Беспилотное Братство

часть I Безопасность Mesh-сети в полевых условиях - это не только защита данных, но и живучесть всей группы. Ниже приведены основные причины, по которым базовая настройка «из коробки» недопустима, и список CLI-команд для защиты. Зачем нужно это усиление (Reasons for Hardening) Перехват управления (Hijacking): Без шифрования SAE (WPA3) любой человек с ноутбуком в радиусе действия может подключиться к Mesh-сети как «свой» узел и получить доступ ко всему трафику. Радиоразведка (SIGINT): Стандартные настройки MikroTik и OpenWrt выдают производителя и модель устройства. Это позволяет противнику понять, какое оборудование используется, и подобрать специфические уязвимости. Подмена маршрутов (Routing Attacks): Злоумышленный узел может объявить себя лучшим маршрутом, заставив весь трафик проходить через себя для анализа или сброса пакетов. Деавторизация: Без функции Management Protection (защита фреймов управления) сеть можно «положить» простым глушителем-деавторизатором, который имитирует команду разъединения. 1. OpenWrt + batman-adv (CLI Команды) Замена стандартных компонентов на защищенные: opkg update opkg remove wpad-basic-wolfssl wpad-mini opkg install wpad-mesh-wolfssl batctl-default kmod-batman-adv Настройка зашифрованного транспортного уровня (Backhaul): uci set wireless.radio0.disabled='0' uci set wireless.mesh0=wifi-iface uci set wireless.mesh0.device='radio0' uci set wireless.mesh0.ifname='mesh0' uci set wireless.mesh0.network='bat0_mesh' uci set wireless.mesh0.mode='mesh' uci set wireless.mesh0.mesh_id='secure_net_hidden' uci set wireless.mesh0.encryption='sae' uci set wireless.mesh0.key='STRICT_PASSWORD_32_CHAR' uci commit wireless wifi Включение внутренних механизмов защиты Batman-adv: uci set batman-adv.bat0.bridge_loop_avoidance='1' uci set batman-adv.bat0.ap_isolation='1' uci commit batman-adv /etc/init.d/batman-adv restart 2. MikroTik RouterOS v7 (CLI Команды) Создание профиля с защитой от перехвата и деавторизации: /interface wireless security-profiles add name=mesh_hardened mode=dynamic-keys authentication-types=wpa2-psk,wpa3-psk unicast-ciphers=aes-ccm group-ciphers=aes-ccm wpa2-pre-shared-key="PASSWORD" wpa3-pre-shared-key="PASSWORD" management-protection=required Режим скрытности (Stealth) и отключение обнаружения: /ip neighbor discovery-settings set discover-interface-list=none /tool mac-server set allowed-interface-list=none /tool mac-server mac-winbox set allowed-interface-list=none /ip service disable telnet,ftp,www,api,api-ssl /tool bandwidth-server set enabled=no Блокировка доступа к управлению (оставить только доверенный IP): /ip service set ssh address=10.10.10.0/24 port=22 /ip service set winbox address=10.10.10.0/24 port=8291 3. Проверка безопасности (Audit) Команды для контроля состояния узлов: OpenWrt: batctl n (проверка MAC-адресов соседей) OpenWrt: batctl it (проверка интерфейсов) MikroTik: /interface mesh port print (статус портов) MikroTik: /ip service print (проверка закрытых портов)