Bảo mật không dây - Phân tích lưu lượng
Quá trình phân tích lưu lượng không dây có thể rất hữu ích trong điều tra pháp y hoặc trong quá trình khắc phục sự cố và tất nhiên đây là một cách tuyệt vời để tự học (chỉ để tìm hiểu cách các ứng dụng và giao thức giao tiếp với nhau). Để có thể phân tích lưu lượng truy cập, trước tiên, lưu lượng truy cập này cần phải được thu thập bằng cách nào đó và quá trình này được gọi là đánh giá lưu lượng truy cập. Các công cụ được sử dụng phổ biến nhất để đánh hơi lưu lượng là Kismet và Wireshark. Cả hai chương trình này đều cung cấp phiên bản cho môi trường Windows cũng như Linux.
Đối với mục đích kiểm tra thâm nhập và tấn công mạng không dây, loại dữ liệu có giá trị để thu thập là BSSID, WEP IV, TKIP IV, CCMP IV, EAP 4-way handshake exchange, wireless beacon frames, MAC addresses of communicating parties, etc. Nhiều hơn nữa có sẵn cho bạn trong kết xuất của lưu lượng truy cập không dây. Hầu hết thông tin bạn nhận được sẽ được sử dụng trong tất cả các cuộc tấn công được trình bày trong chương trước. Chúng có thể được (ví dụ) được sử dụng làm đầu vào cho các cuộc tấn công brute-force ngoại tuyến, để phá vỡ các mô hình mã hóa và xác thực được sử dụng trong triển khai WLAN.
Việc sử dụng Wireshark trong cả Windows và Linux đều rất trực quan - cả hai môi trường đều cung cấp GUI giống nhau cho cả hai hệ thống. Khi chương trình bắt đầu, bạn chỉ cần chỉ ra giao diện vật lý, sẽ được sử dụng để đánh giá lưu lượng (bạn có thể chọn bất kỳ giao diện nào, có dây hoặc không dây), và sau đó tiến hành đánh giá lưu lượng. Ví dụ về các gói không dây được thu thập bởi thẻ không dây được hiển thị trong ảnh chụp màn hình sau.
Bố cục của đầu ra luôn giống nhau - đi từ trên xuống, bạn có -
Filter Field- Wireshark được trang bị một công cụ lọc rất tốt cho phép giới hạn lưu lượng đầu ra theo thời gian thực. Nó cực kỳ hữu ích, khi bạn cần trích xuất các luồng cụ thể (giữa một địa chỉ MAC cụ thể hoặc giữa các địa chỉ IP cụ thể) từ hàng trăm gói đến mỗi giây từ tất cả các máy khách không dây xung quanh.
Traffic Output- Trong phần này, bạn có thể thấy tất cả các gói hiển thị, đã được phát hiện trên giao diện không dây, từng gói một. Trong phần này của đầu ra, bạn chỉ có thể thấy một bản tóm tắt cơ bản về các đặc điểm lưu lượng như:SRC/DST MAC Addresses, Protocol (Wi-Fi 802.11 in this case) và một thông tin ngắn gọn về một gói.
Decoded Parameters of the Data- Phần này liệt kê tất cả các trường tồn tại trong một khung (tất cả các tiêu đề + dữ liệu). Sử dụng kết xuất mẫu, chúng ta có thể thấy rằng một số tập hợp thông tin ở dạng dữ liệu không thể đọc được (có thể được mã hóa) và trong tiêu đề 802.11, bạn có thể tìm thấy thông tin CCMP (nó xác nhận rằng lưu lượng được mã hóa AES), vì vậy nó phải là WPA2 Mạng wifi.
Hex Dump- Hex Dump chính xác là thông tin bạn có ở trên trong "các tham số được giải mã của dữ liệu" nhưng ở định dạng thập lục phân. Lý do cho điều đó là, biểu diễn thập lục phân là cách thức ban đầu của gói tin, nhưng Wireshark có hàng nghìn "mẫu lưu lượng", được sử dụng để ánh xạ các giá trị HEX cụ thể đến một trường giao thức đã biết. Ví dụ: trong tiêu đề 802.11, các byte từ 5 đến 11 luôn là nguồn địa chỉ MAC của khung không dây, bằng cách sử dụng ánh xạ mẫu tương tự, Wireshark (và các trình đánh giá khác) có thể xây dựng lại và giải mã tĩnh (và được biết đến nhiều) các trường giao thức.
Bạn có thể lưu tất cả các bãi lưu lượng truy cập của mình bằng cách sử dụng chung .pcap định dạng mà sau này có thể được sử dụng làm đầu vào, ví dụ: tập lệnh python thực hiện một số hoạt động nâng cao trên lưu lượng được thu thập (ví dụ: bẻ khóa các mô hình mã hóa).
Công cụ khác, mà bạn nên biết, là Kismet. Ngay sau khi bạn khởi động công cụ Kismet và chỉ địnhmon0 giao diện, nó sẽ liệt kê tất cả SSID được phát hiện trong môi trường của bạn.
Trong thời gian Kismet đang chạy, tất cả các gói không dây được thu thập và lưu trữ trong .pcapcác tập tin. Khi bạn thoát khỏi một chương trình, bạn sẽ nhận được thông báo rằng tất cả các tập tin không dây đã được lưu và bạn có thể truy cập chúng sau đó.
Trong ví dụ được trình bày ở trên, tất cả các kết xuất gói đã được lưu trữ trong các tệp nhị phân (chúng không ở định dạng có thể đọc được, khi bạn mở các tệp đó bằng "more" hoặc "vi" hoặc "nano", v.v.).
Để mở chúng một cách chính xác, bạn phải sử dụng Wireshark (một lần nữa!).
