本文将以KRACK攻击为例,介绍WIPS产品为何能快速支持KRACK攻击检测并进行防御。 2.什么是WIPS WIPS(无线入侵防御系统)是针对企业无线使用环境的安全威胁发现与防护系统,通过将无线通信技术、无线攻防、数据分析与挖掘等技术相结合,确保企业的无线网络边界安全、可控。 较为出名的WAIDPS,便是一款由Python编写的无线入侵检测工具,基于Linux平台,完全开源。它可以探测包括WEP/WPA/WPS在内的无线入侵&攻击方式,并可以收集周边无线WiFi相关的所有信息。 WIPS通常采用采用B/S或者C/S架构,收发引擎分布式部署在企业办公环境中,将收集到的热点信息传给中控服务器。管理员通过通过管理平台查看企业内部热点信息,对捕获到的攻击行为进行告警,并对恶意、违规的热点进行阻断。 利用WIPS产品可以查看并管理企业内可信热点、未知热点;识别并告警可疑攻击行为;快速响应无线WiFi攻击及威胁事件。能够有效防止恶意热点、未知及外部热点、伪造热点、未授权移动终端等可能带来的安全隐忧,从而保护企业的无线网络安全。 攻击行为识别检测MDK3去认证攻击检测伪造合法热点攻击检测伪造MAC地址攻击检测Aircrack-NG无线pojie攻击 2.3.无线攻击识别规则 由于后文对KRACK攻击的检测方式涉及检测伪造热点,此处便以此为例进行说明。伪造热点攻击(Evil-Twin)是众多无线攻击方式中,成本较低、效果较好的一种,因此及时地发现并阻断钓鱼热点是非常必要的。常见的伪造热点攻击检测方式有:热点常规信息检测、登录凭证验证检测、时钟偏差检测等方式。 常规信息检测 利用目标AP的Beacon、Interval、SSID、Channel及其他无线信息进行比较得出判断。 凭证验证检测 利用AP登记保存的凭证信息向目标设备发起连接,若成功再用错误密码尝试连接,若提示错误则证明是合法热点。 时钟偏差检测等方式 通过计算两个相邻信标帧之间的timestamp间隔不一样,即时钟偏差,与预先设定的阈值进行比较来检测伪AP。如果AP的时钟偏差值与特征库中储存的偏差值不一样,则可认定这个AP为一个无线钓鱼AP。 3.KRACK攻击原理分析 本次的WPA2“密钥重装攻击”,基本原理为:利用WPA协议层中的逻辑缺陷,多次重传握手过程中的消息3从而导致重放随机数和重播计数器,为攻击者提供了利用条件。 在协议标准中还存在一条危险的注释“一旦安装后,就可从内存中清除加密密钥”,若按此注释进行实现,在密钥重装攻击时会从内存中取回已经被0覆盖的key值,从而导致客户端安装了值全为零的秘钥。而运用了含漏洞wpa_supplicant版本的Linux及Android设备便因此遭受严重威胁。 3.1.KRACK攻击利用方式(攻击视频分析) 1、首先测验设备连接真实的testnetwork网络: 3、 攻击演示: 真实热点Real AP: SSID:testnetwork Mac:bc:ae:c5:88:8c:20 Channel:6 被攻击客户端Target: SSID: 90:18:7c:6e:6b:20 伪造同名同MAC热点(Rouge AP): SSID: testnetwork Mac:bc:ae:c5:88:8c:20 Channel:1(信道不一样) 4.利用网卡建立目标AP的伪造热点,迫使客户端连接到伪造热点上。此时设备经历重连,WiFI状态为正在认证。 当目标targe与真实AP完成认证过程,准备发起连接时,注入CSA beacon pairs,使信道切换到Channel 1 实施中间人攻击,同时客户端状态保持在State 2,接下来开始发送四次握手中的Message 3,实施密钥重新安装(Key Reinstallation Attack)攻击。 之前有讲到KRACK的攻击原理,根据现有KRACK的Demo来看,攻击者的主要利用方式为:在被攻击客户端与正常AP建立连接时,攻击代码(POC)“克隆”了被攻击客户端所连接的AP,建立了一个相同BSSID、ESSID,但Channel不一样的热点;通过发送Disassociate Frame迫使被攻击客户端解除关联,此时设备经历重连;准备重新与正常AP发起连接时,注入CSA beacon pairs(Channel Switch Announcement),使信道切换到恶意AP所在信道,实施中间人攻击;同时客户端状态保持在State 2(通过对访问点进行身份验证的身份验证状态),接下来开始发送四次握手中的Message 3,实施密钥重新安装(Key Reinstallation Attack)攻击,即可与伪AP建立正常连接通信。 2. 向客户端发送异常Deauth/Disassociate Frame; 3. 重新发送四次握手中的message3强制重置nonce,相同IV; 4. Sequence Number和Timestamp乱序; 5. Client在建立握手的时候切换Channel; 4.红蓝对抗演示 作为运用WPA2协议设备的用户来说,官方的搞定方案是等待协议漏洞的修复与厂家设备的升级。在企业环境中,能否将无线防护的主动权掌握在自己手中呢。安全专业人士的建议是企业应合理部署WIPS,但是WIPS能否抵御这种突如其来的无线安全威胁呢? 在详细分析了黑客的攻击过程后,天巡实验室准备进行一场红黑对抗,一组扮演黑客模拟相同的攻击手段进行无线攻击;另一组实验人员扮演企业管理员进行无线防护,同时在实验环境内部署WIPS,测验WIPS的防御效果。 1. 首先建立testnetwork热点,企业用户连接该热点并通过认证后可访问企业内网资源;通过WIPS管理员可直观了解该热点的设备属性和安全属性,包括热点ESSID、BSSID、热点厂商、频道和加密方式等等。 最终“红方”利用WIPS的监测与阻断服务,成功阻止了“黑方”利用无线网络入侵与监听数据的攻击行为。通过实验表明,WIPS的确可以有效防范KRACKs攻击。随着移动互联网、BYOD、智慧城市、物联网等无线网络使用的兴起,无线网络正在扮演着越来越重要的角色。而无线网络重使用轻防护的建设理念,将吸引越来越多的黑客征服这片未被保护的领域,KRACKs不是无线网攻击的结束,是无线安全认知与建设的开始。 |