Riesgos de seguridad de deshabilitar la transmisión SSID
On febrero 9, 2021 by adminRecuerdo haber leído varios artículos en línea, e incluso haberle dado el consejo, afirmando que deshabilitar la transmisión SSID no solo es inútil como medida de seguridad pero también perjudicial para la seguridad de los dispositivos del cliente. La lógica es la siguiente:
SSID Broadcasting On
- Los dispositivos del cliente escuchan pasivamente las redes conocidas.
- Los clientes inician la conexión cuando se escucha una red conocida .
- Los atacantes no saben qué redes están buscando los dispositivos cliente no asociados.
Difusión SSID desactivada
- Los dispositivos cliente deben sondear activamente las redes conocidas.
- Los dispositivos cliente anuncian SSID confiables.
- Los atacantes pueden capturar información SSID confiable y usarla para engañar a los clientes para que se conecten a un AP Rogue cuando no están cerca la red de confianza real.
Esto parece una suposición generalmente sensata. Sin embargo, no creo haber visto ninguna afirmación que tenga en cuenta lo que sucede cuando un atacante intenta hacerse pasar por una red sin conocer otros atributos de la configuración de seguridad de la red, en particular, el protocolo de cifrado o las claves. La conexión debe , en teoría, falla con una discrepancia de protocolo o una negociación de clave incorrecta.
Dado lo anterior, me parece que deshabilitar la transmisión SSID (aunque todavía no es un mecanismo de seguridad confiable) todavía tiene un resultado neto positivo impacto en la seguridad, o neutral en la red, en el peor de los casos. ¿Hay algo que «me estoy perdiendo?
Comentarios
- ¿Qué impediría que un atacante intentara ¿Diferentes combinaciones del protocolo de cifrado con el SSID reclamado?
- @AdnanG Quizás nada. Pero, ¿en qué se diferencia sustancialmente de cómo ‘ tendrían que romper la misma red de otra manera?
- si el cliente se conecta al AP falso, se autenticará con la contraseña de SSID real. El trabajo de los atacantes está hecho por él.
- @AdnanG Eso ‘ es increíblemente simple. Para que ese sea el caso, la red sería igualmente débil contra atacantes que no ‘ t falsifiquen el AP.
- @AdnanG : La contraseña nunca se transmite .
Responder
Eche un vistazo al WiFi Pineapple , que es un dispositivo inalámbrico de suplantación de identidad MITM disponible por $ 100 más gastos de envío. El atacante prácticamente solo tiene que encenderlo y configurarlo, y comenzará a ofrecer ataques MITM instantáneos. Si un dispositivo móvil está buscando un SSID abierto ya conocido, felizmente le proporcionará una conexión a Internet que funcione. No requiere casi ninguna habilidad para operar.
La clave es que un cliente que confía incluso en una sola conexión a cualquier punto de acceso WiFi abierto en cualquier lugar se ha colocado en una posición vulnerable, y esto es cierto si usted están transmitiendo su SSID. El enfoque seguro es exigir credenciales en sus puntos de acceso y evitar ser parte del problema para sus clientes. El hecho de que transmita o no su SSID se convierte en una cuestión de conveniencia para sus usuarios y no es una cuestión de seguridad.
Comentarios
- Esto No responda la pregunta. ¿Cómo confiará el cliente en una conexión a un AP Rogue, si no coincide con las propiedades conocidas de la red original? Ejemplo: la red de confianza con SSID » MyNetwork » usa cifrado WPA2 con una contraseña PSK de » Mi contraseña «. El AP malicioso transmite el SSID » MyNetwork » pero sin encriptación, o usa WEP, o usa WPA2 con una contraseña PSK de » EvilPassword «. Cuando el cliente detecta el AP Rogue, ¿no debería ‘ interrumpir el intento de conexión cuando encuentra una discrepancia de protocolo o un PSK incorrecto?
- Usted ‘ es correcto, no se conectará si el cifrado (y la clave) no ‘ coinciden; pero no ‘ importa si el SSID fue transmitido o no. Mi punto es que no hay forma de que pueda configurar su SSID para solucionar un problema causado por clientes que ya confían en » StarbucksFreeWiFi » (excepto para no obligar a sus clientes a usar una conexión de red inalámbrica no autenticada.)
- Es un punto justo, pero otras redes no son ‘ t parte de la ecuación de riesgo aquí. Suponga que los dispositivos cliente solo están configurados para conectarse a mi red. ¿Cómo se daña su seguridad, o la seguridad de mi red, al desactivar la transmisión SSID en el enrutador?
- La pregunta que parece estar haciendo supone que la visibilidad SSID aislada de todo lo demás afecta la seguridad, pero no ‘ t. Es ‘ solo un factor en combinación con una red insegura, en cuyo punto pone en riesgo a los clientes que confían en ella. Y ese riesgo puede mitigarse mediante el uso de una VPN, momento en el que ‘ está robando kármicamente wifi gratuito del atacante.
- Eso ‘ es exactamente lo que ‘ estoy tratando de determinar: si un atacante obtiene solo la información SSID de una red confiable, y la red está protegida con encriptación y un PSK no conocido por el atacante, ¿es el SSID por sí solo suficiente para que el atacante engañe a los dispositivos del cliente para que se conecten a su AP Rogue? ‘ he visto muchas publicaciones sobre la ocultación de SSID que dicen que pone a los clientes en mayor riesgo de conectarse a AP falsificados, pero no ‘ t abordar lo que sucede con las discrepancias del protocolo de cifrado / PSK cuando el atacante solo tiene el SSID para trabajar.
Respuesta
SSID Broadcasting On
- Los dispositivos cliente escuchan pasivamente las redes conocidas.
- Los clientes inician conexión cuando se escucha una red conocida.
- Los atacantes no saben qué redes están buscando los dispositivos cliente no asociados.
La transmisión de Turing activada no evitará que todos clientes busquen activamente redes conocidas. Esto es específico de la implementación; por ejemplo, Windows XP está predeterminado para escanear solo activamente. Por lo tanto, su suposición de que los atacantes no necesariamente saben qué redes están buscando es incorrecta. Solo se aplica si se conecta con dispositivos modernos que escanean pasivamente las redes en busca de los SSID visibles cuando se configuraron.
SSID Broadcasting Off
- Los dispositivos cliente deben buscar activamente redes conocidas.
- Los dispositivos cliente anuncian SSID confiables.
- Los atacantes pueden capturar información SSID confiable y usarla para engañar a los clientes para que se conecten a un AP falso cuando no están cerca de la red de confianza real.
Eso es cierto siempre que la red esté abierta. Un cliente no podrá conectarse a una red segura con una contraseña diferente o sin contraseña.
Esto parece una suposición generalmente sensata. Sin embargo, no creo haber visto ninguna afirmación que tenga en cuenta lo que sucede cuando un atacante intenta hacerse pasar por una red sin conocer otros atributos de la configuración de seguridad de la red, en particular, el protocolo de cifrado o las claves. La conexión debe , en teoría, falla debido a una discrepancia de protocolo o una negociación de clave incorrecta.
La marco de baliza , incluso cuando no se transmite el SSID (es decir, el SSID se envía en este marco como NULL
) todavía detalla la configuración de seguridad de la red, incluidos los detalles de cifrado.
Teniendo en cuenta lo anterior, me parecería que deshabilitar la transmisión SSID (aunque todavía no es un mecanismo de seguridad confiable) aún tiene un impacto neto positivo en la seguridad, o neutral en el peor de los casos. . ¿Hay algo que «me estoy perdiendo?
Incluso si no estoy transmitiendo, enviando una solicitud de prueba con NULL
ya que el SSID puede causar el AP para responder con una baliza que contiene el SSID. Cualquier camino, tan pronto como un dispositivo válido necesite conectarse, el SSID terminará siendo transmitido por el AP. Yo diría que la única seguridad adicional que se ofrece es la seguridad a través de la oscuridad ; puede hacer que se sienta mejor, pero en realidad no hace que su red sea más segura. El único beneficio insignificante es que su SSID no se transmitirá con tanta frecuencia . Por otro lado, un atacante puede asumir que se trata de una red especialmente sensible y dedicar más tiempo a dirigirse a ella.
Respuesta
Los dispositivos cliente sondearán activamente las redes conocidas independientemente de si la transmisión SSID para esa red en particular está activada o no. Si bien teóricamente es posible realizar una exploración pasiva, rara vez se implementa. Esto se debe a que el cliente necesita recorrer todos los canales y dedicar tiempo a cada canal para escuchar balizas. Esto aumentaría la cantidad de tiempo necesario para conectarse al AP.
He usado airmon-ng para monitorear las solicitudes de sondeo y, hasta ahora, todas mis tarjetas inalámbricas sondean activamente las redes conocidas. Por lo tanto, desactivar la transmisión SSID no debería aumentar el riesgo.
Más detalles: https://superuser.com/questions/128166/is-looking-for-wi-fi-access-points-purely-passive
Comentarios
- Esto no responde a la pregunta.¿Cómo confiará el cliente en una conexión a un AP Rogue, si no coincide con las propiedades conocidas de la red original? Ejemplo: la red de confianza con SSID » MyNetwork » usa cifrado WPA2 con una contraseña PSK de » Mi contraseña «. El AP malicioso transmite el SSID » MyNetwork » pero sin encriptación, o usa WEP, o usa WPA2 con una contraseña PSK de » EvilPassword «. Cuando el cliente detecta el AP Rogue, ¿no debería ‘ interrumpir el intento de conexión cuando encuentra una discrepancia de protocolo o una PSK incorrecta?
- Además, aunque los clientes pueden técnicamente estar escaneando activamente el área, el escaneo activo no requiere la transmisión de SSID conocidos a menos que se sepa que una red no incluye su SSID en la transmisión.
- Sí, podría enviar una solicitud de sondeo a todos los AP en el área. Sin embargo, la mayoría de las tarjetas de red incluirán el nombre SSID en la solicitud de sondeo.
- Ok. Pero todavía no ‘ entiendo cómo esto es un riesgo significativo, si el cliente no se conecta a un AP configurado incorrectamente de todos modos. De todos modos, si el nuevo valor predeterminado es incluir SSID en todas las transmisiones de la sonda de todos modos, ¿cómo oculta SSID algo malo? Ciertamente, ‘ no tiene ninguna ventaja real. Pero no hay ‘ impacto en la seguridad (quizás algo en la usabilidad, pero esa ‘ no es mi pregunta aquí) de la red o su cliente tampoco.
Deja una respuesta