Wprowadzenie do warstwy łącza danych

• Witam Państwa na naszym trzecim spotkaniu.
• Na poprzednim wykładzie zgłębiliśmy tajniki warstwy fizycznej w sieciach WLAN, zajmując się falami radiowymi, modulacją i wyzwaniami związanymi z medium bezprzewodowym.
• Dzisiaj wchodzimy o poziom wyżej w modelu OSI, do warstwy 2, czyli warstwy łącza danych.
• To właśnie tutaj chaos fal radiowych i strumieni bitów zamienia się w zorganizowaną, uporządkowaną komunikację.
• Dowiemy się, jak urządzenia identyfikują się w sieci, jak dane są pakowane w ramki i jak zarządzany jest dostęp do medium, aby umożliwić setkom urządzeń "kulturalną rozmowę" w eterze.

Most między światem fizyki a logiki

• Warstwa łącza danych pełni rolę kluczowego pośrednika.
• Odbiera ona pakiety z warstwy sieciowej (warstwy 3) i "pakuje" je w struktury zwane ramkami (frames), dodając do nich fizyczne adresy (adresy MAC) oraz informacje kontrolne.
• Jej głównym zadaniem jest zapewnienie niezawodnej transmisji danych w obrębie jednego segmentu sieci lokalnej, czyli między urządzeniami, które "słyszą się" nawzajem bezpośrednio lub przez punkt dostępowy.
• Odpowiada również za kontrolę dostępu do medium (kto i kiedy może nadawać), a także za podstawową detekcję błędów, które mogły powstać w warstwie fizycznej.
• To mózg operacji w każdej sieci LAN.

Podział obowiązków w warstwie 2

• Standard IEEE dzieli warstwę łącza danych na dwie podwarstwy, aby lepiej zorganizować jej funkcje.
• Pierwsza, wyższa podwarstwa to LLC (Logical Link Control).
• Jej zadaniem jest utrzymanie jednego, spójnego interfejsu dla warstwy sieciowej, niezależnie od tego, jaka technologia fizyczna jest używana poniżej (czy to Ethernet, Wi-Fi, czy Token Ring).
• Druga, niższa i znacznie bardziej złożona w kontekście WLAN, to podwarstwa MAC (Media Access Control).
• To ona jest "sercem" Wi-Fi w warstwie 2.
• Odpowiada za wszystko, co związane z medium: adresowanie za pomocą adresów MAC, implementację protokołu CSMA/CA, ramkowanie danych oraz szyfrowanie i deszyfrowanie.

"Dowód osobisty" karty sieciowej

• Podobnie jak w przewodowym Ethernecie, podstawowym identyfikatorem urządzenia w sieci Wi-Fi jest jego adres MAC (Media Access Control).
• Jest to 48-bitowy, unikalny numer przypisany na stałe do interfejsu sieciowego przez producenta.
• Każde urządzenie zdolne do komunikacji w sieci Wi-Fi – laptop, smartfon, telewizor czy nawet inteligentna żarówka – posiada swój własny adres MAC.
• To właśnie ten adres jest używany w warstwie 2 do kierowania ramek do konkretnego odbiorcy w tej samej sieci lokalnej.
• Bez adresów MAC komunikacja w sieci Wi-Fi byłaby niemożliwa, gdyż nie byłoby wiadomo, kto jest nadawcą, a kto docelowym odbiorcą przesyłanych danych.

"Koperta" dla danych bezprzewodowych

• O ile koncepcja ramki jest taka sama jak w Ethernecie, o tyle jej struktura w standardzie 802.11 (Wi-Fi) jest znacznie bardziej skomplikowana.
• Wynika to z natury medium bezprzewodowego.
• Ramka Wi-Fi musi zawierać o wiele więcej informacji kontrolnych, aby poradzić sobie z takimi problemami, jak konieczność potwierdzania odbioru, zarządzanie połączeniem, obsługa trybu oszczędzania energii czy roaming.
• Nagłówek ramki 802.11 jest znacznie większy i bardziej rozbudowany niż w prostej ramce ethernetowej.
• Zrozumienie jego budowy jest kluczowe do zrozumienia, jak naprawdę działa Wi-Fi na niskim poziomie.

Anatomia ramki Wi-Fi

• Każda ramka 802.11 składa się z trzech głównych części.
• Pierwszą jest nagłówek MAC, który jest najbardziej rozbudowany.
• Zawiera on pole kontrolne (Frame Control) definiujące typ i funkcję ramki, pole Duration/ID używane przez mechanizm CSMA/CA, a także kilka pól adresowych.
• Drugą częścią jest ciało ramki (Frame Body), które przenosi właściwe dane – albo dane użytkownika z wyższych warstw, albo informacje zarządcze.
• Trzecią i ostatnią częścią jest suma kontrolna (Frame Check Sequence - FCS), czyli 32-bitowa wartość, która pozwala odbiornikowi sprawdzić, czy ramka nie została uszkodzona podczas transmisji.

"Mózg" ramki

• Pierwsze dwa bajty nagłówka MAC to pole Frame Control.
• Jest to zbiór flag i małych pól, które definiują, czym jest dana ramka i jak należy ją traktować.
• Znajdziemy tu między innymi wersję protokołu.
• Najważniejsze są jednak pola Type i Subtype, które razem określają dokładny rodzaj ramki.
• To one mówią nam, czy jest to ramka z danymi, ramka kontrolna (np. potwierdzenie ACK), czy może ramka zarządcza (np. Beacon).
• Inne flagi w tym polu informują na przykład o tym, czy ramka jest fragmentem większej całości, czy będzie retransmitowana, czy klient jest w trybie oszczędzania energii, a także czy dane są szyfrowane (flaga Protected Frame).

Dane, kontrola i zarządzanie

• Ramki zarządcze (Management Frames): Służą do budowania i utrzymywania połączeń. To one odpowiadają za odnajdywanie sieci, przyłączanie i odłączanie klientów. Przykłady to ramki Beacon, Probe Request/Response czy Association Request.
• Ramki kontrolne (Control Frames): Pomagają w dostarczaniu danych i zarządzaniu dostępem do medium. Są zazwyczaj bardzo krótkie i służą głównie do potwierdzania odbioru (ACK) lub rezerwacji kanału (RTS/CTS).
• Ramki danych (Data Frames): To one przenoszą właściwy ładunek (payload) użytkownika z wyższych warstw modelu OSI, czyli fragmenty stron internetowych, e-maili czy rozmów wideo.

Dlaczego więcej niż w Ethernecie?

• Jedną z najbardziej mylących różnic w stosunku do Ethernetu jest system adresowania.
• Podczas gdy ramka ethernetowa ma tylko dwa adresy MAC (źródłowy i docelowy), ramka 802.11 ma miejsce aż na cztery adresy MAC (Address 1, 2, 3, 4).
• Dlaczego? Wynika to z faktu, że w sieci Wi-Fi nadawca i odbiorca nie zawsze komunikują się ze sobą bezpośrednio.
• Komunikacja niemal zawsze przechodzi przez pośrednika – punkt dostępowy (AP).
• Potrzebujemy więc adresów nie tylko oryginalnego nadawcy i ostatecznego odbiorcy, ale także urządzeń, które bezpośrednio uczestniczą w transmisji radiowej.

Kto jest kim w komunikacji?

• DA (Destination Address): Adres MAC ostatecznego odbiorcy pakietu.
• SA (Source Address): Adres MAC pierwotnego nadawcy pakietu.
• RA (Receiver Address): Adres MAC urządzenia, które fizycznie odbiera ramkę radiową.
• TA (Transmitter Address): Adres MAC urządzenia, które fizycznie nadaje ramkę radiową.
• BSSID (Basic Service Set Identifier): Adres MAC punktu dostępowego, który identyfikuje daną sieć bezprzewodową (BSS).

Ramka w drodze do sieci przewodowej

• Rozważmy najczęstszy przypadek: klient Wi-Fi wysyła dane do serwera w sieci przewodowej.
• Flagi w polu Frame Control będą ustawione na ToDS=1 (ramka idzie DO Distribution System, czyli do sieci przewodowej przez AP) i FromDS=0 (nie idzie OD sieci przewodowej).
• W tym scenariuszu trzy pola adresowe są używane następująco:
• Address 1 (RA): Adres MAC punktu dostępowego, bo to on odbiera falę radiową.
• Address 2 (TA): Adres MAC klienta, bo to on nadaje falę radiową.
• Address 3 (DA): Adres MAC serwera docelowego w sieci przewodowej.
• W tym przypadku pole Address 4 nie jest używane.

Ramka z sieci przewodowej do klienta

• Teraz sytuacja odwrotna: serwer z sieci przewodowej wysyła dane do klienta Wi-Fi.
• Ramka radiowa jest generowana przez punkt dostępowy.
• Flagi będą ustawione na ToDS=0 (ramka nie idzie DO sieci przewodowej) i FromDS=1 (idzie OD sieci przewodowej).
• Pola adresowe mają następujące znaczenie:
• Address 1 (RA): Adres MAC klienta, bo to on jest docelowym odbiorcą fali radiowej.
• Address 2 (TA): Adres MAC punktu dostępowego, bo to on fizycznie nadaje ramkę.
• Address 3 (SA): Adres MAC serwera, czyli pierwotnego nadawcy danych.
• Ponownie, pole Address 4 nie jest używane.
• Zauważmy, że Address 2 (TA) pełni tu również rolę BSSID.

Podstawowy klocek sieci Wi-Fi

• Podstawową jednostką organizacyjną w sieci Wi-Fi jest BSS (Basic Service Set).
• Jest to zbiór stacji bezprzewodowych (klientów), które komunikują się ze sobą.
• W najpopularniejszym trybie, zwanym trybem infrastruktury, BSS składa się z jednego punktu dostępowego (AP) oraz wszystkich klientów z nim skojarzonych.
• AP działa jako centralny koordynator, zarządzając całą komunikacją wewnątrz BSS.
• Wszystkie ramki wymieniane między klientami w tym samym BSS muszą przejść przez AP.
• Każdy BSS jest unikalnie identyfikowany przez swój BSSID, który w trybie infrastruktury jest po prostu adresem MAC punktu dostępowego.

Nazwa sieci a jej "numer rejestracyjny"

• Często mylone pojęcia SSID i BSSID pełnią zupełnie inne role.
• SSID (Service Set Identifier) to po prostu tekstowa nazwa sieci, którą widzimy na liście dostępnych sieci Wi-Fi (np. "Dom", "Kawiarnia_WiFi").
• Jest to nazwa przyjazna dla człowieka.
• Natomiast BSSID (Basic Service Set Identifier) to unikalny, 48-bitowy identyfikator danego BSS, który ma format adresu MAC.
• W sieciach z jednym AP, BSSID jest równy adresowi MAC tego AP.
• W większych sieciach, gdzie wiele punktów dostępowych rozgłasza tę samą nazwę SSID (np. na uczelni), każdy AP tworzy osobny BSS z własnym, unikalnym BSSID.
• To właśnie BSSID, a nie SSID, jest używany przez urządzenia do jednoznacznej identyfikacji sieci na poziomie warstwy 2.

Budowanie dużych sieci Wi-Fi

• Gdy chcemy pokryć zasięgiem większy obszar, np. cały budynek biurowy lub kampus uniwersytecki, jeden punkt dostępowy nie wystarczy.
• Wtedy tworzymy ESS (Extended Service Set).
• ESS to zbiór dwóch lub więcej BSS (czyli wielu punktów dostępowych), które są ze sobą połączone siecią przewodową (zwaną Systemem Dystrybucyjnym - DS) i rozgłaszają tę samą nazwę sieci (SSID).
• Z perspektywy klienta, cała sieć ESS wygląda jak jedna, duża sieć.
• Umożliwia to użytkownikom przemieszczanie się po całym obszarze i płynne przełączanie się między punktami dostępowymi bez utraty połączenia.
• Proces ten nazywamy roamingiem.

Jak powstaje połączenie?

• Zanim jakakolwiek ramka z danymi zostanie wysłana, urządzenia muszą najpierw znaleźć sieć i nawiązać połączenie.
• Cały ten proces jest obsługiwany przez ramki zarządcze (Management Frames).
• Są one wymieniane między klientem a punktem dostępowym w postaci jawnego tekstu i nie są szyfrowane (nawet w zabezpieczonych sieciach, z wyjątkiem najnowszych standardów).
• To właśnie te ramki pozwalają na odkrywanie sieci, negocjowanie parametrów połączenia, uwierzytelnianie i kojarzenie (asocjację).
• Bez nich sieć Wi-Fi po prostu by nie działała.
• Przeanalizujmy najważniejsze z nich.

"Latarnia morska" sieci Wi-Fi

• Ramka Beacon jest najważniejszą ramką zarządczą.
• Jest ona okresowo (domyślnie 10 razy na sekundę) rozgłaszana przez punkt dostępowy, aby informować o istnieniu sieci i jej parametrach.
• Działa jak latarnia morska, która mówi wszystkim w okolicy: "Tu jestem, nazywam się tak i tak, i oferuję takie usługi".
• Ramka Beacon zawiera mnóstwo informacji, m.in. nazwę sieci (SSID), BSSID, obsługiwane prędkości, numer kanału, na którym działa sieć, a także informacje o wymaganych zabezpieczeniach (np. czy sieć używa WPA2/WPA3).
• Dzięki ramkom Beacon nasze urządzenia mogą pasywnie skanować otoczenie i budować listę dostępnych sieci bez potrzeby aktywnego wysyłania zapytań.

Jak klient znajduje sieć?

• Urządzenie klienckie może znaleźć dostępne sieci na dwa sposoby.
• Pierwszy to skanowanie pasywne, które polega po prostu na nasłuchiwaniu na każdym kanale przez pewien czas w oczekiwaniu na ramki Beacon od punktów dostępowych.
• Jest to metoda energooszczędna, ale wolniejsza.
• Drugi sposób to skanowanie aktywne.
• Klient nie czeka na Beacon, lecz sam wysyła na każdym kanale ramkę zarządczą typu Probe Request ("Czy jest tu jakaś sieć?").
• Punkty dostępowe, które odbiorą to zapytanie, odpowiadają ramką Probe Response, która zawiera te same informacje, co ramka Beacon.
• Skanowanie aktywne jest szybsze, ale zużywa więcej energii.

"Czy mogę z tobą rozmawiać?"

• Po znalezieniu sieci, pierwszym krokiem do nawiązania połączenia jest uwierzytelnienie (authentication).
• Jest to proces, w którym klient i punkt dostępowy formalnie "przedstawiają się" sobie.
• Warto podkreślić, że w historycznym ujęciu standardu 802.11, ten etap nie miał nic wspólnego z podawaniem hasła!
• Domyślną i powszechnie stosowaną metodą było tzw. uwierzytelnienie otwarte (Open System Authentication), które polegało na prostej wymianie dwóch ramek: klient wysyłał "Authentication Request", a AP niemal zawsze odpowiadał "Authentication Success".
• Prawdziwa weryfikacja tożsamości (np. za pomocą hasła) odbywa się dopiero na późniejszych etapach, w ramach procedur bezpieczeństwa takich jak WPA2/WPA3.

"Czy mogę dołączyć do twojej sieci?"

• Po pomyślnym uwierzytelnieniu następuje kluczowy proces asocjacji (association).
• Klient wysyła do punktu dostępowego ramkę Association Request.
• W tej ramce klient informuje AP o swoich możliwościach, np. jakie prędkości i standardy obsługuje.
• Punkt dostępowy, po otrzymaniu takiej prośby, decyduje, czy przyjąć klienta.
• Jeśli tak, rezerwuje dla niego zasoby (np. pamięć) i odpowiada ramką Association Response ze statusem "Success".
• W odpowiedzi AP przydziela klientowi unikalny numer identyfikacyjny, zwany AID (Association ID).
• Dopiero od tego momentu klient jest w pełni członkiem sieci (BSS) i może zacząć wysyłać i odbierać ramki danych.

Potwierdzenia w zawodnym medium

• Medium radiowe jest z natury zawodne – ramki mogą zostać uszkodzone przez zakłócenia lub nie dotrzeć do celu z powodu przeszkód.
• Dlatego, w przeciwieństwie do przewodowego Ethernetu, w Wi-Fi niemal każda wysłana ramka unicast (do jednego odbiorcy) musi zostać jawnie potwierdzona.
• Do tego służą ramki kontrolne (Control Frames).
• Są one bardzo krótkie i mają najwyższy priorytet w dostępie do medium.
• Najważniejszą z nich jest ramka ACK (Acknowledgement).
• Gdy stacja odbierze poprawną ramkę danych lub zarządczą, natychmiast odsyła nadawcy krótką ramkę ACK.
• Jeśli nadawca nie otrzyma ACK w określonym czasie, zakłada, że ramka zaginęła i próbuje ją wysłać ponownie (retransmisja).

Rezerwacja czasu antenowego

• Jak pamiętamy z poprzedniego wykładu, w sieciach Wi-Fi występuje problem ukrytej stacji.
• Aby mu zaradzić, warstwa 2 implementuje opcjonalny mechanizm oparty na dwóch ramkach kontrolnych: RTS (Request to Send) i CTS (Clear to Send).
• Stacja, która chce wysłać dużą ramkę danych, może najpierw wysłać do AP krótką ramkę RTS, "pytając o pozwolenie na nadawanie".
• AP, jeśli medium jest wolne, odpowiada ramką CTS, którą rozgłasza do wszystkich w swoim zasięgu.
• Wszystkie stacje, które usłyszą CTS (nawet te "ukryte" dla pierwotnego nadawcy), wiedzą, że muszą zamilknąć na czas określony w ramce, rezerwując w ten sposób kanał dla transmisji danych.

Transport właściwego ładunku

• Wreszcie dochodzimy do ramek, dla których istnieje cała ta skomplikowana maszyneria – ramek danych (Data Frames).
• Ich głównym zadaniem jest przenoszenie ładunku z warstw wyższych, czyli pakietów IP.
• Najprostsza ramka danych po prostu zawiera pakiet i jest wysyłana do odbiorcy.
• Jednak standard 802.11 definiuje wiele podtypów ramek danych, które obsługują dodatkowe funkcje.
• Na przykład, istnieją specjalne ramki danych z obsługą QoS (Quality of Service), które niosą informacje o priorytecie ruchu (np. dla VoIP).
• Inne podtypy służą do obsługi fragmentacji lub są używane w bardziej zaawansowanych topologiach sieciowych.

Cięcie i sklejanie dla wydajności

• Warstwa MAC w Wi-Fi stosuje dwie przeciwstawne, ale równie ważne techniki optymalizacyjne.
• Fragmentacja to proces dzielenia dużej ramki na mniejsze fragmenty, z których każdy jest wysyłany i potwierdzany osobno.
• Robi się to w środowiskach o wysokim poziomie zakłóceń.
• Prawdopodobieństwo, że mały fragment zostanie uszkodzony, jest mniejsze niż w przypadku dużej ramki.
• W razie błędu trzeba retransmitować tylko mały fragment, a nie całość.
• Agregacja, wprowadzona w nowszych standardach (802.11n/ac/ax), to proces odwrotny.
• Polega na "sklejaniu" wielu małych ramek w jedną dużą transmisję, aby zminimalizować narzut związany z nagłówkami i procedurą dostępu do medium.

Potwierdzanie całej paczki naraz

• Standardowy mechanizm potwierdzania każdej pojedynczej ramki z osobną (ramka -> ACK -> ramka -> ACK...) generuje ogromny narzut i jest nieefektywny przy wysokich prędkościach.
• Dlatego standard 802.11n wprowadził mechanizm Block Acknowledgement.
• Pozwala on nadawcy na wysłanie całej serii ramek (tzw. "burst") jedna po drugiej, z krótkimi przerwami.
• Odbiorca, zamiast potwierdzać każdą ramkę z osobną, po odebraniu całej serii odsyła jedną ramkę kontrolną – Block Ack – która zawiera mapę bitową informującą, które ramki z serii dotarły poprawnie, a które nie.
• Dzięki temu nadawca musi retransmitować tylko te brakujące.
• To kluczowa optymalizacja dla nowoczesnego, szybkiego Wi-Fi.

Jak urządzenia mobilne oszczędzają baterię?

• Urządzenia zasilane bateryjnie nie mogą sobie pozwolić na ciągłe nasłuchiwanie medium radiowego.
• Warstwa MAC standardu 802.11 definiuje mechanizm Power Save Mode.
• Klient, który chce przejść w tryb uśpienia, informuje o tym punkt dostępowy, ustawiając flagę "Power Mgt" w polu Frame Control.
• Od tego momentu AP wie, że nie może wysyłać do tego klienta ramek w dowolnym momencie.
• Zamiast tego buforuje je.
• Klient okresowo wybudza się, aby nasłuchać ramek Beacon.
• W ramce Beacon znajduje się specjalna mapa (TIM - Traffic Indication Map), która informuje uśpionych klientów, czy AP ma dla nich zbuforowane dane.
• Jeśli tak, klient wybudza się całkowicie, aby je odebrać.

Ochrona otwartego medium

• Ponieważ medium radiowe jest z natury otwarte dla wszystkich w zasięgu, zabezpieczenie komunikacji na poziomie warstwy 2 jest absolutnie kluczowe.
• Bez tego każdy mógłby nie tylko podsłuchać całą naszą transmisję, ale również podłączyć się do naszej sieci i uzyskać dostęp do lokalnych zasobów.
• Historia bezpieczeństwa Wi-Fi to historia ciągłego wyścigu zbrojeń między twórcami standardów a hakerami.
• Zaczęło się od fatalnie zaprojektowanego standardu WEP, który dziś można złamać w kilka minut, a doszliśmy do silnego standardu WPA3, który oferuje solidną ochronę.
• Wszystkie te mechanizmy działają w podwarstwie MAC.

Jak nie projektować bezpieczeństwa

• Standard WEP (Wired Equivalent Privacy) był pierwszą próbą zabezpieczenia sieci Wi-Fi.
• Jego celem było zapewnienie prywatności "równoważnej z siecią przewodową".
• Niestety, jego projekt zawierał fundamentalne błędy kryptograficzne.
• Używał on słabego, statycznego klucza oraz wadliwego algorytmu szyfrowania strumieniowego RC4.
• Błędy te pozwalały na pasywne zbieranie ramek i, po przeanalizowaniu odpowiedniej ich liczby, odtworzenie klucza sieciowego w ciągu zaledwie kilku minut przy użyciu łatwo dostępnych narzędzi.
• WEP jest dziś uważany za całkowicie złamany i jego używanie jest równoznaczne z posiadaniem otwartej, niezabezpieczonej sieci.

Nowe, lepsze standardy

• W odpowiedzi na słabości WEP, opracowano standard WPA (Wi-Fi Protected Access).
• Był on pomyślany jako tymczasowe rozwiązanie, które można było wdrożyć na istniejącym sprzęcie poprzez aktualizację oprogramowania.
• Wprowadził on protokół TKIP (Temporal Key Integrity Protocol), który dynamicznie zmieniał klucze dla każdej ramki, łatając największe dziury WEP.
• Krótko po nim pojawił się finalny, silny standard WPA2.
• Wymagał on już nowego sprzętu, ponieważ wprowadzał znacznie bezpieczniejszy i bardziej wymagający obliczeniowo protokół CCMP, oparty na uznanym algorytmie szyfrowania AES (Advanced Encryption Standard).
• WPA2 przez ponad dekadę był złotym standardem bezpieczeństwa w sieciach Wi-Fi.

Hasło dla wszystkich czy indywidualne loginy?

• Zarówno WPA, jak i WPA2 działają w dwóch trybach.
• Tryb Personal, znany też jako WPA-PSK (Pre-Shared Key), jest przeznaczony dla domów i małych biur.
• Cała sieć jest zabezpieczona jednym, wspólnym hasłem, które znają wszyscy użytkownicy.
• Jest to rozwiązanie proste w konfiguracji.
• Tryb Enterprise, znany też jako WPA-802.1X, jest przeznaczony dla dużych organizacji.
• Nie ma tu jednego wspólnego hasła.
• Każdy użytkownik uwierzytelnia się za pomocą swoich indywidualnych poświadczeń (np. loginu i hasła lub certyfikatu), które są weryfikowane przez centralny serwer uwierzytelniający (RADIUS).
• Daje to znacznie większą kontrolę i bezpieczeństwo.

Generowanie kluczy do szyfrowania

• Jak z jednego hasła (PSK) tworzone są klucze do szyfrowania każdej sesji?
• Służy do tego proces zwany 4-Way Handshake, który odbywa się zaraz po asocjacji klienta.
• Jest to wymiana czterech specjalnych ramek między klientem a punktem dostępowym.
• W trakcie tego "uścisku dłoni", obie strony, używając hasła sieciowego (PSK) oraz losowo wygenerowanych liczb, niezależnie od siebie dochodzą do tego samego klucza sesji (PTK - Pairwise Transient Key).
• Ten klucz jest unikalny dla każdej sesji i każdego klienta i to właśnie on jest używany do szyfrowania wszystkich danych przesyłanych między tym klientem a AP.
• Dzięki temu, nawet jeśli dwie osoby znają hasło do sieci, ich transmisje są szyfrowane innymi kluczami.

Odpowiedź na współczesne zagrożenia

• Standard WPA3, wprowadzony w 2018 roku, stanowi najważniejszą aktualizację bezpieczeństwa Wi-Fi od czasów WPA2.
• W trybie Personal zastępuje on PSK nowym protokołem SAE (Simultaneous Authentication of Equals), znanym też jako Dragonfly.
• SAE jest znacznie bardziej odporny na ataki słownikowe (offline dictionary attacks), które były główną słabością WPA2-PSK.
• Nawet jeśli atakujący przechwyci proces "uścisku dłoni", nie jest w stanie odgadnąć hasła, próbując miliony kombinacji offline.
• WPA3 wprowadza również inne ulepszenia, w tym silniejsze szyfrowanie dla sieci korporacyjnych oraz łatwiejsze i bezpieczniejsze konfigurowanie urządzeń bez wyświetłączy (IoT).

Bezpieczeństwo w otwartych sieciach Wi-Fi

• Jednym z największych zagrożeń zawsze były otwarte, niezabezpieczone sieci Wi-Fi, np. w kawiarniach czy na lotniskach.
• Każdy w zasięgu mógł podsłuchać transmisję innych użytkowników.
• WPA3 wprowadza rozwiązanie tego problemu, zwane Enhanced Open lub OWE (Opportunistic Wireless Encryption).
• Z perspektywy użytkownika sieć nadal wygląda na otwartą – nie wymaga podawania hasła.
• Jednak w tle, w sposób niewidoczny, klient i punkt dostępowy używają specjalnego mechanizmu (opartego na kryptografii krzywych eliptycznych), aby wynegocjować unikalny klucz i zaszyfrować całą komunikację między sobą.
• Zapewnia to prywatność i chroni przed pasywnym podsłuchiwaniem, nawet w publicznych hotspotach.

Iluzja bezpieczeństwa

• Jedną z często spotykanych, lecz w dużej mierze nieskutecznych, metod "zabezpieczania" sieci jest filtrowanie adresów MAC.
• Polega ono na stworzeniu na punkcie dostępowym "białej listy" adresów MAC, którym wolno połączyć się z siecią.
• Wszystkie inne urządzenia są blokowane.
• Choć na pierwszy rzut oka wydaje się to rozsądne, w praktyce jest to bardzo słabe zabezpieczenie.
• Adresy MAC są przesyłane w ramkach zarządczych w postaci jawnego tekstu.
• Atakujący może łatwo nasłuchać ruchu, przechwycić adres MAC uprawnionego klienta, a następnie "sklonować" go (tzw. MAC spoofing) i bez problemu połączyć się z siecią.
• Filtrowanie MAC może powstrzymać przypadkowego użytkownika, ale nie stanowi żadnej przeszkody dla zdeterminowanego intruza.

Kolejna iluzja bezpieczeństwa

• Inną popularną, lecz również nieskuteczną metodą jest ukrywanie SSID.
• Polega to na skonfigurowaniu punktu dostępowego tak, aby nie rozgłaszał nazwy sieci w ramkach Beacon.
• Sieć staje się "niewidoczna" na standardowej liście dostępnych sieci.
• Jednak, podobnie jak filtrowanie MAC, nie jest to prawdziwe zabezpieczenie.
• Nazwa SSID wciąż jest przesyłana jawnym tekstem w innych ramkach zarządczych, np. w Probe Request od klientów próbujących połączyć się z ukrytą siecią oraz w Probe Response od AP.
• Atakujący może pasywnie nasłuchiwać i bardzo szybko odkryć nazwę "ukrytej" sieci.
• Co więcej, zmusza to urządzenia klienckie do ciągłego, aktywnego rozgłaszania nazw ukrytych sieci, z którymi kiedykolwiek się łączyły, co samo w sobie stanowi ryzyko dla prywatności.

Paraliżowanie sieci w warstwie 2

• Jednym z najprostszych i najbardziej dotkliwych ataków na sieci Wi-Fi jest atak deautentykacyjny (deauthentication attack).
• Wykorzystuje on fakt, że ramki zarządcze (w tym ramka Deauthentication) nie są w starszych standardach uwierzytelniane.
• Atakujący może wysłać sfałszowaną ramkę Deauthentication do klienta, podszywając się pod punkt dostępowy (lub do AP, podszywając się pod klienta).
• Urządzenie, które otrzyma taką ramkę, jest przekonane, że druga strona zerwała połączenie, i natychmiast się rozłącza.
• Atakujący, wysyłając takie ramki w pętli, może permanentnie uniemożliwić klientom korzystanie z sieci.
• Jest to bardzo skuteczny atak typu DoS (Denial of Service) na warstwę 2.
• Standard WPA3 wprowadza ochronę przed tym atakiem.

Łączenie dwóch światów

• Z perspektywy modelu OSI, punkt dostępowy (AP) działa jak zaawansowany most (bridge) warstwy 2.
• Jego podstawowym zadaniem jest inteligentne przekazywanie ramek między dwoma różnymi mediami: bezprzewodowym (802.11) a przewodowym (802.3 Ethernet).
• Gdy AP odbiera ramkę radiową od klienta, "rozpakowuje" ją z nagłówka 802.11, analizuje docelowy adres MAC, a następnie "przepakowuje" dane w ramkę ethernetową 802.3 i wysyła ją do sieci przewodowej.
• Proces odwrotny zachodzi w drugą stronę.
• AP utrzymuje tablicę adresów MAC, ucząc się, które klienci są z nim skojarzeni, aby wiedzieć, które ramki z sieci przewodowej przekazać do świata bezprzewodowego.

Wiele sieci z jednego pudełka

• Nowoczesne punkty dostępowe potrafią tworzyć tzw. wirtualne AP, co jest realizowane przez funkcję Multiple BSSID.
• Pozwala to jednemu fizycznemu urządzeniu na rozgłaszanie wielu niezależnych sieci Wi-Fi (SSID) jednocześnie.
• Każda z tych wirtualnych sieci ma swój unikalny BSSID (zwykle tworzony przez zmianę kilku bitów w głównym adresie MAC AP) i może mieć zupełnie inne ustawienia, np. inną nazwę, inne zabezpieczenia (jedna sieć otwarta, druga z WPA3) czy przypisanie do innej sieci VLAN.
• Z perspektywy klienta, każda z tych sieci wygląda jak osobny, niezależny punkt dostępowy.
• Jest to niezwykle użyteczna funkcja do logicznego segmentowania użytkowników.

Segmentacja logiczna w sieci bezprzewodowej

• Wirtualne sieci lokalne (VLAN) to mechanizm warstwy 2, który pozwala na podzielenie jednej fizycznej sieci na wiele logicznie odizolowanych podsieci.
• W kontekście Wi-Fi, VLAN-y są nierozerwalnie związane z funkcją Multiple BSSID.
• Najczęstszy scenariusz to przypisanie każdego wirtualnego SSID do innego numeru VLAN.
• Gdy klient połączy się z SSID "Goscie" (przypisanym do VLAN 20), punkt dostępowy, przekazując jego ramki do sieci przewodowej, "otaguje" je znacznikiem 802.1Q z numerem VLAN 20.
• Dzięki temu przełączniki w sieci przewodowej wiedzą, że ruch od tego klienta należy tylko do segmentu dla gości i jest odizolowany od wewnętrznej sieci firmowej (np. VLAN 10).

Płynne przechodzenie między AP

• Roaming to proces, w którym klient Wi-Fi, przemieszczając się, przełącza się z jednego punktu dostępowego (BSS) do drugiego w ramach tej samej sieci (ESS).
• Decyzja o roamingu, jak pamiętamy, jest podejmowana na podstawie metryk z warstwy 1 (spadek RSSI).
• Jednak sam proces przełączenia to operacja czysto w warstwie 2.
• Klient, po znalezieniu silniejszego AP, wysyła do niego ramkę Reassociation Request (zamiast zwykłej Association Request).
• Nowy AP komunikuje się ze starym AP poprzez sieć przewodową, aby poinformować go o "przejęciu" klienta i pobrać ewentualne zbuforowane dla niego dane.
• Celem jest, aby cały proces odbył się tak szybko i płynnie, aby użytkownik nie zauważył przerwy w łączności.

Usprawnianie roamingu

• Standardowy proces roamingu może czasem trwać zbyt długo, powodując przerwy w aplikacjach wrażliwych na opóźnienia, jak rozmowy VoIP.
• Aby temu zaradzić, wprowadzono zestaw poprawek do standardu 802.11, znanych jako 802.11k, 802.11r i 802.11v.
• 802.11k (Radio Resource Measurement): AP dostarcza klientowi listę sąsiednich AP i ich kanałów, dzięki czemu klient nie musi skanować wszystkich kanałów w poszukiwaniu kandydatów do roamingu.
• 802.11r (Fast BSS Transition): Upraszcza i przyspiesza proces uwierzytelniania z nowym AP, przechowując klucze w pamięci podręcznej.
• 802.11v (Wireless Network Management): Pozwala sieci "sugerować" klientowi, kiedy i do którego AP powinien się przełączyć, co umożliwia lepsze równoważenie obciążenia.

Priorytety w warstwie 2

• Aby zapewnić jakość usług (QoS - Quality of Service) dla różnych typów ruchu, standard 802.11e wprowadził rozszerzenie WMM (Wi-Fi Multimedia).
• Działa ono w warstwie MAC i dzieli ruch na cztery kategorie dostępu (Access Categories - AC).
• Każda kategoria ma inne parametry dostępu do medium (CSMA/CA), co daje jej inny priorytet.
• Ramki głosowe (AC_VO) mają najwyższy priorytet – używają krótszych przerw międzyramkowych i mniejszych okien rywalizacji, dzięki czemu mają większą szansę na szybsze uzyskanie dostępu do kanału niż ramki z danymi w tle (AC_BK).
• To właśnie WMM sprawia, że rozmowy VoIP przez Wi-Fi działają płynnie nawet przy obciążonej sieci.

Koniec z atakami Deauth

• Jedną z największych historycznych słabości Wi-Fi był brak ochrony ramek zarządczych, co umożliwiało m.in. ataki deautentykacyjne.
• Poprawka do standardu 802.11w, znana jako Management Frame Protection (MFP) lub Protected Management Frames (PMF), rozwiązuje ten problem.
• Wprowadza ona mechanizm, który kryptograficznie zabezpiecza najważniejsze ramki zarządcze (takie jak Disassociation i Deauthentication) po nawiązaniu bezpiecznego połączenia.
• Dzięki temu klient lub AP może zweryfikować, czy otrzymana ramka deautentykacyjna faktycznie pochodzi od prawowitego nadawcy, a nie od podszywającego się atakującego.
• Ochrona PMF jest obowiązkowa w standardzie WPA3.

Wszyscy w jednej domenie

• Warto wrócić do pojęcia domeny kolizyjnej i porównać sieć Wi-Fi z nowoczesnym, przewodowym Ethernetem.
• W sieci przewodowej opartej na przełącznikach (switchach), każdy port stanowi osobną, małą domenę kolizyjną.
• Dzięki trybowi full-duplex, kolizje na tych portach w praktyce nie występują.
• W sieci Wi-Fi jest zupełnie inaczej.
• Wszystkie urządzenia skojarzone z jednym punktem dostępowym na danym kanale (czyli cały BSS) znajdują się w jednej, dużej domenie kolizyjnej.
• Muszą one współdzielić medium i "walczyć" o czas antenowy za pomocą protokołu CSMA/CA.
• To fundamentalna różnica, która tłumaczy, dłączego przepustowość sieci Wi-Fi jest często niższa niż jej teoretyczne maksimum.

Zapobieganie pętlom w warstwie 2

• Protokół Spanning Tree (STP) to mechanizm używany w sieciach przewodowych do zapobiegania pętlom w warstwie 2, które mogłyby prowadzić do burz broadcastowych i paraliżu sieci.
• Czy STP jest potrzebny w części bezprzewodowej?
• Zasadniczo nie, ponieważ topologia między klientami a AP jest zawsze topologią gwiazdy, w której pętle nie mogą powstać.
• Jednak STP odgrywa kluczową rolę w sieci szkieletowej (Systemie Dystrybucyjnym), do której podłączone są punkty dostępowe.
• Jeśli AP są podłączone do przełączników w sposób redundantny (tworząc fizyczne pętle dla niezawodności), to właśnie STP na tych przełącznikach musi zablokować odpowiednie porty, aby zapobiec pętlom, jednocześnie pozwalając na komunikację bezprzewodową.

Komunikacja bez pośredników

• Oprócz trybu infrastruktury, standard 802.11 definiuje również tryb Ad-Hoc, czyli IBSS (Independent Basic Service Set).
• Jest to sieć typu peer-to-peer, w której nie ma centralnego punktu dostępowego.
• Wszystkie urządzenia w sieci IBSS komunikują się bezpośrednio ze sobą.
• Pierwsze urządzenie, które uruchamia sieć, zaczyna rozgłaszać ramki Beacon, a kolejne dołączają, synchronizując się z nim.
• W sieci Ad-Hoc nie ma mostu do sieci przewodowej, a wszystkie stacje muszą same zarządzać dostępem do medium i synchronizacją.
• Jest to tryb rzadko dziś używany, wyparty w dużej mierze przez bardziej zaawansowany standard Wi-Fi Direct.

Nowoczesny Ad-Hoc

• Wi-Fi Direct to znacznie nowocześniejszy standard komunikacji peer-to-peer, który łączy prostotę sieci Ad-Hoc z zaawansowanymi funkcjami (takimi jak bezpieczeństwo WPA2) trybu infrastruktury.
• W sieci Wi-Fi Direct urządzenia negocjują między sobą, które z nich przyjmie rolę "właściciela grupy" (Group Owner - GO), działającego jak tymczasowy, programowy punkt dostępowy.
• Pozostałe urządzenia dołączają do GO tak, jakby łączyły się ze zwykłym AP.
• Umożliwia to łatwe i bezpieczne tworzenie tymczasowych sieci do takich zadań, jak drukowanie, przesyłanie plików czy przesyłanie strumieniowe wideo (Miracast) bezpośrednio między urządzeniami, bez potrzeby korzystania z zewnętrznego routera.

Inteligentny routing ramek

• Domowe systemy Wi-Fi Mesh to przykład zaawansowanego działania warstwy 2.
• Składają się one z routera głównego i kilku satelitów (węzłów), które tworzą jedną, spójną sieć (ESS).
• Kluczową rolę odgrywa tu komunikacja szkieletową (backhaul) między węzłami.
• Wiele systemów Mesh używa dedykowanego pasma radiowego do tej komunikacji.
• Na poziomie warstwy 2, węzły te działają jak inteligentne, bezprzewodowe mosty.
• Używają one specjalnych protokołów (często bazujących na standardzie 802.11s) do dynamicznego znajdowania najlepszej ścieżki dla ramek.
• Jeśli bezpośrednia droga między satelitą a routerem jest słaba, ramka może zostać przekazana przez inny, pośredniczący satelita, który ma lepsze połączenie.

Złowrogi bliźniak twojej sieci

• Jeden z najgroźniejszych ataków wykorzystujących mechanizmy warstwy 2 to "Evil Twin".
• Atakujący tworzy fałszywy punkt dostępowy, który rozgłasza dokładnie taką samą nazwę SSID (a czasem nawet klonuje adres BSSID) jak legalna sieć w pobliżu (np. sieć kawiarni).
• Następnie, używając silniejszego sygnału lub przeprowadzając atak deautentykacyjny na legalny AP, skłania użytkowników do połączenia się z jego fałszywą siecią.
• Od tego momentu cały ruch internetowy ofiary przechodzi przez komputer atakującego, co pozwala mu na podsłuchiwanie haseł, danych bankowych i innych wrażliwych informacji (atak Man-in-the-Middle).
• Dlatego tak ważne jest unikanie łączenia się z nieznanymi sieciami i używanie VPN.

Wykrywanie nieautoryzowanych punktów dostępowych

• W środowiskach korporacyjnych dużym zagrożeniem są tzw. Rogue AP, czyli nieautoryzowane punkty dostępowe podłączone do sieci firmowej (np. przez pracownika, który przyniósł własny router).
• Taki AP tworzy "dziurę" w zabezpieczeniach sieci.
• Profesjonalne systemy WLAN posiadają mechanizmy WIPS (Wireless Intrusion Prevention System), które potrafią wykrywać takie zagrożenia.
• Legalne AP okresowo skanują otoczenie w poszukiwaniu innych sieci.
• Jeśli wykryją AP, którego nie znają, a który jest podłączony do tej samej sieci przewodowej (co można sprawdzić, wysyłając specjalne ramki przez kabel), mogą podnieść alarm, a nawet aktywnie próbować zneutralizować intruza, wysyłając do jego klientów ramki deautentykacyjne.

Przewidywanie zajętości kanału

• Wracając do CSMA/CA, warto przyjrzeć się bliżej mechanizmowi wirtualnego nasłuchiwania.
• Każda ramka (poza ACK) zawiera pole Duration/ID.
• Gdy stacja nadaje ramkę (np. RTS lub ramkę danych), wpisuje w to pole czas (w mikrosekundach), jaki będzie potrzebny na dokończenie całej transakcji (np. na przesłanie danych i odebranie ACK).
• Każda inna stacja, która usłyszy tę ramkę, odczytuje wartość z pola Duration i ustawia swój wewnętrzny licznik, zwany NAV (Network Allocation Vector).
• Stacja nie będzie próbowała uzyskać dostępu do medium, dopóki jej licznik NAV nie osiągnie zera.
• To znacznie bardziej efektywne niż ciągłe, fizyczne nasłuchiwanie kanału.

Rytm komunikacji Wi-Fi

• Aby zapewnić uporządkowany dostęp do medium i umożliwić działanie priorytetów (WMM), standard 802.11 definiuje zestaw precyzyjnie określonych przerw międzyramkowych.
• Po zakończeniu każdej transmisji, wszystkie stacje muszą odczekać pewien czas, zanim zaczną rywalizację o kanał.
• Długość tej przerwy zależy od kontekstu.
• Najkrótsza jest SIFS (Short Interframe Space), używana przed wysłaniem ramki o najwyższym priorytecie, jak ACK.
• Dłuższa jest DIFS (DCF Interframe Space), którą stacja musi odczekać, zanim zacznie wysyłać nowe dane.
• Różne długości przerw tworzą "rytm", który pozwala na wplecenie krytycznych ramek (jak potwierdzenia) między zwykłe transmisje danych.

Losowe oczekiwanie w celu uniknięcia kolizji

• Gdy stacja odczeka przerwę DIFS i stwierdzi, że kanał jest wolny, nie zaczyna nadawać od razu.
• Aby zminimalizować ryzyko, że dwie stacje zaczną nadawać w tym samym momencie, każda z nich uruchamia dodatkowy, losowy licznik czasu, zwany procedurą backoff.
• Stacja losuje liczbę z przedziału zwanego oknem rywalizacji (Contention Window - CW) i odlicza ten czas w dół.
• Dopiero gdy licznik dojdzie do zera, stacja może zacząć nadawać.
• Jeśli w trakcie odliczania usłyszy transmisję innej stacji, "zamraża" swój licznik i wznawia odliczanie po kolejnej przerwie DIFS.
• W przypadku kolizji, okno rywalizacji jest podwajane, co zwiększa losowość i zmniejsza szansę na kolejną kolizję.

Ruch wewnątrz sieci vs. ruch na zewnątrz

• Ważne jest, aby rozróżnić rolę punktu dostępowego (i przełącznika) od roli routera.
• AP i switche to urządzenia warstwy 2.
• Podejmują decyzje o przekazywaniu ramek na podstawie adresów MAC i działają w obrębie jednej sieci lokalnej.
• Ich celem jest dostarczenie ramki do odpowiedniego portu lub klienta w tej samej podsieci.
• Router to urządzenie warstwy 3.
• Jego zadaniem jest przekazywanie pakietów między różnymi sieciami (np. między naszą siecią domową a internetem).
• Router podejmuje decyzje na podstawie adresów IP, a nie adresów MAC.
• Kiedy wysyłamy dane do serwera Google, AP (jako most) dostarcza naszą ramkę do routera, a dopiero router wysyła ją dalej w świat.

Ograniczenia wielkości "paczki"

• Warstwa łącza danych narzuca maksymalny rozmiar ładunku, jaki może przenieść pojedyncza ramka.
• Wartość ta jest znana jako MTU (Maximum Transmission Unit).
• Dla standardu 802.11 maksymalny rozmiar ciała ramki to 2304 bajty.
• Warstwa sieciowa (IP) również ma swoje MTU, które dla Ethernetu wynosi standardowo 1500 bajtów.
• Jeśli warstwa IP chce wysłać pakiet większy niż MTU warstwy 2, musi go podzielić na mniejsze fragmenty.
• Zwykle jednak MTU w całym torze komunikacji jest uzgadniane na najniższą wspólną wartość (1500 bajtów), aby unikać fragmentacji na poziomie IP, która jest nieefektywna.

Czy większe ramki mają sens w radiu?

• W sieciach przewodowych Gigabit Ethernet popularne stały się tzw. "Jumbo Frames", czyli ramki o MTU zwiększonym do 9000 bajtów.
• Pozwala to na zmniejszenie narzutu nagłówków i obciążenia procesorów przy przesyłaniu dużych ilości danych.
• Czy ma to sens w Wi-Fi? Generalnie nie. Standard 802.11 nie obsługuje natywnie ramek jumbo.
• Co ważniejsze, w zawodnym medium radiowym wysłanie tak dużej ramki jest bardzo ryzykowne.
• Prawdopodobieństwo jej uszkodzenia przez chwilowe zakłócenie jest znacznie wyższe, a koszt retransmisji całej, ogromnej ramki byłby ogromny.
• Zamiast tego, w Wi-Fi stawia się na mechanizmy agregacji (A-MPDU), które pozwalają na wydajną transmisję dużej ilości danych, ale z zachowaniem podziału na mniejsze, oddzielnie potwierdzane bloki.

Zorganizowany chaos

• Warstwa łącza danych w sieciach Wi-Fi to niezwykle złożony i fascynujący mechanizm.
• Przekształca ona zawodny, współdzielony kanał radiowy w uporządkowaną autostradę dla danych.
• Jej podwarstwa MAC zarządza wszystkim: od identyfikacji urządzeń za pomocą adresów MAC, przez organizację sieci w struktury BSS i ESS, po skomplikowany taniec ramek zarządczych, kontrolnych i danych, które razem tworzą i podtrzymują połączenie.
• Mechanizmy takie jak CSMA/CA, potwierdzenia ACK, tryb oszczędzania energii oraz zaawansowane protokoły bezpieczeństwa jak WPA3, to wszystko dzieje się właśnie tutaj.
• Zrozumienie warstwy 2 jest kluczem do zrozumienia, jak naprawdę działa Wi-Fi.

Najważniejsze pojęcia z dzisiejszego wykładu:

• Podwarstwy LLC i MAC: Dzielą zadania warstwy 2; MAC jest kluczowa dla Wi-Fi.
• Ramka 802.11: Znacznie bardziej złożona niż ramka Ethernet, z wieloma polami kontrolnymi i aż 4 polami adresowymi.
• Trzy typy ramek: Zarządcze (tworzenie połączeń), Kontrolne (potwierdzenia) i Danych (przenoszenie ładunku).
• SSID vs BSSID: Nazwa sieci (dla ludzi) vs. unikalny identyfikator sieci (dla maszyn).
• Proces połączenia: Skanowanie (aktywne/pasywne), Uwierzytelnienie (formalność) i Asocjacja (dołączenie do sieci).
• Bezpieczeństwo: Ewolucja od złamanego WEP, przez WPA/WPA2, aż po nowoczesny i bezpieczny standard WPA3.
• Rola AP: Działa jako most warstwy 2, "tłumacząc" ramki między światem bezprzewodowym a przewodowym.

• Dziękuję Państwu za uwagę.
• Na następnym wykładzie wejdziemy do warstwy trzeciej, aby zobaczyć, jak adresy IP i routing pozwalają na komunikację między różnymi sieciami i tworzą globalny Internet.