Pourquoi les cafés n'utilisent-ils pas le WPA / WPA2? Cela résoudrait-il de nombreux problèmes s'ils le faisaient?
Je regarde donc la sécurité Wi-Fi publique dans des endroits tels que les hôtels, les cafés, etc. Il semble que la norme actuelle consiste simplement à utiliser des connexions Wi-Fi ouvertes dans beaucoup de ces endroits. Je suppose que c'est pour un certain nombre de raisons:
- Simple pour l'entreprise - le fournisseur n'a pas besoin de former ses employés à la sécurité réseau de base, n'a pas besoin de gérer les clés ou quoi que ce soit vraiment, il suffit de brancher le routeur et de partir. De ce fait, l'entreprise coûte également moins cher.
- Pratique pour l'utilisateur - l'utilisateur n'a pas à se préoccuper de choses insignifiantes comme la sécurité, il veut simplement accéder directement à ses services bancaires en ligne et faire ses achats dans un lieu public!
- Ignorance - la personne qui ajoute le WiFi gratuit n'a tout simplement aucune idée des risques de sécurité impliqués, ou elle décharge la responsabilité de la sécurité sur l'utilisateur, ce sont ses données/argent/identité après tout
Donc, première question. D'après votre expérience, est-il vrai que la plupart des cafés, hôtels, aéroports utilisent généralement une connexion ouverte, ou les réseaux protégés sont-ils plus courants maintenant?
S'il est vrai que la plupart ne sont pas protégés, y a-t-il d'autres raisons pour lesquelles c'est le cas, au-delà de celles ci-dessus que j'ai énumérées?
Deuxième question, supposons un café avec un réseau ouvert, tout le trafic est extrêmement facile à renifler. Imaginez maintenant que l'établissement le met à niveau vers un réseau sécurisé WPA2/AES. Le réseau est-il vraiment plus sécurisé?
Bien sûr, les attaquants ne peuvent plus facilement renifler le réseau dans la rue, mais à quel point est-il difficile pour eux d'entrer, d'acheter un café et d'obtenir la clé actuelle. Même en supposant que les clés soient changées quotidiennement, les répétitions ne sont jamais utilisées et qu'elles sont suffisamment complexes pour prendre des mois à se fissurer, n'importe quel attaquant pourrait simplement acheter un café et se connecter au réseau, n'est-ce pas? Ou même obtenir la clé grâce à l'ingénierie sociale, ou simplement demander à un ami de prendre un café et la clé.
Je comprends que WEP, WPA2, etc. font tous le chiffrement au niveau du réseau (par opposition à l'utilisateur) de granularité. C'est à dire. si quelqu'un a la clé, il peut désormais déchiffrer tout le trafic sur le réseau, nous revenons donc au problème qu'un attaquant peut lire tout le trafic comme s'il s'agissait d'un réseau ouvert, et il est déjà prouvé qu'il est trivial d'obtenir la clé . Donc, dans cet esprit, un réseau crypté déverrouillé est-il équivalent à un réseau ouvert? Quel genre d'attaques un pirate pourrait-il faire sur un réseau sécurisé WPA2? Pourriez-vous faire un homme au milieu attaquer aussi facilement comme sur un réseau ouvert? Est-il possible de créer un AP escroc avec le SSID et la clé, annoncés avec la même norme de cryptage, que possible avec le réseau ouvert?
Merci d'avoir lu ce long article et merci d'avance pour les réponses à l'une de mes trois questions!
Au lieu de continuer dans les commentaires, je pense que je répondrai simplement à votre vraie question, que je comprends être - pourquoi l'utilisation de WPA/WPA2 Personal avec un SSID public et une phrase de passe n'est pas plus sécurisée que d'avoir un réseau ouvert, et pourquoi WPA/WPA2 Enterprise fonctionne dans le scénario du café.
Si la phrase secrète était publique (comme ce serait le cas dans ce scénario) et que WPA/WPA2 personnel est utilisé, toute personne disposant de la phrase secrète et du nom SSID peut déchiffrer le trafic sans fil de quiconque, tant qu'elle peut capturer la poignée de main à 4 voies initiale. pour ce client (qui se produit lors de la connexion au réseau). Si quelqu'un veut décrypter le trafic futur de quelqu'un mais n'a pas surveillé la prise de contact à 4 voies initiale de son client, il peut simplement forcer une nouvelle prise de contact entre ce client et l'AP en utilisant une désauthentification ciblée, auquel cas vous pourrez capturer le nouveau 4 poignée de main -way et décrypter tout leur trafic futur. Bien sûr, si le client attaqué devait utiliser un VPN, un tunnel SSH, TLS ou un autre mécanisme de cryptage fort sur le sans fil, ce trafic serait protégé dans la mesure où le mécanisme qu'il a choisi le permet.
La raison pour laquelle leur trafic peut être déchiffré est que WPA/WPA2 personnel crée une clé principale par paire à partir de la phrase secrète et du SSID utilisé lors de la connexion. Le PMK est ensuite utilisé pour créer une clé transitoire par paire et une clé temporelle par groupe, où la PTK est unique par client et le GTK est partagé pour tous les clients actuellement connectés (pour le trafic de diffusion). Cette PTK peut être dérivée de la PMK en utilisant les informations de la négociation à 4 voies (qui est négociée en texte brut). Par conséquent, si vous êtes en mesure de renifler la négociation à 4 voies, vous pouvez obtenir les informations utilisées pour dériver le PTK de ce client à partir du PMK que vous connaissez déjà parce que vous connaissez la phrase secrète et le SSID (généralement en utilisant PBKDF2 (phrase secrète, SSID, ssidlen). , 4096, 256)).
L'entreprise WPA ne fonctionne pas bien car tout le monde aurait besoin d'un moyen d'authentification, qu'il s'agisse d'informations d'identification (EAP-PEAP), de certificats (EAP-TLS) ou d'autres (divers autres modes EAP), et cela ne soutiendrait pas l'objectif du café de fournir un accès sans fil gratuit aux personnes à proximité.
Vous manquez la plus grande question: pourquoi?
Le chiffrement augmente considérablement le coût du café. Il y a de petits coûts ponctuels encourus lorsque quelqu'un doit configurer les points d'accès, attribuer des mots de passe, les gérer, les changer, poster des pancartes disant "le mot de passe de cette semaine est C0ffeebuck $", etc. Les baristas sont payés pour faire du café et ne sont pas payés pour le support technique du réseau, et pourtant ils seraient obligés de passer leur temps à répondre aux questions de support technique des clients frustrés au lieu de vendre plus de café.
Il ne protège rien qui a de la valeur pour le café. Ce n'est pas le réseau privé du café qui permet d'accéder à leurs ordinateurs, registres et réseau d'entreprise. Il s'agit d'un réseau distinct, isolé de leur réseau interne. S'ils permettent aux clients de s'y connecter, ils ne peuvent pas faire confiance au trafic, qu'il soit chiffré ou non. Si la boutique considère que "l'accès au réseau" a une valeur promotionnelle, il est déjà quelque peu protégé par les limitations physiques de la propagation du signal WiFi, et le signal ne sera utilisable par personne à plus d'une centaine de mètres. Et une fois qu'un client a acheté son café et y a accès, il n'y a aucun mécanisme inhérent à WPA2 qui retire cet accès une fois qu'il a terminé sa boisson. Un magasin pourrait-il se permettre de changer les mots de passe toutes les heures ou tous les jours pour empêcher les gens d'abuser de leur accès? Voir n ° 1 ci-dessus.
Il n'offre pas de protection significative aux clients. Comment quelqu'un pourrait-il savoir qu'il se connecte au vrai réseau de Coffeebucks? Parce que le réseau s'appelle Coffeebucks? Le chiffrement ne résout pas le problème de l'authentification du point d'accès si votre ordinateur n'a pas d'autre relation de confiance avec lui. Pour en revenir aux coûts, combien en coûterait-il à un café pour accorder l'authentification de ses ordinateurs clients via des serveurs RADIUS?
Même si un client peut faire entièrement confiance à la connexion au point d'accès, il se trouve toujours sur un segment partagé avec d'autres clients, de sorte qu'il se trouve essentiellement du côté public d'Internet. Personne ne devrait faire confiance à l'envoi de données non cryptées pour qu'elles circulent sans protection sur Internet. Utilisez-vous http ou https pour effectuer vos opérations bancaires à domicile? Pourquoi insistez-vous sur https si vous avez WPA2? Parce que vous devez protéger vos données tout au long du trajet, pas seulement le seul saut entre votre ordinateur et votre point d'accès.
Dans mon contexte, la région Asie-Pacifique, c'est environ 50-50 entre WPA/WPA2 sécurisé et non sécurisé. Si vous jetez un œil à wigle.net vous pourriez le savoir exactement, mais cela demande beaucoup de travail, car vous devrez faire un peu de filtrage, etc. pour les cafés réels et pas seulement commerciaux ou des réseaux personnels, mais vous aurez une bonne vue d'ensemble de toute façon.
Pour un pirate faisant du sniffing ou Man in the middle attack (MitM), les les réseaux sécurisés ont un obstacle beaucoup plus grand - un mot de passe. Cela rendra le reniflement moins efficace uniquement parce que le nombre de personnes connectées est réduit. Vous aurez donc à tout moment moins de victimes qui poussent et tirent activement du trafic à travers le réseau qui peut être reniflé. Un réseau silencieux est un réseau ennuyeux pour un attaquant reniflant.
Si l'attaquant demande le mot de passe ou le pirate, il pourra renifler aussi bien qu'il le pourrait avec un réseau ouvert non sécurisé. Le point clé ici est que vous ne pouvez pas renifler http brut sauf si vous êtes dans le résea - au moins avec les outils et le matériel de piratage conventionnels, qui est la façon la plus probable pour quelqu'un d'exploiter un café scénario.
en termes simples, sécurisé et non sécurisé n'est différent pour un renifleur de paquets qu'en raison du mot de passe. Le reniflement réel une fois que l'attaquant est à l'intérieur de l'un ou l'autre réseau est pratiquement identique.
Cependant, les attaquants préféreront probablement les réseaux non sécurisés simplement parce qu'il y aura probablement plus de cibles connectées. Sauf bien sûr, ils ont un objectif particulier en tête. J'imagine que quelqu'un derrière un mot de passe WPA-2 se sentirait plus à l'aise pour visiter, communiquer et transmettre du contenu beaucoup plus privé ou précieux. Cependant, s'il n'y a que trois personnes sur ce réseau et que vous recherchez des cartes de crédit ou quelque chose, vous n'obtiendrez que trois cartes. Un réseau ouvert au milieu de la ville compte une quantité infinie de nouveaux clients qui pourraient effectuer des transactions ou donner des mots de passe en direct à d'autres sites ou applications.
Certains cafés font des choses comme mettre un middleware, qui est en fait une plate-forme de reniflement dans la plupart des cas. Ils peuvent mettre le trafic sur liste blanche/liste noire, prendre des journaux, faire des redirections DNS vers des pages de destination ... tout ce qu'ils veulent, c'est leur réseau. Selon la façon dont ceux-ci sont configurés, ils pourraient empêcher d'autres personnes aléatoires de faire des attaques de reniflement sur le réseau en donnant à chaque utilisateur une connexion isolée. Cependant, je les ai rarement vues à l'état sauvage. Le réseau typique est complètement sniffable. Vous pouvez vérifier si vous êtes sur un réseau sniffable avec une application d'analyse de réseau pour votre téléphone. Si vous voyez apparaître une adresse IP aléatoire, vous n'êtes pas isolé et vous et tout le monde êtes vulnérable à une attaque MitM.
Les exceptions sont des utilisateurs qui utilisent des canaux cryptés ou forcent des connexions https pour leur trafic. Ce sont moins reniflables. Cependant alors que les VPN ou des choses comme Tor sont une protection relativement sûre et courante contre ces attaques. https n'est pas entièrement sûr non plus, une attaque pourrait utiliser sslstrip pour rétrograder les requêtes en texte brut http, émettre la leur certificats pour certains sites. Alternativement, ils pourraient DOS tout le trafic https et forcer les gens à renoncer à utiliser du trafic chiffré, ce qui fonctionnerait sur la plupart des sites, sauf ceux qui ne prennent en charge que le trafic sécurisé comme banques
choses pour vous sécuriser (liste non exhaustive)
- utilisez un VPN privé de bonne réputation ($) ou TOR (gratuit).
- si vous utilisez le courrier électronique, utilisez PGP ou une autre connexion sécurisée.
- utilisez SFTP ou SSH et non FTP si vous mettez à jour un site Web ou déplacez des fichiers.
- ne vous connectez jamais à un réseau sans un mot de passe fort sur votre ordinateur
- avoir un pare-feu, une détection d'intrusion et un antivirus installés, la plupart des entreprises offrent de généreuses périodes gratuites sur leur logiciel complet. Je pense que Norton donne 30 jours pour le moment.
- si possible, n'utilisez pas votre identifiant personnel lors de la connexion, à la place peut-être le démarrage d'un live-cd ou usb, cela minimisera votre exposition aux attaques basées sur le réseau qui veulent plus que votre trafic Web sniffable - ces attaquants recherchent une connexion à distance persistante dans votre ordinateur.
Cependant, la chose la plus simple et la plus sûre que vous puissiez faire sans devenir trop technique, dans toutes ces situations, est d'utiliser la connexion de données de vos téléphones mobiles 3G ou 4G (pas 2G) via un câble PAS comme un hotspot personnel. En effet, vous vous connectez à des tours de téléphonie cellulaire et non à des points d'accès wifi aléatoires non approuvés. Bien sûr, vous pourriez également être intercepté à travers cela, le gouvernement s'amuse beaucoup avec les capteurs IMSI - mais ces technologies sont moins courantes, pas facilement accessibles aux pirates de tous les jours et sont tout simplement plus difficiles à cacher que la technologie nécessaire pour renifler un réseau wifi régulier (un Raspberry Pi dissimulé dans n'importe quoi peut le faire) également un attaquant peut le faire sur n'importe quel ordinateur portable, Android et même sur des iPhone jailbreakés. Aussi, si vous voyez un ananas wifi (google it), certainement éviter le wifi! lol
jouer en toute sécurité :)
La plupart des endroits qui offrent une connexion Wi-Fi gratuite ne se soucient tout simplement pas de la sécurité, et ils souhaitent faciliter la connexion des clients. Étant donné que les utilisateurs d'un tel WiFi ouvert dans l'ensemble ne se soucient pas non plus de la sécurité, il n'y a pas beaucoup de pression pour qu'ils changent cette mentalité.
Cependant, il n'est pas vraiment aussi difficile de sécuriser un tel réseau que d'autres l'ont suggéré ici.
Voici ce que je ferais si c'était mon café:
Tout d'abord, assurez-vous que le mode d'isolement AP est activé sur l'AP, ce qui empêchera la plupart des attaques basées sur le réseau, car les points de terminaison associés n'ont pas un accès trivial au trafic allant vers/depuis d'autres points de terminaison. (Les attaques en direct sont plus difficiles à faire)
Développer une extension du système de point de vente qui utilise une chaîne aléatoire ou prend un hachage de certaines données dynamiques et A) la transmet à un serveur RADIUS connecté à AP et B) imprimez-le sur le reçu. Ce serait la clé d'accès dynamique du client et WPA phrase secrète. (L'avantage secondaire est que cela mettrait fin aux freeloaders: pas d'achat = pas d'accès. Définissez l'accès à un délai d'attente après une certaine durée de temps, comme 2 heures.)
Si la connexion dynamique au serveur RADIUS est trop compliquée, il suffit de générer une liste de clés aléatoires pour la journée et de la télécharger sur le système POS avec elle tous les matins)
Utilisez éventuellement un portail captif SSL comme deuxième couche qui recoupe la clé entrée avec d'autres données dynamiques vérifiables, par exemple sur le ticket de caisse.
La seule question sans réponse serait de savoir comment contourner un AP escroc qui se fait passer pour le véritable AP et recueille les mots de passe. Mais je ne pense pas que l'échange de clés soit vulnérable à cela car tout ce qui est échangé est du hachage.
Pour les fournisseurs commerciaux, les hotspots et les grandes organisations, la solution préférée est souvent d'avoir un réseau sans fil ouvert et non crypté, mais complètement isolé. Les utilisateurs n'auront dans un premier temps ni accès à Internet ni à aucune ressource du réseau local. Les fournisseurs commerciaux transfèrent généralement tout le trafic Web vers un portail captif qui prévoit le paiement et/ou l'autorisation. Une autre solution consiste à demander aux utilisateurs de se connecter en toute sécurité à un réseau privilégié à l'aide d'un VPN.
De: http://en.wikipedia.org/wiki/Wireless_security#RF_shielding
Je n'ai jamais pu utiliser un réseau vraiment isolé, peut-être que je le fais mal, peut-être que c'est mon matériel. Je ne suis pas non plus certifiée dans le domaine du réseautage et je ne suis pas non plus un professionnel. Je pourrais donc me tromper complètement.
D'après votre expérience, est-il vrai que la plupart des cafés, hôtels, aéroports utilisent généralement une connexion ouverte, ou les réseaux protégés sont-ils plus courants maintenant?
Chaque fois que je me rends dans un endroit et que je vois un point d'accès sans fil, je regarde toujours pour voir de quoi il s'agit. Habituellement, il s'agit d'un périphérique Cisco Aironet monté au plafond/mural par un FAI comme point d'accès pour ses clients. La plupart des points d'accès que j'ai vus sont ouverts.
Deuxième question, supposons un café avec un réseau ouvert, tout le trafic est extrêmement facile à flairer. Imaginez maintenant que l'établissement le met à niveau vers un réseau sécurisé WPA2/AES. Le réseau est-il vraiment plus sécurisé?
Permettez-moi de vous renvoyer à la réponse à la question " Crypter la connexion WiFi par utilisateur connecté ".
Pour résumer cette réponse (allez voter que Q et R après lecture), non. Tout ce qu'une personne doit faire, c'est entrer et acheter un biscuit (moins cher que le café). Une fois que l'utilisateur a une clé, il peut renifler comme le chien le plus amical du monde.
Donc, dans cet esprit, un réseau crypté déverrouillé est-il équivalent à un réseau ouvert? Quel genre d'attaques un pirate pourrait-il faire sur un réseau sécurisé WPA2?
Si vous distribuez la clé, alors pour toute attaque stationnaire/ciblée, elles pourraient tout aussi bien être égales. Le cryptage du réseau sans fil empêchera simplement l'accès à votre pilote de guerre à grande vitesse (qui fait ça de nos jours?).
Pourriez-vous attaquer un homme au milieu aussi facilement que sur un réseau ouvert? Est-il possible de créer un AP escroc avec le SSID et la clé, annoncés avec la même norme de cryptage, que possible avec le réseau ouvert?
Je soupçonne que la réponse est un grand oui.
Les attaques possibles sur le réseau varieront probablement en fonction du matériel du point d'accès. Certains points d'accès sont équipés de systèmes de prévention des intrusions sans fil, qui tentent de prévenir certaines des attaques de base/courantes.
Mais comment puis-je rester en sécurité?
Je pense que quelqu'un a dit un jour que le plus beau cadeau qu'une personne puisse jamais offrir à un autre être humain est le chiffrement de bout en bout.
C'est essentiellement au client d'utiliser des précautions supplémentaires telles qu'un tunnel SSH ou un VPN. Si l'accès est requis, un point de terminaison sécurisé est également requis, ce qui le rend très peu pratique pour la plupart des utilisateurs d'ordinateurs personnels.
Même avec WPA2/AES, quelqu'un peut voir le mot de passe, ou si ce n'est pas possible, voici un moyen simple: -
- Voir des gens qui viennent tous les jours.
- Obtenez des portes dérobées ou des rootkits pour eux. Cela nécessiterait des compétences, mais tout ce qui se trouve sur le même réseau/partage de fichiers peut être piraté.
- Entrez, connectez-vous à votre Internet, obtenez la clé et le tour est joué.
Aussi simple que cela. Donc, aucune sécurité ne sera utile, sauf en utilisant WPA-Enterprise avec des filtres de paquets (dans une autre langue, censure (ware)), sans trou de sécurité (ce qui n'est jamais possible, cependant) et en fournissant gratuitement en ligne (sur le Web) pare-feu et rootkit + backdoor + décapant RAT (etc.) pour les autres utilisateurs, encore une fois sans failles de sécurité (comme je l'ai déjà dit).
La sécurité n'est qu'une illusion. Tant qu'une machine peut fonctionner, elle peut être piratée (sinon sur un réseau, puis par le matériel).