Rischi per la sicurezza derivanti dalla disabilitazione della trasmissione SSID
Su Febbraio 9, 2021 da adminRicordo di aver letto diversi articoli online e persino di aver fornito consigli, affermando che disabilitare la trasmissione SSID non è solo inutile come misura di sicurezza ma anche dannosa per la sicurezza dei dispositivi client. La logica funziona in questo modo:
Trasmissione SSID attiva
- I dispositivi client ascoltano passivamente le reti conosciute.
- I client avviano la connessione quando viene ascoltata una rete nota .
- Gli aggressori non sanno quali reti stanno cercando i dispositivi client non associati.
Trasmissione SSID disattivata
- I dispositivi client devono sondare attivamente le reti conosciute.
- I dispositivi client pubblicizzano SSID affidabili.
- Gli aggressori possono acquisire informazioni SSID affidabili e utilizzarle per indurre i client a connettersi a un AP non autorizzato quando non sono vicini lattuale rete affidabile.
Questa sembra una supposizione generalmente sensata. Tuttavia, non credo di aver visto affermazioni che tengano conto di ciò che accade quando un utente malintenzionato tenta di impersonare una rete senza conoscere altri attributi della configurazione di sicurezza della rete, in particolare il protocollo o le chiavi di crittografia. La connessione dovrebbe , in teoria, fallire con la mancata corrispondenza del protocollo o una cattiva negoziazione delle chiavi.
Considerato quanto sopra, mi sembrerebbe che disabilitare la trasmissione SSID (sebbene non sia ancora un meccanismo di sicurezza affidabile) abbia ancora un netto positivo impatto sulla sicurezza o, nel peggiore dei casi, neutrale alla rete. Cè qualcosa che mi manca?
Commenti
- Cosa impedirebbe a un utente malintenzionato di provare diverse combinazioni del protocollo di crittografia con lSSID dichiarato?
- @AdnanG Forse niente. Ma in che modo è sostanzialmente diverso dal modo in cui ‘ avrebbero dovuto rompere la stessa rete altrimenti?
- se il client si connette allAP canaglia, si autenticherà con leffettiva password SSID. Il lavoro degli aggressori è finito per lui.
- @AdnanG Questo ‘ è incredibilmente semplice. Affinché ciò sia il caso, la rete sarebbe altrettanto debole contro gli aggressori che non ‘ t falsificano lAP.
- @AdnanG : La password non viene mai trasmessa .
Risposta
Dai unocchiata al WiFi Pineapple , un dispositivo di imitazione wireless MITM disponibile per $ 100 più spese di spedizione. Lattaccante deve praticamente solo accenderlo e configurarlo e inizierà a offrire attacchi MITM istantanei. Se un dispositivo mobile sta cercando un SSID aperto già noto, gli fornirà felicemente una connessione Internet funzionante. Non richiede quasi nessuna abilità per funzionare.
La chiave è che un client che si fida anche di una singola connessione a qualsiasi punto di accesso WiFi aperto ovunque si sia posto in una posizione vulnerabile, e questo è vero che tu stanno trasmettendo il tuo SSID. Lapproccio sicuro consiste nel richiedere le credenziali sui punti di accesso ed evitare di essere parte del problema per i tuoi clienti. Che tu trasmetta o meno il tuo SSID diventa quindi una questione di comodità per i tuoi utenti e non è una questione di sicurezza.
Commenti
- Questo fa non rispondere alla domanda. In che modo il client si fiderà di una connessione a un AP non autorizzato, se non corrisponde alle proprietà note della rete originale? Esempio: Trusted Network con SSID ” MyNetwork ” utilizza la crittografia WPA2 con una passphrase PSK di ” MyPassword “. LAP non autorizzato trasmette lSSID ” MyNetwork ” ma senza crittografia, oppure utilizza WEP o utilizza WPA2 con una passphrase PSK di ” EvilPassword “. Quando il client preleva lAP non autorizzato, ‘ non dovrebbe interrompere il tentativo di connessione quando rileva una mancata corrispondenza del protocollo o un PSK errato?
- Tu ‘ è corretto, non si connetterà se la crittografia (e la chiave) ‘ non corrispondono; ma ‘ non importa se lSSID è stato trasmesso o meno. Il punto è che non puoi configurare il tuo SSID per risolvere un problema causato da client che già si fidano di ” StarbucksFreeWiFi ” (diverso da per non forzare i tuoi clienti a utilizzare una connessione di rete wireless non autenticata.)
- Punto giusto, ma altre reti non sono ‘ t parte dellequazione del rischio qui. Supponiamo che i dispositivi client siano configurati solo per connettersi alla mia rete. In che modo la loro sicurezza, o la sicurezza della mia rete, viene effettivamente danneggiata disattivando la trasmissione SSID sul router?
- La domanda che sembri porre presume che la visibilità dellSSID isolata da tutto il resto abbia un impatto sulla sicurezza, ma ‘ t. ‘ è solo un fattore in combinazione con una rete non protetta, a quel punto mette a rischio i client che si fidano di essa. E questo rischio può essere mitigato tramite luso di una VPN, a quel punto ‘ stai rubando karmicamente il Wi-Fi gratuito allattaccante.
- Questo ‘ è esattamente ciò che ‘ sto cercando di determinare: se un utente malintenzionato ottiene solo le informazioni SSID di una rete attendibile e la rete è altrimenti protetta con crittografia e un PSK non noto allaggressore, è sufficiente il solo SSID per consentire allaggressore di ingannare i dispositivi client per farli connettere al suo Rogue AP? ‘ ho visto molti post sulloccultamento di SSID che dicono che espone i clienti a un rischio maggiore di connettersi ad AP falsificati, ma non ‘ t risolvere ciò che accade con il protocollo di crittografia / mancate corrispondenze PSK quando lattaccante solo ha lSSID con cui lavorare.
Risposta
Trasmissione SSID attiva
- I dispositivi client ascoltano passivamente le reti conosciute.
- I client avviano connessione quando si sente una rete nota.
- Gli aggressori non sanno quali reti stanno cercando i dispositivi client non associati.
La trasmissione di Turing attiva non impedirà a tutti i client di cercare attivamente reti conosciute. Questo è specifico dellimplementazione: ad esempio, Windows XP è impostato per impostazione predefinita solo per la scansione attiva. Pertanto, la tua supposizione che gli aggressori non sappiano necessariamente quali reti vengono ricercate non è corretta. Si applica solo se ti connetti a dispositivi moderni che scansionano passivamente le reti per gli SSID visibili quando sono stati configurati.
Trasmissione SSID disattivata
- I dispositivi client devono sondare attivamente le reti conosciute.
- I dispositivi client pubblicizzano SSID affidabili.
- Gli aggressori possono acquisire informazioni SSID affidabili e utilizzarle per indurre i client a connettersi a un AP non autorizzati quando non sono vicini alla rete attendibile effettiva.
Questo è vero finché la rete è aperta. Un client non sarà in grado di connettersi a una rete protetta con una password diversa o senza password.
Questa sembra una supposizione generalmente sensata. Tuttavia, non credo di aver visto affermazioni che tengano conto di ciò che accade quando un utente malintenzionato tenta di impersonare una rete senza conoscere altri attributi della configurazione di sicurezza della rete, in particolare il protocollo o le chiavi di crittografia. La connessione dovrebbe , in teoria, fallire con una mancata corrispondenza del protocollo o una cattiva negoziazione della chiave.
Il beacon frame , anche quando non trasmette lSSID (ovvero lSSID viene inviato in questo frame come NULL
) fornisce comunque i dettagli sulla configurazione della sicurezza di rete, inclusi i dettagli sulla crittografia.
Considerato quanto sopra, mi sembra che disabilitare la trasmissione SSID (sebbene non sia ancora affatto un meccanismo di sicurezza affidabile) abbia ancora un impatto netto positivo sulla sicurezza o, nel peggiore dei casi, net-neutral . Cè qualcosa che mi “manca?
Anche se non trasmette, invia una richiesta di sonda con NULL
come potrebbe causare lSSID lAP per rispondere con un beacon contenente lSSID. Qualsiasi strada, non appena un dispositivo valido deve connettersi allSSID, finirà per essere trasmessa dallAP. Direi che lunica sicurezza extra offerta è la sicurezza attraverso loscurità : potrebbe farti sentire meglio ma in realtà non rende la tua rete più sicura. Lunico vantaggio trascurabile è che il tuo SSID non verrà trasmesso così spesso . Daltro canto, un utente malintenzionato può presumere che si tratti di una rete particolarmente sensibile e dedicare più tempo a prenderla di mira.
Risposta
I dispositivi client sonderanno attivamente le reti conosciute indipendentemente dal fatto che la trasmissione SSID per quella particolare rete sia attivata o meno. Sebbene una scansione passiva sia teoricamente possibile, viene implementata molto raramente. Questo perché il client deve scorrere tutti i canali, trascorrendo del tempo su ogni canale per ascoltare i beacon. Ciò aumenterebbe la quantità di tempo necessaria per connettersi allAP.
Ho usato airmon-ng per monitorare le richieste di sonda e fino ad ora tutte le mie schede wireless sondano attivamente le reti conosciute. Pertanto, la disattivazione della trasmissione SSID non dovrebbe aumentare il rischio.
Ulteriori dettagli: https://superuser.com/questions/128166/is-looking-for-wi-fi-access-points-purely-passive
Commenti
- Questo non risponde alla domanda.In che modo il client si fiderà di una connessione a un AP non autorizzato, se non corrisponde alle proprietà note della rete originale? Esempio: Trusted Network con SSID ” MyNetwork ” utilizza la crittografia WPA2 con una passphrase PSK di ” MyPassword “. LAP non autorizzato trasmette lSSID ” MyNetwork ” ma senza crittografia, oppure utilizza WEP o utilizza WPA2 con una passphrase PSK di ” EvilPassword “. Quando il client preleva lAP non autorizzato, non dovrebbe ‘ interrompere il tentativo di connessione quando rileva una mancata corrispondenza del protocollo o un PSK errato?
- Inoltre, i client possono tecnicamente sta scansionando attivamente larea, la scansione attiva non richiede la trasmissione di SSID noti a meno che una rete non sia particolarmente nota per non includere il suo SSID nella trasmissione.
- Sì, potrebbe inviare una richiesta di sonda a tutti gli AP nellarea. Tuttavia, la maggior parte delle schede di rete includerà il nome SSID nella richiesta della sonda.
- Ok. Ma ancora non ‘ t capisco come questo sia un rischio significativo, se il client non si connetterà comunque a un AP configurato in modo errato. Del resto, se la nuova impostazione predefinita prevede di includere comunque gli SSID in tutte le trasmissioni di sonda, in che modo lSSID nasconde una cosa negativa? Certamente, ‘ non cè alcun vantaggio reale. Ma ‘ non ha alcun impatto sulla sicurezza (forse un po sullusabilità, ma ‘ non è la mia domanda qui) della rete o neanche il suo client.
Lascia un commento