Chtel jsem se zeptat tech co konfiguruji AP, zda je sit zabezpecena nejakym protokolem pracujicim na vyssi urovni nez je Data Link?
Proc se ptam je, ze po vypusteni WiFi pro verejnost (nebo jak jsem cetl pro ty, co neco prinesou do spolecneho pytle) bude velice snadne zneuzit techto sluzeb (napr. pro DDoS, nerku-li script kiddies cmuchajici po ruznych datech na osobnich pocitacich pripojenych ke stejnemu, ci jinym, AP). AP poskytuje nekolik moznosti jak kontrolovat "nezvane" hosty v siti, ale vsechny se daji obejit a to behem nekolika hodin (u AP, ktery je dobre vytizen) ci par dnu (u mene vytizeneho AP) - mluvim o MAC filtering, SSID, WEP a nektere AP maji dalsi obranne elementy (IP filter, port filter, time filter, etc.).
= MAC = MAC adresu mame moznost jednoduse spoofnout, neb vsechny WiFi produkty maji editovatelny firmware.
= SSID = se da "vycist" ze sniffnutych packetu po cracknuti WEP
= WEP = diky chybne implementaci RC4 algoritmu a neucinne produkci IVs se WEP key da ze sniffnutych packetu velice trivialne vycist (pouhym spustenim programu)
A tak prave proto se ptam, jak dale jsou site zajisteny proti tem co budou sedet v aute a vyuzivat sluzeb site pro jiny nez "brouzdaci, pracovni, hraci" ucel.
Moc se mi ale ten komunitni napad libi a rad bych ho realizoval doma az prijedu zpet. Drzim pesti a jsem nadsen :-)
Myslim si, ze nahled na security na komunitnich sitich ano/ne je znacne zjednodusela. Rad bych se naklonil ke stupnovanosti (ci urcite levelizaci) i <volne> dostupnych, komunitnich siti.
Myslim si ze by se Ti, co poskytuji <volne> sluzby poskytovanim svych AP, meli chranit pred zneuzitim jejich dobre vule - tj. aby se jim nestalo, ze se u nich cas od casu zastavi policie s tim, ze z jejich IP se delo neco nezakonneho, popr. nekteri ucastnici by zjistili ztraty dat z jejich PCs. Coz si myslim ze je velika moznost, pokud sit nebude zadnym zpusobem zajistena.
Vidim, ze prirazovani statickych IPs je taktez nesmysl, ale prirazovani IDs & psswd zas tak spatne neni. Pokud by se pouzi nejaky 3rd party server (Radius - i kdyz ten ma nekolik security issues take, ale tam uz se jedna o seriozni session hijacking, ci MiM attacks. Oba vyzaduji stanici konfigurovatelnou jako AP ktera muze zaslat managing frames tomu urcitemu NODu...). Myslim si ze poskytovatel by mel mit v urcitem smeru prehled o tom "kdo a kdy".
Rad bych timto dal najevo souhlas s nazorem, ze dostupnost site musi odpovidat jeji urceni, v tomto pripade "komunitni", ale zaroven bych rad pozvednul moznosti zneuziti.
S diky a respektem -- Tomas Wolf
Omlouvam se pokud muj sloh je trochu nesrozumitelny.
O co mi jde v prvni rade je to, ze by nad AP mel byt jisty stupen kontroly uzivatelu, ne ze by jim mel odmitnout pristup, ale zaroven ne aby grantoval pristup komukoli kdo zrovna projizdi okolo s notebookem.
Duvod je ten, ze pokud je nekde moznost zneuziti, jiste bude "vyuzita" a zaplati za to (casem, penezi, etc.) ti, co administruji ten ktery AP. -- Coz si myslim ze by byla skoda.
Myslim si ze pokud se podivas na nektere produkty Cisco, tam by mela byt moznost nekterych lepsich funkci filtrovani, konkretne QoS. Ale QoS je vice podporovan 802.11a, ktery ma sic mensi dosah ale 54Mbps. Nyni se tu prodavaji 802.11g - ktere jeste nejsou schvalene IEEE, ty funguji take na 54Mbps, ale problem je v tom, ze vyrobci se snazi delat APs levne = no QoS).
security issues
18.02.2003 v 02:13
