Маскировка сети — это метод обеспечения безопасности сети путем сокрытия устройств за сетевым шлюзом .
Маскировка сети может обеспечить большую безопасность работы, скрывая устройства от хакеров. Чтобы получить доступ к сети за шлюзом, авторизованный пользователь должен пройти аутентификацию на шлюзе, прежде чем он позволит ему видеть устройства, к которым ему разрешен доступ политикой безопасности.
Маскировка сети скрывает устройства через систему маскировки. Она отличается от брандмауэра, который пропускает определенные типы трафика. Система не реагирует на сканирование, а устройства за ней не могут быть обнаружены или проанализированы, что предотвращает использование известных или уязвимых мест нулевого дня . Доступ к внутренним устройствам возможен только при подключении через защищенный туннель.
Вторичное использование:
Термин также использовался для обозначения безопасности беспроводной сети путем сокрытия имени сети ( идентификатора набора услуг ) от публичного вещания. Многие маршрутизаторы поставляются с этой опцией как стандартной функцией в меню настройки, доступ к которому осуществляется через веб-браузер.
Маскировка сети может помешать неопытным пользователям получить доступ к сети, но в остальном ее следует считать минимальной мерой безопасности.
Более безопасные формы беспроводной безопасности включают WPA и WPA2 . [1] WEP , WPA, WPA2 и другие технологии шифрования могут использоваться в сочетании со скрытием SSID .
Скрытие имени сети может не удержать злоумышленников от подключения к сети. Скрытие SSID удаляет его из кадров маяка , но это только один из нескольких способов, которыми SSID может быть обнаружен. [1] Когда пользователи решают скрыть имя сети на странице настройки маршрутизатора, это только установит SSID в кадре маяка на null , но есть четыре других способа, которыми передается SSID. Фактически, скрытие трансляции SSID на маршрутизаторе может привести к тому, что сетевой контроллер интерфейса (NIC) будет постоянно раскрывать SSID, даже если он находится вне зоны действия. [2]
Скрытие имени сети улучшает опыт пользователей, подключающихся к беспроводным сетям в густонаселенных районах. Если сеть не предназначена для публичного использования и не транслирует свой SSID, она не будет отображаться в списке доступных сетей на клиентах. Это упрощает выбор для пользователей.
Организации могут решить скрыть SSID Wi-Fi, предназначенный для использования сотрудниками и предварительно настроенный на корпоративных устройствах, в то время как сети, предназначенные для посетителей (т. е. «гостевые сети»), будут транслировать SSID. Таким образом, авторизованные пользователи будут подключаться к корпоративной сети как предварительно настроенной, в то время как посетители будут видеть только «гостевую сеть» и будут меньше путаться в том, какой SSID использовать.
Хотя маскировка сети может добавить небольшое чувство безопасности, люди часто не осознают, насколько легко обнаружить скрытые сети. Из-за различных способов трансляции SSID маскировка сети не считается мерой безопасности. Использование шифрования, предпочтительно WPA или WPA2, более безопасно. Даже WEP, хотя и слабый и уязвимый, обеспечивает большую безопасность, чем скрытие SSID. Существует множество программ, которые могут сканировать беспроводные сети, включая скрытые, и отображать их информацию, такую как IP-адреса, SSID и типы шифрования. Эти программы способны «вынюхивать» любые беспроводные сети в радиусе действия, по сути, прослушивая и анализируя сетевой трафик и пакеты для сбора информации об этих конкретных сетях. [3] [4] Причина, по которой эти программы могут вынюхивать скрытые сети, заключается в том, что когда SSID передается в различных кадрах, он отображается в открытом тексте (незашифрованном формате), и поэтому может быть прочитан любым, кто его нашел. Подслушиватель может пассивно прослушивать беспроводной трафик в этой сети, оставаясь незамеченным (с помощью программного обеспечения вроде Kismet ), и ждать, пока кто-то подключится, раскрывая SSID. В качестве альтернативы существуют более быстрые (хотя и обнаруживаемые) методы, когда взломщик подделывает «кадр разъединения», как будто он пришел с беспроводного моста, и отправляет его одному из подключенных клиентов; клиент немедленно повторно подключается, раскрывая SSID. [5] [6] Вот некоторые примеры таких программ для прослушивания :
Пассивный:
Активный:
Недостатком пассивного сканирования является то, что для сбора какой-либо информации клиент, уже подключенный к этой конкретной сети, должен генерировать и, следовательно, предоставлять сетевой трафик для анализа. [7] Затем эти программы могут обнаружить замаскированные сети и их SSID, просматривая кадры информации, такие как: [8]
Из-за этих многочисленных способов, которыми имя сети продолжает транслироваться, пока сеть «замаскирована», она не полностью скрыта от настойчивых хакеров.
Хуже того, поскольку станция должна проверять наличие скрытого SSID, поддельная точка доступа может предложить подключение. [10] Программы, которые действуют как поддельные точки доступа, находятся в свободном доступе; например, airbase-ng [11] и Karma . [12]
[...] SSID — это не более чем метка группы беспроводного пространства. Его невозможно успешно скрыть. Попытки скрыть его не только потерпят неудачу, но и негативно скажутся на производительности WLAN и могут привести к дополнительному раскрытию SSID [...]
Настоятельно рекомендуется не использовать нешироковещательные беспроводные сети.Примечание: здесь термин «нешироковещательная» означает сеть, которая не транслирует свой SSID или транслирует нулевой SSID вместо фактического SSID.
{{cite web}}: CS1 maint: числовые имена: список авторов ( ссылка ) Демонстрирует использование «Кармы» для ответа на любые маяки-запросы зондирования.