Что такое VPN? Что такое шифрование в VPN? Я ничего не боюсь, потому что использую сложные пароли.

Что такое VPN?

Виртуальная частная сеть - это сетевая технология, которая создает безопасное сетевое соединение через публичную сеть, такую как Интернет.

Что такое шифрование в VPN?

Шифрование - это процесс кодировки данных таким образом, что только компьютер с правильным декодером сможет прочитать их и использовать. В VPN, который мы предоставляем, сообщение или информация, т.е. незашифрованный текст, шифруется с помощью алгоритма шифрования, генерируется зашифрованный текст, который можно будет прочить только после рассшифровки. Существует два вида шифрования - симметрическое и ассиметрическое.

Что такое симметрическое шифрование?

Это самая старая и самая известная технология. Секретный ключ, который может быть числом, словом или просто рядом случайных букв, применяется к тексту сообщения, чтобы поменять содержание определенным способом.

Что такое ассиметрическое шифрование?

Ассиметрическое шифрование (также называется шифрованием открытыми ключами) - это криптография, в которой используется пара ключей для шифрования и дешифрования сообщения, и поэтому оно поступает в безопасном виде.

Что такое TCP?

TCP (Протокол управления передачей данных) - это требующий соединения протокол, который означает, что соединение будет установлено и продолжено до тех пор, пока прикладные программы на каждой стороне не закончат обмен сообщениями.

Что такое UDP?

UDP (Протокол передачи дейтаграмм) - это протокол передачи данных, который предлагает ограниченное количество действий, когда происходит обмен сообщениями между двумя компьютерами в сети с использованием Интернет-протокола.

Что такое IPSec?

Безопасность Интернет-протокола (IPSec) - это инфраструктура открытых стандартов для того, чтобы помочь обеспечить приватное, безопасное соединение через сети Интернет-протокола с использованием средств криптографической защиты. IPsec поддерживает два режима шифрования: транспортный и туннельный. Транспортный режим шифрует только часть данных (полезные данные) каждого пакета, и оставляет заголовок пакета неизмененным. Более защищенный туннельный режим шифрует и заголовок, и полезные данные.

Что такое PPP?

Протокол точка-точка (PPP) - это протокол канала передачи данных, который используется для установления прямого соединения между двумя узлами. С его помощью можно обеспечить аутентификацию соединения, шифрование и сжатие данных.

Что такое PPTP?

PPTP (Протокол туннелирования точка-точка) - это протокол, который использует канал управления через туннельные операции TCP и GRE для того, чтобы инкапсулировать PPP пакеты.

Что такое GRE?

Общая инкапсуляция маршрутов (GRE) - это протокол туннелирования, разработанный компанией Cisco Systems, который может инкапсулировать большое количество протоколов сетевого уровня внутри виртуальных узлов точка-точка через объединенную сеть Интернет- протокола.

Что такое SSTP?

Протокол безопасного туннелирования сокетов (SSTP) - это форма VPN-туннеля, которая обеспечивает механизм передачи трафика PPP или L2TP через SSL 3.0 канал. SSL обеспечивает безопасность на транспортном уровне с ключевым обменом, шифрованием и проверкой целостности трафика. Использование SSL через TCP порт 443 позволяет SSTP проходить виртуально через все системы сетевой защиты и прокси-сервера, кроме аутентифицированных веб-прокси.

Что такое OpenVPN?

OpenVPN - это общедоступное программное обеспечение, которое запускает механизмы виртуальной частной сети (VPN) для создания безопасного двухпунктового или межсайтового соединения в режиме маршрутизации или в режиме моста и оборудования удаленного доступа.

В чем разница между VPN-соединением и Прокси веб-сайтами?

Прокси или прокси-сервер - это сервер (компьютерная система или приложение), выступающий посредником для запросов от клиентов, которые ищут ресурсы на других серверах. Пользователь подключается к прокси-серверу, запрашивая определенный сервис, такой как файл, соединение, веб-страницу и т.д., которые предоставляются различными серверами, а прокси-сервер проводит анализ сложности запроса, чтобы его упростить и контролировать. VPN-провайдер же шифрует весь Ваш трафик, заменяя Вашего Интернет-провайдера и маршрутизируя весь трафик через VPN-сервер, включая все программы и приложения. Следовательно, VPN - это единственно правильный выбор, если исходить из целей безопасности.

Нужно ли мне устанавливать какое-то программное обеспечение?

Вам необходимо устанавливать программное обеспечение только, если Вы пользуетесь OpenVPN. Установить его легко..aspx

Будет ли VPN работать при любом типе Интернет-соединения?

Да. BoxPN VPN работает с любым Интернет-соединением (кабельным, DSL, модемным, спутниковым, через Wi-Fi и т.д.).

Первое, что приходит в голову при упоминании VPN, - это анонимность и защищенность передаваемых данных. Так ли это на самом деле? Давай разберемся.

Когда необходимо получить доступ к корпоративной сети, безопасно передать важную информацию по открытым каналам связи, скрыть свой трафик от бдительного взора провайдера, скрыть свое реальное местоположение при проведении каких-либо не совсем законных (или совсем не законных) действий, обычно прибегают к использованию VPN. Но стоит ли слепо полагаться на VPN, ставя на кон безопасность своих данных и собственную безопасность? Однозначно - нет. Почему? Давай разбираться.

WARNING

Вся информация предоставлена исключительно в ознакомительных целях. Ни редакция, ни автор не несут ответственности за любой возможный вред, причиненный материалами данной статьи.

VPN нам нужен!

Виртуальная частная сеть, или просто VPN, - обобщенное название технологий, позволяющих обеспечить одно или несколько сетевых соединений (логическую сеть) поверх другой сети, например интернета. Несмотря на то что коммуникации могут быть реализованы через публичные сети с неизвестным уровнем доверия, уровень доверия к построенной логической сети не зависит от уровня доверия к базовым сетям благодаря использованию средств криптографии (шифрования, аутентификации, инфраструктуры открытых ключей, средств для защиты от повторов и изменений передаваемых по логической сети сообщений). Как видишь, в теории все радужно и безоблачно, на практике же все несколько иначе. В этой статье мы рассмотрим два основных момента, которые обязательно нужно принимать во внимание, пользуясь VPN.

Утечка VPN-трафика

Первая проблема, связанная с виртуальными частными сетями, - это утечка трафика. То есть тот трафик, который должен быть передан через VPN-соединение в зашифрованном виде, попадает в сеть в открытом виде. Данный сценарий не является следствием ошибки в VPN-сервере или клиенте. Здесь все гораздо интереснее. Самый простой вариант - внезапный разрыв VPN-соединения. Ты решил просканировать хост или подсеть с помощью Nmap, запустил сканер, отошел на несколько минут от монитора, и тут VPN-соединение внезапно отвалилось. Но сканер при этом продолжает работать. И сканирование идет уже с твоего адреса. Вот такая неприятная ситуация. Но есть сценарии и интересней. Например, утечка VPN-трафика широко распространена в сетях (на хостах), поддерживающих обе версии протокола IP (так называемые dual-stacked сети/хосты).

Корень зла

Сосуществование двух протоколов - IPv4 и IPv6 - имеет множество интересных и тонких аспектов, которые могут приводить к неожиданным последствиям. Несмотря на то что шестая версия протокола IP не имеет обратной совместимости с четвертой версией, обе эти версии как бы «склеены» вместе системой доменных имен (DNS). Чтобы было понятней, о чем идет речь, давай рассмотрим простенький пример. Например, возьмем сайт (скажем, www.example.com), который имеет поддержку IPv4 и IPv6. Соответствующее ему доменное имя (www.example.com в нашем случае) будет содержать DNS-записи обоих типов: А и АААА. Каждая А-запись содержит один IPv4-адрес, а каждая АААА-запись содержит один IPv6-адрес. Причем для одного доменного имени может быть по несколько записей обоих типов. Таким образом, когда приложение, поддерживающее оба протокола, захочет взаимодействовать с сайтом, оно может запросить любой из доступных адресов. Предпочитаемое семейство адресов (IPv4 или IPv6) и конечный адрес, который будет использоваться приложением (учитывая, что их существует несколько для четвертой и шестой версий), будет отличаться от одной реализации протокола к другой.

Это сосуществование протоколов означает, что, когда клиент, поддерживающий оба стека, собирается взаимодействовать с другой системой, наличие А- и АААА-записей будет оказывать влияние на то, какой протокол будет использоваться для связи с этой системой.

VPN и двойной стек протоколов

Многие реализации VPN не поддерживают или, что еще хуже, полностью игнорируют протокол IPv6. При установке соединения программное обеспечение VPN берет на себя заботу по транспортировке IPv4-трафика - добавляет дефолтный маршрут для IPv4-пакетов, обеспечивая тем самым, чтобы весь IPv4-трафик отправлялся через VPN-соединение (вместо того чтобы он отправлялся в открытом виде через локальный роутер). Однако, если IPv6 не поддерживается (или полностью игнорируется), каждый пакет, в заголовке которого указан IPv6-адрес получателя, будет отправлен в открытом виде через локальный IPv6-роутер.

Основная причина проблемы кроется в том, что, хотя IPv4 и IPv6 - два разных протокола, несовместимых друг с другом, они тесно используются в системе доменных имен. Таким образом, для системы, поддерживающей оба стека протоколов, невозможно обеспечить безопасность соединения с другой системой, не обеспечив безопасность обоих протоколов (IPv6 и IPv4).

Легитимный сценарий утечки VPN-трафика

Рассмотрим хост, который поддерживает оба стека протоколов, использует VPN-клиент (работающий только с IPv4-трафиком) для подключения к VPN-серверу и подключен к dual-stacked сети. Если какому-то приложению на хосте нужно взаимодействовать с dual-stacked узлом, клиент обычно запрашивает и А-, и АААА-DNS-записи. Так как хост поддерживает оба протокола, а удаленный узел будет иметь оба типа DNS-записей (А и АААА), то одним из вероятных вариантов развития событий будет использование для связи между ними IPv6-протокола. А так как VPN-клиент не поддерживает шестую версию протокола, то IPv6-трафик не будет отправляться через VPN-соединение, а будет отправляться в открытом виде через локальную сеть.

Такой вариант развития событий подвергает угрозе передаваемые в открытом виде ценные данные, в то время как мы думаем, что они безопасно передаются через VPN-соединение. В данном конкретном случае утечка VPN-трафика является побочным эффектом использования ПО, не поддерживающего IPv6, в сети (и на хосте), поддерживающей(ем) оба протокола.

Преднамеренно вызываем утечку VPN-трафика

Атакующий может преднамеренно вызвать подключение по протоколу IPv6 на компьютере жертвы, посылая поддельные ICMPv6 Router Advertisement сообщения. Подобные пакеты можно рассылать при помощи таких утилит, как rtadvd , SI6 Networks’ IPv6 Toolkit или THC-IPv6 . Как только соединение по протоколу IPv6 установлено, «общение» с системой, поддерживающей оба стека протоколов, может вылиться, как рассмотрено выше, в утечку VPN-трафика.

И хотя данная атака может быть достаточно плодотворной (из-за растущего числа сайтов, поддерживающих IPv6), она приведет к утечке трафика, только когда получатель поддерживает обе версии протокола IP. Однако для злоумышленника не составит труда вызвать утечки трафика и для любого получателя (dual-stacked или нет). Рассылая поддельные Router Advertisement сообщения, содержащие соответствующую RDNSS-опцию, атакующий может прикинуться локальным рекурсивным DNS-сервером, затем провести DNS-спуфинг, чтобы осуществить атаку man-in-the-middle и перехватить соответствующий трафик. Как и в предыдущем случае, такие инструменты, как SI6-Toolkit и THC-IPv6, могут легко провернуть такой трюк.

Совсем не дело, если трафик, не предназначенный для чужих глаз, попадет в открытом виде в сеть. Как же обезопаситься в таких ситуациях? Вот несколько полезных рецептов:

1. Если VPN-клиент сконфигурирован таким образом, чтобы отправлять весь IPv4-трафик через VPN-соединение, то:

• если IPv6 VPN-клиентом не поддерживается - отключить поддержку шестой версии протокола IP на всех сетевых интерфейсах. Таким образом, у приложений, запущенных на компьютере, не будет другого выбора, как использовать IPv4;
• если IPv6 поддерживается - убедиться, что весь IPv6-трафик также отправляется через VPN.

1. Чтобы избежать утечки трафика, в случае если VPN-соединение внезапно отвалится и все пакеты будут отправляться через default gateway, можно:
2. принудительно заставить весь трафик идти через VPN route delete 0.0.0.0 192.168.1.1 // удаляем default gateway route add 83.170.76.128 mask 255.255.255.255 192.168.1.1 metric 1

• воспользоваться утилитой VPNetMon , которая отслеживает состояние VPN-соединения и, как только оно пропадает, мгновенно завершает указанные пользователем приложения (например, торрент-клиенты, веб-браузеры, сканеры);
• или утилитой VPNCheck , которая в зависимости от выбора пользователя может либо полностью отключить сетевую карту, либо просто завершить указанные приложения.

1. Проверить, уязвима ли твоя машина к утечке DNS-трафика, можно на сайте , после чего применить советы, как пофиксить утечку, описанные .

Расшифровка VPN-трафика

Даже если ты все настроил правильно и твой VPN-трафик не утекает в сеть в открытом виде - это еще не повод расслабляться. Все дело в том, что если кто-то перехватит зашифрованные данные, передаваемые через VPN-соединение, то он сможет их расшифровать. Причем на это никак не влияет, сложный у тебя пароль или простой. Если ты используешь VPN-соединение на базе протокола PPTP, то со стопроцентной уверенностью можно сказать, что весь перехваченный зашифрованный трафик можно расшифровать.

Ахиллесова пята

При VPN-соединениях на базе протокола PPTP (Point-to-Point Tunneling Protocol) аутентификация пользователей проводится по протоколу MS-CHAPv2, разработанному компанией Microsoft. Несмотря на то что MS-CHAPv2 устарел и очень часто становится предметом критики, его продолжают активно использовать. Чтобы окончательно отправить его на свалку истории, за дело взялся известный исследователь Мокси Марлинспайк, который на двадцатой конференции DEF CON отчитался, что поставленная цель достигнута - протокол взломан. Надо сказать, что безопасностью этого протокола озадачивались и ранее, но столь долгое использование MS-CHAPv2, возможно, связано с тем, что многие исследователи концентрировались только на его уязвимости к атакам по словарю. Ограниченность исследований и широкое число поддерживаемых клиентов, встроенная поддержка операционными системами - все это обеспечило протоколу MS-CHAPv2 широкое распространение. Для нас же проблема кроется в том, что MS-CHAPv2 применяется в протоколе PPTP, который используется многими VPN-сервисами (например, такими крупными, как анонимный VPN-сервис IPredator и The Pirate Bay’s VPN).

Если обратиться к истории, то уже в 1999 году в своем исследовании протокола PPTP Брюс Шнайер указал, что «Microsoft улучшил PPTP, исправив основные изъяны безопасности. Однако фундаментальная слабость аутентификации и шифрования протокола в том, что он безопасен настолько, насколько безопасен выбранный пользователем пароль». Это почему-то заставило провайдеров поверить, что ничего страшного в PPTP нет и если требовать от пользователя придумывать сложные пароли, то передаваемые данные будут в безопасности. Сервис Riseup.net настолько проникся этой идеей, что решил самостоятельно генерировать для пользователей пароли длиной в 21 символ, не давая им возможности установить свои. Но даже такая жесткая мера не спасает от расшифровки трафика. Чтобы понять почему, давай поближе познакомимся с протоколом MS-CHAPv2 и посмотрим, как же Мокси Марлинспайк сумел его взломать.

Протокол MS-CHAPv2

Как уже было сказано, MSCHAPv2 применяется для аутентификации пользователей. Происходит она в несколько этапов:

• клиент посылает запрос на аутентификацию серверу, открыто передавая свой login;
• сервер возвращает клиенту 16-байтовый случайный отклик (Authenticator Challenge);
• клиент генерирует 16-байтовый PAC (Peer Authenticator Challenge - равный отклик аутентификации);
• клиент объединяет PAC, отклик сервера и свое user name в одну строку;
• с полученной строки снимается 8-байтовый хеш по алгоритму SHA-1 и посылается серверу;
• сервер извлекает из своей базы хеш данного клиента и расшифровывает его ответ;
• если результат расшифровки совпадет с исходным откликом, все ОK, и наоборот;
• впоследствии сервер берет PAC клиента и на основе хеша генерирует 20-байтовый AR (Authenticator Response - аутентификационный ответ), передавая его клиенту;
• клиент проделывает ту же самую операцию и сравнивает полученный AR с ответом сервера;
• если все совпадает, клиент аутентифицируется сервером. На рисунке представлена наглядная схема работы протокола.

На первый взгляд протокол кажется излишне сложным - куча хешей, шифрование, случайные challenge. На самом деле все не так уж и сложно. Если присмотреться внимательней, то можно заметить, что во всем протоколе остается неизвестной только одна вещь - MD4-хеш пароля пользователя, на основании которого строятся три DES-ключа. Остальные же параметры либо передаются в открытом виде, либо могут быть получены из того, что передается в открытом виде.

Так как почти все параметры известны, то мы можем их не рассматривать, а остановить свое пристальное внимание на том, что неизвестно, и выяснить, что это нам дает.

Итак, что мы имеем: неизвестный пароль, неизвестный MD4-хеш этого пароля, известный открытый текст и известный шифртекст. При более детальном рассмотрении можно заметить, что пароль пользователя нам не важен, а важен его хеш, так как на сервере проверяется именно он. Таким образом, для успешной аутентификации от имени пользователя, а также для расшифровки его трафика нам необходимо знать всего лишь хеш его пароля.

Имея на руках перехваченный трафик, можно попробовать его расшифровать. Есть несколько инструментов (например, asleap), которые позволяют подобрать пароль пользователя через атаку по словарю. Недостаток этих инструментов в том, что они не дают стопроцентной гарантии результата, а успех напрямую зависит от выбранного словаря. Подбирать же пароль простым брутфорсом тоже не очень эффективно - например, в случае с PPTP VPN сервисом riseup.net, который принудительно устанавливает пароли длиной в 21 символ, придется перебирать 96 вариантов символа для каждого из 21 символов. Это в результате дает 96^21 вариантов, что чуть больше, чем 2^138. Иными словами, надо подобрать 138-битный ключ. В ситуации же, когда длина пароля неизвестна, имеет смысл подбирать MD4-хеш пароля. Учитывая, что его длина равна 128 бит, получаем 2^128 вариантов - на данный момент это просто нереально вычислить.

Разделяй и властвуй

MD4-хеш пароля используется в качестве входных данных для трех DES-операций. DES-ключи имеют длину 7 байт, так что каждая DES-операция использует 7-байтовый фрагмент MD4-хеша. Все это оставляет возможность для классической атаки divide and conquer. Вместо того чтобы полностью брутить MD4-хеш (а это, как ты помнишь, 2^128 вариантов), мы можем подбирать его по частям в 7 байт. Так как используются три DES-операции и каждая DES-операция абсолютно независима от других, это дает общую сложность подбора, равную 2^56 + 2^56 + 2^56, или 2^57.59. Это уже значительно лучше, чем 2^138 и 2^128, но все еще слишком большое число вариантов. Хотя, как ты мог заметить, в эти вычисления закралась ошибка. В алгоритме используются три DES-ключа, каждый размером в 7 байт, то есть всего 21 байт. Эти ключи берутся из MD4-хеша пароля, длина которого всего 16 байт.

То есть не хватает 5 байт для построения третьего DES-ключа. В Microsoft решили эту задачу просто, тупо заполнив недостающие байты нулями и фактически сведя эффективность третьего ключа к двум байтам.

Так как третий ключ имеет эффективную длину всего лишь два байта, то есть 2^16 вариантов, его подбор занимает считаные секунды, доказывая эффективность атаки divide and conquer. Итак, можно считать, что последние два байта хеша известны, остается подобрать оставшиеся 14. Также разделив их на две части по 7 байт, имеем общее число вариантов для перебора, равное 2^56 + 2^56 = 2^57. Все еще слишком много, но уже значительно лучше. Обрати внимание, что оставшиеся DES-операции шифруют один и тот же текст, только при помощи разных ключей. Можно записать алгоритм перебора следующим образом:

Но так как текст шифруется один и тот же, то правильнее сделать вот так:

То есть получается 2^56 вариантов ключей для перебора. А это значит, что безопасность MS-CHAPv2 может быть сведена к стойкости одного DES-шифрования.

Взлом DES

Теперь, когда диапазон подбора ключа известен, для успешного завершения атаки дело остается только за вычислительными мощностями. В 1998 году Electronic Frontier Foundation построила машину Deep Crack, которая стоила 250 тысяч долларов и позволяла взламывать DES-ключ в среднем за четыре с половиной дня. В настоящее время Pico Computing, специализирующаяся на построении FPGA-оборудования для криптографических приложений, построила FPGA-устройство (DES cracking box), которое реализует DES как конвейер с одной DES-операцией на каждый тактовый цикл. Обладая 40 ядрами по 450 МГц, оно позволяет перебирать 18 миллиардов ключей в секунду. Обладая такой скоростью перебора, DES cracking box в худшем случае взламывает ключ DES за 23 часа, а в среднем за полдня. Данная чудо-машина доступна через коммерческий веб-сервис loudcracker.com . Так что теперь можно взломать любой MS-CHAPv2 handshake меньше, чем за день. А имея на руках хеш пароля, можно аутентифицироваться от имени этого пользователя на VPN-сервисе или просто расшифровывать его трафик.

Для автоматизации работы с сервисом и обработки перехваченного трафика Мокси выложил в открытый доступ утилиту chapcrack. Она парсит перехваченный сетевой трафик, ища MS-CHAPv2 handshake’и. Для каждого найденного «рукопожатия» она выводит имя пользователя, известный открытый текст, два известных шифртекста и взламывает третий DES-ключ. Кроме этого, она генерирует токен для CloudCracker, в котором закодированы три параметра, необходимые, чтобы сервис взломал оставшиеся ключи.

CloudCracker & Chapcrack

На случай, если тебе понадобится взломать DES-ключи из перехваченного пользовательского трафика, приведу небольшую пошаговую инструкцию.

1. Скачиваем библиотеку Passlib , реализующую более 30 различных алгоритмов хеширования для языка Python, распаковываем и устанавливаем: python setup.py install
2. Устанавливаем python-m2crypto - обертку OpenSSL для Python: sudo apt-get install python-m2crypto
3. Скачиваем саму утилиту chapcrack , распаковываем и устанавливаем: python setup.py install
4. Chapcrack установлена, можно приступать к парсингу перехваченного трафика. Утилита принимает на вход cap-файл, ищет в нем MS-CHAPv2 handshake’и, из которых извлекает необходимую для взлома информацию. chapcrack parse -i tests/pptp
5. Из выводимых утилитой chapcrack данных копируем значение строки CloudCracker Submission и сохраняем в файл (например, output.txt)
6. Идем на cloudcracker.com, на панели «Start Cracking» выбираем File Type, равный «MS-CHAPv2 (PPTP/WPA-E)», выбираем предварительно подготовленный на предыдущем шаге файл output.txt, нажимаем Next -> Next и указываем свой e-mail, на который придет сообщение по окончании взлома.

К небольшому сожалению, сервис CloudCracker платный. К счастью, за взлом ключиков придется отдать не так уж много - всего 20 баксов.

Что делать?

Хоть Microsoft и пишет на своем сайте, что на данный момент не располагает сведениями об активных атаках с использованием chapcrack, а также о последствиях таких атак для пользовательских систем, но это еще не значит, что все в порядке. Мокси рекомендует всем пользователям и провайдерам PPTP VPN решений начинать миграцию на другой VPN-протокол. А PPTP-трафик считать незашифрованным. Как видишь, налицо еще одна ситуация, когда VPN может нас серьезно подвести.

Заключение

Так сложилось, что VPN ассоциируется с анонимностью и безопасностью. Люди прибегают к использованию VPN, когда хотят скрыть свой трафик от бдительных глаз провайдера, подменить свое реальное географическое положение и так далее. На деле получается, что трафик может «протечь» в сеть в открытом виде, а если и не в открытом, то зашифрованный трафик могут достаточно быстро расшифровать. Все это еще раз напоминает, что нельзя слепо полагаться на громкие обещания полной безопасности и анонимности. Как говорится, доверяй, но проверяй. Так что будь начеку и следи за тем, чтобы твое VPN-соединение было по-настоящему безопасным и анонимным.

В закладки

IT-специалисты коворкинга DI Telegraph проанализировали для TJournal, чем может быть опасна работа в кофейне или аэропорту через незащищённый Wi-Fi, и предложили в целях безопасности использовать VPN и сети с разграничением доступа. Конечно, только тем, кто волнуется о безопасности: для работы из общедоступных сетей Wi-Fi специалисты коворкинга подготовили восемь советов.

Кофейня Starbucks

Работа в кофейне - как в стеклянном офисе: все видят ваши документы, пароли и личные данные. Ни один профессиональный IT-шник не станет даже включать вайфай на своем устройстве в таком месте. Не проходит и месяца, чтобы в лентах новостей не появилась новость, как кредитки туристов обчистили после того, как они воспользовались публичным хотспотом в аэропорту. А все айтишники знают, что нет места опаснее, чем публичный Wi-Fi в аэропорту: кофейни тут удерживают лишь второе место.

Подключаясь к вайфаю в кафе, вы де-факто выставляете напоказ весь свой трафик. Есть такая технология - снифинг. В одной локальной сети все пакеты данных рассылаются всем машинам. То есть ваши пакеты получают также все, кто подключился к той же сети. В итоге простенькая программа может перехватить все, что передает ноутбук за соседним столиком.

Хуже того: обычно устройства автоматически подключаются к первому попавшемуся незапароленному вайфаю и начинают синхронизацию почты и соцсетей, передавая в эфир логины и пароли. Никогда не позволяйте устройству делать это без вашего разрешения: оно может подключиться к сети злоумышленников, специально созданной для сбора конфиденциальных данных.

Но даже наличие пароля у сети - лишь формальность. Обычно используется шифрование паролей WEP, взломать которое можно сейчас даже на телефоне, настолько оно примитивно. Короче, всё обстоит точно так, как себе представляли киберпреступность в 80-х.

Иллюстрация из книги Нила Ардли «Школа, работа и отдых», 1981 год

Спасти от этого может только шифрование VPN. Если вы не подключаетесь через шифрованный канал, ваши данные ничем не защищены. Присаживайся рядом да скачивай.

К сожалению, поделать с этим ничего нельзя - так уж устроены протоколы передачи данных. Поэтому борьба идет за разграничение доступа. Для гостей выделяется отдельная беспарольная сеть, а для сотрудников - запароленная. Между ними - огненная стена файервола.

Это простое, но эффективное и популярное решение. Например, у нас в коворкинге весь интернет разделен на три зоны - офис Dream Industries, рабочая зона коворкинга и гостевая зона конференц-зала. Но как заставить пользователей пользоваться нужной сетью?

Для посетителей коворкинга всегда доступно две сети - Coworking и DI Telegraph. Первая для резидентов, под паролем и с самым сильным шифрованием - WPA2-PSK. Вторая сеть - для гостей, и к ней можно подключиться без пароля, просто приняв условия обслуживания. В таком случае гость получает еще и бесплатный доступ к сервисам Bookmate и Zvooq.

Коворкинг DI Telegraph

1. Отключите автоматическое подключение устройства к Wi-Fi-точкам. Осуществляйте выбор Wi-Fi-сети вручную.

2. Исследуйте всех доступных провайдеров, которые предлагают услуги Wi-Fi, чтобы выбрать того, кто использует надежные параметры настроек безопасности.

3. Избегайте подключения к точкам доступа с подозрительными именами (например, FreeInternet, FreeWiFi) и отключённым шифрованием.

4. Выбирайте точки доступа с включенным WPA/WPA2-шифрованием (пароль всегда можно узнать у владельца общественной точки доступа).

Что представляет себе человек, когда говорит об интернет-соединении? Толстый кабель, подключаемый к компьютеру? Скорее всего, именно так и есть. Отчасти они правы, поскольку без «классических» проводов никакие телекоммуникационные технологии попросту невозможны. Но вот сам интернет сегодня стал в буквальном смысле вездесущим. Другими словами, к нему можно подключиться без всевозможных проводных соединений. И всё это благодаря Wi-Fi. Причём если несколько лет назад сети Wi-Fi были лишь приятным дополнением обычного домашнего интернета, то сейчас в любом относительно крупном городе насчитывается немалое количество общественных, то есть совершенно бесплатных точек доступа Wi-i. Подобные точки бесплатного интернета можно обнаружить в кафе, ресторанах, торговых комплексах и даже просто на улице. Чтобы понять масштаб их использования, стоит хотя бы вспомнить о том, что через коллективные точки доступа Wi-Fi изо дня в день проходят тысячи мобильных устройств. А это автоматически означает возникновение некоторых рисков.

Казалось бы, какие вообще опасности могут подстерегать пользователя смартфона или планшета, когда он всего лишь подключается к очередной бесплатной сети? На самом деле, опасностей очень много. Самая основная из них – так называемый перехват сетевого трафика. Его последствиями обычно становятся блокировка аккаунтов и кража всевозможных паролей, начиная социальными сетями и заканчивая банковскими картами и другими данными. А это, в свою очередь, чревато пропажей денег со счетов. Но бояться бесплатных точек Wi-Fi и обходить их стороной не стоит. Необходимо просто придерживаться некоторых способов защиты.

Начать стоит с отключения в настройках мобильного устройства или ноутбука функции общего доступа к файлам и автоматического подключения к обнаруженным сетям Wi-Fi. Это позволит избежать неконтролируемых соединений и, следовательно, исключить вероятность сканирования трафика. По этой же причине лучше не подключаться к совершенно неизвестным публичным сетям. Также нелишним будет уточнять у сотрудников различных заведений называния соответствующих точек доступа, поскольку некоторые злоумышленники специально разворачивают бесплатные Wi-Fi зоны для своих корыстных целей.

Но на этом меры предосторожности не заканчиваются. Дополнительную безопасность при использовании открытых беспроводных соединений может обеспечить регулярно обновляющийся антивирус и фаервол. Кроме этого, во время сёрфинга интернета через бесплатную Wi-Fi точку рекомендуется заходить только на те сайты, которые поддерживают передачу данных по безопасному протоколу HTTPS и имеют двухэтапную систему авторизации. Её смысл заключается в том, что помимо обычного ввода логина/пароля она запрашивает уникальный код, отправляемый на номер мобильного телефона посредством SMS сообщения. Это гарантирует то, что даже если злоумышленник перехватит учётные данные пользователя, он всё равно не сможет войти в аккаунт.

Подключаясь к Интеренету через бесплатную точку Wi-Fi доступа Вы рискуете лишиться всех ваших паролей и приватных данных, т.к. весь ваш трафик может быть отслежен как через "эфир" так и на роутере (компьютере через который вы подключаетесь в Интернет). Т.е. все ваши логины, пароли, номера кредитных карт, ваша переписка и места веб-серфинга могут стать достоянием хакеров или не добросовестных администраторов точки доступа.

Black Hat: хотспоты гарантируют кражу приватных данных

Хотспоты – точки общего доступа к Wi-Fi – практически все представляют угрозу утечки реквизитов, заявил на конференции Black Hat в Лас-Вегасе Роб Грэм (Rob Gram), исполнительный директор Errata Security.

Для кражи реквизитов достаточно использовать простейший снифер – программу для записи сетевого трафика, проходящего через сетевой интерфейс. Грэм показал собравшимся куки к учётной записи Gmail одного из присутствующих, «пойманные» снифером. Куки используются почтовыми сайтами для хранения идентификатора сессии, выдаваемого после ввода верных реквизитов доступа. Используя этот идентификатор, атакующий может выдать себя за другого пользователя. «Веб 2.0 взломан у основания», - заключил Грэм, подразумевая, что любой сетевой снифер в Wi-Fi-сети может получить все требуемые реквизиты.

До сих пор считалось, что доступа по шифрованному протоколу SSL (URL с приставкой https://) достаточно, чтобы посторонние не смогли «подсмотреть» трафик. Однако популярные почтовые сервисы по умолчанию шифруют трафик не на всех этапах. Что же касается времени доступа с использованием похищенных куки, то некоторые действительны годами. Единственный способ защиты, по мнению Грэма, – настроить доступ к веб-сервисам так, чтобы связь с сервером шифровалась полностью.

Наши комментарии по безопасности использования Wi-Fi

Все описанные опасности абсолютно реальны, но все эти проблемы решаются простым использованием шифрованного VPN соединения, работающего поверх Wi-Fi . Поэтому мы настоятельно рекомендуем вам использовать только шифрованный VPN доступ для работы с в Интерет через бесплатные и даже платные Wi-Fi точка доступа.

Если вы планируете при поездке на отдых или в командировку использовать Wi-Fi интернет, мы рекомендуем вам предварительно купить у нас и настроить доступ к VPN сервису. Это гарантирует вам безопасность ваших логинов, паролей и данных во время путешествий, а значит хорошее настроение и сэкономленные нервные клетки.