I ricercatori dell'Università della California a Riverside hanno sviluppato (PDF) una nuova classe di attacchi alle reti wireless — AirSnitch. Gli attacchi consentono di eludere i meccanismi di isolamento dei clienti nella rete Wi-Fi, che non permettono ai clienti di comunicare direttamente tra loro. Nel peggiore dei casi, gli attacchi consentono a un malintenzionato di reindirizzare il traffico della vittima (MITM) per analizzare o modificare richieste non crittografate, oltre a sostituire le richieste ai siti tramite avvelenamento della cache DNS.
Per effettuare gli attacchi, il malintenzionato deve essere in grado di connettersi alla stessa rete wireless della vittima o a una rete ospite gestita dallo stesso punto di accesso. Ad esempio, gli attacchi possono essere effettuati in reti wireless pubbliche. Di 9 modelli testati di punti di accesso wireless di Netgear, Tenda, D-LINK, TP-LINK, ASUS, Ubiquiti, LANCOM e Cisco, così come soluzioni con firmware DD-WRT e OpenWrt, tutti i dispositivi si sono dimostrati vulnerabili ad almeno un metodo di attacco.
Si evidenziano tre problemi che consentono di perpetrate un attacco. Il primo problema consente di eludere l'isolamento tra i clienti a causa di una gestione errata delle chiavi utilizzate per proteggere i frame di broadcasting. Il secondo problema è che l'isolamento viene generalmente applicato a livello MAC o a livello IP, ma non a entrambi i livelli contemporaneamente. Il terzo problema è causato da una sincronizzazione non affidabile degli identificatori dei clienti a livello dell'intero stack di rete, il che consente di intercettare il traffico in entrata e in uscita di altri clienti.
I moderni punti di accesso wireless combinano le funzioni di trasmettitore radio e switch di rete (Layer 2 Switch), mentre lo switch, a differenza delle reti cablate, invece di legare il cliente a una porta fisica, utilizza un legame logico al canale wireless. Come identificatore in tale legame viene utilizzato l'indirizzo MAC del cliente, che viene identificato con il canale in una apposita tabella degli indirizzi MAC. In caso di passaggio del cliente a un altro canale (ad esempio, dopo il passaggio da 2.4 GHz a 5 GHz) i dati nella tabella vengono aggiornati.
L'attacco viene effettuato ai primi (fisico, radio) e secondi (canale, indirizzo MAC) livelli del modello di rete OSI, e consiste nel fatto che l'aggressore, connesso allo stesso punto di accesso ma utilizzando una banda di frequenza diversa da quella della vittima (ad esempio, 2.4 GHz invece di 5 GHz), invia una richiesta per la negoziazione della connessione (4-way handshake), specificando l'indirizzo MAC della vittima (simile all'ARP spoofing nelle reti Ethernet). Poiché i client vengono identificati tramite l'indirizzo MAC, il punto di accesso presume che il client si sia spostato su un altro canale e modifica l'entry nella tabella degli indirizzi MAC. Successivamente, tutto il traffico in entrata dal punto di accesso inizia a essere inviato al dispositivo dell'attaccante.
Per organizzare un'intercettazione bidirezionale, l'attaccante, ricevendo i dati indirizzati alla vittima, ripristina lo stato della tabella degli indirizzi MAC alla condizione iniziale. A tal fine, viene inviato un pacchetto "ICMP Ping" specificando un indirizzo MAC casuale e crittografando il pacchetto con la chiave GTK (Group Temporal Key), condivisa da tutti i client della rete wireless. Il punto di accesso, ricevuto questo pacchetto, restituisce il collegamento dell'indirizzo MAC della vittima al canale wireless originale. L'inserimento nel traffico avviene tramite una sostituzione ciclica e un ripristino dell'entry nella tabella degli indirizzi MAC.
Fonte: opennet.ru
