Forscher der University of California in Riverside haben eine neue Klasse von Angriffen auf drahtlose Netzwerke entwickelt – AirSnitch. Diese Angriffe ermöglichen es, die Isolationsmechanismen zwischen Kunden in einem Wi-Fi-Netzwerk zu umgehen, die es verhindern, dass Kunden direkt miteinander kommunizieren. Im schlimmsten Fall erlauben die Angriffe einem Angreifer, den Datenverkehr des Opfers (MITM) umzuleiten, um unverschlüsselte Anfragen zu analysieren oder zu modifizieren, sowie Webseitenaufrufe durch DNS-Cache-Vergiftungen zu manipulieren.
Um die Angriffe durchzuführen, muss der Angreifer in der Lage sein, sich mit demselben drahtlosen Netzwerk wie das Opfer oder mit einem Gästennetzwerk zu verbinden, das von demselben Access Point bereitgestellt wird. Zum Beispiel können Angriffe in öffentlichen WLAN-Netzen eingesetzt werden. Von den 9 getesteten Modellen von drahtlosen Access Points von Netgear, Tenda, D-LINK, TP-LINK, ASUS, Ubiquiti, LANCOM und Cisco sowie Lösungen mit DD-WRT- und OpenWrt-Firmware waren alle Geräte mindestens einer Angriffsart ausgesetzt.
Drei Probleme, die einen Angriff ermöglichen, werden identifiziert. Das erste Problem besteht darin, dass die Isolierung zwischen den Kunden aufgrund einer fehlerhaften Verwaltung der Schlüssel, die zum Schutz von Broadcast-Frames verwendet werden, umgangen werden kann. Das zweite Problem besteht darin, dass die Isolierung normalerweise nur auf der MAC- oder IP-Ebene angewendet wird, jedoch nicht auf beiden Ebenen gleichzeitig. Das dritte Problem wird durch eine unzuverlässige Synchronisation der Client-IDs auf der Ebene des gesamten Netzwerkstacks verursacht, was es ermöglicht, den eingehenden und ausgehenden Datenverkehr anderer Kunden abzufangen.
Moderne drahtlose Access Points kombinieren die Funktionen eines Funkübertragungsgeräts und eines Netzwerk-Switches (Layer 2 Switch); dabei verwendet der Switch, im Gegensatz zu kabelgebundenen Netzwerken, anstelle der physischen Portbindung eine logische Bindung an den drahtlosen Kanal. Bei dieser Bindung wird die MAC-Adresse des Clients als Identifikator verwendet, die in einer speziellen MAC-Adresstabelle mit dem Kanal identifiziert wird. Im Falle eines Wechsels des Clients auf einen anderen Kanal (zum Beispiel beim Wechsel von 2,4 GHz auf 5 GHz) werden die Daten in der Tabelle aktualisiert.
Der Angriff erfolgt auf der ersten (physikalisch, Funkkanal) und der zweiten (verbunden, MAC-Adresse) Ebene des OSI-Modells und besteht darin, dass ein Angreifer, der sich mit demselben Zugangspunkt verbunden hat, aber einen anderen Frequenzbereich als das Opfer nutzt (zum Beispiel 2,4 GHz statt 5 GHz), eine Anfrage zur Aushandlung einer Verbindung (4-Way-Handschlag) sendet und dabei die MAC-Adresse des Opfers angibt (ähnlich wie ARP-Spoofing in Ethernet-Netzen). Da die Clients anhand der MAC-Adresse identifiziert werden, glaubt der Zugangspunkt, dass der Client auf einen anderen Kanal gewechselt ist, und ändert den Eintrag in der MAC-Adresstabelle. Anschließend wird der gesamte eingehende Datenverkehr vom Zugangspunkt an das Gerät des Angreifers gesendet.
Um eine bidirektionale Abhörung zu ermöglichen, gibt der Angreifer die an das Opfer gerichteten Daten zurück und stellt den Zustand der MAC-Adresstabelle wieder her. Dazu wird ein 'ICMP Ping'-Paket mit einer zufälligen MAC-Adresse und der Verschlüsselung des Pakets mit dem GTK (Group Temporal Key), der für alle Clients des drahtlosen Netzwerks gemeinsam ist, gesendet. Der Zugangspunkt, der dieses Paket empfängt, gibt die Zuordnung der MAC-Adresse des Opfers zum ursprünglichen drahtlosen Kanal zurück. Das Eindringen in den Datenverkehr erfolgt durch zyklisches Ersetzen und Wiederherstellen des Eintrags in der MAC-Adresstabelle.
Quelle: opennet.ru
