introducción a la auditoría wireless

Introduccin a

la auditora

wireless

Semana Cultural 2015 IES Jaume II El Just


Introduccin a la auditora wireless



Introduccin Taller 0: despliegue correcto Taller 1: ataque a WEP Taller 2: ataque a p. defecto Taller 3: ataque diccionario



Introduccin

Wireless: Sin hilos Ms o menos sinnimo de Wi-Fi



Introduccin

Wireless: Sin hilos Ms o menos sinnimo de Wi-Fi Wireless es an ms amplio

Incluye WiMAX, etc



Introduccin

Wireless: Sin hilos Redes locales por radio (WLAN) Casi todo el lio en capa 2, enlace Muchas ideas no estn en ethernet



Introduccin/Diferencias

WLAN vs LAN: Privacidad





LAN La red est segmentada

casi todo se reduce a ARP spoofing





WLAN Cualquiera puede escuchar tu trfico





WLAN Cualquiera puede escuchar tu trfico

Aunque no sea ni de tu red




WLAN vs LAN: Privacidad Autenticacin





LAN A nivel de OS

No a nivel de enlace





WLAN Hace falta a nivel de enlace

(Quieres regalar ancho de banda?)




WLAN vs LAN: Privacidad Autenticacin Cifrado





LAN No es nada tpico





WLAN Muy necesario si queremos lo anterior




WLAN vs LAN: Privacidad Autenticacin Cifrado Diferentes modos





LAN Ein?



Aqu todos somos iguales,

chico





WLAN Master/PA, Managed/Cliente,

Adhoc, Monitor,



Introduccin/modos

Modos: Master Managed Adhoc Monitor



Introduccin/modos


El de un punto de acceso o

router



Introduccin/modos


El de un cliente que se conecta

a un PA



Introduccin/modos


Dos nodos conectados como pares



Introduccin/modos


Un nodo que puede escuchar y esnifar trfico



Introduccin/modos

No todas las tarjetas admiten todos los modos

Por razones legales, sobre

todo



Introduccin/modos


Por razones legales, sobre

todo

Una radio software Necesita licencia ham radio



Introduccin/modos


Para auditoria necesitamos Soportar modo monitor



Introduccin/modos


Para auditoria necesitamos Soportar modo monitor

http://tinyurl.com/9tnsaoq

Listado USB



Introduccin/seguridad




Nos centramos en el escenario 1 AP + clientes





El AP ofrece un esquema Autenticacin + cifrado

Y los clientes se unen





El AP ofrece un esquema Autenticacin + cifrado

Y los clientes se unen

Veamos las alternativas




Alternativas: Abierto WEP WPA/WPA2

WPS



Acceso libre Sin autenticacin Sin cifrado

Introduccin/abierto



Introduccin/abierto

Tiene sus usos (redes invitados, etc)

Pero no es nuestro tema



Wired Equivalent Privacy Inventado en 1999 Desastre absoluto Obsoleto en 2004 Siguen vindose a veces

Introduccin/WEP



Introduccin/WEP

Totalmente y completamente roto



Introduccin/WEP


ROTO



Introduccin/WEP


Observemos lo que dice Bruce Schneier



The standard was designed by a committee without any cryptographers. The results were horrible from a security perspective.



That defeated the encryption properties of the RC4 stream cipher and allowed a smart attacker to break the encryption.



The network password was used directly as the encryption key for all communications, without using any kind of key negotiation protocol



And finally, encryption was turned off by default



WEP wasn't just broken; it was robustly broken.

Cryptography Engineering [Ferguson , Schneier, Kohno]



Introduccin/WPA[2]

Wi-Fi Protected Access



Introduccin/WPA[2]

Wi-Fi Protected Access Desarrollado en 2003



Introduccin/WPA[2]

El estndar actual WPA no est roto



Introduccin/WPA[2]

El estndar actual WPA no est roto

A menos que se use TKIP

http://dl.aircrack-ng.org/breakingwepandwpa.pdf



Introduccin/WPA[2]

El estndar actual WPA no est roto Pero por qu no siempre WPA2?



Introduccin/WPA[2]

Resumen: Usad este

Mejor an: WPA2 Claves robustas Sin WPS



Introduccin/WPS

Wi-Fi Protected Setup Para qu usar claves largas Mucho mejor un PIN corto



Introduccin/WPS

Wi-Fi Protected Setup El usuario ha de introducir un PIN No su clave



Introduccin/WPS


Atacable por fuerza bruta



Introduccin/WPS


O a los PINes por defecto



Introduccin/WPS


Incluso hay defectos en el propio protocolo



Introduccin/WPS

Resumen: NO usar



Introduccin/oscuridad

A veces se ofrecen "soluciones" Filtrado por MAC Ocultar SSID Desactivar DHCP




Todas son mala idea Ejemplos de seguridad por oscuridad




Todas son mala idea Ejemplos de seguridad por oscuridad

Modelo estndar de seguridad: Atacante limitado en Tiempo y Clculo

NO en cerebro




Filtrado MAC




Filtrado MAC

Al esnifar veo quin est asociado




SSID oculto




SSID oculto

Te veo igual En un handshake veo tu nombre




DHCP desactivado




DHCP desactivado

Si enlazo es 'fcil' hacer ARP inverso



Introduccin/rbol ataque

Esquema general de ataque




Esquema general de ataque Modo monitor




Esquema general de ataque Modo monitor Esnifar





Obj. WEP





Obj. WEP Trfico -> ROTO en minutos





Obj. WEP Trfico -> ROTO en minutos No trfico -> inyeccin





Obj. WPA





Obj. WPA WPS





Obj. WPA WPS

Por defecto -> roto





Obj. WPA WPS

Por defecto -> roto Otra -> fuerza bruta





Obj. WPA No WPS





Obj. WPA No WPS

Clave por defecto -> roto





Obj. WPA No WPS

Clave por defecto -> roto Diccionario -> roto





Obj. WPA No WPS

Clave por defecto -> roto Diccionario -> roto No diccionario -> SEGURO



T0/Despliegue correcto

Tantos mens de conf. como modelos Ideas clave: WPA No WPS Cambiar SSID (nombre de red) Cambiar clave




Sobre las claves: Se puede generar una robusta as:

head c 32 /dev/urandom | base64






Leo el principio






los primeros 32 bytes






del archivo de cosas al azar






y lo paso a algo legible



T1/Ataque a WEP

Usaremos aircrack-ng



T1/Ataque a WEP

Pasos: Pasar a modo monitor Esnifar Conseguir trfico y romper



T1/Ataque a WEP

Pasos: Pasar a modo monitor Esnifar Conseguir trfico y romper

Si no hay trfico en la red -> inyectar



T1/Ataque a WEP

Pasar a modo monitor:

iwconfig wlan0 mode Monitor



T1/Ataque a WEP


iwconfig wlan0 mode Monitor

A veces (muchas), falla, en tal caso



T1/Ataque a WEP


airmon-ng start wlan0

Esto suele crear un dispositivo mon0



airmon-ng start wlan0



T1/Ataque a WEP

Esnifar:

airodump-ng wlan0

Podemos restringir en canal, SSID, etc



airodump-ng wlan0



T1/Ataque a WEP

Romper cuando hay trfico:

aircrack-ng -b MAC files.cap

La MAC de la vctima



T1/Ataque a WEP

Romper cuando hay trfico:

aircrack-ng -b MAC files.cap

lo que tengamos capturado



T1/Ataque a WEP

Si no hay trfico se intenta inyectar

aireplay-ng ...

Para autenticar, expulsar, chopchop, etc



T1/Ataque a WEP


aireplay-ng ...

Muchas opciones



T1/Ataque a WEP


aireplay-ng ...

Depende mucho router/tarjeta y la distancia



T1/Ataque a WEP

Hay scripts que lo hacen todo

goyscriptWEP



goyscriptWEP



goyscriptWEP

Ideal para script kiddies



T1/Ataque a WEP

Sea como sea WEP no resiste ms de una hora

Si hay bastante seal



T2/Ataque a claves por defecto

Si usa WPA Probar si usa una clave dbil Sobre todo si es por defecto




Pasos: Monitor Esnifar Igual que antes




Pasos: Monitor Esnifar Comprobar si el AP es vulnerable




Ejemplo con la suite WpsPin




Ejemplo con la suite WpsPin Comprobacin de AP vulnerable Ataque



T2/Ataque a claves por defecto Comprobacin de AP vulnerable



T2/Ataque a claves por defecto Ataque WpsPin

No necesariamente al AP marcado en la imagen



Ataque I



Ataque II (configurar sniffer)

Ataque III (bsqueda de Aps)



Ataque IV (seleccin)



Ataque V (recuperacin de PIN y pass)



Ataque concluido con xito




Si hay que llegar aqu la red va por buen camino

T3/Diccionario



T3/Diccionario

Aparte de esnifar y seleccionar Necesitamos un paquete especial



T3/Diccionario

Aparte de esnifar y seleccionar Necesitamos un paquete especial WPA 4 way handshake



WPA 4 way handshake



WPA 4 way handshake

4 pasos Clave de sesin

A partir PSK



T3/Diccionario

Aparte de esnifar y seleccionar Necesitamos un paquete especial WPA 4 way handshake Luego intentaremos machacarlo



T3/Diccionario

Conseguir un handshake O esperamos (esnifamos pasivamente) O intentamos generar uno



T3/Diccionario

Generar un handshake con besside-ng

besside-ng b MAC mon0

MAC del objetivo



T3/Diccionario

Generar un handshake con besside-ng

besside-ng b MAC mon0



T3/Diccionario

Ataque de diccionario contra el handshake (Usando un script para aircrack-ng)



T3/Diccionario Ataque II



T3/Diccionario Ataque III (fallido)



T3/Diccionario

Y la red parece segura Quedaran ataques en lnea



T3/Diccionario


http://tinyurl.com/bop6oev

Do It Yourself



T3/Diccionario


http://wpa.darkircop.org/

Versin gratis



T3/Diccionario


Tambin los hay de pago



Y eso es todo Gracias por participar

introducción a la auditoría wireless

Documents