Najlepsze Blogi

niedziela, 20 listopada 2011

Dlaczego warto zadbać o bezpieczeństwo swojej sieci wifi?

W dniu wczorajszym miałem szkolenie dotyczące bezpieczeństwa komputerowego. Generalnie nudy na pudy, poza drobnym epizodem dotyczącym bezpieczeństwa wifi o którym mimochodem wspomniał szkoliciel. Sprawa jest dość poważna wbrew pozorom.  

Kilka tygodni temu kierownik mojego działu oznajmił z powagą, że szef oczekuje od nas poprawy dbałości o bezpieczeństwo komputerowe. Roześmialiśmy się nie ukrywając przy tym sarkazmu, bo szef ma w zwyczaju przybiegać do naszego biura z sąsiedniego gabinetu z byle pierdołą dotyczącą jego laptopa. Zostawia go oczywiście po czym jedzie do domu kwitując na odchodne: „no to zaglądnijcie tam chłopaki bo mi się nie uruchamia”. Jego 5-cio letni marketowy laptop budzi moją największą odrazę jeśli sobie uświadamiam, że gość zarabia kilkadziesiąt tysięcy miesięcznie. Cóż, żona, trójka dzieci i dwie kochanki (te o których wiadomo) muszą kosztować, to najpewniej nie stać go na przyzwoity komputer.

Ale do rzeczy. Jak wspomniałem na początku szkolenie było strasznie nudne bo o większości spraw doskonale wiedzieliśmy. Niemniej jednak szkoliciel poruszył kilka ciekawych kwestii praktycznych i o jednej chciałem teraz napisać a dotyczy ona zabezpieczenia prywatnej sieci wifi.

Kiedy słyszy się o hakerach to w większości przypadków ma się przed oczami wykreowanego przez filmy umorusanego tłuszczem od chipsów grubaska, siedzącego przed kilkoma monitorami gdzieś w małym pokoju pogrążonym w półmroku a zza ściany dobiega głos pretensjonalnej matki. To oczywiście fikcja sugerująca nam pewną „osiadłość” delikwenta.

Prawdziwi przestępcy komputerowi nigdy nie dokonują poważnych przestępstw komputerowych za pośrednictwem Internetu siedząc wygodnie w ciepłym pokoju swojego domu. Odpadają VPN’y szyfrujące połączenie dzięki którym zyskuje się anonimowość – to tylko w reklamie z tarczą wojownika symbolizującą ochronę. Owszem, są to dobre rozwiązania ale w przypadku ochrony przesyłanych danych np. pomiędzy siedzibą firmy a pracownikiem, wewnątrz firmy, w łączeniu się z serwerem uczelni czy zabezpieczeniu przesyłanych danych przed wścibskim okiem administratora sieci. W przypadku przestępstw komputerowych paradoksalnie wcale się o to nie dba. Jak więc wygląda mechanizm?

Jest banalny. Przestępcy kupują na zagranicznej aukcji (ebay) używany komputer który będzie przeznaczony do niecnego procederu. Wybierają leciwe acz sprawdzone komputery klasy biznesowej. Następnie już na polskim Allegro zaopatrują się w oprzyrządowanie czyli dobrą antenę wifi samochodową po czym wyruszają na poszukiwania spełniającej wymagania niezabezpieczonej (te z wepem lub bez) sieci bezprzewodowej. Szukają nie tylko sieci, ale przede wszystkim dogodnego miejsca które musi spełniać kilka warunków o których nie będę się tutaj rozpisywał poza tym, że jednymi z najlepszych miejsc są niestrzeżone przyblokowe parkingi osiedlowe. Chodzi o to, aby przestępcy mogli swobodnie zaparkować na jakiś czas samochód nie wzbudzając podejrzeń gdyż zawsze jest tam mnóstwo samochodów niekoniecznie należących do mieszkańców. Ponadto jest to dobre miejsce ze względu na obfitość sieci bezprzewodowych.

Jeżeli dogodne miejsce zostanie znalezione, to w zależności od specyfiki ataku, może być obserwowane przez jakiś czas pod kątem np. częstości nawiązywania połączeń owej sieci, czy działa w nocy, czy ruch w sieci nie wzbudza niczyich podejrzeń np. poprzez kontrolki na routerze (nagłe wyłączenia sieci) itd. To można sprawdzić już za pomocą komórki z androidem wyposażonej w odpowiedni i powszechnie dostępny soft do pentestingu. Jeżeli miejsce spełnia postawione wymagania, dokonuje się za jego pośrednictwem ataku. Rzecz jasna znalezienie dogodnego miejsca stanowi już część końcową całego procederu. Zapomniałem jeszcze wspomnieć o samochodzie. Najlepiej do tego celu nadają się auta z nie oszkloną paką ładunkową. Kierowca podjeżdża na miejsce i wysiada, natomiast pasażer przez nikogo niezauważony swobodnie wykorzystuje łącze ofiary do dokonania przestępstwa..

Reasumując. Niezabezpieczone lub słabo zabezpieczone sieci bezprzewodowe (wep) stają się czasami hotspotami dla przestępców. Ktoś może powiedzieć, że właściciel niezabezpieczonego domowego routera nie ma się czego obawiać, bo to nie on de facto dokonuje aktu. Oczywiście, że nie on, ale o tym jak w polskiej rzeczywistości wygląda przeprawa niewinnego człowieka z prokuratorem i organami ścigania miało się okazję przekonać wielu tych, których skradziony dowód osobisty został wykorzystany przy zakładaniu fikcyjnych kont lub nawet ci, którzy o zgrozo, stali się świadkami tragicznego wypadku drogowego. Mało przyjemne są ciągłe wezwania do wyjaśnień, że nie jest się wielbłądem, stracone nerwy i zwyczajnie czas. Dlatego aby nie narażać się na niepotrzebne problemy jeżeli posiadasz sieć bezprzewodową to koniecznie włącz na swoim routerze szyfrowanie WPA2 i co najmniej 8 znakowe hasło.
Warto przy okazji hasła wspomnieć, że programy elcomsoft’u metodą brute-force łamią 5-cio znakowe hasło w kilkanaście godzin i to na słabym komputerze. Przy wykorzystaniu mocy obliczeniowej karty graficznej lub konsoli do gier, czas na złamanie 6-cio znakowego hasła staje się do przyjęcia jeżeli komuś na tym bardzo zależy. Dlatego najlepiej zapisać sobie na małej karteczce hasło składające się z różnych symboli (nie słownikowe) i co najmniej kilkunasto znakowe (im więcej tym lepiej) i przykleić pod routerem. Będziemy go potrzebować wyłącznie w sytuacji wymagającej powtórnego wprowadzenia co jest jednak rzadkością, ponieważ systemy operacyjne zapamiętują hasła do łączenia się z siecią za każdym razem kiedy włączamy komputer i wyręczają nas tym samym z konieczności wpisywania go za każdym razem.

5 komentarzy:

  1. Nope.. przestępcy znacznie łatwiej zapewnić sobie anonimowość kupując kartę prepaid niż szukając hotspota.. bezpieczeństwo jest przereklamowane.. zapisywanie hasła na karteczce, a już szczególnie przyklejanie jej pod urządzeniem którego dotyczy nie jest dobrym pomysłem.. co nie zmienia faktu, że jeżeli ktoś "szkolicielowi" chce płacić jakieś pieniądze za mówienie że jest, no to i szkoliciel się znajdzie.. nasze bezpieczeństwo w gruncie rzeczy, w praktyce, opiera się na rachunku prawdopodobieństwa - a nie na mniej czy bardziej wymyślnych metodach zabezpieczania czegokolwiek..

    http://technoblog.computerworld.pl/2011/10/07/system-wykryl-atak-ale-nikt-go-nie-slucha/

    OdpowiedzUsuń
  2. ajaj, nie ten link chciałem :)

    http://technoblog.computerworld.pl/2011/11/07/tablet-a-korporacja/

    "Byłem świadkiem audytu w jednej z firm, gdzie wprowadzone ograniczenia chroniące przed obcymi komputerami (firma posiadała wdrożone restrykcje adresów sprzętowych) uniemożliwiły włączenie iPada do sieci firmowej. Zatem szef samodzielnie zainstalował kupiony w supermarkecie router, który samoczynnie sklonował sobie taki sam MAC jak w połączonym doń laptopie, dzięki czemu przełącznik sieciowy „wpuścił” go do sieci. Co robił ten router? Udostępniał połączenie po Wi-Fi z ESSID default, zabezpieczeń brak. Router stał przy oknie. Komentarz wydaje się zbyteczny."

    OdpowiedzUsuń
  3. @Ahk4iePaiv8u
    Karta prepaid nie wydaje się dobrym sposobem, ponieważ w tym rodzaju ataku jaki opisałem, chodzi o wprowadzenie ewentualnych organów ścigania w błąd. Ktoś dokonuje przestępstwa komputerowego podszywając się pod inną osobę (korzystając z jego połączenia internetowego). W przypadku prepaida łatwo jest namierzyć osobę łączącą się z siecią w czasie dokonywania przestępstwa (lokalizacja) bo wiadomo z jakiego numeru następuje połączenie co z kolei umożliwia precyzyjną lokalizację. Tak więc delikwent może się lekko zdziwić, kiedy podczas dokonywania procederu, który przecież trwa jakiś czas (np. kilka godzin lub dłużej w zależności od specyfiki takiego ataku) zostanie zlokalizowany co do metra. To żaden problem. Oficjalnie komercyjne lokalizatory w komórkach korzystające tylko ze wskazań nadajników GSM, potrafią rozpoznać położenie komórki do kilkudziesięciu metrów w miastach. To oficjalnie, a jaką technologię lokalizacyjną posiadają same sieci to tylko one wiedzą.

    Pomijając już koszta i ewentualną jakość łącza (duże lagi itd) Kartę gdzieś trzeba doładować aby móc mieć duży transfer a tym samym wiadomo w jakim punkcie, z jakiego terminala i o której godzinie została doładowana, czy nawet gdzie została kupiona karta prepaid. To wszystko może dać bezcenne informacje organom ścigania, bo wystarczyłoby gdyby właściciel sklepu w którym została doładowana karta miał monitoring (co już w większości placówek obowiązuje) i zdjęcie delikwenta gotowe. A to tylko jeden ze sposobów ewentualnych poszukiwań.

    Korzystając z czyjegoś łącza to na właściciela niezabezpieczonego routera spada wówczas problem, bo to z jego IP i z jego MAC'ów (oczywiście intruz sklonuje MAC'a komputera ofiary) był dokonywany atak np. na bank. Same problemy generalnie dla takiego kogoś potem, bo dowody wskazują na niego.

    Co do karteczki pod routerem, to jest to tylko jeden ze sposobów. Oczywiście wieloznakowe skomplikowane hasło można schować gdziekolwiek. Chodzi przede wszystkim o stosowanie wieloznakowych niesłownikowych haseł a one muszą zostać gdzieś zapisane bo trudno zapamiętać te hieroglify.

    OdpowiedzUsuń
  4. gsm moze zlokalizowac terminal z dokladnoscia do max 100 metrow, najczesciej duzo mniejsza, gps i lokalizacje za pomoca wifi sie poprostu wylacza, jak komus zalezy na anonimowosci to ta komorke przykleja pod lawka i robi sobie vpn z dwoma (i wiecej) komorkami po drodze

    kupic doladowanie mozna na setki sposobow, komorki i startery mozna znalezc na gieldach, czy wyslac po nie byle przypadkowo spotkanego lebka\pijaczka dajac mu 10 zlotych

    korzystanie z hotspotow z samochodu to bajki dla naiwniakow, ze niby koles siedzacy z laptopem na osiedlu przez kilka-kilkanascie godzin nie wzbudza podejrzen? ze przy zasiegu wifi rzedu kilkudziesieciu metrow trudniej taka osobe znalezc w czasie rzeczywistym?

    OdpowiedzUsuń
  5. @m4rkiz

    Przeczytaj sobie komentarz wyżej nad twoim. Dokonywanie przestępstwa w Internecie za pośrednictwem Internetu z GSM, to chyba NAJGORSZE z możliwych rozwiązań.

    Jakie kilkadziesiąt metrów zasięgu wifi? Co ty za głupoty piszesz! Weź ty sobie włącz w telefonie wifi i przejdź się między blokami. A teraz sobie wyobraź, że masz antenę 12dB w aucie gdzieś na parkingu. To są dziesiątki sieci i to z przyzwoitym zasięgiem aby z nich korzystać. Z resztą linka nie potrzebujesz nie wiadomo jakiego, filmów ściągał nie będziesz.

    Dla wieśniaków to robienie jakiś „kombinacji” z VPN i jakiś routerów z komórek o których piszesz. Mało nie spadłem z krzesła.

    Pomyśl! Śpisz sobie słodko w łóżeczku a tu nagle ktoś za pośrednictwem twojego łącza np. wystawia na Allegro super okazje a na drugie dzień zgarnia forsę. Jak myślisz, do kogo zapukają funkcjonariusze? Tłumacz się potem, że to nie ty jeżeli mają czarno na białym skąd był robiony proceder. Dla nich to ty jesteś winny. Jasne, że po sprawdzeniu twoich komputerów wyjdzie, że to nie ty, ale co przejdziesz zanim się sprawa wyjaśni to twoje. Konfiskata komputerów, przeszukanie mieszkania, sprawdzanie wszystkiego itd.

    Ataki wykorzystujące niezabezpieczone wifi są najprostsze i najtańsze.

    OdpowiedzUsuń