Beveiligingsrisicos van het uitschakelen van SSID Broadcast
Geplaatst op februari 9, 2021 door adminIk herinner me dat ik verschillende artikelen online heb gelezen en zelfs het advies heb doorgegeven dat het uitschakelen van SSID-uitzendingen niet alleen nutteloos is als beveiligingsmaatregel, maar ook schadelijk voor de beveiliging van de clientapparaten. De logica gaat als volgt:
SSID Broadcasting On
- Client-apparaten luisteren passief naar bekende netwerken.
- Clients starten verbinding wanneer een bekend netwerk wordt gehoord .
- Aanvallers weten niet naar welke niet-gekoppelde clientapparaten van het netwerk op zoek zijn.
SSID-uitzending uit
- Client-apparaten moeten zoekt actief naar bekende netwerken.
- Client-apparaten maken reclame voor vertrouwde SSIDs.
- Aanvallers kunnen vertrouwde SSID-informatie vastleggen en deze gebruiken om clients te misleiden om verbinding te maken met een Rogue AP wanneer ze niet in de buurt zijn het daadwerkelijke vertrouwde netwerk.
Dit lijkt over het algemeen een verstandige veronderstelling. Ik denk echter niet dat ik beweringen heb gezien die rekening houden met wat er gebeurt wanneer een aanvaller probeert zich voor te doen als een netwerk zonder andere kenmerken van de beveiligingsconfiguratie van het netwerk te kennen, met name het versleutelingsprotocol of de sleutels. De verbinding moet , in theorie, mislukken met protocol-mismatch of slechte sleutelonderhandeling.
Gezien het bovenstaande lijkt het mij dat het uitschakelen van SSID-uitzendingen (hoewel nog steeds helemaal geen betrouwbaar beveiligingsmechanisme) nog steeds een netto-positieve impact op de beveiliging – of in het slechtste geval netneutraal. Mis ik iets?
Opmerkingen
- Wat zou een aanvaller ervan weerhouden het te proberen verschillende combinaties van het versleutelingsprotocol met de geclaimde SSID?
- @AdnanG Misschien niets. Maar hoe verschilt dat wezenlijk van hoe ze ‘ hetzelfde netwerk anders zouden moeten kraken?
- als de client verbinding maakt met het frauduleuze toegangspunt, zullen ze zich verifiëren met het werkelijke SSID-wachtwoord. De taak van de aanvaller is voor hem geklaard.
- @AdnanG Dat ‘ is onmogelijk eenvoudig. Om dat het geval te maken, zou het netwerk even zwak zijn tegen aanvallers die zijn ‘ t het AP vervalsen.
- @AdnanG : Het wachtwoord wordt nooit verzonden .
Antwoord
Bekijk de WiFi Pineapple , een draadloos MITM-imitatieapparaat dat beschikbaar is voor $ 100 plus verzendkosten. De aanvaller hoeft het vrijwel alleen maar aan te zetten en te configureren, en het zal onmiddellijke MITM-aanvallen gaan aanbieden. Als een mobiel apparaat op zoek is naar een reeds bekende open SSID, zal het het graag voorzien van een werkende internetverbinding. Het vereist bijna geen vaardigheid om te bedienen.
De sleutel is dat een cliënt die zelfs maar een enkele verbinding met een open WiFi-toegangspunt waar dan ook vertrouwt, zichzelf in een kwetsbare positie heeft geplaatst, en dit is waar, of u nu wel of niet zenden uw SSID uit. De veilige benadering is om referenties op uw toegangspunten te vereisen en te voorkomen dat u een deel van het probleem voor uw klanten bent. Of u uw SSID al dan niet uitzendt, wordt dan een kwestie van gemak voor uw gebruikers en is geen kwestie van veiligheid.
Opmerkingen
- Dit doet beantwoord de vraag niet. Hoe vertrouwt de client een verbinding met een Rogue AP als deze niet overeenkomt met de bekende eigenschappen van het oorspronkelijke netwerk? Voorbeeld: vertrouwd netwerk met SSID ” MyNetwork ” gebruikt WPA2-codering met een PSK-wachtwoordzin van ” MyPassword “. Rogue AP zendt de SSID ” MyNetwork ” uit maar zonder codering, of gebruikt WEP, of gebruikt WPA2 met een PSK-wachtwoordzin van ” EvilPassword “. Wanneer de client de Rogue AP ophaalt, moet ‘ de verbindingspoging dan niet laten vallen wanneer het een niet-overeenkomend protocol of een onjuiste PSK tegenkomt?
- Jij ‘ opnieuw correct, er wordt geen verbinding gemaakt als de codering (en sleutel) niet ‘ niet overeenkomt; maar het maakt niet ‘ uit of de SSID werd uitgezonden of niet. Mijn punt is dat u uw SSID op geen enkele manier kunt configureren om een probleem op te lossen dat wordt veroorzaakt door clients die ” StarbucksFreeWiFi ” al vertrouwen (behalve om uw klanten niet te dwingen een niet-geverifieerde draadloze netwerkverbinding te gebruiken.)
- Redelijk punt, maar andere netwerken maken ‘ geen deel uit van de risicovergelijking hier. Stel dat de clientapparaten alleen zijn geconfigureerd om verbinding te maken met mijn netwerk. Hoe is hun beveiliging, of de beveiliging van mijn netwerk, eigenlijk geschaad door SSID-uitzendingen op de router uit te schakelen?
- De vraag die u lijkt te stellen, gaat ervan uit dat SSID-zichtbaarheid geïsoleerd van al het andere de veiligheid beïnvloedt, maar ‘ t. Het ‘ is slechts een factor in combinatie met een onbeveiligd netwerk, en op dat moment brengt het alle klanten die het vertrouwen in gevaar. En dat risico kan worden verkleind door het gebruik van een VPN, waarna je ‘ karmisch gratis wifi van de aanvaller steelt.
- Dat ‘ is precies wat ik ‘ m probeer te bepalen – of een aanvaller alleen de SSID-informatie van een vertrouwd netwerk krijgt, en het netwerk anderszins is beveiligd met encryptie en een PSK die de aanvaller niet kent, is de SSID alleen genoeg voor de aanvaller om clientapparaten te misleiden om verbinding te maken met zijn Rogue AP? Ik ‘ heb veel berichten gezien over het verbergen van SSIDs die zeggen dat clients een groter risico lopen om verbinding te maken met vervalste APs, maar ze ‘ t aanpakken wat er gebeurt met versleutelingsprotocol / PSK-mismatches wanneer de aanvaller alleen de SSID heeft om mee te werken.
Antwoord
SSID Broadcasting Aan
- Client-apparaten luisteren passief naar bekende netwerken.
- Clients starten verbinding wanneer een bekend netwerk wordt gehoord.
- Aanvallers weten niet naar welke netwerken niet-gekoppelde clientapparaten op zoek zijn.
Turing-uitzendingen zullen niet voorkomen dat alle clients actief zoeken naar bekende netwerken. Dit is implementatiespecifiek – Windows XP is bijvoorbeeld standaard ingesteld om alleen actief te scannen. Daarom is uw aanname dat aanvallers niet noodzakelijk weten welke netwerken worden gezocht, onjuist. Het is alleen van toepassing als u verbinding maakt met moderne apparaten die passief netwerken scannen op de zichtbare SSIDs toen ze werden geconfigureerd.
SSID Broadcasting Off
- Client-apparaten moeten actief zoeken naar bekende netwerken.
- Client-apparaten maken reclame voor vertrouwde SSIDs.
- Aanvallers kunnen vertrouwde SSID-informatie vastleggen en deze gebruiken om clients te misleiden om verbinding te maken met een Rogue AP wanneer ze niet in de buurt van het daadwerkelijke vertrouwde netwerk zijn.
Dat is waar zolang het netwerk open is. Een cliënt zal geen verbinding kunnen maken met een beveiligd netwerk met een ander of geen wachtwoord.
Dit lijkt over het algemeen een verstandige veronderstelling. Ik denk echter niet dat ik beweringen heb gezien die rekening houden met wat er gebeurt wanneer een aanvaller probeert zich voor te doen als een netwerk zonder andere kenmerken van de beveiligingsconfiguratie van het netwerk te kennen, met name het versleutelingsprotocol of de sleutels. De verbinding moet , in theorie, mislukken met een niet-overeenkomend protocol of slechte sleutelonderhandeling.
Het bakenframe , zelfs als de SSID niet wordt uitgezonden (dwz SSID wordt in dit frame verzonden als NULL
) geeft nog steeds de netwerkbeveiligingsconfiguratie inclusief coderingsdetails weer.
Gezien het bovenstaande lijkt het mij dat het uitschakelen van SSID-uitzendingen (hoewel het nog steeds helemaal geen betrouwbaar beveiligingsmechanisme is) nog steeds een netto positieve impact heeft op de beveiliging – of in het slechtste geval netneutraal . Ontbreekt er iets dat ik “m mis?
Zelfs als ik niet uitzend, een testverzoek verzenden met NULL
zoals de SSID kan veroorzaken de AP om te antwoorden met een baken met de SSID. Elke weg, zodra een geldig apparaat verbinding moet maken, wordt de SSID uitgezonden door het AP. Ik zou zeggen dat de enige extra beveiliging die wordt geboden beveiliging door onduidelijkheid is – het kan je een beter gevoel geven, maar het maakt je netwerk niet echt veiliger. Het enige verwaarloosbare voordeel is dat uw SSID niet zo vaak wordt uitgezonden. Aan de andere kant, kan een aanvaller aannemen dat dit een bijzonder gevoelig netwerk is en er meer tijd aan besteden.
Antwoord
Client-apparaten zullen actief bekende netwerken onderzoeken, ongeacht of SSID-uitzending voor dat specifieke netwerk is ingeschakeld of niet. Hoewel een passieve scan theoretisch mogelijk is, wordt deze zeer zelden geïmplementeerd. Dit komt omdat de klant alle kanalen moet doorlopen en op elk kanaal tijd moet besteden om naar bakens te luisteren. Dit zou de hoeveelheid tijd die nodig is om verbinding te maken met het toegangspunt vergroten.
Ik heb airmon-ng gebruikt om sondeverzoeken te monitoren en tot nu toe zoeken al mijn draadloze kaarten actief naar bekende netwerken. Daarom mag het uitschakelen van SSID-uitzendingen het risico niet vergroten.
Meer details: https://superuser.com/questions/128166/is-looking-for-wi-fi-access-points-purely-passive
Opmerkingen
- Dit geeft geen antwoord op de vraag.Hoe vertrouwt de client een verbinding met een Rogue AP als deze niet overeenkomt met de bekende eigenschappen van het oorspronkelijke netwerk? Voorbeeld: vertrouwd netwerk met SSID ” MyNetwork ” gebruikt WPA2-codering met een PSK-wachtwoordzin van ” MyPassword “. Rogue AP zendt de SSID ” MyNetwork ” uit maar zonder codering, of gebruikt WEP, of gebruikt WPA2 met een PSK-wachtwoordzin van ” EvilPassword “. Wanneer de client de Rogue AP oppakt, zou ‘ de verbindingspoging dan niet moeten laten vallen wanneer het een protocol-mismatch of onjuiste PSK tegenkomt?
- Ook, terwijl clients technisch actief het gebied scannen, vereist actief scannen geen overdracht van bekende SSIDs, tenzij in het bijzonder bekend is dat een netwerk zijn SSID niet opneemt in de uitzending.
- Ja, het zou een sondeverzoek naar alle APs kunnen sturen in de omgeving. De meeste netwerkkaarten zullen echter de SSID-naam in het testverzoek opnemen.
- Ok. Maar ik begrijp nog steeds niet ‘ hoe dit een significant risico is als de client toch geen verbinding maakt met een onjuist geconfigureerd toegangspunt. Trouwens, als de nieuwe standaard SSIDs in alle sonde-uitzendingen moet opnemen, hoe verbergt SSID dan een slechte zaak? Zeker, er ‘ heeft geen echt voordeel. Maar er ‘ s heeft geen invloed op de beveiliging (misschien wel wat op de bruikbaarheid, maar dat ‘ is hier niet mijn vraag) van het netwerk of ook zijn cliënt.
Geef een reactie