California Ülikooli teadlased on välja töötanud (PDF) uue rünnakute klassi traadita võrke — AirSnitch. Rünnakud võimaldavad mööda minna Wi-Fi võrgu kliendisolatsiooni mehhanismidest, mis ei luba klientidel otseselt üksteisega suhelda. Halvimal juhul võimaldavad rünnakud ründajal suunata ohvri liikluse enda kaudu (MITM), et analüüsida või muuta krüpteerimata päringuid, samuti saab kui DNS-i vahemälu rünnata, et muuta saidipäringute vastuseid.
Rünnakute läbiviimiseks peab ründaja olema ühendatud sama traadita võrguga, mis ohver, või külalisvõrguga, mida teenindab sama juurdepääsupunkt. Näiteks võivad rünnakud toimida avalikes traadita võrkudes. 9 testitud traadita juurdepääsupunkti mudelist Netgear, Tenda, D-LINK, TP-LINK, ASUS, Ubiquiti, LANCOM ja Cisco, samuti DD-WRT ja OpenWrt tarkvaraga lahendustest olid kõik seadmed altti vähemalt ühele rünnakumeetodile.
Kolm probleemi tõuseb esile, mis võimaldavad rünnakut. Esimene probleem võimaldab klientide vahelise isolatsiooni ületamist, kuna lahtise võtme haldamine, mida kasutatakse ülekande kaadrite kaitsmiseks, ei toimi korralikult. Teine probleem on seotud sellega, et isolatsiooni rakendatakse tavaliselt MAC- või IP-tasandil, kuid mitte korraga mõlemal tasandil. Kolmas probleem tuleneb klientide identifikaatorite ebausaldusväärsest sünkroniseerimisest kogu võrgu virnas, mis võimaldab muudest klientidest saabuvat ja väljaminevat liiklust tabada.
Kaasaegsed juhtmevabad juurdepääsupunktid ühendavad endas raadiovastuvõtja ja võrgu lüliti (Layer 2 Switch) funktsioone. Seejuures kasutab lüliti, erinevalt juhelinevõrkudest, mitte kliendi sidumist füüsilise porti kaudu, vaid loogilist seost juhtmevaba kanaliga. Sellise sidumise identifikaatorina kasutatakse kliendi MAC-aadressi, mis seostatakse kanaliga spetsiaalses MAC-aadresside tabelis. Kui klient vahetab kanalit (näiteks 2.4 GHz-lt 5 GHz-ile), värskendatakse tabelis andmeid.
Rünnak toimub OSI võrgumudeli esimesel (füüsiline, raadioside) ja teisel (kanal, MAC-aadress) tasemel, ning see seisneb selles, et ründaja, kes on ühendatud sama juurdepaccesspunktiga, kuid kasutab sagedusala, mis ei ole sama, mis ohvril (näiteks 2.4 GHz asemel 5 GHz), saadab ühenduse loomise taotluse (4-way handshake), näidates ohvri MAC-aadressi (sarnane ARP-spoofingule Ethernet-võrkudes). Kuna kliendid tuvastatakse MAC-aadressi järgi, arvab juurdepaccesspunkt, et klient on lülitunud teisele kanalile, ja muudab MAC-aadressi tabelis olevat kirjet. Pärast seda suunatakse kogu sissetulev liiklus juurdepaccesspunktist ründaja seadmesse.
Kaksisuunalise rünnaku korral, kui ründaja on saanud ohvrile suunatud andmed, taastab ta MAC-aadresside tabeli oleku algseisundisse. Selleks saadetakse „ICMP Ping” pakett juhusliku MAC-aadressiga ja paketi krüptimine toimub GTK (Group Temporal Key) võtmega, mis on kõigi traadita võrgu klientide jaoks ühine. Juurdepääsupunkt, saades selle paketi, tagastab ohvri MAC-aadressi sidumise algse traadita kanaliga. Rünnak toimub MAC-aadresside tabeli tsüklilise asendamise ja taastamise kaudu.
Allikas: opennet.ru
