Tarmoq xavfsizligi

2. Simsiz tarmoqlarda tahdid va zaifliklar,
Zamonaviy axborot texnologiyalarining taraqqiyoti kompyuter jinoyatchiligi, konfedentsial ma’lumotlarga ruxsatsiz kirish, o‘zgartirish, yo‘qotish kabi salbiy hodisalar bilan birgalikda kuzatilmoqda. Simsiz aloqa tarmoqlari bundan mustasno emas, uning xavfsizligini ta’minlash bo‘yicha ko‘pgina muzokarali qarashlar gobal tarmoq orqali keng tarqalmoqda. Qanday qilib, tarmog‘ingiz xavfsizligini yuqori darajaga ko‘tarish mumkin?

Har qanday tarmoq kirish nuqtasi va simsiz mijoz aloqasi quyidagicha qurilgan:

• Autentifikatsiya — mijoz va kirish nuqtasi bir — birlariga qanday tanishtirilishi va o‘zaro aloqa qilishga huquqini tasdiqlaydi;
• Shifrlash — uzatiluvchi ma’lumotlarda qanday shifrlash algoritmlari qo‘llanilishi, qanday qilib shifrlash kaliti shakllantirilishi va u qachon o‘zgartirilishi.
Simsiz aloqa tarmog‘i ko‘rsatkichlari, birinchi navbatda uning nomi, tarmoq paketlari yordamida bog‘lanish nuqtasi bilan doim aloqada bo‘ladi. Kutilgan xavfsizlik sozlamalaridan tashqari, xohishga ko‘ra bir necha ko‘rsatkichlar uzatilishi mumkin: QoS (xizmat ko‘rsatish sifati) va 802.11n (simsiz aloqa standarti) ma’lumot almashish tezligi hamda boshqa qo‘shnilar haqida axborot beradi. Autentifikatsiya mijozni kirish nuqtasiga o‘zini tanishtirishni aniqlab beradi.
Yuz berishi mumkin bo‘lgan variantlar:

• Open — ochiq tarmoq, barcha ulanuvchi qurilmalar oldindan avtorizatsiya qilingan;

  
  

• Shared — ulanuvchi qurilma haqiqiyligi kalit yoki parol bilan tekshirilishi lozim;

  
  

• EAP — ulanuvchi qurilma haqiqiyligi tashqi server EAP protokoli bilan tekshirilishi lozim.

  
  

Tarmoqning ochiqligi istalgan kishi unda xohlagan ishini qilishi mumkin degani emas. Bunday tarmoqda ma’lumot uzatish uchun qo‘llanilayotgan shifrlash algoritmining mos kelishi va unga mos ravishda to‘g‘ri shifrlangan ulanish o‘rnatilishi zarur.

Shifrlash algoritmlari quyidagicha:

• None — shifrlashning yo‘qligi, ma’lumotlar ochiq holda uzatiladi;

  
  

• WEP — RC4 algoritmiga asoslangan turli uzunlikdagi shifr statik yoki dinamik kalit (64 yoki 128 bit);

  
  

• CKIP — Cisco‘dan WEP protokoli o‘rnini bosa oluvchi, TKIP ning oldingi versiyasi;

  
  

• TKIP — WEP protokoli o‘rinini bosa oluvchi yangilangan algoritm, qo‘shimcha tekshirish va himoya bilan ta’minlangan;

  
  

• AES/CCMP — mukammalroq algoritm, AES256 algoritmga asoslangan qo‘shimcha tekshirishlar va himoyaga ega.

  
  

Open Authentication, No Encryption kombinatsiyasi korxona yoki mehmonxonalarda Internetga ulanish kirish tizimlarida keng qo‘llaniladi. Ulanish uchun faqat simsiz tarmoq nomini bilish yetarli. Odatda bunday ulanish Captive Portal da qo‘shimcha tekshirish bilan birgalikda qo‘llaniladi. Tarmoqqa ulanish uchun foydalanuvchi kirishi HTTP so‘rov orqali qo‘shimcha sahifaga yo‘naltirilishi mumkin. Bu sahifada shaxsni tasdiqlash (login-parol, qoidalar bilan rozilik va boshqalar) amalini amalga oshirish so‘rovini tashkil etish mumkin. WEP shifrlash algoritmini buzish yo‘llari keng tarqalgan, shuning uchun uni ishlatish mumkin emas (hattoki dinamik kalit kiritilgan holat uchun ham).

Keng uchraydigan WPA va WPA2 tushunchalari shifrlash algoritmini (TKIP yoki AES) aniqlab beradi. Anchadan beri foydalanuvchi adapterlari WPA2 (AES) qo‘llay olish imkoniga ega bo‘lganligi sababli TKIP protokolini ishlatish ma’nosizdir. Barcha xavfsizlik ko‘rsatkichlari quyidagi jadvalda keltirilgan.

korporativ yechim qo‘shimcha qayta ko‘rib chiqishni talab qiladi.

WPA2 Personal va WPA2 Enterprise o‘rtasidagi farq shundan iboratki, AES algoritmi ishlashida foydalaniladigan shifrlash kalitlarining olinadigan joyidir. Xususiy foydalanish holatlarida (uyda) minimal uzunligi 8 belgidan iborat statik kalit (parol, kod so‘zi) ishlatiladi. Ushbu kalit barcha mijozlarning simsiz tarmoqlariga kirish nuqtasida kiritilishi zarur. Agar bunday kalit xavfsizligi buzilsa (parolni aytib qo‘yish, ishchi bo‘shab ketganda, noutbuk o‘g‘irlanganda), zudlik bilan barcha mijozlardan parol almashtirishni talab qiladi. Korporativ ko‘rinishda foydalanganda hozirda ishlab turgan har bir ishchilar uchun individual bo‘lgan dinamik kalitdan foydalaniladi. Bu kalit ulanishda uzilish bo‘lmasligi uchun davriy ravishda almashtirilib turishi mumkin. Uning almashishiga qo‘shimcha dasturiy qism — avtorizatsiya serveri yoki ko‘pincha bu RADIUS-serverga yuklanishi mumkin.

14.1-Rasm. WPA2 Enterprise
tomonida maxsus dasturiy ta’minot qo‘yilgan bo‘lib, supplicant (odatda OT tarkibiy qismi) AAA server avtorizatsiya qismi bilan o‘zaro aloqa qiladi. Quyidagi misolda yengil kirish nuqtasi va kontroller asosida qurilgan unifitsiyalangan radiotarmoq ishi ko‘rsatilgan. «Miyali» kirish nuqtalarini ishlatilgan holatda mijoz va server o‘rtasidagi barcha vazifani kirish nuqtasi o‘ziga olishi mumkin. Bu holatda ma’lumotlar mijoz uzatish qurilmasi orqali 802.1x (EAPOL) protokoliga sifatida shakllantirilgan uzatiladi. Kontroller (qabul qilish qurilmasi)da esa ular RADIUS-paketlarga qayta aylantiriladi.

Tarmog‘ingizda EAP avtorizatsiya mexani­zmidan foydalanish mijoz autentifikatsiyadan o‘tgandan so‘ng u mijozdan RADIUS-server infratuzilmasida avtorizatsiyadan o‘tishni talab etadi. WPA2 Enterprise dan foydalanish sizning tarmog‘ingizda RADIUS-serverini talab qiladi. Hozirgi kunda xavfsizlikni ta’minlash qobiliyatiga ko‘ra yuqori turuvchi quyidagi mahsulotlar bor:

• Microsoft Network Policy Server (NPS), oldin foydalanilgan IAS —MMC orqali sozlanadi, bu dastur bepul, ammo qattiq disk sotib olish zarur.

  
  

• Cisco Secure Access Control Server (ACS) 4.2, 5.3 veb-interfeys orqali sozlanadi, funksiyalari ko‘paytirilgan, taqsimlangan chidamli tizimlarni yaratish imkonini beradi, narxi qimmat.

  
  

• FreeRADIUS — bepul, matn sozlamalari orqali sozlanadi, boshqarishda va monitoringda qulay.

  
  

Bunda kontroller axborot almashishi jarayonini diqqat bilan kuzatib boradi va avtorizatsiyadan o‘tishni yoki undagi xatolikni kutadi. RADIUS-server muvaffaqiyatli o‘tishdan so‘ng RADIUS-serverga kirish nuqtasiga qo‘shimcha ko‘rsatkichlarni (abonentni qaysi tarmoqqa ulash, unga qanday IP-manzil berish, QoS darajasi) berish mumkin. Uzatish to‘xtagandan so‘ng RADIUS-server mijoz va kirish nuqtasiga shifrlash kalitlarini yaratish va almashtirishga yordam beradi.

Xulosa
Tarmoq hayotimiz bilan yaqin aloqada bo'lib, hayotimiz va ishimiz, ayniqsa simsiz tarmoq bizga beqiyos qulaylik keltiradi. Simsiz tarmoq haqida ba'zi ma'lumotlarni bilish kerak. Umid qilamanki, ushbu maqola siz simsiz qurilmalarni tanlaganingizda va simsiz tarmoq bilan bog'liq ayrim muammolarni hal qilishda siz uchun foydali. Yaxshi simsiz tarmoq yaratish uchun FOCC Cat5e kabeli, Cat6 kabeli va Cat7 kabeli kabi sifatli chekilgan tarmoq kabelini taqdim etadi. Bundan tashqari, u simsiz ulanish nuqtasini ham beradi.