|
ابزار کار شبکه بیسیم خانگی* |
مترجم: مریم صادقیان
کارشناس خدمات کامپیوتری دانشکده علوم ریاضی. دانشگاه صنعتی شریف
Email : sadeghian@mehr.sharif.edu
چکیده
اهمیت پیکربندی صحیح ابزار شبکه بیسیم و ایجاد محدودیت جهت دسترسی به اینترنت، غیر فعال کردن انتشار، حفاظت از اطلاعات ارسالی به کمک رمزنگاری، محدود کردن پهنای باند، تغییر نام شبکه بیسیم ، تغییر رمز مدیر، ایجاد منطقه غیر نظامی و شبکه چندگانه، استفاده از دسترسی حفاظت شده، نگهداری از نرمافزار دائمی فعلی و بروز رسانی آن و حفظ کلیه اطلاعات در خصوص تنظیمات صورت گرفته بر روی نقطه دسترسی بصورت مستند امکان استفاده امن و قابل اطمینان از شبکه بیسیم را فراهم مینماید. هدف از ارائه این مقاله آشنایی با مفاهیم و راهکارهای مربوط به امنیت شبکه بیسیم میباشد.
کلید واژه ها: امنیت شبکه، شبکه بیسیم، مهاجم، سرویس گیرنده، نقطه دسترسی، نرم افزار دائمی، مسیریاب
مقدمه
امروزه استفاده از شبکه بیسیم به خاطر نصب و راه اندازی، و دسترسی آسان در محیط های کوچک مانند اماکن تجاری، کتابخانه ها و ... به سرعت رو به افزایش است. خصوصیت رادیویی این ابزار باعث میشود امکان دسترسی به اطلاعاتی که در حالت فعال بودن بیسیم ارسال و دریافت میگردند، نسبت به شبکه کابلی، بیشتر گردد. لذا پیکربندی مناسب و بکارگیری روشهایی که در حفظ امنیت شبکه بیسیم موثر باشند بسیار ضروری است. اين مقالهای به امنیت این نوع شبکه و روشهای ایجاد و نگهداری محیط امن برای استفاده از آن میپردازد.
امنیت شبکه[1]
ممکن است راه اندازی یک شبکه بیسیم[2] راحت و مفید باشد، اما باید مراقب امنیت شبکه باشید و از پهنای باند، سیستم و فایلهایتان حفاظت کنید. این متن شامل پیشنهاداتی در خصوص اینکه چگونه شبکه شما در برابر دسترسی خارجی بسته باشد و تغییرات بدون مجوز بوسیله عوامل خارجی را کاهش دهد، میباشد.
هدف از امنیت شبکه خانگی، مشکل ساختن شناسایی، دسترسی و استفاده از منابع شبکه شما میباشد. بوسیله بکارگیری چندین لایه حفاظتی، میتوانید مانع بسیاری از حملات معمول شوید. در ادامه به شما کمک خواهد شد که آسیب پذیری سیستمتان را کم کنید و یک امنیت اولیه در برابر نفوذگران[3] غیر حرفهای برای شبکه خانگی خود مهیا نمایید، البته این راهنماییها نمیتواند مانع سارقان حرفهای اطلاعات شود.
حداقل شرايط نگهداری از یک سرویس گیرنده[4] کابلی
توجه کنید که هر وقت شما گزینههای امنیتی را تغییر میدهید، ممکن است بطور اتفاقی سیستم بیسیم خود را قفل کنید. به همین خاطر آشنایی قبلی با چگونگی تنظیمات امنیتی و نگهداری یک سیستم با ارتباط کابلی توصیه میشود. بیشتر نقاط دسترسی[5] به یک سیستم کابلی برای پیکربندی اولیه نیاز دارند. اگر سیستمتان قفل شد، باید دستگاه را دوباره راهاندازی نمایید تا کلیه اطلاعات پاک و مجدداً پیکربندی شود.
تنظیمات خود را یادداشت کنید
تمام تغییراتی را که به عنوان پیش فرض در تنظیمات نقطه دسترسی ایجاد میکنید شامل: کلمه عبور،
SSIDا[6] (نام شبکه)، کلید رمزگذاری WEP[ا7]، کلیه فیلترها و تنظیمات MAC[8]i و ... یادداشت نمائيد. در صورت بارگذاری مجدد بصورت فیزیکی و یا بهروزرسانی، شما قادر خواهید بود دوباره بدون اینکه مجبور باشید دوباره تنظیم کنید برای هر سرویس گیرنده با تنظیمات جدید، شبکه را ایجاد کنید. كلمات یادداشت نموده را در جایی مطمئن نگهداری نمائيد.
از نرم افزار دائمی فعلی[9] نگهداری کنید
سازندگان نرم افزارها اغلب نسخههای ارتقاء آنرا پيوسته ارائه میدهند، برنامههای کوچکی که بطور ثابت در داخل دستگاه ذخیره میشوند. شما مي توانيد پایگاه اینترنتی این محصولات یا شرکتهای حامی را برای در دسترس بودن نسخههای قبلی بررسی کنید. از نتايج خوب نگهداری از یک سرویس گیرنده کابلی آنست كه معمولاً نسخههای جدیدتر، حاوي اطلاعات بروز شده ابزارهاي امنیتي و یکسری امکانات اضافی مي باشد و شما میتوانید آن را روی نقطه دسترسیتان برای استفادۀ مؤثر سرویس گیرندهها، نصب نمائید.
دستیابی به نقطه دسترسیتان را امن کنید
بیشتر نقاط دسترسی از قبل تنظیم شده و با کلمه عبور پیش فرض یا بدون آن به بازار می آیند. مسیریاب[10]ها همیشه با یک نام کاربری و کلمه عبور پیش فرض فرستاده میشوند که در دنیای کامپیوتر شناخته شده هستند. اولین وظیفه شما این است که به نقطه دسترسی وصل شوید و کلمه عبور مدیر را تغییر دهید.
همچنین از غیر فعال بودن هرگونه کنترل از راه دور بوسیله نقطه دسترسیتان مطمئن شوید. اینكار از دسترسی به صفحه تنظیمات شبکه شما از طریق افراد خارج از محدوده جلوگیری میکند.
انتشار[11] SSIDرا غیر فعال کنید
نقاط دسترسی بصورت پیش فرض, یک موج رادیویی ردیابی[12] را منتشر مینمایند. سرویس گیرنده بیسیم وجود نقاط دسترسی را بوسیله آن موج شناسایی مینماید. با این سیگنال که شناسه امنیتی دستگاه (SSID) نامیده میشود، اسم شبکه مشخص میگردد و اساساً کارتهای شبکه بیسیم در داخل محدوده را برای پیوستن به شبکه فرا میخواند. از آنجایی که محدوده یک نقطه دسترسی اغلب از حدود منزلتان بیشتر است، یک فرد عبوری یا همسایه میتواند در محدوده ارتباط شما قرار گیرد. هر چند، اگر شخصي بداند و یا بتواند نام شبکه شما را حدس بزند و همزمان انتشار SSID غیر فعال باشد، عملاً شبکه بیسیمتان غیر قابل مشاهده خواهد بود.
وقتی شما مشخصه انتشار را غیر فعال میکنید، لازم است هر يك از سرویس هاي گیرنده بیسیم را با نام شبکه مورد نظر به صورت دستی تنظیم نمایید. نامی برای SSID تان انتخاب کنید که خیلی بدیهی نباشد.
استفاده از رمزگذاری WEP
با وجود اینکه نفوذگران مصمم، میتوانند در WEPنفوذ نمایند، استفاده از WEP میتواند مانع از جداکردن دادههای بیسیم شناور اطراف شبکهتان توسط بستههای نظارت و ردگیری[13]شود (يکی از قديمی ترين روشهای سرقت اطلاعات در يک شبکه، استفاده از فرآيندی موسوم به "ردگیری بسته ها در شبکه"[14] است. در اين روش مهاجمان از تکنيکهائی به منظور تکثير بستههای اطلاعاتی که در طول شبکه حرکت میکنند، استفاده نموده و در ادامه با آناليز آنها از وجود اطلاعات حساس در يک شبکه آگاهی میيابند. امروزه پروتکلهائی نظير IPSec به منظور پيشگيری از "ردگیری بسته ها در شبکه" طراحی شده است که با استفاده از آن بستههای اطلاعاتی رمزنگاری میگردند. در حال حاضر تعداد بسيار زيادی از شبکهها از تکنولوژی IPSec استفاده نمینمايند و يا صرفاً بخش اندکی از دادههای مربوطه را رمزنگاری مینمايند و همين امر باعث شده است که "ردگیری بسته ها در شبکه"همچنان يکی از روشهای متداول به منظور سرقت اطلاعات باشد. يک "ردگیر بسته ها در شبکه" که در برخی موارد از آن به عنوان ديدهبان شبكه و يا تحليلگر شبكه نيز ياد میشود، میتواند توسط مديران شبکه به منظور مشاهده و اشکال زدائی ترافيک موجود بر روی شبکه استفاده گردد تا به کمک آن بسته های اطلاعاتی خطاگونه و گلوگاههای حساس شبکه شناسائی و زمينه لازم به منظور انتقال موثر دادهها فراهم گردد. به عبارت سادهتر، يک "ردگیر بسته ها در شبکه" تمامی بستههای اطلاعاتی که از طريق يک اينترفيس مشخص شده در شبکه ارسال میگردند را تا موقعی که امکان بررسی و آناليز آنان فراهم گردد جمعآوری مینماید. عموماً از برنامه های "ردگیر بسته ها در شبکه" به منظور جمع آوری بسته های اطلاعاتی به مقصد يک دستگاه خاص استفاده میگردد. برنامه های فوق قادر به جمع آوری تمامی بستههای اطلاعاتی قابل حرکت در شبکه، صرف نظر از مقصد مربوطه نيز میباشند. يک مهاجم با استقرار يک "ردگیر بسته ها در شبکه" در شبکه، قادر به جمعآوری و آناليز تمامی ترافيک شبکه خواهد بود. اطلاعات مربوط به نام و رمز عبور عموماً به صورت متن معمولی و رمز نشده ارسال میگردد و اين بدان معنی است که با آناليز بستههای اطلاعاتی، امکان مشاهده اينگونه اطلاعات حساس وجود خواهد داشت. يک "ردگیر بسته ها در شبکه" صرفاً قادر به جمع آوری اطلاعات مربوط به بسته های اطلاعاتی درون يک subnet مشخص شده است. بنابراين، يک مهاجم نمیتواند يک "ردگیر بسته ها در شبکه" را در شبکه خود نصب نمايد و از آن طريق به شبکه شما دستيابی و اقدام به جمع آوری نام و رمز عبور به منظور سوء استفاده از ساير ماشينهای موجود در شبکه نمايد. مهاجمان به منظور نيل به اهداف مخرب خود میبايست يک "ردگیر بسته ها در شبکه" را بر روی يک کامپيوتر موجود در شبکه اجراء نمايند). در بیشتر نقاط دسترسی, پیشنهاد میکنند حداقل اندازه کلید برای رمزگذاری 64 بیت باشد و بعضی دیگر حتی پیشنهاد 128 بیتی برای رمزگذاری را داده اند. مدلWEP بستههای داده های مورد استفاده را بصورت الگوریتمهای مبهم و مبتنی بر یک کلید الکترونیکی تبدیل نموده و آنرا بصورت یک سری از الفبای عددی یا کاراکترهای شانزده شانزدهی (هگزا دسیمال) پنهان مینماید. سیستم دریافت باید یک کلید نظیر آن را به منظور کشف رمز بسته داده داشته باشد.
بر روی نقطه دسترسی، گزینهای را که اتصال WEP را فعال نموده و یا نیاز دارد، جستجو کنید. کلیدی را روی نقطه دسترسی تعریف نموده و همان کلید را در پیکربندی بیسیم هر سرویس گیرنده وارد کنید.
تنظیم دسترسی بوسیله نشاني فیزیکی کارت شبکه (MAC)
هر کارت شبکه یک نشاني MAC دارد که به صورت یکتا تعریف شده و روی شبکه مشخص میگردد. بیشتر نقاط دسترسی به شما اجازه میدهند که MAC آدرسهایی که میتوانند به شبکه دسترسی داشته باشند را محدود نمائید. استفاده از فیلتر MAC به اضافه WEP دسترسی به شبکه شما را بسیار مشکل میسازند.
كنترل دسترسی بوسیله نشاني دامنه (IP)اا[15]
اگر شما سرویسهایDHCP (Dynamic Host Configuration Protocol) را به منظور دریافت خودکار IP ،(Domain Name System) DNS و ورودی اطلاعات (Gateway) برای سرویس گیرندهها فعال کردهاید و میخواهید که این خصیصه به وسیله نقطه دسترسیتان پشتیبانی شود، دسترسی بر مبنای نشاني IP را محدود کنید، برای این منظور باید تعداد سرویس گیرندههای همزمان از DHCP را مشخص نمائید. ضمن آنکه میتوانید دوره اجاره را که برای هر نشاني DHCP منتشر میشود، تمدید کنید. (هر سرویس گیرنده DHCP نشاني را برای یک مدت زمان اجاره میکند سپس آن را آزاد مینماید.) راه دیگر اینکه، به جای تکیه بر DHCP، میتوانید به صورت دستی هر سرویس گیرنده را با نشاني IP دائمی پیکربندی کرده، اجازه دسترسی را تنها برای آن نشانيهای مخصوص, صادر نمایید.
مرتب کلمه عبور و SSID را تغییر دهید.
در ادامه گمراه کردن نفوذگرها، SSID و کلیدهای WEP خود را هر چند ماه یکبار تغییر دهید.
برد نقطه دسترسیتان را حداقل کنید.
سعی کنید نقطه دسترسی را در مرکز مکانی که برد آن به اندازهای باشد که به کاربران خدمات بدهد و یا حداکثر تا محوطه اطراف محل مورد نظر را پوشش دهد، قرار دهید، این عمل باعث کاهش پوشش در خارج از محدوده مالکیت شما میگردد. بهترین نقطهای که میتوان در نظر گرفت نزدیک به مرکز مکان خصوصی شما و نزدیک سطح زمین میباشد (اما نباید مستقیماً بالا یا زیر سرویس گیرنده بیسیمتان باشد).
یک
DMZا [16] یا شبکه چندگانه نصب کنید
در صورتی که شبکه خصوصی شما قسمت بندی شده است، سه بخش ابتدایی از یک نشاني IP، خود شبکه و بوسیله آخرین قسمت, سیستمهایی را که به شبکه متصل هستند مشخص میگردد. اگر شما همزمان شبکه کابلی و بیسیم استفاده می نمایید، میتوانید یک قلمرو غیر جنگی (DMZ) (يكي از اصول امنيت، استفاده از الگوي دفاع لايه به لايه است. مثل استفاده از برج، ديوارهاي بلند، دروازه هاي اصلي و فرعي، خندق و ... در قلعه هاي قديمي كل شبكه (Internetwork) را ميتوان به دو بخش قابل اعتماد (Trusted) و غيرقابل اعتماد (Untrusted) تقسيم بندي كرد. شبكه داخلي را ميتوان شبكه قابل اعتماد و شبكه عمومي اينترنت را شبكه غيرقابل اعتماد دانست. در شبكه هاي كامپيوتري، محلي را به نام DMZ (Demilitarized Zone) تعريف ميكنيم. در واقع DMZ ناحيهاي بين شبكه داخلي شما (Trusted) و شبكه عمومي (Untrusted) است. سرورهايي را كه بايد از اينترنت قابل دسترسي باشند (مانند Web Server، Mail Server،FTP Server وDNS Server ) را در DMZ قرار ميدهيم. اين سياست مطابق الگوي دفاع لايه به لايه است. به اين ترتيب ميتوانيم راه برقراري ارتباط از اينترنت به داخل شبكه را به طور كامل مسدود كنيم. براي ايجاد لايههاي بيشتر ميتوان بيش از يكDMZ در شبكه ايجاد كرد. تعداد Deviceهاي امنيت شبكه به تعداد DMZها و موارد ديگري بستگي دارد و با توجه به ساختار شبكهي هر سازمان، ميزان حساسيت و برخي پارامترهاي ديگر که در سیستم عامل تعيين ميشود. پيکربندی مناسب ناحيه DMZ به دو عامل متفاوت بستگی خواهد داشت: وجود يک مسیریاب خارجی و داشتن چندين نشاني IP ) را ایجاد کنید که مانند یک زیر شبکه روی شبکه اولیه بوجود میآید، یا میتوانید آدرسهای شبکه مختلفی برای هر شبکه طراحی کنید.
مانند یک نفوذگر عمل کنید
ابزارهای زیادی در دسترس هستند که میتوانند امنیت شبکهتان را بيازمايند. برای مثال،
NetStumbler و چندین ابزار مجانی در دسترس که در نشانيAbout.com's Internet/Network Security page میتوانید بیابید. آنها میتوانند به یافتن نقاط قابل نفوذ در شبکهتان کمک کنند و حتی ممکن است راههایی را برای بستن سوراخهای امنیتی پیشنهاد کنند.
همیشه مراقب باشيد
مفاهیم امنیت شبکه یک فرایند در حال پیشرفت میباشد. هر محصول و ابزار جدیدی که به بازار میآید، بالقوه آسیب پذیر و قابل رخنه میباشند. البته، تکنولوژیهای جدید برای کمک به بهبود امنیت روی شبکههای بیسیم گسترش مییابند. دسترسی حفاظت شده
Wi-Fi (WPA[17])، برای مثال، امنیت را بالا خواهد برد و تنظیمات را آسان خواهد نمود. یک پروتکل جدید امنیت شبکه بیسیم، به نام IEEE 802.11i[18]، همچنین به تقویت امنیت بیسیم کمک خواهد نمود.
بهترین روش برای برقراری امنیت شبکه بیسیم، دنبال کردن مراحلی است که در بالا لیست شد، همچنین قدم برداشتن با پیشرفت تکنولوژی، نرمافزار دائمی و راه حلهایی که دسترس باشند، پیشنهاد میشود.
نتیجه گیری
راه اندازی شبکه بیسیم، تنها در مواردی توصیه میشود که امکان کابلکشی نبوده و باعث بهم خوردن زیبایی مکان مورد نظر شود و یا لزوم جابجایی رایانهها، استفاده از شبکه بیسیم را ضروری نماید. غیر از مواردی از قبیل شبکه بیسیم هرگز بر شبکه کابلی برتری نخواهد داشت و در محیطهای بزرگ میتواند به عنوان شبکه کمکی در کنار یک شبکه کابلی استفاده گردد.
يادداشتها:
*اين مقاله ترجمهاي است از:
The University of Texas at Austin (2003).Wireless Home Networking Kit.
http://www.utexas.edu/its/wireless/install/netsecurity.html
[1] Network Security
[2] Wireless network
[3] Hackers
[4] Client
[5] Access Point (AP)
[6] Secure Set ID
[7] Wired Equivalent Privacy
[8] Media Access Control
[9] Firmware
[10] Router
[11] Broadcasting
[12] Beacon
[13] sniffer: A packet sniffer (also known as a network analyzer or protocol analyzer or, for particular types of networks, an Ethernet sniffer or wireless sniffer) is computer software or computer hardware that can intercept and log traffic passing over a digital network or part of a network. As data streams travel back and forth over the network, the sniffer captures each packet and eventually decodes and analyzes its content according to the appropriate RFC or other specifications
[14] packet sniffing
[15] Internet Protocol
[16] De-Militarized Zone: a computer or small subnetwork that sits between a trusted internal network, such as a corporate private LAN, and an untrusted external network, such as the public Internet. Typically, the DMZ contains devices accessible to Internet traffic, such as Web (HTTP ) servers, FTP servers, SMTP (e- mail) servers and DNS servers.
[17] Wi-Fi Protected Access; Wi-Fi is short for wireless fidelity and is meant to be used generically when referring of any type of 802.11 network, whether 802.11b, 802.11a, dual-band, etc.
[18] IEEE 802.11i, also known as WPA2, is an amendment to the 802.11 standard specifying security mechanisms for wireless networks
منابع:
http://www.utexas.edu/its/wireless/install/netsecurity.html
http://en.wikipedia.org/wiki/Packet_sniffer
http://www.webopedia.com/TERM/D/DMZ.html
http://en.wikipedia.org/wiki/
http://www.websecurity.ir/ShowArtOth.asp?ID=123
http://websecurity.ir/ShowArtOth.asp?ID=125
http://www.irandoc.ac.ir/data/e_j/vol7/sadeghian.htmبرگرفته از
