Атаката AirSnitch, която позволява да се заобиколи изолацията между клиентите в Wi-Fi

Изследователи от Калифорнийския университет в Ривърсайд разработиха (PDF) нов клас атаки на безжични мрежи — AirSnitch. Атаките дават възможност за заобикаляне на механизмите за изолация на клиентите в Wi-Fi мрежата, които не позволяват на клиентите да комуникират пряко помежду си. В най-лошия сценарий атаките дават възможност на злоумисленика да пренасочи трафика на жертвата (MITM) за анализ или модификация на нешифровани заявки, както и да подменя достъпите до сайтове чрез отравяне на DNS кеша.

За провеждане на атаките, злоумисленикът трябва да има възможност да се свърже към същата безжична мрежа, в която е жертвата, или към гостова мрежа, обслужвана от същата точка на достъп. Например, атаките могат да се прилагат в публични безжични мрежи. От 9 тествани модела безжични точки на достъп от Netgear, Tenda, D-LINK, TP-LINK, ASUS, Ubiquiti, LANCOM и Cisco, както и решения с фърмуери DD-WRT и OpenWrt, всички устройства се оказаха податливи на поне един метод на атака.

Има три проблема, които позволяват извършването на атака. Първият проблем позволява заобикаляне на изолацията между клиентите поради неправилното управление на ключовете, използвани за защита на широковещателните кадри. Вторият проблем е свързан с това, че изолацията обикновено се прилага на ниво MAC или на ниво IP, но не и на двете нива едновременно. Третият проблем е причинен от ненадеждно синхронизиране на идентификаторите на клиентите на ниво целия мрежов стек, което позволява перехващане на входящия и изходящия трафик на други клиенти.

Съвременните безжични точки на достъп комбинират в себе си функции на радиопредавател и мрежов комутатор (Layer 2 Switch), като комутаторът, за разлика от проводниковите мрежи, вместо да привърже клиента към физическия порт, използва логична привързаност към безжичния канал. Като идентификатор при такава привързаност се използва MAC адреса на клиента, който се идентифицира с канала в специална таблица на MAC адресите. В случай на преминаване на клиента на друг канал (например, след преминаване от 2.4 GHz на 5 GHz) данните в таблицата се актуализират.

Атаката се провежда на първо (физическо, радиоканал) и второ (канално, MAC-адрес) ниво на мрежовата модел OSI и се свежда до това, че нападателят, свързан към същата точка за достъп, но използващ честотен диапазон, различен от този на жертвата (например, 2.4 GHz вместо 5 GHz), изпраща запитване за установяване на свързване (4-way handshake), указвайки MAC-адреса на жертвата (подобно на ARP спуфинг в Ethernet мрежи). Тъй като клиентите се идентифицират по MAC-адрес, точката за достъп вярва, че клиентът е преминал на друг канал, и променя записа в таблицата с MAC-адреси. След това целият входящ трафик от точката за достъп започва да се изпраща на устройството на нападателя.

За организиране на двупосочен перехват, нападателят, получил данните, адресирани до жертвата, връща състоянието на таблицата с MAC-адреси в оригиналното му състояние. За целта се изпраща пакет «ICMP Ping» с указание на случаен MAC-адрес и шифриране на пакета с ключа GTK (Group Temporal Key), общ за всички клиенти на безжичната мрежа. Точката за достъп, получаваща този пакет, връща свързването на MAC-адреса на жертвата с оригиналния безжичен канал. Включването в трафика се осъществява чрез циклична подмяна и връщане на записа в таблицата с MAC-адреси.

Източник: opennet.ru