gezocht: netwerktraces in thuissituaties + netwerkgedrag

[timberleek]

Hallo,

Een beetje een onduidelijke titel, maar ik wist niet echt hoe ik het moest verwoorden in 60 tekens.

Voor een onderzoek naar Wi-Fi trackability ben ik op zoek naar netwerk traces in een thuissituatie. Ik ben al volop aan het zoeken in databanken, maar de meeste traces zijn bij conferenties en publieke ruimtes. Dan praat je vaak over grote hoeveelheden apparaten die relatief kort aanwezig zijn.

In mijn geval gaat het juist om een thuissituatie, dus relatief weinig apparaten die langere periodes verbonden zijn. Voor de meeste waarschijnlijk een ver van hun bed show, maar misschien zit er een tweaker tussen die bekend is met dit soort datasets die me ergens op kan wijzen. In principe ben ik op zoek naar tcp dumps of iets vergelijkbaars in een thuisomgeving.


Daarnaast wil ik ook het een en ander zelf gaan simuleren, daarvoor ben ik aan het zoeken naar het netwerkgedrag van verschillende apparaten. Denk aan een smart-tv die elke 10 minuten nieuwe informatie van internet haalt. Is er toevallig een platform dat dat soort dingen uitpluist? Kan er tot nu toe weinig over vinden.

Nogmaals, voor velen waarschijnlijk een "vreemd" onderwerp, maar met een beetje geluk zit er iemand tussen

alvast bedankt
Timberleek

edit: verwacht nu niet dat alle tweakers hun huisnetwerk gaan tracen, ik ben meer op zoek naar bestaande publieke onderzoeksdata en dergelijke

[ Voor 5% gewijzigd door timberleek op 17-06-2017 22:35 ]

[MdBruin]

Wireshark al tegengekomen?

Kan wat je wilt, scant alle pakketjes en je kunt op verschillende manieren filteren.

[timberleek]

Ja wireshark ben ik mee bekend. Ik heb ook al scans lopen bij mijzelf thuis.

Echter ben ik op zoek naar een partij met verschillende traces om het onderzoek breder te maken dan alleen mijn situatie. Deze zelf maken kost enorm veel tijd en moeite. En dan moet ik op zoek naar allerlei verschillende Wi-Fi apparaten om de verschillende aspecten goed mee te kunnen nemen.

Aangezien er veel onderzoek te vinden is waar gebruik wordt gemaakt van traces bij conferenties en dergelijke (die vaak publiek worden gemaakt) hoop ik dat er ook zoiets is van een meer huislijke situatie. Ik ben het alleen nog niet tegen gekomen

[FreshMaker]

Ik ben bang dat je die niet zomaar gaat vinden.
Data als dit is A privacygevoelig, en vooral, zoals je zelf al aangeeft, tijdrovend en soms zelfs kostbaar om te maken.
Dit zijn juist de dingen die 'waarde' hebben, en dat is ook bekend.

[Brahiewahiewa]

met ^^

Ik denk dat als je duidelijk omschrijft waar je naar op zoek bent, dat er best wel expertise beschikbaar is, hier.

Maar je vraag komt nu een beetje over als: "jongens ik wil een grote berg data en ik maak zelf wel uit welke informatie ik daar uit haal". Da's niet alleen privacygevoelig maar ook securitygevoelig. D'r gaan plaintext passwords over die lijn, pptp-verbindingen naar de werkgever, e-mails met informatie die jou niks aan gaat, etc, etc.

Vertel maar welke apparaten je verwacht en welk gedrag in een bepaald scenario. Daar willen mensen ongetwijfeld hun licht over laten schijnen

[timberleek]

Nu je het zegt moet ik daar inderdaad wel een stukje duidelijker in zijn.

Ik ben niet op zoek naar gebruikersdata, maar naar mac headers, ontvangen signaalsterkte en eventueel pakket formaten over een periode van tijd.

Ik wil kunnen zien welk apparaat aanwezig is op welke tijd adhv MAC addressen (deze mogen geanonimiseerd zijn). En de signaalsterkte hoop ik hierbij te kunnen gebruiken om verplaatsing van de client te monitoren.

een pakket als: source MAC, destination MAC, SNR ratio (of iets vergelijkbaars) en evt packet size ben ik meer dan tevreden mee. Het gaat er dan alleen nog om dat het om thuissituaties gaat ivm het soort gebruik (langere periodes van aanwezigheid, relatief weinig apparaten, evt enkele stationaire apparaten).

[The Eagle]

Niet helemaal wat je zoekt misschien, maar ken je https://atlas.ripe.net al?

Verder: thuis tracen vergt wat specifiek spul en kennis, dat hebben en doen weinig mensen.
Heb wel eens een hub met een laptop tussen mijn TV en de rest van het netwerk gezet. Werd toen een klein privacy schandaal met LG

Ik vraag me eerder af wat je doel is. Wat wil je met die traces, en welke data heb je dus nodig?

[Mr_gadget]

Je wilt mensen kunnen tracken door het huis aan de hand van de wifi sterkte als ik het goed begrijp?
Denk dat je daar het zelf het makkelijkst een test setup voor bouwt. SNR lijkt me niet standaard in een packet zitten?

[dion_b]

WiFi packet traces? Dat gaat inderdaad een leuke uitdaging worden, aangezien de meeste consumentenhard- en software die dingen niet zonder meer kunnen maken, en de meeste huishoudens geen AirPcap hebben liggen of een enterprise-grade AP die packet capturefunctionaliteit heeft.

Uitzondering zijn MacBooks met MacOS erop, daar kun je wel simpelweg Wireshark in promiscuous mode zetten en alles eromheem cappen - maar huishoudens met recente MacBooks zijn niet doorsneehuishoudens, dus alleen al daarom krijg je een vertekend beeld.

Komt bij: als je al iets kant-en-klaars vindt, zal het vrijwel zeker uit de VS komen en/of een paar jaar oud zijn. Gezien hoe snel dit ecosysteem verandert (toename aantal maar vooral ook soorten apparaten) en hoe groot de verschillen tussen landen kunnen zijn (zeker tussen US en EU, met verschillende regulatory domains) gaat het waarschijnlijk niet relevant zijn voor hier en nu.

Lang verhaal kort maken: als je dit wilt ga je het zelf moeten doen, en dat gaat een enorme uitdaging zijn, niet in laatste plaats omdat je het met vrijwilligers zult moeten doen, maar het soort persoon wat bereid is daaraan mee te werken zal absoluut niet representatief zijn voor Jan-met -de-Pet.

[gekkie]

dion_b schreef op zondag 18 juni 2017 @ 11:20:
WiFi packet traces? Dat gaat inderdaad een leuke uitdaging worden, aangezien de meeste consumentenhard- en software die dingen niet zonder meer kunnen maken, en de meeste huishoudens geen AirPcap hebben liggen of een enterprise-grade AP die packet capturefunctionaliteit heeft.

Uitzondering zijn MacBooks met MacOS erop, daar kun je wel simpelweg Wireshark in promiscuous mode zetten en alles eromheem cappen - maar huishoudens met recente MacBooks zijn niet doorsneehuishoudens, dus alleen al daarom krijg je een vertekend beeld.

Errrhmm elke router / laptop waarbij je de wifi-module in monitoring mode kunt zetten ?
Kan zelfs terwijl het gewoon z'n oorspronkelijke functie blijft behouden.
(en dat kan bijvb prima bij de gemiddelde intel, ra-link, atheros etc., alleen module/driver van bijvb de rpi schijnt wat lastiger te zijn al waren ze daar geloof ik ook mee bezig.)

Mr_gadget schreef op zondag 18 juni 2017 @ 11:18:
Je wilt mensen kunnen tracken door het huis aan de hand van de wifi sterkte als ik het goed begrijp?
Denk dat je daar het zelf het makkelijkst een test setup voor bouwt. SNR lijkt me niet standaard in een packet zitten?

SNR hangt er gewoon aan (lastige is hooguit dat het geen absolute maatstaf is)

[ Voor 20% gewijzigd door gekkie op 18-06-2017 11:30 ]

[dion_b]

gekkie schreef op zondag 18 juni 2017 @ 11:28:
[...]

Errrhmm elke router / laptop waarbij je de wifi-module in monitoring mode kunt zetten ?
Kan zelfs terwijl het gewoon z'n oorspronkelijke functie blijft behouden.
(en dat kan bijvb prima bij de gemiddelde intel, ra-link, atheros etc., alleen module/driver van bijvb de rpi schijnt wat lastiger te zijn al waren ze daar geloof ik ook mee bezig.)

Nope. Monitoring mode != promiscuous mode, zonder werkende promiscuous mode geeft het je alleen de pakketten van en naar dat ene apparaat, niet alle andere apparaten in de lucht. Onder Linux heb je meer devices waar het mee lukt dan onder Windows, maar dan nog moet je de hardware er redelijk specifiek op uitzoeken, wat het a) moeilijk maakt en b) wederom een flinke voor-selectie maakt van mensen die geen Jan-met-de-Pet zijn.

Oh, en natuurlijk de uitdaging dat je in een MiMo-omgeving alle physical streams moet kunnen pakken, en 3x3 clients met promiscuous mode support zijn nog schaarser (MacBook Pro), laat staan 4x4.

Als ik dit zou moeten doen zou ik kijken naar goedkoopste AP's die ingeboude packet capture hebben en op afstand te beheren zijn, en die bij vrijwilligers hangen voor enige tijd. Als 2x2 MiMo voldoet zou je kunnen kijken naar de Aerohive AP122, die kost iets van EUR 275/stuk (wat in enterprise class spotgoedkoop is). Daar op afstand capture op draaien en opslaan.

Zorg wel dat je de boel goed pseudonymiseert, dus de persoonsgegevens zodanig aanpast dat je wel kunt zien wanneer een bepaald apparaat twee keer voorkomt maar bij bewerking niet kunt herleiden tot een specifieke vrijwilliger.

[timberleek]

The Eagle schreef op zondag 18 juni 2017 @ 11:13:
Niet helemaal wat je zoekt misschien, maar ken je https://atlas.ripe.net al?

Dat is zo te zien meer het verkeer op het wereldwijde web, ik ben specifiek op zoek naar Wi-Fi data.

Verder: thuis tracen vergt wat specifiek spul en kennis, dat hebben en doen weinig mensen.
Heb wel eens een hub met een laptop tussen mijn TV en de rest van het netwerk gezet. Werd toen een klein privacy schandaal met LG

Ik vraag me eerder af wat je doel is. Wat wil je met die traces, en welke data heb je dus nodig?

Klopt ik vermoed ook dat ik het zelf moet gaan maken, maar mocht ik dit soort onderzoeksdata kunnen vinden scheelt het gigantisch veel tijd.

Grof gezegd gaat het over een onderzoek naar de traceerbaarheid van Wi-Fi apparatuur en daarmee de mensen zelf. Hiervoor wil ik een aantal oplossingen gaan simuleren, maar dan moet ik eerst datasets hebben of vanaf te werken. Hoe meer waarheidsgetrouw hoe beter.

Aangezien ik wel traces kan krijgen van publieke plekken en conferenties hoopte ik dat er ergens nog een verdwaald onderzoek zou zijn over huissituaties. Kon ze zelf al niet vinden, maar zo te zien bestaat het ook niet echt in publieke repositories.

Mr_gadget schreef op zondag 18 juni 2017 @ 11:18:
Je wilt mensen kunnen tracken door het huis aan de hand van de wifi sterkte als ik het goed begrijp?
Denk dat je daar het zelf het makkelijkst een test setup voor bouwt. SNR lijkt me niet standaard in een packet zitten?

Ik wil in principe een aantal methodes om trackbaarheid te verminderen onderzoeken op effect en haalbaarheid. De SNR kan ook gebruikt worden om apparaten te tracken voor systemen die bijvoorbeeld random of versleutelde mac addressen gebruiken.

dion_b schreef op zondag 18 juni 2017 @ 12:58:
[...]
Als ik dit zou moeten doen zou ik kijken naar goedkoopste AP's die ingeboude packet capture hebben en op afstand te beheren zijn, en die bij vrijwilligers hangen voor enige tijd. Als 2x2 MiMo voldoet zou je kunnen kijken naar de Aerohive AP122, die kost iets van EUR 275/stuk (wat in enterprise class spotgoedkoop is). Daar op afstand capture op draaien en opslaan.

Dergelijke budgetten heb ik helaas niet om stuk te slaan. Maar een van de systemen die ik nu gebruik (pi met een aantal ralink adapters) werkt tot op heden ook (alleen in een onbruikbare woonomgeving voor mijn nieuwe doel). Maar de crux zit hem in de huishoudens verkrijgen. Er zijn hele strikte regels rondom random gekozen proefpersonen, meten rondom kinderen etc.

Zorg wel dat je de boel goed pseudonymiseert, dus de persoonsgegevens zodanig aanpast dat je wel kunt zien wanneer een bepaald apparaat twee keer voorkomt maar bij bewerking niet kunt herleiden tot een specifieke vrijwilliger.

Dat gebeurt sowieso. Daadwerkelijke adressen zijn ook niet relevant, een pseudoniem is prima.


ps:
Maar zo te zien bestaan dit soort datasets dus niet echt in zo'n omgeving. Hier was ik al bang voor. Dan zal ik zelf aan de slag moeten.


Wel iemand ideeën over het "gedrag" van allerlei apparaten? Is waarschijnlijk een vreemd iets om te onderzoeken, maar misschien is er iemand zo gek geweest.
Wat voor verkeer zie je bij verschillende actieve smart tv's? En wat als hij standby staat?
Hoe vaak zie je berichten van een standby staande netwerkprinter?
Hoe gedraagt android en ios zich op de achtergrond?

Ik snap dat dit allemaal gigantisch breed is. Maar wat voorbeelden kunnen al flink helpen.

[ Voor 9% gewijzigd door timberleek op 18-06-2017 15:47 ]

[gekkie]

dion_b schreef op zondag 18 juni 2017 @ 12:58:
[...]
Nope. Monitoring mode != promiscuous mode, zonder werkende promiscuous mode geeft het je alleen de pakketten van en naar dat ene apparaat, niet alle andere apparaten in de lucht. Onder Linux heb je meer devices waar het mee lukt dan onder Windows, maar dan nog moet je de hardware er redelijk specifiek op uitzoeken, wat het a) moeilijk maakt en b) wederom een flinke voor-selectie maakt van mensen die geen Jan-met-de-Pet zijn.

Oh, en natuurlijk de uitdaging dat je in een MiMo-omgeving alle physical streams moet kunnen pakken, en 3x3 clients met promiscuous mode support zijn nog schaarser (MacBook Pro), laat staan 4x4.

Als het goed is laat je wlan devices alle wlan gerelateerde frames niet door als je geen gebruik maakt van monitoring mode. En ik snap nog steeds niet waarom je denkt dat de hardware zo moeilijk is.
Een willekeurige tp-link router (over het algemeen atheros wlan chipset) met openwrt/lede en je bent good to go.

[Frogmen]

Ik denk dat als je met een concrete onderzoeksvraag komt met de benodigde software dat er misschien best mensen zijn die een week thuis willen tracen (de data die jij wilt) maar dan moet je het wel compleet aanbieden met een duidelijke beschrijving van hoe en wat. Nu is het allemaal wel erg vaag en dat wekt weinig tot geen vertrouwen voor het delen van potentieel gevoelige data.

[timberleek]

Hallo

Het heeft een tijdje stilgelegen in afwachting van een ander deel van het onderzoek, maar de situatie is als volgt:

Het onderzoek gaat over de mogelijkheden voor inbrekers om aanwezigheid te traceren in huizen. Hiervoor onderzoeken/testen we verschillende oplossingen (oa aanpassingen aan het 802.11 protocol, mac randomization en dergelijke). Om deze aanpassingen te testen wil ik thuisnetwerken simuleren.

Datasets uit daadwerkelijke huizen halen kost zeer veel tijd en een hoop apparatuur. In plaats daarvan wil ik traces van afzonderlijke apparaten gaan verzamelen om daarmee gemakkelijk diverse verschillende thuissituaties te kunnen nabootsen. Dan kan ik bijvoorbeeld een huis samenstellen met Smart TV, netwerkprinter en 2 androidtelefoons, of een laptop en een iphone, of ....

Hiervoor had ik het volgende idee opgevat om dus traces van verschillende apparaten onder verschillende omstandigheden te verzamelen.

code:

Smart tv:
 - verkeer tijdens standby staan (eventuele updates of periodieke serververbindingen)
 - verkeer tijdens normaal tv kijken
 - verkeer tijdens netflixen oid
 - ?

Netwerkprinter
 - verkeer tijdens standby staan (eventuele updates of periodieke serververbindingen)
 - verkeer tijdens een printactie
 - ???

Andere zelfstandige apparatuur?

En dan natuurlijk:
telefoons (android, ios etc)
laptops (windows, mac etc)
tablets
Allemaal gedurende standby en actieve situaties.

Van elk apparaat zou ik dan op zoek zijn naar datatraces (tcpdump/pcap etc) met oa:

code:

MAC adres of andere identifier (mag natuurlijk anoniem)
Timestamp
signaalsterkte (rssi, snr mag allemaal, gaat om een indicatie)
pakkettype
pakketgrootte.

Daadwerkelijke data hoef niet (wil ik niet eens  :+ )

Dan zit ik alleen nog met de data scheiding tussen situaties. Dit kan in verschillende traces of met een aparte log. bijvoorbeeld:

code:

Aparte traces:
trace van smart tv in standby gedurende een uur
trace van smart tv gedurende netflix kijken
trace van smart tv gedurende gewoon tv kijken
trace van smart tv gedurende ?

1 trace met log:
Apparaat standby van tijd: a tot b, c tot d en e-f
netflix kijken van tijd b tot c
tv kijken van tijd c tot d

************************************************************************

Dat is wat ik tot zo ver in mij hoofd heb. Hebben jullie hier nog andere ideeën over? Of aanvullingen?
En dan natuurlijk de hamvraag. Hebben jullie ideeën hoe ik dit zou kunnen uitvoeren op kort termijn (enkele weken max helaas)?

Uiteindelijk zou ik dan verschillende scenario's zoeken van verschillende types smart tv's, printers en andere apparatuur.

ben benieuwd naar jullie ideeën

alvast bedankt
timberleek

[Frogmen]

Voor de Mac heb je Debookee die is in staat al het wifi verkeer te analyseren. Erg grappig want je ziet ook alle devices etc.. Je ziet hiermee natuurlijk niet het de inhoud van het verkeer.
Je zou ook eens binnen dit onderzoek contact kunnen opnemen met Mapiq die doen van alles hiermee op zakelijk gebied maar kunnen je vast ook op weg helpen.