ca parte a rolului meu, evaluez WLAN-urile existente pentru asistență vocală. În timpul sondajului îmi place să verifice în mod independent, cât mai mult din informațiile pe care le-am fost dat posibil, folosind analiza protocolului.. O setare pe care m-am străduit întotdeauna să o găsesc a fost securitatea în uz, în special atunci când EAP / Dot1X era în uz.
mi-am dat seama de cele mai multe și am putut răspunde la ultimele mele întrebări când am luat recent cursul CWAP cu Peter Mackenzie (@Mackenziewifi). Deci, aici este o privire la spotting securitate în uz pe un SSID.
în mod normal, informațiile despre securitatea utilizată pe un SSID pot fi găsite în RSN IE (element informațional) al balizelor și al răspunsurilor sondei. RSN standuri pentru Robust Security Network, care cred că a fost introdus cu 802.11 i. acesta a fost Amendamentul care a făcut Wi-Fi alianțe WPA2 security suite o parte oficială a standardului 802.11. Nu veți găsi un RSN IE în WEP sau WPA(1) care rulează SSID, deoarece acestea sunt pre-802.11 i.
pentru a ilustra acest punct, captura de ecran de mai jos prezintă un răspuns al sondei de la un SSID utilizând autentificarea deschisă (stânga) și un SSID utilizând autentificarea WPA2 (dreapta). Puteți vedea RSN IE în răspunsul sondei WPA2 de mai jos, dar nu și în răspunsul sondei de autentificare deschisă (pre-802.11 i).
merită să recapitulăm aici că WPA2 este metoda de autentificare și gestionare a cheilor pentru toate SSID-urile 802.11 i, indiferent dacă utilizează o cheie pre partajată sau EAP (Extensible Authentication Protocol). Adesea, oamenii presupun că WPA2 este doar ceea ce utilizați acasă pe SSID cu o parolă și EAP este altceva. Nu este cazul, WPA2 este utilizat pentru a defini procesul de strângere de mână sigură atât pentru PSK, cât și pentru SSID-ul EAP, de aceea veți vedea în opțiunile Windows pentru WPA2-Personal (PSK) și WPA2-Enterprise (EAP).
deci, presupunând că lucrați cu un SSID WPA2, atunci trebuie să vă uitați la RSN IE (element de informații) fie în balizele pentru SSID, fie în răspunsurile sondei la un client de conectare. Misterul nu se termină aici. Dacă sunteți obișnuiți să vă uitați la 802.11 cadre, atunci veți ști că acestea sunt de fapt o altă limbă! Înțelegerea a ceea ce înseamnă toți acești biți este suficientă pentru a face pe oricine să se încrucișeze. Din fericire, atât Omnipeek, cât și Wireshark fac o treabă destul de bună de a decodifica (traduce) acești biți în informații utile.
captura de ecran de mai jos arată RSN IE a unui răspuns sondă WPA2-PSK. Fără magia software-ului nostru de analiză a protocolului, ar trebui să știm că 00-0f-AC-04 însemna că CCMP era utilizat pentru criptare și că 00-0f-AC-02 însemna că o cheie pre partajată (PSK) era utilizată pentru acreditările de acces. În schimb, Omnipeek în acest caz, pune o notă minunată de mucus verde la sfârșit, spunându-ne Acest lucru (Wireshark face și acest lucru).
în cazul în care cineva a uitat, CCMP este derivatul 802.11 i al AES utilizat pentru criptarea conexiunilor WPA2. Când vedeți CCMP îl puteți citi ca AES.
de asemenea, este util să știm că Protocolul de autentificare extensibil (EAP) este doar un cadru pentru trecerea unui fel de mecanism de autentificare și tastare, nu este un mecanism definit în sine. Implementări precum PEAP sau EAP-TLS sunt mecanisme specifice de autentificare care se bazează pe cadrul EAP pentru a specifica exact modul în care ar trebui să aibă loc un schimb de autentificare.
din anumite motive, EAP a devenit terminologia utilizată pentru accesul la acreditări bazate pe RADIUS pe rețelele 802.11. Cu toate acestea, este de fapt EaP încapsulat în standardul IEEE 802.1 x (sau Dot1X așa cum este cunoscut în mod obișnuit) care este utilizat pentru a asigura SSID-ul nostru „EAP”.
Ok. Ajunge! Mă doare capul. Deci, ce despre EAP SSID lui? Cum verificăm aceste setări în analiza protocolului nostru? Ei bine, există un motiv pentru care m-am aruncat în acea descriere foarte concisă și neplăcută (și probabil ușor greșită) a EAP. Și asta pentru că nu îl veți găsi listat în cadrele voastre!
captura de ecran de mai jos prezintă un răspuns sondă de la un SSID WPA2-EAP. Observați cum Akmp Suite este listat ca 802.1 x, nu EAP? Frustrant nu veți găsi tipul EAP (PEAP, EAP-TLS, etc) enumerate în orice balize sau răspunsuri sondă. Acest lucru se datorează faptului că AP va folosi 802.1 x între client și el însuși. Cadrele EaP încapsulate vor fi apoi trimise pe serverul RADIUS, care decide ce tip EAP să utilizeze. De fapt, atunci când configurați un SSID pentru EAP, nu veți putea specifica un tip EAP de utilizat (…decât dacă utilizați controlerul/punctul de acces și ca server RADIUS).
notă: răspunsul sondei de mai sus arată că SSID-ul acceptă, de asemenea, 802.11 r sau tranziție rapidă (FT), așa cum este cunoscut în standard.
deci, puteți verifica dacă SSID-ul utilizează WPA2-EAP, dar acest lucru nu este suficient dacă încercați să configurați corect clientul pentru a vă conecta. Cum verificăm tipul specific de EAP utilizat? Ei bine, din câte știu, singura modalitate este să încercați să vă conectați la SSID și să urmăriți mesajele EAP (cunoscute sub numele de mesaje EAP Over LAN sau eapol). Captura de ecran de mai jos arată un server RADIUS care solicită unui client (în acest caz un iPhone) să utilizeze EAP-TLS pentru autentificare.
dar pentru a sprijini EAP-TLS, un certificat trebuie încărcat pe client, lucru pe care nu l-am făcut în acest test. Deci, clientul trimite o confirmare negativă (n-Ack) serverului RADIUS în declin EAP-TLS, după cum puteți vedea mai jos. Aceste cadre se întâmplă în ordine, astfel încât să puteți spune că NAk este pentru cererea anterioară EAP-TLS.
din fericire, serverul RADIUS este configurat cu mai multe mecanisme de autentificare, astfel încât acum solicită clientului să utilizeze PEAP.
de data aceasta clientul acceptă PEAP, astfel încât acesta răspunde reiterând utilizarea PEAP și începe procesul de strângere de mână spunând „salut”.
vor exista apoi mai multe mesaje eapol în analiza protocolului dvs., pe măsură ce clientul și serverul RADIUS continuă provocarea și tastarea implicată în tipul EAP utilizat.
toate aceste informații sunt conținute în anteturile 802.11, astfel încât pot fi vizualizate fără a fi nevoie să decriptați nicio captură. Dacă doriți să vă căutați și să aveți un joc în jurul dvs., puteți descărca captura de asociere EAP utilizată pentru aceste capturi de ecran aici.
sper că acest lucru vă ajută să înțelegeți un pic mai mult despre analiza protocolului 802.11 mecanisme de autentificare și se dovedește util atunci când aveți un client care se luptă să se conecteze la un SSID. Ca întotdeauna, vă rugăm să lăsați feedback-ul dvs. de mai jos și conectați-vă cu mine pe Twitter la @Mac_WiFi.
* * mulțumesc lui Keith Miller (@packetologist) pentru corecția minoră și lui Rob Lowe (@roblowe6981) pentru că m-au determinat să încarc fișierul de captură * *