Вопросы безопасности в сетях WiMAX, основанных на стандарте IEEE 802.16, также как и в сетях WiFi (IEEE 802.11), стоят более остро, чем в проводных сетях в связи с легкостью подключения к сети.

Стандарт IEEE 802.16 определяет протокол PKM (privacy and key management protocol), протокол приватности и управления ключом. На самом же деле, имеется в виду конфиденциальность (confidentiality), а не приватность (privacy).

Защищенные связи

Защищенная связь (Security Association, SA) -- одностороннее соединение для обеспечения защищенной передачи данных между устройствами сети.

SA бывают двух типов:

1. Data Security Association, защищенная связь для данных.

2. Authorization Security Association, защищенная связь для авторизации.

1.2.1 ЗАЩИЩЕННАЯ СВЯЗЬ ДЛЯ ДАННЫХ

Защищенная связь для данных бывает трех типов:

1. Первичная (основная) (Primary SA)

2. Статическая (Static SA)

3. Динамическая (Dynamic SA).

Первичная защищенная связь устанавливается абонентской станцией на время процесса инициализации. Базовая станция затем предоставляет статическую защищенную связь. Что касается динамических защищенных связей, то они устанавливаются и ликвидируются по мере необходимости для сервисных потоков. Как статическая, так и динамическая защищенные связи могут быть одной для нескольких абонентских станций.

Защищенная связь для данных определяется:

- 16-битным идентификатором связи.

- Методом шифрования, применяемым для защиты данных в соединении.

- Двумя Traffic Encryption Key (TEK, ключ шифрования трафика), текущий и тот, который будет использоваться, когда у текущего TEK закончится срок жизни.

- Двумя двухбитными идентификаторами, по одному на каждый TEK.

- Временем жизни TEK. Может иметь значение от 30 минут до 7 дней. Значение по умолчанию 12 часов.

- Двумя 64-битными векторами инициализации, по одному на TEK (требуется для алгоритма шифрования DES).

- Индикатором типа связи (первичная, статическая или динамическая).

Абонентские станции обычно имеют одну защищенную связь для данных для вторичного частотного канала управления (secondary management channel); и либо одну защищенную связь для данных для соединения в обе стороны (uplink и downlink), либо одну защищенную связь для данных для соединения от базовой станции до абонентской и одну -- для обратного.

1.2.2 ЗАЩИЩЕННАЯ СВЯЗЬ ДЛЯ АВТОРИЗАЦИИ

Абонентская станция и базовая станция разделяют одну защищенную связь для авторизации. Базовая станция использует защищенную связь для авторизации для конфигурирования защищенной связи для данных.

Защищенная связь для авторизации определяется:

1. сертификатом X.509, идентифицирующим абонентскую станцию, а также сертификатом X.509, идентифицирующим производителя абонентской станции.

2. 60-битовым ключом авторизации (authorization key, AK). Используется для аутентификации во время обмена ключами TEK.

3. 4-битовым идентификатором ключа авторизации.

4. Временем жизни ключа авторизации. Может принимать значение от 1 дня до 70 дней. Значение по умолчанию 7 дней.

5. 128-битовым ключом шифрования ключа (Key encryption key, KEK). Используется для шифрования и распределения ключей TEK.

6. Ключом HMAC для нисходящих сообщений (downlink) при обмене ключами TEK.

7. Ключом HMAC для восходящих сообщений (uplink) при обмене ключами TEK.

8. Списком data SA, для которого данная абонентская станция авторизована.

KEK вычисляется следующим образом:

- Проводится конкатенация шестнадцатеричного числа 0x53 с самим собой 64 раза. Получаются 512 бит.

- Справа приписывается ключ авторизации.

- Вычисляется хэш-функция SHA-1 от этого числа. Получаются 160 бит на выходе.

- Первые 128 бит берутся в качестве KEK, остальные отбрасываются.

Ключи HMAC вычисляются следующим образом:

- Проводится конкатенация шестнадцатеричного числа 0x3A (uplink) или 0x5C (downlink) с самим собой 64 раза.

- Справа приписывается ключ авторизации.

- Вычисляется хэш-функция SHA-1 от этого числа. Получаются 160 бит на выходе. Это и есть ключ HMAC.

1.2.3 УЯЗВИМОСТИ В СТАНДАРТЕ IEEE 802.16

1. Атаки физического уровня, такие как глушение передачи сигнала, ведущее к отказу доступа или лавинный наплыв кадров (flooding), имеющий целью истощить батарею станции. Эффективных способов противостоять таким угрозам на сегодня нет.

2. Самозваные базовые станции, что связано с отсутствием сертификата базовой станции. В стандарте проявляется явная несимметричность в вопросах аутентификации. Предложенное решение этой проблемы -- инфраструктура управления ключом в беспроводной среде (WKMI, wireless key management infrastructure), основанная на стандарте IEEE 802.11i. В этой инфраструктуре есть взаимная аутентификация с помощью сертификатов X.509.

3. Уязвимость, связанная с неслучайностью генерации базовой станцией ключей авторизации. Взаимное участие базовой и абонентской станции, возможно, решило бы эту проблему.

4. Возможность повторно использовать ключи TEK, чей срок жизни уже истек. Это связано с очень малым размером поля EKS индекса ключа TEK. Так как наибольшее время жизни ключа авторизации 70 суток, то есть 100800 минут, а наименьшее время жизни ключа TEK 30 минут, то необходимое число возможных идентификаторов ключа TEK -- 3360. А это означает, что число необходимых бит для поля EKS -- 12.

5. Еще одна проблема связана, как уже упоминалось, с небезопасностью использования шифрования DES. При достаточно большом времени жизни ключа TEK и интенсивном обмене сообщениями возможность взлома шифра представляет реальную угрозу безопасности. Эта проблема была устранена с введением шифрования AES в поправке к стандарту IEEE 802.16e. Однако, большое число пользователей до сих пор имеет оборудование, поддерживающее лишь старый стандарт IEEE 802.16.

1.3 АНАЛИЗ ТОПОЛОГИЙ ПОСТРОЕНИЯ СЕТЕЙ

1.3.1 ВАРИАНТЫ ПОСТРОЕНИЯ ЛОКАЛЬНЫХ ВЫЧИСЛИТЕЛЬНЫХ СЕТЕЙ

Локальная вычислительная сеть (ЛВС) - группа ЭВМ, а также периферийное оборудование, объединенные одним или несколькими автономными (не арендуемыми) высокоскоростными каналами передачи цифровых данных (в том числе проводными, волоконно-оптическими, радио-СВЧ или ИК-диапазона) в пределах одного или нескольких близлежащих зданий. Служит для решения комплекса взаимосвязанных функциональных и/или информационных задач (например, в рамках какой-либо организации или ее автоматизированной системы), а также совместного использования объединенных информационных и вычислительных ресурсов. В зависимости от принципов построения ЛВС подразделяются на типа "клиент-сервер" и "файл-сервер", а также "одноранговые ". ЛВС могут иметь в своем составе средства для выхода в распределенные и глобальные вычислительные сети.

1.3.1.1 КЛИЕНТ -- СЕРВЕР

Архитектура или организация построения сети (в том числе локальной и распределенной), в которой производится разделение вычислительной нагрузки между включенными в ее состав ЭВМ, выполняющими функции "клиентов" (рисунок 2а), и одной мощной центральной ЭВМ -- " сервером". В частности, процесс наблюдения за данными отделен от программ, использующих эти данные. Например, сервер может поддерживать центральную базу данных, расположенную на большом компьютере, зарезервированном для этой цели. Клиентом будет обычная программа, расположенная на любой ЭВМ, включенной в сеть, а также сама ЭВМ, которая по мере необходимости запрашивает данные с сервера. Производительность при использовании клиент-серверной архитектуры выше обычной, поскольку как клиент, так и сервер делят между собой нагрузку по обработке данных. Другими достоинствами клиент-серверной архитектуры являются: большой объем памяти и ее пригодность для решения разнородных задач, возможности подключения большого количества рабочих станций, включая ПЭВМ и пассивные терминалы, а также установки средств защиты от несанкционированного доступа (как сети в целом, так и отдельных ее терминалов, баз данных и т. д.).

1.3.1.2 ФАЙЛ-- СЕРВЕР

Архитектура построения ЛВС, основанная на использовании так называемого файлового сервера - относительно мощной ЭВМ, управляющей созданием, поддержкой и использованием общих информационных ресурсов локальной сети, включая доступ к ее базам данных (БД) и отдельным файлам, а также их защиту. Для поддержки и ведения больших и очень больших БД, содержащих десятки миллионов записей, используются т.н. многопроцессорные системы, способные эффективно обрабатывать значительные объемы информации и обладающие хорошим соотношением характеристик цена/производительность. В отличие от клиент-серверной архитектуры данный принцип построения сети предполагает, что включенные в нее рабочие станции являются полноценными ЭВМ с установленным на них полным объемом необходимого для независимой работы составом средств основного и прикладного программного обеспечения. Другими словами, в указанном случае отсутствуют возможности разделения вычислительной нагрузки между сервером и терминалами сети, характерные для архитектуры типа файл-сервер, и, как следствие, общие стоимостные показатели цена/производительность сети в целом могут быть ниже. Общим недостатком ранних версий разработок средств программного обеспечения отечественных АБИС являлся тот факт, что они были ориентированы только на файл-серверную архитектуру построения вычислительной сети.

1.3.1.3 ОДНОРАНГОВАЯ ЛВС

"Бессерверная" организация построения сети, которая допускает включение в нее как ЭВМ различной мощности, так и терминалов ввода-вывода. Термин "одноранговая сеть" означает, что все терминалы сети имеют в ней одинаковые права. Каждый пользователь одноранговой сети может определить состав файлов, которые он предоставляет для общего использования (так называемые public files). Таким образом, пользователи одноранговой сети могут работать как со всеми своими файлами, так и с файлами, предоставляемыми другими ее пользователями. Подключение отдельных ЭВМ в одноранговую сеть производится преимущественно высокочастотными коаксиальными кабельными линиями связи. Известны три основных варианта топологии одноранговой сети, которые носят наименования "шина ", " кольцо" и "звезда". Создание одноранговой сети обеспечивает наряду с взаимообменом данными между включенными в нее ЭВМ совместное использование части дискового пространства (через public files), а также совместную эксплуатацию периферийных устройств (например, принтеров). Существуют и другие возможности, например, когда одна из ЭВМ временно берет на себя функции "сервера", а остальные работают в режиме "клиентов". Последнее широко используется в различного рода обучающих системах. Достоинствами одноранговых ЛВС являются также: относительная простота их установки и эксплуатации, умеренная стоимость, возможность развития (например, по числу включенных в них терминалов), независимость выполняемых вычислительных и других процессов для каждой включенной в сеть ЭВМ.

1.3.1.4 ТОПОЛОГИЯ

Принцип построения ("конфигурация" или "схема") сетевых соединений. Примерами являются топологии "звезда ", " кольцо ", " шина" и "дерево ":

1. Bus (network) -- шина -- топология сети, все станции которой подсоединены к одному кабелю (рисунок 1.2). Каждая станция принимает сигналы, переданные любой другой станцией, распознает предназначенные ей пакеты и имеет возможность проигнорировать к ней не относящиеся.

Рисунок 1.2. Топология "шина"

2. Ring (network) -- кольцо -- топология сети, все станции которой соединены только с двумя соседними (слева и справа -- рисунок 1.3). Все данные в этой сети передаются от одной станции к другой в одном направлении. Каждая станция работает как повторитель. Время отклика в кольце зависит от числа подключенных к нему станций -- чем их больше, тем длительнее задержка передаваемых данных. Недостатком является и тот факт, что в случае выхода из строя одной из станций кольцо "разрывается". Однако большинство сетей, основанных на этой топологии, имеют средства автоматического восстановления работоспособности после отказа узла.

Рисунок 1.3. Топология "кольцо"

Например, в сетях Token Ring (логическое кольцо) (рисунок 1.4) и FDDI неисправная рабочая станция просто исключается из кольца, так что соседние с нею станции соединяются напрямую. В этих сетях предусмотрены также средства восстановления магистрального кабеля между концентраторами.

Рисунок 1.4. Топология "Token-ring"

Star (network) -- звезда -- топология сети, в которой соединения между станциями или узлами сети устанавливаются через концентратор (рисунок 1.5).

Рисунок 1.5. Топология "звезда"

1.3.1.5 ВИДЫ РЕАЛИЗАЦИЙ ПОСТРОЕНИЯ ЛОКАЛЬНЫХ ВЫЧИСЛИТЕЛЬНЫХ СЕТЕЙ

AppleTolk -- наименование технологии и средств программного обеспечения для создания кабельных одноранговых ЛВС небольших организаций (например, издательств, имеющих несколько ПЭВМ и 1--2 принтера в одном здании) на базе ПЭВМ Macintosh фирмы Apple . Расстояние между наиболее удаленными ЭВМ в этой сети не должно превышать.

ARCnet (Attached Resource Computing Network ) -- нестандартная сетевая архитектура, разработанная корпорацией Datapoint в середине 70-х гг. Метод доступа основан на передаче маркера в сети с шинной топологией.

Поддерживаются коаксиальный кабель, волоконно-оптический кабель и витая пара. В настоящее время сетевые устройства ARCnet выпускаются по лицензии Datapoint многими фирмами и широко применяются в локальных сетях небольших организаций. Недостатком этой архитектуры является невысокая скорость передачи данных (2,5 Мбит/с), которая ниже, чем в Ethernet и Token Ring. Технология ARCnet не полностью соответствует стандарту IEEE 802.4. Попытка сторонников ARCnet утвердить эту технологию в качестве стандарта IEEE не увенчалась успехом.

Broadband LAN -- широкополосная локальная сеть (ЛС) -- локальная сеть, рассчитанная на скорость передачи данных свыше 600 Мбит/с.

Bus network -- сеть с шинной топологией -- ЛВС, все станции которой подсоединены к одному кабелю. Каждая станция принимая сигналы, переданные одной из станций, имеет возможность распознать предназначенные ей пакеты и проигнорировать остальные.

1.3.2 ВАРИАНТЫ ПОСТРОЕНИЯ СЕТЕЙ БЕСПРОВОДНОГО ДОСТУПА

1.3.2.1 ВЗАИМОДЕЙСТВИЕ ТЕХНОЛОГИЙ WIMAX И WIFI ПРИ ПОСТРОЕНИИ СЕТЕЙ БЕСПРОВОДНОГО ШИРОКОПОЛОСНОГО ДОСТУПА

В основе технологии WiMAX (Worldwide Interoperability for Microwave Access) лежит протокол IEEE 802.16, который в отличие от других технологий радиодоступа, обеспечивает высокоскоростные соединения на больших расстояниях даже при отсутствии прямой видимости объекта, на отраженном сигнале. Работа с отраженными радио-сигналами в условиях не прямой видимости является важной особенностью IEEE 802.16. Это достигается благодаря применению технологии OFDM для расшифровки сильно искаженного отраженного сигнала. Суть OFDM заключается в использовании большого количества узкополосных сигналов - поднесущих. Каждый из них отвечает за свой отдельный бит, а все вместе они определяют кодовое слово, в котором используются методы восстановления информации - коды Рида-Соломона вместе со сверточным кодированием. Стандарт также допускает более гибкое по сравнению с 802.11 распределение полосы частот, используемых для передач данных. Причем это можно сделать как за счет уменьшения количества поднесущих, так и с помощью их сужения. Минимальная ширина сигнала, предусмотренная стандартом, составляет 1,25 МГц, а максимальная - 20 МГц. Естественно, что с уменьшением частотного ресурса скорость передачи уменьшается, но сама эта возможность позволяет использовать частотный спектр отдельными фрагментами, а не целиком, как это было в IEEE 802.11. Технология WiMAX позволяет работать в любых условиях, в том числе в условиях плотной городской застройки, обеспечивая высокое качество связи и скорость передачи данных. Технологию WiMAX можно использовать для создания широкополосных соединений "последней мили", развертывания точек беспроводного доступа, организации сети между филиалами компаний и решения других задач, которые ранее были ограничены традиционными технологиями. WiMAX-технология позволяет обеспечить доступ в интернет со скоростями и зоной покрытия, существенно большими, чем у современных сетей WiFi. Wi-Fi - это технология беспроводной связи для небольших расстояний: в офисном здании, кафе... Расстояние от хот-спота Wi-Fi до компьютера не превышает десятков метров. Технология WiMax - это сеть широкополосного беспроводного доступа, которая создается на территории целого города, а расстояние от приемника до базовой станции измеряется уже километрами.

Рисунок 1.6. Сети беспроводного доступа

В свою очередь, локальные сети Wi-Fi становятся логичным продолжением сетей WiMAX. Сеть WiMAX предоставляет провайдерам услуг достаточно гибкие условия для решения проблемы связи "последней мили". У сервис-провайдеров появляются возможности построения "виртуальных операторов" WiFi услуг, использующих инфраструктуру WiMAX в качестве сети агрегации. Такое решение существенно снижает операционные затраты на развертывание WiFi-сетей и открывает путь к конечному абоненту для большого числа сервис-провайдеров среднего уровня.

Рисунок 1.7. Зоны доступа WIFI И WIMAX

Существенным отличием IEEE 802.16 от IEEE 802.11 является возможность использования протокола с разрешением конфликтов. Устройства IEEE 802.11 работают по принципам Ethernet, все они имеют равные права на доступ к радиотракту, а попытавшись одновременно установить связь, разрешают конфликты, повторяя попытки захвата среды через случайное время. В 802.16 имеется выделенное устройство - базовая станция оператора, которая раздает своим подчиненным права доступа к радиосреде. В результате протокол нового стандарта позволяет более эффективно использовать радиочастотный ресурс и обеспечить эффективную передачу данных. Аппаратура широкополосного беспроводного доступа "Вектор-М" может в ряде случаев быть применена как аппаратура связи "последней мили" при построении сети БШД с совместным использованием технологий WiMAX и WiFi. Для соединения "точка-точка" (рисунок 1.8а) используются две направленные друг на друга антенны: так строятся, например, радиорелейные линии передач, в которых расстояние между соседними релейными вышками может исчисляться десятками километров. При топологии "точка-многоточка" (рисунок 1.8б) в центре "ячейки" помещается базовая станция со всенаправленной или секторной антенной, а все обслуживаемые ей абоненты снабжаются сфокусированными на нее направленными антеннами. Другой тип связи получится при использовании только всенаправленных антенн. В этом случае будет достигнута возможность соединения "каждого с каждым", или "многоточка-многоточка" (mesh) (рисунок 1.8в).

Рисунок 1.8. Топологии соединений wimax

Базовая станция WiMAX представляет собой модульное решение, которое может по мере необходимости дополняться различными блоками, например, модулями для связи с магистральной сетью провайдера. В минимальной конфигурации устанавливается модуль радиоинтерфейса и модуль соединения с проводной сетью.

2. РАЗРАБОТКА СХЕМЫ СЕТИ БЕСПРОВОДНОГО ДОСТУПА

2.1 СТРУКТУРНАЯ СХЕМА СЕТИ БЕСПРОВОДНОЙ ПЕРЕДАЧИ ДАННЫХ

Структурная схема сети стандарта WiMAX представлена на рисунке 9, здесь же представлены основные протоколы, по которым осуществляется взаимодействие элементов сети.

Рисунок 2.1. Структурная схема беспроводной широкополосной сети типа WiMAX

ЗАКЛЮЧЕНИЕ