www.engineering-suomi.com
12
'10
Written on Modified on
PROSOFT TECHNOLOGY EMEA
Luotettava 802.11-standardeihin perustuva langaton ratkaisu
Samaan aikaan kun teollisen langattoman verkon käyttö maailmalla yleistyy nopeasti, jotkin automaatioinsinöörit ovat yhä skeptisiä turvallisuuteen liittyen. Tämä on tärkeä aihe, eikä kukaan pidä näitä kysymyksiä aiheettomina. Tämä artikkeli tarjoaa vastauksia ja toivottavasti auttaa vakuuttamaan heidät siitä, että turvallisuuden ei pitäisi olla syy siihen, että he viivästyttävät langattoman verkon käytön aloittamista.
Eräs vaihtoehto on käyttää FHSS:ää (Frequency Hopping Spread Spectrum). Radiot käyttävät patentoitua langatonta protokollaa, eikä yksikään radio pääse sisään verkon ulkopuolelta. Mutta useimmat käyttäjät haluavat käyttää standardeja ratkaisuja, jotka perustuvat IEEE 802.11 -sarjaan (yleisesti viitattuna ”Wi-Fi”-ratkaisut).
Turvallisuus!
Ensisijainen turvallisuuspiirre IEEE-standardeihin perustuvissa radioissa on liittyminen IEEE 802.lli –standardiin, joka varmistaa turvallisen langattoman yhteyden. Lisäksi ProSoft Technologyn RadioLinx-ratkaisut tukevat useita muita mekanismeja turvallisuuden parantamiseksi.
IEEE 802.11i
Vuonna 2004 IEEE julkaisi IEEE 802.11i –standardin ratkaisemaan 802.11-liittymien turvahuolia. Tähän standardiin viitataan usein nimellä WPA2, joka on saanut alkunsa Wi-Fi Alliancesta.
802.lli-standardin käyttöönoton sallima perustavaa laatua oleva parannus 802.11-turvaan on AES-lohkosalauksen käyttö salausvälineenä. AES:n käyttö tuo ratkaisun aikaisempien 802.11-salaustekniikoiden heikkouksiin, mukaan lukien heikkoudet avaimen ajastusalgoritmeissa.
Monia muita merkittäviä parannuksia lisättiin 802.lli:hin turvaongelmien, kuten todennusongelmat, toistohyökkäykset ja dataväärennökset (data forgery) ratkaisemiseksi.
AES-salaus
Yhdysvaltojen hallitus hyväksyi 128-bittisen avaimen AES-salausalgoritmin käytön salaisten tietojen salaamiseen vuonna 2003. Lisäksi NSA hyväksyi AES:n käytön erittäin salaisten tietojen salaamiseen. RadioLinx-radiot tukevat 128-bittisen AES-salauksen käyttöä kaikissa yhteyksissä, mikä on Yhdysvaltojen hallituksen korkein sallittu salaustaso vientiin.
AES on lohkosalausjärjestelmä, joka on tehokas laitteistoon sisällytettäväksi, jottei se hidasta viestintänopeutta. RadioLinx pysty ylläpitämään täyttä datavälitystä samalla kun se suorittaa kaikkien siirrettävien pakettien 802.lli-salausta ja salauksen poistoa.
Eräs merkittävä AES:n parannus verrattuna aikaisempiin 802.11-turvan sovelluksiin on se, että salattua viestintää tarkastelemalla on mahdotonta ennustaa radioiden käyttämää salausavainta.
Todennus
Toinen 802.lli-turvasovelluksen suuri parannus on estää ongelmia, joita syntyy verkkoon kuulumattomien laitteiden kanssa. Aikaisempi 802.ll-turva saattoi sallia 802.ll-asiakasohjelmien (client) viestiä liityntäpisteiden kanssa, jotka jäljittelivät verkon liityntäpisteitä. Kun asiakasohjelma aloitti viestinnän tällaisen rosvopisteen kanssa, rosvopiste saattoi poimia tietoja asiakasohjelman laitteesta ja loi näin riskin turvallisuudelle.
802.11i-standardi on parantanut todennusta paljon, vaatien sekä liityntäpisteiden että asiakasohjelmien todennusta siitä, että ne saavat olla verkossa, ennen kuin ne aloittavat viestinnän. 802.11i-termi tämän prosessin kuvaamiseen on nelivaiheinen kättely. Tässä prosessissa liityntäpiste ja asiakasohjelma vaihtavat yhteisellä avaimella salattuja paketteja. Molemmissa yksiköissä pitää olla identtinen jaettu avain, jotta todennus toimii menestyksekkäästi.
Kun todennus on saatu loppuun, molemmat yksiköt vaihtavat väliaikaista avainta, jota käytetään viestinnän salaukseen. Molemmat yksiköt päivittävät väliaikaisen avaimen ajoittain lisäturvan tuomiseksi.
Viestin rehellisyyden tarkastus
Yllämainitut 802.lli:n mekanismit estävät luvatonta viestien salauksenpurkua ja estävät avaimen varastamista niin, että viestit voidaan salata ja niiden salaus purkaa. 802.lli:n kolmas parannus on estää luvattomia käyttäjiä luomasta kuvitteellista dataa, jolla voisi olla negatiivinen vaikutus järjestelmään.
802.11i-standardi lisäsi parannetun viestin rehellisyyden tarkistuksen erityisesti estämään toistohyökkäyksiä ja dataväärennöksiä. Toistohyökkäys tarkoittaa sitä, että aikaisemmin lähetetty viesti lähetetään uudestaan langattomasti ja sen tarkoituksena on saada vastaanottaja lähettämään data Ethernet-verkkoon. Dataväärennöshyökkäykset tarkoittavat sitä, että salattuun datavirtaan tehdään pieniä muutoksia, jotta Ethernetiin saadaan huonoja paketteja. Aikaisempi 802.ll-turva oli altis molemmille vaaroille.
802.11i-mekanismissa käytetään 48-bittistä alustusvektoria (initialization vector) sekä lähettäjän ja vastaanottajan MAC ID:tä hajoitusmekanismissa luomaan rehellisyystarkistussekvenssi, jota käytetään jokaisen viestin varmentamiseen. Se välttää toistohyökkäykset estämällä identtiset pakkaukset, jotka on jo vastaanotettu. Kun paketti on onnistuneesti vastaanotettu, niiden salaus poistettu ja ne on lähetetty Ethernetiin, seuraavat identtiset paketit hylätään. Se on menestyksekäs myös dataväärennöshyökkäysten välttämisessä. Lisäksi, jos vastaanotetaan monia paketteja lähteestä, joka näyttää väärentävän dataa, asiakasohjelma irrottaa itsensä ja kiinnittyy uudestaan, jotta luodaan uusi sarja turva-avaimia.
Toissijaiset turvamekanismit
802.11i-turvan käytön lisäksi RadioLinx-ratkaisut tukevat monia muita turvallisuutta lisääviä mekanismeja.
MAC Filtering. RadioLinx antaa käyttäjän syöttää siihen liitettävien radioiden MAC ID:t. Kun tämä suodatin lisätään, vain näiden MAC ID –tunnusten liikenne sallitaan. Muita MAC ID:tä käyttävät laitteet hylätään.
Hidden SSID. RadioLinx sallii käyttäjän poistaa SSID sen 802.11- majakasta. Tämän ansiosta luvattomien käyttäjien on vaikeampaa havaita verkon nimi ja yrittää yhdistämistä.
Yleisten luotainten estäminen. RadioLinx tukee asetusta, joka kertoo radiolle, että sen ei pitäisi vastata 802.11-luotauspyyntöihin, joita ei ole suunnattu tietylle SSID:lle. Tyypillinen mekanismi asiakasohjelmalle yhdistyä liityntäpisteeseen on lähettää luotauspyyntö sen määrittelyyn, onko alueella liityntäpisteitä. Yleinen luotauspyyntö pyytää vastauksia minkä tahansa SSID:n liityntäpisteistä. Tämän estämällä radioon liitettävän asiakasohjelman täytyy olla tietoinen SSID:stä ennen, jotta se voi lähettää luotauspyynnön juuri siihen SSID:hen.
Vakuuttunut turvallisuudesta!
Entäpä luotettavuus? Kuinka voin olla varma, että verkkoni on tarpeeksi luotettava ja turvallinen ohjaustietojeni lähettämiseen? No, tämä pitäisi olla aiheena toisessa artikkelissa, joka koskisi erityisesti 802.11-ratkaisuja (katso ProSoft Technologyn uudet RadioLinx Industrial 802.11 –ratkaisut). Tämä uusi IEEE-standardi mahdollistaa useita verkkoja samassa paikassa (22 päällekkäin menemätöntä kanavaa); ja se, kuinka se käsittelee multipath-projekteja (multiple reflexions), se tarjoaa kestävän liitettävyyden ja mahdollistaa korkeanopeuksisen datasiirron (jopa 300 Mb/s langattomasti). Menemättä liian syvälle teoriassa, sanottakoon, että teollinen 802.11-teknologia sopii hyvin moniin automaatiosovelluksiin. Sillä välin, huomaa, että korkeanopeuksiset järjestelmät, kuten pullotuskoneet tai nostokurjet, ovat saaneet lisää luotettavuutta ja tuottavuutta RadioLinxin teollisen langattoman yhteyden ansiosta.
Turvallisuus!
Ensisijainen turvallisuuspiirre IEEE-standardeihin perustuvissa radioissa on liittyminen IEEE 802.lli –standardiin, joka varmistaa turvallisen langattoman yhteyden. Lisäksi ProSoft Technologyn RadioLinx-ratkaisut tukevat useita muita mekanismeja turvallisuuden parantamiseksi.
IEEE 802.11i
Vuonna 2004 IEEE julkaisi IEEE 802.11i –standardin ratkaisemaan 802.11-liittymien turvahuolia. Tähän standardiin viitataan usein nimellä WPA2, joka on saanut alkunsa Wi-Fi Alliancesta.
802.lli-standardin käyttöönoton sallima perustavaa laatua oleva parannus 802.11-turvaan on AES-lohkosalauksen käyttö salausvälineenä. AES:n käyttö tuo ratkaisun aikaisempien 802.11-salaustekniikoiden heikkouksiin, mukaan lukien heikkoudet avaimen ajastusalgoritmeissa.
Monia muita merkittäviä parannuksia lisättiin 802.lli:hin turvaongelmien, kuten todennusongelmat, toistohyökkäykset ja dataväärennökset (data forgery) ratkaisemiseksi.
AES-salaus
Yhdysvaltojen hallitus hyväksyi 128-bittisen avaimen AES-salausalgoritmin käytön salaisten tietojen salaamiseen vuonna 2003. Lisäksi NSA hyväksyi AES:n käytön erittäin salaisten tietojen salaamiseen. RadioLinx-radiot tukevat 128-bittisen AES-salauksen käyttöä kaikissa yhteyksissä, mikä on Yhdysvaltojen hallituksen korkein sallittu salaustaso vientiin.
AES on lohkosalausjärjestelmä, joka on tehokas laitteistoon sisällytettäväksi, jottei se hidasta viestintänopeutta. RadioLinx pysty ylläpitämään täyttä datavälitystä samalla kun se suorittaa kaikkien siirrettävien pakettien 802.lli-salausta ja salauksen poistoa.
Eräs merkittävä AES:n parannus verrattuna aikaisempiin 802.11-turvan sovelluksiin on se, että salattua viestintää tarkastelemalla on mahdotonta ennustaa radioiden käyttämää salausavainta.
Todennus
Toinen 802.lli-turvasovelluksen suuri parannus on estää ongelmia, joita syntyy verkkoon kuulumattomien laitteiden kanssa. Aikaisempi 802.ll-turva saattoi sallia 802.ll-asiakasohjelmien (client) viestiä liityntäpisteiden kanssa, jotka jäljittelivät verkon liityntäpisteitä. Kun asiakasohjelma aloitti viestinnän tällaisen rosvopisteen kanssa, rosvopiste saattoi poimia tietoja asiakasohjelman laitteesta ja loi näin riskin turvallisuudelle.
802.11i-standardi on parantanut todennusta paljon, vaatien sekä liityntäpisteiden että asiakasohjelmien todennusta siitä, että ne saavat olla verkossa, ennen kuin ne aloittavat viestinnän. 802.11i-termi tämän prosessin kuvaamiseen on nelivaiheinen kättely. Tässä prosessissa liityntäpiste ja asiakasohjelma vaihtavat yhteisellä avaimella salattuja paketteja. Molemmissa yksiköissä pitää olla identtinen jaettu avain, jotta todennus toimii menestyksekkäästi.
Kun todennus on saatu loppuun, molemmat yksiköt vaihtavat väliaikaista avainta, jota käytetään viestinnän salaukseen. Molemmat yksiköt päivittävät väliaikaisen avaimen ajoittain lisäturvan tuomiseksi.
Viestin rehellisyyden tarkastus
Yllämainitut 802.lli:n mekanismit estävät luvatonta viestien salauksenpurkua ja estävät avaimen varastamista niin, että viestit voidaan salata ja niiden salaus purkaa. 802.lli:n kolmas parannus on estää luvattomia käyttäjiä luomasta kuvitteellista dataa, jolla voisi olla negatiivinen vaikutus järjestelmään.
802.11i-standardi lisäsi parannetun viestin rehellisyyden tarkistuksen erityisesti estämään toistohyökkäyksiä ja dataväärennöksiä. Toistohyökkäys tarkoittaa sitä, että aikaisemmin lähetetty viesti lähetetään uudestaan langattomasti ja sen tarkoituksena on saada vastaanottaja lähettämään data Ethernet-verkkoon. Dataväärennöshyökkäykset tarkoittavat sitä, että salattuun datavirtaan tehdään pieniä muutoksia, jotta Ethernetiin saadaan huonoja paketteja. Aikaisempi 802.ll-turva oli altis molemmille vaaroille.
802.11i-mekanismissa käytetään 48-bittistä alustusvektoria (initialization vector) sekä lähettäjän ja vastaanottajan MAC ID:tä hajoitusmekanismissa luomaan rehellisyystarkistussekvenssi, jota käytetään jokaisen viestin varmentamiseen. Se välttää toistohyökkäykset estämällä identtiset pakkaukset, jotka on jo vastaanotettu. Kun paketti on onnistuneesti vastaanotettu, niiden salaus poistettu ja ne on lähetetty Ethernetiin, seuraavat identtiset paketit hylätään. Se on menestyksekäs myös dataväärennöshyökkäysten välttämisessä. Lisäksi, jos vastaanotetaan monia paketteja lähteestä, joka näyttää väärentävän dataa, asiakasohjelma irrottaa itsensä ja kiinnittyy uudestaan, jotta luodaan uusi sarja turva-avaimia.
Toissijaiset turvamekanismit
802.11i-turvan käytön lisäksi RadioLinx-ratkaisut tukevat monia muita turvallisuutta lisääviä mekanismeja.
MAC Filtering. RadioLinx antaa käyttäjän syöttää siihen liitettävien radioiden MAC ID:t. Kun tämä suodatin lisätään, vain näiden MAC ID –tunnusten liikenne sallitaan. Muita MAC ID:tä käyttävät laitteet hylätään.
Hidden SSID. RadioLinx sallii käyttäjän poistaa SSID sen 802.11- majakasta. Tämän ansiosta luvattomien käyttäjien on vaikeampaa havaita verkon nimi ja yrittää yhdistämistä.
Yleisten luotainten estäminen. RadioLinx tukee asetusta, joka kertoo radiolle, että sen ei pitäisi vastata 802.11-luotauspyyntöihin, joita ei ole suunnattu tietylle SSID:lle. Tyypillinen mekanismi asiakasohjelmalle yhdistyä liityntäpisteeseen on lähettää luotauspyyntö sen määrittelyyn, onko alueella liityntäpisteitä. Yleinen luotauspyyntö pyytää vastauksia minkä tahansa SSID:n liityntäpisteistä. Tämän estämällä radioon liitettävän asiakasohjelman täytyy olla tietoinen SSID:stä ennen, jotta se voi lähettää luotauspyynnön juuri siihen SSID:hen.
Vakuuttunut turvallisuudesta!
Entäpä luotettavuus? Kuinka voin olla varma, että verkkoni on tarpeeksi luotettava ja turvallinen ohjaustietojeni lähettämiseen? No, tämä pitäisi olla aiheena toisessa artikkelissa, joka koskisi erityisesti 802.11-ratkaisuja (katso ProSoft Technologyn uudet RadioLinx Industrial 802.11 –ratkaisut). Tämä uusi IEEE-standardi mahdollistaa useita verkkoja samassa paikassa (22 päällekkäin menemätöntä kanavaa); ja se, kuinka se käsittelee multipath-projekteja (multiple reflexions), se tarjoaa kestävän liitettävyyden ja mahdollistaa korkeanopeuksisen datasiirron (jopa 300 Mb/s langattomasti). Menemättä liian syvälle teoriassa, sanottakoon, että teollinen 802.11-teknologia sopii hyvin moniin automaatiosovelluksiin. Sillä välin, huomaa, että korkeanopeuksiset järjestelmät, kuten pullotuskoneet tai nostokurjet, ovat saaneet lisää luotettavuutta ja tuottavuutta RadioLinxin teollisen langattoman yhteyden ansiosta.
