Атаки на беспроводные сети: Evil Twin, деаутентификация и мошеннические точки доступа

Беспроводные сети особенно уязвимы, поскольку сигнал невозможно ограничить физическими границами. Злоумышленники могут работать из автомобиля на парковке, соседнего офиса или использовать направленные антенны дальнего действия на расстоянии в сотни метров. Основные категории беспроводных атак, рассматриваемые в Security+, — это атаки с двойником, атаки деаутентификации и Rogue AP. Каждая из них использует разные недостатки в способах обнаружения, подключения к точкам доступа и доверия к ним со стороны клиентов Wi-Fi.

Несанкционированная точка доступа — это неавторизованный беспроводной AP, подключённый к корпоративной сети: его может установить злоумышленник, получивший физический доступ, или добросовестный сотрудник для удобства. Rogue AP может обойти средства защиты проводной сети организации, предоставив злоумышленникам или вредоносным программам беспроводной вход во внутреннюю сеть. Системы обнаружения вторжений в беспроводную сеть (WIDS) и регулярные обследования RF обнаруживают Rogue AP, сопоставляя MAC-адреса, видимые в эфире, с инвентарём авторизованных AP.

Двойник — это Rogue AP, которая выдаёт себя за легитимную точку доступа, транслируя тот же SSID (имя сети). Клиенты, настроенные на автоматическое подключение к известным SSID, могут подключиться к двойнику вместо легитимной AP, особенно если сигнал злоумышленника сильнее. После подключения злоумышленник может выполнять атаки MitM, перехватывать учётные данные через HTTP и перехватывать незашифрованный трафик. Атаки с двойником особенно эффективны в общедоступных сетях Wi-Fi, где клиенты не могут отличить настоящую AP от поддельной.

Стандарт 802.11 включает кадры управления для контроля подключений, в том числе кадры деаутентификации, сообщающие клиенту об отключении от AP. Без 802.11w (Protected Management Frames) эти кадры не проходят аутентификацию, и любой человек может их подделать. Атака деаутентификации отправляет клиенту поддельные кадры Deauth, заставляя его отключиться и подключиться снова. Злоумышленники используют атаки Deauth, чтобы заставить клиентов раскрыть четырёхэтапное рукопожатие (для взлома WPA2) или перенаправить их к Rogue AP с более сильным сигналом.

Многие общедоступные сети Wi-Fi используют порталы авторизации — веб-страницы, требующие принять условия или ввести учётные данные до предоставления доступа в интернет. Злоумышленники могут развернуть Rogue AP, перенаправляющую клиентов на поддельный портал авторизации, чтобы похитить учётные данные или установить вредоносную программу. Порталы авторизации обычно используют HTTP, а не HTTPS, что делает их уязвимыми для атак MitM. OWE (Opportunistic Wireless Encryption) в WPA3 защищает открытые сети, обеспечивая шифрование без аутентификации, однако порталы авторизации по-прежнему распространены и опасны. Пользователям следует использовать VPN в любой сети с порталом авторизации.

Корпоративные сети обнаруживают атаки с двойником с помощью систем обнаружения вторжений в беспроводную сеть (WIDS), которые постоянно отслеживают RF-среду. Датчики WIDS выявляют AP, транслирующие корпоративный SSID с BSSID, отсутствующим в утверждённом списке, или обнаруживают подключения клиентов к неавторизованным AP. Сопоставление с данными проводной сети помогает определить, подключена ли подозрительная AP к внутренней сети (Rogue AP) или находится исключительно за её пределами (двойник). Корпоративные контроллеры WLAN (Cisco, Aruba, Juniper) часто имеют встроенные возможности WIDS, автоматизирующие это обнаружение.

Глушение RF — это намеренная передача радиочастотных сигналов на том же канале, что и целевая сеть, чтобы создать помехи и сделать её непригодной для использования — фактически беспроводная атака типа «отказ в обслуживании». Глушение может быть незаконным во многих юрисдикциях. Непреднамеренные помехи от микроволновых печей, радионянь и соседних сетей, работающих на том же канале, встречаются чаще и могут вызывать похожие симптомы. Организациям, сталкивающимся с постоянными помехами, следует провести анализ спектра RF, чтобы отличить глушение от помех, а затем перейти на свободные каналы или диапазоны 5 ГГц / 6 ГГц, если они доступны.

WPA2-Enterprise с 802.1X предотвращает перехват учётных данных через поддельную точку доступа, поскольку клиенты проходят аутентификацию на сервере RADIUS с использованием EAP (расширяемого протокола аутентификации). Клиент должен проверить сертификат TLS сервера RADIUS до отправки учётных данных. Если клиенты не настроены на проверку сертификата сервера и фиксацию ожидаемого CA, злоумышленник может запустить поддельный сервер RADIUS и перехватить учётные данные EAP. Проверка сертификатов должна обеспечиваться с помощью профилей MDM на корпоративных устройствах, чтобы предотвратить такое понижение уровня защиты.

Стандарт 802.11 определяет два различных типа управляющих кадров, используемых для разрыва соединений. Кадр деаутентификации сбрасывает состояние аутентификации, тогда как кадр разъединения удаляет клиента из таблицы ассоциаций AP, но сохраняет аутентификацию. Оба кадра можно подделать без 802.11w. Кандидатам на сертификацию Security+ следует понимать, что оба типа кадров могут использоваться в атаках для принудительного переподключения. Поправка 802.11w, включённая в WPA2 как необязательная, а в WPA3 как обязательная, добавляет к этим кадрам код целостности сообщения (MIC), предотвращая их подделку.

Технические меры защиты беспроводной сети должны дополняться физической защитой. AP, установленную в доступном месте, можно сбросить к заводским настройкам и обойти все параметры безопасности. Рекомендуемые меры включают установку AP в защищённых или расположенных высоко местах, использование винтов с защитой от незаметного вскрытия или защитных клеток для AP, отключение кнопки сброса программными средствами, если это возможно, а также включение AP в проверки инвентаризации активов. Коммутаторы PoE, питающие AP, также должны находиться в запираемых коммутационных помещениях, чтобы злоумышленник не мог просто отключить легитимную AP и подключить собственное устройство.

Для защиты от всего спектра беспроводных атак включите WPA3 или WPA2-Enterprise, чтобы предотвратить взлом PSK; принудительно включите PMF (802.11w), чтобы блокировать атаки деаутентификации; разверните WIDS для обнаружения поддельных сетей и несанкционированных AP; проверяйте сертификаты RADIUS, чтобы предотвратить перехват данных поддельным сервером RADIUS; отключите WPS, чтобы исключить перебор PIN; разделите беспроводные сети по ролям (корпоративная, гостевая, IoT), используя отдельные SSID, сопоставленные с разными VLAN. Объединяйте эти меры для реализации эшелонированной защиты беспроводной сети.

Проверьте своё понимание концепций CompTIA Security+ (SY0-701) из этого урока.

В этом уроке Вы узнали, что несанкционированная AP — это неразрешённая точка доступа в корпоративной сети, обходящая меры защиты проводной сети; поддельная точка доступа имитирует легитимный SSID, чтобы перехватывать трафик клиентов посредством атаки «человек посередине»; а атаки деаутентификации подделывают управляющие кадры 802.11 для отключения клиентов — эту угрозу снижают защищённые управляющие кадры (802.11w), обязательные в WPA3. Далее мы рассмотрим корпоративные беспроводные сети с 802.1X и RADIUS.