Решение проблем Wi-Fi с помощью точки доступа. Опасные Wi fi сети, или береги пароли смолоду

Сейчас во многих отелях и барах есть бесплатная Wi-Fi сеть и у многих посетителей возникает соблазн поработать, сидя за чашкой кофе, или банально проверить почту, запостить что-то в twitter или facebook. Как велик соблазн, так и вероятность того, что к вам могут нагрянуть «незванные гости».

Следуя приведенным ниже советам вы сможете пользоваться общественными Wi-Fi сетями и при этом оставаться в безопасности.

Выключите раздачу файлов

Когда вы работаете дома с Wi-Fi сетью, вы спокойно можете расшаривать файлы на вашем компьютере и открывать доступ к принтеру для компьютеров, которые находятся в вашей сетке. В публичных местах лучше отключить эту опцию.

Windows : Откройте Панель управления, затем перейдите к Сетям и Интернет — Центр управления сетями и общим доступом, далее кликните на Выбор домашней группы и параметров общего доступа — Изменение дополнительных параметров общего доступа. Здесь вы должны выключить доступ к файлам и принтерам, отключить поиск сети и доступ к общим папкам. Некоторые из этих операций выполняются автоматически Windows, если вы обозначили эту сетку как общественную.

Mac OS X : Заходите в Системные Настройки, убеждаетесь, что все галочки убраны. Туда же нужно заходить, если вы хотите отключить поиск сети. После этих действий ваш компьютер не будет виден в сети. В Windows это будет просто еще одна галочка в дополнительных настройках доступа. В Mac OS X это будет называться «режим стелса», который находится в настройках брандмауэра.

Настройка Брандмауэра

Сейчас практически все ОС идут хотя бы с самым простым брандмауэром, поэтому настроить его так, чтоб никто посторонний не мог влезть в ваш компьютер. В принципе, настройки безопасности могут быть настроены автоматически, но проверить все же стоит. Путь в Windows: Панель управления — Система и Безопасность — Windows Брандмауэр; в Mac: Системные настройки — Безопасность — Брандмауэр. Вы также можете настроить брандмауэр так, чтоб некоторые программы или обновления имели открытый доступ к вашему компьютеру, кликнув на «разрешение запуска программы через брандмауэр» в Windows, в OS X нужно заходить в дополнительные настройки.

Используйте SSL при любой возможности

Обмен трафиком с сайтами через HTTP не зашифрован и если у вас есть определнные навыки, вы легко можете украсть себе кусочек. Если это простая информация, которая общедоступна — ничего страшного. Гораздо хуже, когда это ваши пароли и ключи. Используя HTTPS (для посещения сайтов) или SSL (когда вы используете приложения, которым нужен доступ в интеренет, например, mail client) зашифровывайте данные, которые проходят между вашим компьютером и этим веб сервисом.

Некоторые сайты делают это автоматически, но лучше следить строкой с адресом и быть уверенным, что «s» в «https» всегда там, когда вы обмениваетесь информацией. Если она исчезла, лучше сразу же разлогиниться. В других сайтах по умолчанию стоит HTTP, но вы можете вручную напечатать HTTPS.

Если же вы пользуетесь такимим почтовыми клиентами, как Outlook или Mail.app, убедитесь, что ваш аккаунт зашифрован с помощью SSL. Если нет, то другие люди смогут спокойно читать ваши письма, узнать ваш логин и пароль и много другое. Поэтому нужно обязательно убедиться, что почтовая программа, которой вы пользуетесь, поддерживает SSL, если нет, то лучше не использовать их в сетях с общим доступом.

Используем виртуальную частную сеть

К сожалению, не все сайты предлагают использовать SSL. И если вам все же нужно посетить такие сайты, лучше использовать связь через VPN или виртуальную частную сеть. Эти сервисы позволяют вам работать в общественной Wi-Fi сети так, как будто вы работаете в частной сети.

Выключайте доступ к сети, когда не работаете в ней

Если вы хотите гаранитровать безопасность, когда вы не используете интернет, лучше просто отключиться на это время от общественной Wi-Fi сети. Сделать это очень просто как в Windows, так и в Mac. В Mac просто кликните на иконку Wi-Fi и выберите «выключить опции AirPort». В Windows вам просто нужно кликнуть правой клавишей мышки на иконке беспроводной связи и отключить ее.

Как сделать автоматическими настройки безопасности вашей публичной Wi-Fi сети

Если вам не хочется каждый раз вручную настраивать безопасности вашей Wi-Fi сети, вы можете сделать их автоматическими.

В Windows

Когда вы захотите подсоединиться к любой сети в Windows, будете ли вы находиться дома, на работе или в кафе, в любом случае вас будут спрашивать о настройках. На любое из этих мест вам предложат список настроек. Общие настройки дадут вам наибольшую безопасность. Вы можете вручную настроить все необходимые вам поднастройки для мест, где вы чаще всего используете общую Wi-Fi сеть. Для этого вам нужно открыть Панель управления — Сеть и Интернет — Выбор домашней группы и параметров общего доступа. Оттуда вы можете включить или выключить для различных профилей поиск сети, раздачу файлов и открытый доступ к папкам и принтерам.

В этом случае можно воспользоваться программой NetSetMen .

В Mac OS X

Здесь у вас нет большого количества опций для автоматических настроек сети, но AirPort Loction сделает все, что вы захотите, и даже больше. С его помощью вы можете включить ваш брандмауэр, выключиь вашу SMPT почту, подключиться к VPN и еще много различных вариантов, в зависимости от той сети, к которой вы хотите подключиться. Вы даже можете менять фон своего рабочего стола в зависимости от того, к какой сетке подключены.

В вашем браузере

Расширение FireFox HTTPS Everywhere автоматически выбирает безопасность HTTPS для большинства популярных сайтов, включая New York Times, Facebook, Google Search и т.д. Вы даже можете добавить ваш собственный файл XML config. Это расширение работает в Windows, Mac и Linux.

Известный специалист по IT-безопасности и выдающийся криптолог Брюс Шнайер рассказывает, почему его домашняя точка доступа WiFi всегда была открыта для всех подряд, без пароля и шифрования. Брюс говорит, что именно этот элемент в его навороченной системе безопасности чаще всего вызывает удивление окружающих.

Кто угодно с беспроводным модемом может видеть мою сеть и выходить через неё в интернет. Как по мне, это простая вежливость. Обеспечить гостя интернетом - словно предоставить ему крышу над головой и электричество или угостить чашечкой горячего чая. Однако, кое-кто считает, что это неправильно и опасно.

Мне говорят, что незваные незнакомцы могут подъехать на машине к моему дому и рассылать спам, перехватывать пароли, выкладывать и скачивать что угодно: от пиратских фильмов до детской порнографии. Как результат, со мной могут случиться разные неприятности: начиная от занесения моего IP в чёрный список и заканчивая визитом полиции.

Хотя с технической точки зрения это так, но я не думаю, что риск действительно велик. Не далее километра от моего дома есть как минимум пять открытых точек доступа в разных кофейнях, и любой потенциальный спамер с гораздо большей вероятностью устроится в тёплой комнате с чашечкой кофе и печеньем, чем в ледяной машине возле моего дома.

И ещё, если кто-то совершит через мою сеть преступление, которым заинтересуется полиция, то что может быть лучшей защитой, чем сам факт наличия открытой беспроводной сети? Если бы я активировал защиту и кто-то её взломал, то мне было бы гораздо труднее доказать свою невиновность.

Не утверждаю, что новый протокол защиты беспроводной связи WPA чем-то плох. Он хорош. Но в нём будут найдены дыры, они всегда есть.

Я поговорил с несколькими юристами по этому вопросу. Своей юридической методой они обнаружили ещё несколько рисков, связанных с открытием беспроводной сети.

Хотя ни один юрист не думает, что вас могут успешно осудить просто по той причине, что через вашу сеть кто-то совершил преступление, однако на расследование этого дела может уйти очень много времени и денег. Ваш компьютер могут конфисковать, и если там найдут хоть что-то незаконное (пиратский софт, музыка MP3), то вы окажетесь в деликатной ситуации. Кроме того, судебные обвинители не всегда являются технически продвинутыми пользователями, так что в итоге вам действительно придётся заплатить какой-то штраф, несмотря на вашу невиновность. Юристы, с которыми я говорил, рекомендовали избегать судебного процесса и добиваться примирительного соглашения по делам, связанным с детской порнографией.

Если взять более реальный случай из жизни, то RIAA подавала в суд на пользователей по подозрению в нелегальном скачивании музыки, основываясь исключительно на информации об их IP-адресах. Здесь шансы обвиняемого на победу выше, чем в криминальном процессе, потому что в гражданском судопроизводстве тяжесть доказательной базы меньше. И снова, адвокаты говорят, что даже если ты выиграешь, это не окупит расходов, и придётся ещё заплатить пару тысяч долларов.

Впрочем, эти угрозы меня не убеждают. У нас в стране 15 млн человек скачивают музыку нелегально , а RIAA подала только 26 000 исков . Лучше всего сказал Марк Маллиган из Jupiter Research: «Если вы сосёте торренты, то знаете, что вероятность быть пойманным за пиратство примерно равна вероятности попадания в вас астероида».

Мою позицию не могут изменить и те, кто говорят, что я подвергаю риску собственные данные, потому что хакеры могут припарковаться у меня возле дома, войти в мою открытую сеть и прослушивать интернет-трафик или взламывать мои компьютеры. Это правда, но мои компьютеры находятся в гораздо большей опасности, когда я использую их в беспроводных зонах в аэропортах, кофейнях и других публичных местах. Если в системе настройки безопасности не зависят от сети, тогда просто нет разницы. И если мой компьютер не защищён в публичной сети, то защита моей сети практически не снижает моих рисков.

Да, компьютерная безопасность - сложное дело. Но если ваши компьютеры иногда покидают ваш дом, то вам придётся решать эту проблему в любом случае. И любое решение можно применить также к настольным машинам.

В конце концов, некоторые критики говорят, что кто-то может просто воровать у меня трафик. Несмотря на отдельные судебные решения , что это незаконно , у меня такое ощущение, что это не является нарушением закона. Я реально ничего не имею против , если соседи попользуются моим интернетом, когда им понадобится, и я слышал несколько историй о людях, которых беспроводные сети соседей спасли от аварийного офлайна.
Точно так же и я ценю наличие открытой сети, когда у меня пропадает коннект. Если бы кто-то нагружал мою сеть настолько, что это ущемляло бы мой собственный трафик, я бы мог подумать о принятии каких-то мер , но пока все взаимновежливы, почему это должно меня касаться?

Конечно, это не относится к ISP. Поддержка открытой беспроводной точки доступа часто нарушает условия вашего договора с провайдером. Но если не учитывать очень редкие случаи получения абонентами писем с приказами о запрещении продолжения противоправного действия , а также злость провайдеров на людей, которые превышают некий секретный лимит по объёму трафика, но это вообще не риск, по большому счёту. Самое худшее, что может случиться - найдёте себе другого ISP.

Компания под названием Fon предлагает решения этой проблемы. Их беспроводные точки доступа поддерживают одновременную работу в двух режимах: защищённая сеть для вас и открытый режим для всех остальных. Вы можете настроить свою открытую сеть в режиме «Билл» или «Линус». Первый режим предполагает взаиморасчёты между всеми пользователями, которые его выбрали, а во втором режиме все люди пользуются любыми точками доступа бесплатно. Действительно умная идея.

Безопасность - это всегда компромисс. Я знаю людей, которые редко запирают входную дверь своего дома, кто садиться за руль в дождь (и с мобильником в руке) и кто разговаривает с незнакомцами на улице. По моему мнению, защита моей беспроводной сети не стоит того. И я признателен каждому, кто тоже держит открытую беспроводную сеть, в том числе все кофейни, бары и библиотеки, которые я посещал в прошлом, международный аэропорт Дейтон, где я начал писать этот текст, и четырёхзвёздочный «Шератон», где я его закончил. Вы все сделаете мир лучше.

В отличие от корпоративных точек доступа, соседские роутеры уязвимы намного больше. С помощью специальных программ (Wifite и др.) вайфай взламывается даже без наличия хакерских навыков. Наверняка даже у ваших соседей имеются проблемы в конфигурации роутера, или не стоят пароли. Эта статья будет полезна тем, кто хочет узнать, как подключиться к wifi соседа, и тем, кто хочет защитить себя от любителей халявы.

Способ взлома зависит от конфигурации сети WiFi соседа. В любом стандарте безопасности есть уязвимости, которые может использовать злоумышленник в своих целях.

Открытый доступ

Открытый хотспот - редкое явление, но оно существует. В них пакеты не подвергаются шифровке, любой пользователь может перехватить трафик, применив утилиту Airodump-ng. Перехваченные данные анализируются в Wireshark.

Сейчас такое маловероятно, потому что сайты, работающие с личными данными используют защищённое соединение (https).
Способ защиты: поставьте на роутер сложный WPA-2 ключ. Если вы работаете через открытый вайфай, воспользуйтесь расширением к браузеру HTTPS Everywhere, которое шифрует трафик.

Для поиска ближайших открытых Wi-Fi можно воспользоваться программой Free Zone на Android. Помимо этого там есть некоторые пароли к закрытым точкам доступа (к которым дали доступ пользователи программы).

IV-коллизии в WEP

WEP - устаревший стандарт безопасности, который из-за IV-коллизий уязвим к статическим атакам. После появления сетевой аутентификации WPA2 мало кто использует WEP, в новых версиях прошивки его даже нет в настройках.
Наиболее эффективна атака Тевса-Вайнмана-Пышкина, предложенная в 2007 году. Для взлома нужно перехватить несколько десятков тысяч пакетов.

Как защититься: измените в настройках роутера метод сетевой аутентификации на AES или WPA2.

Подбор WPS PIN

WPS PIN – 8-значное число, индивидуальное для каждого роутера. Он взламывается перебором через словарь. Пользователь устанавливает сложную комбинацию WPA-пароля, и чтобы не запоминать его, активирует WPS-пин. Передача правильного пин-кода роутеру означает последующую передачу клиенту сведений о настройках, в том числе и WPA-пароля любой сложности.

Основная проблема WPS - последняя цифра ПИН-кода является контрольной суммой. Это уменьшает эффективную длину пин-кода с 8 до 7 символов. К тому же роутер проверяет код, разбивая его пополам, то есть для подбора пароля потребуется проверить около 11 000 комбинаций.

Защита: обновите прошивку роутера. Обновлённая версия должна иметь функцию блокировки, активируемую после нескольких неудачных вводов кода. Если функция не предусмотрена – выключите WPS.

Другие способы получения WPS PIN

Подключение к Wi-Fi посредством ПИН-кода возможно и через прямой доступ к оборудованию. PIN может быть получен с подложки роутера во время «дружеского визита».
Кроме того, роутер может оставаться открытым, во время обновления прошивки или сброса настроек. В этом случае сосед сможет зайти в интерфейс роутера используя стандартный логин и пароль, и узнать ПИН. После этого WPA-пароль получается за пару секунд.

Способ защиты: удалите наклейку с паролем и не оставляйте точку доступа открытой ни на секунду. Периодически меняйте WPS PIN через интерфейс роутера.

Перебор пароля по словарю

Перехватив WPA 4-way handshake между жертвой и точкой доступа, можно извлечь код по словарю из WPA handshake.

Защита: используйте сложные WPA-пароли из цифр, символов и букв в разном регистре.

Фишинг через Wi-Fi

Если взломать WiFi программами не удаётся, используют человеческий фактор, обманом заставляя пользователя выдать пароль к точке доступа.

Фишинг атаки чаще проводят через электронную почту, но мало кто станет писать свой пароль для вайфая в письме. Чтобы сбить соседа с толку, проще заставить подключиться его к другой точке доступа. Это делается с помощью утилиты WiFiPhisher, написанной на питоне.
Процесс взлома происходит по следующему алгоритму:

• Утилита подготавливает компьютер злоумышленника: настраивает сервера HTTP и HTTPS, выполняет поиск беспроводных интерфейсов wlan0 и wlan1. Начинает отслеживать один из найденных интерфейсов и получает дополнительные IP посредством DHCP-служб.


• В консоли выводится список доступных для атаки точек доступа.


• Утилита клонирует название выбранной точки и пытается вывести из строя действующую оригинальную сеть.
• У жертвы падает интернет и она подключается к клонированной точке доступа.
• Во время подключения злоумышленнику в консоль приходит информация о новом подключении.
• Жертва пытается открыть любой сайт, но вместо этого показывается фишинговая страница. Например, вместо google.ru отобразится ошибка подключения с просьбой повторно ввести пароль. Страница может быть очень похожа на стандартную страницу провайдера или интерфейс роутера.


• Если жертва ничего не заподозрит и введёт пароль, интернет заработает, а злоумышленник получит пароль в своей консоли.

Способ защиты: тщательно проверяйте страницы перед вводом пароля, даже если вы посещаете авторитетный сайт.

Последствия взлома

Доступ к Wi-Fi открывает доступ к настройкам роутера. А учитывая, что редко кто изменяет стандартный пароль к интерфейсу роутера, сведения о которых выложены в интернете, задача существенно упрощается. Управление настройками – это управление сетью.

Получение доступа к WiFi через взлом позволит сначала изменить WPS PIN, а после получить доступ к другой информации для авторизации на сайтах.

Получение доступа к Wi-Fi позволит через применение соответствующих утилит перенастроить DNS, который будет перенаправлять пользователей банковских сервисов на фиктивные страницы.

Если сеть взломана, то даже смена паролей через некоторое время не поможет: злоумышленник сохранит WPS PIN или установит в прошивку троянскую программу.

Резюме

Эта статья не призвана сподвигнуть вас ко взлому соседского вайфая, а рассказать о популярных уязвимостях, с помощью которых могут причинить потери, в том числе и материальные.
Некоторым добрякам не жалко раздавать безлимитный интернет, либо они не знают, как поставить пароль на точку доступа. Конечно, если соседи будут просто использовать ваш безлимитный интернет на халяву ничего плохого для вас не будет. Но так вы открываете доступ к своим паролям. Были случаи, когда людей пытались подставить, просматривая незаконные сайты с чужого IP.
Современные прошивки к роутерам сделаны максимально просто и удобно, поэтому даже люди без опыта могут настроить безопасность своего интернета через интерфейс. Используйте способы защиты описанные в этой статье по максимуму, ставьте сложные и уникальные пароли для каждого ресурса.

"-Зайду в кафешку, кофе попить. Круто! Здесь бесплатный wi fi, можно посидеть в интернете.

Подумал он. Посидев вконтакте купил там пару голосов с карточки чтобы сделать подарок и проверил почту, потом он пошёл по своим делам и не ожидал ничего плохого. Но вдруг пришло сообщение о списании средств которого не должно с банковкой карточки, дома заметил что почта заблокирована за спам, а страничка вконтакте оказалась заморожена за подозрительную активность. "

В наше время практически не один человек не может без интернета. А открытый wi fi так и притягивает к себе любителей посидеть в интернете.

Открытый wifi всегда тянет к себе

Халявный интернет , это так круто. Слава богу, особенно в больших городах полно открытых точек Wi fi. Они могут находиться в кафешках, могут быть открыты в соседней квартире, а сейчас ещё в Московском метро активно развивается Wi Fi доступ к интернету.
И вот любитель халявного интернета с радостью подключается к такой точке и сидит в социальных сетях, и пользуется другими сервисами.
А в этот момент сидит ничем не примечательный паренёк и ждёт когда вы введёте свои пароли.

И получив ваши пароли уходит «Творить» свои темные делишки.

Использование защищенного браузера Tor , про который я писал так же хорошо может вам помочь.
VPN так же идеальное решение. О этом чуде я написал . А и я написал о бесплатных сервисах VPN. Вы можете легко настроить у себя на компьютере или мобильном устройстве. И даже если злоумышленник подключится он не получит ничего кроме шифрованных данных которые он вряд ли расшифрует.
Многие современные роутеры снабжены VPN, что вам можно настроить прямо на нём и все кто подключился будут более спокойны. Конечно от от профессионалов вас врядли что спасёт, но такие полезут к вам если только если знают что их ждёт большой куш, так что сомневаюсь что вы в кафешках на таких наткнётесь.
Напоследок хочу сказать, не брезгуйте защитой, и берегите свои данные.

Сегодня Wi-Fi прочно занял свое место в нашей жизни, превратившись из новой технологии в повседневность. Зайдя выпить кофе в кафе или присев на лавочку в сквере многие начинают искать ближайшую точку доступа, нисколько не задумываясь о вопросах безопасности. Практика показала, что слабое представление об угрозах в беспроводных сетях имеют не только пользователи, но и многие администраторы, подвергая серьезным рискам корпоративные системы.

Почему именно Wi-Fi? Чем данная технология так привлекательна для злоумышленника? Чтобы ответить на этот вопрос, вспомним как работают проводные сети. Основу современных сетей составляют коммутаторы (свичи, switch), которые отправляют пакеты только на порт получателя исключая доступ к ним других хостов.

Чтобы осуществить перехват чужого трафика злоумышленник должен не только физически подключиться к сети, что само по себе проблематично, но и включиться в цепь передачи пакетов. Если даже злоумышленник подключится в свободный порт коммутатора, то перехватить или прослушать чужой трафик он не сможет. Чтобы осуществить такую атаку нужно иметь физический доступ к сетевому оборудованию и административные права, что делает ее практически невозможной.

Примечание. Мы сознательно не рассматриваем ситуации с внедрением в периметр сети разного рода вредоносного ПО, получению несанкционированного доступа к активному сетевому оборудованию и т.п., так как это выходит за рамки данной статьи.

Беспроводные сети в силу особенностей среды передачи не могут обеспечить разграничения доступа к данным, пакеты, передаваемые клиентом или точкой доступа могут быть получены любым устройством в зоне действия сети.

В нормальном режиме сетевое оборудование принимает предназначенные только ему пакеты, однако существует специализированное и легкодоступное ПО, которое позволяет осуществлять перехват и анализ всего сетевого трафика.

Даже если это ваша гостевая Wi-Fi и она надежно изолирована от корпоративной сети, все равно она подвержена тем же угрозам, особенно если ею пользуются ваши сотрудники с персональных устройств, а если они при этом еще обращаются к корпоративным сервисам, то риски возрастают многократно.

Мы не будем давать готовых механизмов атак на открытые сети, скажем только что доступность соответствующего ПО и инструкций делают эту задачу доступной даже для скучающих школьников.

Кроме того, мы советуем также рассматривать сети с шифрованием WEP как открытые, при наличии сетевой активности в сети для ее взлома требуется 5-10 минут, причем делается это специализированным ПО в автоматическом режиме и не требует от злоумышленника никаких специальных знаний.

С WPA / WPA2 сетями ситуация обстоит намного лучше, при выборе надежного ключа и отказе от скомпрометированной технологии TKIP (в пользу AES) взломать такие сети без применения спецсредств и глубоких знаний практически невозможно. Опять-таки не будем забывать о защищенных сетях, ключ которых известен злоумышленнику, например, сеть в ресторане, где ключ выдается официантом вместе с заказом.

Существует ПО, например, CommView for WiFi, которое позволяет осуществлять перехват и расшифровку пакетов даже в закрытых сетях. Поэтому защищенные сети, ключ от которых известен широкому кругу лиц, следует также рассматривать как открытые, со всеми вытекающими из этого мерами предосторожности.

Основная угроза открытых сетей - это перехват и анализ вашего трафика. Поэтому присев в парке на скамейку и обнаружив открытую сеть, не спешите подключаться к ней, а подумайте кому она может принадлежать.

Вполне может быть, что вон тот паренек в очках на соседней лавочке и есть злоумышленник, при помощи ноутбука и 3G модема поднявший точку доступа, собирая из проходящего трафика пароли, cookie и прочую "интересную" информацию.

Поэтому примите как аксиому, используя открытые сети не авторизуйтесь ни на каких ресурсах, передающих авторизационные данные в открытом виде. Злоумышленнику даже не нужен ваш пароль, который может быть передан в зашифрованном виде, вполне достаточно перехватить cookie, после чего он без проблем авторизуется под вашей учетной записью.

Если вам все-таки надо авторизоваться, то убедитесь, что сайт поддерживает SSL и сертификат действительно принадлежит этому сайту. При этом избегайте подключения к ресурсам с самоподписанным сертификатом, подлинность которого вы не можете проверить. Об этом мы еще поговорим более подробно.

Также избегайте, а лучше всего никогда не используйте открытые сети для доступа к финансовой информации или совершения платежей.

Другая опасность подстерегает нас там, где принадлежность точки доступа вроде бы известна. Злоумышленник может использовать еще одно свойство сетей Wi-Fi - при наличии в сети нескольких точек доступа, автоматически переключаться на ту, у которой лучше сигнал.

Схема атаки предельно проста, злоумышленником создается точка доступа с таким же SSID, как у существующей сети, после чего все близко расположенные клиенты автоматически переключатся на точку злоумышленника, даже не подозревая, что их трафик перехватывается. В итоге посиделки с планшетом в любимом кафе могут закончиться очень невесело и хорошо еще если пострадает личная информация, а не будут утрачены реквизиты доступа к корпоративной сети.

Здесь в полный рост встает проблема безопасного доступа к корпоративным ресурсам, даже если в вашей организации не используется Wi-Fi. Где гарантия, что сотрудник сидя в парке или кафе не решит проверить корпоративную почту?

Но даже если вы убедились, что точка доступа одна и принадлежит тому, кому надо, не спешите радоваться. Существует тип атаки ARP-spoofing , который способен направить ваш трафик через устройство злоумышленника.

Наконец злоумышленник может просто собирать и анализировать Wi-Fi трафик не вмешиваясь в работу беспроводной сети, переведя свой Wi-Fi адаптер в режим мониторинга.

Понятно, что повлиять на возможность перехвата пакетов в сетях Wi-Fi мы не можем в силу особенностей среды распространения. Отказ от использования Wi-Fi в организации также никак не обезопасит вашу инфраструктуру. К каждому сотруднику сторожа не приставишь и использовать корпоративные ресурсы через открытые сети не запретишь.

Что делать? Полностью отказаться от незашифрованных каналов доступа к данным. Используйте SSL где это возможно, там, где невозможно - VPN. Еще один момент связан с самоподписанными сертификатами. Использовать их можно исключительно внутри периметра безопасности, а лучше не использовать вообще. Если вас волнует вопрос безопасности - приобретите нормальный сертификат, не приучайте сотрудников игнорировать предупреждения безопасности.

В противном случае вы можете стать жертвой атаки "человек посередине". Смысл ее сводится к тому, что при соединении с защищенным узлом злоумышленник самостоятельно получает сертификат от узла, передавая клиенту собственный сертификат.

Вполне понятно, что браузер отреагирует на такое вмешательство предупреждением безопасности.

Однако если вы приучили своих сотрудников игнорировать данное предупреждение, используя самоподписанный сертификат, то они, как говорится, не заметят разницы и благополучно проигнорируют его и сейчас.

Поэтому если вы все-таки используете самоподписанные сертификаты, то не поленитесь установить на каждое устройство корневой сертификат, чтобы избежать появление данного предупреждения, что поможет избежать появления привычки его игнорировать.

По этой же причине мы не рекомендуем использовать технологию ssl-bump, которая предназначена для фильтрации SSL-трафика на шлюзе. Стремление фильтровать трафик понятно, но безопасность дороже, кроме того, в случае компрометации шлюза вы своими руками выполните атаку "человек посередине" на свою организацию.

• Теги:

Please enable JavaScript to view the