Новата атака AirSnitch позволява прихващането на трафик от всяка Wi-Fi мрежа без хакване

Група експерти по киберсигурност публикуваха статия за новия метод на атака AirSnitch, който се извършва в Wi-Fi мрежи. Работейки в долните два слоя на безжичната мрежа, той не нарушава криптирането на данните, а го заобикаля, като прихваща трафика и подменя данните.

AirSnitch използва уязвимостта и заобикаля изолацията на клиентските устройства в една и съща Wi-Fi мрежа. Атаката е насочена към долните два слоя на стека на Wi-Fi мрежата.

Първият слой е физическият, който е обвързан с радиочестотите, по-конкретно с каналите 2,4 и 5 GHz. Вторият слой е този за връзка с данни, който отговаря за предаването на пакети данни в мрежата, адресирането на MAC адреси и схемите за изолиране на клиентите. Над него се намират мрежовият, транспортният, сесийният, презентационният и приложният слоеве – на седмия и последен слой работят HTTP/HTTPS, FTP, браузъри, клиенти за електронна поща и друг мрежов софтуер за потребителите.

Работейки на двата по-ниски слоя, AirSnitch се възползва от неспособността на мрежовото оборудване да свърже и синхронизира клиента между тях и по-високите слоеве, което води до двупосочна атака тип „човек по средата“ (Man in the Middle, MitM). Ако хипотетичен нападател, дори когато се намира в различни мрежови сегменти с потенциалната жертва, обозначени с различни SSID използва пропуските в сигурността на различните слоеве: на по-ниските слоеве оборудването третира устройствата на хакера и жертвата като имащи различни MAC адреси, докато на по-високите слоеве нападателят е в състояние да подмени MAC адреса и да прихване потоците от данни, адресирани до жертвата. Това може да стане чрез използване на радиочестотна лента, която жертвата не използва: 2,4GHz вместо 5GHz или обратното.

В следствие на това нападателят може да вижда и може да променя целия отворен трафик, да краде бисквитки, пароли, данни от банкови карти и всяка друга чувствителна информация, използвана при удостоверяване.

В локалните корпоративни мрежи трафикът често се предава в чист вид и е по-лесен за прихващане. Дори ако жертвата използва HTTPS, хакерът запазва възможността да прихваща трафика при търсене на домейни, да „отрови“ DNS кеша и да вижда IP адресите, на които се намират уебстраниците, които жертвата посещава и често да ги съпоставя с URL адресите. И накрая, AirSnitch може да служи като един експлойт във верига от атаки, използващи множество уязвимости.

Прихващането на MAC адреса на жертвата обаче заплашва да я изключи от безжичната мрежа, при което нападателят може да се разкрие. За да се предотврати това, от устройството на хакера се изпраща ICMP заявка (ping) под произволен MAC адрес, към който се пренасочва устройството на жертвата. За разлика от Ethernet връзките, Wi-Fi позволяват динамика на клиента на ниво архитектура, така че хардуерът, координиращ мрежата възприема промяната в позицията на клиента като нещо нормално – и връзката се връща към устройството на жертвата, а нападателят може да се свързва и прекъсва връзката с висока скорост толкова дълго, колкото иска, като се преструва на жертвата и след това се връща към първоначалното състояние – по същество така се реализира атаката MitM. Това работи дори когато две на пръв поглед изолирани подмрежи с различни SSID работят на един и същ маршрутизатор – да кажем „гост“ и „дом“ – защото за двете подмрежи се използва една таблица с MAC адреси.

Групата методи за атака AirSnitch остава актуална за всички видове мрежово оборудване, независимо дали става въпрос за потребителски или корпоративни рутери. Най-малко един от методите е работил върху оборудване от Netgear, D-Link, TP-Link, Asus, Cisco, Ubiquiti и други производители. Методите за криптиране WPA2/3 и протоколът за удостоверяване RADIUS не осигуряваха надеждна защита.

Затварянето на уязвимостите, които се използват от атаката AirSnitch няма да бъде лесно чрез софтуерни методи – тези уязвимости се проявяват поради особеностите на чипсетите и архитектурата, така че няма универсална рецепта за цялата индустрия. Въпреки това е възможно да се намали заплахата. За да извърши атака, нападателят първо трябва да намери начин да се свърже с мрежовото оборудване, на което работи устройството на жертвата – подмрежата за гости или домашната подмрежа. Те могат да бъдат изолирани чрез използване на различни SSID в отделни VLAN, което ще намали заплахата от атака, въпреки че е лесно да се допуснат грешки при конфигурирането им, казват изследователите. Друг начин за защита е използването на VPN, въпреки че и това не е гаранция. И накрая, корпоративните мрежи трябва да се придържат към доктрината за „нулево доверие“, което означава, че всички други клиентски устройства трябва да се считат за потенциално опасни от самото начало.