Ataki na sieci bezprzewodowe: Evil Twin, deautoryzacja i fałszywe punkty dostępowe

Sieci bezprzewodowe są szczególnie podatne na ataki, ponieważ sygnału nie można ograniczyć do fizycznych granic. Atakujący mogą działać z samochodu na parkingu, sąsiedniego biura, a nawet używać kierunkowych anten dalekiego zasięgu z odległości setek metrów. Główne kategorie ataków na sieci bezprzewodowe omawiane w ramach Security+ to ataki evil twin, ataki deauthentication oraz nieautoryzowane punkty dostępowe. Każdy z tych ataków wykorzystuje inne słabości sposobu, w jaki klienci Wi-Fi wykrywają punkty dostępowe, łączą się z nimi i obdarzają je zaufaniem.

Nieautoryzowany punkt dostępowy to niezatwierdzony bezprzewodowy punkt dostępowy podłączony do sieci firmowej — zainstalowany przez atakującego, który uzyskał fizyczny dostęp, albo skonfigurowany dla wygody przez pracownika działającego w dobrej wierze. Taki punkt może ominąć przewodowe mechanizmy bezpieczeństwa organizacji, zapewniając atakującym lub złośliwemu oprogramowaniu bezprzewodowy dostęp do sieci wewnętrznej. Systemy Wireless Intrusion Detection Systems (WIDS) oraz regularne pomiary RF wykrywają nieautoryzowane punkty dostępowe, korelując adresy MAC widoczne w eterze z zatwierdzoną listą punktów dostępowych.

evil twin to nieautoryzowany punkt dostępowy podszywający się pod prawidłowy punkt dostępowy przez rozgłaszanie tego samego identyfikatora SSID (nazwy sieci). Klienci skonfigurowani do automatycznego łączenia się ze znanymi identyfikatorami SSID mogą połączyć się z evil twin zamiast z prawidłowym punktem dostępowym, szczególnie gdy sygnał atakującego jest silniejszy. Po nawiązaniu połączenia atakujący może przeprowadzać ataki MitM, przechwytywać dane uwierzytelniające przesyłane przez HTTP i przechwytywać niezaszyfrowany ruch. Ataki evil twin są szczególnie skuteczne w publicznych sieciach Wi-Fi, w których klienci nie potrafią odróżnić prawdziwego punktu dostępowego od fałszywego.

Standard 802.11 zawiera ramki zarządzania służące do kontrolowania połączeń, w tym ramki deauthentication informujące klienta o rozłączeniu z punktem dostępowym. Bez mechanizmu 802.11w (Protected Management Frames) ramki te nie są uwierzytelniane i każdy może je sfałszować. Atak deauthentication polega na wysyłaniu sfałszowanych ramek deauth do klienta, aby wymusić jego rozłączenie i ponowne połączenie. Atakujący wykorzystują ataki deauth do wymuszenia ujawnienia przez klientów ich uwierzytelniania 4-way handshake (w celu złamania WPA2) lub przekierowania ich do punktu evil twin z silniejszym sygnałem.

Wiele publicznych sieci Wi-Fi korzysta z portali captive — stron internetowych, które wymagają zaakceptowania warunków lub podania danych uwierzytelniających przed przyznaniem dostępu do internetu. Atakujący mogą wdrożyć nieautoryzowany punkt dostępowy przekierowujący klientów do fałszywego portalu captive, aby wyłudzać dane uwierzytelniające lub instalować złośliwe oprogramowanie. Portale captive zazwyczaj używają HTTP, a nie HTTPS, przez co są podatne na ataki MitM. Funkcja OWE (Opportunistic Wireless Encryption) w WPA3 zapewnia nieszyfrowanym sieciom szyfrowanie bez uwierzytelniania, ale portale captive nadal są powszechne i niebezpieczne. Użytkownicy powinni korzystać z VPN w każdej sieci z portalem captive.

Przedsiębiorstwa wykrywają ataki evil twin za pomocą systemów Wireless Intrusion Detection Systems (WIDS), które stale monitorują środowisko RF. Czujniki WIDS identyfikują punkty dostępowe rozgłaszające firmowy identyfikator SSID z adresem BSSID, którego nie ma na zatwierdzonej liście, lub wykrywają klientów łączących się z nieautoryzowanymi punktami dostępowymi. Korelacja z danymi z sieci przewodowej pomaga potwierdzić, czy podejrzany punkt dostępowy jest faktycznie podłączony do sieci wewnętrznej (rogue), czy znajduje się wyłącznie poza nią (evil twin). Kontrolery WLAN dla przedsiębiorstw (Cisco, Aruba, Juniper) często mają wbudowane funkcje WIDS automatyzujące to wykrywanie.

Zakłócanie RF polega na celowym nadawaniu sygnałów o częstotliwości radiowej na tym samym kanale co sieć docelowa, aby powodować zakłócenia i uniemożliwić jej działanie — jest to w praktyce bezprzewodowy atak DoS. Zakłócanie może być nielegalne w wielu jurysdykcjach. Częstsze są niezamierzone interferencje powodowane przez kuchenki mikrofalowe, elektroniczne nianie i sąsiednie sieci działające na tym samym kanale; mogą one wywoływać podobne objawy. Organizacje doświadczające długotrwałych interferencji powinny przeprowadzić analizę widma RF, aby odróżnić zakłócanie od interferencji, a następnie przełączyć się na wolne kanały lub pasma 5 GHz / 6 GHz, jeśli są dostępne.

WPA2-Enterprise z 802.1X zapobiega przechwytywaniu danych uwierzytelniających przez evil twin, ponieważ klienci uwierzytelniają się na serwerze RADIUS za pomocą EAP (Extensible Authentication Protocol). Klient powinien zweryfikować certyfikat TLS serwera RADIUS przed wysłaniem danych uwierzytelniających. Jeśli klienci nie są skonfigurowani do weryfikowania certyfikatu serwera i przypinania oczekiwanego urzędu certyfikacji (CA), evil twin może uruchomić nieautoryzowany serwer RADIUS i przechwycić dane uwierzytelniające EAP. Walidację certyfikatów należy wymuszać za pomocą profili MDM na urządzeniach firmowych, aby zapobiec takiemu obniżeniu poziomu zabezpieczeń.

Standard 802.11 definiuje dwa odrębne typy ramek zarządzania używanych do kończenia połączeń. Ramka dezautoryzacji usuwa stan uwierzytelnienia, natomiast ramka rozłączenia asocjacji usuwa klienta z tabeli asocjacji punktu dostępowego, zachowując uwierzytelnienie. Oba typy ramek można sfałszować bez 802.11w. Osoby przygotowujące się do egzaminu Security+ powinny rozumieć, że oba typy ramek są prawidłowymi wektorami ataku umożliwiającymi wymuszenie ponownego połączenia. Poprawka 802.11w (włączona do WPA2 jako opcjonalna, a w WPA3 obowiązkowa) dodaje do tych ramek kod integralności wiadomości (MIC), uniemożliwiając ich fałszowanie.

Techniczne mechanizmy zabezpieczania sieci bezprzewodowych muszą być uzupełnione o bezpieczeństwo fizyczne. Punkt dostępowy zainstalowany w łatwo dostępnym miejscu można przywrócić do ustawień fabrycznych, omijając wszystkie konfiguracje zabezpieczeń. Dobre praktyki obejmują montowanie punktów dostępowych w zabezpieczonych lub wysoko położonych miejscach, stosowanie plombowanych śrub lub klatek zabezpieczających punkty dostępowe, programowe wyłączanie przycisku resetowania, jeśli jest to możliwe, oraz uwzględnianie punktów dostępowych w audytach ewidencji zasobów. Przełączniki PoE zasilające punkty dostępowe również powinny znajdować się w zamykanych szafach teletechnicznych, aby napastnik nie mógł po prostu odłączyć legalnego punktu dostępowego i podłączyć własnego urządzenia.

Aby chronić się przed pełnym zakresem ataków na sieci bezprzewodowe: należy włączyć WPA3 lub WPA2-Enterprise, aby zapobiec łamaniu PSK; wymusić używanie PMF (802.11w), aby blokować ataki dezautoryzacji; wdrożyć WIDS do wykrywania evil twinów i nieautoryzowanych punktów dostępowych; weryfikować certyfikaty RADIUS, aby zapobiec przechwytywaniu danych przez evil twin RADIUS; wyłączyć WPS, aby wyeliminować brute force kodu PIN; oraz segmentować sieci bezprzewodowe według ról (firmowa, gościnna, IoT), używając oddzielnych identyfikatorów SSID przypisanych do różnych sieci VLAN. Należy połączyć te mechanizmy, aby uzyskać wielowarstwową ochronę sieci bezprzewodowej.

Sprawdź swoją wiedzę na temat zagadnień CompTIA Security+ (SY0-701) omówionych w tej lekcji.

W tej lekcji nauczyli się Państwo, że nieautoryzowany punkt dostępowy to punkt dostępowy podłączony do sieci firmowej bez zezwolenia, omijający zabezpieczenia przewodowe; evil twin podszywa się pod prawidłowy identyfikator SSID, aby przechwytywać ruch klientów za pomocą ataku MitM; a ataki dezautoryzacji polegają na fałszowaniu ramek zarządzania 802.11 w celu rozłączania klientów — zagrożeniu ograniczanym przez chronione ramki zarządzania (802.11w), wymagane w WPA3. W następnej części omówimy firmowe sieci bezprzewodowe z użyciem 802.1X i RADIUS.