motivace WPAN (wireless( local area network): personal area network): Bluetooth standardy techniky rozprostřen ené spektra

Transkript

1 Bezdrátov tové sítě Lukáš Patka,

2 Dnešní přednáška motivace bezdrátov tové přenosy licenční, bezlicenční pásmo WLAN (wireless( local area network): standardy techniky rozprostřen ené spektra bezpečnost nost bezdrátových sítís hw,, antény ny WPAN (wireless( personal area network): Bluetooth bezdrátov tové sítě na FI MU

3 Předměty na FI MU PA151 - Soudobé počíta tačové sítě DAB, DVB, satelitní komunikace, mobilní sítě, WLAN PV169 - Základy přenosu p enosu dat spojová a fyzická vrstva ISO OSI PV183 - Technologie počíta tačových sítí WLAN, WPAN

4 Proč bezdrátov tové sítě? natažen ení kabelů není všude možné veřejn ejné prostranství,, historické budovy kabelové připojení může e být nákladnn kladné poslední míle využívání dočasných asných prostor mobilita klientů

5 Nevýhody bezdrátových sítís malá šířka pásma p v porovnání s metalickými sítěmis omezení stanovená národními regulačními úřady

6 Bezdrátov tové přenosyenosy data přenp enášena šířen ením m změn n elektromagnetických vlastností prostřed edí bezdrátov tová média šíří pouze analogové signály kódování digitáln lních dat do analogového signálu: amplitude, frequency, phase-shift shift keying rychlost přenosu p dat je úměrná šířce přenosovp enosového pásmap Shannonova věta: max. dosažitelná rychlost při dané šířce pásma a daném poměru SNR C = B log2(1 + S/N) SNRdB = 10log(S/N) Nyquistovavěta: max. rychlost přenosu dat víceúrovnovým signálem při dané šířce pásma C = 2B log2 M

7 Elektromagnetické spektrum rádiové vlny Hz - 1GHz AM, FM rádio, r DAB, DVB, DECT, GSM, 3G relativně velký dosah si vynucuje centráln lní kontrolu přidp idělování a využívání frekvencí mikrovlny GHz WLAN, satelitní spojení,, orientované radiové spoje lze soustředit edit do úzkého svazku závislé na počas así- pohlcovány deštěm infračerven ervené záření 300GHz THz komunikace na krátkou vzdálenost (notebooky, tiskárny rny,..,..) neprostupují skrz překp ekážkyky viditelné záření THz laserová pojítka úzký světelný telný paprsek relativně velká závislost na atmosférických podmínk nkách- déšť,, mlha

8 Reguláto toři i kmitočtových tových pásemp mezinárodn rodní: ITU ITU (International Telecommunication Union) Radio Regulations: : mezinárodn rodní dohody regulující využit ití frekvenčních pásem, p oběž ěžných drah satelitů REG-RR/enRR/en World Radiocommunication Conferences kontrola/úprava Radio Regulations,, každé 2 roky, Evropa: CEPT (European Conference of Postal and Telecommunications Administrations ions ) dohody mají pouze formu doporučen ení European Common Allocation Online Database: : apps.ero.dk/eca/ 48 členů,, včetnv etně ČR, SR ETSI (European Telecommunications Standards Institute ) ECC (Electronic Communications Committee) sloučen ení ERC (European Radiocommunications Committee), ECTRA (European Committee for Regulatory Telecommunications Affairs) ETSI ECC EU: The European Commission RSC (Radio Spectrum Committee) RSPG (Radio Spectrum Policy Group) ČR: ČTÚ (Český telekomunikační úřad) plán n přidp idělení kmitočtových tových pásemp ctu.cz/1/ /1/download/plan-prideleni-kmitoctovych-pasem_ pasem_ pdfpdf

9 Licenční pásmo placené,, ale garantované pásma pro datové sítě 3,5 GHz, 26 a 28 GHz mobilní sítě GSM a 1800 MHz televizní a radiové vysílání profesionáln lní datové sítě FWA radiové sítě Tetra

10 Bezlicenční pásmo pásmo ISM (Industrial, Scientific and Medical) počet uživatelu ivatelů není omezen problém m rušen ení majitel mikrovlnky nemusí žádat o licenci ECA definuje následujn sledující frekvenční rozsahy jako ISM: 9-14kHz, GHz 24.05GHz, GHz 24.25GHz, MHz, GHz 62GHz, MHz MHz, MHz, MHz, MHz, MHz, MHz, MHz, khz, kHz 13570kHz, kHz 27500kHz

11 Rozprostřen ené spektrum tradiční technologie vměstn stnávají co největší počet signálů do relativně úzkého pásmap rozprostřen ené spektrum naopak pomocí matematických funkcí rozptýlí sílu signálu do širokého frekvenčního bloku přijímač opačnou operací převede zpět t do úzkopásmového signálu eliminace interferencí (rušen ení) úzkopásmových zdrojů znesnadnění odposlechu signálu zavedení redundance vysílan laná zpráva je přenp enášena pomocí signálů modulovaných na více v frekvencích. ch. Tyto signály mohou sloužit (v případp padě výskytu chyby, rušen ení) ) k obnovení původní zprávy

12 Techniky rozprostřen eného spektra FHSS - Frequency Hopping Spread Spectrum nosný signál l vysílán n po krátkou dobu (max( 400 milisekund) přeskočí a pokračuje na jiné frekvenci, to se neustále opakuje posloupnost přeskokp eskoků je dána d pseudonáhodným generátorem čísel frekvenčních pásem p 79, šířka 1 MHz teoreticky aža 26 paralelně pracujících ch přístupových p bodů, prakticky kolem 15-ti rychlosti 2 Mb/s /s,, modulace Frequency-Shift Keying nejlevnější na výrobu

13 Techniky rozprostřen eného spektra II DSSS - Direct Sequence Spread Spectrum každý bit je transformován n do n-bitovn bitové sekvence bit XOR pseudonáhodn hodná sekvence základní rychlosti 2 a 1 Mb/s, modulace DPSK (Differential Phase Shift Keying) pro rychlosti 11 a 5,5 Mb/s se používá modulace CCK (Complimentary Code Keying) , b

14 DSSS strana vysíla lače: U t XOR U t = U t Chip sequency 5-bitové vzorky Původní signál

15 DSSS strana přijp ijímače bezchybný přenos: p Přijatý signál 5-bitové vzorky Původní signál U 0 t XOR U 0 t = U t

16 DSSS strana přijp ijímače e (rušen ení) - přenos s chybami: Přijatý signál 5-bitové vzorky Původní signál U 0 t XOR U 0 t = U t

17 Techniky rozprostřen eného spektra III OFDM Orthogonal Frequency Division Multiplex přenosové pásmo se rozdělí na velké množstv ství úzkých kanálů data se v kanálech přenp enáší relativně pomalu a signál l je tak robustnější nosné frekvence jednotlivých kanálů jsou voleny tak, aby modulované datové proudy byly vzájemn jemně ortogonáln lní- eliminuje rušen ení sousedících ch kanálů v členitém m terénu horší výsledky max. přenosovp enosová rychlost, daná součtem všech v kanálů,, je 54 Mb/s a, g

18 Řízení přístupu CSMA/CA CA Carrier Sense, Multiple Access with Collision Avoidance Přístupovou metodu CSMA/CD není možné použít, protože: stanice by musely být schopny zárovez roveň vysílat i přijp ijímat signál l (nárůst cenových nákladn kladů) problém m skrytého uzlu: dvě stanice jsou v dosahu přístupovp stupového bodu, ale nenacházej zejí se ve vzájemn jemném m dosahu

19 CSMA/CA používá se systém m pozitivního potvrzování stanice, která chce vysílat si ověř ěří,, zda-li je síťs po určitou dobu (DIFS Distributed Inter Frame Space) ) volná jestliže e síťs je (stane se) v průběhu DIFS obsazená,, tak se přenos dat odloží v opačném m případp padě je vyslán n krátký packet RTS Request To Send,, který mimo jiné obsahuje infor-maci o době,, kterou bude následujn sledující přenos trvat cílová stanice odpovídá (po krátk tkém m okamžiku - SIFS) packetem CTS Clearlear To Send,, který opět t mimo jiné obsahuje dobu, po kterou bude následujn sledující přenos trvat všechny stanice, které slyší RTS nebo CTS si nastaví vlastní indikátor NAV Network Allocation Vector na dobu přenášenou v těchto t packetech a nebudou se v jejím m průběhu snažit přistupovat p k sítis celá transakce je (v případp padě úspěšného přenosu p dat) ukončena zasláním packetu ACK Acknowledge jestliže e přenos p není potvrzen packetem ACK, pak je situace vyhodnocena jako kolize a přenos p se opakuje

20 CSMA/CA SIFS Vysílač DIFS RTS Data Přijímač CTS ACK Ostatní NAV (RTS) NAV (CTS) DIFS 0 Odložený přenos Náhodná čekací doba t

21 Standardy a - v pásmu p 5 GHz s rychlostí až 54 Mb/s, povolen jen uvnitř budov, používá OFDM b - v pásmu p 2,4 GHz s rychlostí až 11 Mb/s, nejrozší šířenější, WiFi c definice procedur v rámci r mci MAC podvrstvy pro síťovs ové mosty, d - mezinárodn rodní harmonizace kmitočtov tového spektra, e rozší šíření MAC pro QoS,, kvalita služeb f - Inter Access Point Protocol (IAPP), spolupráce přístupových p bodů od různých r výrobců

22 Standardy II g - zvýšen ení rychlosti v pásmu p 2,4 GHz na 54 Mb/s s se zpětnou tnou kompatibilitou s b h změny v řízení přístupu stupu k spektru 5 GHz na 54 Mb/sM i - zlepšen ení bezpečnosti v bezdrátových sítích s vylepšen ením autentizačního a šifrovacího algoritmu j pouze Japonsko 802.1x - standard zabezpečen ení jak drátových, tak bezdrátových sítí. s

23 802.11b kmitočtov tové pásmo: ,5 Mhz (v ČR) použit itá modulace: HR/DSSS (High( Rate DSSS - přímá sekvence o vysoké rychlosti) dosahované rychlosti: 1; 2; 5,5; 11 Mb/s, záleží na podmínk nkách efektivní rychlost je aža o 40% nižší kvůli režii vysílac lací výkon: je stanoven na maximáln lní ekvivalentní izotropicky vyzářený výkon 100 mw dosah: maximálně lze v příhodných p podmínk nkách dosáhnout spoje na vzdálenost několika n kilometrů

24 802.11g kmitočtov tové pásmo: ,5 Mhz (v ČR) použit itá modulace: OFDM dosahované rychlosti: 1; 2; 5,5; 6; 9; 11; 12; 18; 24; 36; 48; 54 Mb/s vysílac lací výkon: vzhledem k práci ve stejném pásmu je upraven stejnou generáln lní licencí ČTU jako pro IEEE b dosah: je mírnm rně větší nebo stejný jako u b zpětn tně kompatibilní s b

25 802.11n minimáln lně 100 Mb/s (na fyzické vrstvě je cílem c pro výrobce dokonce 600 Mb/s) MIMO (multiple( input multiple output) aktuáln lně draft 2.0 výrobci zaručuj ují výměnu zařízen zení v případp padě nekompatibility s fináln lní verzí standartu

26 Použit ití kanálů Země Kanál Frekvence USA a Kanada ,412-2,462 2,462 Evropa ,412-2,472 2,472 Francie ,457-2,472 2,472 Španělsko ,457-2,462 2,462 Japonsko 14 2,484

27 Kanály 13 kanálů není mnoho odstup mezi kanály pouze 5MHz překryv se sousedními 4 kanály při i použit ití DSSS s délkou d posloupnosti 11 bitů je nutné použít t pásmo p o šířce 22 MHz 25 MHz je možné používat maximáln lně 3 nezávisl vislé systémy pracující s DSSS, které se nebudou vzájemn jemně rušit

28 802.11a frekvence MHz, MHz, MHz přenosová rychlost 54 Mb/s rozprostřen ení spektra pomocí OFDM ČTÚ nepovoluje, v pásmu p 5GHz vyžaduje: DFS: dynamická volba kanálu TPC: automatická regulace výkonu obě funkce specifikuje aža standard h

29 WECA Wireless Ethernet Compatibility Aliance - založena 1999 ověř ěřuje kompatibilitu produktů začala ala používat označen ení WiFi (Wireless Fidelity) a nálepku n WiFi certified následně mluvíme me o WiFi sítích, tzn. splňuje požadavky organizace WECA uděluje certifikaci WiFi Zone providerům,, kteří poskytují bezdrátový přístup p na veřejných ejných místech používalo se také označen ení WiFi5 pro a, ale bylo to matoucí

30 Typy bezdrátových sítís Ad-hoc stanice komunikují přímo není přístupový bod vhodné pro dočasn asné sítě (LAN pártyp rty) Infrastrukturní základní jednotkou access point vešker kerá komunikace přes p nějn nelze připojit p stanici na více v AP AP můžm ůže e asociovat více v stanic transformuje bezdrátovou komunikaci na páteřní síť

31 Bezpečnost nelze dostatečně omezit prostor, kde je signál l k zachycení šifrování zabezpečen ení dat před p odposlechnutím WEP (Wired Equivalent Privacy) - používá symetrickou proudovou šifru RC4 klíče e 64, 128, 256 bitů,, ale 24 bitů je inicializační vektor program pro rekonstrukci WEP klíčů čů AirSnort několik kolik hodin trvá prolomit častá obměna klíčů distribuce klíčů uživatelům

32 autentizace Bezpečnost II řízení přístupu oprávn vněných ných uživatelu ivatelů u drátových stačí dobrý vrátný jednosměrný proces možnost útoku man-in in-the-midlle open system klient posílá SSID (Service Set Identificator), přístupový bod jej ale můžm ůže vysílat a stanice jej můžm ůže přijmout a použít t pro přístupp lze AP konfigurovat jako uzavřený, zkušený uživatel u však dokáže e SSID vytáhnout z odposlechnutých paketů shared-key ověř ěření správnosti sdílen leného klíče e pomocí WEP

33 Bezpečnost III filtrování adres: : nedefinuje seznam MAC adres klientů,, kteří se mohou k AP připojitp lze však v odposlouchávat komunikaci a následnn sledně si svoji MAC přenastavit problém m s údržbou seznamu omezení šířky pásmap časové omezení WPA (WiFi Protected Access) 2003 používá šifrování dynamickým klíčem TKIP 128 bitový klíč mění dočasný klíč každých paketů integrita zpráv v kontrolována na pomoci algoritmu MIC 802.1x obecný bezpečnostn nostní rámec pro všechny v typy LAN zajištuje autentizaci uživatelů,, integritu zpráv v (šifrov( ifrováním), distribuci klíčů založen na protokolu EAP (Extensible Authentication Protocol) není neprůst střelné i založen na šifrování pomocí AES klíč 128, 192, 256 bitů k protokolu TKIP přidp idán ještě CCMP dostatečný šifrovací algoritmus i pro vládn dní účely některé přístupové body jsou absolutně nechráněny! ny! pouze 44% přístupových bodů používaj vají šifrovanou komunikaci 10% přístupových bodů používá zcela standardní nechráněné nastavení

34 Bezpečnost SOHO aktualizace firmware aktivace WEP změna SSID zřušení vysílání SSID filtrace MAC adres vypnutí DHCP serveru změna hesel AP používat WPA fyzická bezpečnost nost hodiny na vypínání/zap /zapínání AP pro konfiguraci AP používat HTTPS, SSH, monitorování přístupových bodů uživatel si spustí vlastní nezabezpečený ený přístupový p bod minimalizace oblasti pokrytí na potřebn ebné minimum sektorové antény ny

35 HW pro WiFi sítě spousta výrobců (Asie,, Cisco, Nokia, ) ale je i hodně no-name výrobců rozlišujeme hlavně podle podpory OS a ceny AP liší se ve způsobu prvnotního nastavení (telnet,, SNMP, webové rozhraní) někdo kdo dodává továrn rní nastavení nutné změnit nit! dnes i HiFi, DVD s podporou WiFi

36 AP výkon množstv ství najednou připojených p uživatelů - 30 až 254 možnost připojenp ipojení externích antén vhodné rozhraní do kabelové sítě napájen jení po síti, s vyhnu se problémům m s eletroinstalací možnost roamingu zabezpečen ení DHCP

37 Antény ny všesměrové - pokrývají úhel 360 nejběž ěžnější typ používány na FI sektorové - pokrývají určitý sektor prostřed edí úhly např.. 45,, 90,,... vhodné na zeď budovy směrov rové - vyzařuj ují jedním m směrem v úzkém m pruhu signál l soustřed edí do jednoho bodu vhodné pro delší vzdálenosti zisk antény ny nejdůle ležitější parametr čím m většív ší,, tím t m vzdálen lenější signál l lze zachytit udává se v dbi (decibel na isotrop) vyzařovac ovací úhel horizontáln lní,, vertikáln lní vzhled - na barvě nezále leží,, váha v a rozměry, ry, ochrana proti větru, případnp padně vlhku lze vyrobit vlastní vhodný kabel, konektory

38 WPAN - Bluetooth radiová technologie o nízkn zkém m vysílac lacím výkonu (1mW) vyvinutá za cílem c nahrazení pevného propojení elektronických zařízen zení (PC, tiskárny, mobilní telefony, PDA atd.) pracuje v pásmu p 2,4 GHz datová rychlost 720 kb/s do vzdálenosti 10 metrů použita technika FHSS přímá viditelnost mezi vysíla lačem a přijímačem není potřeba jednoduchost, miniaturizace a nízkn zká spotřeba

39 Přenos infračerveným zářenz ením DFIR Diffused Infrared povinně rychlostí 1 Mb/s, volitelně 2 Mb/s omezeno na jednu kancelář,, nebo jiný souvislý prostor neprochází pevným materiálem dražší než rádiové sítě

40 Bezdrátov tová síť na MU přístup přes p virtuáln lní privátn tní sít t Masarykovy univerzity Pptp server Masarykovy univerzity umožň žňuje strojům, které nejsou registrovány pod doménou muni.cz přistupovat do sítěs Masarykovy univerzity a využívat vat zdrojů a služeb, které jsou v rámci této t to sítěs poskytovány FSS, CPS, ESF, FF, PřF,, LF, FI EDUROAM

41 Bezdrátov tová síť na FI MU založen ené na standardu b ORiNOCO AP-1000, AP ,, AP-2500 a ORiNOCO Outdoor Router AP-2000 a 2500 zvládaj dají i g každé AP mám jednu kartu ORiNOCO PC Card Silver AP jsou napojeny na externí antény ny se ziskem 6 dbi,, venkovní AP mám anténu nu 10 decibelovou celkem je po budově 21 AP pokryty všechny v prostory

42 Bezdrátov tová síť na FI MU II vyhrazena podsíť klient obdrží od DHCP serveru dynamickou IP adresu a je mu povolen pouze přístup p na fakultní administrativu, kde svou kartu přihlp ihlásí k používání ://fadmin.fi.muni.cz/auth/sit/wireless/login.mpl následně je povolen přístup p do sítěs na základz kladě MAC adresy síť je za firewallem a je pro ni speciáln lní provoz stejný přístup p jako ke strojům m mimo FI nelze např.. sdílet disky přes p NFS a SMB pokud klient 2x po pěti p minutách neodpoví,, zruší se jeho povolení na firewallu

43 Bezdrátov tová síť na FI MU III Uživatelé musí vzít t na vědomv domí, že e vešker kerá komunikace mezi jejich počíta tačem a a bezdrátovým přistupovým bodem je odposlechnutelná,, dokonce případný p padný útočník k mám možnost za určitých okolností převzít t jejich adresu a takto "unést" existující spojení.. Doporučuje uje se proto používat k přihlap ihlašování i k přenosu p dat zabezpečen ené šifrované protokoly (například HTTPS, IMAPS, POP3S a SSH)

44 Bluetooth bezdrátov tová síť FI experimentáln lně zprovozněn n 1 bezdrátový access point výhoda spočívá v menší náchylnosti na ruchy nevýhodou je nízkn zká přenosová rychlost (teoreticky max. 1Mb/s) a malé množstv ství klientů,, které může e být k přístupovému bodu připojenop na FI jsou zařízen zení splňuj ující výkonovou třídu t 1, proto při p komunikaci s klientem stejné třídy můžm ůže e být vzdálenost mezi nimi v otevřen eném m prostoru aža 100 m PDA s vestavěným Bluetooth rozhraním m většinou v odpovídaj dají pouze třídět 2, která umožň žňuje komunikaci se zařízen zením m do vzdálenosti 10 m od AP Tento připojenp ipojení nesmí být využit pro objemné datové přenosy. Je vhodný předevp edevším m pro čtení pošty a jinou nenáro ročnou šíťovou komunikaci. autentizační PIN byl zvolen 0000

45 Hotspot veřejn ejné přípojné body na exponovaných místechm hotely, letiště,, kavárny, benzínky, nky, parky, dokonce i na severním pólu zpoplatnění za přenesenp enesená data, nebo za čas strávený na sítis v zahraničí mnohem více v bezplatných celkem okolo 100 tisíc wifi.lupa..lupa.cz marigold.cz/hotspoty wifijet.cz