{"id":115832,"date":"2024-05-16T14:59:26","date_gmt":"2024-05-16T12:59:27","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/ataka-ssid-confusion-pozvolyayushhaya-podmenit-set-wi-fi"},"modified":"2024-05-16T14:59:26","modified_gmt":"2024-05-16T12:59:27","slug":"ataka-ssid-confusion-pozvolyayushhaya-podmenit-set-wi-fi","status":"publish","type":"post","link":"https:\/\/prohoster.info\/nl\/blog\/news\/ataka-ssid-confusion-pozvolyayushhaya-podmenit-set-wi-fi","title":{"rendered":"SSID Confusion-aanval, waarmee een Wi-Fi-netwerk kan worden vervalst","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Een groep onderzoekers van de Katholieke Universiteit Leuven (Belgi\u00eb) heeft een architectonische kwetsbaarheid (CVE-2023-52424) ontdekt in de Wi-Fi-standaard IEEE 802.11. Deze kwetsbaarheid stelt in staat om verbinding te maken met een minder beveiligd draadloos netwerk, in plaats van het betrouwbare netwerk waartoe de gebruiker zich wilde verbinden. Hierdoor kunnen het verkeer worden onderschept en manipulaties worden uitgevoerd. Het probleem manifesteert zich in draadloze stacks van elk besturingssysteem en heeft betrekking op de WPA3-, WEP-, EAP-, AMPE- en FILS-authenticatiemethoden. <\/p>\n
De voorgestelde aanvalstechniek, die de naam SSID Confusion heeft gekregen, stelt in staat om de authenticatiemethoden van het toegangspunt te omzeilen die bescherming bieden tegen de vervalsing van de SSID-netwerkidentifier en die het cre\u00ebren van valse netwerken met de naam van het netwerk waaraan de cli\u00ebnt zich verbindt, verhinderen. De oorzaak van het probleem ligt in de standaarddefinitie van situaties waarin de SSID mogelijk niet geauthenticeerd is. In het bijzonder verzendt het toegangspunt in broadcastmodus beacon-frames om zijn aanwezigheid aan te geven, die informatie bevatten over de SSID van het netwerk. Om het zoekproces te vereenvoudigen, authenticeren cli\u00ebnten de SSID in deze frames niet, aangezien wordt aangenomen dat verificatie nodig zal zijn nadat de cli\u00ebnt heeft besloten zich met het netwerk te verbinden. <\/p>\n
Voor een succesvolle uitvoering van de aanval is het vereist dat de gebruiker verbinding maakt met een specifiek draadloos netwerk, terwijl er in de nabijheid een ander draadloos netwerk is met dezelfde verbindingsparameters als het eerste netwerk. Dit komt bijvoorbeeld voor wanneer voor de 2.4GHz- en 5GHz-banden verschillende netwerken worden gemaakt, waarvan \u00e9\u00e9n slecht beveiligd is en kwetsbaar voor typische verkeer-interceptieaanvallen zoals KRACK of Frag. Deze problematische configuratie wordt ook gebruikt in sommige universiteitsnetwerken die de Eduroam-service ondersteunen. De aanvaller moet zich binnen het bereik van het signaal bevinden om zich tussen de gebruiker en het doelnetwerk in te voegen (MitM). Voor het uitvoeren van de aanval hoeft de aanvaller de inloggegevens van het slachtoffer niet te kennen. <\/p>\n
De aanval is gericht op het cre\u00ebren van een toegangspunt door de aanvaller (WrongAP in het diagram), dat via een ander kanaal verzoeken doorstuurt naar een minder beveiligd vervangend netwerk (WrongNet), waarmee de klant in plaats van het gewenste netwerk (TrustedNet) moet verbinden. Het toegangspunt kan worden gemaakt op een gewone laptop en wordt gebruikt om een multikanaal MitM-aanval op het slachtoffer (MC MitM) uit te voeren. De aanval wordt in drie fasen uitgevoerd: <\/p>\n
Netwerkdetectie (Network Discovery). Het MitM-systeem onderschept de pakketten die door het slachtoffer worden verzonden naar de vertrouwde toegangspunt (TrustedNet) en vervangt daarin de SSID \u2014 in de pakketten van de toegangspunt wordt de SSID vervangen door de identificatie van een minder beveiligd netwerk, terwijl in de antwoorden van het slachtoffer de echte SSID wordt weergegeven, zodat de interactie tussen de client en het vertrouwde toegangspunt wordt gesimuleerd. Hierdoor ontvangt het apparaat van het slachtoffer de antwoorden en denkt het dat het zojuist genoemde netwerk in de buurt is, ondanks dat deze antwoorden worden uitgezonden door de toegangspunt van de aanvaller.\n
Authenticatie-overname (Authentication hijacking). De aanvaller simuleert een succesvolle authenticatie en dwingt de klant om verbinding te maken met het minder beveiligde netwerk in plaats van met het vertrouwde netwerk. Net als in de vorige fase onderschept de aanvaller de frames die tijdens de authenticatie door de klant worden verzonden, vervangt het SSID en stuurt het opnieuw naar het toegangspunt.\n
MitM. Na de totstandkoming van de communicatielijn vervangt de aanvaller het SSID van WrongNet door TrustedNet, waardoor de indruk ontstaat dat de gebruiker via een betrouwbaar netwerk werkt en niet via een minder beveiligd netwerk.
![\"SSID](\"\/wp-content\/uploads\/2024\/05\/61f99d8f551828c4300bd9b1b498617a.jpg\")
<\/center>\n![\"Video](\"https:\/\/img.youtube.com\/vi\/VKJwek9eCig\/hqdefault.jpg\")
\r\n