2.5.2. Атаки на систему аутентификации

- Атака на фильтрацию МАС-адресов. Преодоление фильтрации МАС-адресов происходит следующим образом:

1 Анализируется сетевой трафик и выясняется, какие МАС-адреса встречаются.

2 Необходимо дождаться времени при котором хост выйдет из сети, присвоить себе его МАС-адрес, и присоедениться. Также можно присвоить своей машине такой же MAC- и IP-адрес, как у хоста - жертвы, и одновременно находится с ним в одной (разделяемой) сети. При этом придется отключить протокол ARP на своем интерфейсе и расстаться со своим межсетевым экраном.

3 Злоумышленник следит за тем, какая информация отправляется в сеть, с его компьютера, чтобы хост-жертва не посылал слишком много пакетов TCP RST и сообщений о недоступности порта по протоколу ICMP, иначе сработает система IDS.

Злоумышленник может самостоятельно отключить хост – жертву, для этого он выберирает хост, который в данный момент не генерирует трафик, и посылает ему фрейм с запросом на отсоединение (deassociation), подменив свой МАС-адрес адресом точки доступа. Одновременно подготавливает вторую клиентскую карту, задав для нее МАС-адрес хоста-жертвы и другие параметры, необходимые для присоединения к сети. При этом применяя DoS-атаку при помощи непрерывного потока запросов на разрыв соединения.

- Атака на фильтрацию протоколов. Фильтрация протоколов применима в весьма специфических ситуациях, когда пользователи очень ограничены в своих действиях, например могут ходить только на корпоративный сайт по протоколу HTTPS или посылать почту по протоколу Secure Multipurpose Mail Extensions (S/MIME).

Атаки против сетей, защищенных фильтрацией протоколов, направлены главным образом на разрешенный безопасный протокол (например протокол SSHvl). Атакующий может получить некоторую информацию о том, как обойти SSH-трафик (например, выявить попытки аутентификации или узнать длину передаваемых паролей и команд в трафике по протоколам SSHvl и SSHv2). Хотя основные сетевые операционные системы сейчас поддерживают протокол SSHv2, но для захода на маршрутизаторы и некоторые межсетевые экраны по-прежнему можно воспользоваться только SSHvl.

Для преодоления фильтрации протоколов злоумышленник также использует атаку методом полного перебора. Хотя взлом методом полного перебора оставляет следы в протоколах, но для атакующего беспроводную сеть это не имеет значения, поскольку найти его и подвергнуть наказанию все равно достаточно сложно. Минусом является то, что взлом полного перебора может потребовать много времени [11].

- Атака «человек посередине». В коммутируемых проводных сетях атаки «человек посередине» часто используются для перехвата трафика. Сети стандарта IEEE 802.11 – это сети общего пользования среднего размера, и, преодолев шифрование злоумышленник может прослушивать все пакеты в сети, даже не присоединяясь к ней. Поместив себя между двумя беспроводными хостами, злоумышленник получает возможность вставлять команды в трафик, которым обмениваются между собой эти хосты. Если же выдать себя за точку доступа или беспроводной мост, то можно проводить атаки с перехватом соединений и внедрением трафика на большое количество хостов.

Одно из конкретных применений атак «человек посередине» состоит в том, чтобы установить фальшивую точку доступа и атаковать односторонние системы аутентификации 802.1х, в которых используется протокол EAP-MD5. Чтобы провести такую атаку, фальшивая точка доступа должна также выступать в роли фальшивого RADIUS-сервера и предоставлять обманутым клиентским хостам подложные «верительные грамоты» в виде положительного ответа на запрос об аутентификации. Однако у такой атаки ограниченное применение, поскольку современные реализации 802.1х поддерживают взаимную (клиент-сервер и сервер-клиент) аутентификацию, а к протоколу EAP-MD5 прибегают только в крайнем случае.

Атаки «человек посередине» на беспроводные сети можно провести путем подделки DNS, злонамеренного изменения кэша протокола ARP. Атаковать таким образом можно первый и второй уровень модели 0SI. Атака «человек посередине» на физический уровень сводится к глушению существующей точки доступа и предложению вместо нее собственной с чистым и сильным сигналом, причем ее рабочий канал должен отстоять по крайней мере на 5 каналов от канала атакуемой точки доступа. Для глушения можно использовать специальное устройство или использовать DoS - атаки.

Рассмотрим возможность проведения атаки на физический уровень. Есть два возможных способа провести успешную атаку такого рода:

1 Управление сетью связано ограничениями на уровень мощности выпущенными государственными органами. В то же время злоумышленники могут и пренебречь ими и превысить допустимые значения выходной мощности. Например, злоумышленник может воспользоваться клиентской PCMCIA-картой с мощностью передатчика 23 Дбм (200 мВт) и антенной с высоким коэффициентом усиления (скажем, тарелкой или решетчатой антенной 24 Дбм). Уровень мощности достигнет 45 Дбм (вычтим 2-3 Дбм на потери в разъемах), что эквивалентно 31,62 Вт. Это гораздо больше разрешенной в большинстве беспроводных сетей мощности 1 Вт.

2 Предполагается, что хосты 802.11 присоединяются к точке доступа на основе значения базового коэффициента ошибки (Basic Error Ratio - BER). На практике это сводится к уровню сигнала и отношению сигнал/шум в предположении, что все остальные параметры (например, ESSID и ключ WEP) правильны. Теоретически появление фальшивой точки доступа с очень высоким уровнем мощности должно заставить хосты в беспроводной сети присоединиться именно к этой, а не к настоящей точке доступа. Но, многие хосты стараются присоединиться к той же точке доступа, с которой установили ассоциацию раньше, а изменят частоту лишь в том случае, когда старый канал сильно зашумлен. Такие правила выбора точки доступа обычно встраиваются в программно-аппаратное обеспечение карты. В некоторых случаях можно вручную указать, должен ли хост присоединяться к точке доступа с наибольшим отношением сигнал/шум или нет. Разумеется, беспроводные сети с мобильными клиентами более уязвимы для атак «человек посередине» на физический уровень, поскольку мигрирующие хосты должны присоединяться к точке доступа на базе ее отношения сигнал/шум. Тем не менее по вышеописанным причинам такие атаки не слишком надежны и могут проводиться лишь в дополнение к атакам на канальный уровень путем затопления фреймами с запросами на прекращение сеанса и отсоединение.

Если параметры фальшивой точки доступа злоумышленника (ESSID, WEP, MAC) соответствуют параметрам настоящей. То атака на канальный уровень заключается в затоплении сети поддельными запросами на прекращение сеанса или отсоединение с целью заставить хост-жертву покинуть канал связи с настоящей точкой доступа. Обычно это более эффективно, чем глушение. Для максимального эффекта злоумышленник будет проводить атаку одновременно и на физический, и на канальный уровень. Большинство современных клиентских карт обнаружат новую фальшивую точку доступа на канале, отличном от текущего, и автоматически присоединятся к ней, если присоединение к настоящей точке доступа затруднительно или невозможно.

Для реализации этого можно, например, использовать режим «хозяина», реализованный драйверами HostAP (фальшивая точка доступа должна отстоять от настоящей не менее чем на 5 каналов), в сочетании с утилитами FakeAP (генерирует шум в канале точки доступа) и Voidll (принудительное отсоединение одного или нескольких хостов). Если в сети применяется протокол EAP-MD5, то злоумышленник может также использовать сервер аутентификации hostapd, чтобы заставить хосты присоединиться к фальшивой точке доступа и получить пароль. Если включены также протоколы обеспечения безопасности более высокого уровня, например SSH или SSL, то можно также провести атаку «человек посередине» против них, чтобы добиться успеха с большей вероятностью.