Ataques sem fio: gêmeo malicioso, desautenticação e AP não autorizado

As redes sem fio são particularmente vulneráveis porque o sinal não pode ser contido por um limite físico. Os invasores podem operar de um carro em um estacionamento, de um escritório vizinho ou até mesmo usar antenas direcionais de longo alcance a centenas de metros de distância. As principais categorias de ataques sem fio abordadas no Security+ são os ataques de evil twin, os ataques de desautenticação e os pontos de acesso Rogue. Cada uma explora diferentes fraquezas na forma como os Clients Wi-Fi descobrem, conectam-se e confiam nos pontos de acesso.

Um ponto de acesso Rogue é um AP sem fio não autorizado conectado a uma rede corporativa — instalado por um invasor que obteve acesso físico ou configurado por um funcionário bem-intencionado por conveniência. Um AP Rogue pode contornar os controles de segurança com fio da organização, oferecendo aos invasores ou malwares um ponto de entrada sem fio na rede interna. Sistemas de detecção de intrusão sem fio (WIDS) e levantamentos regulares de RF detectam APs Rogue correlacionando endereços MAC vistos no ar com o inventário de APs autorizados.

Um evil twin é um AP Rogue que se passa por um ponto de acesso legítimo transmitindo o mesmo SSID (nome da rede). Clients configurados para se conectar automaticamente a SSIDs conhecidos podem se conectar ao evil twin em vez do AP legítimo, especialmente se o sinal do invasor for mais forte. Depois de conectado, o invasor pode realizar ataques MitM, capturar credenciais por HTTP e interceptar tráfego não criptografado. Os ataques de evil twin são especialmente eficazes contra redes Wi-Fi públicas, nas quais os Clients não conseguem distinguir o AP verdadeiro de um falso.

O padrão 802.11 inclui quadros de Management para controlar conexões, incluindo quadros de desautenticação que informam a um Client que ele foi desconectado do AP. Sem o 802.11w (Protected Management Frames), esses quadros não são autenticados e qualquer pessoa pode forjá-los. Um ataque de desautenticação envia quadros Deauth falsificados a um Client, forçando-o a se desconectar e reconectar. Os invasores usam ataques Deauth para forçar os Clients a revelar seu handshake de 4 vias (para quebrar o WPA2) ou redirecioná-los para um AP evil twin com sinal mais forte.

Muitas redes Wi-Fi públicas usam portais cativos — páginas da Web que exigem a aceitação de termos ou a inserção de credenciais antes de conceder acesso à Internet. Os invasores podem implantar um AP Rogue que redireciona os Clients para um portal cativo falso, coletando credenciais ou instalando malware. Os portais cativos normalmente usam HTTP (não HTTPS), o que os torna suscetíveis a MitM. O OWE (Opportunistic Wireless Encryption) do WPA3 aborda redes abertas fornecendo criptografia não autenticada, mas os portais cativos ainda são comuns e perigosos. Os usuários devem usar VPNs em qualquer rede com portal cativo.

As empresas detectam ataques de evil twin usando sistemas de detecção de intrusão sem fio (WIDS) que monitoram continuamente o ambiente de RF. Os sensores WIDS identificam APs que transmitem o SSID corporativo com um BSSID que não está na lista aprovada ou detectam Clients conectando-se a APs não autorizados. A correlação com dados da rede com fio ajuda a confirmar se um AP suspeito está realmente conectado à rede interna (Rogue) ou se é puramente externo (evil twin). Os controladores WLAN Enterprise (Cisco, Aruba, Juniper) geralmente têm recursos WIDS integrados que automatizam essa detecção.

A interferência intencional de RF consiste na transmissão deliberada de sinais de radiofrequência no mesmo canal de uma rede-alvo para causar interferência e torná-la inutilizável — na prática, um ataque DoS sem fio. A interferência intencional pode ser ilegal em muitas jurisdições. A interferência não intencional causada por fornos de micro-ondas, babás eletrônicas e redes vizinhas no mesmo canal é mais comum e pode provocar sintomas semelhantes. As organizações que enfrentam interferência persistente devem realizar uma análise do espectro de RF para distinguir interferência intencional de interferência não intencional e mudar para canais livres ou para as faixas de 5 GHz / 6 GHz, quando disponíveis.

O WPA2-Enterprise com 802.1X impede a captura de credenciais por um gêmeo malicioso porque os clients se autenticam em um Server RADIUS usando EAP (Protocolo de Autenticação Extensível). O client deve validar o certificado TLS do Server RADIUS antes de enviar as credenciais. Se os clients não estiverem configurados para validar o certificado do Server e fixar a CA esperada, um gêmeo malicioso poderá executar um Server RADIUS não autorizado e capturar credenciais EAP. A validação de certificados deve ser imposta por meio de perfis de MDM nos dispositivos corporativos para impedir essa degradação da segurança.

O padrão 802.11 define dois tipos distintos de quadros de gerenciamento usados para encerrar conexões. Um quadro de desautenticação desfaz o estado de autenticação, enquanto um quadro de desassociação remove o client da tabela de associação do AP, mas preserva a autenticação. Ambos podem ser falsificados sem o 802.11w. Os candidatos à Security+ devem entender que os dois tipos de quadro são vetores de ataque válidos para forçar uma reconexão. A emenda 802.11w (incorporada ao WPA2 como opcional e obrigatória no WPA3) adiciona um código de integridade de mensagem (MIC) a esses quadros, impedindo a falsificação.

Os controles técnicos de segurança sem fio devem ser complementados por segurança física. Um AP instalado em uma área acessível pode ser redefinido para as configurações de fábrica, contornando todas as configurações de segurança. As práticas recomendadas incluem instalar APs em locais protegidos ou elevados, usar parafusos que evidenciem violação ou gaiolas de segurança para APs, desativar o botão de redefinição por software quando possível e incluir os APs em auditorias do inventário de ativos. Os switches PoE que alimentam os APs também devem ficar em salas de cabeamento trancadas, para que um invasor não possa simplesmente desconectar um AP legítimo e conectar seu próprio dispositivo.

Para se defender contra toda a variedade de ataques sem fio: habilite WPA3 ou WPA2-Enterprise para impedir a quebra de PSK; imponha PMF (802.11w) para bloquear ataques de desautenticação; implante um WIDS para detectar gêmeos maliciosos e APs não autorizados; valide os certificados RADIUS para impedir a captura por um gêmeo malicioso com RADIUS; desative o WPS para eliminar a tentativa exaustiva de PINs; e segmente as redes sem fio por função (corporativa, convidados, IoT), usando SSIDs separados associados a VLANs diferentes. Combine esses controles para estabelecer uma postura de segurança sem fio baseada em defesa em profundidade.

Teste sua compreensão dos conceitos da CompTIA Security+ (SY0-701) apresentados nesta lição.

Nesta lição, você aprendeu que: um AP não autorizado é um ponto de acesso não autorizado na rede corporativa que contorna os controles de segurança da rede cabeada; um gêmeo malicioso se faz passar por um SSID legítimo para interceptar o tráfego dos clients por meio de um ataque MitM; e ataques de desautenticação falsificam quadros de gerenciamento 802.11 para desconectar clients — uma ameaça mitigada pelos Quadros de Gerenciamento Protegidos (802.11w), exigidos pelo WPA3. A seguir, exploraremos redes sem fio corporativas com 802.1X e RADIUS.