنیت شبکه را حفظ کنند.

پیکربندی های نامناسب ممکن است منبع عمده آسیب پذیری امنیتی باشد، مخصوصاً اگر LANهای بی سیم بدون نظارت مهندسان امنیتی به کارگرفته شده باشند. موتورهای آنالیز خبره می توانند زمانی را که پیکربندی های پیش فرض کارخانه مورد استفاده قرار می گیرند، شناسایی کنند و به این ترتیب می توانند به ناظران کمک کنند که نقاطی از دسترسی را که بمنظور استفاده از ویژگی های امنیتی پیکربندی نشده اند، تعیین موقعیت کنند. این آنالایزرها همچنین می توانند هنگامی که وسایلی از ابزار امنیتی قوی مانند VPNها یا 802.1x استفاده نمی کنند، علائم هشدار دهنده را ثبت کنند.

مسأله شماره ۲: نقاط دسترسی نامطلوب

دسترسی آسان به شبکه های LAN بی سیم امری منفک از راه اندازی آسان آن نیست. این دو خصوصیت در هنگام ترکیب شدن با یکدیگر می توانند برای مدیران شبکه و مسوولان امنیتی ایجاد دردسر کنند. هر کاربر می تواند به فروشگاه کامپیوتر نزدیک خود برود، یک نقطه دسترسی! بخرد و بدون کسب اجازه ای خاص به کل شبکه متصل شود. بسیاری از نقاط دسترسی با اختیارات مدیران میانی عرضه می شوند و لذا دپارتمان ها ممکن است بتوانند LAN بی سیمشان را بدون صدور اجازه از یک سازمان IT مرکزی در معرض عموم قرار دهند. این دسترسی به اصطلاح «نامطلوب» بکارگرفته شده توسط کاربران ، خطرات امنیتی بزرگی را مطرح می کند. کاربران در زمینه امنیتی خبره نیستند و ممکن است از خطرات ایجاد شده توسط LAN های بی سیم آگاه نباشند. ثبت بسیاری از ورودها به شبکه نشان از آن دارد که ویژگی های امنیتی فعال نیستند و بخش بزرگی از آنها تغییراتی نسبت به پیکربندی پیش فرض نداشته اند و با همان پیکربندی راه اندازی شده اند.


راه حل شماره۲ : رسیدگی های منظم به سایت

مانند هر تکنولوژی دیگر شبکه، شبکه های بی سیم به مراقبت از سوی مدیران امنیتی نیاز دارند. بسیاری از این تکنولوژی ها به دلیل سهولت استفاده مورد بهره برداری نادرست قرار می گیرند، لذا آموختن نحوه یافتن شبکه های امن نشده از اهمیت بالایی برخوردار است.

روش بدیهی یافتن این شبکه ها انجام همان کاری است که نفوذگران انجام می دهند: استفاده از یک آنتن و جستجوی آنها به این منظور که بتوانید قبل از نفوذگران این شبکه ها را پیدا کنید. نظارت های فیزیکی سایت باید به صورت مرتب و در حد امکان انجام گیرد. اگرچه هرچه نظارت ها سریع تر انجام گیرد، امکان کشف استفاده های غیرمجاز بیشتر است، اما زمان زیادی که کارمندان مسوول این امر باید صرف کنند، کشف تمامی استفاده های غیرمجاز را بجز برای محیط های بسیار حساس، غیرقابل توجیه می کند. یک راهکار برای عدم امکان حضور دائم می تواند انتخاب ابزاری در اندازه دستی باشد. این عمل می تواند استفاده تکنسین ها از اسکنرهای دستی در هنگام انجام امور پشتیبانی کاربران، برای کشف شبکه های غیرمجاز باشد.

یکی از بزرگترین تغییرات در بازار 802.11 در سال های اخیر ظهور 802.11a به عنوان یک محصول تجاری قابل دوام بود. این موفقیت نیاز به ارائه ابزارهایی برای مدیران شبکه های 802.11a را بوجود آورد. خوشبختانه، 802.11a از همان MAC پیشینیان خود استفاده می کند، بنابراین بیشتر آنچه مدیران راجع به 802.11 و تحلیل کننده ها می دانند، بدرد می خورد. مدیران شبکه باید دنبال محصولی سازگار باشند که هر دو استاندارد 802.11a و 802.11b را بصورت یکجا و ترجیحاً به صورت همزمان پشتیبانی کند. چیپ ست های دوباندی 802.11a/b و کارت های ساخته شده با آنها به آنالایزرها اجازه می دهد که روی هر دو باند بدون تغییرات سخت افزاری کار کنند، و این بدین معنی است که مدیران شبکه نیاز به خرید و آموزش فقط یک چارچوپ پشتیبانی شده برای هر دو استاندارد دارند. این روال باید تا 802.11g ادامه یابد، تا جایی که سازندگان آنالایزرها کارت های 802.11a/b/g را مورد پذیرش قرار دهند.

بسیاری از ابزارها می توانند برای انجام امور رسیدگی به سایت و ردیابی نقاط دسترسی نامطلوب استفاده شوند، اما مدیران شبکه باید از نیاز به همگامی با آخرین تکنیک های استفاده شده در این بازی موش و گربه! آگاه باشند. نقاط دسترسی می توانند در هر باند فرکانسی تعریف شده در 802.11 بکارگرفته شوند، بنابراین مهم است که تمام ابزارهای مورد استفاده در بررسی های سایت بتوانند کل محدوده فرکانسی را پویش کنند. حتی اگر شما استفاده از 802.11b را انتخاب کرده اید، آنالایزر استفاده شده برای کار نظارت بر سایت، باید بتواند همزمان نقاط دسترسی 802.11a را نیز پویش کند تا در طول یک بررسی کامل نیازی به جایگزین های سخت افزاری و نرم افزاری نباشد.

بعضی نقاط دسترسی نامطلوب سعی دارند کانالهایی را به صورت غیرقانونی روی کانال های 802.11b به کار بگیرند که برای ارسال استفاده نمی شوند. برای مثال قوانین FCC تنها اجازه استفاده از کانال های ۱ تا ۱۱ از 802.11b را می دهد. کانال های ۱۲ تا ۱۴ جزء مشخصات آن تعریف شده اند اما فقط برای استفاده در اروپا و ژاپن کاربرد دارند. به هرحال، بعضی کاربران ممکن است از نقطه دسترسی کانال های اروپایی یا ژاپنی استفاده کنند، به این امید که رسیدگی یک سایت متمرکز روی کانال های مطابق با FCC از کانال های فرکانس بالاتر چشم پوشی کند. این قضیه مخصوصاً برای ردیابی ابزارهایی اهمیت دارد که بیرون باند فرکانسی مجاز بکارگرفته شده اند تا از اعمال اجرایی اتخاذ شده توسط نمایندگی های مجاز برحذر باشند. آنالایزرهای غیرفعال (Passive Analyzers) ابزار ارزشمندی هستند زیرا استفاده های غیرمجاز را تشخیص می دهند، اما چون توانی ارسال نمی کنند استفاده از آنها قانونی است.

مدیران شبکه همواره تحت فشار زمانی هستند، و به روش آسانی برای یافتن نقاط دسترسی نامطلوب و در عین حال چشم پوشی از نقاط دسترسی مجاز نیاز دارند. موتورهای جستجوی خبره به مدیران اجازه می دهند که لیستی از نقاط دسترسی مجاز را پیکربندی کنند. هر نقطه دسترسی غیرمجاز باعث تولید علامت هشدار دهنده ای می شود. در پاسخ به علامت هشدار دهنده، مدیران شبکه می توانند از ابزار دیگری برای پیدا کردن نقطه دسترسی براساس مقیاس های قدرت سیگنال استفاده کنند. اگرچه این ابزارها ممکن است خیلی دقیق نباشند، ولی برای محدود کردن محوطه جستجوی نقطه دسترسی نامطلوب به اندازه کافی مناسب هستند.

مسأله شماره ۳: استفاده غیرمجاز از سرویس

چندین شرکت مرتبط با شبکه های بی سیم نتایجی منتشر کرده اند که نشان می دهد اکثر نقاط دسترسی با تنها تغییرات مختصری نسبت به پیکربندی اولیه برای سرویس ارائه می گردند. تقریباً تمام نقاط دسترسی که با پیکربندی پیش فرض مشغول به ارائه سرویس هستند، WEP (Wired Equivalent Privacy) را فعال نکرده اند یا یک کلید پیش فرض دارند که توسط تمام تولیدکنند گان محصولات استفاده می شوند. بدون WEP دسترسی به شبکه به راحتی میسر است. دو مشکل به دلیل این دسترسی باز می تواند بروز کند: کاربران غیرمجاز لزوماً از مفاد ارائه سرویس تبعیت نمی کنند، و نیز ممکن است تنها توسط یک اسپم ساز اتصال شما به ISPتان لغو شود.

راه حل شماره۳ : طراحی و نظارت برای تأیید هویت محکم

راه مقابله مشخص با استفاده غیرمجاز، جلوگیری از دسترسی کاربران غیرمجاز به شبکه است. تأیید هویت محکم و محافظت شده توسط رمزنگاری یک پیش شرط برای صدور اجازه است، زیرا امتیازات دسترسی برپایه هویت کاربر قرار دارند. روش های VPN که برای حفاظت از انتقال در لینک رادیویی به کارگرفته می شوند، تأیید هویت محکمی را ارائه می کنند. تخمین مخاطرات انجام شده توسط سازمان ها نشان می دهد که دسترسی به 802.1x باید توسط روش های تأیید هویت برپایه رمزنگاری تضمین شود. از جمله این روش ها می توان به TLS (Transport Layer Security) ، TTLS (Tunneled TLS) یا PEAP (Protected Extensible Authentication Protocol) اشاره کرد.

هنگامی که یک شبکه با موفقیت راه اندازی می شود، تضمین تبعیت از سیاست های تایید هویت و اعطای امتیاز مبتنی بر آن حیاتی است. همانند مسأله نقاط دسترسی نامطلوب، در این راه حل نیز نظارت های منظمی بر تجهیزات شبکه بی سیم باید انجام شود تا استفاده از مکانیسم های تأیید هویت و پیکربندی مناسب ابزارهای شبکه تضمین شود. هر ابزار نظارت جامع باید نقاط دسترسی را در هر دو باند فرکانسی 802.11b (باند GHz ISM 2.4) و 802.11a ( GHz U-NII 5) تشخیص دهد و پارامترهای عملیاتی مرتبط با امنیت را نیز مشخص کند. اگر یک ایستگاه غیرمجاز متصل به شبکه کشف شود، یک رسیور دستی می تواند برای ردیابی موقعیت فیزیکی آن استفاده شود. آنالایزرها نیز می توانند برای تأیید پیکربندی بسیاری از پارامترهای نقاط دسترسی استفاده گردند و هنگامی که نقاط دسترسی آسیب پذیری های امنیتی را نمایان می کنند، علائم هشدار دهنده صوتی تولید کنند.

مسأله شماره ۴ : محدودیت های سرویس و کارایی

LANهای بی سیم ظرفیت های ارسال محدودی دارند. شبکه های 802.11b سرعت انتقالی برابر با 11 Mbps و شبکه های برپایه تکنولوژی جدید 802.11a نرخ انتقال اطلاعاتی تا 54 Mbps دارند. البته ماحصل مؤثر واقعی، به دلیل بالاسری لایه MAC، تقریباً تا نیمی از ظرفیت اسمی می رسد. نقاط دسترسی کنونی این ظرفیت محدود را بین تمام کاربران مربوط به یک نقطه دسترسی قسمت می کنند. تصور اینکه چگونه برنامه های محلی احتمالاً چنین ظرفیت محدودی را اشغال می کنند یا چگونه یک نفوذگر ممکن است یک حمله انکار سرویس (DoS) روی این منابع محدود طرح ریزی کند، سخت نیست.

ظرفیت رادیویی می تواند به چندین روش اشغال شود. ممکن است توسط ترافیکی که از سمت شبکه باسیم با نرخی بزرگتر از توانایی کانال رادیویی می آید، مواجه شود. اگر یک حمله کننده یک ping flood را از یک بخش اترنت سریع بفرستد، می تواند به راحتی ظرفیت یک نقطه دسترسی را اشغال کند. با استفاده از آدرس های broadcast امکان اشغال چندین نقطه دسترسی متصل به هم وجود دارد. حمله کننده همچنین می تواند ترافیک را به شبکه رادیویی بدون اتصال به یک نقطه دسترسی بی سیم تزریق کند. 802.11 طوری طراحی شده است که به چندین شبکه اجازه به اشتراک گذاری یک فضا و کانال رادیویی را می دهد. حمله کنندگانی که می خواهند شبکه بی سیم را از کار بیاندازند، می توانند ترافیک خود را روی یک کانال رادیویی ارسال کنند و شبکه مقصد ترافیک جدید را با استفاده از مکانیسم CSMA/CA تا آنجا که می تواند می پذیرد. مهاجمان بداندیش که فریم های ناسالم می فرستند نیز ظرفیت محدود را پر می کنند. همچنین ممکن است مهاجمان تکنیک های تولید پارازیت رادیویی را انتخاب کنند و اقدام به ارسال اطلاعات با نویز بالا به شبکه های بی سیم مقصد کنند.

بارهای بزرگ ترافیک الزاماً با نیات بدخواهانه تولید نمی شوند. انتقال فایل های بزرگ یا سیستم client/server ترکیبی ممکن است مقادیر بالایی از دیتا روی شبکه ارسال کنند. اگر تعداد کافی کاربر شروع به گرفتن اندازه های بزرگی از دیتا از طریق یک نقطه دسترسی کنند، شبکه شبیه سازی دسترسی dial-up را آغاز می کند.

راه حل شماره۴ : دیدبانی شبکه

نشان یابی مسائل کارایی با دیدبانی و کشف آنها آغاز می شود. مدیران شبکه بسیاری از کانال ها را برای کسب اطلاعات در مورد کارایی در اختیار دارند: از ابزارهای تکنیکی خاص مانند SNMP (Simple Network Management Protocol) گرفته تا ابزارهای بالقوه قوی غیرفنی مانند گزارش های کارایی کاربران. یکی از مسائل عمده بسیاری از ابزارهای تکنیکی، فقدان جزئیات مورد نیاز برای درک بسیاری از شکایت های کاربران در مورد کارایی است. آنالایزرهای شبکه های بی سیم می توانند با گزارش دهی روی کیفیت سیگنال و سلامت شبکه در مکان کنونی خود، کمک باارزشی برای مدیر شبکه باشند. مقادیر بالای ارسال های سرعت پایین می تواند بیانگر تداخل خارجی یا دور بودن یک ایستگاه از نقطه دسترسی باشد. توانایی نشان دادن سرعت های لحظه ای روی هر کانال، یک تصویر بصری قوی از ظرفیت باقی مانده روی کانال می دهد که به سادگی اشغال کامل یک کانال را نشان می دهد. ترافیک مفرط روی نقطه دسترسی می تواند با تقسیم ناحیه پوشش نقطه دسترسی به نواحی پوشش کوچک تر یا با اعمال روش شکل دهی ترافیک در تلاقی شبکه بی سیم با شبکه اصلی تعیین شود.

در حالیکه هیچ راه حل فنی برای آسیب پذیری های ناشی از فقدان تأیید هویت فریم های کنترل و مدیریت وجود ندارد، مدیران می توانند برای مواجهه با آنها گام هایی بردارند. آنالایزرها اغلب نزدیک محل های دردسرساز استفاده می شوند تا به تشخیص عیب کمک کنند و به صورت ایده آل برای مشاهده بسیاری از حملات DoS کار گذاشته می شوند. مهاجمان می توانند با تغییر دادن فریم های 802.11 با استفاده از یکی از چندین روش معمول واسط های برنامه نویسی 802.11 موجود، از شبکه سوءاستفاده کنند. حتی یک محقق امنیتی ابزاری نوشته است که پیام های قطع اتصال فرستاده شده توسط نقاط دسترسی به کلاینت ها را جعل می کند. بدون تأیید هویت پیام های قطع اتصال بر اساس رمزنگاری، کلاینت ها به این پیام های جعلی عمل می کنند و اتصال خود را از شبکه قطع می کنند. تا زمانی که تأیید هویت به صورت یک فریم رمزشده استاندارد درنیاید، تنها مقابله علیه حملات جعل پیام، مکان یابی حمله کننده و اعمال عکس العمل مناسب است.

مسأله شماره ۵: جعل MAC و sessionربایی!

شبکه های 802.11 فریم ها را تأیید هویت نمی کنند. هر فریم یک آدرس مبداء دارد، اما تضمینی وجود ندارد که ایستگاه فرستنده واقعاً فریم را ارسال کرده باشد! در واقع همانند شبکه های اترنت سنتی، مراقبتی در مقابل جعل مبداء آدرس ها وجود ندارد. نفوذگران می توانند از فریم های ساختگی برای هدایت ترافیک و تخریب جداول ARP (Address Resolution Protocol) استفاده کنند. در سطحی بسیار ساده تر، نفوذگران می توانند آدرس های (MAC (Medium Access Control ایستگاه های در حال استفاده را مشاهده کنند و از آن آدرس ها برای ارسال فریم های بدخواهانه استفاده کنند. برای جلوگیری از این دسته از حملات، مکانیسم تصدیق هویت کاربر برای شبکه های 802.11 در حال ایجاد است. با درخواست هویت از کاربران، کاربران غیرمجاز از دسترسی به شبکه محروم می شوند. اساس تصدیق هویت کاربران استاندارد 802.1x است که در ژوئن 2001 تصویب شده است. 802.1x می تواند برای درخواست هویت از کاربران به منظور تأیید آنان قبل از دسترسی به شبکه مورد استفاده قرار گیرد، اما ویژگی های دیگری برای ارائه تمام امکانات مدیریتی توسط شبکه های بی سیم مورد نیاز است.

نفوذگران می توانند از فریم های جعل شده در حملات اکتیو نیز استفاده کنند. نفوذگران علاوه بر ربودن نشست ها (sessions) می توانند از فقدان تصدیق هویت نقاط دسترسی بهره برداری کنند. نقاط دسترسی توسط پخش فریم های Beacon (چراغ دریایی) مشخص می شوند. فریم های Beacon توسط نقاط دسترسی ارسال می شوند تا کلاینت ها قادر به تشخیص وجود شبکه بی سیم و بعضی موارد دیگر شوند. هر ایستگاهی که ادعا می کند که یک نقطه دسترسی است و SSID (Service Set Identifier) که معمولاً network name نیز نامیده می شود، منتشر می کند، به عنوان بخشی از شبکه مجاز به نظر خواهد رسید. به هرحال، نفوذگران می توانند به راحتی تظاهر کنند که نقطه دسترسی هستند، زیرا هیچ چیز در 802.11 از نقطه دسترسی نمی خواهد که ثابت کند واقعاً یک نقطه دسترسی است. در این نقطه، یک نفوذگر می تواند با طرح ریزی یک حمله man-in-the-middle گواهی های لازم را سرقت کند و از آنها برای دسترسی به شبکه استفاده کند. خوشبختانه، امکان استفاده از پروتکل هایی که تأیید هویت دوطرفه را پشتیبانی می کنند در 802.1x وجود دارد. با استفاده از پروتکل TLS (Transport Layer Security)، قبل از اینکه کلاینت ها گواهی های هویت خود را ارائه کنند، نقاط دسترسی باید هویت خود را اثبات کنند. این گواهی ها توسط رمزنگاری قوی برای ارسال بی سیم محافظت می شوند. ربودن نشست حل نخواهد شد تا زمانی که 802.11 MAC تصدیق هویت در هر فریم را به عنوان بخشی از 802.11i بپذیرد.

راه حل شماره۵ : پذیرش پروتکل های قوی و استفاده از آنها

تا زمان تصویب 802.11i جعل MAC یک تهدید خواهد بود. مهندسان شبکه باید روی خسارت های ناشی از جعل MAC تمرکز کنند و شبکه های بی سیم را تا آنجا که ممکن است از شبکه مرکزی آسیب پذیرتر جدا کنند. بعضی راه حل ها جعل AP (نقاط دسترسی( را کشف می کنند و به طور پیش فرض برای مدیران شبکه علائم هشدار دهنده تولید می کنند تا بررسی های بیشتری انجام دهند. در عین حال، می توان فقط با استفاده از پروتکل های رمزنگاری قوی مانند IPSec از نشست ربایی! جلوگیری کرد. آنالایزرها می توانند در بخشی از تحلیل فریم های گرفته شده، سطح امنیتی مورد استفاده را تعیین کنند. این تحلیل می تواند در یک نگاه به مدیران شبکه بگوید آیا پروتکل های امنیتی مطلوبی استفاده می شوند یا خیر.

علاوه بر استفاده از پروتکل های VPN قوی، ممکن است که تمایل به استفاده از تصدیق هویت قوی کاربر با استفاده از 802.1x داشته باشید. بعضی جزئیات آنالیز وضعیت تصدیق 802.1x، نتایج باارزشی روی قسمت بی سیم تبادل تصدیق هویت 802.1x ارائه می کند. هنگام انجام نظارت بر سایت، آنالایزر نوع تصدیق هویت را مشخص می کند و این بررسی به مدیران شبکه اجازه می دهد که محافظت از کلمات عبور توسط رمزنگاری قوی را تضمین کنند