Détecter les 802.11 cartes et points d'accès non autorisés
Le premier but est détection. Pouvons-nous dire quand quelqu'un des puissances sur une carte dans la marge du réseau local ? Ceci peut être fait avec les composants disponibles immédiatement et le logiciel libre. Le conducteur de Cisco Aironet inclus avec les grains plus récents de Linux soutient le mode "de moniteur de rf", qui permet la surveillance promiscueuse de 802.11 paquets - spécifiquement, surveillant les 802.11 armatures crues pour détecter s'il y a des armatures indicatrices annoncent par un point ou une carte d'accès escroc. Conformément aux spécifications 802.11 originales, il y a trois classes de 802.11 armatures. Avec le but de détecter les points d'accès escroc et les cartes sans fil non autorisées d'Ethernet, nous sommes principalement intéressés par des armatures de la classe 1 et 2. Les armatures de la classe 1 sont les seules armatures permises dans l'état 1, unauthenticated l'état, et sont en grande partie des armatures de gestion utilisées pour l'authentification, les balises, et les demandes de sonde. Des armatures de la classe 2 sont permises dans les deux états 1 et 2, et sont employées pour l'association et la rassociation. Des points d'accès, nous compterions voir un grand nombre d'armatures de balise (classe 1). De unassociated les clients ads-hoc balayant en mode actif, nous compterait voir un grand nombre de demandes de sonde (aussi classe 1). Pour évaluer cette hypothèse, une méthode de surveiller chacune des 802.11 armatures de gestion est nécessaire, qui la carte de Cisco et le conducteur de Linux sont capables de en "le mode de moniteur de rf." Installez pour mettre la carte dans le mode de moniteur de rf, tout mode de BSS (utilisation ": r "pour le mode plat de moniteur de rf) : # mode d'écho ": y "> /proc/driver/aironet/eth0/Config # Puis, paquets de notation de début avec le tcpdump, les sauvant à un dossier pour l'analyse postérieure avec éthéré : # tcpdump - I eth0 - s 0 - W capturefile # Le réseau ad-hoc non autorisé le premier essai devait confirmer la capacité de détecter une carte de WLAN étant mise sous tension. Une carte de Lucent Orinoco a été configurée en mode ad-hoc sur un ordinateur portatif de Win2k, et tourné dessus vers découvrez s'il y avait des armatures caractéristiques envoyées par la carte d'Orinoco quand il a été mis dans le mode ad-hoc. Après la carte initialisée, le tcpdump a été arrêté, commencé éthéré, et le dossier de capture ont été ouverts. Un grand nombre de demandes de sonde de la carte d'Orinoco ont été trouvées, confirmant qu'il était en effet possible de détecter quand quelqu'un dans la marge étroite avait actionné vers le haut d'une carte sans fil d'Ethernet en mode ad-hoc. L'armature disséquée était comme suit :
En effet, il est possible de dire si quelqu'un commence une carte activement de balayage en mode ad-hoc, et l'information utile beaucoup peut être glanée d'une armature simple. Les plus appropriés sont les SSID et le MAC address, puisqu'ils peuvent être employés pour dépister une carte et/ou une personne particulières. Le point d'accès non autorisé le prochain essai devait confirmer la possibilité de détecter un point d'accès escroc. Une session de tcpdump a été commencée, et alors un point d'accès de Cisco Aironet 340 a été allumé. Après que le point d'accès ait fini initialiser, la décharge a été examinée avec éthéré, et un grand nombre d'armatures de balise envoyées par le point d'accès ont été trouvées. Suivret une telle armature, de nouveau disséquée par éthéré :
Le client non autorisé l'état examiné final était les clients non autorisés. Le premier scénario considéré (le scénario plus probable), est que quelqu'un évoque une carte étrangère et des puissances il avec le SSID faux. Si la carte balayait activement, des demandes de sonde seraient vues de cette carte pendant qu'elle essayait de trouver un point d'accès. Le deuxième scénario est que quelqu'un évoque une carte étrangère et des puissances il avec le SSID correct. Celui-ci s'avère être peu un plus problématique à détecter, dans cela il y aura seulement quelques armatures de 802.11 gestions pour déclencher une alerte, et puis plus de trafic "normal". C'est problématique principalement en raison de la manière que le mode de RFMON_ANYBSS sur la carte de Cisco fonctionne - en dépit de son nom, la carte ne peut pas recevoir des paquets simultanément de tout le BSS dans la gamme, particulièrement si ces fréquences de l'utilisation de BSS différentes. La conséquence est qu'elle prend une certaine intervention manuelle au trafic de reniflement d'un BSS particulier - voyez la section ci-dessous sur des "problèmes et des complications" pour plus de détails sur ce problème et comment travailler autour de lui. Ce problème a été ignoré et à la place le foyer était sur les quelques armatures de 802.11 gestions qui apparaissent aisément dans le renifleur - les deux scénarios avérés pour produire les demandes semblables de sonde, ainsi les deux scénarios sont traités comme identiques. La demande disséquée de sonde envoyée par cette carte :
Les problèmes et les complications quelques problèmes ont émergé avec la carte et le conducteur de Cisco qui doivent être mentionnés. Le premier problème est que la carte de Cisco, par défaut, même en modes de RFMON et de RFMON_ANYBSS, ne balaye pas activement pour le trafic sur tous les canaux à tout moment. Ce qui suit sont les conditions dans lesquelles il retournera pour BSS :
Toutes ces conditions veulent le "coup-de-pied" la carte dans le retour. Pour établir un dispositif pratique de détection, la carte devrait être donnée un coup de pied des intervalles réguliers, peut-être chaque minute. Un manuscrit simple pour toucher le dossier de BSSList chaque minute fera le tour. Deuxième problème : Non tout le BSS dans la gamme a apparu sûrement dans le dossier /proc/driver/aironet/eth0/BSSList. Quand la carte est mise dans le mode de RFMON, la transmission est handicapée, ainsi la carte ne peut pas balayer activement pour BSS en envoyant des demandes de sonde. Par conséquent, la carte doit employer le balayage passif. Au lieu d'envoyer des demandes de sonde, la carte écoute des balises. Les balayages passifs emploient un temporisateur que—la carte détectera à l'oreille des armatures de balise jusqu'à ce que le temporisateur expire et puis se déplace à un autre canal. Le problème avec la carte de Cisco est que ce temporisateur est placé trop bas. La valeur par défaut est 40ms, qui était insuffisant sur notre réseau d'essai pour noter tout le BSS, indépendamment de la gamme ou de la force relative de signal des points d'accès. La solution était d'ajouter cette ligne à la routine d'initialisation de carte, setup_card, dans airo.c : cfg.beaconListenTimeout = 120 ; Tripler cet arrêt a fait le travail de détection de BSS sûrement. En conséquence, tous nos points d'accès ont apparu dans BSSList, toute l'heure. Troisième problème : En dépit de son nommé, même la mise de la carte dans le mode de RFMON_ANYBSS n'a pas fait recevoir la carte le trafic de tous nos points d'accès, qui étaient tous employant différentes fréquences et ont été probablement synchronisés différemment. La carte elle-même a choisi un BSS pour synchroniser pour baser sur son propre algorithme (probablement sur son évaluation de la force relative de signal). Le problème avec ceci est que nous voulons voir le trafic de tout le BSSs dans la gamme, pas simplement ceux qui s'avèrent justement avoir les signaux les plus forts. Une manière ne pourrait pas s'avérer pour neutraliser ce dispositif sur la carte de Cisco, mais il y a un workaround - le conducteur de Linux fournit une interface de /proc pour placer AP préféré. Une fois la liste de BSSs dans la gamme du module de balayage est trouvée (/proc/driver/aironet/eth0/BSSList), choisit celui pour surveiller et écrire le MAC address dans le dossier /proc/driver/aironet/eth0/APList. Ceci forcera la carte pour synchroniser avec celui BSS et pour commuter à ce canal, après quoi le trafic de celui BSS peut être reçu et employé pour des évaluations de force de signal ou surveiller pour l'activité soupçonneuse. Les conclusions ces essais simples confirment qu'il y a 802.11 armatures qui sont caractéristiques des points d'accès escroc typiques et des réseaux ads-hoc non autorisés, et que ces armatures peuvent être détectées et analysées en utilisant les composants disponibles immédiatement et le logiciel libre. Employer ces concepts avec une base de données des points et des cartes d'accès de confiance et les empreintes digitales des armatures soupçonneuses, éthérées a pu être employé comme module fondamental dans un véritable système de détection de 802.11 intrusions. c'est un article supplémentaire par Kim Sulloway
|
|||||
|