Аномалія типу «відмова в обслуговуванні» DoS (від англ. Denial of Service) є, як правило, мережевий атакою, проведеної зловмисником щодо мережного об’єкта, чиє аункционирование він бажає порушити (наприклад, уповільнити або припинити). Найбільш характерним проявом DoS є «затоплення» або flooding каналу зв’язку або конкретного мережного пристрою величезною кількістю мережевих пакетів. В залежності від типу пакетів, це може призвести до перевантаження каналу і, як наслідок, неможливості проходження по ньому легітимного трафіку, або до підвищеної завантаженні пристрою (заповнення доступного обсягу оперативної пам’яті і завантаження ресурсів процесора). DoS може бути проведено не лише шляхом відправки величезного числа пакетів. Можливі ситуації, коли його можна викликати малим числом пакетів. Це можливо у разі наявності специфічної уразливості в програмної або апаратної реалізації пристрою. Виявлення DoS у разі відправки величезного числа пакетів не представляє труднощів, на відміну від DoS, проведеного за допомогою незначної кількості пакетів. Необхідно відзначити, що існує ще різновид DoS, звана розподілена DoS (від англ. Distributed Denial of Service, DDoS). Цей тип DoS характерний участю величезного числа атакуючих мережевих пристроїв (рис. 1).

Оскільки середовище передачі в бездротових мережах є загальнодоступною, кожний з абонентів може зайняти її для ексклюзивного доступу. Ситуація дуже схожа на принцип роботи коаксіального Ethernet, коли в разі виходу з ладу термінатора або одного з мережевих адаптерів вставала вся мережа. В Інтернеті досить просто виявити кілька вільно розповсюджуваних пристроїв, що генерують в діапазоні 2,4 ГГц сигнал достатньої потужності для виведення з ладу WiFiсети.

На рис. 2 представлений огляд DoS атак, які можна здійснити в бездротових мережах Wi-fi стандарту IEEE 802.11. Результати цього огляду засновані на DoS-атаки, описаних у літературі. Показано, що DoS-атаки в бездротових мережах можуть вражати фізичний і канальний рівні, протоколи аутентифікації, вразливі місця операційної системи, а також драйвери і програмне забезпечення.

Атаки на фізичний рівень

Обладнання стандарту IEEE 802.11 використовує неліцензований спектр частот. Обладнання IEEE 802.11 b/g використовує 14 каналів по 5 МГц кожен в діапазоні частот від 2.412 ГГц до 2.484 ГГц. Обладнання IEEE 802.11 a використовує вісім каналів по 20 МГц кожен в діапазоні частот від 5.15 ГГц до 5.35 ГГц і чотири канали по 20 МГц у діапазоні частот 5.725 ГГц 5.825 ГГц. Будь-яка перешкода на ці діапазони частот порушить радіозв’язок між пристроями IEEE 802.11 і призведе до відмови в обслуговуванні. Коли перешкоди виробляються навмисно для порушення зв’язку, це називається як радіо, або радіочастотна перешкода (від англ. RFjamming). Це означає, що джерело перешкод знаходиться в межах поширення (рис. 3) і обумовлено двома основними факторами. По-перше, близькість джерела перешкод до приймача, і по-друге потужність передачі.

Для успішного проведення атаки, джерело перешкод (або атакуючий) повинен згенерувати сигнал, досить потужний, здатний заглушити основні частоти. При генерації сигналу-завади атакуючий може націлюватися на певну вузьку смугу частот, або якщо дозволяє потужність, більш широку. Сигнал-перешкода може передаватися безперервно або розраховуватися таким чином, щоб впливати в найбільш критичні моменти (наприклад, деякі системи виявлення та запобігання вторгнень в бездротових мережах намагаються запобігти дії зловмисника, проводячи перевірку підтверджень ACK, що є ефективним запобіганням атак на бездротову мережу). Використовувана атакуючим стратегія визначається частково, шляхом оцінки виду сигналу, генерованого обладнанням, характеристикою використовуваних антен, доступною потужністю, і побоюванням перед виявленням і захопленням нападника. РЧ-атаки є шумовими і атакуючий може бути встановлений шляхом використання спектральних аналізаторів. Бездротові мережі, як правило, уразливі від РЧ-перешкод. Бездротовий зв’язок по своїй натурі є радіомовленням. A такої радіосигнал легко заглушити або перехопити. Атакуючий фізично може підслухати або впливати на бездротову мережу.

Підслуховування: Підслуховування перехоплення і читання повідомлень чужими приймачами. Мобільні пристрої і мережі поділяють бездротову середу. Більшість радиосоединений використовує ВЧ-спектр і радіопередачу за своєю природою. Переглядати по радіо хвилях сигнали можуть бути легко перехоплені приймачами, налаштованими на відповідну частоту. Таким чином, передані повідомлення можуть подслушиваться і подмениваться підробленими повідомленнями.

Втручання і глушіння: Радіосигнал може бути заглушений, викликаючи спотворення або втрату переданого повідомлення. Якщо атакуючий має потужний передавач, генеруємий їм сигнал може «заглушити» передаваний сигнал і зруйнувати зв’язок.

Найбільш поширеними типами таких сигнальних перешкод є випадковий шум і пульсація. Бездротові мережі стандарту IEEE 802.11 використовують діапазон частот 2.4 ГГц, в той час як стандарт IEEE 802.16 використовує смуги частот на 211 ГГц і на 1066 ГГц на фізичному рівні. DoS атака проводиться на фізичний рівень при використанні радіообладнання або джерела сильного шуму, здатного заглушити фізичний канал, що в свою чергу ставить під загрозу сервісну доступність. Однак цей вид нападу не поширений, оскільки для цього необхідне спеціалізоване обладнання, яке може бути виявлено радиоанализатором.

Для того, щоб провести РЧатаку в:

• IEEE 802.11, атакуючий повинен бути близько до атакується точки доступу;

• IEEE 802.16, атакуючий повинен бути близько до атакується базової станції;

• WMN, атакуючий може провести атаку в будь-якому місці.

З-за великої зони покриття і досить щільного розташування маршрутизаторів бездротової мережі, мережі WMN більш уразливі від DoS-атак фізичного рівня. В даний час стандарт IEEE 802.11 використовує методи розширення спектру методом прямої послідовності DSSS (від англ. Direct Sequence Spread Spectrum) і псевдовипадковою перебудови робочої частоти FHSS (від англ. Frequency Hopping Spread Spectrum). Стандарт IEEE 802.16 використовує ортогональне частотне розділення каналів OFDM (від англ. Orthogonal Frequency Division Multiple Access) і масштабований доступ SOFDMA (від англ. Scalable OFDM access). Мережі WMN використовують OFDM і технологію UWB (від англ. Ultra wide band) для радіопередачі. Жодна з цих технологій не є достатнім для запобігання РЧ-атак на широкосмугові бездротові мережі.

Атаки на канальний рівень

Бездротові мережі чутливі не тільки до атак на фізичний рівень, але і до відсутності захисту цілісності і встановлення автентичності пакетів управління і контролю протоколу канального рівня MAC, а також від атак на несучу.

Атаки на канальному рівні дозволяють атакуючому розривати вибіркові з’єднання з точкою доступу. Найбільш поширені варіанти цих атак — відмови від асоціації і від аутентифікації (англ. deauthentication/disassociation). При здійсненні даного типу атак зловмисник посилає службові пакети «відмова від асоціації» від MAC-адреси точки доступу до клієнта і навпаки. Оскільки додаткова аутентифікація даних пакетів не потрібно, клієнт розриває поточне з’єднання з точкою доступу. Подібні атаки часто здійснюються як підготовча фаза атак на клієнтів бездротових мереж.

Базовий стандарт 802.11 визначає два типи мереж, що відрізняються конфігурацією: фіксованої (англ. Network Infrastructure) та довільного (англ. Ad Hoc Network) структури. На їх основі будуються різні варіанти топології: «точка-точка», «точка-багато точок»,

«кожен з кожним», «зірка», «міст» і т. д. Мережу з фіксованою структурою (рис. 4) складається з терміналів (зазвичай комп’ютерів з бездротовим мережним адаптером) і базових станцій, які отримали названиеточек доступу AP. В такій мережі точка доступу виконує роль моста між бездротовий і кабельної мережами, забезпечуючи прийом, накопичення і передачу даних абонентам. До магістральної лінії точки доступу підключаються з допомогою стандартної провідної лінії Ethernet. Подібно стільниковим осередкам, безліч точок доступу утворюють систему зв’язку, яка забезпечує послідовну ретрансляцію даних з однієї комірки в іншу.

Дальність дії приймачів залежить від висоти підйому антени і зазвичай становить від 20 до 500 м. Одна точка доступу забезпечує обслуговування від 15 до 250 абонентів в залежності від конфігурації мережі та технології доступу. Збільшити ємність мережі можна, просто додавши нові точки доступу, при цьому не тільки розширюється зона обслуговування, але і знижується ймовірність перевантаження. Для безперервного зв’язку при пересуванні абонента (хэндовера) точки доступу повинні утворювати накладання суміжні стільники. Конфігурація, що складається з однієї точки доступу разом з розташованими в зоні її дії терміналами, отримала назву базового сервісного набору BSS (від англ. Basic Service Set). Кілька перекриття BSS утворюють розширений сервісний набір ESS (від англ. Extended Service Set), що дозволяє побудувати підмережа. Відстань між станціями і точками доступу зазвичай не перевищує 100 м (воно залежить від швидкості передачі), а повна довжина WLAN обмежена довжиною магістральної лінії дротового розподіленої мережі.

Атака детектування несучої. Фізично, щоб зменшити коригування MAC операцій, стандарт IEEE 802.11 призначає це об’єкту управління станцією SME (від англ. Station Management Entity) стежить за параметрами мережі (рівнів опитування та контролю). Ці два рівня контрольовані SME називаються об’єктами управління MAC рівнем MLME (від англ. MAC Layer Management Entity) і фізичним рівнем PLME (від англ. PHY Layer Management Entity). Взаємодія об’єктів управління представлено на рис. 5.

Можливо використовувати додатковий режим PLME, при якому використовується бездротова мережева карта переводиться в тестовий режим і безперервно передає певну бітову послідовність на виділеному каналі. Таким чином, коли атакуюча станція (точка доступу) починає передавати цю послідовність, всі станції в межах зони покриття при оцінці стану фізичного каналу CCA (від англ. Clear Сhannel Assessment) будуть сигналізувати про зайнятість, поки атакуючий вузол не припинить. Експериментальні дослідження показують, що ефект такої атаки практично мгновенен і призводить до повного припинення передачі даних.

На рис. 6 п
редставлений ефект від CCA-атаки, спостережуваного протягом деякого часу при спостереженні спектральним аналізатором WiSpy компанії Metageek. LLC та графи були продемонстровані за допомогою EaKiu. Кожен малюнок являє собою аналіз 2.4 ГГц спектру, використовуваного обладнанням IEEE 802.11 b/g. За віссю x відкладено частоти каналу (канали з 1 по 14), по осі z — час, а по осі y — амплітуда сигналу.

Спектральний аналіз показує ефективність проведення CCA-атак у «вилучення» каналу бездротової мережі. Однак, такі атаки є галасливими, мають характерні особливості і можуть бути легко виявлені.

Атаки на мережевий рівень

Безліч атак, націлених на мережевий рівень, у великій мірі вивчені і висвітлені в науково-дослідних роботах. Нападаючи на протоколи маршрутизації, атакуючі можуть паралізувати трафік в мережі, проникати в з’єднання між вихідним і кінцевим пристроями, і таким чином керувати транспортним потоком мережі. Транспортні пакети можуть бути перенаправлені за неоптимальному або навіть по неіснуючому шляху, що призведе до суттєвої затримки чи більше того — втрати інформаційного пакета. Атакуючі можуть створити цикли маршрутизації, що приведе з сильною перевантаженні в певних областях мережі.

Порівняно зі стандартами IEEE 802.11b і IEEE 802.16, мережевий рівень меш-мереж WMN (від англ. Wireless Mesh Network) дуже вразливий від різних DoS-атак, внаслідок безлічі пристроїв в структурі мережі, оскільки число з’єднань збільшує витрати на маршрутизацію. DoS-атаки на мережевому рівні можуть серйозно зруйнувати механізм маршрутизації і погіршити продуктивність, вичерпуючи ресурси мережі. DoS-атаки мережевого рівня в WMN можуть поглинати весь трафік, що йде до заданого вузла, вибіркові пакети або порушити таблицю маршрутизації. Розподілені DoS-атаки (DDoS) здійсненні в WMN з-за його складної многопутевой структури. Оскільки стандарти IEEE 802.11b і IEEE 802.16 є мережами широкосмугового бездротового доступу з одним єдиною сполукою, що DDoS-атаки у них не можливі. Це означає, що на мережевому рівні, стандарти IEEE 802.11b і IEEE 802.16 більш безпечні в порівнянні з WMN.

Основні види атак, здійснювані на мережевому рівні можуть бути класифіковані наступним чином:

• Атака розкриття місцезнаходження: атакуючий збирає інформацію щодо місця розташування вузлів, структури мережі і карти маршрутизації. Як правило, проводиться перед атакою для планування сценарію нападу.

• Атаки перевантаження таблиці маршрутизації: відбуваються, коли атакуючий вузол рекомендує маршрути до неіснуючих вузлів. Це зазвичай відбувається в алгоритми маршрутизації, які періодично поновлюють інформацію про маршрутизації. Атакуючий пробує створити маршрути, що перешкоджають іншим.

• Атака в фазі обслуговування маршрутизації: ці атаки передають помилкові контрольні повідомлення (як, наприклад, повідомлення про порушення в каналі.

• Атаки на деякі протоколи маршрутизації: призначені деяким особливим протоколами маршрутизації, шляхом зміни в них початкового маршруту.

• Атака з допомогою тунелювання: спільна атака двох зловмисників шляхом використання процедури тунелювання і подальшою трансляцією пакетів з цього тунелю.

• Атака споживання ресурсів (відома як атака «позбавлення сну»): Атакуючий або скомпрометований вузол може зменшити термін служби акумулятора пристрою жертви, відправляючи непотрібні запити.

• Атаки у фазі пошуку маршрутизації: злочинні атаки маршрутизації, які служать для відкриття та обслуговування маршрутизації в обхід стандартних протоколів маршрутизації.

• Атака отруєння кеша маршрутизації: атакуючий використовує в своїх інтересах різні способи оновлення таблиць маршрутизації для перенаправлення цікавить трафіку.

• Атака в фазі пересилання даних: атакуючі вузли спільно з стандартним протоколом маршрутизації беруть участь у пересиланні даних, але не згідно таблиці маршрутизації. Атакуючий вузол може спокійно знищити пакети даних, змінити зміст і тд.

Атаки на транспортний рівень
Метою протоколів транспортного рівня, таких як TCP в мережах зв’язку, є встановлення безперервного зв’язку і достовірної доставки пакетів, а також управління потоками і перевантаженнями. Подібно протоколами TCP в Інтернеті, мобільний пристрій вразливе від класичної атаки SYN-flooding, яка полягає в надсилання великої кількості SYN-запитів (запитів на підключення по протоколу TCP) в досить короткий термін. Однак, бездротові мережі мають більш високий рівень помилок в каналі в порівнянні з дротяними мережами. Оскільки TCP немає ніякого механізму, щоб розрізнити, була втрата пакету викликана перевантаженням, випадковою помилкою, або зловмисної атакою, протокол поступово зменшує вікно до припинення втрат.

• Атака SYN-flooding: є DoS-атакою. Відповідно до процесу «триразової пересилання» протоколу TCP, клієнт посилає пакет з встановленим прапором SYN (англ. synchronize). У відповідь на нього сервер повинен відповісти комбінацією прапорів SYN+ACK (англ. acknowledges). Після цього клієнт повинен відповісти пакетом з прапором ACK, після чого з’єднання вважається встановленим. Принцип атаки полягає в тому, що зловмисник, посилаючи SYN-запити, переповнює на сервері (цілі атаки) черга на підключення. При цьому він ігнорує SYN+ACK-пакети сервера, не надсилаючи відповідні пакети, або підробляє заголовок пакета таким чином, що відповідь SYN+ACK відправляється на неіснуючу адресу. У черзі підключень з’являються так звані напіввідкриті з’єднання (англ. halfopen connection), чекають підтвердження від клієнта. Після закінчення певного таймауту ці підключення відкидаються. Завдання зловмисника полягає в тому, щоб підтримувати наповненість черзі таким чином, щоб не допустити нових підключень. З-за цього легітимні клієнти не зможуть встановити зв’язок, або встановлюють її з суттєвими затримками.

• Перехоплення сесії: заснований на тому факті, що більшість сполук захищені при установці сесії, але не після того. В атаці перехоплення TCP-сесії зловмисник маскується під IP-адресу жертви і продовжує сесію з потрібним вузлом. Перехоплення сесії по UDP аналогічний TCP, за винятком того, що зловмиснику немає необхідності обчислювати порядкові номери пакетів, оскільки цей протокол працює без встановлення з’єднання.

Атаки на прикладний рівень
У порівнянні з іншими рівнями прикладний рівень також вразливий з точки зору безпеки. На цьому рівні містяться користувальницькі дані, які зазвичай підтримувані безліччю протоколів, таких як HTTP, SMTP, TELNET і FTP, які містять безліч вразливостей. Атаки на прикладний рівень привабливими для зловмисників тим, що інформація, що міститься в додатках є основною метою для проведення атаки.

• Атаки за допомогою шкідливих програм: спеціально розроблені зловмисниками віруси, черв’яки, програми-шпигуни і трояни можуть вражати як операційні системи, так і додатки користувачів. Такі програми зазвичай поширюються через мережу і викликають перевантаження або навіть збої в роботі комп’ютерної мережі і системи в цілому.

• Атаки відмови: вся або частина комунікаційної системи перестає відповідати на зовнішні запити.

Багаторівневі атаки
Деякі атаки можуть бути направлені на кілька рівнів, замість якогось одного. Прикладами багаторівневих атак є відмова в обслуговуванні-DoS, «людина посередині» і імітують атаки.

•Відмова в обслуговуванні: такі атаки запускаються на декількох рівнях. На фізичному рівні атакуючий може використати заглушає сигнал, здатний порушити з’єднання. На канальному рівні, зловмисники можуть перехоплювати канали зв’язку, створюючи перешкоду для доступу іншим вузлам каналу. На мережевому рівні, процес маршрутизації може бути перерваний шляхом зміни пакетів управління, вибіркової втрати, переповнення

таблиці, або «отруєння». На транспортному і прикладному рівнях, атакуючий може використати SYN flooding, перехоплення сесії, і шкідливі програми, які викликають DoS-атаку.

• Імітують атаки: можуть бути запущені з іншого ідентичного вузла з таким же MAC або IP-адресою. Імітують атаки, як правило, є першим кроком більшості нападів, і використовуються для здійснення більш складною атаки.

• Атака «людина посередині»: атакуючий знаходиться між передавачем і приймачем і перехоплює будь пересилається інформацію. У деяких випадках атакуючий виконує роль передавача для з’єднання з приймачем, або роль приймача, щоб відповісти передавача.