Атаки типа "человек посредине"
Благодаря использованию механизмов шифрования и аутентификации повышается безопасность беспроводной сети, однако опытные хакеры отыскивают слабые места, зная, как работают протоколы сети. Определенную опасность представляют атаки типа "человек посредине" (man-in-the-middleattacks): хакер размещает фиктивное устройство между легальным пользователями и беспроводной сетью (рис. 8.3). Например, при осуществлении стандартной атаки типа "человек посредине" используется
протокол преобразования адресов (addressresolutionprotocol, ARP), используемый во всех сетях TCP/IP. Хакер, вооруженный необходимыми программными средствами, может, воспользовавшись ARP, получить контроль над беспроводной сетью.
Рис. 8.3. Промежуточное устройство позволяет провести атаку типа "человек посредине"
ARP позволяет выполнять важную функцию путем отправки проводной или беспроводной платой интерфейса сети запроса с целью выявления физического адреса платы интерфейса сети в месте назначения. Физический адрес платы — это то же самое, что МАС-адрес, который присвоен плате ее производителем и отличается от адреса любого другого компонента сети, т.е. он уникален. МАС-адрес — это аналог почтового адреса вашего дома. Подобно тому как кто-то должен знать адрес вашего дома, чтобы послать вам письмо, так передающая плата интерфейса сети должна знать МАС-адрес получателя. Эта плата распознает и реагирует только на физический МАС-адрес.
Прикладные программы, нуждающиеся в передаче данных, должны иметь IP-адрес получателя, а передающая плата интерфейса сети использует протокол ARP для выявления соответствующего физического адреса. Она получает нужный ей адрес, рассылая широковещательные ARP-пакеты, в которых объявляется IP-адрес платы интерфейса сети получателя. Все станции слышат этот запрос, и станция с соответствующим IP-адресом должна возвратить пакет ответа по протоколу ARP, содержащий ее
MAC- и IP-адреса.
Затем передающая станция включает этот МАС-адрес в передаваемый фрейм в качестве адреса получателя, а также сохраняет соответствующие MAC- и IP-адреса, помещая их в таблицу на некоторый период времени (до тех пор, пока станция не получит другой ARP-ответ от станции, имеющей этот IP-адрес).
Проблема, связанная с протоколом ARP, состоит в том, что он представляет опасность для системы защиты из-за возможности спуфинга2. Так, хакер может ввести в заблуждение станцию, посылая ей через подставное сетевое устройство фиктивный ARP-ответ, содержащий IP-адрес легитимного сетевого устройства и МАС-адрес подставного. Это приведет к тому, что все легитимные станции сети автоматически обновят свои ARP-таблицы, внеся в них ложные данные. В результате станции будут передавать пакеты подставному устройству, а не легитимной точке доступа или маршрутизатору. Это и есть классическая атака типа "человек посредине",
в результате которой хакер получает возможность управлять сеансами связи пользователя. Он получит пароли, важные данные и даже сможет взаимодействовать с корпоративными серверами, как если бы он был легитимным пользователем.
Для предотвращения атак с использованием спуфинга ARP поставщики (например, компания OptimumPath) предлагают защищенный ARP (secure ARP, SARP). Этот усовершенствованный ARP обеспечивает специальный защищенный туннель между каждым клиентом и беспроводной точкой доступа или маршрутизатором, который игнорирует все ARP-ответы, не связанные с клиентом, находящимся на другом конце этого туннеля. Следовательно, только легитимные ARP-ответы будут служить основанием для обновления ARP-таблиц. Станции, применяющие протокол SARP, не подвержены спуфингу.
Однако для использования протокола SARP на каждом клиентском устройстве нужно установить специальное программное обеспечение. Поэтому SARP не подходит для общедоступных "горячих точек". Но предприятия могут установить SARP на своих клиентских устройствах, обезопасив тем самым свою сеть от атак типа "человек посредине".