Trådlösa attacker: Evil Twin, deautentisering och falska åtkomstpunkter

En evil twin är en otillåten åtkomstpunkt som utger sig för att vara en legitim åtkomstpunkt genom att sända samma SSID (nätverksnamn). Klienter som är konfigurerade för att ansluta automatiskt till kända SSID:n kan ansluta till evil twin i stället för den legitima åtkomstpunkten, särskilt om angriparens signal är starkare. När klienten är ansluten kan angriparen utföra MitM-attacker, fånga autentiseringsuppgifter över HTTP och avlyssna okrypterad trafik. Evil twin-attacker är särskilt effektiva mot offentliga Wi-Fi-nätverk där klienterna inte kan skilja den riktiga åtkomstpunkten från en falsk.

802.11-standarden innehåller hanteringsramar för att styra anslutningar, bland annat frånkopplingsramar som meddelar en klient att den har kopplats från åtkomstpunkten. Utan 802.11w (Protected Management Frames) är dessa ramar oautentiserade och vem som helst kan förfalska dem. En frånkopplingsattack skickar förfalskade frånkopplingsramar till en klient och tvingar den att koppla från och ansluta igen. Angripare använder frånkopplingsattacker för att tvinga klienter att avslöja sin 4-vägshandskakning (för WPA2-knäckning) eller omdirigera klienter till en evil twin-åtkomstpunkt med starkare signal.

Många offentliga Wi-Fi-nätverk använder captive portals — webbsidor som kräver att användaren godkänner villkor eller anger autentiseringsuppgifter innan internetåtkomst beviljas. Angripare kan sätta upp en otillåten åtkomstpunkt som omdirigerar klienter till en falsk captive portal för att samla in autentiseringsuppgifter eller installera skadlig kod. Captive portals använder vanligtvis HTTP (inte HTTPS), vilket gör dem sårbara för MitM-attacker. WPA3:s OWE (Opportunistic Wireless Encryption) hanterar öppna nätverk genom att tillhandahålla oautentiserad kryptering, men captive portals är fortfarande vanliga och farliga. Användare bör använda VPN i alla nätverk med captive portal.

Företag upptäcker evil twin-attacker med hjälp av Wireless Intrusion Detection Systems (WIDS), som kontinuerligt övervakar RF-miljön. WIDS-sensorer identifierar åtkomstpunkter som sänder företagets SSID med ett BSSID som inte finns i listan över godkända enheter, eller upptäcker klienter som ansluter till obehöriga åtkomstpunkter. Korrelation med data från det trådbundna nätverket hjälper till att bekräfta om en misstänkt åtkomstpunkt faktiskt är ansluten till det interna nätverket (otillåten) eller endast finns externt (evil twin). WLAN-kontroller för företagsmiljöer (Cisco, Aruba, Juniper) har ofta inbyggda WIDS-funktioner som automatiserar denna upptäckt.

RF-störning innebär att radiosignaler avsiktligt sänds på samma kanal som ett målnätverk för att orsaka störningar och göra nätverket obrukbart – i praktiken en trådlös DoS-attack. Störsändning kan vara olaglig i många jurisdiktioner. Oavsiktliga störningar från mikrovågsugnar, babyvakter och närliggande nätverk på samma kanal är vanligare och kan orsaka liknande symtom. Organisationer som upplever ihållande störningar bör analysera RF-spektrumet för att skilja störsändning från andra störningar och byta till lediga kanaler eller till banden 5 GHz/6 GHz där sådana finns tillgängliga.

WPA2-Enterprise med 802.1X förhindrar att autentiseringsuppgifter fångas upp av en evil twin, eftersom klienterna autentiserar mot en RADIUS-server med hjälp av EAP (Extensible Authentication Protocol). Klienten bör validera RADIUS-serverns TLS-certifikat innan autentiseringsuppgifter skickas. Om klienterna inte har konfigurerats för att validera servercertifikatet och låsa den förväntade CA:n kan en evil twin köra en falsk RADIUS-server och fånga upp EAP-autentiseringsuppgifter. Certifikatvalidering måste tvingas fram genom MDM-profiler på företagsenheter för att förhindra denna nedgradering.

802.11-standarden definierar två separata typer av hanteringsramar som används för att avsluta anslutningar. En deauthentication-ram river ned autentiseringstillståndet, medan en disassociation-ram tar bort klienten från AP:ns associationstabell men bevarar autentiseringen. Båda kan förfalskas utan 802.11w. Kandidater till Security+ bör förstå att båda ramtyperna kan utnyttjas i attacker för att tvinga fram en ny anslutning. Tillägget 802.11w, som ingår som ett valfritt tillägg i WPA2 och är obligatoriskt i WPA3, lägger till en Message Integrity Code (MIC) i dessa ramar och förhindrar förfalskning.

Tekniska säkerhetsåtgärder för trådlösa nätverk måste kompletteras med fysisk säkerhet. En AP som installeras på en lättillgänglig plats kan återställas till fabriksinställningarna, vilket kringgår alla säkerhetskonfigurationer. Rekommenderade åtgärder är bland annat att montera AP:er på skyddade eller upphöjda platser, använda manipulationssäkra skruvar eller säkerhetsburar för AP:er, inaktivera återställningsknappen via programvara där det är möjligt och inkludera AP:er i inventeringsrevisioner. PoE-switchar som strömförsörjer AP:er bör också vara placerade i låsta kopplingsrum, så att en angripare inte enkelt kan koppla ur en legitim AP och ansluta sin egen enhet.

För att skydda mot hela spektrumet av trådlösa attacker bör Ni aktivera WPA3 eller WPA2-Enterprise för att förhindra knäckning av PSK, tvinga fram PMF (802.11w) för att blockera deauthentication-attacker, installera ett WIDS för att upptäcka evil twins och falska AP:er, validera RADIUS-certifikat för att förhindra att en evil twin fångar upp RADIUS-autentisering, inaktivera WPS för att eliminera brute force mot PIN-koder och segmentera trådlösa nätverk efter roll (företag, gäster och IoT) genom separata SSID:er som kopplas till olika VLAN. Kombinera dessa åtgärder för ett trådlöst säkerhetsarbete enligt principen defense in depth.

I den här lektionen har Ni lärt Er att en rogue AP är en obehörig åtkomstpunkt i företagsnätverket som kringgår trådbundna säkerhetsåtgärder, att en evil twin utger sig för att vara ett legitimt SSID för att avlyssna klienttrafik via MitM och att deauthentication-attacker förfalskar 802.11-hanteringsramar för att koppla från klienter – ett hot som motverkas av Protected Management Frames (802.11w), vilket krävs av WPA3. Härnäst utforskar vi trådlösa företagsnätverk med 802.1X och RADIUS.