5 Bezpečnosť
5.2 Diskrétnosť a šifrovanie

Diskrétnosť (ochrana pred neautorizovaným prístupom k obsahu správy) sa dosahuje ochranou obsahu dát pomocou šifrovania. Šifrovanie je v sieťach WLAN voliteľné, ale bez neho akékoľvek zariadenie daného štandardu v dosahu môže čítať všetky prenášané správy.

Existujú tri staršie generácie bezpečnosti prístupov pre siete WLAN. Od konca 90-tych rokov prešli bezpečnostné algoritmy Wi-Fi niekoľkými aktualizáciami, pričom staršie algoritmy boli nahradené podstatne novelizovanými novými algoritmami. Chronologický prehľad ich zavedenia je nasledujúci:

WEP

WEP bol ratifikovaný ako bezpečnostný štandard Wi-Fi v septembri 1999. Prvé verzie WEP neboli veľmi prísne, dokonca boli čoskoro uvoľnené, lebo obmedzenia USA na export rôznych šifrovacích technológií obmedzovali výrobcov zariadení len do 64 bitového šifrovania. Keď boli obmedzenia sprísnené, došlo k zvýšeniu na 128 bitov. Napriek zavedeniu 256 bitového šifrovania WEP, 128 bitové zostáva jednou z najbežnejších implementácií.

Napriek revidovaniu algoritmu a zväčšeniu veľkosti kľúča boli časom v štandarde WEP zistené početné bezpečnostné trhliny a ako sa zvyšoval výpočtový výkon, bolo stále ľahšie ich využívanie. Už v roku 2001 sa overoval koncept odolnosti a v roku 2005 urobila FBI verejnú demonštráciu (v snahe zvýšiť povedomie o slabinách WEP), kde získala za niekoľko minút heslá WEP pomocou voľne dostupného softvéru.

Napriek rôznym zlepšeniam, sústavnej práci a iným pokusom podporiť systém WEP zostáva veľmi zraniteľný. Systémy spoliehajúce sa na WEP by mali byť aktualizované alebo ak bezpečnosť nebola aktualizovaná, jedinou možnosťou je výmena. Aliancia Wi-Fi oficiálne stiahla WEP v roku 2004.

WPA

Podľa zistených zraniteľností vo WEP obchodná skupina Aliancie WiFi zaviedla na začiatku roku 2003 WPA. Najbežnejšou konfiguráciou WPA je WPA-PSK (Pre-Shared Key – predbežne spoločne využívaný kľúč). Kľúče používané vo WPA sú 256-bitové, čo je podstatné zvýšenie v porovnaní so 64-bitovými a 128-bitovými kľúčmi použitými v systéme WEP.

Niektoré z výrazných zmien implementovaných do WPA zahŕňa kontrolu integrity správy (na určenie toho, či útočník zachytil alebo pozmenil pakety prenášané medzi prístupovým bodom a účastníkom) a protokol integrity dočasného kľúča TKIP (Temporal Key Integrity Protocol). TKIP využíva systém zmeny kľúča po každom pakete, čo bolo podstatne bezpečnejšie ako pevný kľúč používaný v systéme WEP. TKIP bol neskoršie nahradený štandardom zlepšeného šifrovania AES (Advanced Encryption Standard).

Napriek veľmi výraznému zlepšeniu WPA v porovnaní s WEP, strašidlo WEP prenasledovalo WPA. TKIP (základný komponent WPA) bol navrhnutý tak, aby ľahko prechádzal aktualizovaným firmvérom zariadení využívajúcich WEP. To však spôsobilo, že niektoré prvky systému WEP museli byť opätovne využívané.

WPA, tak ako jeho predchodca WEP, bol predvedený pri oboch konceptoch odolnosti a využili sa verejné demonštrácie zraniteľnosti pri vstupe do prebiehajúceho spojenia. Zaujímavé je, že proces pri ktorom je WPA obyčajne porušený, nie je priamym útokom na algoritmus WPA (hoci takýto útok bol úspešne demonštrovaný), ale pri útokoch na prídavný systém pracujúci mimo WPA-chránené nastavenie Wi-Fi - WPS (Wi-Fi Protected Setup) navrhnuté tak, aby pripojenie linkových zariadení k moderným prístupovým bodom bolo jednoduchšie.

WPA2

WPA bol v roku 2006 oficiálne nahradený systémom WPA2. Jedným z veľmi významných rozdielov medzi WPA a WPA2 bolo povinné použitie algoritmov zlepšeného štandardu šifrovania AES a zavedenie protokolu autentifikačného kódu blokovo zreťazených správ - CCMP (Counter Cipher Mode with Block Chaining Message Authentication Code Protocol) ako aj náhrady za TKIP (stále zachovávaného vo WPA2 ako havarijný systém a pre interoperabilitu s WPA).

V súčasnosti je citlivosť primárnej bezpečnosti v systéme WPA2 neznáma a vyžaduje útočníka, ktorý už má prístup k sieti Wi-Fi s cieľom získať prístup k určitým kľúčom a potom opakovať útok proti iným zariadeniam na sieti. Bezpečnostné implikácie ako také sú pri známej zraniteľnosti WPA2 skoro celkom limitované sieťami podnikovej úrovne a zasluhujú si veľmi málo praktického uvažovania vzhľadom na bezpečnosť domácich sietí.

Žiaľ, tá istá zraniteľnosť, ktorá bola najväčšou dierou v pancieri WPA, útočný vektor cez chránené nastavenie WiFi (WPS), zostáva aj v moderných prístupových bodoch s WPA2. Hoci vlámanie sa do zabezpečenej siete WPA/WPA2 s využitím jej zraniteľnosti vyžaduje 2-14 hodín trvalého úsilia s moderným počítačom, je to stále opodstatnená záležitosť bezpečnosti a WPS musí byť zablokované. Ak je to možné, firmvér prístupového bodu by mal signalizovať distribúcii, že nemôže dokonca podporovať WPS, lebo útočný vektor je celkom odlišný.

Nasleduje základný zoznam hodnotenia súčasných bezpečnostných metód WiFi, zoradených od najlepšej po najhoršiu:

  1. WPA2 + AES
  2. WPA + AES
  3. WPA + TKIP/AES (TKIP je tu ako havarijná metóda)
  4. WPA + TKIP
  5. WEP
  6. Otvorená sieť (bez zabezpečenia)

Ideálne má byť chránené nastavenie WiFi (WPS) zablokované a úroveň bezpečnosti nastavená na WPA2 +AES.