Zagrożenia bezpieczeństwa związane z wyłączeniem rozgłaszania SSID
On 9 lutego, 2021 by adminPamiętam, że przeczytałem kilka artykułów online, a nawet przekazałem radę, stwierdzając, że wyłączenie rozgłaszania SSID jest nie tylko bezużyteczne jako środek bezpieczeństwa, ale także szkodliwy dla bezpieczeństwa urządzeń klienckich. Logika jest następująca:
Rozgłaszanie SSID włączone
- Urządzenia klienckie pasywnie nasłuchują znanych sieci.
- Klienci inicjują połączenie, gdy usłyszymy znaną sieć .
- Atakujący nie wiedzą, jakich sieci szukają niepowiązane urządzenia klienckie.
Rozgłaszanie SSID wyłączone
- Urządzenia klienckie muszą aktywnie sondować znane sieci.
- Urządzenia klienckie reklamują zaufane identyfikatory SSID.
- Atakujący mogą przechwytywać zaufane informacje SSID i wykorzystywać je do nakłaniania klientów do łączenia się z nielegalnym punktem dostępu, gdy nie są w pobliżu rzeczywista zaufana sieć.
To wydaje się ogólnie rozsądne przypuszczenie. Jednak wydaje mi się, że nie widziałem żadnych twierdzeń, które uwzględniają to, co się dzieje, gdy atakujący próbuje podszyć się pod sieć bez znajomości innych atrybutów konfiguracji zabezpieczeń sieci – w szczególności protokołu szyfrowania lub kluczy. Połączenie powinno teoretycznie zakończy się niepowodzeniem w przypadku niedopasowania protokołu lub złej negocjacji klucza.
Biorąc pod uwagę powyższe, wydaje mi się, że wyłączenie rozgłaszania SSID (chociaż nadal nie jest to niezawodny mechanizm bezpieczeństwa) nadal ma dodatni wynik netto wpływ na bezpieczeństwo – lub w najgorszym przypadku neutralny dla sieci. Czy jest coś, czego mi brakuje?
Komentarze
- Co powstrzymałoby atakującego przed próbą różne kombinacje protokołu szyfrowania z podanym SSID?
- @AdnanG Być może nic. Ale czym to się zasadniczo różni od tego, w jaki sposób ' musieliby złamać tę samą sieć w przeciwnym razie?
- jeśli klient połączy się z fałszywym punktem dostępu, uwierzytelni się za pomocą rzeczywiste hasło SSID. Atakujący wykonali za niego zadanie.
- @AdnanG To ' jest niemożliwie proste. W takim przypadku sieć byłaby równie słaba w przypadku atakujących, którzy nie ' t podszywają się pod AP.
- @AdnanG : Hasło nie jest nigdy przesyłane .
Odpowiedź
Przyjrzyj się ananasowi Wi-Fi , który jest bezprzewodowym urządzeniem do personifikacji MITM dostępnym za 100 USD plus koszty wysyłki. Atakujący musi tylko go zasilić i skonfigurować, a zacznie oferować natychmiastowe ataki MITM. Jeśli urządzenie mobilne szuka już znanego otwartego identyfikatora SSID, z przyjemnością zapewni mu działające połączenie internetowe. Jego działanie nie wymaga prawie żadnych umiejętności.
Kluczem jest to, że klient, który ufa nawet jednemu połączeniu z dowolnym otwartym punktem dostępu Wi-Fi w dowolnym miejscu, znalazł się w trudnej sytuacji i jest to prawdą niezależnie od tego, czy Ty rozgłaszają Twój identyfikator SSID. Bezpiecznym podejściem jest wymaganie poświadczeń w punktach dostępu i unikanie bycia częścią problemu dla klientów. To, czy rozgłaszasz swój identyfikator SSID, staje się wtedy kwestią wygody użytkowników i nie jest kwestią bezpieczeństwa.
Komentarze
- nie odpowiadać na pytanie. W jaki sposób klient zaufa połączeniu z nielegalnym punktem dostępu, jeśli nie jest ono zgodne ze znanymi właściwościami oryginalnej sieci? Przykład: sieć zaufana z SSID ” MyNetwork ” używa szyfrowania WPA2 z hasłem PSK ” Moje hasło „. Fałszywy punkt dostępowy rozgłasza SSID ” MyNetwork „, ale bez szyfrowania, używa WEP lub WPA2 z hasłem PSK ” EvilPassword „. Gdy klient odbierze fałszywy punkt dostępowy, czy nie ' t powinien porzucić próbę połączenia, gdy napotka niezgodność protokołu lub nieprawidłowy PSK?
- Ty jest poprawne, nie połączy się, jeśli szyfrowanie (i klucz) nie ' nie są zgodne; ale nie ma ' nie ma znaczenia, czy identyfikator SSID był rozgłaszany, czy nie. Chodzi mi o to, że nie ma możliwości skonfigurowania identyfikatora SSID w celu rozwiązania problemu spowodowanego przez klientów, którzy już ufają ” StarbucksFreeWiFi ” (poza aby nie zmuszać klientów do korzystania z nieuwierzytelnionego połączenia z siecią bezprzewodową.)
- Słuszna uwaga, ale inne sieci nie są ' t częścią równania ryzyka. Załóżmy, że urządzenia klienckie są skonfigurowane tylko do łączenia się z moją siecią. W jaki sposób faktycznie szkodzi ich bezpieczeństwo lub bezpieczeństwo mojej sieci, wyłączając rozgłaszanie SSID na routerze?
- Pytanie, które wydajesz się zadawać, zakłada, że widoczność SSID w oderwaniu od wszystkiego innego wpływa na bezpieczeństwo, ale nie ' t. ' jest tylko czynnikiem w połączeniu z niezabezpieczoną siecią, w którym to momencie naraża wszystkich klientów, którzy jej ufają. Ryzyko to można złagodzić za pomocą VPN, w którym to momencie ' karmicznie kradniesz darmowe Wi-Fi atakującemu.
- To ' jest dokładnie tym, co ' m próbuję ustalić – jeśli atakujący uzyska tylko informacje o identyfikatorze SSID zaufanej sieci, a sieć jest w inny sposób zabezpieczona szyfrowaniem i PSK nieznany atakującemu, czy sam SSID wystarczy, aby atakujący nakłonił urządzenia klienckie do połączenia się z jego fałszywym AP? ' Widziałem wiele postów dotyczących ukrywania identyfikatora SSID, które mówią, że zwiększa to ryzyko łączenia się klientów z fałszywymi punktami dostępowymi, ale nie ' t zająć się tym, co dzieje się z niezgodnością protokołu szyfrowania / PSK, gdy atakujący tylko ma identyfikator SSID, z którym może pracować.
Odpowiedź
Włączone rozgłaszanie SSID
- Urządzenia klienckie pasywnie nasłuchują znanych sieci.
- Klienci inicjują połączenie po usłyszeniu znanej sieci.
- Atakujący nie wiedzą, jakich sieci szukają niepowiązane urządzenia klienckie.
Włączenie rozgłaszania nie uniemożliwi wszystkim klientom aktywnego skanowania w poszukiwaniu znanych sieci. Jest to specyficzne dla implementacji – na przykład system Windows XP domyślnie skanuje tylko aktywnie. Dlatego założenie, że atakujący niekoniecznie wiedzą, które sieci są poszukiwane, jest nieprawidłowe. Ma to zastosowanie tylko wtedy, gdy łączysz się z nowoczesnymi urządzeniami, które pasywnie skanują sieci w poszukiwaniu widocznych identyfikatorów SSID, gdy zostały skonfigurowane.
Nadawanie SSID wyłączone
- Urządzenia klienckie muszą aktywnie sondować znane sieci.
- Urządzenia klienckie reklamują zaufane identyfikatory SSID.
- Atakujący mogą przechwytywać zaufane informacje SSID i wykorzystywać je do nakłaniania klientów do łączenia się z Złośliwy punkt dostępu, gdy nie ma ich w pobliżu zaufanej sieci.
Jest to prawdą, o ile sieć jest otwarta. Klient nie będzie mógł połączyć się z zabezpieczoną siecią przy użyciu innego hasła lub bez hasła.
To wydaje się ogólnie rozsądne przypuszczenie. Jednak wydaje mi się, że nie widziałem żadnych twierdzeń, które uwzględniają to, co się dzieje, gdy atakujący próbuje podszyć się pod sieć bez znajomości innych atrybutów konfiguracji zabezpieczeń sieci – w szczególności protokołu szyfrowania lub kluczy. Połączenie powinno , teoretycznie, niepowodzenie z powodu niezgodności protokołu lub złej negocjacji klucza.
ramka beacon , nawet jeśli identyfikator SSID nie jest rozgłaszany (tj. identyfikator SSID jest wysyłany w tej ramce jako NULL
), nadal podaje szczegóły konfiguracji zabezpieczeń sieci, w tym szczegóły dotyczące szyfrowania.
Biorąc pod uwagę powyższe, wydaje mi się, że wyłączenie rozgłaszania SSID (chociaż nadal nie jest to niezawodny mechanizm bezpieczeństwa) nadal ma pozytywny wpływ na bezpieczeństwo – lub w najgorszym przypadku neutralny dla sieci . Czy czegoś mi brakuje?
Nawet jeśli nie transmituję, wysyłam żądanie sondy z NULL
jak może powodować SSID AP, aby odpowiedzieć, wysyłając sygnał nawigacyjny zawierający identyfikator SSID. Każda droga, gdy tylko prawidłowe urządzenie będzie musiało połączyć się z identyfikatorem SSID, zostanie nadana przez punkt dostępowy. Powiedziałbym, że jedynym oferowanym dodatkowym zabezpieczeniem jest ochrona przez zaciemnienie – może to poprawić Twoje samopoczucie, ale tak naprawdę nie zwiększa bezpieczeństwa Twojej sieci. Jedyną pomijalną korzyścią jest to, że identyfikator SSID nie będzie nadawany tak często . Z drugiej strony, atakujący może założyć, że jest to szczególnie wrażliwa sieć i poświęcić więcej czasu na jej atak.
Odpowiedź
Urządzenia klienckie będą aktywnie sondować znane sieci, niezależnie od tego, czy rozgłaszanie SSID dla tej konkretnej sieci jest włączone, czy nie. Chociaż skanowanie pasywne jest teoretycznie możliwe, jest bardzo rzadko wdrażane. Dzieje się tak, ponieważ klient musi przechodzić przez wszystkie kanały, spędzając czas na każdym kanale, aby nasłuchiwać sygnałów nawigacyjnych. Zwiększyłoby to ilość czasu potrzebnego do połączenia się z punktem dostępowym.
Użyłem airmon-ng do monitorowania żądań sondujących i jak dotąd wszystkie moje karty bezprzewodowe aktywnie sondują znane sieci. Dlatego wyłączenie transmisji SSID nie powinno zwiększyć ryzyka.
Więcej szczegółów: https://superuser.com/questions/128166/is-looking-for-wi-fi-access-points-purely-passive
Komentarze
- To nie odpowiada na pytanie.W jaki sposób klient zaufa połączeniu z nielegalnym punktem dostępu, jeśli nie jest ono zgodne ze znanymi właściwościami oryginalnej sieci? Przykład: sieć zaufana z SSID ” MyNetwork ” używa szyfrowania WPA2 z hasłem PSK ” Moje hasło „. Fałszywy punkt dostępowy rozgłasza SSID ” MyNetwork „, ale bez szyfrowania, używa WEP lub WPA2 z hasłem PSK ” EvilPassword „. Kiedy klient odbierze nielegalny punkt dostępowy, czy nie ' t powinien porzucić próbę połączenia, gdy napotka niezgodność protokołu lub nieprawidłowy PSK?
- Ponadto, gdy klienci mogą z technicznego punktu widzenia aktywnie skanuje obszar, skanowanie aktywne nie wymaga transmisji znanych identyfikatorów SSID, chyba że sieć nie zawiera swojego identyfikatora SSID w transmisji.
- Tak, może wysłać żądanie sondy do wszystkich punktów dostępowych w obszarze. Jednak większość kart sieciowych będzie zawierała nazwę SSID w żądaniu sondy.
- OK. Ale nadal nie ' nie rozumiem, jakie to poważne ryzyko, jeśli klient i tak nie połączy się z nieprawidłowo skonfigurowanym punktem dostępu. Jeśli o to chodzi, jeśli nową wartością domyślną jest uwzględnianie identyfikatorów SSID we wszystkich emisjach sondujących, w jaki sposób SSID ukrywa coś złego? Z pewnością ' nie ma z tego żadnych korzyści. Ale ' nie ma żadnego wpływu na bezpieczeństwo (być może trochę na użyteczność, ale to ' nie jest moim pytaniem) sieci lub jego klienta.
Dodaj komentarz