#aaaaahhh siete d'accordo?

[der-papero]

Andiamo a rubare con Papero - Lezione 5 (parte 5) - Ciulare una WiFi

Questa non sarà l’ultima lezione sulle reti WiFi, diventerebbe troppo lunga da leggere. Ho deciso di dividerla così. Oggi vi spiego le tecniche. Domani vi illustro il software che si usa per fare gli attacchi, e nel frattempo proverò a fare il wardriving per il mio paesello. Se verrà bene, domenica vi posto i video. Ad ogni modo, siamo nelle fasi finali, chiusa questa lezione cambieremo contesto d’attacco, e non parleremo più di WiFi.

Bene, ragassuole e ragassuoli, rompiamo sta’ benedetta WiFi.

Esattamente come in un furto normale, le tecniche sono tante, e se utilizzarne alcune piuttosto che altre dipende tutto dalla serratura. Nel mondo del wireless non fa alcuna differenza. Illustrerò solo le principali.

Adesso le cose inizieranno a diventare un po’ da “nerd”, soprattutto quella di domani. Oggi proverò a restare sul comprensibile e mi scuso già da adesso, ma gli strumenti quelli sono. A meno che non avevate immaginato di poter entrare in una rete wireless in questo modo

perché, in tal caso, per quanto io adori Hermione, diciamo che avete un po’ frainteso, ecco.

Illustrerò le tecniche nell’unico ordine che ha un senso, ovvero dalle prime a quelle più recenti. Come vi ho detto già nelle scorse puntate, commetterete sicuramente un crimine nel momento in cui, avuta la password, farete un accesso alla rete, quindi non ritorno sul punto. Per tutto quello che viene “prima”, che è poi l’oggetto di questo post, fino a quanto agite in modo passivo, anche se riuscite ad ottenere la password e la usate per leggere il traffico e spiare la vittima, potete essere biasimabili, ma di certo non legalmente perseguibili, non esiste impronta digitale del vostro passaggio. Se invece fate qualsiasi tipo di accesso, lì è come violare un domicilio, e sono cazzi vostri. Vi scrivo di volta in volta il rischio legale che correte.

I sistemi di sicurezza delle reti wireless, sin dalla loro nascita, si sono evoluti nel tempo, a mano a mano che venivano violati.

WEP

Il primo a nascere, e ovviamente a cadere, fu il sistema WEP, Wired Equivalent Privacy, ufficializzato nel 1999. Un nome una garanzia, in pratica (ironia mode ON). Senza entrare nello specifico, vuoi per la scarsa lunghezza della chiave, per giunta fissa (5 o 13 caratteri), vuoi per la debole resistenza dell’algoritmo di cifratura (RC4), scelto all’epoca perché doveva essere veloce, vuoi perché uno degli input del sistema di cifratura veniva trasmesso in chiaro e più volte, non ci volle molto a farlo cadere. Nel 2001 venne pubblicata una tecnica tale per cui, semplicemente analizzando i dati trasmessi tra un dispositivo e un Access Point (AP), in meno di un minuto veniva dedotta la chiave. Ad oggi, anche con la chiave più lunga (13 caratteri), spiando 60.000 pacchetti avete l’80% di probabilità di ottenere la chiave. Dato l’enorme traffico delle nostre navigazioni (una scrollata di Tumblr e un video Youtube, e li facciamo subito 60.000 pacchetti), un hacker che spia un traffico WEP ci mette veramente pochissimo a dedurre la chiave.

Oh, devo essere sincero, io non ho più incontrato una rete WEP che saranno anni ormai. Detto questo, non si può mai sapere, mondo bello perché è vario. Se trovate una WEP, è il vostro giorno fortunato. Molti dei tool (la prossima lezione mostrerà quello più noto) hanno a bordo il software che serve per craccarla, dovete solo eseguirlo, sorseggiare un caffè caldo, e attendere che la password del WiFi si palesi ai vostri occhi. L’unico requisito è che ci sia qualcuno che sta usando la rete, dovete sniffare abbastanza pacchetti per arrivare alla soglia tale per cui il software riesce a dedurre la chiave, quindi vi tocca “fare la posta” e aspettare di vedere il traffico scorrere. Ma, a parte quello, difficoltà quasi nulla. Altra cosa positiva: in questo attacco siete completamente passivi, quindi nessun crimine. A Carlo Taormina piace questo elemento.

WPA/WPA2

WEP venne poi sostituito subito da WPA, Wi-Fi Protected Access, per correre ai ripari, visto che stavano tutti col culo all’aria, e poi dal suo upgrade, WPA2, che è il sistema attualmente utilizzato di default nelle vostre reti. Le varianti si sprecano, e per i nostri fini manco ci interessa saperle. Per riassumere, diciamo che qui le cose si fanno più toste, l’unica possibilità è sgamare la password “tentandola”, ovvero usare quello che si chiama un attacco a forza bruta. Coloro che, all’epoca della lezione di calcolo combinatorio, stavano davvero attenti e non mandando messaggini d’amore a mezza classe sperando di quagliare qualcosa al Mak P, ricorderanno sicuramente che più aumentano i caratteri e la variabilità di ogni singolo carattere, più diventa realistico e meno dispendioso estorcere la password dando direttamente una botta secca di chiave inglese sul cranio del proprietario della rete. Piuttosto che provarle tutte, conviene in genere utilizzare dei dizionari di password (ne trovate tanti in giro, basta cercare su Google), sono dei banali file di testo pieni zeppi di password più usate (tipo password, password1, conte.ti.amo, salvini.mortacci.tua, etc.). Il software che vedremo, dato un dizionario o un intervallo di possibilità, in automatico le prova tutte e alla fine vi dice se l’ha trovata oppure meno. Quanto ci metterà a compiere questa operazione dipende solo da quanto complicata è la password. Come avevo scritto ieri, una password numerica di 18 caratteri richiede 487.946 anni, ovvero trovatevi di meglio da fare.

Per poter testare se la password è valida o meno, il software ha bisogno di un dato di input, che si chiama 4-way handshake.

Lasciate perdere questa brutta espressione, per giunta illegale in tempi di Covid, vi basta sapere che è quell’insieme di dati che il vostro dispositivo scambia con l’AP alla “connessione”. Come possiamo ottenere questo insieme di dati? In due modi. O stiamo lì, seduti, in attesa, spiando il traffico, aspettando il momento che uno dei dispositivi della vittima si disconnetta e si riconnetta al suo WiFi, oppure facendola “cadere apposta”. Nel primo caso, restiamo passivi, e il nostro legale potrà godersi il sole sulle spiagge di Tenerife: il contro è che potrebbe richiedere tanto tempo, pure troppo. Se un cellulare, tanto per fare un esempio, rimane nel raggio del proprio WiFi, potrebbe anche non disconnettersi mai (teoricamente). L’alternativa è far cadere tutta la rete della vittima per un instante. Quando vi dissi che sarebbe stato un bene che la vostra scheda di rete avesse avuto la capacità di fare packet injection, intendevo proprio questo. Il software che useremo per craccare può inviare dei pacchetti, a tutti i terminali della rete WiFi, spacciandosi per l’AP e dicendo “oh, belli, staccatevi!”. I terminali ci cascano, si disconnettono, per poi riconnettersi. Qui avete fisicamente fatto un attacco, che in realtà si tradurrà solo in bestemmie varie di tutti gli occupanti della casa, però formalmente siete “entrati” in una proprietà non vostra, causando un danno, seppur minimo, quindi qui si entra nel terreno criminale. Vediamo che ne pensa il nostro legale di questa nostra intraprendenza.

Ecco, se vi cadono tutti i cellulari di casa, correte alla finestra, magari beccate qualcuno con felpa e cappuccio!

A questo punto, se il software non sta dormendo, leggerà almeno un 4-way handshake, che potrà conservare sul disco, per poi paciugarselo con calma e scoprire quale è la password. Se la vittima ha usato una password banale, potremmo essere fortunati. Potete anche arricchire il dizionario con password inventate da voi, se avete sufficienti informazioni sulla vittima (nome del partner, cognome di famiglia, nome del gatto, nomi dei figli, etc.): nun se po’ mai sape’.

( vero, @obscure-object?? :D )

WPS

Oh, questo è il classico esempio di quando una persona si fa il mazzo per fare le cose per bene (WPA2), poi arriva il classico manager tutto giacca-e-cravatta ciuciamanuber ciaparat, con le sue idee brillanti (???), e sputtana tutto, perché, come molti esperti di sicurezza insegnano,

la comodità è la madre di tutte le cazzate.

In questo raro video dalle immagini molto violente, potete osservare la denuncia disperata di uno dei programmatori costretti dal proprio PM ad implementare questa cag... ehm ... feature avanzatisssssima.

Vi copio il paragrafo da Wikipedia English, perché vi giuro che non ce la faccio manco a bestemmiare:

[...] the point of the protocol is to allow home users who know little of wireless security and may be intimidated by the available security options to set up Wi-Fi Protected Access, as well as making it easy to add new devices to an existing network without entering long passphrases [...]

per poi concludere con

[...] Users have been urged to turn off the WPS PIN feature, although this may not be possible on some router models. [...]

In pratica la genialata partorita nel 2006, perché alle persone veniva il callo alle dita quando queste venivano impegnate nello scrivere la password del WiFi, fu quella di dotare gli AP di un nuovo protocollo, WPS, Wi-Fi Protected Setup. Spiegata in parole semplici, è possibile inserire nell’AP un PIN di 7 cifre (credo, comunque una lunghezza irrisoria), che verrà poi utilizzato per registrare un dispositivo sulla rete. Per effettuare il collegamento, basta premere il pulsante WPS sull’AP, e da quell’istante si ha una finestra temporale breve (tipo 2 minuti) per inserire lo stesso PIN anche sul dispositivo, e la connessione è fatta.

Bello, bellissimo, peccato che venne bucato praticamente subito.

E’ possibile attivare la procedura anche senza premere fisicamente il tasto WPS, il codice “corto” si presta benissimo ad un attacco a forza bruta, perché smazzarsi 10.000.000 di PIN richiede un lavoro di ore, e alcune tecniche recenti, come la Pixie, permettono di avere la password di un AP vulnerabile, una volta scoperto il PIN, in meno di un minuto.

Ecco, qui potreste trovare qualcosa di appetitoso. Data la recente disponibilità di alcuni degli attacchi possibili sul WPS, è molto probabile che in giro ci siano molti AP vulnerabili a questo attacco e, nei casi più fortunati, vi ritrovate la password tra le mani dopo pochi secondi. Oltre ad essere bacati, così come recita la seconda frase presa da Wikipedia, alcuni AP non permettono nemmeno di disabilitare il WPS, ergo cornuti e mazziati. Qui dovrete “colpire” l’AP per innescare la procedura WPS, quindi si tratta un attacco attivo per tutto il tempo! Vediamo cosa ne pensa il nostro legale.

Ecco, appunto :(

Il software che vedremo domani, come tanti altri, prevede moltissimi attacchi basati su PIN WPS e, rispetto a dover provare un attacco a forza bruta in WPA2, questo promette molto di più, e conviene investirci più tempo e risorse.