Czy inne osoby korzystające z zaszyfrowanego punktu dostępowego Wi-Fi mogą zobaczyć, co robisz?

Jeśli podłączysz się do otwartego, niezaszyfrowanego punktu dostępu Wi-Fi, wszystko, co robisz, może zostać przechwycone przez inne osoby w zasięgu.

Jeśli połączysz się z zaszyfrowanym punktem, osoby w pobliżu mogą przechwycić to, co robisz, ale nie mogą go odszyfrować. Osoba prowadząca punkt dostępu może jednak przechwycić to, co robisz, prawda?

Co z innymi ludźmi, którzy znają klucz i są połączeni z tym samym punktem? Czy mogą przechwycić transmisje bezprzewodowe i je odszyfrować? A może widzą twoje pakiety za pomocą sniffera pakietów?

— endolit
źródło

Tak, możemy, a ja zostałem nominowany, aby poprosić cię, abyś przestał to robić! : P

— Mark Allen

Przestać sprawdzać moją pocztę?

— endolith

„Izolacja punktu dostępowego - izoluje od siebie wszystkich klientów bezprzewodowych i urządzenia bezprzewodowe w sieci. Urządzenia bezprzewodowe będą mogły komunikować się z bramą, ale nie ze sobą w sieci”. tomatousb.org/settings:wireless

— endolit

przepraszam, próbowałem (i jak zwykle nie udawało mi się) żartować. To ogromny temat - praktycznie jest tak, jak wszystko inne z bezpieczeństwem - nic nie jest idealne, celem jest uczynienie cię trudniejszym celem niż inne dostępne cele.

— Mark Allen

Odpowiedzi:

Tak, z szyfrowaniem WEP jest to bardzo proste. Wszystko jest zaszyfrowane kluczem, który musisz znać, aby uzyskać dostęp do sieci. Wszyscy w sieci mogą dekodować ruch wszystkich innych osób, nawet nie próbując.

W przypadku WPA-PSK i WPA2-PSK jest to trochę trudniejsze, ale niezbyt trudne. WPA-PSK i WPA2-PSK szyfrują wszystko za pomocą kluczy na klienta, na sesję, ale klucze te pochodzą z klucza współdzielonego (PSK; klucz, który musisz wiedzieć, aby uzyskać dostęp do sieci) oraz niektórych wymienianych informacji jasne, kiedy klient dołącza lub ponownie dołącza do sieci. Więc jeśli znasz PSK dla sieci, a Twój sniffer łapie „uzgadnianie 4-kierunkowe”, które inny klient robi z AP podczas dołączania, możesz odszyfrować cały ruch tego klienta. Jeśli nie zdarzyło Ci się przechwycić czterokierunkowego uzgadniania tego klienta, możesz wysłać sfałszowany pakiet de-uwierzytelnienia do klienta docelowego (sfałszowanie go, aby wyglądało, jakby pochodziło z adresu MAC AP), zmuszając klienta do upadku odłączyć się od sieci i wrócić, dzięki czemu możesz przechwycić 4-kierunkowy uścisk dłoni i odszyfrować cały dalszy ruch do / z tego klienta. Użytkownik maszyny otrzymujący sfałszowane de-auth prawdopodobnie nawet nie zauważy, że jego laptop był wyłączony z sieci na ułamek sekundy.Zauważ, że do tego ataku nie jest ŻADNY kłopot. Atakujący musi tylko uchwycić kilka określonych ramek w momencie, gdy klient docelowy (ponownie) dołącza do sieci.

W przypadku WPA-Enterprise i WPA2-Enterprise (czyli z uwierzytelnianiem 802.1X zamiast korzystania z klucza współdzielonego) wszystkie klucze dla sesji na klienta są uzyskiwane całkowicie niezależnie, więc nie ma możliwości dekodowania wzajemnego ruchu . Osoba atakująca musiałaby albo obwąchać twój ruch po przewodowej stronie AP, albo ewentualnie skonfigurować nieuczciwy AP w nadziei, że zignorujesz fałszywy certyfikat po stronie serwera, który wyśle nieuczciwy AP, i mimo to dołączysz do nieuczciwego AP .

— Spiff
źródło

Tylko jeśli mają fizyczny dostęp do AP.

— Moab

Lub szafa na okablowanie przed punktem dostępowym.

— Fred

WPA-PSK naprawdę nie używa bezpiecznego protokołu wymiany kluczy do ustanawiania kluczy sesji?

— hobbs

@ Hobbs Jest bezpieczny przed osobami z zewnątrz, które nie znają hasła (PSK). Nie jest to bezpieczne od osób, które znają PSK i mogą już dołączyć do sieci, ale z drugiej strony, sieci LAN podobne do Ethernetu od dawna wymagały od ciebie zaufania do swoich rówieśników w sieci LAN (że nie będą cię zatruwać ARP i obserwować cały twój ruch, który sposób, na przykład).

— Spiff

@FrankN Te informacje są wciąż aktualne. Aplikacje, które wymagają szyfrowania komunikacji, muszą ją zaszyfrować, zamiast leniwie mieć nadzieję, że niższe warstwy wykonają za nich swoje zadanie. Użytkownicy, którzy nie ufają swoim aplikacjom, powinni przejść na lepsze aplikacje, ale mogliby umiarkowanie poprawić swoje bezpieczeństwo za pomocą VPN. Nie ma realnym sposobem na publicznych operatorów Wi-Fi, aby zachować nieświadomych / użytkowników niebezpieczne bezpieczne, a nawet jeśli były na publicznym Wi-Fi, który zrobił użytku 802.1X lub coś, należy jeszcze zabezpieczyć się przed kimś podsłuchiwanie ruchu na przewodowy LAN jeden przeskok w górę.

— Spiff

WPA ma przynajmniej jakąś formę kluczy sesji. Zakładając (nie jestem pewien, czego faktycznie używa WPA) klucze sesji są ustalane przy użyciu protokołu takiego jak Diffie-Hellman , początkowo są bezpieczne, nawet jeśli PSK nie jest. Dzięki szyfrowi TKIP klucze sesji można szybko złamać , pozwalając komuś przechwycić i wstrzyknąć pakiety bez znajomości klucza współdzielonego.

Jednak ktoś, kto zna PSK, może po prostu skonfigurować nieuczciwy punkt dostępu, zrobić mężczyznę w środku i wybrać własne klucze sesji, co sprawia, że punkt jest dyskusyjny. Aktywny atakujący, który zna twój PSK, może kontrolować warstwę łącza, przechwytując i modyfikując pakiety.

Jeśli zastąpisz uwierzytelnianie PSK protokołem IEEE 802.1X , który korzysta z certyfikatów i infrastruktury PKI , możesz zaufać, że AP jest początkowo właściwy. MITM wymagałby od atakującego złamania klientów i punktu dostępu, aby uzyskać ich prywatne certyfikaty, zamiast po prostu uzyskania PSK. Protokół wydaje się mieć słabość, która pozwala atakującemu wykonać pośredniego działania po początkowym uwierzytelnieniu; Nie wiem, jak ma to zastosowanie do obudowy bezprzewodowej. Ale ludzie mają tendencję do ślepego przyjmowania certyfikatów i nie wszystkie punkty dostępu umożliwiają konfigurację 802.1X.

— Tobu
źródło

Niezaszyfrowany WAP oznacza, że każdy ruch przez łącze bezprzewodowe może być odczytany przez każdego.

W przypadku zaszyfrowanego WAP cały ruch jest szyfrowany przez łącze radiowe, ale każdy, kto ma dostęp do portu WAN WAP, może odczytać ruch nawet bez klucza szyfrowania. Za pomocą klucza WAP do Wi-Fi możesz odczytać cały ruch na łączu radiowym.

Bezpiecznym sposobem korzystania ze współużytkowanego bezprzewodowego punktu dostępowego jest szyfrowanie typu end-to-end; Twój ruch jest szyfrowany przed wysłaniem przez łącze radiowe i nie jest odszyfrowywany, dopóki nie dotrze do miejsca docelowego. Tak więc, nawet z kluczem WAP lub dostępem do portu WAN WAP, szyfrowany ruch end-to-end jest bezpieczny.

Powszechnym sposobem uzyskania pełnego szyfrowania jest użycie zaszyfrowanej sieci VPN. Ruch wykorzystujący sieć VPN między maszyną a punktem końcowym VPN jest szyfrowany i tak bezpieczny.

Jedna komplikacja. VPN może korzystać z techniki zwanej tunelowaniem dzielonym, co oznacza, że ruch nieprzeznaczony dla sieci po drugiej stronie VPN nie korzysta z VPN. A ruch, który nie korzysta z VPN, nie jest szyfrowany przez VPN, więc jeśli korzystasz z dzielonego tunelowania, ruch nie zaadresowany na drugi koniec VPN nie jest chroniony przez VPN.

— Fred
źródło

-1 Większość postów tak naprawdę nie odpowiada na pytanie. Część, która ma, a mianowicie: „Za pomocą klucza WAP dla Wi-Fi, możesz odczytać cały ruch na łączu radiowym”. jest niepoprawny (nie dotyczy to uwierzytelniania 802.1X, patrz odpowiedź Spiff).

— sleske

Pytanie zakłada, że klucz szyfrowania jest znany („A co z innymi ludźmi, którzy znają klucz i są podłączeni do tego samego punktu?”). W przypadku WPA-Enterprise, ponieważ nie ma jednego klucza, uzasadnione jest przeczytanie, że „inni ludzie znają parowy klucz przejściowy portu” i rzeczywiście, jeśli znasz PTK, możesz odszyfrować ruch.

— Fred