Attacchi wireless: Evil Twin, deautenticazione e AP rogue

Le reti wireless sono particolarmente vulnerabili perché il segnale non può essere confinato entro un limite fisico. Gli attaccanti possono operare da un'auto in un parcheggio, da un ufficio adiacente o persino utilizzare antenne direzionali a lungo raggio da centinaia di metri di distanza. Le principali categorie di attacchi wireless trattate in Security+ sono gli attacchi evil twin, gli attacchi di deautenticazione e gli access point non autorizzati. Ciascuna sfrutta vulnerabilità diverse nel modo in cui i client Wi-Fi individuano, raggiungono e considerano attendibili gli access point.

Un access point non autorizzato è un AP wireless non autorizzato connesso a una rete aziendale, installato da un attaccante che ha ottenuto accesso fisico oppure configurato da un dipendente ben intenzionato per comodità. Un AP non autorizzato può eludere i controlli di sicurezza della rete cablata dell'organizzazione, offrendo agli attaccanti o al malware un punto di ingresso wireless nella rete interna. I sistemi di rilevamento delle intrusioni wireless (WIDS) e le verifiche RF periodiche rilevano gli AP non autorizzati correlando gli indirizzi MAC rilevati via radio con l'inventario degli AP autorizzati.

Un evil twin è un AP non autorizzato che si spaccia per un access point legittimo trasmettendo lo stesso SSID (nome della rete). I client configurati per connettersi automaticamente agli SSID noti possono collegarsi all'evil twin invece che all'AP legittimo, soprattutto se il segnale dell'attaccante è più forte. Una volta connesso, l'attaccante può eseguire attacchi MitM, acquisire credenziali tramite HTTP e intercettare il traffico non cifrato. Gli attacchi evil twin sono particolarmente efficaci sulle reti Wi-Fi pubbliche, dove i client non possono distinguere l'AP reale da quello falso.

Lo standard 802.11 include frame di gestione per controllare le connessioni, tra cui i frame di deautenticazione che comunicano a un client di essere stato disconnesso dall'AP. Senza 802.11w (Protected Management Frames), questi frame non sono autenticati e chiunque può falsificarli. Un attacco di deautenticazione invia frame deauth contraffatti a un client, costringendolo a disconnettersi e riconnettersi. Gli attaccanti utilizzano questi attacchi per costringere i client a rivelare il proprio handshake a 4 vie (per il cracking di WPA2) o per reindirizzarli verso un AP evil twin con un segnale più forte.

Molte reti Wi-Fi pubbliche utilizzano captive portal, ovvero pagine web che richiedono l'accettazione di condizioni o l'inserimento di credenziali prima di consentire l'accesso a Internet. Gli attaccanti possono distribuire un AP non autorizzato che reindirizza i client verso un captive portal contraffatto, sottraendo credenziali o installando malware. I captive portal utilizzano generalmente HTTP (non HTTPS), risultando vulnerabili agli attacchi MitM. OWE (Opportunistic Wireless Encryption) di WPA3 risolve il problema delle reti aperte fornendo una cifratura senza autenticazione, ma i captive portal sono ancora comuni e pericolosi. Gli utenti dovrebbero utilizzare VPN su qualsiasi rete con captive portal.

Le aziende rilevano gli attacchi evil twin utilizzando sistemi di rilevamento delle intrusioni wireless (WIDS) che monitorano continuamente l'ambiente RF. I sensori WIDS identificano gli AP che trasmettono l'SSID aziendale con un BSSID non presente nell'elenco approvato oppure rilevano i client che si connettono ad AP non autorizzati. La correlazione con i dati della rete cablata aiuta a confermare se un AP sospetto è effettivamente connesso alla rete interna (AP non autorizzato) o se è esclusivamente esterno (evil twin). I controller WLAN aziendali (Cisco, Aruba, Juniper) dispongono spesso di funzionalità WIDS integrate che automatizzano questo rilevamento.

Il jamming RF consiste nella trasmissione deliberata di segnali a radiofrequenza sullo stesso canale di una rete bersaglio, per causare interferenze e renderla inutilizzabile: di fatto, un attacco DoS wireless. Il jamming può essere illegale in molte giurisdizioni. Le interferenze involontarie causate da forni a microonde, baby monitor e reti vicine che operano sullo stesso canale sono più comuni e possono produrre sintomi simili. Le organizzazioni che subiscono interferenze persistenti dovrebbero eseguire un'analisi dello spettro RF per distinguere il jamming dalle interferenze e passare a canali liberi o alle bande a 5 GHz / 6 GHz, ove disponibili.

WPA2-Enterprise con 802.1X impedisce la cattura delle credenziali da parte di un evil twin, perché i client eseguono l'autenticazione con un server RADIUS utilizzando EAP (Extensible Authentication Protocol). Il client deve convalidare il certificato TLS del server RADIUS prima di inviare le credenziali. Se i client non sono configurati per convalidare il certificato del server e fissare l'autorità di certificazione (CA) prevista, un evil twin può eseguire un server RADIUS non autorizzato e catturare le credenziali EAP. La convalida dei certificati deve essere applicata tramite profili MDM sui dispositivi aziendali, per impedire questo downgrade.

Lo standard 802.11 definisce due tipi distinti di frame di gestione utilizzati per terminare le connessioni. Un frame di deautenticazione elimina lo stato di autenticazione, mentre un frame di disassociazione rimuove il client dalla tabella delle associazioni dell'AP, preservando però l'autenticazione. Entrambi possono essere falsificati in assenza di 802.11w. I candidati alla certificazione Security+ devono comprendere che entrambi i tipi di frame costituiscono vettori di attacco validi per forzare la riconnessione. L'emendamento 802.11w, incorporato in WPA2 come funzionalità opzionale e obbligatorio in WPA3, aggiunge un Message Integrity Code (MIC) a questi frame, impedendone la falsificazione.

I controlli di sicurezza wireless tecnici devono essere integrati dalla sicurezza fisica. Un AP installato in un'area accessibile può essere ripristinato alle impostazioni predefinite di fabbrica, eludendo tutte le configurazioni di sicurezza. Le best practice includono il montaggio degli AP in posizioni protette o rialzate, l'uso di viti antimanomissione o gabbie di sicurezza per AP, la disabilitazione via software del pulsante di ripristino, ove possibile, e l'inclusione degli AP negli audit dell'inventario degli asset. Anche gli switch PoE che alimentano gli AP devono trovarsi in armadi di cablaggio chiusi a chiave, affinché un attaccante non possa semplicemente scollegare un AP legittimo e collegare il proprio dispositivo.

Per difendersi dall'intera gamma degli attacchi wireless: abiliti WPA3 o WPA2-Enterprise per impedire il cracking delle PSK; imponga PMF (802.11w) per bloccare gli attacchi di deautenticazione; distribuisca un WIDS per rilevare evil twin e AP non autorizzati; convalidi i certificati RADIUS per impedire la cattura delle credenziali RADIUS da parte di un evil twin; disabiliti WPS per eliminare gli attacchi brute-force al PIN; e segmenti le reti wireless in base al ruolo (aziendale, ospiti, IoT), utilizzando SSID separati associati a VLAN diverse. Combini questi controlli per adottare una strategia di difesa in profondità per la rete wireless.

Verifichi la Sua comprensione dei concetti di CompTIA Security+ (SY0-701) trattati in questa lezione.

In questa lezione ha imparato che un AP non autorizzato è un punto di accesso non autorizzato sulla rete aziendale che elude i controlli di sicurezza cablati, un evil twin imita un SSID legittimo per intercettare il traffico dei client tramite MitM e gli attacchi di deautenticazione falsificano i frame di gestione 802.11 per disconnettere i client: una minaccia mitigata dai Protected Management Frames (802.11w), obbligatori in WPA3. Prossimamente esamineremo le reti wireless aziendali con 802.1X e RADIUS.