इस पोस्ट में मैं एक शानदार सरल हमले की कहानी साझा करना चाहता हूं जो मैंने पिछले साल देखी थी, और परिणामों पर चर्चा की। हैकर्स के लिए "मांस" नहीं होगा, लेकिन यह होगा:
- संग्रह में एक शिक्षाप्रद कहानी "उपयोगकर्ताओं के साथ बातचीत के लिए" प्रशासकों और सुरक्षा गार्डों के लिए।
- वायरलेस नेटवर्क में आपको न केवल LAN को WLAN से बचाने की आवश्यकता है, और तथाकथित क्यों वायरलेस फ़ायरवॉल
- ऐसी समस्याओं से बचने के लिए सार्वजनिक वाई-फाई नेटवर्क बनाने के बारे में सिफारिशें।
- क्यों होटल और अन्य सार्वजनिक नेटवर्क में भी एक अनएन्क्रिप्टेड कैप्टिव पोर्टल PSK के साथ एन्क्रिप्शन के लिए बेहतर हो सकता है।
सिद्धांत रूप में, कॉर्पोरेट नेटवर्क के लिए सब कुछ प्रासंगिक है, लेकिन उनके लिए मैंने पहले ही
लिखा था । और फिर एक
पड़ोसी पोस्ट ने मुझे समस्या को थोड़ा अलग कोण से देखा।
सबसे पहले, मैं तत्काल WIPS और RTLS के साथ कूल वाई-फाई चलाने या खरीदने का आग्रह नहीं करता हूं। प्रत्येक स्थिति की अपनी बारीकियां और प्राथमिकताएं होंगी: कोई व्यक्ति उपयोगकर्ता समझौते के पीछे छिप जाएगा, किसी को उपयोगकर्ताओं की परवाह नहीं है, कुछ देशों में कोई दायित्व नहीं है, कहीं आंशिक उपाय पर्याप्त हैं, किसी और के पास कुछ बारीकियां हैं। मैं वर्णन करता हूं - हर कोई अपने लिए चुनता है।प्रागितिहास
कहानी मेरे सहयोगी के साथ उस होटल में हुई जहाँ हम रुके थे। मैं सिर्फ इसलिए वितरण के दायरे में नहीं आया क्योंकि इस समय तक मैं होटल WLAN से नहीं जुड़ा था। होटल अपने सभी मेहमानों को मुफ्त में वाई-फाई प्रदान करता है। नेटवर्क पासवर्ड से सुरक्षित है, PSK कागज के एक टुकड़े पर जारी किया जाता है और हर कुछ महीनों में बदल जाता है।
कहानी
एक सहयोगी लैपटॉप को नेटवर्क से जोड़ता है, फ़ायरफ़ॉक्स खोलता है, कुछ प्रसिद्ध साइट का पता लिखता है। साइट के बजाय, होटल की साइट के शीर्षक के साथ एक सुंदर पृष्ठ दिखाई देता है और “आपका ब्राउज़र उस साइट के साथ संगत नहीं है जिसे आप खोलने की कोशिश कर रहे हैं।
यहां से पैच इंस्टॉल
करें । ” एक सहकर्मी प्रभावित होता है, Chrome - एक ही पृष्ठ लॉन्च करता है। एंड्रॉइड नेटवर्क और आईपॉड टच से कनेक्ट करना एक समान है। इस स्थिति में, "पैच" हमेशा समान होता है :) "पैच" डाउनलोड करें - एंटीवायरस काफी अपेक्षित रूप से शपथ लेता है (हमें 3 अलग-अलग प्रकार के मैलवेयर मिले)।
सामान्य तौर पर, भूखंड स्पष्ट है - फ़िशिंग द्वारा फैलने
वाला एक अल्बानियाई वायरस और नेटवर्क पर एक छोटा हैक। वायरस अपने आप में रुचि का नहीं है - यह समझने की रुचि है कि यह सब कैसे काम करता है ताकि अभी भी "पैच" के बिना इंटरनेट तक पहुंच हो।
छँट गया
कुछ सरल अनुसंधान (ipconfig / पिंग स्तर पर) के माध्यम से, यह पता चला कि साइटों को आईपी द्वारा पहुँचा जा सकता है। तो समस्या DNS में है। DNS 8.8.8.8 पंजीकृत होने के बाद, हमें पूरी तरह से कार्यशील इंटरनेट मिला। अब आप यह पता लगा सकते हैं कि हमला कैसे काम करता है।
निम्नलिखित पता चला था:
- WLAN में एक और डीएचसीपी सर्वर (दुष्ट डीएचसीपी) बैठा, जिसने सही आईपी / मास्क / जीडब्ल्यू जारी किया, लेकिन सही प्रदाता के बजाय अपना स्वयं का DNS सर्वर दिया।
- एक ही होस्ट पर, एक ही DNS सर्वर उठाया गया था, जिसने सभी नामों को एक ही आईपी (जो, "परिस्थितियों के एक अविश्वसनीय संयोग के लिए" DNS सर्वर के आईपी के साथ मेल खाता है) को हल किया।
- उसी आईपी पर, एक वेब सर्वर उठाया गया था, जिसने वास्तव में, पृष्ठ दिखाया और फ़ाइल दी।
जैसा कि आप देख सकते हैं, सब कुछ बहुत सरल है और कार्यान्वयन के लिए विशेष कौशल की आवश्यकता नहीं है।
प्रश्न: कितने "सामान्य लोग" इसका नेतृत्व करेंगे?इसके अलावा, यह अजीब है कि हमलावर ने खुद को "पैच" तक सीमित कर लिया और GMail / Bing / Facebook, आदि के मुख्य पृष्ठ नहीं बनाए। - HTTPS के साथ भी खाते जमा करना संभव होगा: कितने लोग टेढ़े-मेढ़े प्रमाणपत्रों पर ध्यान देते हैं या फिर उन्हें केवल HTTPS से HTTP पर रीडायरेक्ट किया गया है? हालांकि, अगर मशीन पर तीन ट्रोजन होते हैं, तो वे पहले से ही सब कुछ इकट्ठा करते हैं ...
निष्कर्ष और समाधान
किसी भी एक्सेस नेटवर्क का निर्माण करते समय, न केवल इस नेटवर्क और वायर्ड इन्फ्रास्ट्रक्चर को उपयोगकर्ताओं की "अत्यधिक रुचि" से बचाने के लिए महत्वपूर्ण है, बल्कि कुछ उपयोगकर्ताओं को अन्य लोगों से बचाने के लिए, कम सभ्य भी है। यह कॉर्पोरेट (निजी) नेटवर्क, और सार्वजनिक नेटवर्क (हॉटस्पॉट, होटल, कैफे-बार-रेस्तरां, आदि) के लिए सच है। यह याद रखने योग्य है कि "वायरलेस सुरक्षा" केवल एन्क्रिप्शन नहीं है: पहचान, प्रमाणीकरण, यातायात पृथक्करण और बहुत कुछ मौजूद होना चाहिए। ऊपर वर्णित हमला केवल विशुद्ध रूप से वायरलेस हमला नहीं है जिसे वायर्ड सेगमेंट में कोई फ़ायरवॉल या आईपीएस पता नहीं लगा सकता है। ऐसी समस्या को रोकने के लिए क्या करना चाहिए?
सबसे सरल समाधान उपयोगकर्ताओं के बीच संचार को प्रतिबंधित करना है। आमतौर पर, यह WLAN सेटिंग्स ("एमयू-टू-एमयू संचार अक्षम करें", सिस्को पीएसपीएफ और एनालॉग्स) में एक एकल चेकमार्क को चालू / बंद करके किया जाता है। हालांकि, हॉटस्पॉट के उपयोगकर्ता हमेशा इसे पसंद नहीं करते हैं और नेटवर्क (गेमिंग पार्टियों, VoLLAN कॉर्पोरेट कंपनियों, आदि में) का उपयोग करने के लक्ष्यों के लिए काउंटर चला सकते हैं। हालांकि - अगर यह विरोधाभास नहीं करता है - जैसा कि पहले ही कहा जा चुका है, तो बस इतना करना आसान है, और इस आइटम को "उपयोग की शर्तों" में लिखें।
सबसे अच्छा तरीका है कि वायरलेस नेटवर्क पर डीएचसीपी, डीएनएस और (प्रति कंपनी) और एआरपी प्रतिक्रियाओं को प्रतिबंधित किया जाए। ऐसा करने के लिए, आपको सीधे पहुंच बिंदु पर फ़ायरवॉल की आवश्यकता होती है, WLAN-to-WLAN ट्रैफ़िक को फ़िल्टर करने में सक्षम (समय-समय पर इसे पारंपरिक फ़ायरफ़ॉक्स से पारंपरिक एफडब्ल्यू से अंतर पर जोर देने के लिए वायरलेस फ़ायरवॉल कहा जाता है)। मेरे लिए एक समय पर यह बहुत आश्चर्य की बात थी कि कुछ प्रख्यात विक्रेताओं को यह नहीं पता कि यह कैसे करना है (आज तक)।
DNS और डीएचसीपी प्रतिक्रियाओं को केवल वायर्ड मेजबानों से अनुमति दी जाती है। ग्राहकों से ARP प्रतिक्रियाओं की बिल्कुल भी ज़रूरत नहीं है - बिंदु अभी भी ग्राहकों के सभी मैक पते (एसोसिएशन के दौरान) जानता है और प्रॉक्सी ARP के माध्यम से अनुरोधों का जवाब देने में सक्षम होगा, ताकि नेटवर्क पर सहज ट्रैफ़िक की मात्रा भी कम हो जाए।
इस तरह, हम डीएचसीपी / डीएनएस / एआरपी-स्पूफिंग, बदमाश डीएचसीपी / डीएनएस, एपीआर विषाक्तता, एमआईटीएम हमलों से जुड़े (और, शायद, बहुत अधिक - टिप्पणियों में पूरक) से छुटकारा पा लेते हैं।
अब, दूसरे पहलू पर ध्यान देते हैं। इसलिए मैंने नेटवर्क पर एक नकली सर्वर की खोज की। मैं इसे मैक द्वारा ब्लॉक कर सकता हूं। लेकिन अगर हमलावर मूर्ख नहीं है और समय-समय पर अपने मूसट्रैप की गतिविधि की जांच करता है, तो वह यह नोटिस करेगा, मैक को बदल देगा, और सब कुछ जारी रहेगा। इसके अलावा, PSK को जानते हुए, एक हमलावर नेटवर्क तक पैकेट को एक्सेस पॉइंट्स से कनेक्ट किए बिना भी उपयोगकर्ताओं को भेज सकता है, और यहां तक कि WPA2 के साथ भी। ऐसा करने के लिए, बहुत कठिन प्रयास करें, क्योंकि WPA / WPA2 में, WEP की तुलना में कुंजी वितरण अधिक जटिल है,
लेकिन यह संभव है । विरोधी से छुटकारा पाने का एकमात्र तरीका पीएसके को बदलना है। और फिर इसे सभी ग्राहकों के लिए बदल दें! हां, और यह, हालांकि यह हमले को दोहराता है, आपको हमलावर को खोजने और दंडित करने की अनुमति नहीं देगा (यदि आप स्थिति का उपयोग नहीं करते हैं)। और हम खुले हॉटस्पॉट के बारे में क्या कह सकते हैं?
इस प्रकार, सार्वजनिक नेटवर्क में, भले ही वे PSK द्वारा संरक्षित हों, हमारे होटल के नेटवर्क की तरह, एक हमलावर लगभग हमेशा अप्रकाशित रहता है।
एक और बात कैप्टिव पोर्टल का उपयोग करना है (केवल इसे बुद्धिमानी से उपयोग करें) या 802.1x (एक ही समय में यह ट्रैफ़िक इंजेक्शन की समस्या को हल करता है, लेकिन सार्वजनिक नेटवर्क पर, 802.1x का उपयोग करना थोड़ा जटिल है)। प्रत्येक उपयोगकर्ता को एक व्यक्तिगत नाम और पासवर्ड प्राप्त होता है, जिसमें एक मैक पता लॉगिन से जुड़ा होता है, खाता सीमित समय के लिए काम करता है (होटल सिस्टम में, स्वचालन चेक-इन / आउट स्टेटमेंट से जुड़ा होने के लिए बनाया गया है)। इस प्रकार, हम हमेशा गणना कर सकते हैं कि कौन इसके साथ खेल रहा है, या कम से कम जिनके माध्यम से पहचान डेटा का रिसाव हुआ है।
इन दोनों बारीकियों को स्थानांतरित करने की जिम्मेदारी के रूप में इस तरह के एक खतरनाक और रोमांचक खेल में बेहद महत्वपूर्ण हैं। यदि आपके उपयोगकर्ता अनुबंध में अस्वीकरण नहीं है (और आप हमेशा ऐसा नहीं कर सकते हैं, इसके अलावा, आपको यह सुनिश्चित करने की आवश्यकता है कि उपयोगकर्ता नेटवर्क तक नहीं पहुंच सकता है और संसाधन का उपयोग करने के लिए नियमों से असहमत है), यदि हैक्स, पोर्न, जातिवाद / हिंसा वगैरह का प्रचार, और अगर आपको चरम नहीं मिल रहा है - तो चरम आपको नियुक्त करेगा। यही कारण है कि, यूरोप में हॉटस्पॉट्स पर बड़े पैमाने पर फ़िशिंग के परिणामस्वरूप, उन्होंने विधायी स्तर पर प्रत्येक उपयोगकर्ता की अनिवार्य पहचान की शुरुआत की (सबसे अधिक बार, आपको मोबाइल नंबर दर्ज करने की आवश्यकता होती है जिसमें एसएमएस एक व्यक्तिगत एक्सेस कोड के साथ आता है)। यह स्पष्ट है कि कोई भी इससे छिपा सकता है, लेकिन इस तरह से हॉटस्पॉट प्रदाता सिम कार्ड प्रदाता को जिम्मेदारी हस्तांतरित करता है। प्रमाणीकरण के उपयोग के बिना भी, कैप्टिव पोर्टल, "संसाधन का उपयोग करने के लिए नियम" के साथ एक स्प्लैश स्क्रीन दिखाने के लिए एक्सेस देने से पहले और उपयोगकर्ता को "मैं शर्तों को स्वीकार" चेकबॉक्स पर क्लिक करने के लिए मजबूर कर सकता हूं, जो कई मामलों में पहले से ही कानूनी दृष्टिकोण से पर्याप्त है (और उपयोगकर्ता को इनकार नहीं किया जाएगा) समझौते को नहीं देखा)। इसलिए, कभी-कभी कैप्टिव पोर्टल वाला एक खुला नेटवर्क PSK के साथ बंद नेटवर्क की तुलना में सुरक्षित हो सकता है - अपने मालिकों के लिए :)
एक विकल्प के रूप में, कुछ विक्रेताओं (एरोहिव, रकस) "व्यक्तिगत पीएसके" की गैर-मानक तकनीक को लागू करते हैं, जहां प्रत्येक ग्राहक को एक अनूठी कुंजी दी जाती है। इस तरह, रिसाव के मामले में उपयोगकर्ता की पहचान और PSK के बड़े पैमाने पर परिवर्तन की समस्याएं भी हल हो जाती हैं। हालांकि, सीआईएस देशों में उनकी उपलब्धता बहुत सीमित है, और कभी-कभी संगतता समस्याएं देखी जाती हैं।
निष्कर्ष
वायरलेस नेटवर्क में, वायरलेस उपयोगकर्ताओं को पूरी तरह से वायरलेस हमलों से बचाना उतना ही महत्वपूर्ण है जितना कि वायर्ड सेगमेंट की सुरक्षा करना। काफी सरल तकनीकी साधनों का उपयोग करते हुए, आप एक औद्योगिक पैमाने और अन्य हमलों पर फ़िशिंग सेट कर सकते हैं - और एक भी वायर्ड फ़ायरवॉल / आईपीएस मदद नहीं करेगा।
अन्य वायरलेस उपयोगकर्ताओं के लिए वायरलेस उपयोगकर्ताओं की पहुंच को सीमित करने के लिए तकनीकी उपाय हैं:
- उन दोनों के बीच संचार पर प्रतिबंध (लगभग सभी निर्माताओं द्वारा समर्थित, लेकिन नेटवर्क पर हमेशा स्वीकार्य नहीं)
- वायरलेस उपयोगकर्ताओं को महत्वपूर्ण नेटवर्क सेवाओं के जवाब भेजने से रोकें: डीएचसीपी, डीएनएस, एआरपी (बहुत बेहतर, लेकिन सभी द्वारा समर्थित नहीं और अधिक जटिल हमलों से नहीं बचा सकता है)
- कैप्टिव पोर्टल / 802.1x / PPSK का उपयोग करने से आप उपयोगकर्ता डेटा के हमले या रिसाव के स्रोतों की पहचान कर सकते हैं
- विशिष्ट वायरलेस IPS अन्य हमलों के पीछे छिपाने में मदद करता है
- पोजिशनिंग सिस्टम (RTLS) आपको स्रोत के अनुमानित भौतिक स्थान को निर्धारित करने की अनुमति देता है
उपरोक्त सभी किसी भी नेटवर्क के लिए प्रासंगिक है (किसी ने भी इनसाइडर हैक को रद्द नहीं किया है), लेकिन यह सार्वजनिक नेटवर्क (हॉटस्पॉट्स, होटल, काबे, आदि) के लिए विशेष रूप से महत्वपूर्ण है।
- मुवक्किल के लिए आकर्षण: "उन्होंने मुझे / दोस्त को वहां हैक किया - मैं अब वहां नहीं जाता", आदि।
- संगठनात्मक मुद्दे: आप समस्या को जल्दी हल कर सकते हैं और अपराधी को ढूंढ सकते हैं; शायद उनके कर्मचारियों में से एक ने "अतिरिक्त पैसे कमाने" का फैसला किया, आदि।
- कानूनी सवाल: यदि आप दबाए गए हैं तो आप जिम्मेदारी को स्थानांतरित कर सकते हैं।
मुझे उम्मीद है कि यह दिलचस्प था।