Sicherheitsrisiken beim Deaktivieren von SSID-Broadcast
On Februar 9, 2021 by adminIch erinnere mich, dass ich mehrere Artikel online gelesen und sogar den Rat weitergegeben habe, dass das Deaktivieren von SSID-Broadcast nicht nur nutzlos ist Sicherheitsmaßnahme, aber auch schädlich für die Sicherheit der Client-Geräte. Die Logik sieht folgendermaßen aus:
SSID-Broadcasting auf
- Clientgeräte warten passiv auf bekannte Netzwerke.
- Clients stellen eine Verbindung her, wenn ein bekanntes Netzwerk gehört wird
- Angreifer wissen nicht, nach welchen Netzwerken nicht zugeordnete Clientgeräte suchen.
SSID-Broadcasting aus
- Clientgeräte müssen Aktiv nach bekannten Netzwerken suchen.
- Clientgeräte werben für vertrauenswürdige SSIDs.
- Angreifer können vertrauenswürdige SSID-Informationen erfassen und damit Clients dazu verleiten, eine Verbindung zu einem Rogue-AP herzustellen, wenn sie sich nicht in der Nähe befinden das tatsächlich vertrauenswürdige Netzwerk.
Dies scheint eine allgemein vernünftige Annahme zu sein. Ich glaube jedoch nicht, dass ich irgendwelche Behauptungen gesehen habe, die berücksichtigen, was passiert, wenn ein Angreifer versucht, sich als Netzwerk auszugeben, ohne andere Attribute der Sicherheitskonfiguration des Netzwerks zu kennen – insbesondere das Verschlüsselungsprotokoll oder die Schlüssel. Die Verbindung sollte Theoretisch scheitern Sie an Protokollfehlanpassungen oder fehlerhaften Schlüsselverhandlungen.
Angesichts der obigen Ausführungen scheint es mir, dass das Deaktivieren von SSID-Broadcast (obwohl es noch kein zuverlässiger Sicherheitsmechanismus ist) immer noch ein positives Nettoergebnis aufweist Auswirkungen auf die Sicherheit – oder im schlimmsten Fall netzneutral. Fehlt mir etwas?
Kommentare
- Was würde einen Angreifer davon abhalten, es zu versuchen verschiedene Kombinationen des Verschlüsselungsprotokolls mit der beanspruchten SSID?
- @AdnanG Vielleicht nichts. Aber wie unterscheidet sich das wesentlich davon, wie sie ‚ ansonsten dasselbe Netzwerk knacken müssten?
- Wenn der Client eine Verbindung zum nicht autorisierten AP herstellt, authentifizieren sie sich bei das tatsächliche SSID-Passwort. Die Arbeit des Angreifers ist für ihn erledigt.
- @AdnanG Das ‚ ist unglaublich einfach. Damit dies der Fall ist, wäre das Netzwerk gegenüber Angreifern, die den AP nicht ‚ t fälschen, gleichermaßen schwach.
- @AdnanG : Das Passwort wird nie übertragen .
Antwort
Sehen Sie sich die WiFi Pineapple an, ein drahtloses MITM-Identitätswechselgerät, das für 100 USD zzgl. Versand erhältlich ist. Der Angreifer muss es so gut wie nur einschalten und konfigurieren, und es werden sofortige MITM-Angriffe angeboten. Wenn ein mobiles Gerät nach einer bereits bekannten offenen SSID sucht, stellt es ihm gerne eine funktionierende Internetverbindung zur Verfügung. Die Bedienung erfordert fast keine Kenntnisse.
Der Schlüssel ist, dass sich ein Client, der auch nur einer einzigen Verbindung zu einem offenen WiFi-Zugangspunkt irgendwo vertraut, in eine gefährdete Position gebracht hat, und dies gilt unabhängig davon, ob Sie es sind oder nicht senden Ihre SSID. Der sichere Ansatz besteht darin, Anmeldeinformationen für Ihre Zugriffspunkte anzufordern und zu vermeiden, Teil des Problems für Ihre Kunden zu sein. Ob Sie Ihre SSID senden oder nicht, ist für Ihre Benutzer eine Frage der Bequemlichkeit und keine Frage der Sicherheit.
Kommentare
- Dies ist der Fall beantworte die Frage nicht. Wie vertraut der Client einer Verbindung zu einem Rogue-AP, wenn diese nicht mit den bekannten Eigenschaften des ursprünglichen Netzwerks übereinstimmt? Beispiel: Vertrauenswürdiges Netzwerk mit SSID “ MyNetwork “ verwendet die WPA2-Verschlüsselung mit der PSK-Passphrase “ MyPassword „. Rogue AP sendet die SSID “ MyNetwork „, jedoch ohne Verschlüsselung, verwendet WEP oder verwendet WPA2 mit der PSK-Passphrase “ EvilPassword „. Wenn der Client den Rogue-AP abholt, sollte ‚ der Verbindungsversuch nicht abgebrochen werden, wenn eine Protokollfehlanpassung oder eine falsche PSK auftritt?
- Sie ‚ ist korrekt, es wird keine Verbindung hergestellt, wenn die Verschlüsselung (und der Schlüssel) nicht ‚ übereinstimmen. ‚ spielt jedoch keine Rolle, ob die SSID gesendet wurde oder nicht. Mein Punkt ist, dass Sie Ihre SSID auf keinen Fall so konfigurieren können, dass ein Problem behoben wird, das von Clients verursacht wird, die bereits “ StarbucksFreeWiFi “ (außer) vertrauen um Ihre Kunden nicht zu zwingen, eine nicht authentifizierte drahtlose Netzwerkverbindung zu verwenden.)
- Fairer Punkt, aber andere Netzwerke sind ‚ hier nicht Teil der Risikogleichung. Angenommen, die Clientgeräte sind nur für die Verbindung mit meinem Netzwerk konfiguriert. Wie wird ihre Sicherheit oder die Sicherheit meines Netzwerks tatsächlich durch das Deaktivieren der SSID-Übertragung auf dem Router beeinträchtigt ?
- Die Frage, die Sie anscheinend stellen, setzt voraus, dass die SSID-Sichtbarkeit isoliert von allem anderen die Sicherheit beeinträchtigt, jedoch nicht ‚ t. ‚ ist nur ein Faktor in Kombination mit einem ungesicherten Netzwerk. An diesem Punkt gefährdet es alle Kunden, die ihm vertrauen. Und dieses Risiko kann durch die Verwendung eines VPN gemindert werden. An diesem Punkt ‚ stehlen Sie dem Angreifer karmisch kostenloses WLAN.
- Das ‚ ist genau das, was ich ‚ zu bestimmen versuche – ob ein Angreifer nur die SSID-Informationen eines vertrauenswürdigen Netzwerks erhält und das Netzwerk ansonsten mit Verschlüsselung und Sicherheit gesichert ist Ist eine PSK, die dem Angreifer nicht bekannt ist, die SSID allein genug, damit der Angreifer Clientgeräte dazu verleiten kann, eine Verbindung zu seinem Rogue-AP herzustellen? Ich ‚ habe viele Posts über das Ausblenden von SSIDs gesehen, die besagen, dass Clients einem höheren Risiko ausgesetzt sind, eine Verbindung zu gefälschten APs herzustellen, aber sie ‚ t Behandeln Sie, was mit Nichtübereinstimmungen zwischen Verschlüsselungsprotokoll und PSK passiert, wenn der Angreifer nur über die SSID verfügt, mit der er arbeiten kann.
Antwort
SSID-Broadcasting auf
- Client-Geräte warten passiv auf bekannte Netzwerke.
- Clients initiieren Verbindung, wenn ein bekanntes Netzwerk gehört wird.
- Angreifer wissen nicht, nach welchen Netzwerken nicht zugeordnete Clientgeräte suchen.
Wenn Sie das Broadcasting aktivieren, wird nicht verhindert, dass alle Clients aktiv nach bekannten Netzwerken suchen. Dies ist implementierungsspezifisch. Beispielsweise scannt Windows XP standardmäßig nur aktiv. Daher ist Ihre Annahme, dass Angreifer nicht unbedingt wissen, welche Netzwerke gesucht werden, falsch. Dies gilt nur, wenn Sie eine Verbindung zu modernen Geräten herstellen, die Netzwerke bei der Konfiguration passiv nach sichtbaren SSIDs durchsuchen.
SSID Broadcasting Off
- Client-Geräte müssen aktiv nach bekannten Netzwerken suchen.
- Client-Geräte werben für vertrauenswürdige SSIDs.
- Angreifer können vertrauenswürdige SSID-Informationen erfassen und damit Clients dazu verleiten, eine Verbindung zu a herzustellen Rogue AP, wenn sie sich nicht in der Nähe des tatsächlich vertrauenswürdigen Netzwerks befinden.
Dies gilt, solange das Netzwerk geöffnet ist. Ein Client kann keine Verbindung zu einem gesicherten Netzwerk mit einem anderen oder keinem Kennwort herstellen.
Dies scheint eine allgemein vernünftige Annahme zu sein. Ich glaube jedoch nicht, dass ich irgendwelche Behauptungen gesehen habe, die berücksichtigen, was passiert, wenn ein Angreifer versucht, sich als Netzwerk auszugeben, ohne andere Attribute der Sicherheitskonfiguration des Netzwerks zu kennen – insbesondere das Verschlüsselungsprotokoll oder die Schlüssel. Die Verbindung sollte Theoretisch schlagen Sie mit Protokollfehlanpassung oder fehlerhafter Schlüsselaushandlung fehl.
Der Beacon-Frame Auch wenn die SSID nicht gesendet wird (dh die SSID wird in diesem Frame als NULL
gesendet), werden die Netzwerksicherheitskonfiguration einschließlich der Verschlüsselungsdetails weiterhin detailliert beschrieben.
Angesichts des oben Gesagten scheint es mir, dass das Deaktivieren von SSID-Broadcast (obwohl es noch kein zuverlässiger Sicherheitsmechanismus ist) immer noch einen positiven Nettoeffekt auf die Sicherheit hat – oder im schlimmsten Fall einen netzneutralen Fehlt mir etwas?
Auch wenn keine Übertragung erfolgt, senden Sie eine Testanforderung mit NULL
wie die SSID verursachen kann Der AP antwortet mit einem Beacon, das die SSID enthält. Jede Straße, sobald ein gültiges Gerät die SSID verbinden muss, wird vom AP gesendet. Ich würde sagen, die einzige zusätzliche Sicherheit, die angeboten wird, ist Sicherheit durch Dunkelheit – Sie fühlen sich vielleicht besser, aber Ihr Netzwerk wird dadurch nicht wirklich sicherer. Der einzige vernachlässigbare Vorteil ist, dass Ihre SSID nicht so oft gesendet wird. Auf der anderen Seite kann ein Angreifer annehmen, dass es sich um ein besonders sensibles Netzwerk handelt und mehr Zeit damit verbringen, darauf zu zielen.
Antwort
Client-Geräte prüfen bekannte Netzwerke aktiv, unabhängig davon, ob die SSID-Übertragung für dieses bestimmte Netzwerk aktiviert ist oder nicht. Während ein passiver Scan theoretisch möglich ist, wird er sehr selten implementiert. Dies liegt daran, dass der Client alle Kanäle durchlaufen muss und Zeit auf jedem Kanal verbringen muss, um auf Beacons zu warten. Dies würde den Zeitaufwand für die Verbindung mit dem AP erhöhen.
Ich habe airmon-ng verwendet, um Prüfanforderungen zu überwachen, und bisher suchen alle meine drahtlosen Karten aktiv nach bekannten Netzwerken. Daher sollte das Deaktivieren der SSID-Übertragung das Risiko nicht erhöhen.
Weitere Details: https://superuser.com/questions/128166/is-looking-for-wi-fi-access-points-purely-passive
Kommentare
- Dies beantwortet die Frage nicht.Wie vertraut der Client einer Verbindung zu einem Rogue-AP, wenn diese nicht mit den bekannten Eigenschaften des ursprünglichen Netzwerks übereinstimmt? Beispiel: Vertrauenswürdiges Netzwerk mit SSID “ MyNetwork “ verwendet die WPA2-Verschlüsselung mit der PSK-Passphrase “ MyPassword „. Rogue AP sendet die SSID “ MyNetwork „, jedoch ohne Verschlüsselung, verwendet WEP oder verwendet WPA2 mit der PSK-Passphrase “ EvilPassword „. Wenn der Client den Rogue-AP abholt, sollte ‚ der Verbindungsversuch nicht abgebrochen werden, wenn eine Protokollfehlanpassung oder eine falsche PSK auftritt?
- Auch wenn Clients dies möglicherweise tun Um den Bereich technisch aktiv zu scannen, erfordert das aktive Scannen keine Übertragung bekannter SSIDs, es sei denn, es ist besonders bekannt, dass ein Netzwerk seine SSID nicht in die Übertragung einbezieht.
- Ja, es könnte eine Prüfanforderung an alle APs senden in der Gegend. Die meisten Netzwerkkarten enthalten jedoch den SSID-Namen in der Testanforderung.
- Ok. Aber ich verstehe immer noch nicht,
, wie dies ein erhebliches Risiko darstellt, wenn der Client ohnehin keine Verbindung zu einem nicht ordnungsgemäß konfigurierten AP herstellt. Wenn die neue Standardeinstellung ohnehin darin besteht, SSIDs in alle Test-Broadcasts aufzunehmen, wie kann SSID dann eine schlechte Sache verbergen? Natürlich gibt es ‚ keinen wirklichen Vorteil. Aber ‚ hat keine Auswirkungen auf die Sicherheit (möglicherweise einige auf die Benutzerfreundlichkeit, aber das ‚ ist hier nicht meine Frage) des Netzwerks oder entweder seinen Client.
Schreibe einen Kommentar