Teste de Invasão em Redes Wireless
Resumo
Este artigo fornece uma visão geral sobre o teste de invasão em redes wireless com base nas experiências práticas do autor. O leitor irá conhecer as vulnerabilidades das redes wireless, a metodologia para realizar o teste de invasão e as técnicas de ataque. Com as informações deste artigo, o leitor poderá realizar uma auditoria em sua rede wireless e criar regras de segurança no seu ambiente computacional sem fio.
Este artigo fornece uma visão geral sobre o teste de invasão em redes wireless com base nas experiências práticas do autor. O leitor irá conhecer as vulnerabilidades das redes wireless, a metodologia para realizar o teste de invasão e as técnicas de ataque. Com as informações deste artigo, o leitor poderá realizar uma auditoria em sua rede wireless e criar regras de segurança no seu ambiente computacional sem fio.
Este documento também fornece a relação de antenas e softwares necessários para a realização da auditoria e do teste de invasão.
Introdução
Instalar redes wireless nos dias atuais tornou-se relativamente simples. Na realidade, quando a tecnologia das redes sem fio estava sendo desenvolvida, os principais objetivos sempre foram conectividade e acessibilidade de forma fácil. A segurança da informação não era um dos principais objetivos das redes sem fio. Podemos perceber isso claramente porque os mecanismos de segurança não oferecem uma solução robusta.
Instalar redes wireless nos dias atuais tornou-se relativamente simples. Na realidade, quando a tecnologia das redes sem fio estava sendo desenvolvida, os principais objetivos sempre foram conectividade e acessibilidade de forma fácil. A segurança da informação não era um dos principais objetivos das redes sem fio. Podemos perceber isso claramente porque os mecanismos de segurança não oferecem uma solução robusta.
Realizar o teste de invasão na rede wireless da sua empresa, ajudará a minimizar os riscos e a entender, por exemplo, que filtros por Media Access Control (MAC) podem ser insuficientes contra um ataque de um hacker.
O teste de invasão na rede wireless é essencial para que sua empresa esteja em conformidade com o Sarbanes-Oxley, California Senate Bill 1386 (SB 1386) e HIPAA (Health Insurance Portability and Accountability Act). Estes regulamentos exigem que as empresas protejam informações de identificação pessoal. Sendo assim, as organizações devem considerar o teste de invasão em sua rede wireless para aumentar a segurança da informação.
Vulnerabilidades em Redes Wireless
Basicamente, existem dois tipos de vulnerabilidades em redes wireless. A primeira e a mais comum é a instalação/configuração padrão da rede wireless. A segunda vulnerabilidade está na criptografia utilizada para proteger as informações.
a) Problemas de configuração
A configuração padrão de uma rede sem fio é insegurança. Este tipo de configuração facilita o acesso indevido à rede sem fio. O atacante precisa apenas configurar sua placa de rede wireless para acessar a rede.
b) Auditoria no WEP, WAP e LEAP
O administrador de rede pode determinar o tipo de criptografia que será utilizada na rede wireless. O Wired Equivalent Privacy (WEP) foi o primeiro recurso de segurança disponibilizado para redes wireless. Existem diversas ferramentas gratuitas que “quebram” a criptografia do WEP. O Aircrack (http://www.wirelessdefence.org/Contents/Aircrack_aircrack.htm) é uma suíte de ferramentas que consegue descobrir a chave do WEP, permitindo que o teste de invasão seja realizado com sucesso.
O WiFi Protected Access (WPA) e a solução proprietária da CISCO (LEAP) também estão vulneráveis. É possível durante o teste de invasão, realizar um ataque de dicionário para descobrir a chave utilizada para acesso à rede wireless. Caso a sua rede wireless utilize o WPA, o CoWPAtty (http://sourceforge.net/projects/cowpatty) realizará um ataque offline de dicionário para descobrir a chave compartilhada. É possível conseguir através da própria internet, uma lista de palavras em vários idiomas para o ataque de dicionário. Para download, acesse http://ftp.se.kde.org/pub/security/tools/net/Openwall/wordlists/.
Caso a sua rede utilize o Cisco’s Lightweight Extensible Authentication Protocol (LEAP) é possível realizar um ataque offline de dicionário. Isso ocorre devido ao LEAP trabalhar de forma semelhante ao Microsoft Challenge Handshake Protocol version 2 (MS-CHAPv2). Ou seja, assim como no MS-CHAPv2, o LEAP trabalha no esquema de pergunta e resposta, passando o usuário em texto claro pela rede. A vulnerabilidade foi descoberta em março de 2003. O engenheiro de redes, Joshua Wright (http://home.jwu.edu/jwright/), desenvolveu a ferramenta batizada de Asleap para realizar o ataque de dicionário sobre o LEAP.
Basicamente, existem dois tipos de vulnerabilidades em redes wireless. A primeira e a mais comum é a instalação/configuração padrão da rede wireless. A segunda vulnerabilidade está na criptografia utilizada para proteger as informações.
a) Problemas de configuração
A configuração padrão de uma rede sem fio é insegurança. Este tipo de configuração facilita o acesso indevido à rede sem fio. O atacante precisa apenas configurar sua placa de rede wireless para acessar a rede.
b) Auditoria no WEP, WAP e LEAP
O administrador de rede pode determinar o tipo de criptografia que será utilizada na rede wireless. O Wired Equivalent Privacy (WEP) foi o primeiro recurso de segurança disponibilizado para redes wireless. Existem diversas ferramentas gratuitas que “quebram” a criptografia do WEP. O Aircrack (http://www.wirelessdefence.org/Contents/Aircrack_aircrack.htm) é uma suíte de ferramentas que consegue descobrir a chave do WEP, permitindo que o teste de invasão seja realizado com sucesso.
O WiFi Protected Access (WPA) e a solução proprietária da CISCO (LEAP) também estão vulneráveis. É possível durante o teste de invasão, realizar um ataque de dicionário para descobrir a chave utilizada para acesso à rede wireless. Caso a sua rede wireless utilize o WPA, o CoWPAtty (http://sourceforge.net/projects/cowpatty) realizará um ataque offline de dicionário para descobrir a chave compartilhada. É possível conseguir através da própria internet, uma lista de palavras em vários idiomas para o ataque de dicionário. Para download, acesse http://ftp.se.kde.org/pub/security/tools/net/Openwall/wordlists/.
Caso a sua rede utilize o Cisco’s Lightweight Extensible Authentication Protocol (LEAP) é possível realizar um ataque offline de dicionário. Isso ocorre devido ao LEAP trabalhar de forma semelhante ao Microsoft Challenge Handshake Protocol version 2 (MS-CHAPv2). Ou seja, assim como no MS-CHAPv2, o LEAP trabalha no esquema de pergunta e resposta, passando o usuário em texto claro pela rede. A vulnerabilidade foi descoberta em março de 2003. O engenheiro de redes, Joshua Wright (http://home.jwu.edu/jwright/), desenvolveu a ferramenta batizada de Asleap para realizar o ataque de dicionário sobre o LEAP.
Localizando sua Rede Wireless
Agora que você já conhece algumas vulnerabilidades das redes wireless é necessário escolher a antena correta para iniciar o teste de invasão.
Fundamentalmente, existem dois tipos de antenas que você pode utilizar durante o teste de invasão: omnidirecional e direcional.
As antenas omnidirecional cobrem 360º no plano horizontal. Utilize este tipo de antena quando o teste de invasão for realizado em áreas amplas.
As antenas direcionais concentram o sinal em uma única direção. Este tipo de antena é utilizado quando você já identificou a rede wireless da sua empresa e precisa direcionar o sinal para esta rede. Ou seja, quando você executar os ataques para auditar a rede da sua empresa, todas as técnicas serão aplicadas na rede wireless correta. Utilize uma antena Yagi para o teste de invasão.
O próximo passo é interligar a antena ao seu laptop. Para mais informações, acesse http://www.warchalking.com.br/cgi-bin/base/tutoriais2.444?40.
Observação: O autor deste artigo utiliza um cartão PCMCIA Orinoco com um conector externo para a antena. A antena utilizada pelo autor deste artigo é uma direcional Corneta de polarização horizontal ou vertical para trabalhar na frequência de 2.4-2.48Ghz. O custo do cartão PCMCIA com a antena é de aproximadamente R$ 360,00 ou US$ 171,43. A antena tem aproximadamente 30cm e pesa 760g, excelente para levar dentro do carro ou mochila.
É importante observarmos a partir deste ponto, que existem diversas ferramentas para localizar uma rede wireless. Cada profissional deverá escolher a ferramenta que mais se identifica com o seu perfil técnico.
Wellenreiter
O Wellenreiter é uma excelente ferramenta, com interface gráfica, para localizar e monitorar redes wireless. Através do Wellenreiter é possível identificar diversas informações da rede wireless que está sendo monitorada, tais como: Canal de comunicação, o ESSID, MAC Address, se a rede utiliza ou não algum recurso de criptografia, o fabricante do Access Point, entre outras informações.
O Wellenreiter é uma excelente ferramenta, com interface gráfica, para localizar e monitorar redes wireless. Através do Wellenreiter é possível identificar diversas informações da rede wireless que está sendo monitorada, tais como: Canal de comunicação, o ESSID, MAC Address, se a rede utiliza ou não algum recurso de criptografia, o fabricante do Access Point, entre outras informações.
A ferramenta também registra todo o tráfego da rede wireless. Sendo assim, você poderá utilizar o Ethereal para abrir o arquivo que foi registrado todo o tráfego, para uma análise mais detalhada das informações.
“Diz a lenda” que as ferramentas disponíveis para monitoramento de redes wireless, não conseguem identificar se a rede está utilizando o WEP ou o WPA. As ferramentas apresentam a informação que a rede está utilizando o WEP. Isso obriga o profissional que está realizando a auditoria na rede wireless, a procurar (utilizando o Ethereal) o frame que contem “.P....”. Para facilitar o diagnóstico, o profissional poderá procurar nos “Tag information” por “WPA IE, type 1, version 1”.
Airodump
O Airodump (parte da suíte do Aircrack) é a ferramenta que ajudará o profissional a capturar o tráfego da rede wireless. O profissional deve utilizar esta ferramenta para capturar o tráfego porque é possível determinar qual será a rede monitorada. Ou seja, caso existam redes wireless de outras empresas próximas a rede wireless da sua empresa, você irá utilizar o Airodump para monitorar apenas o tráfego da rede wireless da sua empresa.
O Airodump (parte da suíte do Aircrack) é a ferramenta que ajudará o profissional a capturar o tráfego da rede wireless. O profissional deve utilizar esta ferramenta para capturar o tráfego porque é possível determinar qual será a rede monitorada. Ou seja, caso existam redes wireless de outras empresas próximas a rede wireless da sua empresa, você irá utilizar o Airodump para monitorar apenas o tráfego da rede wireless da sua empresa.
O Airodump também consegue identificar se a rede está utilizando o WEP ou o WPA, facilitando muito as técnicas de ataque para descobrir a chave utilizada na rede.
Observação: Utilize o tráfego capturado pelo Airodump em conjunto com as ferramentas que descobrem a chave utilizada em redes wireless com o WEP ou WPA. Antes de executar o Airodump, execute o Wellenreiter e deixe-o funcionando no seu laptop. Os dois programas irão trabalhar em conjunto.
Ferramentas e Procedimentos
Hardware para o teste de invasão (http://www.amazon.com/gp/product/B0009UC2A2/sr=8-6/qid=1142777224/ref=pd_bbs_6/002-5332413-6799242?%5Fencoding=UTF8)
Wellenreiter (http://www.wellenreiter.net/)
WAP Cracking (http://www.crimemachine.com/Tuts/Flash/WPA.html)
Aircrack para Linux ou Windows (http://tinyshell.be/aircrackng/wiki/index.php?title=Downloads).
Asleap (http://asleap.sourceforge.net/).
Procedimento de ataque ao WEP e ao WPA (http://www.grape-info.com/doc/linux/config/aircrack-2.3.html).
Apresentação de Joshua Wright para o Defcon 2003 (http://home.jwu.edu/jwright/presentations/asleap-defcon.pdf).
Mais informações sobre a vulnerabilidade no LEAP da CISCO (http://www.cisco.com/warp/public/707/cisco-sn-20030802-leap.shtml).
Hardware para o teste de invasão (http://www.amazon.com/gp/product/B0009UC2A2/sr=8-6/qid=1142777224/ref=pd_bbs_6/002-5332413-6799242?%5Fencoding=UTF8)
Wellenreiter (http://www.wellenreiter.net/)
WAP Cracking (http://www.crimemachine.com/Tuts/Flash/WPA.html)
Aircrack para Linux ou Windows (http://tinyshell.be/aircrackng/wiki/index.php?title=Downloads).
Asleap (http://asleap.sourceforge.net/).
Procedimento de ataque ao WEP e ao WPA (http://www.grape-info.com/doc/linux/config/aircrack-2.3.html).
Apresentação de Joshua Wright para o Defcon 2003 (http://home.jwu.edu/jwright/presentations/asleap-defcon.pdf).
Mais informações sobre a vulnerabilidade no LEAP da CISCO (http://www.cisco.com/warp/public/707/cisco-sn-20030802-leap.shtml).
Observações Finais
a) Ataques por dicionário: A lista de palavras disponíveis no site http://ftp.se.kde.org/pub/security/tools/net/Openwall/wordlists/ é excelente para ataques de dicionário. O ponto positivo da utilização desta lista é que não existem palavras repetidas no arquivo. O ponto negativo é que não existe um dicionário para o idioma Português.
b) WEP: É necessário capturar um número grande de pacotes quando a rede wireless está sendo protegida pelo WEP. Durante os testes de invasão realizados pelo autor deste artigo, foi necessário a captura de um número superior a 300.000 IVs (Initialization Vectors). Para capturar um número tão grande de pacotes contendo IVs, podem ser necessárias várias horas de monitoramento da rede alvo. Existem técnicas intrusivas (capturar e re-injetar pacotes ARP, desconectar as estações de trabalho do Access Point, etc) que forçam o tráfego de pacotes contendo IVs que não foram apresentadas ou discutidas neste artigo.
c) WPA: Não é necessário um número grande de pacotes. Porém, é necessário capturar o tráfego de pacotes TKIP (Temporal Key Integrity Protocol) para que as ferramentas consigam descobrir a chave utilizada na rede wireless.
d) WPA2: O autor deste artigo não conhece vulnerabilidades no WPA2. As técnicas e ferramentas descritas no artigo não funcionam em redes wireless que utilizam o WPA2.
e) Pacotes mal formatados: durante o monitoramento da rede serão capturados diversos pacotes mal formatados. As ferramentas utilizadas durante o teste de invasão não funcionaram corretamente com pacotes mal formatados. Utilizando o Ethereal você poderá identificar quais são os pacotes mal formatados.
f) KNOPPIX: para não prejudicar o HD do seu laptop, utilize o Knoppix (http://www.knoppix.org/).
g) Modelos de placas PCMCIA:
http://www.radiolabs.com/products/wireless/networking/buffalo-wireless-notebook-card.php?PHPSESSID=1ad36f381c77246796ae012f035955e6
http://store.microcom.us/nl2511cdplusx2.html
http://www.seattlewireless.net/HardwareComparison
g) Antena utilizada pelo autor do artigo: http://www.pluton.com.br/Site_Portugues/antenas/ptx18.htm
Sobre o autor:
Denny Roger (denny@batori.com.br) é especialista nas áreas de projeto de rede segura e intrusão de rede, liderando regularmente os esforços de teste de penetração na Batori Software & Security, onde pode demonstrar, em primeira mão, sobre o impacto das vulnerabilidades da rede no dia-a-dia. Atualmente é diretor de negócios de segurança da Batori Software & Security.
Labels: Segurança Informática
Data 22.3.06
