als onderdeel van mijn rol beoordeel ik bestaande WLAN ‘ s voor Voice support. Tijdens de enquête wil ik onafhankelijk zoveel mogelijk van de informatie die ik heb gekregen verifiëren met behulp van protocolanalyse.. Een instelling die ik altijd moeite om te vinden was de beveiliging in gebruik, vooral wanneer EAP / Dot1X in gebruik was.
ik had het meeste door en kon mijn laatste vragen beantwoorden toen ik onlangs de cwap cursus volgde met Peter Mackenzie (@MackenzieWiFi). Dus hier is een blik op het spotten van de beveiliging in gebruik op een SSID.
normaliter is informatie over de beveiliging die op een SSID wordt gebruikt te vinden in het RSN IE (Informatie-Element) van bakens en Probe-reacties. RSN staat voor robuust Security Network, dat volgens mij werd geïntroduceerd met 802.11 i. dit was het amendement dat de Wi-Fi Allianties WPA2 security suite een officieel onderdeel maakte van de 802.11-standaard. Je zult geen RSN IE vinden in SSID ‘ s die WEP of WPA(1) draaien omdat ze pre-802.11 i zijn.
om dit punt te illustreren toont de onderstaande schermafbeelding een antwoord van een SSID met Open authenticatie (links) en een SSID met WPA2-authenticatie (rechts). U kunt de RSN IE zien in de WPA2 Probe respons hieronder, maar niet in de open authenticatie (pre-802.11 i) Probe respons.
het is de moeite waard om hier te herhalen dat WPA2 de authenticatie en sleutelbeheer methode is voor alle 802.11 i SSID ‘ s, of ze nu een Pre Shared Key of EAP (Extensible Authentication Protocol) gebruiken. Vaak nemen mensen aan dat WPA2 alleen is wat je thuis gebruikt op SSID ‘ s met een wachtwoord en EAP is iets anders. Dit is niet het geval, WPA2 wordt gebruikt om de veilige handshake proces te definiëren voor zowel PSK en EAP SSID ‘ s, vandaar dat u in Windows opties voor WPA2-Personal (PSK) en WPA2-Enterprise (EAP).
dus, aangenomen dat je met een WPA2 SSID werkt, dan moet je kijken naar het RSN IE (Informatie-Element) in de bakens voor de SSID of in de Probe-reacties op een verbindende client. Het mysterie houdt daar niet op. Als je gewend bent om naar 802 te kijken.11 frames dan weet je dat ze in principe een andere taal zijn! Begrijpen wat al deze Bits betekenen is genoeg om iedereen te laten scheel kijken. Gelukkig zijn zowel OmniPeek als Wireshark goed in het decoderen (vertalen) van die Bits naar nuttige informatie.
de onderstaande schermafbeelding toont de RSN IE van een WPA2-PSK-Probe-respons. Zonder de magie van onze Protocol Analyser software zouden we moeten weten dat 00-0F-AC-04 betekende dat CCMP in gebruik was voor encryptie en dat 00-0F-AC-02 betekende dat een Pre Shared Key (PSK) in gebruik was voor toegangsgegevens. In plaats daarvan zet Omnipeek in dit geval een mooie slijmgroene noot op het einde die ons dit vertelt (Wireshark doet dit ook).
in het geval dat iemand is vergeten, CCMP is de 802.11 i afgeleide van AES gebruikt om WPA2 verbindingen te versleutelen. Als je CCMP ziet kun je het lezen als AES.
het is ook nuttig om te weten dat het Extensible Authentication Protocol (EAP) slechts een raamwerk is voor het doorgeven van een soort authenticatie en sleutelmechanisme, het is zelf geen gedefinieerd mechanisme. Implementaties zoals PEAP of EAP-TLS zijn specifieke verificatiemechanismen die voortbouwen op het EAP-framework om precies te specificeren hoe een verificatieuitwisseling moet plaatsvinden.
om de een of andere reden is EAP de terminologie geworden die wordt gebruikt voor RADIUS-gebaseerde toegang tot referenties op 802.11-netwerken. Echter, het is eigenlijk EAP ingekapseld in de IEEE 802.1 x Standaard (of Dot1X zoals het algemeen bekend is) die wordt gebruikt om onze “EAP” SSID ‘ s te beveiligen.
Ok. Genoeg! Mijn hoofd doet pijn. Hoe zit het met EAP SSID ‘ s? Hoe verifiëren we deze instellingen in onze protocolanalyse? Nou, er is een reden waarom ik dook in die zeer beknopt en onvriendelijk (en waarschijnlijk enigszins verkeerde) beschrijving van EAP. En dat komt omdat u het niet in uw frames vindt!
de screenshot hieronder toont een Probe respons van een WPA2-EAP SSID. Merk op hoe de AKMP Suite wordt weergegeven als 802.1 X, niet EAP? Frustrerend vind je het EAP-type (PEAP, EAP-TLS, enz.) Niet vermeld in bakens of Probe reacties. Dit komt omdat de AP 802.1 X gaat gebruiken tussen de client en zichzelf. De ingekapselde EAP-frames worden vervolgens verzonden naar de RADIUS-server die bepaalt welk EAP-type wordt gebruikt. Als u een SSID voor EAP configureert, kunt u eigenlijk geen EAP-type opgeven (…tenzij u ook de controller/access point als RADIUS-server gebruikt).
opmerking: de bovenstaande Probe respons laat zien dat de SSID ook 802.11 r of Fast Transition (FT) ondersteunt zoals het in de standaard wordt genoemd.
u kunt dus controleren of de SSID WPA2-EAP gebruikt, maar dit is niet genoeg als u probeert uw client correct te configureren om verbinding te maken. Hoe controleren we het specifieke EAP-type dat in gebruik is? Nou, voor zover ik weet, de enige manier is om te proberen en verbinding te maken met de SSID en bekijk de EAP berichten (bekend als EAP over LAN of eapol berichten). De onderstaande schermafbeelding toont een RADIUS-server die een client (in dit geval een iPhone) vraagt om EAP-TLS te gebruiken voor verificatie.
maar om EAP-TLS te ondersteunen moet een certificaat op de client worden geladen, wat we in deze test niet hebben gedaan. Dus de client stuurt een negatieve bevestiging (n-Ack) naar de RADIUS server die EAP-TLS afwijst, zoals je hieronder kunt zien. Deze frames gebeuren allemaal in volgorde, dus je kunt zien dat de NAk voor de vorige EAP-TLS aanvraag is.
gelukkig is de RADIUS-server ingesteld met meerdere authenticatiemechanismen, zodat het nu vraagt dat de client PEAP gebruikt.
deze keer ondersteunt de client PEAP, dus het reageert op het herhalen van het gebruik van PEAP, en start het handshake-proces door “Hallo”te zeggen.
er zullen dan veel meer eapol berichten in uw protocol analyse als de client en RADIUS server blijven de uitdaging en keying betrokken bij het EAP-type in gebruik.
al deze informatie bevindt zich in de 802.11 headers en is dus zichtbaar zonder dat u captures hoeft te decoderen. Als u wilt kijken voor jezelf en hebben een spel rond kunt u de EAP Association capture gebruikt voor deze screenshots hier downloaden.
ik hoop dat dit U helpt een beetje meer te begrijpen over protocol analyse van 802.11 authenticatie mechanismen en blijkt nuttig als je een client moeite om verbinding te maken met een SSID. Zoals altijd, laat uw feedback hieronder en contact met mij op Twitter op @Mac_WiFi.
* * met dank aan Keith Miller (@packetologist) voor de kleine correctie en Rob Lowe (@roblowe6981) voor het vragen van mij om het capture-bestand te uploaden * *