Sikkerhetsrisiko ved å deaktivere SSID Broadcast
On februar 9, 2021 by adminJeg husker at jeg hadde lest flere artikler på nettet, og til og med ga rådene og sa at deaktivering av SSID-sending ikke bare er ubrukelig som en sikkerhetstiltak, men også skadelig for sikkerheten til klientenhetene. Logikken går slik:
SSID Broadcasting On
- Klientenheter lytter passivt etter kjente nettverk.
- Klienter starter tilkobling når et kjent nettverk blir hørt .
- Angripere vet ikke hvilke nettverk ikke-tilknyttede klientenheter leter etter.
SSID Broadcasting Off
- Klientenheter må aktivt søke etter kjente nettverk.
- Klientenheter annonserer pålitelige SSIDer.
- Angripere kan fange pålitelig SSID-informasjon og bruke den til å lure klienter til å koble seg til en Rogue AP når de ikke er i nærheten selve det pålitelige nettverket.
Dette virker generelt sett fornuftig. Imidlertid tror jeg ikke at jeg har sett påstander som tar hensyn til hva som skjer når en angriper prøver å utgi seg for et nettverk uten å kjenne til andre attributter i nettverkets sikkerhetskonfigurasjon – spesielt krypteringsprotokollen eller nøklene. , i teorien, mislykkes med uoverensstemmelse mellom protokoller eller dårlig nøkkelforhandling.
Gitt det ovennevnte, ser det ut til at det å slå av SSID-kringkasting (mens det fremdeles ikke er en pålitelig sikkerhetsmekanisme) fremdeles har en nettopositiv innvirkning på sikkerheten – eller i verste fall nettnøytral. Er det noe jeg mangler?
Kommentarer
- Hva ville hindre en angriper i å prøve forskjellige kombinasjoner av krypteringsprotokollen med påstått SSID?
- @AdnanG Kanskje ingenting. Men hvordan er det vesentlig forskjellig fra hvordan de ‘ ellers må knekke det samme nettverket?
- Hvis klienten kobler seg til den useriøse AP, vil de autentisere med det faktiske SSID-passordet. Angriperens jobb er gjort for ham.
- @AdnanG At ‘ er umulig enkel. For at dette skal være tilfelle, vil nettverket være like svakt mot angripere som ikke er ‘ t spoofing the AP.
- @AdnanG : Passordet blir aldri overført .
Svar
Ta en titt på WiFi Pineapple , som er en trådløs MITM-etterligningsenhet tilgjengelig for $ 100 pluss frakt. Angriperen må stort sett bare slå den på og konfigurere den, og den vil begynne å tilby øyeblikkelige MITM-angrep. Hvis en mobil enhet søker etter en allerede kjent åpen SSID, vil den gjerne gi den en fungerende internettforbindelse. Det krever nesten ingen ferdigheter for å operere.
Nøkkelen er at en klient som stoler på til og med en enkelt forbindelse til et hvilket som helst åpent WiFi-tilgangspunkt hvor som helst, har plassert seg i en sårbar posisjon, og dette gjelder uansett om du sender SSID. Den sikre tilnærmingen er å kreve legitimasjon på tilgangspunktene dine, og unngå å være en del av problemet for kundene dine. Hvorvidt du kringkaster SSID eller ikke blir et spørsmål om bekvemmelighet for brukerne dine, og er ikke et spørsmål om sikkerhet.
Kommentarer
- Dette gjør ikke svare på spørsmålet. Hvordan vil klienten stole på en forbindelse til en Rogue AP, hvis den ikke samsvarer med de kjente egenskapene til det opprinnelige nettverket? Eksempel: Klarert nettverk med SSID » MyNetwork » bruker WPA2-kryptering med en PSK-passfrase på » Mitt passord «. Rogue AP sender SSID » MyNetwork » men uten kryptering, eller bruker WEP, eller bruker WPA2 med en PSK-passfrase på » EvilPassword «. Når klienten henter Rogue AP, skal ikke ‘ t det slippe tilkoblingsforsøket når det støter på en protokolloverensstemmelse eller feil PSK?
- Du ‘ er riktig, den kobles ikke hvis krypteringen (og nøkkelen) ikke samsvarer ‘ t samsvarer; men det spiller ingen rolle ‘ om SSID ble sendt eller ikke. Poenget mitt er at det er ingen måte du kan konfigurere SSID for å fikse et problem forårsaket av klienter som allerede stoler på » StarbucksFreeWiFi » (annet enn for ikke å tvinge kundene dine til å bruke en uautentisert trådløs nettverkstilkobling.)
- Fair point, men andre nettverk er ikke ‘ t en del av risikolikningen her. Anta at klientenhetene bare er konfigurert for å koble til nettverket mitt. Hvordan blir deres sikkerhet, eller sikkerheten til nettverket mitt, faktisk skadet ved å slå av SSID-kringkasting på ruteren?
- Spørsmålet du ser ut til å stille forutsetter at SSID-synlighet isolert fra alt annet påvirker sikkerhet, men det ‘ t. Det ‘ er bare en faktor i kombinasjon med et usikret nettverk, på hvilket tidspunkt det setter alle kunder som stoler på det i fare. Og den risikoen kan reduseres ved bruk av et VPN, på hvilket tidspunkt du ‘ stjeler gratis wifi fra angriperen.
- At ‘ er nøyaktig hva jeg ‘ prøver å bestemme – hvis en angriper bare får SSID-informasjonen til et pålitelig nettverk, og nettverket ellers er sikret med kryptering og en PSK ikke kjent for angriperen, er SSID alene nok til at angriperen lurer klientenheter til å koble seg til Rogue AP? Jeg ‘ har sett mange innlegg om SSID som skjuler seg som sier at klienter har høyere risiko for å koble seg til falske AP-er, men de har ikke ‘ t adressere hva som skjer med krypteringsprotokoll / PSK-uoverensstemmelser når angriperen bare har SSID å jobbe med.
Svar
SSID-kringkasting På
- Klientenheter lytter passivt etter kjente nettverk.
- Klienter starter tilkobling når et kjent nettverk blir hørt.
- Angripere vet ikke hvilke nettverk ikke-tilknyttede klientenheter leter etter.
Turing kringkasting vil ikke hindre alle klienter i å aktivt søke etter kjente nettverk. Dette er implementeringsspesifikt – for eksempel er Windows XP som standard bare å aktivt skanne. Derfor er antagelsen din om at angripere ikke nødvendigvis vet hvilke nettverk det søkes etter, feil. Det gjelder bare hvis du kobler deg til moderne enheter som passivt skanner nettverk for de synlige SSIDene da de ble konfigurert.
SSID Broadcasting Off
- Klientenheter må aktivt undersøke kjente nettverk.
- Klientenheter annonserer pålitelige SSID-er.
- Angripere kan fange pålitelig SSID-informasjon og bruke den til å lure klienter til å koble til en Rogue AP når de ikke er i nærheten av det faktiske pålitelige nettverket.
Det er sant så lenge nettverket er åpent. En klient vil ikke kunne koble til et sikret nettverk med et annet eller ingen passord.
Dette virker som en generelt fornuftig antagelse. Imidlertid tror jeg ikke at jeg har sett noen påstander som tar hensyn til hva som skjer når en angriper prøver å utgi seg for et nettverk uten å kjenne til andre attributter for nettverkets sikkerhetskonfigurasjon – spesielt krypteringsprotokollen eller nøklene. , i teorien, mislykkes med protokolloverensstemmelse eller dårlig nøkkelforhandling.
fyrtårnrammen , selv om SSID ikke sendes (dvs. SSID sendes i denne rammen som NULL
), fremdeles detaljering av nettverkssikkerhetskonfigurasjonen inkludert krypteringsdetaljer.
Gitt det ovennevnte, ser det ut til at deaktivering av SSID-kringkasting (mens det fortsatt ikke er en pålitelig sikkerhetsmekanisme) fortsatt har en netto positiv innvirkning på sikkerheten – eller nettnøytral, i verste fall . Er det noe jeg mangler?
Selv om jeg ikke kringkaster, sender du en probeforespørsel med NULL
som SSID kan forårsake AP for å svare med et fyrtårn som inneholder SSID. Enhver vei, så snart en gyldig enhet trenger å koble til, vil SSID bli sendt av AP. Jeg vil si at den eneste ekstra sikkerheten som tilbys er sikkerhet gjennom uklarhet – det kan få deg til å føle deg bedre, men det gjør ikke nettverket ditt mer sikkert. Den eneste ubetydelige fordelen er at SSID-en ikke blir sendt så ofte . På baksiden, kan en angriper anta at dette er et spesielt sensitivt nettverk og bruke mer tid på å målrette det.
Svar
Klientenheter vil aktivt undersøke kjente nettverk uansett om SSID-kringkasting for det aktuelle nettverket er slått på eller ikke. Mens en passiv skanning er teoretisk mulig, blir den svært sjelden implementert. Dette er fordi klienten trenger å sykle gjennom alle kanaler, bruke tid på hver kanal for å lytte etter fyrtårn. Dette vil øke mengden tid som trengs for å koble til AP.
Jeg har brukt airmon-ng til å overvåke soneforespørsler, og så langt har alle mine trådløse kort aktivt sonet etter kjente nettverk. Derfor bør det ikke øke risikoen å slå av SSID-kringkasting.
Flere detaljer: https://superuser.com/questions/128166/is-looking-for-wi-fi-access-points-purely-passive
Kommentarer
- Dette svarer ikke på spørsmålet.Hvordan vil klienten stole på en forbindelse til en Rogue AP, hvis den ikke samsvarer med de kjente egenskapene til det opprinnelige nettverket? Eksempel: Klarert nettverk med SSID » MyNetwork » bruker WPA2-kryptering med en PSK-passfrase på » Mitt passord «. Rogue AP sender SSID » MyNetwork » men uten kryptering, eller bruker WEP, eller bruker WPA2 med en PSK-passfrase på » EvilPassword «. Når klienten henter Rogue AP, burde den ikke ‘ tappe forbindelsesforsøket når den støter på en protokolloverensstemmelse eller feil PSK? teknisk sett aktivt skanne området, krever aktiv skanning ikke overføring av kjente SSID-er med mindre et nettverk er spesielt kjent for ikke å inkludere SSID-en i sendingen.
- Ja, det kan sende ut en sonde-forespørsel til alle AP-er i området. Imidlertid vil de fleste nettverkskort inkludere SSID-navnet i probeforespørselen.
- Ok. Men jeg forstår fortsatt ikke ‘ hvordan dette er en betydelig risiko, hvis klienten uansett ikke vil koble til et feil konfigurert AP. For den saks skyld, hvis den nye standarden er å inkludere SSID-er i alle sondesendinger uansett, hvordan skjuler SSID en dårlig ting? Det er absolutt ingen ‘ det. Men det ‘ har ingen innvirkning på sikkerheten (kanskje noe for brukervennligheten, men at ‘ ikke er spørsmålet mitt her) til nettverket eller klienten heller.
Legg igjen en kommentar