siec hot spotow

zastanawialem sie nad taka rzecza i chcialem zapytac co wy o tym myslicie
chialbym stworzyc na terenie krakowa cos w rodzaju sieci hot spotow dla nas  posiadaczy urzadzen mobilnych
kazdy kto ma jakis ap dodal by do listy innych userow i ja np zrobilem tak z kumplem i mamy dwa dodatkowe hotspoty na terenie nh ? teraz wy pioszczie  co myslicie

pomysl z jednej strony swietny z drugiej bardzo niebezpieczny, bo co to znaczy dodac userow do listy? po prostu otworzyc apeka na swiat? to kazdy bedzie mogl podjesc pod Twoj ap i nabruzdzic. Dodawanie pojedynczo userow np. po macu to troche upierdliwe i kazdy AP ma ograniczenie do kilkunasty/kilkudzisieciu userow wiec szybko skonczylaby sie lista. Nie da rady tez ustawic, zeby przyjmowac tylko udrzadzenia mobilne bo one nie sa w zaden sposob wyroznione w WLANie, kazdy kto by sie znalazl w promieniu dzialania mialby dostep, no chyba, ze macie jakies zaawansowane pomysly, to sie podzielcie, bo pomysl bardzo ciekawy i mozna by zrobic cos takiego w innych miastach.

Taka incjatywa rozwija sie na swiecie by tworzyc wolny okazjonalny dostep do netu. Tworza go uzytkownicy prywatni dla innych uzytkownikow, nawzajem sie  o tym nformujac. W naturalny sposob korzystaja  z tego posiadacze palmtopow a ew. 'niechcianych pc-towcow' z okolicy blokuja przez MAC adres.

znajac mentalnosc naszego narodu, duzo wody w Wisle/Odrze uplynie zamin taka idea sie upowrzechni i darmowy dostep do neta nie bedzie znaczyl anonimowosci i bezkarnosci dla ludzi o zlych zamiarach, ja bym sie nie odwazyl udostepnic sygnalu z AP obawiaja sie, ze wlasnie ktos zrobi mi glupi kawal typu wysylanie pogrozek z mojej sieci, sciaganie nielegalnych rzeczy, umieszczenie nielegalnych tresci itp. Obecnie mam zabezpieczone wi-fi na 10 sposobow (a byc moze, ze na 11), a nadal nie czuje sie zbyt komfortowo.

Inna sparawa, jaka mi sie nasuwa, to kiedys czytalem cos takiego, ze w Polsce nie mozna za darmo udostpniac nikomu sieci, bo jest na to nalozony jakis podatek i trzeba pobierac oplaty, dokladnie nie pamietam o co chodzilo, ale jakies takie dziwne zawilosci prawne, choc jak wszyscy wiemy darmowe APeki wyrastaja, jak grzyby po deszczu.

a mozesz podac te sposoby bo najwidoczniej nie znam wszystkich a przydalo by sie

niektore z nich moze i sa banalne, ale geniusz tkwi w prostocie:

-ukryty ssid
-autoryzacja po MACu
-autoryzacja po IP
-zmieniony IP routrea po stronie LANu (zeby nie bylo standadowy typu 192.168...)
-WEP
-wylaczony DHCP
-zmieniony kanal wifi (90% sieci korzysta z 11 i 6 kanalu)
-autoryzacja z dlugim i dziwnych haslem przy wejsciu do panelu administracyjnego routera
-wylaczanie rutera na czas niekorzystania z sieci
-regularne sprawdzanie logow (kto wchodzil i z czym sie laczyl)

wyszlo 10, ale moze o czyms zapomnialem, jak przypomne sobie to dopisze

-WEP
-zmieniony kanal wifi (90% sieci korzysta z 11 i 6 kanalu)

WEP nie jest dobrym zabezpieczeniem :/ Da sie go zlamac nawet w nie cala godzine. Pomyśl o WPA. Ja mam WPA i filtrowanie MAC'ow (ssid broadcasting on) i jest spokoj. A co ma zmiana kanału do zabezpieczeń ?

WEP nie jest dobrym zabezpieczeniem :/ Da sie go zlamac nawet w nie cala godzine.

Da sie go złamać na pockecie w godzinę ? Może metodą słownikową ale jest juz takie oprogramowanie na pocketa?
Poza tym można niekiedy włączyć dopuszczalny odstęp miedzy kolejnymi
logowaniami lub blokować na dłużej po kilkukrotnym niewłaściwym haśle.

A czy ja mowie o pocketcie?

Cytat: "eMCej09"

-WEP
-zmieniony kanal wifi (90% sieci korzysta z 11 i 6 kanalu)

WEP nie jest dobrym zabezpieczeniem :/ Da sie go zlamac nawet w nie cala godzine. Pomyśl o WPA. Ja mam WPA i filtrowanie MAC'ow (ssid broadcasting on) i jest spokoj. A co ma zmiana kanału do zabezpieczeń ?

(1) lepszy WEP niz nic, po pierwsze nikt nie wie jaka dlugosc klucza (wep 128 albo 256 ktos zlamal w godzine?) i czego szukac, po drugie najpierw trzeba zdobyc ssid i:
(2) kanal na ktorym nadaje, a prawdopodobienstwo trafienie na moj kanal to 1/13 + prawdopodobienstwo zgadniecia ssida i calej reszte jest male, tym bardziej, we 90% domoroslych "hakierow" raczej nie jest super profesjonalistami, glownie zabezpieczylem sie przed sasiadami.

(1) lepszy WEP niz nic, po pierwsze nikt nie wie jaka dlugosc klucza (wep 128 albo 256 ktos zlamal w godzine?) i czego szukac, po drugie najpierw trzeba zdobyc ssid i:
(2) kanal na ktorym nadaje, a prawdopodobienstwo trafienie na moj kanal to 1/13 + prawdopodobienstwo zgadniecia ssida i calej reszte jest male, tym bardziej, we 90% domoroslych "hakierow" raczej nie jest super profesjonalistami, glownie zabezpieczylem sie przed sasiadami.

1) racja. lepszy wep niz bez szyfrowania..
2) SSID jest wysylany podaczas łączenia się z AP, co do kanałów to się z tobą nie zgodzę, widac nie używałes nawet NetStumblera ..

no ale o to w tym chodzi przeciez, ze jak mam ukryty ssid to gosc musi caly czas czekac pod moim apkiem, kiedy wlacze laptopa, zeby podsluchac moje pakiety, a watpie zeby sie chcialo komus siedziec i czekac caly dzien, jak bede sie logowac, a bywa, ze przez pare dni sie nie loguje,

NetStumbler wykrywa ukryty SSID? nie mam mozliowsci pouzywania go, bo mam karty d-linka, ktorych netstumbler nie obsluguje

no ale o to w tym chodzi przeciez, ze jak mam ukryty ssid to gosc musi caly czas czekac pod moim apkiem, kiedy wlacze laptopa, zeby podsluchac moje pakiety, a watpie zeby sie chcialo komus siedziec i czekac caly dzien, jak bede sie logowac, a bywa, ze przez pare dni sie nie loguje,

NetStumbler wykrywa ukryty SSID? nie mam mozliowsci pouzywania go, bo mam karty d-linka, ktorych netstumbler nie obsluguje

NetStumbler chyba nie, ale Kismet [Linux] tak. Chciałem Ci pokazać, że zmiana kanału nic nie daje. AP i tak będzie widoczny (oczywiście zależy to też od karty - Planet WL-U350B nie pokazuje, a np. karta oparta o chipset Atheros pokazuje ukryte sieci, lecz pole SSID jest puste (NetStumbler).

aha, no to sie troche zle zrozumielismy, o tym, ze w netstumblerze widac kanal i praktycznie w kazdym sofcie, nawet tym dolaczamy do kart sieciowych widac kanal na jakich pracuja dostepne sieci to ja wiem, tylko myslalem, ze jak ukrywam SSID to te proste programy do wykrywania sieci nie pokazuja nic, w ogole nie wykrywaja sygnalu i wtedy zmiana kanalu bylaby zabezpieczeniem, bo z tego co zauwazylem wlasnie 90% sieci ma 6 albo 11 i na te pewnie probuje sie wchodzic najpierw, czyli zmiana np. na 3 kanal powodowalaby kolejne utrudnienie, ale skoro siec i tak widac i od razu kanal jest wychwytywany to cala moja teoria wziela w leb, ale to dlatego, ze nie mam czym sie pobawic moja siecia i praktycznie sprawdzic, jak to wszystko funkcjonuje.

No
Twoj sposob jest dobry. Ja miałem podobnie zabezpieczoną sieć przez ponad rok, ale wymienilem AP na Ovislinka 5460 z obsługą WPA. Klucz zmieniałem około co miesiąc i nic złego się nie działo.

w sumie tez mam u siebie WPA i wybor miedzy WPA i WEP byl przypadkowy, no ale skonczmy ten offtop, bo nie o tym byl temat w ogole  

Pomysł autora wątku jest dobry i może warto nad nim popracować.

Należy chyba pomyśleć o innym rozwiazaniu problemu niż autoryzacja na podstawie MAC/IP/WEP itp na samym AP.

Jest jedno dość proste rozwiazanie, które sam zastosowałem budując swoje hotspoty.
Polega ono na tym, że access pointa otwieramy na świat i zapraszamy wszystkich, którzy chcą się podłączyć. Nie stosujemy żadnej autoryzacji, szyfrowania itp.

Takiego AP wpinamy jednak do gatewaya hotspotowego (może to być linux, może to być sprzętowy gateway albo, co wydaje mi się najlepszym rozwiązaniem, jakiś mały PC z zainstalowanym systemem MIKROTIK).

Gateway przekierowuje wszystkie polaczenia www na strone logowania i dopóki użytkownik się nie zautoryzuje za pomocą loginu i hasła nie ma łączności a wszelkie próby otworzenia dowolnej strony www powodują przekierowanie z powrotem na stronę logowania.
Po zalogowaniu użytkownik otrzymuje pełny dostęp do sieci.

Taki gateway może "ciągnąc" dane z serwera autoryzacji - np RADIUS lub TACACS. Serwer autoryzacji może natomiast "ciągnąć" dane z serwera lub serwerów SQL.

Idea mojego pomysłu polega na tym, że serwer autoryzacji może być jeden wspólny dla wielu gatewayów a więc można by zrobić wspólną bazę użytkowników dla całej sieci niezależnych hotspotów.

Każde forum, np takie jak pdaclub, tworzy użytkowników w bazie SQL, najczęściej w MySQL.

Możemy zrobić forum zrzeszające administratorów hotspotów. Polegałoby to na tym, że każdy kto ma w domu AP wystawiłby za okno antenę sektorową lub dookólna, postawił gatewaya (zaraz napisze o kosztach) i skonfigurowałby go, żeby korzystał z określonego serwera RADIUS.
Jednocześnie każdy, kto udostępniłby takiego hotspota miałby prawo zarejestrowania się na forum. W ten sposób utworzone zostałoby konto w bazie SQL, które mogłoby być wykorzystane przez serwer autoryzacji a tym samym każdy zarejestrowany administrator lokalnego hotspota uzyskałby dostęp do całej sieci tego typu hotspotów utworzonych przez innych administratorów.

Oczywiście trzeba by było wymyślić sposób weryfikacji czy taki hotspot rzeczywiście istnieje i działa oraz sposób na publikację mapek zasięgu - ale to już są kwestie techniczne. Można siąść i opracować jakiś regulamin.
Niezłym rozwiązaniem byłby też system rekomendacji - np nowo zarejestrowany admin otrzymałby pełne konto i dostęp do sieci hotspotów dopiero po zweryfikowaniu jego instalacji przez conajmniej dwóch użytkowników z "pełną aktywacją" konta. Jeżeli dodamy do tego odpowiedzialność polegającą na usunięciu konta na wypadek zarekomendowania "fałszywego" admina powinno się udać wyeliminować nadużycia.

Jeden centralny serwer autoryzacji jest oczywiście rozwiązaniem zawodnym. Może się bowiem okazać, że z jakichś powodów lokalny gateway nie ma z nim kontaktu.
Tutaj rozwiązaniem jest stworzenie lokalnego użytkownika w systemie operacyjnym gatewaya.
Gateway najpierw próbuje autoryzować użytkownika lokalnie i dopiero jak mu się nie uda odpytuje RADIUSA. Administrator miałby więc konto na swoim gatewayu i w ten sposób on zawsze mógłby korzystać ze swojego hotspota. Mółby również autoryzować w ten sposób dowolną ilość znanych sobie i zaufanych użytkowników - np sąsiadów bo to w końcu jego łącze i jego AP.

Myśle, że dla wielu z Was będzie ważne, że gateway od razu przydziela pasmo, max transfer lub max długość sesji per użytkowniki.
Możemy więc standardowo zakładać konta z ograniczeniem  pasma np. do 64kbps, ilości przesłanych danych np. do 10MB i max długości sesji np do 2h.
To zabezpieczy administratorów przed przeciążeniem ich łączy a wszystkim nam zapewni, że w wielu miejscach będziemy mieli "swój" dostęp do sieci.
 
Teraz troszkę o kosztach:
- zakładamy, że mamy już dostęp do Internetu
- zakładamy, że mamy AP a jeżeli nie to policzmy ok 200zł
- dobra antena sektorowa lub dookólna to wydatek max 250zł + 50zł na konektory i kable
- komputer PC: najlepszy jest Compaq SFF z procesorem PII 350MHz + 64MB pamięci RAM + dodatkowa karta sieciowa + adapter CF <-> IDE. Zaletą tego komputerka jest to, że jest prawie całkowicie bezgłośny bo nie ma dysku HDD a jedyny wentylator ma w zasilaczu i jest on bardzo cichy. Cena całości to max 100zł.
- system operacyjny mikrotik: licencja na karcie CF 64MB to koszt ok 200zł. Świetnie jednak nadają się starsze wersje, które można ściągnąc z internetu. Legalność przemilczę ale w końcu chodzi o projekt niekomercyjny

Całość kosztów jakie musi ponieść administrator, żeby uruchomić swojego hotspota to na pewno nie więcej niż 600zł a jeżeli ma już AP to nie wiecej niż 400zł.

Jak już wspomniałem mam  własną, na razie niewielką, sieć komercyjnych punktów hotspot w Katowicach. Sieć ta jest oparta właśnie na przedstawionym wyżej rozwiązaniu.  

Proszę o komentarze i opinie.
Jeżeli będzie zainteresowanie jestem w stanie popilotować projekt.
Służe równiez pomocą techniczną.
Chętnie przeczytam wszelkie komentarze negatywne, łącznie z krytyką proponowanych rozwiązań.

Przy okazji jeżeli jest tutaj ktoś, kto posiada własnego hotspota może uzyskać u mnie konto - oczywiście w zamian za konto w jego hotspocie

Aha, o tym gdzie działają moje nadajniki możecie poczytać tutaj http://www.hotspot.katowice.pl

Z niecierpliwością czekam na opinie co sądzicie o moim pomyśle.

Bardzo ciekawa i realna incjatywa. Mnie zainteresowales.
Tym bardziej , ze chyba kazdy entuzjasta komputerow pozostaje ze starymi gratami Pc-towymi , ktore zamiast wyrzucic, mozna zagospodarowac.

Wszystko super, ale ponieważ pojawił się wątek

http://www.pdaclub.pl/forum/viewtopic.php?p=248408#248408

to i ten problem trzeba wziąć pod uwagę, zwłaszca godząc ideę dostępnych hotspotów z zasadami bezpieczeństwa korzystania z nich.

Bo nawet zakładając, że robiąc taki ogólny hotspot własciciel zrobi go w szczytnym celu i niemal ku chwale ojczyzny to ktoś inny może go wykorzystać do celów niecnych. I wtedy - kicha.

No własnie dlatego Jankad proponuje autoryzacje kazdego punktu a nie spontaniczne, niekontrolowane przyłączenie.

Ja proponuje coś na zasadzie spółdzielni turystycznej.
Istnieją takie bardzo ciekawe inicjatywy. Polega to na tym, że jeżeli ktoś ma domek, apartament czy nawet łódkę na mazurach zapisuje się do klubu/spółdzielni zrzeszającej innych właścicieli.
Następnie proponuje swoj domek w jakimś tam okresie czasu w zamian za możliwość wyjazdu gdzieś indziej. W ten sposób posiadając domek w górach właściciel nie jest skazany na jeżdżenie cały czas w góry - może się wymienić np na 2tyg z kimś kto ma łódkę na mazurach i pojechąć popływać.

Rozwiązanie, które proponuję jest bardzo podobne. Zakłada, że jeżeli ktoś ma dostęp do sieci np w Krakowie to może się zapisac do klubu, udostepnić ja innym członkom klubu a w zamian otrzymać dostęp do całej bazy podobnych łącz. Jeżeli inicjatywa cieszyłaby się dużym powodzeniem w najlepszym przypadku płacąc tylko za łącze w Krakowie mógłby mieć dostęp do Internetu w wielu miastach całej Polski lub chociażby w wielu punktach Krakowa.

Jeżeli do tego zauważymy, że rozmawiamy o tym na grupie WLAN klubu PDA możemy sobie wyobrazić sytuację, w której ze strony klubu możemy sobie ściągnąc liste adresów takich punktów w róznych formatach POI do programów nawigacyjnych dzięki czemu jadąc do innego miasta możemy szybko znaleźć najblizszy dostęp do sieci i podjechać tam prowadzony za pomocą navi.

Co do bezpieczeństwa to właśnie dlatego powstały kluby/spółdzielnie turystyczne. Mało który właściciel domku jest w stanie przełamać się i zdecydować na wynajęcie swojego wychuchanego domku komuś obcemu. Gdyby to zrobił na pewno znalazłby chętnego a za uzyskane pieniądze mógłby sobie wynająć domek w innej częsci kraju.
W momencie kiedy został stworzony klub każy z właścicieli uzyskał pewne bezpieczeństwo a system komentarzy podobny do Allegro pozwala na wyeliminowanie z grupy ludzi, którym nie można zaufać.
Również wstęp do tego typu klubów wymaga rekomendacji conajmniej dwóch stałych członków.

Ja proponuje zrobienie dokładanie tego samego: dostęp do naszych hotspotów będzie miał tylko ten, kto sam udostępni swoją sieć; przystąpienie wymaga rekomendacji (czyli de facto sprawdzenia przez kogoś z grona stałych członków czy instalacja jest, czy jest udostępniona i czy działa); możemy również stworzyć system punktów/komentarzy.
W zależności od ilości pozytywnych komentarzy dotyczących konkretnego hotspota jego administrator otrzymuje konto o lepszych parametrach - np początkujący otrzymują czas sesji max 15min a Ci z dużą ilościa "pozytywów" nieograniczony czas korzystania z hotspotów.
Komentarze mogą wystawiać również administratorzy tym, którzy skorzystali z ich sieci - gateway loguje cały ruch a więc adminstrator zawsze wie kto, co i kiedy robił. Pamiętajcie, że nikt tu nie będzie anonimowy bo mamy wszystkie dane łącznie z adresem.
W ten sposób sami będziemy oczyszczali towarzystwo z ludzi nieodpowiedzialnych bo przecież każdemu z nas będzie zależało na wysokim standardzie członków klubu.