Detectando 802.11 cartões e pontos de acesso desautorizados
O primeiro objetivo é deteção. Pudermos nós dizer quando alguém poders em um cartão dentro da escala da rede local? Isto pode ser feito com componentes off-the-shelf e software livre. O excitador do Cisco Aironet incluído com as sementes mais recentes de Linux suporta do "a modalidade do monitor RF", que permite uma monitoração promiscuous de 802.11 pacotes - especificamente, monitorando 802.11 frames crus para detectar se houver algum frame indicador transmitem por um ponto ou por um cartão de acesso do rogue. Como esboçado na especificação 802.11 original, há três classes de 802.11 frames. Com o objetivo de detectar pontos de acesso do rogue e cartões wireless desautorizados do Ethernet, nós estamos primeiramente interessados em frames da classe 1 e 2. Os frames da classe 1 são os únicos frames permitidos no estado 1, unauthenticated o estado, e são pela maior parte frames da gerência usados para o authentication, as balizas, e os pedidos da ponta de prova. Os frames da classe 2 são permitidos em ambos os estados 1 e 2, e usados para a associação e a reassociação. Dos pontos de acesso, nós esperaríamos ver um grande número frames da baliza (classe 1). De unassociated os clientes ad hoc que fazem a varredura na modalidade ativa, nós esperaria ver um grande número pedidos da ponta de prova (também classe 1). Para testar esta hipótese, um método de monitorar todos os 802.11 frames da gerência é needed, que o cartão do Cisco e o excitador de Linux são capazes do "na modalidade do monitor RF." Setup para pôr o cartão na modalidade do monitor do RF, alguma modalidade de BSS (uso ": r "para a modalidade lisa do monitor do RF): # modalidade do eco ": y "> /proc/driver/aironet/eth0/Config # Então, pacotes registrando do começo com o tcpdump, conservando os a uma lima para a análise mais atrasada com ethereal: # tcpdump - i eth0 - s 0 - w capturefile # A rede ad hoc desautorizada o primeiro teste devia confirmar a abilidade de detectar um cartão de WLAN que powered sobre. Um cartão de Lucent Orinoco foi configurarado na modalidade ad hoc em um laptop de Win2k, e girado sobre para encontre para fora se houver algum frame característico emitido para fora pelo cartão de Orinoco quando foi posto na modalidade ad hoc. Após o cartão inicializado, o tcpdump foi parado, começada ethereal, e a lima da captação foram abertas. Um grande número pedidos da ponta de prova do cartão de Orinoco foram encontrados, confirmando que era certamente possível detectar quando alguém dentro da escala próxima powered acima de um cartão wireless do Ethernet na modalidade ad hoc. O frame dissected era como segue:
Certamente, é possível dizer se alguém começar um cartão ativamente fazendo a varredura na modalidade ad hoc, e a informação útil bastante pode ser recolhida de um único frame. Os mais relevantes são os SSID e o MAC address, desde que podem ser usados seguir para baixo um cartão e/ou uma pessoa particulares. O ponto de acesso desautorizado o teste seguinte devia confirmar a possibilidade de detectar um ponto de acesso do rogue. Uma sessão do tcpdump foi começada, e um ponto de acesso do Cisco Aironet 340 foi girado então sobre. Depois que o ponto de acesso tinha terminado carregar, o dump foi examinado com ethereal, e um grande número frames da baliza emitidos para fora pelo ponto de acesso foram encontrados. Seguir é um tal frame, dissected outra vez por ethereal:
O cliente desautorizado a condição testada final era clientes desautorizados. O primeiro scenario considerado (o scenario mais provável), é que alguém traz um cartão extrangeiro e poders ele acima com o SSID errado. Se o cartão fizesse a varredura ativamente, os pedidos da ponta de prova seriam vistos deste cartão enquanto tentou encontrar um ponto de acesso. O segundo scenario é que alguém traz um cartão extrangeiro e poders ele acima com o SSID correto. Este gira para fora para ser pouco um mais problematic a detectar, naquele haverá somente alguns frames de 802.11 gerências para provocar um alerta, e então mais tráfego "normal". Isto é problematic primeiramente por causa da maneira a modalidade de RFMON_ANYBSS que no cartão do Cisco trabalha - apesar de seu nome, o cartão não pode receber pacotes simultaneamente de todo o BSS na escala, especial se aquelas freqüências diferentes do uso de BSS. A conseqüência é que faz exame de alguma intervenção manual ao tráfego do sniff de um BSS particular - veja a seção abaixo em "problemas e em complicações" para mais detalhes neste problema e como trabalhar em torno dele. Este problema foi ignorado e preferivelmente o foco estava em poucos frames de 802.11 gerências que mostram acima prontamente no tubo aspirador - ambos os scenarios girados para fora para produzir pedidos similares da ponta de prova, assim que ambos os scenarios são tratados como idênticos. O pedido dissected da ponta de prova emitido para fora por este cartão:
Os problemas e as complicações alguns problemas vieram iluminar-se com o cartão e o excitador do Cisco que necessitam ser mencionados. O primeiro problema é que o cartão do Cisco, pelo defeito, uniforme em modalidades de RFMON e de RFMON_ANYBSS, não faz a varredura ativamente para o tráfego em todas as canaletas em todas as vezes. Os seguintes são as circunstâncias sob que tornará a varrer para BSS:
Todas estas circunstâncias querem o "pontapé" o cartão em tornar a varrer. Para construir um dispositivo prático da deteção, o cartão deve ser retrocedido em intervalos regulares, talvez em cada minuto. Um certificado simples para tocar na lima de BSSList cada minuto fará o truque. Segundo problema: Não todo o BSS na escala mostrou acima confiantemente na lima /proc/driver/aironet/eth0/BSSList. Quando o cartão é posto na modalidade de RFMON, transmitir é disabled, assim que o cartão não pode fazer a varredura ativamente para BSS emitindo para fora dos pedidos da ponta de prova. Conseqüentemente, o cartão deve usar a exploração passiva. Em vez da emissão para fora dos pedidos da ponta de prova, o cartão escuta balizas. As varreduras passivas usam um temporizador que—o cartão aguardará até escutar frames da baliza até que o temporizador expire e se move então para uma outra canaleta. O problema com o cartão do Cisco é que este temporizador está ajustado demasiado baixo. O valor de defeito é 40ms, que era insuficiente em nossa rede do teste observar todo o BSS, não obstante a escala ou a força relativa do sinal dos pontos de acesso. A solução devia adicionar esta linha à rotina de iniciação do cartão, setup_card, em airo.c: cfg.beaconListenTimeout = 120; Triplicar este intervalo de parada fêz o trabalho da deteção de BSS confiantemente. Conseqüentemente, todos nossos pontos de acesso mostraram acima em BSSList, toda a hora. Terceiro problema: Apesar do seu conhecido, mesmo pôr o cartão na modalidade de RFMON_ANYBSS não fêz com que o cartão recebesse o tráfego de todos nossos pontos de acesso, que eram todos que usam freqüências diferentes e foram sincronizados provavelmente diferentemente. O cartão próprio escolheu um BSS sincronizar para basear em seu próprio algoritmo (provavelmente em sua avaliação da força relativa do sinal). O problema com este é que nós queremos ver o tráfego de todo o BSSs na escala, não apenas aqueles que acontecem ter os sinais os mais fortes. Uma maneira não poderia ser encontrada para incapacitar esta característica no cartão do Cisco, mas há um workaround - o excitador de Linux fornece uma relação de /proc para ajustar um AP preferido. Uma vez a lista de BSSs na escala do varredor é encontrada (/proc/driver/aironet/eth0/BSSList), escolhe esse monitorar e incorporar o MAC address à lima /proc/driver/aironet/eth0/APList. Isto forçará o cartão para sincronizar com o aquele BSS e para comutá-lo a essa canaleta, depois do qual o tráfego daquele BSS pode ser recebido e usado para avaliações da força do sinal ou monitoração para a atividade suspicious. As conclusões estes testes simples confirmam que há 802.11 frames que são característicos de pontos de acesso típicos do rogue e de redes ad hoc desautorizadas, e que estes frames podem ser detectados e analisado usando componentes off-the-shelf e o software livre. Usar estes conceitos junto com uma base de dados de pontos e de cartões confiados de acesso e as impressões digitais de frames suspicious, ethereal podia ser usado como um bloco de edifício fundamental em um sistema full-blown da deteção de 802.11 intrusion. este é um artigo adicionado por Kim Sulloway
|
|||||
|