Voordoen als een ander accesspoint

[bonzz.netninja]

Ik heb een vraag over de werking van accesspoints. Na het lezen van dit (goede) artikel op de correspondent over de risico's van openbare netwerken was mij opeens niet meer helder hoe het nou werkt.

Wat gebeurd er als ik mijn accesspoint dezelfde naam geef als de buren én een krachtiger signaal uitzend zodat ik hun signaal weg blaas? Gaan de buren dan proberen op mijn accesspoint te connecten automatisch? Is dat automatisch verbinden met bekende netwerken zo dom dat dit alleen werkt op basis van ssid?

Ik snap dat ze niet zullen kunnen connecten omdat de credentials van de buren niet zal kloppen (die ken ik immers niet en zal ik niet kunnen instellen) maar ik vind het moeilijk te geloven dat automatisch verbinden alleen werkt op basis van ssid naam en niet bijv. ook op het mac adres van het accesspoint.

Ik heb goede hoop dat het antwoord snel hier naar voren komt

[Koffie]

Er word niet gecontroleerd op MAC adres. Er word idd simpelweg verbonden met een AP die dat SSID uitzend .

[CyBeR]

Koffie schreef op vrijdag 21 maart 2014 @ 08:56:
Er word niet gecontroleerd op MAC adres. Er word idd simpelweg verbonden met een AP die dat SSID uitzend .

En al werd dat wel gedaan, dan was dat zo geregeld aangezien BSSID's nou ook weer niet bepaald geheim zijn.

(Plus dat dat niet zou werken bij grotere netwerken met meerdere AP's.)

[slow whoop]

Zou het dan niet mogelijk zijn om te loggen wie er probeert in te loggen op jouw access point, en met welk wachtwoord? Dat zou een mooie manier zijn om het wachtwoord van je buren te achterhalen...

[CyBeR]

Aangezien wachtwoorden niet plaintext verstuurd worden, niet zomaar.

[dezejongeman]

slow whoop schreef op vrijdag 21 maart 2014 @ 09:15:
Zou het dan niet mogelijk zijn om te loggen wie er probeert in te loggen op jouw access point, en met welk wachtwoord? Dat zou een mooie manier zijn om het wachtwoord van je buren te achterhalen...

je kunt op basis van mac adres (mits deze niet gewijzigd wordt) iemand identificeren. met alleen wireshark zou je al een filter kunnen maken die als je je wifi bridged of doorstuurt naar een andere poort dit verkeer kunt loggen. niet de mooiste oplossing maar het kan wel.

binnen een uur kun je iemand die aanmeld met verkeerde credentials wel een aantal keer afvangen. een wachtwoord is er niet snel uit te vissen om de simpele reden dat je niet snel genoeg voldoende aanmeldingen krijgt waar het wachtwoord versleutelt in staat.

misschien heb ik het bij het verkeerde eind maar de vraagstelling van de TS komt op mij een beetje over als 'hoe kan ik mijn buren hacken'. ik wil graag hun gebruikte zodat ik in hum mail, machine enz. kan komen.

[bonzz.netninja]

dezejongeman schreef op vrijdag 21 maart 2014 @ 09:37:
[...]

je kunt op basis van mac adres (mits deze niet gewijzigd wordt) iemand identificeren. met alleen wireshark zou je al een filter kunnen maken die als je je wifi bridged of doorstuurt naar een andere poort dit verkeer kunt loggen. niet de mooiste oplossing maar het kan wel.

binnen een uur kun je iemand die aanmeld met verkeerde credentials wel een aantal keer afvangen. een wachtwoord is er niet snel uit te vissen om de simpele reden dat je niet snel genoeg voldoende aanmeldingen krijgt waar het wachtwoord versleutelt in staat.

misschien heb ik het bij het verkeerde eind maar de vraagstelling van de TS komt op mij een beetje over als 'hoe kan ik mijn buren hacken'. ik wil graag hun gebruikte zodat ik in hum mail, machine enz. kan komen.

De aanleiding van de vraag is, zoals in het topic staat, het artikel. Je hebt het dus bij het verkeerde eind.Sowieso is speculatie over aanleidingen van vragen niet echt van toegevoegde waarde voor het topic.
Dat is bizar. Wat kan ik daar tegen doen? SSID niet meer uitzenden?

[CyBeR]

SSID niet uitzenden is juist minder veilig.

[bonzz.netninja]

Dat snap ik niet, kun je dat uitleggen? Ik zou zeggen dat als je het SSID niet meer uitzend mensen zich ook niet meer kunnen voordoen als jouw accesspoint?

[Freezerator]

Jouw client zend wel uit dat hij probeert te connecten naar SSID xxxx, dus het "kwade" AP hoeft alleen maar automatisch op alles te zeggen van ja dat ben ik en je maakt dus verbinding naar het AP point. Je hebt trouwens AP's waar je dit allemaal mooi mee kan doen, die hiervoor gemaakt zijn.

https://hakshop.myshopify...tions/wifi-pineapple-kits

[sprankel]

Standaard zend de accespoint een broadcast uit dat zegt ik ben SSID vulmaarin
Dit gebeurd om de X seconden

Aan de hand van dat broadcast bericht weet jou wifi welke SSID er binnen bereik is en indien gekend zal hij vervolgens ermee connecteren.

Echter als de accespoint geen broadcast uitzend kan jou device jouw SSID niet meer vinden. Je moet het dus manueel gaan instellen en dan komt de catch, jou device gaat nu een broadcast uitzenden waarin hij vraagt of SSID vulmaarin beschikbaar is en zo ja of hij effe wilt antwoorden.

Het uitzetten van die broadcast op de accespoint heeft dus geen enkel nut.

[bonzz.netninja]

Helder. Dat gaat dus niet werken. Actief filteren op mac adres heeft dan ook geen zin. Dat voorkomt immers alleen dat er onbekende mensen bij mij connecten. Niet dat ik perongeluk connect op het verkeerde wachtwoord.

Wat kan ik doen om te voorkomen dat ik verbind op het verkeerde accesspoint? (of hoe kan ik beter de ware identiteit van een accesspoint achterhalen).

[it0]

Met behulp van certificaten .

[dion_b]

bonzz.netninja schreef op vrijdag 21 maart 2014 @ 10:28:
Helder. Dat gaat dus niet werken. Actief filteren op mac adres heeft dan ook geen zin. Dat voorkomt immers alleen dat er onbekende mensen bij mij connecten. Niet dat ik perongeluk connect op het verkeerde wachtwoord.

Komt bij dat MAC-adres spoofen doodeenvoudig is, des te meer omdat MAC-adressen in de headers staan waardoor een attacker gewoon tijdje hoeft te luisteren om valide MACs op te sporen.

Wat kan ik doen om te voorkomen dat ik verbind op het verkeerde accesspoint? (of hoe kan ik beter de ware identiteit van een accesspoint achterhalen).

Inderdaad, certificaten.

[bonzz.netninja]

Kan ik op mijn laptop instellen dat hij alleen mag verbinden met access point X als er een bepaald certificaat aanwezig is? (en kan ik dat zomaar instellen op een consumenten accesspoint?)

[CyBeR]

Daarvoor heb je WPA(2)-enterprise nodig en een RADIUS-server. En inderdaad een AP wat dat ondersteunt.

[bonzz.netninja]

Nou helder(der). Kort door de bocht heb je dus geen idee waarmee je pc verbinding maakt en is er geen manier om de identiteit van een access point te controleren. je hebt dus geen idee of je thuis verbinding maakt met je eigen access point. Tenzij je investeert in een constructie met certificaten

[ Voor 10% gewijzigd door bonzz.netninja op 21-03-2014 14:03 ]

[hcQd]

Als je de PSK niet weet gaat de authenticatie toch nooit lukken, of zie ik dat verkeerd?

[PerfectPC]

Klopt, gedeeltelijk toch. Je mag er eigenlijk wel vanuit gaan dat als je kan associëren met een AP omdat de SSID en security settings kloppen dat het jouw AP is. Je zou mutual certificate authentication kunnen opzetten via WPA(2)-enterprise, maar technisch gezien ga je dan de authenticiteit van de RADIUS server valideren en niet van het AP...
Ook moet je weten dat je WiFi driver normaliter zal proberen associëren met het beste signaal. Als er dus een (vals) AP is met hetzelfde SSID en verkeerde security settings maar met een betere SNR zal je daarmee proberen associëren, wat niet zal lukken en krijg je geen werkende verbinding.
Maar kan je nu ook even uitleggen wat je eigenlijke bezorgdheid is?

[slow whoop]

Freezerator schreef op vrijdag 21 maart 2014 @ 10:17:
Jouw client zend wel uit dat hij probeert te connecten naar SSID xxxx, dus het "kwade" AP hoeft alleen maar automatisch op alles te zeggen van ja dat ben ik en je maakt dus verbinding naar het AP point. Je hebt trouwens AP's waar je dit allemaal mooi mee kan doen, die hiervoor gemaakt zijn.

https://hakshop.myshopify...tions/wifi-pineapple-kits

Hoe verschilt dit van de situatie waarin je SSID wel gewoon broadcast? Dan kan er toch nog steeds een kwade AP zeggen dat ie dat ook is? En je moet toch nog steeds eerst een wachtwoord invullen voordat je daadwerkelijk verbinding maakt? Een kwade AP weet dat wachtwoord volgens mij niet, en een verbinding maken zal dan dus niet lukken.

sprankel schreef op vrijdag 21 maart 2014 @ 10:19:
Standaard zend de accespoint een broadcast uit dat zegt ik ben SSID vulmaarin
Dit gebeurd om de X seconden

Aan de hand van dat broadcast bericht weet jou wifi welke SSID er binnen bereik is en indien gekend zal hij vervolgens ermee connecteren.

Echter als de accespoint geen broadcast uitzend kan jou device jouw SSID niet meer vinden. Je moet het dus manueel gaan instellen en dan komt de catch, jou device gaat nu een broadcast uitzenden waarin hij vraagt of SSID vulmaarin beschikbaar is en zo ja of hij effe wilt antwoorden.

Het uitzetten van die broadcast op de accespoint heeft dus geen enkel nut.

Mijn device (telefoon) connect automatisch met mijn accespoint, ongeacht of ik het SSID laat broadcasten of niet. Ik geloof niet dat ik daar manueel iets voor heb moeten instellen.

Ik denk dat er een heleboel devices continu een broadcast uitzenden om te vragen of er bekende SSID beschikbaar zijn. Alleen als het AP in de buurt is zal het antwoorden, en kan een ander dat signaal ook oppikken, maar anders toch niet?

[RocketKoen]

slow whoop schreef op vrijdag 21 maart 2014 @ 16:00:
[...]

Hoe verschilt dit van de situatie waarin je SSID wel gewoon broadcast? Dan kan er toch nog steeds een kwade AP zeggen dat ie dat ook is? En je moet toch nog steeds eerst een wachtwoord invullen voordat je daadwerkelijk verbinding maakt? Een kwade AP weet dat wachtwoord volgens mij niet, en een verbinding maken zal dan dus niet lukken.

Een kwaadwillend AP zegt gewoon altijd dat het wachtwoord juist is. Maakt niet uit wat je invult.

[Slurpgeit]

RocketKoen schreef op vrijdag 21 maart 2014 @ 16:14:
[...]

Een kwaadwillend AP zegt gewoon altijd dat het wachtwoord juist is. Maakt niet uit wat je invult.

Dat werkt niet met WPA. Daar wordt het daadwerkelijke wachtwoord nooit verzonden, maar wordt hij tijdens de handshake gebruikt als invoer voor de generatie vandaadwerkelijke encryptiesleutels. Beide kanten moeten dus het wachtwoord "weten" om een succesvolle handshake te kunnen doen.

[Orion84]

Maar je kan met zo'n pineapple wel prachtig bekende hotspots faken waarbij het wifinetwerk an sich niet beveiligd is.

[Slurpgeit]

Ja, maar dat kan al jaren . Het mooie van iPhones in dit geval is dat je niet zomaar een netwerk uit je lijst kan gooien als hij niet in bereik is. Dan moet je echt al je netwerksettings resetten.

Als je een dagje ergens airodump draait zie je vooral bij MAC adressen van iPhones hele waslijsten aan netwerken.

Aan de andere kant heeft Android ook een leuk geintje: als je daar een ActiveSync account op hebt staan waar je ooit van hebt gezegd "controleer het servercertificaat niet", krijg je ook geen melding als de signature van het certificaat opeens anders is.

Met andere woorden, als je dat vinkje ooit hebt aan gezet, en die telefoon zoekt naar open netwerken, dan kan je als aanvaller ook verbindingen over poort 443 onderscheppen om zo toegang te krijgen tot de mailbox (en plaintext credentials, want activesync gebruikt basic authentication).

Daarnaast kan je dit natuurlijk ook gebruiken in combinatie met Apple's recente goto fail (nieuws: OS X en iOS vatbaar voor man-in-the-middle-aanvallen - update), om toegang te krijgen tot álle versleutelde data.

[ Voor 61% gewijzigd door Slurpgeit op 21-03-2014 16:31 ]

[PerfectPC]

Orion84 schreef op vrijdag 21 maart 2014 @ 16:26:
Maar je kan met zo'n pineapple wel prachtig bekende hotspots faken waarbij het wifinetwerk an sich niet beveiligd is.

en met een Cisco WLC (en allicht andere ook) kan je de-association frames versturen naar iedereen.

Kortom: WiFi (met WPA2) is an sich wel veilig in die zin dat je niet zomaar op een verkeerd netwerk zal verbinden of zal afgeluisterd worden, maar je kan het je buren wel knap lastig maken om een betrouwbaar (in uptime) draadloos netwerk uit te bouwen.

Met andere woorden, niet om malen, en als je er mee inzit dat veiligheid en uptime een issue kunnen zijn dan kies je beter voor een bedrade oplossing

[CyBeR]

slow whoop schreef op vrijdag 21 maart 2014 @ 16:00:
[...]

Hoe verschilt dit van de situatie waarin je SSID wel gewoon broadcast? Dan kan er toch nog steeds een kwade AP zeggen dat ie dat ook is?

Het verschil is dat zonder broadcast de client aankondingt waarmee 'ie wil connecten, terwijl dat met broadcast niet hoeft. Dus dan moet je gokken.

[slow whoop]

CyBeR schreef op vrijdag 21 maart 2014 @ 17:02:
[...]


Het verschil is dat zonder broadcast de client aankondingt waarmee 'ie wil connecten, terwijl dat met broadcast niet hoeft. Dus dan moet je gokken.

Mijn telefoon maakt automatisch verbinding met de AP's die in mijn lijstje staan, ongeacht of ze broadcasten of niet. Hoe weet mijn telefoon dan of die AP wel of niet broadcasten? Ik heb daar volgens mij niets voor hoeven instellen.

Mijn telefoon kondigt volgens mij dus altijd aan waarmee ie wil connecten, ongeacht of het AP broadcast of niet.

[Slurpgeit]

slow whoop schreef op vrijdag 21 maart 2014 @ 17:15:
[...]

Mijn telefoon maakt automatisch verbinding met de AP's die in mijn lijstje staan, ongeacht of ze broadcasten of niet. Hoe weet mijn telefoon dan of die AP wel of niet broadcasten? Ik heb daar volgens mij niets voor hoeven instellen.

Mijn telefoon kondigt volgens mij dus altijd aan waarmee ie wil connecten, ongeacht of het AP broadcast of niet.

Klopt, zolang hij geen verbinding heeft stuurt hij "probes" uit met de namen van alle netwerken waar hij naar op zoek is.

[slow whoop]

Slurpgeit schreef op vrijdag 21 maart 2014 @ 17:16:
[...]


Klopt, zolang hij geen verbinding heeft stuurt hij "probes" uit met de namen van alle netwerken waar hij naar op zoek is.

OK, en wat maakt het dan uit of mij AP zijn SSID broadcast of niet?

[Slurpgeit]

Wat mij betreft helemaal niks, je maakt het alleen maar lastiger voor jezelf als je ervoor kiest niet je SSID te broadcasten. Als iemand het echt wil weten is het niet heel moeilijk om er toch nog achter te komen.

En daarnaast, het is nou ook weer niet zo dat een SSID staatsgeheime informatie is..

[Kabouterplop01]

En je kunt je afvragen als je je SSID niet broadcast, waarom je dat niet wil. Heb je iets te verbergen? Ohhh een hidden SSID... ff testen . Het maakt alleen maar nieuwsgierig.

[slow whoop]

Kabouterplop01 schreef op vrijdag 21 maart 2014 @ 17:30:
En je kunt je afvragen als je je SSID niet broadcast, waarom je dat niet wil. Heb je iets te verbergen? Ohhh een hidden SSID... ff testen . Het maakt alleen maar nieuwsgierig.

Die stelling kun je net zo makkelijk omdraaien. Waarom zou je wel je SSID broadcasten?

Ik begrijp nog steeds niet waarom het beter zou zijn om je SSID te broadcasten. Het enige argument dat ik heb gehoord is: "Het is niet veiliger als je je SSID niet broadcast." Dat is misschien zo, maar ik vind dat nog steeds geen argument om wel te broadcasten.

Volgens mij connecten mijn mobiele devices automatisch mijn mijn AP, ongeacht de instellingen van die devices, en ongeacht of mijn AP zijn SSID broadcast of niet.

Als iemand mij kan vertellen waarom het dan toch slimmer is om je SSID te broadcasten, dan houd ik me aanbevolen.

[CyBeR]

http://blogs.technet.com/...ality-wireless-ssids.aspx

slow whoop schreef op vrijdag 21 maart 2014 @ 17:15:
[...]

Mijn telefoon maakt automatisch verbinding met de AP's die in mijn lijstje staan, ongeacht of ze broadcasten of niet. Hoe weet mijn telefoon dan of die AP wel of niet broadcasten? Ik heb daar volgens mij niets voor hoeven instellen.

Ten eerste kan je telefoon dat zien, want bij een broadcast ssid krijgt 'ie beacon frames met een ESSID erin binnnen en anders niet. Dan moet je het netwerk dus handmatig invullen.

Mijn telefoon kondigt volgens mij dus altijd aan waarmee ie wil connecten, ongeacht of het AP broadcast of niet.

Nope.

[ Voor 78% gewijzigd door CyBeR op 22-03-2014 13:55 ]

[temp00]

Koffie schreef op vrijdag 21 maart 2014 @ 08:56:
Er word niet gecontroleerd op MAC adres. Er word idd simpelweg verbonden met een AP die dat SSID uitzend .

Weet je zeker dat dat ook geldt voor bijv. Android devices? Een tijdje geleden heb ik namelijk de router van mn ouders vervangen en de nieuwe router precies dezelfde instellingen gegeven (ssid, lan ip, psk etc.) maar noway dat telefoons en tablets wilde connecten tenzij ik het netwerk in het WiFi menu van de apparaten deed 'vergeten' en alle info opnieuw invoerde. De arp tabellen waren volgens mij ook gewoon leeg van de betreffende androids want ik heb ze verschillende keren opnieuw opgestart toen het connecten in eerste instantie niet lukte.

[Slurpgeit]

CyBeR schreef op zaterdag 22 maart 2014 @ 13:54:
[...]


Nope.

Waar baseer je dat op? Want als je een keertje voor de lol airodump start zie je dat je telefoon netjes voor alle netwerken probes uitstuurt, of ze nu een hidden SSID hebben of niet.

Toegegeven, in de buurt van het AP zal je ze waarschijnlijk niet zien, maar zodra je buiten het bereik komt gaat je telefoon voor alle netwerken die ie kent constant probes verzenden.

[ Voor 24% gewijzigd door Slurpgeit op 24-03-2014 00:15 ]

[CyBeR]

Slurpgeit schreef op zondag 23 maart 2014 @ 23:32:
[...]


Waar baseer je dat op? Want als je een keertje voor de lol airodump start zie je dat je telefoon netjes voor alle netwerken probes uitstuurt, of ze nu een hidden SSID hebben of niet.

Toegegeven, in de buurt van het AP zal je ze waarschijnlijk niet zien, maar zodra je buiten het bereik komt gaat je telefoon voor alle netwerken die ie kent constant probes verzenden.

Ah, wel ik bedoelde natuurlijk 'Nope' voor goede implementaties. Elke malloot kan een slechte implementatie maken die precies dat doet. Wat elke specifieke telefoon doet, geen idee, maar een goed geimplementeerde 802.11 stack hoort dat niet te doen.

[soulrider]

enkele oplossingen hiertegen:
- wifi uitzetten als je het niet nodig hebt?
(waarom zou je dat opzetten als je door 't stad loopt en een goede 3G/4G-verbinding hebt?)

- AP-namen van hotspots waarop je tijdelijk connectie maakt (bv in het station omdat 3G/4G niet of amper werkt), ook terug uit je lijst van voorkeursnetwerken gooien zodra je die niet meer nodig hebt.
Wat je gsm/tablet/notebook niet kent, kan die ook niet adverteren als "is X in de buurt? ik wil connecteren"

- voor thuis: bedraad, of bv een openvpn-server voor de wifi-clients: als je nog wel verbonden bent op 'jouw' AP, maar de vpn-server is plots onbereikbaar zit je niet meer op je eigen netwerk of de server ligt neer.
en dat laatste is dan weer controleerbaar mbv een bedraad aangesloten client.
(en natuurlijk: die vpn is dan ook enkel intern bereikbaar vanop jouw wifi, anders weet je nog niet of je nu toch op je eigen wifi zit of bv op die van de buren en zo toch connectie maakt op de geNAT'te/geforwarde poort van je vpn ...)


maar vele (thuis-)oplossingen zijn ook makkelijk tegen te gaan zodat je alsnog op die rogue-AP terecht komt. (VPN-server die op dezelfde poort/ip luistert en iedereen toelaat te connecteren, ongeacht user/ww of certificaat? ...)

je connecteert enkel als als je een bepaald signaal krijgt?
oké, mbv een SDR stuur ik na een paar keer luisteren net dat signaal dat jij verwacht en voila
of je moet een zekere server vinden op het netwerk?
na X-tal pogingen of als ik meer kennis verkrijg over jouw netwerk, zal mijn namaak netwerk net datzelfde doen.

Je telefoon/pda stuur geen netwerknamen uit, maar ik weet dat je regelmatig in café X of restaurant Y zit en daar via hun wifi werkt? dan zal mijn AP zich als dat AP even bekend maken aan jouw gsm/pda en kijken of die toch connectie maakt. ev. op die locatie zelve door het AP te overpoweren qua zendvermogen.

Zolang het doel de moeite maar waard is, zal er weinig tegen te doen zijn.

[ Voor 51% gewijzigd door soulrider op 24-03-2014 02:53 ]

[kaaas]

Wat ook werkt om het te detecteren.

Maak een niet bestaand netwerk aan met een naam die waarschijnlijk niemand gebruikt.
Op het moment dat die op duikt in je lijst van beschikbare netwerken weet je dat iemand aan het kloten is.