Protezione wireless - Analisi del traffico

Un processo di analisi del traffico wireless può essere molto utile nelle indagini forensi o durante la risoluzione dei problemi e, naturalmente, questo è un ottimo modo di autoapprendimento (solo per imparare come le applicazioni ei protocolli interagiscono tra loro). Affinché l'analisi del traffico sia possibile, in primo luogo, questo traffico deve essere in qualche modo raccolto e questo processo è noto come traffic sniffing. Gli strumenti più comunemente usati per lo sniffing del traffico sono Kismet e Wireshark. Entrambi questi programmi forniscono una versione per ambienti Windows e Linux.

Ai fini del test di penetrazione e dell'hacking delle reti wireless, il tipo di dati che è utile raccogliere sono BSSID, WEP IV, TKIP IV, CCMP IV, EAP 4-way handshake exchange, wireless beacon frames, MAC addresses of communicating parties, etc. Molto di più è a tua disposizione nella discarica del traffico wireless. La maggior parte delle informazioni che otterresti, verrebbe utilizzata in tutti gli attacchi presentati nell'ultimo capitolo. Potrebbero essere (ad esempio) utilizzati come input per attacchi di forza bruta offline, al fine di rompere i modelli di crittografia e autenticazione utilizzati nella distribuzione WLAN.

L'utilizzo di Wireshark sia in Windows che in Linux è molto intuitivo: entrambi gli ambienti forniscono una GUI che ha lo stesso aspetto per entrambi i sistemi. All'avvio del programma, è sufficiente indicare l'interfaccia fisica, che verrebbe utilizzata per lo sniffing del traffico (è possibile selezionare qualsiasi interfaccia, cablata o wireless), quindi procedere con lo sniffing del traffico. Un esempio di pacchetti wireless raccolti da una scheda wireless è mostrato nella seguente schermata.

Il layout dell'output è sempre lo stesso - andando dall'alto, hai -

  • Filter Field- Wireshark è dotato di un ottimo strumento di filtraggio che permette di limitare l'uscita del traffico in tempo reale. È estremamente utile quando è necessario estrarre flussi particolari (tra un particolare indirizzo MAC o tra particolari indirizzi IP) da centinaia di pacchetti provenienti ogni secondo da tutti i client wireless nelle vicinanze.

  • Traffic Output- In questa sezione, puoi vedere tutti i pacchetti visualizzati, che sono stati sniffati sull'interfaccia wireless, uno per uno. In questa parte dell'output, puoi vedere solo un riepilogo di base delle caratteristiche del traffico come:SRC/DST MAC Addresses, Protocol (Wi-Fi 802.11 in this case) e una breve informazione su un pacchetto.

  • Decoded Parameters of the Data- Questa sezione elenca tutti i campi esistenti in un frame (tutte le intestazioni + i dati). Usando un dump di esempio, possiamo vedere che alcuni set di informazioni sono sotto forma di dati illeggibili (probabilmente crittografati) e nell'intestazione 802.11 puoi trovare informazioni CCMP (conferma che il traffico è crittografato AES), quindi deve essere WPA2 Rete Wi-Fi.

  • Hex Dump- Hex Dump è esattamente la stessa informazione che hai sopra in "parametri decodificati dei dati" ma in un formato esadecimale. Il motivo è che la rappresentazione esadecimale è l'aspetto originale del pacchetto, ma Wireshark ha migliaia di "modelli di traffico", che vengono utilizzati per mappare valori HEX specifici a un campo di protocollo noto. Ad esempio, in un'intestazione 802.11 i byte da 5 a 11 sono sempre l'origine di un indirizzo MAC del frame wireless, utilizzando lo stesso pattern mapping, Wireshark (e altri sniffer) possono ricostruire e decodificare statico (e ben noto) campi del protocollo.

Puoi salvare tutti i tuoi dump di traffico usando il common .pcap formato che potrebbe essere successivamente utilizzato come input per, ad esempio, script python che eseguono alcune operazioni avanzate sul traffico raccolto (ad esempio cracking dei modelli di crittografia).

L'altro strumento di cui dovresti essere a conoscenza è Kismet. Non appena avvii il tuo strumento Kismet e specifichi il filemon0 l'interfaccia, elencherà tutti gli SSID rilevati nel tuo ambiente.

Durante il tempo in cui Kismet è in esecuzione, tutti i pacchetti wireless vengono raccolti e archiviati nel file .pcapFile. Quando si chiude un programma, viene visualizzato un messaggio che informa che tutti i dump dei pacchetti wireless sono stati salvati e che è possibile accedervi in ​​seguito.

Nell'esempio presentato sopra, tutti i dump dei pacchetti sono stati memorizzati nei file binari (non sono in un formato leggibile, quando si aprono quei file con "more" o "vi" o "nano", ecc.).

Per aprirli correttamente, devi usare Wireshark (di nuovo!).