I ricercatori dell'Università della California, Riverside, hanno sviluppato (PDF) una nuova classe di attacchi alle reti wireless — AirSnitch. Questi attacchi consentono di eludere i meccanismi di isolamento dei clienti nelle reti Wi-Fi, impedendo loro di comunicare direttamente tra loro. Nel peggior scenario, gli attacchi permettono a un malintenzionato di dirottare il traffico della vittima (MITM) per analizzare o modificare le richieste non crittografate e anche di falsificare le richieste verso i siti tramite l'avvelenamento della cache DNS.
Per eseguire gli attacchi, un malintenzionato deve essere in grado di connettersi alla stessa rete wireless della vittima o a una rete guest fornita dallo stesso punto di accesso. Ad esempio, gli attacchi possono essere effettuati in reti wireless pubbliche. Di 9 modelli testati di punti di accesso wireless da Netgear, Tenda, D-LINK, TP-LINK, ASUS, Ubiquiti, LANCOM e Cisco, così come soluzioni con firmware DD-WRT e OpenWrt, tutti i dispositivi sono risultati vulnerabili ad almeno un metodo d'attacco.
Vengono evidenziati tre problemi che consentono di effettuare un attacco. Il primo problema permette di aggirare l'isolamento tra i clienti a causa di una gestione inadeguata delle chiavi utilizzate per proteggere i frame di broadcast. Il secondo problema è legato al fatto che l'isolamento viene solitamente applicato a livello MAC o a livello IP, ma non a entrambi i livelli contemporaneamente. Il terzo problema è causato da una sincronizzazione inaffidabile degli identificatori dei clienti a livello dell'intero stack di rete, il che consente di intercettare il traffico in entrata e in uscita di altri clienti.
I moderni punti di accesso wireless uniscono le funzioni di trasmettitore radio e switch di rete (Layer 2 Switch), dove lo switch, a differenza delle reti cablate, non collega il cliente a una porta fisica, ma utilizza un collegamento logico a un canale wireless. Come identificatore per questo collegamento viene utilizzato il MAC address del cliente, che viene associato al canale in una particolare tabella degli indirizzi MAC. In caso di cambio del cliente su un altro canale (ad esempio, passando da 2.4 GHz a 5 GHz), i dati nella tabella vengono aggiornati.
L'attacco avviene ai primi due livelli del modello OSI (fisico e di collegamento, indirizzo MAC) ed è essenzialmente un caso in cui un malintenzionato, connesso al medesimo punto di accesso ma utilizzando una gamma di frequenze diversa da quella della vittima (ad esempio, 2.4 GHz invece di 5 GHz), invia una richiesta di handshake (4-way handshake) specificando l'indirizzo MAC della vittima (simile a un attacco di ARP spoofing nelle reti Ethernet). Poiché i client vengono identificati tramite l'indirizzo MAC, il punto di accesso assume che il client si sia spostato su un altro canale e modifica la registrazione nella tabella degli indirizzi MAC. Da quel momento, tutto il traffico in entrata dal punto di accesso inizia ad essere inviato al dispositivo dell'attaccante.
Per organizzare un'intercettazione bidirezionale, l'attaccante, ottenendo i dati indirizzati alla vittima, ripristina lo stato della tabella degli indirizzi MAC. A tal fine, viene inviato un pacchetto 'ICMP Ping' con un indirizzo MAC casuale e la crittografia del pacchetto con la chiave GTK (Group Temporal Key), condivisa tra tutti i clienti della rete wireless. L'access point, ricevendo questo pacchetto, restituisce il collegamento dell'indirizzo MAC della vittima al canale wireless originale. L'inserimento nel traffico avviene tramite una sostituzione ciclica e il ripristino della registrazione nella tabella degli indirizzi MAC.
Fonte: opennet.ru
