Безопасность беспроводной сети - Атаки контроля доступа

Не секрет, что беспроводные сети гораздо более уязвимы, чем их проводные аналоги. Помимо уязвимостей самого протокола, это «беспроводная» общая среда, которая открывает такие сети для совершенно нового набора поверхностей для атак. В последующих подразделах я попытаюсь представить многие аспекты (или, скорее, угрозы) беспроводной связи, которые могут быть использованы злоумышленником ^{третьей} стороной.

Атаки контроля доступа

Концепция контроля доступа заключается в контроле, кто имеет доступ к сети, а кто нет. Это предотвращает вредоносные 3 ^RD стороны (несанкционированные) от общения к беспроводной сети. Идея контроля доступа очень похожа на процесс аутентификации; однако эти две концепции дополняют друг друга. Аутентификация чаще всего основана на наборе учетных данных (имя пользователя и пароль), а контроль доступа может выходить за рамки этого и проверять другие характеристики пользователя-клиента или устройства пользователя-клиента.

Очень известный механизм управления доступом, используемый в беспроводных сетях, основан на белых списках MAC-адресов. Точка доступа хранит список авторизованных MAC-адресов, имеющих право доступа к беспроводной сети. С инструментами, доступными в настоящее время, этот механизм безопасности не очень надежен, поскольку MAC-адрес (аппаратный адрес набора микросхем беспроводного клиента) может быть очень просто подделан.

Единственная проблема - выяснить, какие MAC-адреса разрешены AP для аутентификации в сети. Но поскольку беспроводная среда является общедоступной, любой может прослушивать трафик, проходящий по воздуху, и видеть MAC-адреса в кадрах с допустимым трафиком данных (они видны в незашифрованном заголовке).

Как вы можете видеть на следующем изображении, на моем домашнем маршрутизаторе я установил два устройства, которые могут связываться с точкой доступа, указав ее MAC-адреса.

Это информация, которой злоумышленник не имеет вначале. Однако, поскольку беспроводная среда «открыта» для сниффинга, он может использовать Wireshark для прослушивания тех устройств, которые подключены и разговаривают с AP в определенное время. Когда вы запускаете Wireshark для обнюхивания по воздуху, вы, скорее всего, будете получать сотни пакетов в секунду, поэтому разумно использовать эффективные правила фильтрации в Wireshark. Тип фильтра, который я реализовал, -

(wlan.fc.type_subtype == 0x28) && (wlan.addr == 58:6D:8F:18:DE:C8)

Первая часть этого фильтра сообщает Wireshark, что он должен смотреть только на пакеты данных (а не на кадры маяка или другие кадры управления). Это подтип0x28И ("&&") одной из сторон должна быть моя точка доступа (у нее MAC-адрес 58: 6D: 8F: 18: DE: C8 на радиоинтерфейсе).

Вы можете заметить, что есть два устройства, которые обмениваются пакетами данных с AP. Это те устройства, которые я, как администратор, специально разрешил для фильтрации MAC ранее. Имея эти два параметра, вы, как злоумышленник, должны только настроить локальное изменение MAC-адреса беспроводной карты. В этом примере я буду использовать инструмент на основе Linux (но есть множество других для всех возможных операционных систем) -

Это был простой подход для обхода контроля доступа на основе MAC-фильтрации. В настоящее время методы контроля доступа намного более продвинуты.

Специализированные серверы аутентификации могут различать, является ли конкретный клиент ПК, произведенным HP, IPhone от Apple (какой тип IPhone) или некоторыми другими беспроводными клиентами, только глядя на то, как выглядят беспроводные кадры от конкретного клиента, и сравнивая их с набор «базовых показателей», известных конкретным производителям. Однако это не то, что вы можете увидеть в домашних сетях. Эти решения довольно дороги и требуют более сложной инфраструктуры, объединяющей несколько типов серверов, что, скорее всего, встречается в некоторых корпоративных средах.