Os usuários mais entusiasmados (mesmo que não sejam profissionais) podem usar técnicas conhecidas para romper a segurança média do roteador doméstico?
Algumas opções básicas de segurança são:
- senha de rede forte com vários métodos de criptografia
- senha de acesso do roteador personalizado
- WPS
- nenhuma transmissão SSID
- Filtragem de endereço MAC
Alguns deles estão comprometidos e o que fazer para tornar a rede doméstica mais segura?
wireless-networking
router
security
kvhadzhiev
fonte
fonte
Respostas:
Sem discutir a semântica, sim, a afirmação é verdadeira.
Existem vários padrões para criptografia WIFI, incluindo WEP, WPA e WPA2. O WEP está comprometido; portanto, se você o estiver usando, mesmo com uma senha forte, ela pode ser quebrada trivialmente. Eu acredito que o WPA é muito mais difícil de decifrar (mas você pode ter problemas de segurança relacionados ao WPS que ignoram isso) e, a partir de outubro de 2017, o WPA2 também oferece segurança questionável. Além disso, mesmo senhas razoavelmente difíceis podem ser forçadas a brutalidade - Moxie Marlinspike - um hacker conhecido oferece um serviço para fazer isso por US $ 17 usando computação em nuvem - embora isso não seja garantido.
Uma senha forte do roteador não fará nada para impedir que alguém do lado WIFI transmita dados pelo roteador, o que é irrelevante.
Uma rede oculta é um mito - enquanto existem caixas para fazer com que uma rede não apareça em uma lista de sites, os clientes sinalizam o roteador WIFI, portanto, sua presença é trivialmente detectada.
A filtragem MAC é uma piada, já que muitos dispositivos WIFI (quase todos) podem ser programados / reprogramados para clonar um endereço MAC existente e ignorar a filtragem MAC.
A segurança da rede é um assunto importante, e não é passível de uma pergunta sobre o superusuário, mas o básico é que a segurança é construída em camadas, de modo que, mesmo que algumas estejam comprometidas, nem todas são - também, qualquer sistema pode ser penetrado com tempo e recursos suficientes e conhecimento, então a segurança não é tanto uma questão de "pode ser hackeada", mas "quanto tempo vai demorar" para hackear. WPA e uma senha segura protegem contra "Joe Average".
Se você deseja aprimorar a proteção da sua rede WIFI, pode vê-la apenas como uma camada de transporte, criptografar e filtrar tudo o que estiver passando nessa camada. Isso é um exagero para a grande maioria das pessoas, mas uma maneira de fazer isso seria configurar o roteador para permitir apenas o acesso a um determinado servidor VPN sob seu controle e exigir que cada cliente se autentique através da conexão WIFI através da VPN - assim, mesmo se o WIFI estiver comprometido, há outras camadas [mais difíceis] a serem derrotadas. Um subconjunto desse comportamento não é incomum em grandes ambientes corporativos.
Uma alternativa mais simples para proteger melhor uma rede doméstica é abandonar o WIFI completamente e exigir apenas soluções com cabos. Se você tem coisas como celulares ou tablets, isso pode não ser prático. Nesse caso, você pode atenuar os riscos (certamente não os eliminar), reduzindo a força do sinal do seu roteador. Você também pode proteger sua casa para que a frequência vaze menos - eu não fiz isso, mas há boatos fortes de que até a malha de alumínio (como tela de proteção) do lado de fora da sua casa, com um bom aterramento, pode causar uma enorme diferença na quantidade de sinal que escapará. [Mas, claro, adeus cobertura de celular]
Na parte da frente da proteção, outra alternativa pode ser obter o seu roteador (se é capaz de fazê-lo, a maioria não é, mas eu imagino que os roteadores executem openwrt e possivelmente o tomate / dd-wrt) registrem todos os pacotes que atravessam sua rede e de olho nisso - inferno, mesmo o monitoramento de anomalias com bytes totais dentro e fora de várias interfaces pode fornecer um bom grau de proteção.
No final do dia, talvez a pergunta a fazer seja "O que preciso fazer para que não valha a pena um hacker casual penetrar na minha rede" ou "Qual é o custo real de comprometer a minha rede" e continuar de lá. Não há resposta rápida e fácil.
Atualização - outubro de 2017
A maioria dos clientes que usam WPA2 - a menos que seja corrigido - pode ter seu tráfego exposto em texto sem formatação usando "Key Reinstallation Attacks - KRACK" - que é uma fraqueza no padrão WPA2. Notavelmente, isso não dá acesso à rede ou ao PSK, apenas ao tráfego do dispositivo de destino.
fonte
Como outros já disseram, a ocultação do SSID é trivial para quebrar. De fato, sua rede será exibida por padrão na lista de redes do Windows 8, mesmo que não esteja transmitindo seu SSID. A rede ainda transmite sua presença através de quadros de beacon de qualquer maneira; apenas não inclui o SSID no quadro de beacon se essa opção estiver marcada. O SSID é trivial para obter do tráfego de rede existente.
A filtragem de MAC também não é muito útil. Pode desacelerar brevemente o script kiddie que baixou um crack WEP, mas definitivamente não vai impedir ninguém que saiba o que está fazendo, pois pode apenas falsificar um endereço MAC legítimo.
No que diz respeito ao WEP, ele está completamente quebrado. A força da sua senha não importa muito aqui. Se você estiver usando o WEP, qualquer pessoa poderá baixar um software que entrará na sua rede rapidamente, mesmo que você tenha uma senha forte.
O WPA é significativamente mais seguro que o WEP, mas ainda é considerado quebrado. Se o seu hardware suporta WPA, mas não WPA2, é melhor que nada, mas um usuário determinado provavelmente pode quebrá-lo com as ferramentas certas.
WPS (configuração protegida sem fio) é a ruína da segurança da rede. Desative-o independentemente da tecnologia de criptografia de rede que você está usando.
O WPA2 - em particular a versão que usa o AES - é bastante seguro. Se você tiver uma senha decente, seu amigo não entrará na sua rede segura WPA2 sem obter a senha. Agora, se a NSA está tentando entrar na sua rede, isso é outra questão. Então você deve desligar completamente o seu rádio. E provavelmente sua conexão com a Internet e todos os seus computadores também. Com tempo e recursos suficientes, o WPA2 (e qualquer outra coisa) pode ser invadido, mas é provável que exija muito mais tempo e muito mais recursos do que um hobby comum terá à sua disposição.
Como David disse, a verdadeira questão não é 'Isso pode ser hackeado?' mas, "Quanto tempo levará alguém com um conjunto específico de recursos para hackear?" Obviamente, a resposta para essa pergunta varia muito em relação ao que é esse conjunto específico de recursos. Ele também está absolutamente correto de que a segurança deve ser feita em camadas. O que você gosta não deve passar pela sua rede sem ser criptografado primeiro. Portanto, se alguém invadir sua rede sem fio, não poderá obter nada significativo além de talvez usar sua conexão à Internet. Qualquer comunicação que precise ser segura ainda deve usar um forte algoritmo de criptografia (como AES), possivelmente configurado via TLS ou algum esquema PKI. Verifique se o seu e-mail e qualquer outro tráfego sensível da Web estão criptografados e se você não está '
Atualização 17 de outubro de 2017 - Esta resposta reflete a situação anterior à descoberta recente de uma grande nova vulnerabilidade que afeta o WPA e o WPA2. O Key Reinstallation AttaCK (KRACK) tira proveito de uma vulnerabilidade no protocolo de handshaking para Wi-Fi. Sem entrar nos detalhes confusos da criptografia (sobre os quais você pode ler no site vinculado), todas as redes Wi-Fi devem ser consideradas quebradas até que sejam corrigidas, independentemente de qual algoritmo de criptografia específico esteja usando.
Questões relacionadas do InfoSec.SE sobre o KRACK:
Consequências do ataque WPA2 KRACK
Como posso me proteger do KRACK quando não posso comprar uma VPN?
fonte
Como outras respostas neste tópico são boas, acho que, para aqueles que solicitam uma resposta concreta (bem ... esse é o SuperUser, não é?), A pergunta pode ser facilmente traduzida como: "O que devo saber para tornar meu Rede Wi-Fi segura? " .
Sem negar (nem confirmar) nenhuma das outras respostas, esta é minha resposta curta:
As palavras do criptólogo Bruce Schenier podem ser conselhos úteis para muitos usuários lembrarem:
Isso geralmente pode ser aplicado a redes sem fio : precisamos constantemente dele funcionando?
Muitos roteadores têm um botão WiFi para ativar / desativar a conexão sem fio, como o D-Link DSL-2640B .
Caso contrário, você sempre pode automatizar a ativação / desativação da Web sem fio usando ferramentas como o iMacros (disponível como uma extensão para o Firefox ou como um programa independente) no Windows e muitas outras no Linux.
E aqui estão dois truques para a senha WPA (por favor, esqueça WEP ) (uma boa senha WPA tornará os ataques muito difíceis) criação ( não mantenha a senha padrão ):
"Você tem dois filhos e três gatos e os ama. " -> "Yh2sa3c, aylt."
E, pelo amor de Deus: desative o WPS agora mesmo! É totalmente falho .
fonte
Yh2sa3c,aylt., levará um tempo estimado de mais de 10 anos para força bruta (mesmo usando um dos computadores pessoais mais rápidos que você pode comprar hoje).Nenhuma das coisas mencionadas (além da senha da rede) realmente afeta o hacking de uma rede Wi-Fi. Por exemplo, um filtro de endereço MAC e um SSID oculto não ajudam muito em termos de segurança.
O que realmente importa é o tipo de criptografia usado na rede. As criptografias de rede mais antigas, como o WEP, eram fáceis de quebrar, porque com tráfego suficiente você as decodificava e as força a gerar o tráfego necessário.
No entanto, os mais novos, como o WPA2, são muito mais seguros. Agora, nada é "seguro" contra todos os adversários, mas isso geralmente é suficiente para o Wi-Fi doméstico.
É um tópico grande, e isso só toca na ponta do iceberg, mas espero que ajude.
fonte
WEP e WPA1 / 2 (com WPS ativado) podem ser hackeados trivialmente; o primeiro usando IVs capturados e o último com uma força bruta de PIN WPS (apenas 11.000 combinações possíveis, de um pino de 3 partes; 4 dígitos [10.000 possíveis] + 3 dígitos [1.000 possíveis] + soma de verificação de 1 dígito [calculada do resto]) .
O WPA1 / 2 é mais difícil com uma senha forte, mas o uso de cracking de GPU e uma técnica de força bruta pode impedir alguns dos mais fracos.
Eu, pessoalmente, decifrei o WEP e o WPS na minha rede de trabalho (com permissão, estava demonstrando as vulnerabilidades para meus empregadores), mas ainda não decifrei com êxito o WPA.
fonte
Essa é uma ótima pergunta, e as diretrizes para ter uma conexão sem fio muito segura devem ser bem conhecidas. Configure seu roteador / gateway / AP para que:
É isso aí! Para todos os fins práticos, agora você tem uma conexão sem fio completamente segura.
fonte
No fórum da Cisco Learning Network , um iniciador de threads perguntou:
Um colega obviamente muito inteligente chamado "Zach" fez esta postagem que o iniciador de tópicos, aqui (e outros, aqui também, se estiverem interessados), deve ler.
Em particular, leia cerca de dois terços do caminho até sua publicação, onde ele começa com as palavras "As soluções:".
Estou usando a configuração " WPA-PSK (TKIP) / WPA2-PSK (AES) " do meu gateway . De acordo com esta postagem de Zach ...
... Há muito tempo que uso meu próprio ESSID. Além disso, de acordo com o seu ...
... o meu possui 25 caracteres, que consistem em letras, números, maiúsculas e minúsculas e caracteres especiais. Nenhuma parte soletra qualquer coisa.
Eu faço várias outras coisas que Zach faz e não enumera lá; mas além do acima, e disse outras coisas, e pelo menos no espírito do que ele escreveu aqui ...
... Há muito tempo, escrevi um pouco de código de script que é iniciado automaticamente com a inicialização do Windows e apenas é executado na bandeja do sistema; que codifica periodicamente, ao longo do dia, atualiza e analisa a página da Web no meu gateway, que lista todos os dispositivos conectados; e então me diz como um pop-up com três bipes através do alto-falante da placa-mãe (não os alto-falantes comuns de áudio, apenas no caso de eles ficarem silenciados ou algo parecido) no meu laptop de substituição para desktop na tela e também via texto no meu telefone (que está em uma bolsa no meu cinto ou pelo menos nunca a mais de um metro e meio de mim, 24/7/365), se algo novo aparecer.
Para aqueles sem essa habilidade, existem vários aplicativos do tipo "quem está no meu WI-FI" por aí, alguns deles gratuitos. Um bom e simples é [esse badboy] [3]. Apenas inicie-o automaticamente no Windows, deixe-o na bandeja do sistema e diga-lhe para "emitir um bipe no novo dispositivo" e você terá algo semelhante ao que meu script faz (exceto que ele não envia um SMS). No entanto, usando [uma ferramenta de script simples] [5], você pode fazer com que um SMS ou e-mail seja enviado ao seu telefone quando um novo dispositivo na LAN emitir um bipe no aplicativo.
Espero que ajude.
fonte
Outra consideração para qualquer análise de segurança são os ativos que precisam de proteção e o valor desses ativos para o proprietário e um possível invasor. Eu acho que o seu login bancário, número do cartão de crédito e outras credenciais de login são provavelmente as informações mais valiosas em uma rede doméstica e a maior parte disso deve ser coberta pela criptografia TLS / SSL em uma conexão https. Portanto, parece que se você usar uma chave WPA2 no seu roteador wifi e garantir que seu navegador use https sempre que possível (usando uma ferramenta como https de eff em todos os lugares), você estará seguro. (Um invasor em potencial precisaria quebrar sua chave WPA2 para talvez obter uma senha que não ultrapasse https ou as páginas http que você está navegando.)
fonte
Duvidoso .
Não concordo com a resposta de davidgo. Embora seja bem pesquisado e concordo com a maioria das informações dele, acho que é um pouco pessimista.
Existem vulnerabilidades no WPA2 já abordadas nas outras respostas. No entanto, nenhum destes é inevitável.
Em particular, deve-se notar que o ataque de força bruta mencionado por davidgo é um ataque a uma fraqueza no MS-CHAPv2. Consulte a referência do autor citado [ https://www.cloudcracker.com/blog/2012/07/29/cracking-ms-chap-v2/ ]. Se Ms-CHAP não for usado, essa fraqueza não poderá ser explorada.(excluído com base no comentário do autor - referência incorreta)Com a frase secreta certa, SSID e evitando a tecnologia comprometida, não vejo razão para que uma rede protegida por WPA2 usando AES256 não esteja segura no momento. Ataques de força bruta nessas redes não são viáveis, e até Moxy Marlinspike sugere isso.
No entanto, onde eu concordo com a resposta da davidgo é que a maioria dos usuários não faz esses esforços. Sei que minha própria rede doméstica pode ser explorada e, embora eu saiba como corrigi-la, simplesmente não vale meu tempo e esforço.
fonte