3.2.3. Улучшенный алгоритм шифрования (aes)

AES – алгоритм шифрования, используемый в качестве альтернативы стандарту RC4 протоколов TKIP и WEP. AES не подвержен известным атакам и предлагает более высокий уровень шифрования, чем TKIP и WEP. AES – крайне защищенный криптографический алгоритм – текущие исследования показывают, что для взлома AES-ключа требуется 2¹²⁰ операций, и это выше современных возможностей. AES представляет собой алгоритм блочного кодирования, который является одним из методов кодирования симметричным ключом, использующим один и тот же ключ как для шифрования, так и для дешифрования.

Алгоритм использует группы бит фиксированной длины, называемые блоками. В отличие от WEP, использующего поток ключей для шифрования входного потока текстовых данных, AES шифрует биты в блоках текста, которые рассчитываются независимо друг от друга. Стандарт AES определяет размер блока AES, равный 128 битам, и позволяет выбрать один из трех вариантов длины ключа – 128, 192 и 256 бит. Ключи длиной 128 бит используются для WPA2/802.11i. Один цикл алгоритма WPA2/802.11i AES включает в себя до четырех проходов шифрования. Для алгоритма WPA2/802.11i каждый цикл повторяется десятикратно. Для обеспечения как конфиденциальности данных, так и подлинности с алгоритмом AES используется новый режим сборки данных, называемый Counter-Mode/CBC-Mac (CCM). CCM использует AES в режиме счетчика (Counter mode, CTR) для обеспечения конфиденциальности данных, а AES использует Cipher Block Chaining Message Authentication Code (CBC-MAC) для обеспечения целостности данных. Данный тип конструкции, использующий один ключ для двух режимов (CTR и CBC-MAC) является «новой» конструкцией, одобренной NIST (специальная публикация 800-38C) и сообществом формирования стандартов (IETF RFC-3610).

Для CCM применяется 48-битный вектор инициализации. Как и TKIP, AES использует вектор инициализации способом, отличным от методов шифрования WEP. Для CCM вектор инициализации используется в качестве входных данных для процессов шифрования и дешифрования с целью снижения атак путем замещения оригинала. Также, по причине вектора инициализации, расширенного до 48 бит, время, требующееся для коллизии вектора инициализации, увеличивается экспоненциально, обеспечивая более высокий уровень защиты данных.

Рекомендуется использовать аппаратные возможности (де-)шифрованиия по алгоритму AES в связи с повышенной вычислительной нагрузкой, вызванной обработкой AES. Шифрование по алгоритму AES программными средствами для нескольких клиентов одновременно приводит к повышенным требованиям к аппаратному обеспечению, например, наличия процесс-сора уровня Pentium 2,5 ГГц для ноутбука. Если точка доступа выполняет (де-)шиф- рование по алгоритму AES программными средствами и обслуживает множество подключенных клиентов, скорее всего, точка доступа столкнется с падением производительности – особенно, если точка доступа не оборудована мощным процессором и большим объемом оперативной и постоянной памяти [29,34].

3.3. Виртуальные частные сети (vpn) как механизм защиты беспроводных систем связи

Виртуальная частная сеть VPN - это метод, позволяющий воспользоваться телекоммуникационной инфраструктурой общего пользования, например сетью Internet для предоставления удаленным офисам или отдельным пользователям безопасного доступа к сети организации. Как отмечалось ранее, поскольку беспроводные сети 802.11 работают в нелицензируемом диапазоне частот и легко доступны для случайного или злонамеренного прослушивания. Поэтому для обеспечения высокого уровня защиты информации и минимизации рисков ИБ развертывание и обслуживание виртуальных частных сетей (VPN) приобретает особую важность.

Защите подлежат как соединения между хостами в беспроводной локальной сети, так и двухточечные каналы между беспроводными мостами. В случае двухточечных каналов проще и экономичнее развернуть VPN, покрывающую две сети, чем реализовывать защиту на базе стандарта 802.1h включающую RADIUS-сервер и базу данных о пользователях. Задача VPN – обеспечить уровень безопасности информации в беспроводных ТКС 802.11 аналогичный проводным частным линиям связи, при этом используя гораздо меньшие денежные вложения. Технология VPN и стандартные средства защиты беспроводных ТКС 802.11 не конкурируют, а дополняют друг друга.

VPN работает поверх разделяемых сетей общего пользования, обеспечивая в то же время конфиденциальность за счет специальных мер безопасности и применения туннельных протоколов, таких как туннельный протокол на уровне 2 (Layer Two Tunneling Protocol - L2TP). Смысл их в том, что, осуществляя шифрование данных на отправляющем конце и дешифрирование на принимающем, протокол организует туннель, в который не могут проникнуть данные, не зашифрованные должным образом. Дополнительную безопасность может обеспечить шифрование не только самих данных, но и сетевых адресов отправителя и получателя.

VPN отвечает двум условиям: конфиденциальность и целостность. Однако VPN не является устойчивой к DoS - или DDoS - атакам и не может гарантировать доступность на физическом уровне просто в силу своей виртуальной природы и зависимости от нижележащих протоколов. Технология VPN имеет две важные особенности применительно к беспроводным сетям 802.11, где имеется лишь ограниченный контроль над распространением сигнала, - это целостность и, что еще более существенно, конфиденциальность данных.

Для примера рассмотрим ситуацию, когда противнику удалось преодолеть шифрование по протоколу WEP и присоединиться к беспроводной локальной сети. Если VPN отсутствует, то он сможет прослушивать данные и вмешиваться в работу сети. Но если пакеты аутентифицированы, то атака человек посередине становится практически невозможной, хотя перехватить данные по-прежнему легко. Включение в VPN элемента шифрования уменьшает негативные последствия перехвата данных[35].

Поэтому не представляется, что VPN обеспечивает не столько полную изоляцию всех сетевых взаимодействий, сколько осуществление таких взаимодействий в более контролируемых условиях с четко определенными группами допущенных участников.