ACIS Article

บทสรุป Wireless LAN Security
ในงานประชุม APEC Thailand 2003
by A.Pinya Hom-anek, GCFW, CISSP, CISA
ACIS Professional Team
E-mail:

การปิดฉากลงอย่างสมบูรณ์แบบสำหรับงานประชุมครั้งยิ่งใหญ่ที่สุดในรอบปี APEC Thailand 2003 ก็เป็นที่ปลาบปลื้มของหลายๆ ฝ่ายโดยทั่วกัน โดยเฉพาะผู้รับผิดชอบงานด้าน ICT หลัก ซึ่งได้แก่ศูนย์เทคโนโลยีอิเล็กทรอนิกส์และคอมพิวเตอร์แห่งชาติ หรือ NECTEC ไม่ว่าจะเป็นทีม eGovernment ทีม ThaiCERT รวมถึงทีมด้านความมั่นคงปลอดภัยข่าวสารที่เข้ามาร่วมด้วยช่วยกันได้แก่ สำนักงานตำรวจแห่งชาติ สำนักข่าวกรองแห่งชาติ และทางทีมงานของผมเองในนามสถาบัน ACIS บทสรุปของการนำICT มาใช้ในงานประชุมเพื่อบริการผู้เข้าร่วมประชุมเป็นหัวใจหลักนั้น ทั้งระบบ Wired และ Wireless LAN พบว่าไม่มีปัญหาด้านการให้บริการ ตลอดทั้งงานประชุมที่ผ่านมา

จะพบแต่เพียงปัญหาเล็กน้อยเช่น มี ไวรัสคอมพิวเตอร์ NACHI อยู่ในระบบ Wireless LAN เป็นต้น การตรวจจับไวรัส ในระบบ Wireless LAN Wi-Fi นั้น ทางคณะทำงานได้ใช้ซอฟต์แวร์ 2 ประเภท ช่วยในการทำงานได้แก่โปรแกรม Wireless Package Sniffer ที่สามารถดักจับข้อมูลในเครือข่ายไร้สายได้ ผ่านทาง Wireless LAN Card และ โปรแกรมตรวจจับผู้บุกรุก (Wireless Intrusion Detection System) ร่วมกับ Hardware จาก Red-M (http://www.red-m.com) ใช้เพื่อเตือนให้เราทราบว่ามีอะไรผิดปกติเกิดขึ้นในระบบบ้าง เมื่อเราพบ Traffic ที่ช้าผิดปกติของระบบ Wi-Fi เราได้ใช้โปรแกรม Wireless Package Sniffer วิเคราะห์ IP Traffic อย่างละเอียด จึงพบว่าเป็นไวรัส ซึ่ง pattern ของ IP Traffic จะแตกต่างจากการใช้งานทั่วไป

จะเห็นได้ว่าผู้ดูแลระบบต้องมีทักษะในการวิเคราะห์ข้อมูลจากโปรแกรม Wireless Packet Sniffer ผ่าน Wireless LAN ด้วย ซึ่งในงานมีการจัดทีม Monitor ระบบตลอด 24 ชั่วโมง ทำให้สามารถตรวจจับและระบุตำแหน่งของไวรัสได้อย่างรวดเร็วทันการ เนื่องจากข้อมูลในโปรแกรม Wireless IDS จะระบุ Channel ที่ใช้งานตลอดจน MAC Address และ IP Address ของอุปกรณ์ที่ติดไวรัสและเป็นตัวแพร่ไวรัส เราจึงสามารถที่จะควบคุมได้อย่างง่ายดาย

จากการวิเคราห์ข้อมูลการใช้งาน Wireless LAN ที่ใช้มาตรฐาน IEEE 802.11b/g พบว่า มีการใช้งานอย่างต่อเนื่องทุกวัน ส่วนใหญ่จะเป็นการใช้งานของผู้สื่อข่าวจากสำนักต่างๆ ตลอดจน Web Phone ที่ให้บริการผู้เข้าร่วมประชุมก็เป็น Wireless LAN Client แบบหนึ่ง ซึ่งอุปกรณ์ต่างๆ ภายในงานประชุมไม่ว่าจะเป็น Access Point (AP) หรือ Wireless LAN Client ที่ใช้มาตรฐาน 802.11 b/g ตลอดจนอุปกรณ์ Bluetooth ซึ่งใช้ความถี่ 2.4 GHz. เช่นเดียวกับ Wi-Fi (802.11b) ได้ถูกนำ MAC Address มาบันทึกในระบบป้องกันผู้บุกรุก เพื่อให้เราสามารถระบุได้ว่าอุปกรณ์ไร้สายตัวใดที่ไม่ใช่อุปกรณ์ที่เรารู้จัก

สำหรับฝั่ง Client นั้น เราไม่สามารถบันทึก MAC address ได้ทั้งหมด เนื่องจากเป็นการเปิดให้ใช้งาน Wi-Fi แบบ Public ในลักษณะ Hotspot จึงบันทึกได้เพียงบางส่วน แต่สำหรับตัว Access Point (AP) นั้น เราสามารถบันทึกได้ทั้งหมดและสามารถตรวจจับ Access Point แปลกปลอมที่เราเรียกว่า "Rogue AP" ในระบบได้อย่างทันท่วงที ในกรณีที่มีผู้ไม่ประสงค์ดีใช้ Notebook ของตนเองและใช้โปรแกรม Host AP (http://hostap.epitest.fi/) ทำงานบน Linux แปลง Wireless Notebook ให้เป็น Access Point เป็น backdoor เข้ามาในระบบ LAN ปกติที่เป็น Wired ซึ่งวิธีการ "HACK" แบบนี้กำลังได้รับความนิยมอย่างสูงทั่วโลก

การดักจับ "Rouge AP" จึงมีความจำเป็นต้องทำในระบบ Wireless ที่ใช้มาตรฐาน 802.11 b/g นอกจากแฮกเกอร์ ยังสามารถใช้ Rouge AP ดักจับ Username และ Password ของผู้ใช้บริการ Hotspot ที่ต้องมา Authenticate หรือ Logon เข้าสู่ระบบ ผ่านหน้า Logon Page สำหรับระบบที่ให้บริการในลักษณะของ Hotspot ตัว Rouge AP ของแฮกเกอร์จะสามารถดักจับ Username และ password ของผู้ใช้บริการที่ได้ลงทะเบียนกับทาง Wi-Fi Hotspot Provider จากนั้นแฮกเกอร์ก็จะใช้ข้อมูลของผู้ใช้งานที่หลงเข้ามา Logon กับตัว Rouge APเข้าสู่ Real AP ในระบบจริงต่อไป เราจึงต้องคอยตรวจจับ AP แปลกปลอมที่อาจมีการติดตั้งแบบไม่ได้รับอนุญาติในระบบอยู่อย่างต่อเนื่อง

สำหรับหนทางในการแก้ปํญหานี้ เราคงต้องรอมาตรฐานใหม่ของ Wireless LAN ทางด้าน Security โดยตรงได้แก่ IEEE 802.11i ซึ่งจะมีข้อกำหนดเพิ่มเติมโดยเฉพาะด้านปัญหาความปลอดภัยของระบบเข้ามาอย่างเต็มรูปแบบคาดว่าคงประกาศใช้เป็นทางการประมาณปลายปี 2546 นี้

ปัญหาที่มาตรฐาน 802.11 b/g กำลังเผชิญอยู่ในเรื่องของ Security หลักๆ ได้แก่การ CRACK WEP (Wired Equivalent Privacy) ที่ใช้ในการเข้ารหัส SSID หรือ ESSID ของ AP ในกรณีที่เราไม่ต้องการให้ผู้ใช้งาน Wi-Fi ที่ไม่ได้รับอนุญาตเข้าสู่ระบบของเรา เหล่าบรรดาแฮกเกอร์ก็จะใช้โปรแกรม เช่น AirSnort หรือ Kismet ทำการถอดรหัส WEP จากจุดอ่อนเรื่อง initialization vector (IV) ซึ่งอาจใช้เวลาไม่เกินหนึ่งชั่วโมงก็สามารถที่จะได้ค่า SSID หรือ ESSID เพื่อเข้าสู่ระบบได้ เพราะฉะนั้น WEP Encryption จึงไม่ใช่คำตอบสุดท้าย ในมุมมองของความปลอดภัยของ Wi-Fi

ดังนั้นมาตรฐานใหม่ 801.11i จึงมีข้อกำหนดในการแก้ปัญหานี้ เรียกว่า WPA ย่อมาจาก Wi-Fi Protected Access ซึ่งทาง Wi-Fi Alliance (http://www.wifialliance.org) ได้บัญญัติการใช้งาน Encryption Key Protected ขึ้นมาอีก 2 ตัวคือ Temporal Key Integrity Protocol (TKIP) และ Advanced Encryption Standard (AES) ซึ่ง AES จะต้องมีการเปลี่ยนแปลงทางด้าน Hardware ด้วย

TKIP ก็คือ Next Generation ของ WEP ออกแบบมาเพื่อแก้ปัญหาของ WEP โดยตรง ซึ่ง TKIP ใช้หลักการ Per-packet Key Mixing, Message Integrity Check (MIC) และ Re-keying mechanism ในส่วนของ AES นั้นเป็นมาตรฐานการเข้ารหัสข้อมูลของทางรัฐบาลสหรัฐอยู่แล้ว เรียกได้ว่าเปลี่ยนอย่างเต็มรูปแบบจาก RC4 มาใช้เป็น AES จะทำให้การถอดรหัสนั้น แทบจะเป็นไปไม่ได้เลยในขณะนี้

เพราะฉะนั้นในมาตรฐานใหม่ 802.11i ต้องมีการติดตั้ง Infrastructure เพิ่มเติม และ ต้องมี Authentication Server เช่น RADIUS หรือ TACACS+ Server ตลอดจนมีเรื่องของ PKI และ CA เข้ามาเกี่ยวข้องกับโปรโตคอล EAP Extensible Authentication Protocol) ด้วย ซึ่งกลไกในการ Authenticate แบบใหม่นี้เราเรียกว่า IEEE 802.1x โดยประกอบไปด้วย ทางเลือกของ Authentication Algorithm และเรื่องของ Key Management

เราจะเห็นได้ว่าการจัดการเรื่องปัญหาด้านความปลอดภัยของ Wi-Fi ในมาตรฐานใหม่ 802.11i นี้ ไม่ใช่เรื่องธรรมดาเสียแล้ว เพราะต้องมีการเพิ่มเติม Infrastructure ให้กับระบบ และ อาจต้องมีการเปลี่ยนแปลงแก้ไข Hardware/Software ด้วยไม่ว่าจะเป็นฝั่งของ AP หรือฝั่งของ Wi-Fi Client ที่เป็น 802.11b หรือ 802.11g อยู่ในขณะนี้

ดังนั้นเราควรติดตามเรื่องนี้ต่อไปอย่างต่อเนื่อง โดยหาข้อมูลเพิ่มเติมได้จาก Web Site: http://www.wifialliance.org สำหรับฝั่งแฮกเกอร์ก็มี Web Site ที่เราควรเข้าไปดูเช่นกัน ได้แก่ http://airsnort.shmoo.com และ http://www.worldwidewardrive.org พบกันใหม่ฉบับหน้านะครับ

จาก : หนังสือ eWeek Thailand
ปักษ์แรก เดือนพฤศจิกายน 2546
Update Information : 30 ตุลาคม 2546