Funet-ohjeistusdokumentti: Toimintavarma Wi-Fi

Tänä päivänä kampuksilla ollaan riippuvaisia toimintavarmasta Wi-Fi -verkosta sekä tutkimuksen ja opetuksen että tenttien ja sisäänpääsykokeiden osalta. Näin herää luonnollisesti kysymys siitä, voidaanko luottaa Wi-Fi -verkkoon kaikissa tilanteissa ja mitä voidaan tehdä toimivuuden varmistamiseksi.

Wi-Fi -verkot käyttävät ilmarajapinnassa lisenssivapaata taajuusalueetta ja ovat alusta lähtien suunniteltu yhteiseloon muiden, myös samalla taajuudella olevien, radiosignaalien kanssa. Tietynlaisia suojamekanismeja on ja on aina ollut osana Wi-Fi-verkkojen standardia.

Joka tapauksessa, Wi-Fi -verkkoa on mahdollista häiritä ilmarajapinnassa, mutta tehokkaimmat häiriötoimet ovat Suomessa ja muualla Euroopassa laittomia. Jos Wi-Fi jammerin avulla lähetetään voimakasta laajaspektristä signaalia, Wi-Fi -verkon käyttöä estetään hyvin tehokkaasti. Useimmat Wi-Fi -verkon kontrollerit hälyttävät näissä tilanteissa tehokkaasti. Häiriö voidaan myös huomata kanavan käyttöasteesta (channel utilisation), joka nousee noin sataan prosenttiin. Spektrianalysaattorillakin havaitaan häiriötä helposti. Laajaspektristä häiriötä voidaan aiheuttaa myös tahattomasti, esim. videokameran striimillä.

Jos Funet-jäsenen tiloissa ilmenee tukiasemia, jotka käyttävät samaa SSID:tä kuin jäsenen oma Wi-Fi -verkko, voidaan mahdollisuuksien mukaan lähettää kehyksiä, joilla pakotetaan laitteet poistumaan tukiasemasta (disassosiation) tai uudelleenautentikoitumaan (deauthentication). Näin estetään laitteita liittymästä tähän  vale (rogue)-tukiaseman tarjoamaan Wi-Fi-verkkoon. Useimmat Enterprise-tason Wi-Fi -kontrollerit kykenevät tähän ja keino voidaan pitää organisaation tiloissa olevien laitteiden suojaustoimenpiteenä. Sen sijaan laitteita, jotka toimivat Wi-Fi -tukiasemina organisaation tiloissa eri SSID:llä, on jätettävä rauhaan. Wi-Fi toimii lisenssivapaalla alueella ja käytössä olevat taajuudet ei omisteta edes omissa tiloissa. Tämä koskee myös puhelimet, jotka jakavat mobiililaajakaistansa Wi-Fi-verkon yli (personal hotspot).

Dissassosiation- ja deautentication-kehyksillä voidaan Wi-Fi-verkon kontrollerin toimesta yrittää siirtää laitteita organisaation omaan verkkoon, pois vale-tukiasemasta mutta myös vale-tukiasema pystyy näiden kehyksien avulla estämään laitteiden liittymistä Wi-Fi -verkkoon. Suojauskeinona mainittakoon WPA3-salausten käyttöä organisaation Wi-Fi -verkossa, jolla saadaan suojattuja hallintakehyksiä (Protected Management Frame, PMF). Tukiaseman ja laitteen välistä viestintää ei voida häiritä dissassosiation ja/tai deauthentication-kehyksillä jos hallintakehykset eivät ole avoimia.

Vale-beacon kehyksillä ja nopeilla väärillä probe response-viesteillä voidaan saada aikaan samanlaisia häiriöitä kuin dissassosiation- ja deautentication-kehyksillä. Vastaavasti Wi-Fi -verkon kontrolleri voi yrittää häiritä vale-tukiasema niiden avulla. Viestintä verkon liittymisvaiheessa ei voida suojata.

Wi-Fi verkon toimivarmuuden kannalta on myös tärkeä tarkistaa että verkko on suunniteltu ja mitoitettu oikein, sähköposti- ja www-sivujen selailu vaatii n. 0,5-1 Mbps:n siirtonopeuden ja HD-videoiden katselu n. 2-5 Mbps. Jos kapasiteettia ei ole tarpeeksi, lopputulos voi olla hyvin lähellä sitä, mitä Wi-Fi jammerilla saataisiin aikaseksi.

Verkon optimoinnin kannalta saattaa olla järkevä verkkosuunnittelu ja -toteutusvaiheessa määritellä kanavat jokaiselle tukiasemalle. Häiriötilanteessa automaattinen kanavanmäärittely voi kuitenkin olla eduksi kapeaspektristen häiriöiden vaikutusten lieventämiseksi.

Lopuksi verkko ja verkon palvelut opetuksen, tenttien ja sisäänpääsykokeiden osalta on ajateltava kokonaisuutena. Hyvin kriittiset sovellukset esim. tenttien ja sisäänpääsykokeiden osalta voitaisiin mahdollisuuksien mukaan suunnitella niin, että ne eivät olisi riippuvaisia jatkuvasta verkkoyhteydestä, vaan vastaukset jätettäisiin osissa tai koen lopussa.

Lisää aiheesta:

• Wi-Fi Pineapple: https://shop.hak5.org/products/wifi-pineapple?srsltid=AfmBOoo92sjlnxTLqjG7fnvz7g45lFCeRaUQbXopb00RQ4EhHj5f4FMH

Mahdollisia kursseja:

• https://www.cwnp.com/certifications/cwna
• https://www.cwnp.com/certifications/cwsp

Funet on aikaisemmin järjestänyt CWNA-kursseja, jos sellaisia toivotaan jatkossakin laittakaa tietoa funyht@csc.fi :lle.