Pericolul utilizării rețelelor Wi-Fi ale altor persoane. Rețele wireless: clasificare, organizare, principiu de funcționare Obținerea de informații complete despre rețeaua wifi
Rețeaua wireless Wi-Fi a Universității Tehnice de Stat Tambov este organizată în modul infrastructură. Aceasta înseamnă că computerele sunt conectate la un punct de acces wireless, care, la rândul său, sunt conectate la rețeaua prin cablu a universității.
Numele rețelei de rețea fără fir (SSID) a universității este TSTU.
Pentru a asigura securitatea rețelei wireless a universității, punctele de acces sunt configurate pentru a utiliza:
- Standard de autentificare 802.11i (WPA2 - Wi-Fi Protected Access 2) în modul corporativ Enterprise; algoritm de criptare AES (Advanced Encryption Standard); protocol PEAP-MS-CHAPv2 (Microsoft Challenge Handshake Authentication Protocol versiunea 2).
ATENŢIE!
Doar două dispozitive pot funcționa sub o singură autentificare! Alte dispozitive care funcționează sub aceeași autentificare sunt BLOCATE!
Pentru a afla dacă un anumit model de adaptor acceptă WPA2, consultați site-ul web al producătorului. Această recomandare este relevantă în special pentru dispozitivele fabricate înainte de 2006.
Dacă computerul dvs. nu are un adaptor de rețea instalat sau adaptorul nu acceptă standardul WPA2, nu vă veți putea conecta la rețeaua wireless a universității.
Producătorul poate furniza software pentru controlul adaptorului. Cu toate acestea, unele sisteme de operare au o interfață de gestionare a adaptorului de rețea încorporată.
- Windows 7 Professional;
- Windows XP Professional Service Pack 3.
Windows 7 Professional
Verificați dacă computerul dvs. are un adaptor de rețea
Pentru a verifica dacă computerul dvs. are un adaptor de rețea fără fir, deschideți componenta Conexiuni de rețea din Panoul de control:
Start -> Panou de control -> Rețea și Internet -> Vizualizați starea și activitățile rețelei -> Modificați setările adaptorului
Adaptorul de rețea fără fir este etichetat „wlan”.
Pentru a deschide fereastra Conexiuni de rețea pe acest computer.
Pentru a adăuga o rețea fără fir la lista de rețele disponibile, deschideți componenta panoului de control „Manage Wireless Networks”:
Start -> Panou de control -> Rețea și Internet -> Vizualizați starea rețelei și sarcinile -> Gestionați rețelele wireless
În fereastra care se deschide, faceți clic pe butonul "Adăuga":
Apoi selectați „Creați manual un profil de rețea”:
Completați informațiile rețelei dvs. fără fir așa cum se arată în imaginea de mai jos:
Se va deschide o fereastră care indică faptul că rețeaua wireless a fost adăugată cu succes.
Configurarea setărilor de conexiune
Pentru a configura setările de conexiune, faceți clic pe „Modificați setările de conexiune” în fereastra de mai sus când adăugați o rețea fără fir sau deschideți fereastra „Proprietăți rețea fără fir” selectând linia „Proprietăți”în meniul contextual al rețelei fără fir:
În filele „Conexiune” și „Securitate” din fereastra „Proprietăți rețea fără fir”, setați setările de conexiune, așa cum se arată în figurile de mai jos:
|
|
Bifați caseta de selectare „Țineți minte acreditările mele pentru această conexiune de fiecare dată când mă conectez” dacă computerul este utilizat de un singur utilizator. Dacă computerul este folosit de mai mulți utilizatori, este mai bine să dezactivați setarea.
Configurați proprietățile EAP-ului protejat apelând fereastra corespunzătoare făcând clic pe butonul "Opțiuni"în fila „Securitate” din fereastra „Proprietăți rețea fără fir”:
Confirmați selecția parametrilor cu butonul „OK”.
Rețeaua va fi adăugată la lista de rețele și va deveni disponibilă pentru conectare atunci când computerul se află în raza de acțiune a rețelei.
Conectați-vă la o rețea fără fir
Fereastra va afișa o listă de rețele în raza cărora se află computerul:
În lista rețelelor wireless disponibile, puteți vedea un simbol care afișează puterea semnalului pentru fiecare rețea. Cu cât sunt mai multe bare, cu atât semnalul este mai puternic. Un semnal puternic (cinci bare) înseamnă că o rețea wireless este în apropiere sau că nu există interferențe. Pentru a îmbunătăți nivelul semnalului, puteți muta computerul mai aproape de punctul de acces.
Pentru a vă conecta la o rețea fără fir, faceți clic pe butonul „Conectare”:
În timpul procesului de conectare vor fi afișate următoarele mesaje:
Pentru a intra în rețeaua universitară, trebuie să completați informațiile contului de utilizator în fereastra oferită, adică. introduceți numele și parola dvs.
De exemplu, mai jos este o fereastră completată pentru un utilizator cu contul U0398:
Odată conectat cu succes, lista rețelelor wireless va afișa „Conectat” și pictograma va apărea în zona de notificare.
Dacă conexiunea eșuează, verificați din nou setările de conexiune configurate. Pentru a face acest lucru, deschideți fereastra „Proprietăți rețea fără fir” selectând linia „Proprietăți” din meniul contextual al rețelei fără fir:
Pentru a vă deconecta de la rețea, faceți clic pe butonul „Deconectare”:
Pentru mai multe informații, vizitați Centrul de asistență și asistență Windows 7 Professional.
Windows XP Professional Service Pack 3
Pentru a vă conecta la rețeaua wireless a universității, trebuie să parcurgeți următorii pași:
- Verificați dacă computerul dvs. are un adaptor de rețea fără fir.
- Adăugați o rețea fără fir la lista de rețele disponibile.
- Configurați setările de conexiune.
- Conectați-vă la o rețea fără fir.
Verificați dacă computerul dvs. are un adaptor de rețea fără fir
Pentru a vă conecta computerul la o rețea fără fir, computerul trebuie să aibă instalat un adaptor de rețea fără fir.
Pentru a verifica dacă computerul are un adaptor de rețea fără fir, trebuie să deschideți „Conexiuni de rețea”: faceți clic pe butonul start, Selectați Setări, apoi Panou de control, găsiți secțiunea "Conexiuni de retea":
Start -> Setări -> Panou de control -> Conexiuni de rețea
Adaptoarele instalate în computer vor fi listate aici. Adaptorul de rețea fără fir este etichetat „Conexiune la rețea fără fir”.
Dacă dispozitivul este oprit, trebuie să îl porniți. Pentru a face acest lucru, faceți clic dreapta pe meniul contextual și selectați „Activați” sau faceți clic pe sarcina „Activați dispozitivul de rețea”.
Pentru a porni acest dispozitiv, trebuie să fii administrator pe acest computer.
Când adaptorul de rețea este pornit, pictograma este vizibilă în zona de notificare.
Adăugarea unei rețele fără fir la lista de rețele disponibile
Pentru a adăuga o rețea fără fir la lista de rețele disponibile, trebuie să deschideți „Conexiuni de rețea”: faceți clic pe butonul start, Selectați Setări, apoi Panou de control, găsiți secțiunea "Conexiuni de retea":
Faceți clic dreapta pentru a deschide meniul contextual pentru conexiunea la rețea fără fir și selectați linia „Proprietăți”, sau faceți clic pe sarcină „Modificarea setărilor de conexiune”.
Descoperirea dispozitivelor și serviciilor vulnerabile dintr-o rețea țintă fără a lăsa nicio urmă în urmă poate fi dificilă, deoarece hackerii atacă mai întâi routerul înainte de a investiga în continuare. Cu toate acestea, există o modalitate de a decripta și de a vizualiza în secret activitatea Wi-Fi a cuiva fără a vă conecta la rețeaua wireless.
Dacă vă uitați mai întâi la ceea ce fac hackerii cu routerele, acestea implică de obicei diverse atacuri de forță brută pentru strângeri de mână WPA sau phishing cu parole Wi-Fi. Odată ce primesc acreditările, încep imediat să investigheze rețeaua compromisă folosind diverse instrumente și tehnici.
Scanerele de porturi creează mult zgomot în rețelele wireless. Atacurile Man-in-the-Middle pot fi excesiv de agresive și alertează utilizatorii și administratorii cu privire la prezența unui hacker în rețea. Routerele păstrează jurnalele de informații despre fiecare dispozitiv care se conectează la rețea. Fiecare acțiune pe care o faceți în timp ce sunteți conectat la rețea poate duce într-un fel să fiți descoperit pe un router compromis.
Prin urmare, cel mai bine este să nu vă conectați deloc la routerul Wi-Fi. În acest articol, vom arunca o privire mai atentă asupra modului în care hackerii interceptează pachetele (pe măsură ce sunt transmise către sau de la router) și decriptează traficul WPA2 în timp real. Aceste informații sunt importante pentru cei dintre voi care doresc să devină profesioniști în securitate IT.
Cum funcționează acest atac?
Datele sunt trimise către și de la router de laptopuri și smartphone-uri prin unde radio criptate. Aceste unde radio transmit date prin aer. Datele transmise nu sunt vizibile pentru ochiul uman, dar pot fi colectate folosind instrumente precum Airodump-ng. Datele colectate pot fi apoi analizate folosind Wireshark.
Wireshark este cel mai avansat și mai utilizat analizor de rețea din lume. Acest lucru oferă utilizatorilor posibilitatea de a vedea ce se întâmplă în rețele la nivel microscopic. De aceea, Wireshark este un instrument de inspecție a rețelei utilizat de organizații comerciale și non-profit, agenții guvernamentale și instituții de învățământ.
Una dintre caracteristicile grozave ale Wireshark le permite hackerilor să descifreze și să vizualizeze activitatea routerului transmisă prin aer în text simplu, și asta este exact ceea ce vom trata în acest articol.
Pasul 1: Găsiți rețeaua țintă
Airodump-ng este disponibil pe toate distribuțiile Linux populare și va rula pe mașini virtuale și Raspberry Pi. Vom folosi Kali Linux pentru a colecta date aparținând unui router Wi-Fi pe care îl controlăm singuri. Dacă nu ați mai folosit niciodată Airdodump-ng, atunci puteți afla elementele de bază ale lucrului cu el din articolele noastre de pe site.
Pentru a activa modul de monitorizare pe adaptorul wireless, utilizați următoarea comandă:
Airmon-ng start wlan0
Găsiți rețeaua țintă. Pentru a vedea toate rețelele Wi-Fi disponibile în apropiere, utilizați comanda de mai jos. Ne vom concentra pe routerul nostru „Null Byte” ca exemplu.
Airodump-ng wlan0mon
Acordați atenție BSSID, CH și ESSID. Aceste informații sunt necesare pentru a colecta datele trimise către router.
Pasul 2. Colectați date Wi-Fi
Pentru a începe colectarea datelor care aparțin rețelei țintă, introduceți comanda de mai jos, înlocuind părțile relevante cu cele cu care lucrați:
Airodump-ng --bssid Adresa MacTarget --essid Nume router -c Număr canal -w Unde se salvează datele wlan0mon
Vom salva datele colectate în directorul /tmp într-un fișier numit „null_byte” folosind argumentul -w. Airodump-ng va adăuga automat un număr la sfârșitul numelui fișierului, astfel încât acesta va fi de fapt salvat în directorul /tmp ca „null_byte-01.cap”.
Iată la ce să vă așteptați de la un terminal Airodump-ng funcțional:
Cel mai important lucru pe care trebuie să îl priviți cu atenție este strângerea de mână WPA din colțul din dreapta sus. Wireshark trebuie să finalizeze strângerea de mână cu succes, astfel încât traficul Wi-Fi să poată fi decriptat ulterior. Pentru a forța dispozitivele să se deconecteze de la rețea, puteți utiliza Aireplay-ng. Finalizarea acestei sarcini va necesita reconectarea dispozitivelor la rețea și finalizarea cu succes a strângerii de mână WPA, dar acest lucru poate ridica suspiciuni în rândul utilizatorilor deja conectați la rețea.
Atâta timp cât terminalul Airodump-ng rulează, datele vor continua să se acumuleze. Terminalul Airodump-ng poate funcționa ore sau chiar zile. În sesiunea noastră demonstrativă Airodump-ng, am permis colectarea pachetelor timp de 15 minute. Timpul în care a rulat Airodump-ng poate fi văzut în colțul din stânga sus al terminalului.
Observați coloana #Data din captura de ecran de mai sus. Acest număr indică câte pachete de date au fost colectate. Cu cât numărul este mai mare, cu atât este mai probabil ca hackerii să descopere informații sensibile care pot fi folosite pentru a „pivota” în rețea sau pentru a compromite în continuare ținta.
Odată ce au fost colectate suficiente date, sesiunea Airodump-ng poate fi oprită apăsând Ctrl + C. Va exista acum un fișier „null_byte-01.cap” (sau un fișier cu numele pe care l-ați ales pentru el) în /tmp director. Acest fișier .cap va trebui să fie deschis folosind Wireshark.
Pasul 3: Instalați cea mai recentă versiune de Wireshark
În mod implicit, Wireshark este inclus în aproape toate versiunile Kali. Există câteva versiuni care nu includ Wireshark, așa că iată o scurtă descriere a modului de instalare în Kali.
Mai întâi, rulați comanda apt-get update pentru a vă asigura că cea mai recentă versiune de Wireshark este disponibilă pentru descărcare. Deschideți un terminal și introduceți comanda de mai jos:
Sudo apt-get update
Apoi utilizați următoarea comandă pentru a instala Wireshark:
Sudo apt-get install wireshark
Puteți utiliza caracterele && între două comenzi, așa cum se arată în captura de ecran de mai sus. Acest lucru va instrui terminalul să sincronizeze mai întâi indexul pachetului cu depozitele Kali. Și apoi, după ce actualizarea are succes, ea va instala Wireshark.
Pasul 4: Lansați Wireshark
Odată făcut acest lucru, Wireshark poate fi găsit în categoria Sniffing & Spoofing din meniul Aplicații. Pentru a lansa Wireshark, faceți clic pe pictogramă.
Pasul 5: Configurați Wireshark pentru a decripta datele
Pentru a configura Wireshark să decripteze datele găsite într-un fișier .cap, faceți clic pe butonul Editare din bara de meniu de sus, apoi accesați Preferințe și extindeți meniul derulant Protocoale.
Apoi derulați în jos și selectați „IEEE 802.11”. Caseta de selectare „Activați decriptarea” trebuie bifată. Apoi faceți clic pe butonul „Editați” pentru a adăuga chei de decriptare pentru o anumită rețea Wi-Fi.
Va apărea o nouă fereastră. Aici va trebui să specificați parola și numele routerului. Trebuie să vă introduceți acreditările, separând parola și numele routerului cu două puncte (de exemplu, parola: nume_ruter).
Mai întâi selectați tipul cheii „wpa-pwd”. Acest tip de cheie este necesar pentru a seta parola WPA în text simplu. Parola rețelei Wi-Fi „Null Byte” este un șir lung codificat, așa că am introdus „bWN2a25yMmNuM2N6amszbS5vbmlvbg ==: Null Byte” în coloana Cheie. Un alt exemplu ar fi „Wonderfulboat555:NETGEAR72”, unde „Wonderfulboat555” este parola routerului numit „NETGEAR72”.
Când faceți acest lucru, faceți clic pe OK pentru a vă salva acreditările. Wireshark va începe automat decriptarea datelor care aparțin rețelei Wi-Fi „Null Byte” atunci când fișierul .cap este importat.
Pasul 6: Efectuați o inspecție profundă a pachetelor (DPI)
Pentru a importa un fișier .cap în Wireshark, faceți clic pe meniul Fișier și apoi faceți clic pe Deschidere. Fișierul .cap poate fi găsit în directorul /tmp. Selectați-l, apoi faceți clic pe „Deschidere”. În funcție de cât timp a colectat date terminalul Airodump-ng, poate dura câteva minute pentru ca Wireshark să importe și să decripteze toate datele.
Odată ce fișierul .cap este deschis în Wireshark, puteți vedea mii de linii de trafic web brut. Această priveliște poate fi oarecum înspăimântătoare. Din fericire, Wireshark are filtre de afișare pe care le puteți folosi pentru a controla și a filtra pachetele pe care nu le doriți. Există multe foi online pentru aceste filtre de afișare pentru a ajuta utilizatorii Wireshark să găsească date relevante și sensibile. Dar astăzi ne vom uita la unele dintre cele mai utile filtre de afișare pe care hackerii le folosesc pentru a verifica activitatea care se întâmplă în rețea.
1. Căutați datele cererii POST
O solicitare HTTP POST este adesea folosită atunci când încărcați un fișier pe un server sau transferați date de conectare și parole pe site-uri web. Când cineva se conectează la Facebook sau postează un comentariu în partea de jos a acestui articol, se face folosind o solicitare POST.
Datele POST din fișierul .cap conțin cel mai probabil cele mai compromițătoare și revelatoare date. Hackerii pot găsi nume de utilizator (autentificare), parole, nume reale, adrese de acasă, adrese de e-mail, jurnalele de chat și multe altele. Pentru a filtra datele cererii POST, introduceți șirul de mai jos în panoul de filtrare de afișare:
Http.request.method == „POST”
În exemplul nostru, ne-am înscris pentru un site web aleatoriu pe care l-am găsit pe Internet. Ar fi naiv să credem că oricine ar solicita notificări prin e-mail de la site-urile de știri preferate.
Dacă cererile POST au fost găsite în fișierul .cap, coloana Info va afișa ce rânduri conțin date de solicitare POST. Făcând dublu clic pe una dintre linii, va apărea o nouă fereastră Wireshark care conține informații suplimentare. Derulați în jos și extindeți meniul drop-down „Formular HTML” pentru a analiza datele.
După ce am analizat datele colectate din această singură solicitare POST, am găsit o mulțime de informații aparținând unui utilizator din rețea.
Datele colectate includ numele, prenumele și adresa de e-mail, care pot fi folosite ulterior pentru phishing și hack-uri direcționate.
În plus, site-ul web are un câmp de parolă obligatoriu care poate fi adăugat la listele de parole sau pentru atacuri cu forță brută. Nu este neobișnuit ca oamenii să folosească parole pentru mai multe conturi. Desigur, este posibil ca parola să ofere atacatorului acces la contul Gmail, care poate fi găsit și în datele de solicitare POST.
De asemenea, vedem că în aceste date există numele companiei în care probabil lucrează Christopher Hadnagy. Aceste informații pot fi folosite de hacker pentru măsuri ulterioare de inginerie socială.
Derulând puțin mai departe datele de solicitare POST, apar informații și mai interesante. Adresa completă de domiciliu, cod poștal și număr de telefon. Acest lucru poate oferi hackerului informații despre căreia îi aparține routerul Wi-Fi și numărul de telefon, care poate fi folosit și mai târziu pentru inginerie socială dacă hackerul decide să trimită mesaje SMS false, de exemplu.
2. Căutați datele cererii GET
O solicitare HTTP GET este utilizată pentru a prelua sau descărca date de pe serverele web. De exemplu, dacă cineva vede contul meu Twitter, browserul său va folosi o solicitare GET pentru a prelua date de pe serverele twitter.com. Verificarea fișierului .cap pentru solicitările GET nu va genera nume de utilizator sau adrese de e-mail, dar va permite hackerului să dezvolte un profil cuprinzător al obiceiurilor de navigare pe site.
Pentru a filtra datele cererii GET, introduceți următorul rând în panoul de filtrare de afișare:
Http.request.method == „GET”
Multe site-uri web adaugă .html sau .php la sfârșitul adreselor URL. Acesta ar putea fi un indicator al unui site web vizualizat de cineva dintr-o rețea Wi-Fi.
Ar putea fi util să filtrați solicitările GET legate de CSS și fonturi, deoarece aceste tipuri de solicitări apar în fundal atunci când navigați pe internet. Pentru a filtra conținutul CSS, utilizați acest filtru Wireshark:
Http.request.method == „GET” && !(http.request.line se potrivește cu „css”)
Aici && înseamnă literal „și”. Semnul exclamării (!) înseamnă aici „nu”, așa că Wireshark este instruit să afișeze numai cererile GET și să nu afișeze acele linii de solicitare HTTP care se potrivesc în niciun fel cu css. Această linie filtrează cu succes orice informație inutilă asociată cu resursele web obișnuite.
Făcând clic pe una dintre aceste rânduri pentru a explora datele HTTP, veți obține informații mai detaliate.
Vedem că ținta folosește un computer Windows al cărui User-Agent este browserul Chrome. În ceea ce privește recunoașterea hardware, astfel de informații sunt foarte valoroase. Hackerii pot acum cu un grad ridicat de certitudine să genereze cea mai potrivită sarcină utilă pentru acest utilizator, specifică sistemului de operare Windows utilizat.
Câmpul „Referer” ne spune ce site îl vizualiza utilizatorul imediat înainte de a vizualiza tomsitpro.com. Acest lucru înseamnă cel mai probabil că au găsit articolul „cariera de hacker cu pălărie albă” printr-o interogare de căutare pe duckduckgo.com.
Un câmp „Referitor” care conține DuckDuckGo în loc de Google obișnuit ar putea indica faptul că acest utilizator este responsabil cu privire la confidențialitatea sa, deoarece Google este cunoscut pentru politici agresive care dăunează clienților săi. Acestea sunt informații de care hackerii le vor lua în considerare atunci când creează o sarcină utilă vizată.
3. Căutați datele DNS
În mod implicit, traficul de internet criptat va fi trimis pe portul 443. S-ar putea să credeți că pentru a înțelege mai bine ce site-uri sunt vizualizate, ar fi bine să utilizați filtrul de afișare tcp.port == 443, dar acesta apare de obicei ca IP brută adrese într-o coloană destinație, ceea ce nu este foarte convenabil pentru identificarea rapidă a domeniilor. De fapt, o modalitate mai eficientă de a identifica site-urile web care trimit și primesc date criptate este filtrarea interogărilor DNS.
Sistemul de nume de domeniu (DNS) este utilizat pentru a traduce numele comune de site-uri web în adrese IP care pot fi citite de mașină, cum ar fi https://104.193.19.59. Când vizităm un domeniu precum google.com, computerul nostru convertește numele de domeniu care poate fi citit de om într-o adresă IP. Acest lucru se întâmplă de fiecare dată când folosim un nume de domeniu atunci când navigăm pe site-uri web, trimitem e-mail sau chat online.
Analizarea fișierului .cap pentru interogări DNS îi va ajuta pe hackeri să înțeleagă ce site-uri sunt vizitate frecvent de persoanele conectate la acest router. Hackerii pot vedea nume de domenii aparținând site-urilor web care trimit și primesc date criptate către sau de la aceste site-uri, cum ar fi Facebook, Twitter și Google.
Pentru a filtra datele DNS, introduceți comanda de mai jos în câmpul de filtru de afișare:
Privind interogările DNS ne poate oferi câteva informații interesante. Putem vedea clar că acest utilizator naviga pe site-uri web de călătorie, cum ar fi expedia.com și kayak.com. Acest lucru poate însemna că în curând va pleca în vacanță pentru o perioadă lungă de timp.
Aceste date sunt criptate, astfel încât hackerii să nu poată afla informații despre zbor sau detalii de plecare, dar utilizarea acestor informații pentru a trimite mesaje de phishing poate ajuta un hacker să dezvolte un utilizator din punct de vedere social să dezvăluie informații personale sau financiare.
De exemplu, dacă sunt detectate interogări DNS pentru site-ul web al unei anumite bănci, hackerii ar putea falsifica un e-mail de la acea bancă și pot păcăli utilizatorul să facă o tranzacție mare cu cardul de credit Expedia. E-mailul fals poate conține și informații precise despre țintă, un link către un site bancar fals (controlat de hackeri) etc.
Cum să protejați datele personale de hackeri
La prima vedere, toate datele personale găsite în fișierul .cap par destul de nevinovate. Dar după ce am analizat doar câteva pachete, am aflat numele real, login, parola, adresa de e-mail, adresa de acasă, numărul de telefon, producătorul hardware, sistemul de operare, browserul, obiceiurile de navigare ale anumitor pagini web și multe altele.
Toate aceste date au fost colectate chiar și fără conectarea la un router. Utilizatorii nu aveau de unde să știe măcar că li s-a întâmplat asta. Toate aceste date pot fi folosite de atacatori pentru a lansa un hack complex și foarte țintit împotriva companiilor sau persoanelor fizice.
Vă rugăm să rețineți că toate informațiile personale dezvăluite în acest articol sunt disponibile și furnizorilor de servicii de internet (ISP). Cititorii ar trebui să fie conștienți de faptul că DPI este realizat de furnizorii de servicii de internet în fiecare zi. Pentru a te proteja de asta:
- Folosiți parole mai puternice. Efectuarea de forță brută pentru a sparge parole ușoare este principala metodă a hackerilor de a obține acces la routerele Wi-Fi.
- Utilizați un VPN. Folosind o conexiune criptată între dvs. și furnizorul VPN, toate datele pe care le-am găsit în acest articol nu vor fi disponibile hackerilor. Cu toate acestea, dacă furnizorul VPN se înregistrează sau realizează DPI, atunci toate datele ar fi, de asemenea, ușor accesibile hackerilor.
- Folosește Tor. Spre deosebire de un VPN, rețeaua Tor este construită pe un model de securitate diferit care nu transferă datele noastre către o singură rețea sau ISP.
- Utilizați SSL/TLS. Transport Layer Security - Transport Layer Security (HTTPS) va cripta traficul dvs. web între browser și site. Instrumente precum , pot ajuta la criptarea întregului trafic al browserului dvs. web.
Nu mă pricep foarte bine la publicarea pe tema legislației și a securității „pe hârtie”, așa că mă voi încerca într-un alt gen - să vorbim despre securitatea practică. Subiectul postării de astăzi va fi pericolele utilizării rețelelor Wi-Fi ale altor persoane.
Cred că mulți experți sunt deja familiarizați cu acest subiect, dar pot găsi și ei ceva nou pentru ei înșiși în acest articol.
Să începem conversația cu rețelele Wi-Fi deschise, atât de îndrăgite de mulți pentru absența parolelor, accesibilitatea în multe locuri publice și, de regulă, viteza bună a Internetului (în comparație cu accesul prin rețelele mobile). Dar rețelele deschise sunt pline de pericole mari - tot traficul literalmente „plutește în aer”, nu există criptare sau protecție împotriva interceptării. Orice utilizator fără cunoștințe speciale, folosind programe gata făcute, vă poate intercepta și analiza întregul trafic.
Să vedem cum funcționează acest lucru - pentru a demonstra, am setat punctul meu de acces acasă la modul de rețea deschis:
Apoi, m-am conectat la această rețea de pe un laptop și de pe o tabletă Android, am instalat aplicația Intercepter-NG pe tabletă, este disponibilă și pentru Windows. Aplicația necesită drepturi de super-utilizator; după lansare, fereastra de pornire vă invită să scanați computerele disponibile în zona de vizibilitate:
După ce mi-am marcat laptopul (IP 192.168.0.101), merg la următorul ecran și încep interceptarea pachetelor. După aceea, deschid Yandex pe laptopul meu:
Sniffer-ul a surprins cu încredere deschiderea paginilor, iar dacă intri la fila cu imaginea cookie, poți vizualiza o listă cu toate Cookie-urile mele pe care browserul meu de pe laptop le-a trimis și primit la navigarea pe site-uri. Totodată, făcând clic pe oricare dintre rânduri, Intercepter-NG deschide browser-ul și introduce Cookie-urile interceptate, astfel, fără să prindeți măcar momentul autorizării victimei pe site-ul de interes, puteți intra în sesiunea deschisă a acestuia. Acest tip de atac se numește „deturnarea sesiunii” - „furtul” unei sesiuni.
Așadar, am demonstrat în practică că nu există protecție în principiu într-o rețea Wi-Fi deschisă. Dar titlul acestei postări spune rețele Wi-Fi „străine”, nu „deschise”. Să trecem la un alt aspect al securității wireless - interceptarea traficului în interiorul unei rețele închise. Am reconfigurat routerul activând WPA2 cu o cheie pre-partajată (acest tip de protecție a rețelei Wi-Fi este utilizat în 80% din punctele de acces):
Mă conectez din nou la rețea de pe laptop și tabletă și lansez din nou Intercepter-NG - la scanare vede iar laptopul - îl selectez și încep interceptarea traficului, în paralel de pe laptop merg pe mai multe site-uri cu autorizație HTTP-Basic, si asta vad pe tableta:
Traficul a fost interceptat cu succes - „atacatorul” știe acum parola mea pentru interfața web a routerului și un alt site. În plus, deturnarea sesiunii funcționează în același mod - la urma urmei, tot traficul este interceptat.
Când utilizați WEP și WPA, totul este foarte simplu; aceleași chei sunt folosite pentru a cripta diferite dispozitive din aceeași rețea. Deoarece „atacatorul” cunoaște și această cheie și se află în aceeași rețea, el încă interceptează tot traficul și îl decriptează cu o cheie familiară.
Am folosit WPA2, în care această problemă a fost rezolvată și clienții folosesc diferite chei de criptare, dar conține o vulnerabilitate gravă și, cunoscând cheia de autorizare și interceptând un anumit set de pachete, puteți dezvălui așa-numita Cheie Tranzitorie în Pereche - cheia care criptează traficul pentru traficul care ne interesează client.
După cum a arătat practica, problema poate fi parțial rezolvată prin activarea opțiunii de izolare AP, care este acceptată de majoritatea routerelor Wi-Fi moderne:
Cu toate acestea, acesta nu este un panaceu; capacitatea de a intercepta folosind Intercepter-NG pentru Android dispare, dar mai multe utilități funcționale, de exemplu, Airodump-ng continuă să funcționeze. Nu am studiat mai în detaliu diferența de funcționare a acestor utilități și motivele pentru care Intercepter-NG nu funcționează, amânând acest subiect pentru mai târziu.În plus, este imposibil de aflat dacă izolarea este activată pe rețeaua la care te conectezi (de exemplu, într-o cafenea sau la un eveniment) fără o verificare practică.
Ne-am dat seama care sunt pericolele utilizării rețelelor Wi-Fi ale altor persoane, dar problema protecției rămâne. Există destul de multe metode, ideea principală este criptarea suplimentară a întregului trafic și există suficiente metode de implementare - utilizarea strictă a SSL acolo unde este posibil (HTTPS, SSH, SFTP, SSL-POP, IMAP4-SSL etc.), conexiune prin VPN, utilizarea unei rețele de criptare distribuite, cum ar fi TOR și așa mai departe. Acest subiect este destul de extins și merită o postare separată.
Pentru a vă proteja rețeaua Wi-Fi și a seta o parolă, trebuie să selectați tipul de securitate a rețelei fără fir și metoda de criptare. Și în această etapă, mulți oameni au o întrebare: pe care să o aleagă? WEP, WPA sau WPA2? Personal sau Enterprise? AES sau TKIP? Ce setări de securitate vă vor proteja cel mai bine rețeaua Wi-Fi? Voi încerca să răspund la toate aceste întrebări în cadrul acestui articol. Să luăm în considerare toate metodele posibile de autentificare și criptare. Să aflăm ce parametri de securitate a rețelei Wi-Fi sunt cel mai bine setați în setările routerului.
Vă rugăm să rețineți că tipul de securitate sau autentificarea, autentificarea în rețea, protecția, metoda de autentificare sunt toate același lucru.
Tipul de autentificare și criptarea sunt principalele setări de securitate pentru o rețea Wi-Fi fără fir. Cred că mai întâi trebuie să ne dăm seama care sunt, ce versiuni există, capabilitățile lor etc. După care vom afla ce tip de protecție și criptare să alegem. Vă voi arăta folosind exemplul mai multor routere populare.
Recomand cu căldură să configurați o parolă și să vă protejați rețeaua wireless. Setați nivelul maxim de protecție. Dacă lăsați rețeaua deschisă, fără protecție, atunci oricine se poate conecta la ea. Acest lucru este în primul rând nesigur. Și, de asemenea, o încărcare suplimentară pe router, o scădere a vitezei de conectare și tot felul de probleme cu conectarea diferitelor dispozitive.
Protecția rețelei Wi-Fi: WEP, WPA, WPA2
Există trei opțiuni de protecție. Desigur, fără a lua în calcul „Open” (Fără protecție).
- WEP(Wired Equivalent Privacy) este o metodă de autentificare învechită și nesigură. Aceasta este prima și nu foarte reușită metodă de protecție. Atacatorii pot accesa cu ușurință rețelele wireless care sunt protejate folosind WEP. Nu este nevoie să setați acest mod în setările routerului dvs., deși este prezent acolo (nu întotdeauna).
- WPA(Wi-Fi Protected Access) este un tip de securitate fiabil și modern. Compatibilitate maximă cu toate dispozitivele și sistemele de operare.
- WPA2– o versiune nouă, îmbunătățită și mai fiabilă de WPA. Există suport pentru criptarea AES CCMP. În acest moment, acesta este cel mai bun mod de a proteja o rețea Wi-Fi. Acesta este ceea ce recomand să folosești.
WPA/WPA2 poate fi de două tipuri:
- WPA/WPA2 - Personal (PSK)- Aceasta este metoda obișnuită de autentificare. Când trebuie doar să setați o parolă (cheie) și apoi să o utilizați pentru a vă conecta la o rețea Wi-Fi. Aceeași parolă este utilizată pentru toate dispozitivele. Parola în sine este stocată pe dispozitive. Unde îl puteți vizualiza sau schimba dacă este necesar. Se recomandă utilizarea acestei opțiuni.
- WPA/WPA2 - Enterprise- o metodă mai complexă care este utilizată în principal pentru protejarea rețelelor wireless din birouri și diverse unități. Permite un nivel mai ridicat de protecție. Folosit numai atunci când este instalat un server RADIUS pentru a autoriza dispozitivele (care emite parole).
Cred că ne-am dat seama de metoda de autentificare. Cel mai bun lucru de utilizat este WPA2 - Personal (PSK). Pentru o mai bună compatibilitate, astfel încât să nu existe probleme la conectarea dispozitivelor mai vechi, puteți seta modul mixt WPA/WPA2. Aceasta este setarea implicită pe multe routere. Sau marcat ca „Recomandat”.
Criptarea rețelei fără fir
Există două moduri TKIPȘi AES.
Se recomandă utilizarea AES. Dacă aveți dispozitive mai vechi în rețea care nu acceptă criptarea AES (ci doar TKIP) și vor apărea probleme la conectarea lor la rețeaua wireless, atunci setați-l pe „Automat”. Tipul de criptare TKIP nu este acceptat în modul 802.11n.
În orice caz, dacă instalați strict WPA2 - Personal (recomandat), atunci va fi disponibilă doar criptarea AES.
Ce protecție ar trebui să instalez pe routerul meu Wi-Fi?
Utilizare WPA2 - Personal cu criptare AES. Astăzi, acesta este cel mai bun și mai sigur mod. Iată cum arată setările de securitate a rețelei wireless pe routerele ASUS:
Și așa arată aceste setări de securitate pe routerele de la TP-Link (cu firmware vechi).
Puteți vedea instrucțiuni mai detaliate pentru TP-Link.
Instrucțiuni pentru alte routere:
Dacă nu știți unde să găsiți toate aceste setări pe router, atunci scrieți în comentarii, voi încerca să vă spun. Doar nu uitați să specificați modelul.
Deoarece este posibil ca dispozitivele mai vechi (adaptoare Wi-Fi, telefoane, tablete etc.) să nu accepte WPA2 - Personal (AES), în cazul problemelor de conexiune, setați modul mixt (Auto).
Observ adesea că după schimbarea parolei sau a altor setări de securitate, dispozitivele nu doresc să se conecteze la rețea. Calculatoarele pot primi eroarea „Setările de rețea salvate pe acest computer nu îndeplinesc cerințele acestei rețele”. Încercați să ștergeți (uitați) rețeaua de pe dispozitiv și să vă conectați din nou. Am scris cum se face asta pe Windows 7. Dar în Windows 10 aveți nevoie de .
Parolă (cheie) WPA PSK
Indiferent de tipul de securitate și metodă de criptare pe care o alegeți, trebuie să setați o parolă. Cunoscută și sub numele de cheie WPA, parolă wireless, cheie de securitate a rețelei Wi-Fi etc.
Lungimea parolei este de la 8 la 32 de caractere. Puteți folosi litere din alfabetul latin și numere. De asemenea, caractere speciale: - @ $ # ! etc. Fara spatii! Parola face distincție între majuscule și minuscule! Aceasta înseamnă că „z” și „Z” sunt caractere diferite.
Nu recomand să setați parole simple. Este mai bine să creați o parolă puternică pe care nimeni nu o poate ghici, chiar dacă încearcă din greu.
Este puțin probabil să vă puteți aminti o parolă atât de complexă. Ar fi bine să-l notezi undeva. Nu este neobișnuit ca parolele Wi-Fi să fie pur și simplu uitate. Am scris in articol ce sa fac in astfel de situatii: .
Dacă aveți nevoie de și mai multă securitate, puteți utiliza legarea adresei MAC. Adevărat, nu văd necesitatea asta. WPA2 - Personal asociat cu AES și o parolă complexă este suficient.
Cum vă protejați rețeaua Wi-Fi? Scrieți în comentarii. Ei bine, pune intrebari :)
Necesitatea de a crea un hotspot virtual pe un laptop poate apărea din diverse motive. Pentru unii, este important să partajeze accesul la Internet printr-un modem 3G sau WiMax pentru alte dispozitive wireless. Și cineva vrea să facă un punct de acces fals (Rogue AP) și, atrăgând clienții, să le smulgă traficul. Dar puțini oameni știu că abilitatea de a face acest lucru este încorporată în Windows însuși!
Odată cu apariția acoperirii rețelei 3G de la operatorii de telefonie mobilă, am început să folosesc din ce în ce mai des internetul mobil. Dacă lucrați printr-un modem USB, puteți obține adesea o conexiune destul de tolerabilă. Mai mult, astfel de dispozitive sunt foarte ieftine și se vând complet cu tarife foarte rezonabile care nu te vor strica în prima zi de utilizare. Una dintre problemele cu care am devenit confuz după achiziționarea unui modem 3G a fost organizarea unui hotspot de pe laptopul meu, astfel încât să pot distribui Internetul mobil către alte dispozitive wireless prin Wi-Fi.
Mac OX X
În Mac OS X, probabil că nu va fi posibil să funcționeze un adaptor standard în modul Infrastructură. Dar puteți partaja internetul pentru un singur client care se conectează la un MacBook printr-o rețea fără fir fără a intra măcar în consolă.
Cum să faci viața mai ușoară?
Așadar, pentru a crea un hotspot cu drepturi depline, am avut nevoie doar de câteva comenzi în consolă și de câteva clicuri de mouse. Dar mă grăbesc să vă dezamăgesc: imediat după repornire sau deconectare din sistem (chiar și în modul de repaus), toate operațiunile vor trebui reluate. Este incomod și obositor. Din fericire, au fost mulți dezvoltatori care au citit articolul MSDN despre Wireless Hosted Network și au implementat utilități pentru a face configurarea unui hotspot software mai ușor și mai ușor de înțeles.
Vă recomand două: Virtual Router și Connectify. Ambele sunt gratuite și vă permit să selectați o conexiune printr-o interfață GUI convenabilă pe care doriți să o partajați folosind un punct de acces software și apoi să ridicați hotspot-ul în două clicuri. În acest caz, nu trebuie să introduceți SSID-ul și cheia de rețea de fiecare dată: totul va funcționa chiar și după o repornire.
Virtual Router oferă un minim de funcționalitate și nu a fost dezvoltat de mult timp, dar este distribuit ca sursă deschisă (un bun exemplu de utilizare a apelurilor API corespunzătoare ale sistemului). Aceasta este în esență o versiune grafică a comenzilor netsh.
Utilitarul Connectify este mult mai sofisticat. Pentru a implementa funcții suplimentare care nu sunt furnizate de capabilitățile standard ale Windows, trebuie chiar să instaleze dispozitive virtuale și drivere în sistem. Și dă roade. De exemplu, nu trebuie să legați tipul de criptare WPA2-PSK/AES la rețeaua găzduită fără fir prin cablu: dacă doriți, creați cel puțin un hotspot deschis. Acest lucru este deosebit de important pentru a clona parametrii unei rețele wireless existente (de exemplu, pentru a-și extinde raza de acțiune sau pentru a crea un punct de acces fals). În plus, Connectify are un server UPnP încorporat și vă permite să vă partajați conexiunea VPN (inclusiv OpenVPN). Cu astfel de capabilități, hotspot-ul tău virtual va găsi cu siguranță aplicație.
Dar pentru a fi mai ușor de înțeles în ce situații este nevoie, am pregătit pentru tine o selecție a celor mai populare cazuri. Puteți citi despre ele în bara laterală.
