Bezpečnostní rizika deaktivace vysílání SSID
On 9 února, 2021 by adminVzpomínám si, že jsem četl několik článků online a dokonce jsem předal rady a uvedl, že deaktivace vysílání SSID je nejen zbytečná jako bezpečnostní opatření, ale také škodlivé pro zabezpečení klientských zařízení. Logika zní takto:
SSID Broadcasting On
- Klientská zařízení pasivně naslouchají známým sítím.
- Klienti zahájí připojení, když je slyšet známá síť. .
- Útočníci neví, jaké sítě klientská zařízení bez přidružení hledají.
SSID Broadcasting Off
- Klientská zařízení musí aktivně testovat známé sítě.
- Klientská zařízení inzerují důvěryhodné SSID.
- Útočníci mohou zachytit důvěryhodné SSID informace a použít je k oklamání klientů, aby se připojili k Rogue AP, když nejsou poblíž skutečná důvěryhodná síť.
To se zdá být obecně rozumný předpoklad. Nemyslím si však, že jsem viděl všechna tvrzení, která berou v úvahu to, co se stane, když se útočník pokusí zosobnit síť, aniž by znal další atributy konfigurace zabezpečení sítě – zejména šifrovací protokol nebo klíče. Připojení by mělo teoreticky selhat s neshodou protokolu nebo vyjednáváním špatného klíče.
Vzhledem k výše uvedenému by se mi zdálo, že zakázání vysílání SSID (přestože vůbec není spolehlivým bezpečnostním mechanismem) má stále síťově pozitivní dopad na bezpečnost – nebo v horším případě neutrální. Je tu něco, co mi chybí?
Komentáře
- Co by zastavilo útočníka v pokusu různé kombinace šifrovacího protokolu s požadovaným SSID?
- @AdnanG Možná nic. Jak se to ale podstatně liší od toho, jak ‚ musí jinak rozbít stejnou síť?
- pokud se klient připojí k nepoctivému AP, autentizuje se pomocí skutečné heslo SSID. Útočníci za něj dělají práci.
- @AdnanG To je ‚ neuvěřitelně jednoduché. Aby tomu tak bylo, síť by byla stejně slabá proti útočníkům, kteří nejsou ‚ t spoofing AP.
- @AdnanG : Heslo se nikdy nepřenáší .
Odpověď
Podívejte se na WiFi Pineapple , což je bezdrátové zařízení pro zosobnění MITM dostupné za 100 $ plus poštovné. Útočník to musí pouze zapnout a nakonfigurovat a začne nabízet okamžité útoky MITM. Pokud mobilní zařízení zkoumá již známý otevřený identifikátor SSID, poskytne mu šťastně funkční připojení k internetu. Ovládání nevyžaduje téměř žádné dovednosti.
Klíčové je, že klient, který důvěřuje i jedinému připojení k jakémukoli otevřenému přístupovému bodu WiFi kdekoli, se umístil na zranitelném místě, a to je pravda, ať už vy nebo ne vysílá vaše SSID. Zabezpečeným přístupem je vyžadovat přihlašovací údaje na přístupových bodech a vyhnout se tomu, aby byli klienti součástí problému. Zda vysíláte své SSID, pak se stane pro vaše uživatele otázkou pohodlí a nebude to záležitostí bezpečnosti.
Komentáře
- To ano neodpovídat na otázku. Jak bude klient důvěřovat připojení k Rogue AP, pokud neodpovídá známým vlastnostem původní sítě? Příklad: Důvěryhodná síť s SSID “ Moje síť “ používá šifrování WPA2 s přístupovou frází PSK “ MyPassword „. Rogue AP vysílá SSID “ Moje síť „, ale bez šifrování, nebo používá WEP, nebo používá WPA2 s přístupovou frází PSK “ EvilPassword „. Když klient vyzvedne Rogue AP, neměl by ‚ zrušit pokus o připojení, když narazí na nesoulad protokolu nebo nesprávný PSK?
- Vy ‚ opraveno, nepřipojí se, pokud šifrování (a klíč) neodpovídá ‚ t; ale nezáleží ‚ na tom, zda byl SSID vysílán nebo ne. Mám na mysli, že neexistuje způsob, jak můžete nakonfigurovat svůj SSID tak, aby opravil problém způsobený klienty, kteří již důvěřují “ StarbucksFreeWiFi “ (kromě nenutit své klienty používat neověřené bezdrátové připojení k síti.)
- Spravedlivý bod, ale jiné sítě zde nejsou ‚ součástí rovnice rizik. Předpokládejme, že klientská zařízení jsou nakonfigurována pouze pro připojení k mé síti. Jak je vlastně jejich zabezpečení nebo zabezpečení mé sítě poškozeno vypnutím vysílání SSID na routeru?
- Otázka, kterou se zřejmě ptáte, předpokládá, že viditelnost SSID izolovaně od všeho jiného ovlivňuje bezpečnost, ale ‚ t. Je to ‚ pouze faktor v kombinaci s nezajištěnou sítí, kdy jsou vystaveni riziku všichni klienti, kteří jí důvěřují. A toto riziko lze zmírnit pomocí VPN, kdy ‚ karmicky ukradnete útočníkovi bezplatné wifi.
- To ‚ je přesně to, o co se ‚ snažím zjistit – pokud útočník získá pouze informace o SSID důvěryhodné sítě a síť je jinak zabezpečena šifrováním a PSK, který není útočníkovi znám, je SSID sám o sobě dost na to, aby útočník přiměl klientská zařízení k připojení k jeho Rogue AP? Viděl jsem ‚ mnoho příspěvků o skrytí SSID, které uvádějí, že klientům hrozí vyšší riziko připojení k falešným AP, ale ‚ t řešit, co se stane se šifrovacím protokolem / nesouladem PSK, když má útočník pouze SSID, se kterým může pracovat.
Odpovědět
SSID vysílání na
- klientská zařízení pasivně naslouchají známým sítím.
- Klienti iniciují připojení, když je slyšet známá síť.
- Útočníci nevědí, jaké sítě klientská zařízení bez přidružení hledají.
Zapnutí vysílání nebude bránit všem klientům aktivně vyhledávat známé sítě. Toto je specifické pro implementaci – například Windows XP je ve výchozím nastavení aktivní pouze prohledávání. Váš předpoklad, že útočníci nemusí nutně vědět, které sítě jsou vyhledávány, je proto nesprávný. Platí to pouze v případě, že se připojujete k moderním zařízením, která pasivně skenují sítě na viditelné SSID, když byly nakonfigurovány.
SSID Broadcasting Off
- Klientská zařízení musí aktivně zkoumat známé sítě.
- Klientská zařízení inzerují důvěryhodné SSID.
- Útočníci mohou získat důvěryhodné SSID informace a použít je k tomu, aby klienty přiměli k připojení k Rogue AP, když nejsou v blízkosti skutečné důvěryhodné sítě.
To platí, pokud je síť otevřená. Klient se nebude moci připojit k zabezpečené síti s jiným nebo žádným heslem.
To se jeví jako obecně rozumný předpoklad. Nemyslím si však, že jsem viděl všechna tvrzení, která berou v úvahu to, co se stane, když se útočník pokusí zosobnit síť, aniž by znal další atributy konfigurace zabezpečení sítě – zejména šifrovací protokol nebo klíče. Připojení by mělo teoreticky selže s neshodou protokolu nebo vyjednáním špatného klíče.
rámec majáku , i když nevysílá SSID (tj. SSID se v tomto rámci odesílá jako NULL
), stále podrobně popisuje konfiguraci zabezpečení sítě včetně podrobností šifrování.
Vzhledem k výše uvedenému by se mi zdálo, že deaktivace vysílání SSID (přestože vůbec není spolehlivým bezpečnostním mechanismem) má stále kladný dopad na bezpečnost – nebo přinejhorším síťově neutrální .Je mi něco, co mi chybí?
I když nevysílám, odesílám požadavek sondy s NULL
jak může způsobit SSID AP odpovědět majákem obsahujícím SSID. Jakákoli silnice, jakmile se platné zařízení bude muset připojit, SSID skončí vysíláním AP. Řekl bych, že jedinou nabízenou další bezpečností je zabezpečení pomocí neznáma – může se vám cítit lépe, ale ve skutečnosti vaše síť není bezpečnější. Jedinou zanedbatelnou výhodou je, že váš SSID nebude vysílán tak často . Na druhou stranu může útočník předpokládat, že se jedná o obzvláště citlivou síť , a věnovat jí více času.
Odpovědět
Klientská zařízení budou aktivně testovat známé sítě bez ohledu na to, zda je pro tuto konkrétní síť zapnuto vysílání SSID. I když je pasivní sken teoreticky možný, je implementován velmi zřídka. Je to proto, že klient potřebuje cyklovat všemi kanály a trávit čas na každém kanálu, aby naslouchal majákům. To by zvýšilo čas potřebný pro připojení k AP.
Používal jsem airmon-ng ke sledování požadavků sondy a zatím všechny mé bezdrátové karty aktivně testují známé sítě. Vypnutí vysílání SSID by proto nemělo zvyšovat riziko.
Další podrobnosti: https://superuser.com/questions/128166/is-looking-for-wi-fi-access-points-purely-passive
Komentáře
- To na otázku neodpovídá.Jak bude klient důvěřovat připojení k Rogue AP, pokud neodpovídá známým vlastnostem původní sítě? Příklad: Důvěryhodná síť s SSID “ Moje síť “ používá šifrování WPA2 s přístupovou frází PSK “ MyPassword „. Rogue AP vysílá SSID “ Moje síť „, ale bez šifrování, nebo používá WEP, nebo používá WPA2 s přístupovou frází PSK “ EvilPassword „. Když klient vyzvedne Rogue AP, neměl by ‚ t zrušit pokus o připojení, když narazí na nesoulad protokolu nebo nesprávný PSK?
- Také, zatímco klienti mohou technicky aktivně skenovat oblast, aktivní skenování nevyžaduje přenos známých SSID, pokud není známo, že síť nezahrnuje svůj SSID do vysílání.
- Ano, mohlo by to vyslat požadavek sondy na všechny AP v oblasti. Většina síťových karet však bude v požadavku sondy obsahovat název SSID.
- Dobře. Ale stále nerozumím tomu, jak se jedná o významné riziko, pokud se klient stejně nepřipojí k nesprávně nakonfigurovanému AP. Z toho důvodu, pokud je novým výchozím nastavením zahrnout SSID do všech vysílání sondy, jak to, že SSID skrývá špatnou věc? Určitě to nemá ‚ žádnou skutečnou výhodu. Ale ‚ nemá to žádný dopad na bezpečnost (možná některé na použitelnost, ale to ‚ není moje otázka zde) sítě nebo buď jeho klient.
Napsat komentář