Глава 11. Реализация безопасности беспроводных сетевых сред

В данном разделе мы обсудим такие беспроводные стандарты, как IEEE 802.11, а также поправки, также называемые полосами a/b/g/n/f и их соответствующими частотами, на которых беспроводные среды, или Wi-Fi работают в различных странах или зонах. Кроме того мы попробуем разобраться с различными стандартами беспроводных сред и поправок.

IEEE это сокращение для nstitute of Electrical and Electronics Engineering. Теперь, стандарт 802.11 делится на две аномалии, носящие названия комитетов и рабочих групп:

В наши дни эти стандарты обладают некоторыми встроенными поправками и они представлены как 802.11/b/g/n/ac/ad/a, что является обычной практикой.

Ниже приводятся некоторые частотные полосы, которые обычно применяются глобально:

Таблица 11-1. Полосы частот

Поправка	Частота
802.11 b/g	2.4ГГц (наиболее важная)
802.11 /y	3.65ГГц (лицензируемая)
802.11 /a	5ГГц
802.11 /p	5.9ГГц (лицензируемая)

За дальнейшими подробностями отсылаем вас к en.wikipedia.org.

Давайте исследуем имеющиеся типы реализованной инфраструктуры беспроводной локальной сети, воспользовавшись Wi-Fi Analyzer, который можно выгрузить с App Store или с Play Store для мобильных телефонов или из Windows Apps для Windows.

Итак, как отражено на предыдущем снимке экрана, на канале 1 в настоящее время используется полоса частот с 2.412ГГц для поправки 802.11n.

Понятие канал (channel) это очень важная часть самой сетевой среды, поскольку это та часть, в которой происходит обмен пакетами. В наши дни значения полос частот изначально делились на множество соотношений размеров, носящих название каналов реального масштаба времени. Приводимая далее схема иллюстрирует как в сетевой среде выглядит канал:

Прежде чем приступить к практическим демонстрациям, давайте быстро разберёмся с основами архитектуры кадра WLAN, что потребуется для понимания беспроводного шифрования.

Теперь, с точки зрения безопасности беспроводной среды, поле Type выступает в качестве наиболее важного поля в кадре контроля и обладает тремя возможными вариантами:

Итак, достаточно теории; мы хотим перескочить к самой интригующей части реального тестирования проникновения в беспроводную среду. Однако, прежде давайте подготовим своё оружие, то есть настроим свою лабораторию.

В красных командах имеется поговорка: за всяким успешным взломом стоят часы и дни, которые были потрачены на подготовку и настройку нужных инструментов, сценариев, кода, образов и тому подобного. Всё в точности также при беспроводном внедрении. Итак, прежде чем углубляться в реальные сценарии взлома беспроводных сетей, давайте вначале подготовим собственную лабораторию. Минимальная необходимая настройка выглядит следующим манером:

Теперь, я полагаю, наша лаборатория успешно настроена, а потому давайте проверим что всё готово для реальной работы.

Ясно что наша внешняя карта WLAN работает отлично и она готова для неких действий.

Итак, приступаем к нашим играм!

Пассивное прослушивание (сниффинг) беспроводных сетей определяется как считывание текущего взаимодействия между беспроводными клиентами и точками доступа (AP). Сниффинг беспроводных пакетов помогает нападающим выполнять разнообразные атаки, например, MITM. Теперь, прежде чем перескочить к практическим демонстрациям, давайте сперва разберёмся с некоторыми основными технологиями и средствами, которые окажутся тут полезными:

Итак, дабы не терять время, давайте приступим к пассивному прослушиванию беспроводных пакетов или кадров:

Теперь, после того как мы наблюдали разнообразные имеющиеся кадры, давайте приступим к пассивному прослушиванию беспроводных пакетов в реальном масштабе времени.

Теперь, перед началом действия, давайте разберёмся с некоторыми основными терминами:

Для вывода дампа беспроводных пакетов придерживайтесь таких шагов:

Теперь, когда мы успешно выполнили пассивное прослушивание в реальном масштабе времени, давайте двинемся к более продвинутой теме, при которой злоумышленник будет внедрять в реальном времени в происходящую в данный момент передачу деформированные пакеты.

В беспроводных сетях внедрение пакетов это техника, при которой злоумышленник внедряет деформированные пакеты в текущую передачу. Эти пакеты будут выглядеть как допустимые пакеты данных для выполнения определённых задач, например, перехвата имеющегося взаимодействия. Внедрение пакетов может осуществляться множеством средств и методов, однако для данной главы мы воспользуемся модулем Scapy:

Аналогичным образом для атак отмены аутентификации, атак воспроизведения, фальшивых сигнальных пакетов (fake beacon packet), затопления пакетами и тому подобного вы можете создавать поддельные пакеты с сообщениями и внедрять их в текущее беспроводное взаимодействие даже не подключаясь к атакуемой беспроводной сети. Будьте свободны в исследовании этой функциональной возможности, поскольку она очень важна в ситуациях реальной практики.

В наши дни большинство сетевых администраторов полагают, что скрытые SSID беспроводных сред это наиболее надёжный шаг при защите сетевой среды от атак. Однако это не тот случай, поскольку за минуты злоумышленник выявит такие скрытые SSID. Как это происходит? На данный момент нам известно из архитектуры беспроводного кадра, что сигнальные кадры (beacon frames) содержат значения SSID, опускаемые имеющимися точками доступа. Это способствует выявлению значений SSID в имеющейся сетевой среде машинам клиентов или беспроводным картам. При скрытой конфигурации SSID такие сигнальные кадры не содержат значений SSID, следовательно только знающие такие SSID клиенты способны с ними соединяться. Однако такую безопасность скрытого SSID можно запросто обходить.

Для её обхода нам потребуется дождаться подключения к соответствующей сетевой среде допустимого клиента. Когда такой пользователь выполнит соединение, значение скрытого SSID будет выявлено и отобразится на экране на основе соответствующего пробного запроса и отклика.

Или же, в процессе тестирования проникновения в беспроводную среду, значения SSID обычно вырабатываются самими потребителями, а следовательно использование фильтров airodump-ng для SSID также можно применить при помощи атрибута -a, что отобразит значения STA как только пользователи к ним подключаются.

Когда известно значение SSID, имеется иной метод, а именно, тогда можно воспользоваться запросами пакета отмены аутентификации (deauthentication) при помощи aireplay-ng, или же для отправки таких пакетов отзыва аутентификации можно применять Scapy:

Теперь, когда мы успешно обнаружили скрытые SSID, давайте в своём следующем разделе двинемся далее в компрометации беспроводных сетей с открытой аутентификацией.

В своей длительной практике тестирования проникновений и действий красной команды, я часто натыкаюсь на открытые сетевые среды, также именуемые гостевыми сетями. Эти сети обычно спроектированы для предоставления доступа в Интернет гостям без наличия пароля для аутентификации в такой беспроводной сети. Однако часто для аутентификации потребителей или гостей в Интернете реализуются присоединённые порталы (Captive portals).

Присоединённые порталы это порталы аутентификации, которые возникают при подключении к некой открытой беспроводной сети любого пользователя для ввода предоставляемых владельцем учётных данных. Такие присоединённые порталы обычно реализуются в кафе, гостиницах, колледжах и тому подобных заведениях.

Как пояснялось ранее, MAC фильтрация может быть запросто обойдена через пассивное прослушивание MAC адресов уже подключённых клиентов. Поэтому, давайте вначале посмотрим как обойти MAC фильтрацию:

Теперь, когда мы успешно избежали MAC фильтрации, давайте рассмотрим что ещё мы способны предпринимать в сетевых средах с открытой аутентификацией.

По своему опыту работы в красной команде, я множество раз наблюдал сетевых администраторов, реализующих гостевые сетевые среды параллельно своей корпоративной беспроводной сети через WLC (Wireless LAN Controllers, контроллеры беспроводной локальной сети), что упрощает злоумышленникам прыжки в другую локальную сеть, в которой корпоративная сеть реализуется через технологии переключения VLAN, затем скомпрометировать корпоративные машины пользователей, активно прослушивать их текущие данные и так далее. Следовательно, при организации сетевых сред с открытой аутентификацией, администраторам необходимо надлежащим образом реализовывать такие VLAN, или даже лучше реализовывать их через полностью иную WLC.

Вот некоторые шаги, которые могут быть осуществлены для компрометации сети через сетевые среды с открытой аутентификацией:

Теперь, поскольку мы осуществили в беспроводной сети атаку MITM, давайте перейдём к иной стороне шифрования WLAN и того как мы можем компрометировать беспроводные сети.

Даже для самых лучших разработок и реализаций алгоритмов с наивысшей защитой, как только такие алгоритмы становятся общедоступными, всегда существует способ проникновения в них. Это в особенности верно для беспроводных алгоритмов, поскольку эти алгоритмы были созданы с добрыми намерениями и чтобы предоставлять пользователям по всему миру безопасного канала для доступа к данным через Интернет, однако с течением времени такие алгоритмы шифрования WLAN стали подвержены проникновениям. Первым взломанным алгоритмом оказался WEP (Wired Equivalent Privacy), который пользовался для шифрования пакетов единственным (статическим) ключом и далее отправлял его по своему каналу; следовательно, злоумышленник, после дампа доброй порции пакетов данных имел возможность расшифровать такой ключ в течение нескольких минут. Требовалось нечто лучшее, а потому был предложен WPA/ WPA2.

WPA, или WPAv1, пользуется Temporal Key Integrity Protocol (протокол обеспечения целостности при помощи временных ключей), более известный как алгоритм шифрования TKIP, который заменил шифрование статическим ключом WEP без изменения оборудования или добавления какого- нибудь нового. Этот алгоритм шифрования в наши дги не широко применяется в организациях; однако, по моим наблюдениям, некоторой не крупные индустрии всё ещё применяют WPA в качестве стандарта.

WPA2 работает с обязательным шифрованием AES-CCMP, которое является надёжным и более влиятельным нежели TKIP. И WPA, и WPA2, оба поддерживают PSK (Pre-Shared Key, Предварительно общий ключ) и корпоративные серверы RadiusX для основанной на аутентификации схемы. В данном случае мы рассмотрим все его стороны с точки зрения красной команды.

Процесс взлома WPA/ WPA2 очень простой:

Итак, не теряя зазря время, давайте просто взломаем имеющееся шифрование WPA/ WPA2:

Теперь, после успешного взлома WPA2 путём перебора для своих четырёхэтапных рукопожатий, давайте двинемся далее при помощи более современных методик взлома WPA2 воспользовавшись атаками PMKID.

На данный момент, как мы это видели ранее в своей методологии взлома WPA/ WPA2, мы способны перехватывать содержащие четырёхэтапное рукопожатие пакеты, что является достаточно сложным методом; например, когда пользователь не подключён, злоумышленнику приходится ждать подключения клиента, или же во многих ситуациях рукопожатие не перехватывается по причине того что ни один из клиентов не выполняет аутентификацию. Тогда злоумышленник должен выполнить отмену аутентификацию клиентов и, как только они подключаются обратно, наш злоумышленник перехватывает четырёхэтапное рукопожатие. Также могут иметься ситуации когда пользователь вводит неверный пароль. Таким образом, во избежание всего этого существует более простой способ взлома ключа, носящий название атаки PMKID, которая достигается через применение кэширование PMK.

Кэширование PMK это технология, при которой имеющиеся маршрутизаторы или точки доступа кэшируют значение PMKID с тем, чтобы когда некий пользователь отключается или выполняет повторную аутентификацию, такая точка доступа напрямую запросит у этого клиента PMKSA (PMK Security Association, ассоциацию безопасности PMK), а затем выполняют подтверждение и после него повторно ассоциируют этого клиента с данной точкой доступа вместо того чтобы выполнять полное четырёхэтапное рукопожатие. Обычно это способствует корпоративным сетям в расширении роуминга, когда, к примеру, ноутбук некого сотрудника подключён к AP1, а если ему приходится стремглав нестись в переговорную на другом этаже, этот сотрудник немедленно подключится к AP2. Этот процесс целиком происходит когда такие точки доступа кэшируют значение PMKID; в противном случае этому клиенту придётся всякий раз выполнять четырёхэтапное рукопожатие.

Итак, что представляет собой PMKID? PMKID это уникальный идентификатор ключа, который применяется точкой доступа для удержания отслеживания того PMK, который зарегистрирован на соответствующей машине клиента. Таким образом, для вычисления значения PMKID используется следующая формула:

PMKID = HMAC-SHA1 [PMK, PMK Name + MAC (Authenticator) + MAC (Supplicant)]

Итак, какие точки доступа или маршрутизаторы уязвимы?

Единственно уязвимыми являются точки доступа с включённой функциональной возможностью роуминга. Следовательно, злоумышленник будет отправлять ассоциированные пакеты в такие точки доступа, а эти точки доступа будут отвечать значениями PMKID свёртки, а затем злоумышленник взламывает эту свёртку (хэш) при помощи инструментария hashcat или John the Ripper.

На снимке экрана внизу отображён успешный перехват значения PMKID:

Как показано на Рисункке 11.25, найдено значение PMKID. Давайте проверим это значение PMKID:

Как это отражено на Рисунке 11.26, перехвачено необходимое нам значение PMKID точки доступа. Итак, давайте взломаем эту перехваченную свёртку.

Наш следующий снимок экрана показывает, что воспользовавшись средством hashcat, расшифровывается значение перехваченного хэша из PMKID:

Теперь, раз мы успешно взломали шифрование WPA2 при помощи базовой технологии и взглянули на более современные вопросы, такие как хакинг PMKID, давайте скомпрометируем протоколы корпоративного управления, скажем, PEAP.

EAP (Extensible Authentication Protocol, расширяемый протокол аутентификации) это протокол механизма аутентификации, который принимается всеми организациями, ибо он предоставляет безопасную среду взаимодействия и к тому же совместим с Active Directory, что означает, что работники способны выполнять аутентификацию с сети домена с теми же самыми учётными записями. Тем не менее, даже если он предоставляет безопасную среду взаимодействия, он всё ещё уязвим для множества атак, в особенности раскрывая через пробы внутренние сведения домена. Ниже приводятся наиболее распространённые из применяемых в организациях механизмов аутентификации:

Для протоколов на основе MGT могут осуществляться такие атаки:

Теперь, раз мы рассмотрели как мы можем взламывать протоколы управления зашифрованных беспроводных сред или нападать на них при помощи разнообразных атак, давайте двинемся далее и изучим как мы можем осуществлять глушение сетевой среды через атаки DoS/ DDoS.

Наиболее распространённый способ глушения беспроводных сетевых сред состоит в отправке непрерывных последовательностей пакетов отзыва аутентификации, которые отключают клиентов от их точек доступа и к тому же препятствуют клиентам подключаться обратно к этим точкам доступа. Такие атаки в особенности полезны на протяжении атак приманок (honeypot).

Другим подходом может быть отправка пакетов отзыва ассоциированности. Основное отличие между этими двумя кадрами управления состоит в том, что пакет отзыва аутентификации (deauthentication) проинформирует злоумышленника что соответствующий пользователь отключён от данной сети. Однако пакет отзыва ассоциированности (disassociation) отсоединит всякий подключённый к данной точке доступа узел лишь в процессе останова или перезагрузки этой точки доступа.

Итак, чтобы сделать это, мы воспользуемся aireplay-ng, как это показано на снимке экрана далее:

Теперь, после того как мы рассмотрели атаки глушения сетевой среды с применением атак отзыва аутентификации или ассоциированности, давайте проследуем далее в более современных вопросах, а именно к приманкам, которые могут осуществлять злоумышленники в режиме реального времени для компрометации беспроводных сред когда имеющиеся учётные данные не взламываются.

Атака злых близнецов это очень распространённая атака, когда злоумышленник создаёт мошенническую точку доступа с тем же самым значением ESSID и тем же самым или иным BSSID (в зависимости от имеющейся архитектуры безопасности организации- жертвы) дабы заставить жертвы полагать, что точка доступа злоумышленника является допустимой. Такой злоумышленник осуществляет это усиливая сигналы своей мошеннической точки доступа таким образом, что машины жертв автоматически подключаются к его поддельной точке доступа.

Основная мысль, стоящая за созданием поддельной точки доступа чрезвычайно проста, однако также зависит от имеющейся в этой организации реализации самой целевой SSID. Остановимся на таких примерах:

Итак, вся картина выглядит так:

Таким образом, давайте создадим поддельную точку доступа при помощи SSID WirelessRed и перехватим учётные данные, как это показано на приводимом ниже снимке экрана:

Наш следующий снимок экрана отображает что когда пользователь отключился и пытается подключиться со своей машины обратно к поддельной точке доступа со своими допустимыми учётными данными домена (предприятия), злоумышленник немедленно захватывает эти учётные данные:

Аналогичный подход также может быть испробован и для прочих протоколов шифрования.

Этот тип атак в беспроводных сетях основывается на атакующих пользователях вместо точек доступа; она содержит пользователей, которые могут подключаться к открытым сетевым средам или к нашим целевым сетям в прошлом. Данные атаки пригодятся когда мы нацеливаемся на пользователей организации. Допустим, мы имеем целью организацию A и знаем сотрудника, который в конце дня идёт в Старбакс выпить чашку кофе, поработать со своей электронной почтой и открыть некоторые из внутренних вебсайтов своей организации, возможно, для записи в табеле своего учётного времени. Таким образом, вместо того, чтобы напрямую иметь целью всю организацию, мы можем наметить целью этого пользователя, сверившись со списком беспроводной сети организации, а затем перехватывая или отслеживая активность данного пользователя.

Ниже приводятся некоторые из атак, которые мы можем выполнять в своей повседневной деятельности красной команды:

На данный момент, после того как мы успешно осуществили различные беспроводные атаки, например, взлом WPA/ WPA2, пассивного прослушивания беспроводных сетей и создания сладких приманок, давайте сосредоточимся на некоторых моментах, которые могут оказаться полезными при реализации беспроводных сетевых сред.

При реализации безопасных беспроводных сетевых сред выбирайте наилучший стандарт шифрования или же централизованных подход, который является слегка более сложной задачей, поскольку будет иметься множество параметров, которые потребуется принимать во внимание. Давайте сосредоточимся на некоторых параметрах, которые оказывают нам содействие в реализации и удержания беспроводной сети в безопасности от злоумышленников:

В данной главе мы изучили разнообразные беспроводные стандарты, а также лазейки и неверные настройки, которые могут приводить к серьёзным сетевым взломам. Поскольку в наши дни почти все организации реализуют промышленные среды или корпоративные сети в беспроводных сетевых средах, очень важно защищать от злоумышленников беспроводные периметры. Наиболее распространённый способ компрометации беспроводной сети состоит во взломе её пароля; после того как злоумышленник угадал такой пароль, не существует никакого способа остановить его от компрометации всей корпоративной среды. Следовательно, реализуемые парольные фразы должны быть сильными. Другой распространённой атакой, которой пользуются злоумышленники, когда они не способны скомпрометировать имеющуюся беспроводную сеть, это создание злого близнеца чтобы позволить пользователям подключаться к SSID этого злобного дублёра. Таким образом, для защиты от подобных атак важную роль играют WIPS, выполняя синхронизацию поддельных точек доступа по множеству параметров, например по BSSID. Внедрение безопасной беспроводной сетевой среды слегка утомительная задача, но не столь сложная. Таким образом, выбор надёжного механизма аутентификации с безопасным протоколом и настройка различных VLAN с надлежащей сегментацией обеспечивают защищённость беспроводных сред от злоумышленников и таких атак, как скачки по VLAN.

Данная глава поможет сетевым администраторам, проверяющим сетевое проникновение и участникам красных команд осуществлять тестирование безопасности в реальном масштабе времени и выявлять пороки в своих текущих реализациях беспроводной сетевой архитектуры для её реализации более безопасным образом.

Наша следующая глава обсудит протоколы сетевой маршрутизации, где мы изучим работу с OSPF (Open Shortest Path First), BGP (Border Gateway Protocol), IGP (Interior Gateway Protocol) и прочими относящимися к ней протоколами, их прорехам, тому как злоумышленник может выявлять лазейки для их эксплуатации и как защищать сетевые среды от подобных атак.