Wifi védelme

Eddig olvastam róla, láttam különféle videókat, mindenki mondta, de most saját szememmel is láttam, hogy mennyire védtelen, hiányos, a kényelem oltárán teljes mértékben feláldozott módszerre alapuló Wifi-t használunk (céges környezetben más, ott külön hitelesítési protokoll nehezíti a törést) otthon.
Sebesség, Mhz, osztott Guest hálózatos fícsör, WPA2 AES lehetőség, WPS – ezek mind jó nagy szavak, de minden kuka.
Nem kellett 2 parancs és a WPA2 TKIP/AES router Hidden SSID-ja már látható volt, harmadik parancs után már a MAC szűrés is ki volt játszva, mintavételezés után a jelszótörő program (csak a szemléltetés miatt azonnal) pár nap aktív magárahagyása után visszaadja a jelszót és máris léphetünk be a hálózatba, mint hálózati gép. Egy 8 betűs nagybetűvel kezdődő és speciális karakterrel végződő jelszó átlagos feltörése manapság kapható géppel pár nap alatt – erősebb videókártyával még annyi sem.
Összegezve, nem véd meg az SSID elrejtése, a MAC címszűrés, a 8 hosszú mindenféle karakteres kulcs.
Ha hosszabb, legalább 13 karakteres, összevissza karakterekből álló jelszó már nem biztos, hogy feltörésre kerül emigyen, túl hosszú és emiatt sokáig tarthat a törése. 4 Euróért vagy 5 Dollárért feltörik nekünk 48 órán belül (ha szerencsénk van és olyan szolgáltatót találunk aki ennyiért meg is csinálja – rendelkezik megfelelő számítási kapacitással), vannak erre Bitcoin farmok a világon, amiknek ez meg sem kottyan.
Jelenleg a világ abba az irányba meg, hogy minél több eszközt felkössünk Wifi-re és ne kelljen kábelezni, emiatt is jelent meg és terjed a mai napig a WPS amivel játszi könnyedséggel pároztatni tudjuk újdonsült TV-ket a Wifivel és máris mehet a youtube a gyereknek.
WPS borzalmasan sérülékeny, ami miatt remekül törhető pár parancs kiadása után. Ilyenkor listázza a Wifi-s eszköz típusát, Firmware adatait és egyéb érdekességet, amivel még mélyebbre lehet menni (pl.: az adott firmware hibáját kihasználva átvenni a Wifi-s eszköz webes felületés és pl.: a DNS-t átírni valami másra amivel elhitethetjük, hogy a mi Wifi-n levő gépünk az otp.hu és oda fog belépni, persze itt nekünk csak a felhasználó név/jelszó páros kell (meg az SM auth miatt azt is meg kell szereznünk) – de lehet ez a facebook oldala is ahol ugyanezekkel el tudjuk a teljes profilt lopni míg  felhasználó csak egy oldalt kap olyan szöveggel, hogy karbantartást végzünk, lépj vissza később. Innen is látható, hogy számtalan lehetőség van adataink megszerzésére.
Végezetül a kérdés, hogy mit tehetünk mi saját hálózatunk, egzisztenciánk megvédése érdekében.
1.    ne használjunk Wifi-t (tehát tiltsuk le a routerünkben).
2.    ha használnunk kell Wifi-t mindenképp, akkor vegyünk még egy routert (amin ha Wifi-s, akkor tiltsuk le a Wifi-t, legyen ez az elsődleges hálózatunk és átjárónk az Internet felé, majd ennek egy részéből nyíljon a már meglévő Wifi-s routerünk.
3.    Manapság a Wifi-s hálózat VLAN-ba elszeparálható szoftveresen a Wifi-s eszközben, ez is lehet egy megoldás, kérdés, hogy a Wifi-s eszköz firmware-e mennyire biztonságos.
A 2-es pont lényege, hogy a Wifi-s eszköz belső hálózata teljesen el van szeparálva (fizikailag), ha betörnek, akkor ez a hálózat válik láthatóvá, a felette levő kábeles hálózatunk forgalma nem látszik. A Wifi-s eszközünket is feltörheti a támadó akkor sem jut hozzá további adatokhoz belső hálózatunkból. Esetleg ha egy alternatív Firmware-t installál a feltört Wifi-s eszközre valahogy akkor tehetne további lépéseket, de eme állapotban vagy fizikailag kell hozzáférnie a Wifi-s eszközhöz, hogy be tudja állítani az új firmware-t, vagy olyan egyénileg módosított firmware kell neki amit a jelenlegi állapothoz idomít. Nagyon sok idő, türelem, elszántság és kitartás kell, hogy így járjon el valaki, ezért talán ez egy elég jól járható út a saját hálózatunk megvédése érdekében.

A hálózat védelme – 4-ik rész.

Essen pár szó a routerekről. Bár korábban már írtam róluk, mégis van még mit írni.

Biztonsági szempontból a Vaultunk routere egyfajta bástya. A beépített tűzfal egyfajta alap védelmet tud nyújtani, legtöbb gyártónál külön még bekapcsolható DDoS elleni védelem és hasonló plusz.

Mint azt már korábban írtam, én úgy tekintek a routerre mint a Vaultom egy kihelyezett pontjára. Körülötte nem megbízható terület van, a külvilággal való összeköttetésre szolgáló kábel pedig maga a Wastelandből jön.

A routerek manapság úgy készülnek, hogy az ember bekapcsolja, és 4-5 lépésben felkonfigurálja, majd végzi a dolgát és jobb esetben hozzá sem kell nyúlni évekig. Ez egy elterjedt gyakorlat szinte mindenhol. A nem IT-val foglalkozók nem fogják nézegetni az eszközüket, működik, jön az Internet rajta, más nem kell.

Igazából, kell. Az esetek 99%-ban a routerünk osztja ki az IP címeket az eszközeink számára (akár kábelesen, akár vezetéknélküli módban), DNS-el együtt. Ez egy hatalmas kényelmi szempont, ami minden routerben megtalálható. Sajnos egy rosszul konfigurált router könnyen feltörhető (egy nem rosszul konfigurált is – számtalan sebezhetőség van amit direkt vagy véletlen implementáltak az adott firmware-be). Így is – úgy is, bejutnak a routerbe akik akarnak, erről nincs kétség. Ha már bent vannak, akkor a DNS címet (dióhéjban: olyan szerver, amely a beírt webcímet a webcím alapján megkeresi egy adatbázisban és rámutat arra a gépre, amin a weboldal fut) átírhatják egy saját DNS IP címre. Mi ebből az eszközökön semmit nem fogunk látni. Bankolnánk és máris viszik az adatainkat, meg a pénzünket, ugyanis hamis oldalra tévedünk, vagy eddig teljesen új fertőzéseket kapunk – persze mi csak annyit látunk, hogy nem jön be rendesen a weboldal, meg semmisem. A fertőzés a routerben visszaírja a DNS címet és a router újraindítása után megint van Internet kapcsolat. Mi meg arra gyanakodunk, hogy nem volt Internet, vagy a router megzakkant és újraindítás meg is oldotta a dolgot. Gépünk máris egy bot hálózat tagja és különböző támadások intézhetőek el vele.
A példában említett DNS eltérítésnél jó volna tudni, hogy mi a DNS-ünk, itt megtudhatjuk.

A fenti csak egy példa volt arra, hogy mit is lehet végigvinni a routerrel, számtalan más megoldás is lehet. Miután nem szoktuk a routerünk Firmware-ét frissíteni (a Firmware maga a rendszer ami működteti a routert), mert minden frissítés után teljesen újra kell konfigurálni a routert és 99%-ban senkinek nincs kedve / ideje / ereje ezzel bíbelődni. Így maradnak a frissítetlenek a routerek sok-sok Vaultban.

Mit tehetünk mi?

Ha nincs, vagy nem akarunk frissíteni routert akkor legalább az alábbiakat tegyük meg:

-  a routeren az admin felhasználó jelszavát változtassuk meg (szabály rá: 8 hosszú minimálisan, kisbetű/nagybetű/szám/speciális karakter ,-+)

-    mindenféle külső menedzselési lehetőséget tiltsunk le (routerfelület külső elérése)

-    ne szórjunk IP-t DHCP-n keresztül, vagy ha mégis akkor a DNS-t manuálisan állítsuk be eszközeinken.

-    a Wifi titkosítás a legmagasabb legyen - WPA2 AES-el, ne használjunk TKIP-t (nem mintha ezt nem lehetne feltörni).

-    ha nincs Wifi-s eszközünk, akkor kapcsoljuk ki a Wifi-t a routeren.
-    UPNP sem kell.
-    Teszteljük routerünket ezen az oldalon.

Ha a gépünkre felrakjuk a GlassWire programot (igazából azt néztem, hogy le sem írtam a telepítését, ezt orvosolni kell) akkor az majd szól ha megváltozott a DNS, ami nagy segítség tud lenni.

A hálózat védelme III.

Miután jómagam nem nézem jó szemmel, hogy nem látom, mi folyik Vaulton belül a készülékek közötti kábeleken, kicsit körülnéztem, hogy otthonra milyen megoldásokkal lehetünk okosabbak. Ilyen, amikor a hálózatunkat sniffereljük (szaglászás), ehhez viszont nemkevés hálózati szakértelmünk kell, hogy legyen, mert rengeteg eventet (eseményt) fog generálni és ember legyen a talpán, aki akár egy 10 perces aktív forgalmat átnéz és rábök valami gyanúsra.

Amúgy erre a dologra roppantul alkalmas a Wireshark nevű program, aminek telepítéséhez elengedhetetlen a WinPcap program telepítése (benne van a telepítőben is).

Van ennél alkalmasabb megoldás is ahol a hálózat folyamatosan pásztázva van és egy szignatúrára ráillesztett egyezésnél jelzést kaphatunk (pl.: E-mailben) behatolásról, fertőzésről, stb.

Erre alkalmas a Snort nevű program ugyancsak a WinPcap program társaságában. Ennek konfigurálása kissé körülményes Windows-on, Linuxon talán egyszerűbb.

Ha még egyszerűbb megoldást szeretnénk kész IDS (behatolást érzékelő) rendszert is telepíthetünk egy külön gépre.

Erre a Security Onion Linux változata alkalmas, amit képfájlként tölthetünk le és telepítés utáni konfigurálás után máris pásztázza a belső hálózatunkat (virtuális gépként alkalmas a futtatásra). 

A hálózat védelme II.

Az előző részben elvettem mindenki kedvét a dolgoktól. Ezért most pár bátorító szót szólnék (de tényleg nem sokat, mert annyira nem jó a helyzet). Többéves elemzéseim alapján nem a célzott támadás a legnagyobb veszélyforrás, hacsak, van egy minket utáló szomszédunk, vagy wifis hatótávolságon belülre esik egy skript kiddie (ezek olyan emberkék, akik mások által megírt programokkal törnek be, tehát beszereznek egy fegyvert és lőnek vele – míg az igazi betörő maga készíti el a fegyvereit). Betörni kívülről költséges és nehéz, ezért a rosszakarók nem bejönnek, hanem megvárják, amíg kimegyünk. Erre nem kell sokat várni, hiszen számtalan telepített program rohan ki a Vaultunkból, hogy kapcsolódjon az anyaszerverhez (Skype, Chat programok, Internetböngésző, Torrentkliens, stb.)

Álljon itt pár példa: Az NSA például ha mi lekérünk egy weboldalt – és mi várjuk a hihetetlen gyors választ – kissé meghekkeli a folyamatot, és nem az eredeti oldaltól kapjuk meg mindazt, hanem egy másik szervertől, tehát elnavigáltatnak minket, máshova aminek a külalakja megegyezik az eredetivel (Foxacid projekt). Máris olyan kártékony programokat juttatnak a rendszerünkbe, amiket a vírusirtó nem vesz észre kihasználva olyan böngésző sérülékenységeket, amiket a piacon felvásároltak, vagy külön találtak, esetleg fizettek értük (a böngészőn keresztül hatolnak be az OS-be is hasonló felfedezett, de nem javított, esetleg ZeroDay (0 napos) hibákkal). Ez csak egy példa volt, hogy milyen veszély leselkedhet ránk. Egy ilyen átirányításhoz az NSA-nek ok kell (vagy nem).

Hasonló lehet, amikor egy fertőzött honlapra esünk és egy kód a háttérbe egy Java, Flash, Silverlight sérülékenységet kihasználva fertőzi meg a gépünket. A Flash lejátszó egy nagyon hasznos dolog volt, a Youtube el sem képzelhető nélküle, de itt van a HTML5 ami jobb és biztonságosabb, de még nincs annyira elterjedve, hogy ne kelljen a Flash lejátszót telepíteni (régebbi oldalak miatt is kellhet a flash).

Hasonló veszélyei vannak az Adobe termékeknek, ilyen pl.: a Reader. Ez is tele van hibákkal, amiket egy jól megírt pdf fájl futtatása után életre lehet kelteni.

A Skype mióta Microsoft termék lett - hasonlóan a Windows 10-ben látottakhoz - viszi adatainkat, tehát chatszöveg, hanganyag, képanyag mind mentésre kerül, de károkozó is juttatható be rajta.

Egyetemesen elmondhatjuk, hogy minden, ami kifelé kapcsolódik, tele van felfedezett vagy fel nem fedezett hibákkal, amiket lépten-nyomon ki is használnak, sokkal egyszerűbb Vaulton kívül kártékonykodni mint bemenni a Vaultba.

Talán a fentiek elvették maradék kedvünket az egésztől, de van megoldás, igyunk egyet. 

A hálózat védelme I.

Az átlag Vaultunkban kábeles és wifis hálózat szokott lenni, vagy egyik sem és mobilos hálózat van. Más nagyon nem terjedt el. Lássuk a kábeles hálózat biztonságát.

Amikor ránézek az otthoni UTP kábelekre azt érzem, hogy a fene tudja ki csámborog rajtuk és ezzel úgy elidegenedik a dolog az emberben és érzi, hogy bár a lakásodban van, védetten, mégis bárki lehet benne. Lelki szemeim előtt az alábbit látom. Sötétség, homokos, saras, lepusztult talaj, valahol a közelben egy kapu (router), amire a gépek csatlakoznak. Egy biztos pont, vagy mégsem. Majd a gépek a másik irányban, melyeket a szoftveres tűfal véd. Köztük a fene tudja kik vannak, milyen forgalom is megy. Egy szóval én a kábeleket a senki földjének tekintem. Ha nem wifi-s a routerünk akkor nagyobb biztonságban vagyunk. Betörő csak kívülről jöhet be, nem úgy mint a wifi-s routernél.

A wifi egy jó találmány lenne, ha a sebességet mindig tudná garantálni (panellakásban ez nem mindig jön össze), hatással van rá az időjárás. Van egy azonosító amihez csatlakozunk egy jelszóval. Az azonosítót el is rejthetjük a kíváncsiskodók ellen, de pl. a Kali Linux-ban van olyan proggi ami ezt is megtalálja és nem kell sok idő, hogy visszafejtse. Hasonló a jelszóval is elérhető. Megfelelő mennyiségű csomag küldésével összejön annyi információ amivel a Kali Linux egy idő után (gépfüggő!) kiköpi a jelszót. Itt ildomos valami hosszú, erős jelszót adni, had killódjon a gép.

Az ilyen wifis router hálózatnál ha a router engedi (és nincs bekonfigurálva) elérhető a router webes felülete. Innentől már a kis routerünk áldozat lesz. A belső hálózatról nem is beszélve. De ha mégsem fér hozzá a hálózathoz a wifin betört gép akkor is tud ARP mérgezéssel kártékony kódot juttatni a hálózati gépekre (a Kali Linux marhasokmindenre jó). Az ARP mérgezéssel az ARP tábla módosul. Kali Linuxon van lehetőség, hogy legyártsuk pl.: a Google.com oldalt, ARP táblában átírjuk a google.com címét a Kali Linux IP címére és várunk, hogy valaki használja (sokkal gyorsabb, ha előtte a hálózati forgalmat analizáljuk, innen láthatjuk, hogy milyen oldalak vannak látogatva, eszerint tudunk arról másolatot készíteni magunkhoz). Ha kérés jön a google.com oldalra, akkor az a Kali Linux gépre érkezik, és ahogy megnyílik az oldal a gépen máris települnek a kártékony kódok.

Ezek után legyünk okosak és védjük meg a hálózaton a gépeinket.  

A hálózat

Mint Vault Dweller (menedék lakos) valahogy kapcsolatban vagyunk a világgal. Azok a szép régi idők amikor a Mikrószámítógépünk elé ülve „dolgoztunk” hálózat nélkül, már elmúltak. A gépeinket el sem tudjuk képzelni Internetkapcsolat nélkül. Ehhez viszont sokféle út vezet. 

Van, aki hajlékában egy gépet üzemeltet és azt egy mobilszolgáltatós stick-es megoldással teszi. 

Van, aki más szolgáltatótól kábeles internetet kap végponti eszközzel vagy anélkül. A mobilszolgáltatós azért veszélyes, mert a gépünk külső, szolgáltató által megadott IP címe (ami egy egyedi IPV4-es cím és a szolgáltató hálózati szegmenséből osztja ki az éppen arra járó kérésre) lekövethető és kívülről egyből a fizikai gépet lehet elérni. Ha azon nincs tűzfal, vagy nem működik, el van konfigurálva akkor könnyem be lehet jönni (pl.: a Távoli asztal engedélyezve van, ilyenkor bárki bejöhet ha van egy jópofa sérülékenysége vagy szeret bruteforcolni (törni) felhasználói jelszót.

Ennél sokkal biztonságosabb, ha veszünk/kapunk a mobilszolgáltatótól egy Stick megosztós wifis eszközt. Mi géppel a wifi-n keresztül kapcsolódunk az eszközhöz és az meg felépíti és megtartja a kapcsolatot Internet irányába. Ezekben szokott lenni tűzfal, DHCP szerver, MAC szűrés, NAT-olás, log-olás, stb, olyanok mintegy router.

A kábeles hálózat is tud a fentiek szerint működni egygépes rendszernél, az UTP kábel belemegy a helyére és az OS felépíti a kapcsolatot. Hasonló veszélyei vannak mint fent már írtam. 

Egy home router itt már egyfajta védelmet képez. Olcsón juthatunk hozzájuk és sokmindent tudnak már. Döntően wifis routerek vásárolhatóak meg manapság, a wifi-t is tudja szeparálni egymástól (biztonságos otthoni és publikus guest hálózat), MAC szűrés, DHCP szerver, sebességkorlátozás, NAT-olás, log-olás, keresési szűrés, stb. 

Otthonra elmegy, de sajnos ezeket is úgy írták meg, hogy legyenek benne kiskapuk, vagy nem lett minden rendesen tesztelve. Egyik otthoni routerem jelszavas védelme is egy URL elérésével megkerülhető volt, bárhova be tudtam menni.

Itt a menedzselt routerek a jobbak, ez az árukon is látszik. A routerek egyben switch-ek is, legalább 4 port van rajtuk, amivel 4 eszköz felköthető rájuk, amelyek DHCP-én keresztül kapnak a routertől IP címet (ha akarjuk, de fix IP-ket is adhatunk a gépeinknek manuálisan), DNS és átjáró IP cím adatokat, hogy kijussanak az Internetre. Ha nem elég a 4 port akkor további switch-el lehet toldani, 5-8-16 portos pl. már elegendő lehet otthonra.

Az, hogy a mi Vault hálózatunk mennyire biztonságos, ez egy következő Blogbejegyzésből kiderül. Addig is igyunk valamit..