Studie reálného zabezpečení WiFi sítí ve vybrané oblasti

Vysoká škola ekonomická v Praze Fakulta informatiky a statistiky Katedra informačního a znalostního inženýrství

Studijní program: Aplikovaná informatika Obor: Informatika

Studie reálného zabezpečení WiFi sítí ve vybrané oblasti BAKALÁŘSKÁ PRÁCE

Student

:

Ondřej Kühnel

Vedoucí

:

RNDr. Radomír Palovský CSc.

Oponent :

PhDr. Otakar Pinkas

2012

Prohlášení: Prohlašuji, že jsem bakalářskou práci zpracoval samostatně a že jsem uvedl všechny použité prameny a literaturu, ze které jsem čerpal.

V Praze dne 10. 2 2012

.................................. Ondřej Kühnel

Poděkování Na tomto místě bych rád poděkoval RNDr. Radomíru Palovskému CSc. za odborné vedení bakalářské práce. Dále bych chtěl poděkovat své rodině a své přítelkyni za podporu ve studiu.

Abstrakt Tato práce se zabývá reálným zabezpečením WiFi sítí ve vybrané oblasti. Hlavním cílem je zjistit, jaké znalosti zabezpečení mají uživatelé WiFi sítí pomocí dotazníku, a jaké je reálné zabezpečení přístupových bodů v dané lokalitě monitorováním WiFi sítí. Na začátku jsou v práci uvedeny informace o WiFi technologii, zabezpečení, možné útoky na WiFi sítě a základní nastavení bezdrátového přístupového bodu. V druhé části práce je vyhodnocení dotazníku a vyhodnocení dat, která byla získána monitorováním ve městě Čelákovice, tato data jsou porovnána s dotazníkem.

Klíčová slova Bezpečnost WiFi, přístupový bod, monitorování, WEP, WPA, WPA2.

Abstract This work deals with the real security of WiFi networks in selected areas. The main objective is to determine what knowledge users haveabout the security of WiFi networks using a questionnaire and to find out what is the real security of access points in the monitoring area WiFinetworks. At the beginning, the work provides information on WiFi technology, security, possible attacks on WiFi networks and basic configuration of the wireless access point. The second part of this work is to evaluate the questionnaire and assessment data that was obtained by monitoringin town Čelákovice. These data are compared with the questionnaire.

Keywords Access point, security of WiFi, monitoring, WEP, WiFi, WPA, WPA2.

Obsah 1

Úvod ................................................................................................................... 1

2

Současný stav WiFi ............................................................................................ 2 2.1 2.2 2.3 2.4

3

Co je to WiFi? ...................................................................................................................2 Jak WiFi funguje ..............................................................................................................2 Historie a vývoj ................................................................................................................3 Standardy .........................................................................................................................3 2.4.1 IEEE 802.11 ..........................................................................................................4 2.4.2 IEEE 802.11a ........................................................................................................4 2.4.3 IEEE 802.11b........................................................................................................4 2.4.4 IEEE 802.11g........................................................................................................4 2.4.5 IEEE 802.11i .........................................................................................................5 2.4.6 IEEE 802.11n........................................................................................................5

Zabezpečení WiFi ................................................................................................ 6 3.1 3.2 3.3 3.4 3.5

Skrytí SSID........................................................................................................................7 Kontrola MAC adres ........................................................................................................7 WEP...................................................................................................................................8 WPA ..................................................................................................................................8 WPA2 ................................................................................................................................8 3.5.1 AES.......................................................................................................................9 3.5.2 EAP.......................................................................................................................9 3.6 802.1X .............................................................................................................................10

4

Útoky na bezdrátové sítě .................................................................................. 11 4.1 4.2 4.3 4.4 4.5

5

Útok hrubou silou ..........................................................................................................11 Hádání hesla ze slovníku...............................................................................................11 Odposlouchávání ...........................................................................................................11 DoS..................................................................................................................................12 Nejznámější průlomy do WiFi .......................................................................................12 4.5.1 Průlom WEP ......................................................................................................12 4.5.2 Klíč WPA za 17 dolarů ......................................................................................12 4.5.3 Průlom podnikové WPA 2 ................................................................................12 4.5.4 Prolomení WPA a WPA2 pomocí grafické karty .............................................13

Základní nastavení WiFi.................................................................................... 14 5.1 Jak provést nastavení ...................................................................................................14 5.2 Změna názvu sítě ...........................................................................................................14 5.3 Změna administrátorského hesla k přístupovému bodu ............................................15

5.4 5.5 5.6 5.7

6

Nastavení zabezpečení WPA2.......................................................................................15 Bezpečné heslo ..............................................................................................................16 Nastavení přístupu MAC adres .....................................................................................16 WPS (QSS) ......................................................................................................................16

Metodika ............................................................................................................ 18 6.1 Cíl výzkumu ....................................................................................................................18 6.2 Dotazník ..........................................................................................................................18 6.3 Monitorování WiFi sítí ....................................................................................................18 6.3.1 Ukázka aplikace RF Signal Tracker na mobilním telefonu ............................19

7

Výsledky dotazníku ........................................................................................... 20

8

Výsledky monitorování WiFi sítí ..................................................................... 30

9

Porovnání dotazníku a monitorování .............................................................. 34

10 Závěr ................................................................................................................. 35 Terminologický slovník ........................................................................................... 36 Seznam literatury ..................................................................................................... 37 Seznam obrázků a tabulek ...................................................................................... 40 Seznam obrázků ..........................................................................................................40 Seznam tabulek ...........................................................................................................40

1 Úvod Pro svoji bakalářskou práci jsem si zvolil téma bezpečnost WiFi. Myslím si, že tato problematika je stále velký problém, protože spousta lidí si neuvědomuje nebezpečí, které jim hrozí, pokud nebudou opatrní a neprovedou alespoň základní nastavení svého přístupového bodu, nebo pokud použijí již neadekvátní zabezpečení WEP, třeba i z důvodu zastaralých prvků ve WiFi síti. Další problém vzniká při připojování třeba v kavárnách a ostatních veřejných sítích, které nemají potřebná zabezpečení. Bez řádného zabezpečení jsou tito lidé snadným terčem pro útočníky, kteří sedí například vedle jejich stolu nebo mohou být vzdáleni i několik kilometrů, protože mají výkonnou směrovou anténu. Zatím účinná ochrana je SSL, ale většina internetových stránek používá SSL jen na vyžádání a jen při přihlašování a následný provoz je pak nešifrovaný. Po odchycení několika paketů, může útočník získat přihlašovací jména a hesla k účtům nic netušícího uživatele. Poté může v lepším případě jen číst e-maily nebo škodit v podobě smazání některého e-mailu. V horším případě se zaměří na získání logovacích údajů uživatele a pokusí se ukrást jeho internetovou identitu nebo získá přístup k internetovému bankovnímu účtu a údajům na kreditní kartě. Cílem mé práce je zjistit znalosti zabezpečení uživatelů WiFi sítí pomocí dotazníku a zjistit jaké je reálné zabezpečení přístupových bodů v dané lokalitě pomocí monitorování WiFi sítí. Monitorování probíhalo ve městě Čelákovice. Z počátku je v práci uveden současný stav WiFi technologie, co to vlastně je WiFi, historie a vývoj a nejznámější standardy. Následuje kapitola Zabezpečení WiFi, kde jsou rozepsány jednotlivé možnosti, jak zabezpečit bezdrátovou síť. V další kapitole s názvem Útoky na bezdrátové sítě jsou stručně popsány možné útoky a nejznámější průlomy do WiFi. V další kapitole je uvedeno základní nastavení přístupového bodu. Metodika popisuje postup získávání a zpracování dat z dotazníku a z monitorování WiFi sítí v Čelákovicích. Výsledky dotazníku obsahují rozepsané otázky spolu s grafy a s tabulkami. Výsledky monitorování sítí také obsahují zjištěná data v grafech a v tabulkách. Dále jsou spolu porovnány výsledky z dotazníku a z monitorování WiFi sítí.

1

2 Současný stav WiFi 2.1

Co je to WiFi?

WiFi je zkratka anglického slovního spojení wireless fidelity, což česky znamená „bezdrátová věrnost“. Je to označení několika standardů IEEE 802.11, můžeme se setkat i s označením jako Wi-Fi, Wi-fi, wifi, wi-fi. Těmito standardy je popsána bezdrátová komunikace v počítačové síti, kterou můžeme nazvat též WLAN (Wireless LAN). Na obrázku č. 1 je jedno z log WiFi se kterými se můžete setkat. [1]

Obrázek 1: Logo WiFi (Zdroj: [2])

2.2

Jak WiFi funguje

Jak bylo již zmíněno, WiFi slouží k bezdrátové komunikaci v počítačových sítích, to nám dává větší volnost na rozdíl od klasických „drátových“ sítí LAN (Local Area Network). Už nemusí být ke každému stolu či posteli přiveden ethernetový kabel, stačí, když se do LAN sítě připojí bezdrátový přístupový bod, který nám tyto kabely nahradí. To nám také umožnuje připojení nejenom počítačů, ale i mobilních telefonů, tabletů nebo třeba elektronických knih, protože tato zařízení obvykle nemají ethernetový konektor JR-45. WiFi pracuje na frekvenčním pásmu 2,4 GHz a 5 GHz. Toto frekvenční pásmo není licencováno, proto se za něj nemusí platit žádné poplatky a je tak ideální pro stavbu levné bezdrátové sítě. U frekvence 2,4 GHz je definováno 14 kanálů o šířce 5 MHz. V Evropě lze použít jen kanály 1 – 13. Bohužel WiFi kanál má šířku 20 MHz, takže například kanál 6 2

zabírá ještě kanály zleva 4 a 5 a zprava 7 a 8, proto lze provozovat maximálně 3 zcela oddělené WiFi sítě vedle sebe. Pokud se provozují více než 3 sítě vedle sebe, dochází k překrývání kanálů a to zhoršuje přenos dat, v nejhorším případě se může stát, že v „přesíťované“ lokalitě není možno vůbec WiFi používat, a proto je nutné, vrátit se k ethernetovým kabelům. [3]

2.3

Historie a vývoj

O bezdrátovém přenosu dat se začalo uvažovat ve čtyřicátých letech minulého století. Za vším stojí George Antheil a Hedy Lamarr. Začali uvažovat o tom, že by radiové signály mohly být distribuovány v náhodném čase po malých intervalech, aby přenos nemohl být tak lehce odposloucháván a stali se vlastníky patentu číslo 2.292.387. Koncem padesátých let minulého století inženýři ze Sylvania Electronic Systém aplikovali na tuto techniku elektronické synchronizační metody a nakonec se připojila i americká armáda, která začala tuto technologii používat na svých lodích na otevřeném moři. V osmdesátých letech minulého století se rozhodlo, že bude tato technologie dostupná i pro civilní účely. WiFi jak ji známe, se zrodila v červenci roku 1997, kdy organizace IEEE vydala svůj první standard 802.11, který zvládal přenosovou rychlost 1 nebo 2 Mbit/s. Po dvou letech, v roce 1999, byl vydán další standard 802.11b, který umožnoval větší přenosovou rychlost 5,5 a 11 Mbit/s a standard 802.11a, který umožnoval přenášet data na frekvenci 5 GHz. Následoval standard 802.11g, který zvednul přenosovou rychlost na 54 Mbit/s. Zatím nejnovější standard je 802.11n dovoluje teoretickou rychlost přenosu 600 Mbit/s. V roce 2013 by měl být vypuštěn standard 802.11ac, který je prozatím ve fázi návrhu a měl navýšit teoretickou rychlost až na 1,3 Gb/s, bude to tedy „gigabitová WiFi“. [2, 4]

2.4

Standardy

Standardy IEEE 802.11 definují WiFi technologii. Jsou to pravidla, která jsou implementována ve všech zařízeních, která se mohou k bezdrátové síti připojit, ale ne každé zařízení podporuje všechny standardy. Novější zařízení podporují nové standardy a většinou 3

také všechny staré, aby byla dosažena co největší kompatibilita. Starší zařízení jsou limitovány hlavně hardwarovým vybavením, které nedovoluje provozovat nejnovější standardy, protože nepodávají dostatečný výpočetní výkon. Těchto standardů je již velké množství a neustále přibývají. Dále je uvedeno pár příkladů standardu IEEE 802.11. [5]

2.4.1

IEEE 802.11

IEEE 802.11 je první WiFi standard, který byl vydán v roce 1997. Tento standard definoval rychlost 1 nebo 2 Mbit/s s frekvencí 2.4 GHz. [5]

2.4.2

IEEE 802.11a

Tento standard dovoluje využívat WiFi technologii na frekvenci 5GHz a přenosová rychlost je 54 Mbit/s. Byl vydán v roce 1999, ale první přístroje schopné provozu se začaly prodávat až v roce 2001. Hlavní výhodou 5 GHz je, že kanály mají větší rozestupy a prostředí není tolik zarušené. Další výhody jsou stabilnější spojení a větší vysílací výkon. [5]

2.4.3

IEEE 802.11b

IEEE 802.11b byl schválen v roce 1999 a rozšiřuje standard 802.11. Podporuje rychlost 5,5 a 11 Mbit/s v pásmu 2,4 GHz. Při přímé viditelnosti může signál dosáhnout až 12 km. [5]

2.4.4

IEEE 802.11g

Další standard přinášející větší rychlost je IEEE 802.11g. Byl schválen v roce 2003 a rozšiřuje standard IEEE 802.11b. Pracuje na 2,4 GHz a podporuje rychlosti 6, 9, 12, 18, 24, 36, 48 a 54 Mbit/s. [5]

4

2.4.5

IEEE 802.11i

Tento standard nedefinuje rychlost ani frekvenční pásmo. Jedná se o vylepšený autentifikační a šifrovací algoritmus WPA2. Je to prozatím nejdokonalejší zabezpečení, které lze použít. Tento standard byl vydán v roce 2004 a starší zařízení, která mají slabý výpočetní výkon, toto zabezpečení nepodporují. [5]

2.4.6

IEEE 802.11n

Prozatím nejnovější standard co se týče rychlosti přenosu dat. Byl vydán v roce 2009. Pracuje na frekvenci 2,4 nebo 5 GHz a zvyšuje šířku signálu z 20 MHz na 40MHz. Maximální teoretická rychlost je 600 Mbit/s. Využívá se zde několikanásobného připojení, které se nazývá multiple-input multiple-output (MIMO), a které využívá více antén. Všechna zařízení, která podporují tento standard, jsou označena například značkou na obrázku č. 2. [5]

Obrázek 2: WiFi standard a ,b, g, n (Zdroj [2])

5

3 Zabezpečení WiFi Důvodem zabezpečení bezdrátové sítě je fakt, že na rozdíl od kabelů, se můžeme do WiFi napojit odkudkoliv. U kabelů to tak jednoduché není, záškodník by musel mít přímý fyzický přístup k zařízení, která jsou většinou uzamčená. Všichni klienti (PC, tiskárny, …) spolu komunikují prostřednictvím přístupového bodu (AP), takže je komunikace podobná jako v Ethernetu zapojeném do „hvězdy“ za použití HUBu (viz. Obrázek 3.), kdy všichni vidí, jaká data se vysílají a to nejen v rámci domu nebo bytu, ale i v okolí řádu desítek metrů, a za použití výkonné směrové antény lze zachytit signál řádově do několika kilometrů. To je tedy hlavní slabina WiFi, protože neexistuje způsob, jak doručit data z AP do klienta, aby to neviděl nikdo jiný. Řešení je využívat zabezpečení (šifrování WiFi signálu), v nejlepším případě WPA2, nebo také skrytí názvu sítě nebo filtrovat MAC adresy, to se ale nedoporučuje, protože je to velmi slabá až se dá říci žádná ochrana.

Obrázek 3: WiFi klient - server (Zdroj: autor)

Pokud necháme síť nezabezpečenou (otevřenou), nic nebrání útočníkovi získat naše data, pokud je ale síť zabezpečená (použití např. WPA2), útočník se nejdříve musí připojit k síti, to znamená, že nejprve musí znát heslo, kterým se k síti připojí.

6

Jestliže je tedy síť zabezpečena, je vidět jen šifrovaný signál, který nedává smysl, aby klient mohl komunikovat s ostatními klienty, kteří jsou připojeni do sítě, musí se k síti připojit. Připojovací proces je složitý a u zabezpečení WPA2 ho obstarává protokol EAP, viz kapitola 3.5.2. Pokud se útočníkovi podaří připojit k WiFi síti, už mu nic nezabrání, aby si mohl prohlédnout sdílené složky počítačů. Dále může taky odchytit z přenášených paketů přístupová hesla k internetovým účtům což může vést až ke krádeži internetové identity. Hlavní důvod, proč lidi nemají zabezpečené WiFi sítě je ten, že nevědí o tom, jaké nebezpečí jim hrozí a kolikrát ani nevědí, že mají po koupi nového přístupového bodu něco změnit. Další důvod může být ten, že se v síti vyskytuje starší zařízení, které neposkytuje lepší zabezpečení než WEP a lidem je líto toto pořád funkční zařízení vyhodit.

3.1

Skrytí SSID

Nejjednodušším zabezpečením je ukrytí SSID. Bohužel se SSID ukazuje při přihlašování klienta, takže vlastně síť není až tak neviditelná. Útočník také může vyvolat svým útokem znovupřihlášení klientů k přístupovému bodu a nemusí proto čekat, až se někdo z uživatelů sám připojí. Skrytí SSID se dnes už nedoporučuje, protože bezdrátovou síť stejně neochrání. Navíc když skryjeme SSID, není viditelná pro „obyčejné“ uživatele okolních sítí, kteří si chtějí nastavit WiFi kanál manuálně a mohou se trefit do naší bezdrátové sítě a tím způsobit chybovost a zpomalení přenášených dat. [6]

3.2

Kontrola MAC adres

V tomto případě má přístupový bod seznam povolených nebo seznam blokovaných MAC adres. Podle těchto seznamů pouští nebo blokuje zařízení do bezdrátové sítě. Pokud útočník odchytává pakety, může se mu podařit odhalit MAC adresu některého klienta, který má povolen přístup. Útočník si potom pomocí různých programů nastaví MAC adresu,

7

kterou odchytil, takzvaně bude klonovat MAC adresu na svém PC a bude se vydávat za zařízení, které má přístup do sítě. [6]

3.3

WEP

WEP je nejstarší zabezpečení a bohužel stále používané. WEP šifruje data proudovou šifrou RC4, uživatel si může zvolit 64bitový WEP s 40bitovým klíčem, 128bitový WEP se 104bitovým klíčem a některá zařízení podporují i 256bitový WEP, to ale není tak časté. Na internetu se vyskytuje velké množství programů a návodů, jak toto šifrování prolomit. WEP klíč je možné zjistit do pěti minut. Proto by se již nemělo vůbec používat. [7]

3.4

WPA

WPA bylo vytvořeno jako přechodné řešení, protože byl prolomen stávající WEP a nové zabezpečení 802.11i bylo nad síly existujícího hardwaru (HW). WPA používá taktéž proudovou šifru CR4, aby stačilo jen aktualizovat stávající zařízení. Je možné zvolit mezi WPA-PSK a WPA s RADIUS serverem. WPA-PSK je před sdílený klíč, který musí zadat uživatel na svém klientu, aby se mohl připojit do sítě. RADIUS je složitější, ale o to bezpečnější řešení, má význam jen u velkých společností nebo třeba ve školách, je to server, který uchovává přihlašovací jména a hesla k přístupu a po připojení klíč nezůstává stejný, ale průběžně se mění. Jsou zde možné dva způsoby šifrování buď TKIP nebo AES. V případě nekvalitního hesla lze WPA prolomit v řádu desítek minut, nachytané pakety se odešlou na speciální serverové farmy, kde jsou stovky počítačů, které Vám za malý poplatek heslo prozradí. Jak zvolit bezpečné heslo, je v kapitole 5.5. [7]

3.5

WPA2

WPA 2 je známo taky jako IEEE 802.11i. Na rozdíl od WPA „1“ má vylepšený šifrovací a autentizační algoritmus. Schválen byl 24. června 2004. WPA 2 používá blokovou šifru AES 8

a k autentizaci používá EAP. Se schválením tohoto zabezpečení by se mělo přestat používat WEP na všech zařízeních. Pokud je zvoleno dostatečně bezpečné heslo (viz kap. 5.5), považuje se WPA2 za neprolomitelné zabezpečení. Nevýhoda WPA 2 je ta, že ho začaly podporovat zařízení vyrobená až po roce 2006. Je náročné na výpočetní výkon, a proto nešlo pouze aktualizovat stávající zařízení. [8]

3.5.1

AES

Podle standardu IEEE 208.11i jde o symetrickou šifru, která je součástí WPA 2. Je to nástupce šifrovacího standardu DES, který byl 17. 6. 1997 prolomen. Využívá se zde symetrického klíče, to znamená, že pro zašifrování i pro dešifrování se používá stejný klíč. Délka klíče se může nastavit na 128, 192 nebo 256 bitů. Šifruje se v blocích po 128 bitech. Tato šifra je velmi rychlá. Vyvinuli ji Joan Daemen a Vincent Rijmen, proto se někdy můžeme setkat s názvem Rijndael. [9]

3.5.2

EAP

Tento protokol zprostředkovává konverzaci vzdáleného klienta s ověřovatelem (AP). Ověřovatel se vyptává klienta, a pokud klient správně odpovídá, pokračuje ověřování. K úspěšnému ověření a připojení klienta do sítě dojde jen tehdy, pokud podporují oba dva stejný typ ověřování EAP a klient správně odpovídá. Typů ověřování je hned několik. [10] •

LEAP

•

EAP-TLS

•

EAP-MD5

•

EAP-PSK

•

EAP-TTLS

•

EAP-IKEv2

•

EAP-FAST

•

EAP-SIM

•

EAP-AKA

•

EAP-AKA' 9

3.6

•

EAP-GTC

•

EAP-EKE

802.1X

Toto zabezpečení se využívá jak v bezdrátových sítích, tak v sítích LAN. Využívá toho, že pokud se klient chce připojit do sítě, musí se nejprve autorizovat (zadat login a heslo), pokud klient nezadá správné heslo nebo přihlašovací jméno, server mu nedovolí se připojit do sítě. [11]

10

4 Útoky na bezdrátové sítě Útokům na bezdrátové sítě se není téměř možné vyhnout. WiFi signál je přenášen vzduchem, a proto k němu má přístup každý.

4.1

Útok hrubou silou

Tento typ útoku funguje tak, že útočník použije specifický program, který vytváří hesla a zkouší je použít k připojení k WiFi. Hesla se mění vždy o jeden znak, např.: aaa, aab, aac, … Pokud je použito heslo s dvaceti znaky, které má malá a velká písmena, speciální znaky a číslice, je heslo v dnešní době neprolomitelné. [12]

4.2

Hádání hesla ze slovníku

Tento útok je obdobný útoku hrubou silou, jediný rozdíl je v tom, že program zkouší nejrůznější hesla, která jsou ve slovníku. Hesla jako 123456, qwertz, heslo nebo aaabbb jsou ve slovníku na prvním místě, protože je plno lidí, kteří tato hesla používají. Pokud se vaše heslo neshoduje s žádným heslem ve slovníku, jste v bezpečí. [12]

4.3

Odposlouchávání

WiFi sítě není kvůli přenosu signálu vzduchem žádný problém odposlouchávat. Odposlouchávání zabezpečené WiFi sítě útočníkovi neprozradí žádná citlivá data, slouží pouze k prolomení hesla. Pokud je WiFi síť nezabezpečená, je možné jednoduše pomocí specializovaných programů zjistit kompletní provoz na síti. Útočník tak zjistí, jaké stránky prohlížíte, to je ale asi nejmenší problém, mnohem horší je, že pokud se ke svým účtům nepřihlašujete přes SSL, je heslo pro útočníka viditelné. [12]

11

4.4

DoS

Tento typ útoku se využívá hlavně k dočasnému odstavení bezdrátového přístupového bodu. DoS útoků je veliké množství a na spoustu z nich existují záplaty. Útočník posílá velké množství dotazů na bezdrátový přístupový bod, ten se může zahltit a stane se tak nedostupný, zablokuje se nebo se restartuje. Může se stát, že pád přístupového bodu zaviní i jen jeden jediný speciálně upravený paket. [12]

4.5

Nejznámější průlomy do WiFi

4.5.1

Průlom WEP

WEP bylo první zabezpečení bezdrátové sítě, a také už bylo dávno prolomeno. K průlomu došlo v srpnu roku 2001. Toto zabezpečení bylo špatně navržené hned od samého začátku. WEP totiž nevyvinuli odborníci na bezpečnost a kryptografii, a toto zabezpečení uvedli do provozu i bez řádného testování a konzultací s odborníky. Tyto okolnosti vedly ke vzniku WPA a WPA2. [11]

4.5.2

Klíč WPA za 17 dolarů

V tomto případě je možné prolomit WPA, pokud je heslo jednoduché a nachází se ve slovníku. Stejně jako u WEP stačí nachytat potřebné množství paketů například nástrojem aircrack-ng a poslat je na stránku www.wpacracker.com, kde je možné si pronajmou 400 CPU a slovník, který obsahuje 136 milionů slov. Heslo by mělo být prolomeno za 20 až 40 minut. [5]

4.5.3

Průlom podnikové WPA 2

WPA2 lze prolomit, jen pokud je nastavena jako podniková, a ještě k tomu se používá GTK, například školní WiFI síť Eduroam nepoužívá GTK, proto žádné nebezpečí nehrozí.

12

Indickému bezpečnostnímu expertovi Sohail Ahmas se podařilo dostat do firemní WPA 2, využil k tomu dlouho známou chybu s názvem 196. Tato „Bezpečnostní díra 196“ má název podle stránky v standardu IEEE 802.11, kterého se slabina týká. Podniková WPA 2 totiž používá dva šifrovací klíče, PTK a GTK. Klíč PTK je jedinečný pro každého uživatele a klíč GTK je klíč pro všechny klienty v dané síti. Útočník využívá toho, že GTK nedokáže odhalit falešné pakety, které útočník posílá na jiného uživatele v síti. Pro tuto bezpečnostní díru bohužel není známa žádná ochrana. [8, 13]

4.5.4

Prolomení WPA a WPA2 pomocí grafické karty

Pomocí ruského nástroje Wireles Security Auditor od ElcomSoftu je možné pomocí wifi a grafické karty uhádnou heslo. Samozřejmě grafická karta musí být opravdu výkonná. Využívá se autentizace, to je slabé místo pro odhalení hesla. Protože než se dokončí autentizace, musí si WiFi moduly mezi sebou důvěřovat. Každá strana vypočítá z hesla WiFi, názvu sítě a délky SSID klíč PMK. S ním pak na základě PTK, MAC adres a náhodných čísel vygenerují komponenty příslušným šifrovacím algoritmem AES zašifrování. Zde se využívá toho, že MAC adresy a náhodná čísla se přenášejí nezabezpečeně. Útočníci se snaží rozšifrovat PMK a z toho potom vypočítají PTK. Používá se útok hrubou silou, proto je zapotřebí enormní výpočetní výkon. Tady přichází na řadu grafická karta, program může nechat pracovat až 8 GPU s libovolným počtem jader. Mohly by to být 4 grafické karty se zdvojenou GPU, které jsou propojeny SLI. Pokud se použijí dostatečně výkonné modely grafických karet, může program vyzkoušet až stovky milionů hesel za sekundu. Uvádí se, že heslo by mělo být dlouhé alespoň 20 znaků, mělo by obsahovat velká i malá písmena abecedy, speciální znaky a číslice. [11, 14]

13

5 Základní nastavení WiFi Nastavení WiFi sítě by mělo být provedeno vždy po koupi nového přístupového bodu. Je špatné a nezodpovědné jen přístroj zapojit do elektrické sítě a připojit k němu ethernetový kabel s internetem. Výrobce bezdrátového přístupového bodu nikdy dopředu nenastaví žádné zabezpečení, bývá nastaveno pouze administrátorské heslo, pokud ale nezměníme název sítě, může si útočník heslo jednoduše dohledat na internetu. Nastavení WiFi je ukázáno na přístroji ZyXEL NBG-416N. Toto nastavení je základní, a proto by mělo být na všech WiFi zařízeních podobné.

5.1

Jak provést nastavení

Jak se dostat do nastavení vaší WiFi je popsáno v návodu, který je standardně dodáván v balení. Do adresní řádky v internetovém prohlížeči se musí napsat IP adresa zařízení např.: 192.168.1.1, poté se zobrazí výzva k napsání přihlašovacího jména a hesla. Tyto tři údaje jsou uvedeny v návodu a pro každého výrobce se liší. Po každé úpravě nastavení, je nutné nastavení uložit tlačítkem „Uložit změny“ nebo „Aplikovat změny“.

5.2

Změna názvu sítě

Název sítě neboli SSID, by mělo být změněno. Lze podle něj identifikovat zařízení, které používáme. Další důvod je ten, že v oblasti s více WiFi sítěmi při stejném SSID nedojde při manuálním připojování k síti ke zbytečnému nedorozumění „Která síť je ta moje?“. Změna SSID se provádí v záložce „Síť > Wireless LAN > Obecný“. Původní název se přepíše na nějaký neutrální název např.: „WiFinka“, z toho není možné vyčíst typ ani vlastníka zařízení. Ukázka je na obrázku číslo 4.

14

Obrázek 4: Nastavení SSID a zabezpečení (Zdroj: autor)

5.3

Změna administrátorského hesla k přístupovému bodu

Administrátorské heslo slouží k samotnému přístupu do nastavení bezdrátového bodu. Nachází se v záložce „Údržba/správa > Systém > Obecný“. Je nutné uvést staré (defaultní heslo od výrobce) a poté napsat nové heslo. Administrátorské heslo nemusí být extra složité, protože se do administrátorského rozhraní lze dostat většinou jen z PC, které je do sítě připojeno.

5.4

Nastavení zabezpečení WPA2

Zabezpečení se nastavuje stejně jako SSID v záložce „Síť > Wireless LAN > Obecný“. Security mod se nastaví na WPA2-PSK a typ šifry se zvolí AES, poté se musí zvolit heslo, které bude sloužit pro připojení do sítě. O volbě hesla je kapitola 5.5.

15

5.5

Bezpečné heslo

Bezpečné heslo by mělo být dlouhé asi 20 znaků. Mělo by být složeno z malých a velkých písmen, číslic a speciálních znaků. Heslo by nemělo být složeno ze slov, ale jen z nic neříkajících znaků, aby nebylo možné ho prolomit pomocí slovníku. Například toto heslo z obrázku číslo 4 „b+e&z|p<e8č&n#é_h0e-s!l]o“ je složeno z 25 znaků, asi nikdo by si ho nedokázal zapamatovat, proto stačí, když se heslo napíše na papírek a ten se přilepí zespodu na přístupový bod. Toto heslo použijete pro připojení do WiFi sítě jen jednou, protože se ukládá v klientovi (pokud nezvolíte jinak).

5.6

Nastavení přístupu MAC adres

Povolování nebo zakazování přístupu MAC adres, je zbytečné, protože pro zkušeného útočníka to nepředstavuje žádnou překážku a znamená to pro něj maximálně pár minutové zdržení. Jak je už zmíněno výše v kapitole 3.2, MAC adresa je unikátní identifikátor síťové karty a tedy i zařízení, které se připojuje do sítě. V zařízení WiFi je seznam povolených nebo zakázaných MAC adres zařízení, které se mohou připojit. V záložce „Síť > Wireless LAN > MAC filter“ je nejprve nutné toto zabezpečení aktivovat, poté je možné zadat povolené nebo zakázané MAC adresy a zvolit povolit nebo blokovat. MAC adresu je možné zjistit v příkazové řádce zadáním příkazu ipconfig –all. Příkazová řádka se v počítačích s operačním systémem Windows vyvolá stisknutím tlačítka start > spustit > cmd.

5.7

WPS (QSS)

WPS neboli QSS, záleží na výrobci, je služba, která má usnadnit uživatelům připojit se k WiFi síti, bez nutnosti nastavování hesla, popřípadě dalších parametrů na klientovi. Stačí pouze tuto službu v AP aktivovat a znát pin, který je nastaven buď defaultně od výrobce, nebo od uživatele a poté se stisknutím jednoho tlačítka na přístupovém bodu a zadáním krátkého pinu na klientu připojit do sítě. 16

Doporučuje se tuto službu nepoužívat, protože představuje bezpečnostní riziko. Není přece tak pracné jednou uložit do PC heslo pro připojení k síti a vyhnout se tak tomuto „zjednodušení“.

17

6 Metodika 6.1

Cíl výzkumu

Hlavním cílem výzkumu bylo zjistit, jaké znalosti zabezpečení mají uživatelé WiFi sítí a porovnat je s daty, která jsem získal monitorováním WiFi sítí v dané oblasti.

6.2

Dotazník

Hlavním cílem bylo zjistit, jaké znalosti zabezpečení mají uživatelé WiFi sítí. Pro získání dat bylo nutné kontaktovat veřejnost. Zvolil jsem dotazník, kterým jsem ověřil znalosti respondentů, část dotazníků jsem rozeslal e-mailem a část respondentů jsem oslovil osobně. Dotazník byl vytvořen jako dokument PDF s formulářovými poli, který se po vyplnění a stisknutí tlačítka „Odeslat formulář“ automaticky odeslal na server Adobe.com. Výsledky jsem zpracoval metodou relativní četnosti. V dotazníku jsou otázky otevřené, uzavřené a polozavřené. Dotazník je v příloze A.

6.3

Monitorování WiFi sítí

Hlavním cílem monitorování WiFi sítí bylo nashromáždit data, která byla následně porovnána s dotazníkem. Monitoring WiFi sítí jsem prováděl pomocí mobilního telefonu HTC Sensation a volně šiřitelné aplikace RF Signal Tracker, která poskytuje výstup ve formátu XML. Tento výstup jsem musel zbavit duplicit, které vznikaly, protože aplikace skenuje WiFi sítě každých 5 metrů. Data jsem filtroval podle MAC adresy, protože MAC adresa je na každém zařízení jedinečná. Poté jsem tyto MAC adresy odstranil, aby nebyly v tabulce. Část této tabulky je v příloze B, je zde ale uveden pouze zlomek dat, aby bylo vidět, jaká data jsou dostupná při monitorování. Kdybych uvedl celou tabulku s 848 záznamy, zabírala by asi 30 stran.

18

Jednotlivé sloupečky v tabulce jsou Č., SSID, frekvence, latitude, longtitude, zabezpečení a MAC. Č. je pouze radová číslovka WiFi sítě, která nám nic neudává, slouží jen jako číselné označení sítě. SSID je textový název sítě. Frekvence je vyjádřena v MHz a lze jí zaměnit za kanál, na kterém bezdrátový přístupový bod vysílá. Latitude a longtitude jsou GPS souřadnice, na kterých bylo měření pořízeno, neudávají tedy přesnou polohu přístupového bodu. Sloupeček zabezpečení ukazuje, jaké zabezpečení WiFi síť používá. MAC je unikátní identifikátor zařízení, který by měl být v ideálním případě jedinečný a neměl by se nikdy opakovat, celý tento sloupeček byl nahrazen hvězdičkami.

6.3.1

Ukázka aplikace RF Signal Tracker na mobilním telefonu

V aplikaci lze vyvolat seznam všech WiFi sítí, které byly monitorovány, jsou zde uvedeny všechny údaje, které jsou také v tabulce v příloze B a jsou popsány v kapitole 6.3. Na rozdíl od tabulky v příloze B, zde GPS souřadnice co nejvíce odpovídají skutečné poloze WiFi zařízení. BSSID neboli MAC adresy jsem rozmazal (viz obrázek 5.).

Obrázek 5: WiFi databáze a mapa Wifi sítí (Zdroj: autor)

19

7 Výsledky dotazníku Otázka č. 1: Kde všude se připojujete k internetu pomocí WiFi? Tato otázka byla zvolena, protože nám ukazuje, kde všude se lidé připojují k WiFi sítím. Většinou v práci a ve škole je velmi dobré zabezpečení. Naproti tomu veřejná místa bývají úplně nezabezpečená, protože nemá smysl dávat každému přístupové heslo, když přišel jen na snídani do rychlého občerstvení. V této síti by se lidé neměli přihlašovat k žádným internetovým účtům (pokud nepoužívá SSL v průběhu celého připojení), ale jen číst novinky ze světa atd. Veřejná místa jsou tedy rájem pro útočníky, kteří chtějí získat logovací údaje na uživatelské účty. Doma mají lidé zabezpečení podle svého uvážení, tím se zabývá otázka č. 3 a 6. 100% 90%

84%

80% 70%

62%

60% 49%

50%

39%

40% 30% 20% 10% 0% Domov

Práce

Škola

Veřejná místa

Obrázek 6: Graf k otázce č. 1 (Zdroj: autor) Tabulka 1: Otázka č. 1 (Zdroj: autor)

Místo

Výskyt

Procentuální výskyt [%]

Domov Práce Škola Veřejná místa

121 56 70 89

84 39 49 62

Z grafu je vidět, že nejvíce se respondenti připojují doma (84 %), pak na veřejných místech (62 %), ve škole (49 %) a v práci (39 %).

20

Otázka č. 2: Když se připojujete mimo domov, přihlašujete se k e‐‐mailu nebo k jiným internetovým účtům? Vyplňte, jen pokud se připojujete k WiFi i mimo domov. Přihlašování k internetovým účtům mimo domov je nebezpečné, protože neznalí uživatelé nevědí, jaký typ zabezpečení je použit a jestli je vůbec síť zabezpečena. Pokud se připojují v práci nebo ve škole, tak většinou nic nehrozí. Nejhorší je připojení do veřejných sítí, které může být sledováno. V roce 2010 se objevil program FireSheep, který napsal Eric Butler proto, aby se lidé dozvěděli, jak je nebezpečné využívat nechráněné WiFi sítě a stránky bez SSL, a aby donutil provozovatele internetových služeb k řešení tohoto problému. Po nainstalování doplňku do internetového prohlížeče FireFox jen stačí zmáčknout jediné tlačítko a získat tak přístup na cizí účet. [15]

13% Ano Ne 87%


Ano/Ne

Výskyt


Ano Ne

104 16

87 13

Graf ukazuje, jestli se lidé připojují k internetovým účtům mimo domov. „Ano“ odpovědělo 104 respondentů, tj. 87 % a „ne“ odpovědělo 16 respondentů, tj. 13 %. Část respondentů se připojuje právě na veřejných místech, to vyplývá z otázky č. 1.

21

Otázka č. 3: Jaké zabezpečení doma používáte? Vyplňte, jen když máte doma WiFi. Tato otázka ukazuje, jaké zabezpečení doma lidé používají. O každém z těchto zabezpečení je více napsáno v kapitole 3 zabezpečení WiFi. Respondenti měli na výběr z možností: „WEP“, „WPA“, „WPA2“, „kontrola přístupu MAC adres“, „skrytí názvu sítě (SSID)“, „žádné“ a „nevím“. 100% 90% 80% 70% 60% 50%

41%

40%

40% 30% 20% 10%

10%

15% 5%

4%

3%

0% WEP

WPA

WPA2

kontrola skrytí názvu přístupu MAC sítě (SSID) adres

žádné

nevím


Zabezpečení

Výskyt


WEP WPA WPA2 kontrola přístupu MAC adres skrytí názvu sítě (SSID) žádné nevím

12 6 50 18 4 5 49

10 5 41 15 3 4 40

Tento graf nám ukazuje, že 50 % respondentů doma využívá zabezpečení WPA2. WPA využívá 5 % respondentů, WEP využívá 10 % respondentů, kontrolu přístupu MAC adres používá 15 % uživatelů a skrytí názvu sítě (SSID) využívá jen 3 % dotázaných. Žádné zabezpečení nemá nastaveno 4 % uživatelů. 40 % uživatelů neví, jaké zabezpečení mají doma nastavené, to může být způsobeno tím, že jim síť nastavoval někdo jiný a oni sami se o to nezajímají.

22

Otázka č. 4: Jak dlouhé heslo používáte pro připojení k domácímu bezdrátovému bodu? Vyplňte, jen když máte doma WiFi. Tato otázka ukazuje, jak dlouhé heslo lidé používají, když se chtějí připojit ke svému bezdrátovému bodu. Respondenti mohli vypsat číslem, kolik znaků má jejich heslo anebo zaškrtnout, že heslo neznají nebo si ho nepamatují. Heslo si lidé pamatovat nemusejí, protože je většinou uloženo v nastavení PC a musí se tedy zadat jen jednou. Někteří lidé heslo neznají, protože jim ho do PC mohl zadat někdo jiný, a dokud WiFi síť funguje, nic neřeší. Do tabulky jsou hesla rozdělena podle délky do 9 znaků, 10 až 19 znaků a 20 a více znaků.

16%

27%

Do 9

15%

10 až 19

5%

20 a více Nepamatuji si

37%

Heslo není nastaveno


Počet znaků

Výskyt


Do 9 10 až 19 20 a více Nepamatuji si Heslo není nastaveno

33 45 6 17 20

27 37 5 15 16

Z grafu vyplývá, že nejčastěji mají respondenti nastaveno heslo mezi 10 a 19 znaky (37%). Do 9 znaků má dlouhé heslo 27 % uživatelů a nad 20 znaků má jen 5 % respondentů, a to je velmi málo. Svoje heslo si nepamatuje 15 % uživatelů. Dále 16 % respondentů odpovědělo, že heslo není nastaveno, to znamená, že nepoužívají zabezpečení WEP, WPA ani WPA2.

23

Otázka č. 5: Co není zabezpečení WiFi sítě? Tato otázka kontroluje, jestli uživatelé vědí, která z nabízených možností se netýká zabezpečení WiFi sítě. Na výběr má uživatel z „WEP“, „WWW“, „WPA“ a „nevím“. Zabezpečení WiFi je popsáno v kapitole 3. Správná odpověď je WWW (World Wide Web), není to zabezpečení, ale označení internetového protokolu HTTP (HyperText Transfer Protocol).

4%

29%

WEP WWW WPA

67%

Nevím


Zabezpečení

Výskyt


WEP WWW WPA Nevím

6 96 0 42

4 67 0 29

Na tuto otázku odpovědělo správně 67 % respondentů. Jako správnou odpověď WEP uvedlo 4 % dotazovaných, WPA nezvolil nikdo a nevědělo 29 % respondentů.

24

Otázka č. 6: Provedli jste některé změny v nastavení vašeho přístupového bodu, když jste si ho pořídili? Vyplňte, jen když máte doma WiFi. Otázka č. 6 zjišťuje, jaké zabezpečení nastavili uživatelé WiFi sítí, když si domů přinesli nový bezdrátový přístupový bod. Na výběr bylo „změna administrátorského hesla“, „změna názvu sítě (SSID)“, „nastavení zabezpečení“, „nevím (dělal to někdo jiný)“ a „jiné“, kde respondenti vypsali další možnosti zabezpečení, které využívají. Jako další zabezpečení uvedli „skrytí SSID“ a „filtrace MAC“. 100% 90% 80% 70% 60% 50%

50%

46%

41% 34%

40% 30% 20% 10%

2%

2%

Skrytí SSID

Filtrace MAC

0% Změna adm. hesla

Změna SSID

Nastavení zabezpečení WiFi

Nevím (dělal to někdo jiný)


Nastavení

Výskyt


Změna administrátorského hesla Změna názvu sítě (SSID) Nastavení zabezpečení WiFi Nevím (dělal to někdo jiný) Skrytí SSID Filtrace MAC

41 50 56 60 2 3

34 41 46 50 2 2

Z grafu je vidět, že v 50 % případů, si respondenti nechali nastavit bezdrátový bod od někoho jiného. Nastavení zabezpečení udělalo 46 % respondentů, změna názvu sítě (SSID) je v 41 %, změna administrátorského hesla 34 %, skrytí SSID jen 2 % a filtrace MAC adres také jen 2 %.

25

Otázka č. 7: Co se podle Vás může stát, když budete připojeni k síti, která není zabezpečena? Tato otázka byla zcela otevřená a respondenti měli možnost vypsat, co se může stát, pokud budou připojeni k WiFi síti, která nebude zabezpečena. Objevovaly se tyto možnosti: „chytnu počítačový vir“, „mohu být odposloucháván“, „někdo bude využívat moje internetové připojení“ a „nevím“. Správné odpovědí jsou tedy odposlouchávání a využívaná cizí WiFi sítě.

14%

Chytnu počítačový vir

45% Mohu být odposloucháván 31% Někdo bude využívat moje internetové připojení 10%

Nevím


Co se může stát

Výskyt


Chytnu počítačový vir Mohu být odposloucháván Někdo bude využívat moje internetové připojení Nevím

20 44

14 31

15

10

65

45

Z grafu je patrné, že o možnosti odposlouchávání ví 31 % respondentů. O tom, že může někdo využívat nezabezpečenou WiFi k přístupu na internet a tak se vyhnout placení za internet ví 10 % dotazovaných. 45 % respondentů neví a 14 % si myslí, že mohou chytit počítačový vir, což je nesprávné, protože o to se stará antivir, který je přímo nainstalovaný na PC.

26

Otázka č. 8: Jaké přístroje, které máte doma, se připojují k WiFi? Vyplňte, jen když máte doma WiFi. Tato otázka zjišťuje, jaké přístroje mají doma respondenti, kteří mají doma WiFi síť. Na výběr bylo z možností: „počítač“, „televize“, „mobilní telefon“ a „jiné“, kde dotazovaný mohl vypsat další možné přístroje, které má doma. Respondenti uvedli jako další přístroje E-book, to je elektronická kniha, která se připojuje k internetu, aby mohla stahovat aktualizace nebo se připojovala ke knižnímu vydavatelství. Dále uvedli bezdrátovou tiskárnu, která se připojuje k WiFi proto, aby mohli uživatelé tisknout bez omezení z celého bytu. Právě starší tiskárny nedisponují zabezpečením WPA nebo WPA2 a stávají se tak slabým článkem ve WiFi síti, protože kvůli tomu na přístupovém bodu nelze toto zabezpečení nastavit. 100%

100%

90% 76%

80% 70% 60% 50% 40% 30% 20%

13%

10%

4%

2%

Tiskárna

E-book

0% Počítač

Televize

Mobilní telefon


Přístroj

Výskyt


Počítač Televize Mobilní telefon Tiskárna E-book

121 16 92 5 3

100 13 76 4 2

Jak je vidět, všichni, kdo mají doma WiFi, mají doma i počítač. Mobilní telefon s WiFi připojením má 76 % respondentů. Televizi s WiFi připojením má 13 % dotazovaných, tiskárnu 4 % a E-book jen 2 % respondentů. 27

Otázka č. 9: Vyberte zabezpečení, které by se už nemělo používat. Otázka č. 9 zjišťuje, jestli respondenti vědí, které zabezpečení by se už nemělo používat. Na výběr bylo mezi „WEP“, „WPA“, „WPA2“, „ani jedno z nabízených“ a „nevím“. Správná odpověď je WEP, za správnou odpověď lze považovat i WPA, protože toto zabezpečení bylo vytvořeno jen jako meziskok mezi WEP a WPA2.

WEP

39%

45%

WPA WPA2 6%

3%

ani jedno z nabízených

7%

nevím


Zabezpečení

Výskyt


WEP WPA WPA2 ani jedno z nabízených nevím

56 10 5 8 65

39 7 3 6 45

Z grafu je vidět, že 39 % respondentů ví, že by se již zabezpečení WEP nemělo používat. Jako správnou odpověď WPA zvolil 7 % respondentů. WPA2 zvolili 3 % respondentů. Ani jedno z nabízených zvolilo 6 % dotazovaných a neví 45 %. Po sečtení dobrých (WEP, WPA) a špatných odpovědí vychází, že dobře odpovědělo 46 % respondentů a špatně odpovědělo nebo neví 54 % všech respondentů a to je velké číslo. Znamená to, že vlastně neví, co mají na svém přístupovém bodu nastavit.

28

Otázka č. 10: Provádíte doma při připojení přes WiFi: Vyplňte, jen když máte doma WiFi. Tato otázka zjišťuje, jestli uživatelé doma provádí finanční operace, když jsou připojeni přes WiFi. Na výběr bylo z možností „nákup na e-shopu (platba kartou)“, výhradně tedy nákup spojený s platbou kreditní kartou, protože objednávka na dobírku není z hlediska WiFi bezpečnosti nebezpečná. Dále byla možnost „přihlašování do elektronického bankovnictví“, „Finanční služby při připojení přes WiFi nepoužívám“ a „Jiné finanční operace“, kdy mohl respondent vypsat to, co v dotazníku chybělo, ale to nikdo neudělal, tak to není v grafu zahrnuto. Dotazovaní mohli zaškrtnout více odpovědí. 100% 90% 80% 68%

70%

61%

60% 50% 40%

32%

30% 20% 10% 0% Nákupy na e-shopu (platba kartou)

Přihlašování do elektronického bankovnictví

Finanční služby při připojení přes WiFi nepoužívám


Finanční služby Nákupy na e-shopu (platba kartou) Přihlašování do elektronického bankovnictví Finanční služby při připojení přes WiFi nepoužívám

Výskyt


75

61

82

68

39

32

Z grafu je vidět, že kartou platí 61 % respondentů připojených přes WiFi, 68 % respondentů využívá elektronického bankovnictví a finanční služby při připojení přes WiFi nevyužívá 32 % respondentů.

29

8 Výsledky monitorování WiFi sítí Výsledek monitorování č. 1: Nejnižší použité zabezpečení Tento graf ukazuje nejnižší zabezpečení, které používají přístupové body. Všechny tyto typy zabezpečení jsou popsány v kapitole 3. Nejnižší možné zabezpečení je zabezpečení, které je možné použít k útoku na bezdrátový přístupový bod. V dalším grafu je o jednu možnost zabezpečení více, a to o WPA/WPA2, zde se využívá toho, že při navázání spojení se zařízení dohodnou, jaké zabezpečení se bude používat k jejich komunikaci. Zde je právě kámen úrazu, protože útočník samozřejmě nezvolí WPA2 ale jen WPA. Proto je síť se zabezpečením WPA/WPA2 bezpečná jen jako WPA. Pokud se jedná o otevřené sítě, je možné že používají VPN tunel, který nemusí být chráněn žádným zabezpečením.

21%

7% 24%

Otevřená WEP WPA WPA2

48%

Obrázek 16: Graf k výsledku monitorování č. 1 (Zdroj: autor) Tabulka 11: Výsledek monitorování č. 1 (Zdroj: autor)

Použité zabezpečení

Výskyt


Otevřená WEP WPA WPA2

57 209 405 176

7 24 48 21

Z grafu je patrné, že téměř většina přístupových bodů, je zabezpečena pomocí WPA (48 %). WEP používá 24 %, WPA2 používá 21 % a 7 % tvoří otevřené sítě.

30

Výsledek monitorování č. 2: Použité zabezpečení včetně WPA/WPA2 Jak je uvedeno u předchozího grafu, zde je navíc zabezpečení WPA/WPA2, nejedná se tedy o nic jiného, než že lze používat buď zabezpečení WPA nebo zabezpečení WPA2. Útočník ale vždy zvolí nižší zabezpečení, a to je WPA. WPA/WPA2 se využívá, když máme v síti starší zařízení, které WPA2 neumí.

7%

21%

25%

Otevřená WEP

21%

WPA WPA2 26%

WPA/WPA2


Použité zabezpečení

Výskyt


Otevřená WEP WPA WPA2 WPA/WPA2

57 209 225 176 180

7 25 26 21 21

Jak vidíme, v grafu zůstávají stejné díly u WEP (25 %), WPA2 (21 %) a otevřené sítě (7 %). Změna nastala u WPA, která zabírala 48 %, se díl rozdělil na WPA a WPA/WPA2. Nyní WPA zabírá 26 % a WPA/WPA2 zabírá 21 %.

31

Výsledek monitorování č. 3: Názvy sítě Tento graf nám ukazuje, kolik procent WiFi přístupových bodů má změněn, respektive nezměněn název sítě. Původní (defaultní) název sítě může útočníka upozornit, že tuto síť nikdo nenastavoval anebo se nastavení dostatečně nevěnoval. Podle názvu sítě je možné určit, o jaké zařízení se jedná (v některých případech jen o značku a v některých i konkrétní typ zařízení). Na internetu je poté k nalezení seznam hesel, které může útočník vyzkoušet, protože předpokládá, že pokud není změněn název sítě, nemusí být změněno ani defaultní heslo, nebo se může podívat na konkrétní slabiny, které toto zařízení má.

12%

Změněný název Původní název 88%


Název sítě

Výskyt


Změněný název Původní (defaultní) název

746 102

88 12

Z měření vyplývá, že 88 % sítí má změněn název a zbytek, tj. 12 % má původní (defaultní) název sítě. Původní název má tedy 102 zařízení z 848, a není málo.

32

Výsledek monitorování č. 4: Frekvence sítí V tomto grafu vidíme, jaké kanály používají WiFi sítě. Jak je již v práci uvedeno, kanál je frekvence, na které zařízení pracuje. Je definováno 14 kanálu, ale v Evropě lze použít pouze 13 kanálů. Kanály jsou od sebe vzdáleny 5 MHz, ale připojení k WiFi vyžaduje 20 MHz, takže jedno připojení zabere 5 kanálů, např. nastavení WiFi na kanál 6 nám zabere i kanály 4, 5, 7 a 8. Pokud by fungovaly více než 3 WiFi sítě vedle sebe, docházelo by k rušení, které by zvýšilo chybovost přenosu a to by mělo za následek zpomalení rychlosti přenosu. 2% 8%

Kanál 1

22%

Kanál 2

17%

3% 3%

4% 5% 5%

2% 3%

24%

3%

Kanál 3 Kanál 4 Kanál 5 Kanál 6 Kanál 7 Kanál 8


Kanál

Výskyt


Kanál 1 Kanál 2 Kanál 3 Kanál 4 Kanál 5 Kanál 6 Kanál 7 Kanál 8 Kanál 9 Kanál 10 Kanál 11 Kanál 12 Kanál 13

185 28 26 19 24 192 25 39 45 35 147 16 67

22 3 3 2 3 23 3 5 5 4 17 2 8

Z měření vyplývá, že nejvíce se používá kanál 6 (23 %), dále kanál 1 (22 %) a kanál 11 (17 %). Všechny ostatní kanály jsou využívány málo, asi právě proto, že by docházelo k překrývání sítí. Novější přístupové body mají funkci automatického nastavení kanálu, který není využíván, nebo je využíván nejméně. 33

9 Porovnání dotazníku a monitorování Porovnání č. 1 Výsledek monitorování č. 1: Nejnižší použité zabezpečení a otázka č. 3: Jaké zabezpečení doma používáte, ukazují, že výsledky jsou zcela odlišné. Monitorování ukazuje, že otevřených sítí je 7 %, WEP používá 24 % sítí, WPA 48 % a WPA2 21 %, naproti tomu z dotazníku je vidět, že respondenti vyplnili, že otevřených sítí jsou 4 %, WEP používá 10 %, WPA 5 % a WPA2 41 %. Realita je tedy jiná, než co uvedli respondenti v dotazníku. Tabulka 15: Výsledek monitorování č. 1 a otázka č. 3 (Zdroj: autor)

Zabezpečení

Výsledek monitorování č. 1

Otázka č. 3

Otevřená

7%

4%

WEP

24 %

10 %

WPA

48 %

5%

WPA2

21 %

41 %

Porovnání č. 2 Porovnání výsledku monitorování č. 3: Názvy sítě a otázky č. 6: Provedli jste některé změny v nastavení vašeho přístupového bodu, když jste si ho pořídili? Výsledek monitorování č. 3 ukazuje, že původní název má 12 % WiFi sítí a 88 % má změněný název, naproti tomu je z dotazníku patrné, že dotazovaní vyplnili, že změnu názvu provedli na 41 % přístupových bodech. Jak je vidět, zde je také realita jiná, ale to může být způsobeno i tím, že 50 % sítí nenastavovali uživatelé sami.

34

10 Závěr WiFi sítě jsou dnes velmi rozšířené. Monitorování probíhalo ve městě Čelákovice a bylo naskenováno 848 WiFi sítí a mnoho z nich nemá dostatečné zabezpečení. Z celkového počtu 848 sítí, používá zabezpečení WPA2 jen 176 sítí (tj. 21 %), a to je velmi málo. Dále 102 WiFi sítí (tj. 12%) má stále původní nezměněný název, to může ukazovat na to, že vlastník se nastavením své WiFi sítě moc nezdržoval. WiFi sítě vysílají hlavně na kanálu 1 (22 %), na kanálu 6 (23 %) a na kanálu 11 (17 %), každý další kanál se využívá asi ze 4 %. Dotazník obsahoval 10 otázek, které měly ověřit znalosti respondentů ohledně WiFi a také, jak mají doma WiFi nastavenou. Bylo získáno 144 vyplněných dotazníků. Každá otázka je zde v práci rozepsána na jeden list a obsahuje graf a tabulku. Z celkového počtu 144 respondentů, má doma WiFi 121 (tj. 84 %) a 98 (tj. 62 %) respondentů se připojuje k WiFi na veřejných místech. Dále uvedlo 41 % respondentů, že používají zabezpečení WPA2. Jen 5 % respondentů používá heslo delší než 20 znaků a 37 % respondentů má heslo dlouhé 10 až 19 znaků. Na otázku, co není zabezpečení WiFi sítě, odpovědělo správně 67 % respondentů. Skrytí SSID a filtrování MAC adres používá jen 2 % respondentů, to je dobrý výsledek, protože tato zabezpečení síť téměř vůbec neochrání a není doporučeno je používat. Porovnání dotazníku a dat z monitorování WiFi sítí ukazuje, že realita je jiná, než co vyplnili respondenti, např. monitorování ukazuje, že WPA2 používá 21 % přístupových bodů, ale v dotazníku uvedlo používání WPA2 41 % respondentů. Je až zarážející, že od vzniku WiFi uplynulo již téměř 15 let a WiFi je hodně rozšířená, ale spousta uživatelů nemá základní znalosti ohledně této technologie a WPA2, jakožto dnes jediné opravdu dobré zabezpečení, používá jen 21 % monitorovaných sítí.

35

Terminologický slovník Termín

Význam [zdroj]

CCMP

Šifrovací protokol, který je součástí IEEE 802.11i. [17]

GTK

Klíč, který je odvozený z GMK [12]

Klient

Zařízení, které se připojuje do WiFi sítě (PC, mobilní telefon, …) [19]

MAC adresa

Unikátní identifikátor síťového zařízení, který dostane během výroby. [18]

Paket

Informace, které jsou přenášeny mezi AP a klientem. [19]

PMK

Párový hlavní klíč. [12]

Přístupový bod (AP)

Zařízení, ke kterému se připojují klienti WiFi sítí. [11]

PSK

Klíč, který je odvozen z hesla a nahrazuje PMK [12]

PTK

Odvozený klíč z PMK. [12]

SLI

Technologie, která umožňuje propojit více grafických karet na jedné základní desce. [19]

SSID

Textový identifikátor bezdrátové sítě. [12]

SSL

Komunikační protokol, který zabezpečuje šifrovanou komunikaci. [19]

TKIP

Protokol používaný ve WPA, založený na RC4 [12]

WPS

Wireless Provisioning Services . Připojení k WiFi pomocí jednoho tlačítka

bez nastavování zabezpečení. [16]

36

Seznam literatury [1] BARTÁČEK, Jiří. Bezdrátové sítě. Stránky o elektronice a počítačích [online]. © 20082009,

24.7.2011

[cit.

2012-03-21].

Dostupné

z:

http://www.barts.cz/index.php/pocitace/site/29-bezdratovesit [2] Wi-Fi Alliance [online]. © 2012 [cit. 2012-03-21]. Dostupné z: http://www.wi-fi.org/ [3] Seznam WiFi kanálů pro WLAN. WiKi AIRdump.CZ [online]. 11.3.2008 [cit. 2012-0321]. Dostupné z: http://wiki.airdump.cz/Seznam_WiFi_kan%C3%A1l%C5%AF_pro_WLAN [4] STRÁNSKÝ, Petr. Historie Wi-Fi: od FHSS k bezdrátu. Svět hardware [online]. 2. 10. 2009

[cit.

2012-04-04].

Dostupné

z:

http://www.svethardware.cz/art_doc-

E8854472EA5653EBC1257636003B03D0.html [5] KLEGA, Vratislav. Jak bezpečná je Vaše Wi-Fi?. Chip: Magazín informačních technologií. Praha: Vogel Publishing, 2010, č. 5, s. 68-72. ISSN 1210-0684. [6] PALOVSKÝ, Radomír. Informační a komunikační sítě. Vyd. 1. Praha: Oeconomica, 2010. ISBN 978-802-4517-292. [7] ŠTRAUCH, Adam. Aircrack-ng: napadení WEP sítí. Root.cz: informace nejen ze světa Linuxu [online].

14.

10.

2008

[cit.

2012-04-04].

Dostupné

z:

http://www.root.cz/clanky/aircrack-ng-napadeni-wep-siti/ [8] KLEGA, Vratislav. Přístup do soukromých Wi-Fi sítí. Chip: Magazín informačních technologií. Praha: Vogel Publishing, 2010, č. 11, s. 62-63. ISSN 1210-0684. [9] AES. Univerzita Hradec Králové: Kryptologie [online]. [cit. 2012-04-27]. Dostupné z: http://kryptologie.uhk.cz/7.htm [10] Protokol EAP. Microsoft TechNet: Materiály pro IT odborníky [online]. © 2012 [cit. 2012-04-29]. Dostupné z: http://technet.microsoft.com/cs-cz/library/cc782851(v=ws.10).aspx [11] LEHEMBRE, Guillaume. Bezpečnost Wi-Fi: WEP, WPA a WPA2. In: HSC - Herve Schauer Consultants:Cabinet de consultants en sécurité informatique [online]. 2006 [cit. 2012-04-08].

Dostupné

http://www.hsc.fr/ressources/articles/hakin9_wifi/hakin9_wifi_CZ.pdf 37

z:

[12] Zabezpečení: Útoky na počítačové sítě | Vedom Benefit. Housing serverů, penetrační testy: Vedom

Benefit[online].

(C)

2010

[cit.

2012-04-08].

Dostupné

z:

http://www.vedom.cz/cs/article/default/31-utoky-na-pocitacove-site [13] Oznámení o kritickém selhání ve WPA2 zabezpečení. Linuxový portál: linux a unix distribuce, linux návody, tipy a triky [online]. 26. 7. 2010 [cit. 2012-04-08]. Dostupné z: http://www.linux.website21.cz/novinky/oznameni-o-kritickem-selhani-ve-wpa2-zabezpeceni [14] KEUDELL, Fabián. Průlom do Wi-Fi silou grafiky. Chip: Magazín informačních technologií. Praha: Vogel Publishing, 2009, č. 7, s. 22. ISSN 1210-0684. [15] JANOUŠ, Marek. Nabourání do session: Firesheep odhaluje, že na zabezpečení si na webu jen hrajeme.Www.chip.cz [online]. 26.10.2010 [cit. 2012-04-22]. Dostupné z: http://www.chip.cz/novinky/bezpecnost/2010/10/firesheep-odhaluje-ze-na-zabezpeceni-si-nawebu-jen-hrajeme [16] Služba WPS (Wireless Provisioning Services). Microsoft TechNet: Materiály pro IT odborníky [online]. © 2012 [cit. 2012-04-15]. Dostupné z: http://technet.microsoft.com/cscz/library/cc782807(v=ws.10).aspx [17] CCMP: Counter Mode with Cipher Block Chaining Message Authentication Code Protocol. Mobile

Computing

information,

news

and

tips: SearchMobileComputing.com [online]. C 2003 - 2012 [cit. 2012-04-15]. Dostupné z: http://searchmobilecomputing.techtarget.com/definition/CCMP [18] IT Slovník: počítačový slovník [online]. © 2008-2012 [cit. 2012-04-09]. Dostupné z: http://it-slovnik.cz/ [19] KUNOR, Pavel. Slovníček pojmů o WiFi, IEEE, zkratky a jejich popis. WiFi technologie, recenze, popisy, forum, inzerce, zkušenosti, standardy [online]. (C) 1997 - 2012 [cit. 2012-04-09]. Dostupné z: http://802.11b.cz/pojmy.asp [20]

SLI. GeForce [online].

©

2012

[cit.

2012-04-09].

Dostupné

z:

http://www.geforce.com/hardware/technology/sli/technology BARKEN, L. Wi-Fi : jak zabezpečit bezdrátovou síť. Brno: Computer Press, 2004. ISBN 80251-0346-3.

38

ZANDL, P. Bezdrátové sítě WiFi : praktický průvodce. Brno: Computer Press, 2003. ISBN 80-7226-632-2.

39

Seznam obrázků a tabulek Seznam obrázků Obrázek 1: Logo WiFi (Zdroj: [2]) ......................................................................................... 2 Obrázek 2: WiFi standard a ,b, g, n (Zdroj [2]) ..................................................................... 5 Obrázek 3: WiFi klient - server (Zdroj: autor) ....................................................................... 6 Obrázek 4: Nastavení SSID a zabezpečení (Zdroj: autor) ................................................. 15 Obrázek 5: WiFi databáze a mapa Wifi sítí (Zdroj: autor) .................................................. 19 Obrázek 6: Graf k otázce č. 1 (Zdroj: autor) ....................................................................... 20 Obrázek 7: Graf k otázce č. 2 (Zdroj: autor) ....................................................................... 21 Obrázek 8: Graf k otázce č. 3 (Zdroj: autor) ....................................................................... 22 Obrázek 9: Graf k otázce č. 4 (Zdroj: autor) ....................................................................... 23 Obrázek 10: Graf k otázce č. 5 (Zdroj: autor) ..................................................................... 24 Obrázek 11: Graf k otázce č. 6 (Zdroj: autor) ..................................................................... 25 Obrázek 12: Graf k otázce č. 7 (Zdroj: autor) ..................................................................... 26 Obrázek 13: Graf k otázce č. 8 (Zdroj: autor) ..................................................................... 27 Obrázek 14: Graf k otázce č. 9 (Zdroj: autor) ..................................................................... 28 Obrázek 15: Graf k otázce č. 10 (Zdroj: autor) ................................................................... 29 Obrázek 16: Graf k výsledku monitorování č. 1 (Zdroj: autor) ............................................ 30 Obrázek 17: Graf k výsledku monitorování č. 2 (Zdroj: autor) ............................................ 31 Obrázek 18: Graf k výsledku monitorování č. 3 (Zdroj: autor) ............................................ 32 Obrázek 19: Graf k výsledku monitorování č. 4 (Zdroj: autor) ............................................ 33

Seznam tabulek Tabulka 1: Otázka č. 1 (Zdroj: autor) ................................................................................. 20 Tabulka 2: Otázka č. 2 (Zdroj: autor) ................................................................................. 21 Tabulka 3: Otázka č. 3 (Zdroj: autor) ................................................................................. 22 Tabulka 4: Otázka č. 4 (Zdroj: autor) ................................................................................. 23 Tabulka 5: Otázka č. 5 (Zdroj: autor) ................................................................................. 24 Tabulka 6: Otázka č. 6 (Zdroj: autor) ................................................................................. 25 Tabulka 7: Otázka č. 7 (Zdroj: autor) ................................................................................. 26 Tabulka 8: Otázka č. 8 (Zdroj: autor) ................................................................................. 27 Tabulka 9: Otázka č. 9 (Zdroj: autor) ................................................................................. 28 Tabulka 10: Otázka č. 10 (Zdroj: autor) ............................................................................. 29 Tabulka 11: Výsledek monitorování č. 1 (Zdroj: autor)....................................................... 30 Tabulka 12: Výsledek monitorování č. 2 (Zdroj: autor)....................................................... 31 Tabulka 13: Výsledek monitorování č. 3 (Zdroj: autor)....................................................... 32 Tabulka 14: Výsledek monitorování č. 4 (Zdroj: autor)....................................................... 33 Tabulka 15: Výsledek monitorování č. 1 a otázka č. 3 (Zdroj: autor) ................................. 34

40

Příloha A: Dotazník Vysoká škola ekonomická v Praze nám. W. Churchilla 4 Školní rok: 2011/2012

Studie reálného zabezpečení WiFi sítí ve vybrané oblasti Hlavním cílem této práce je zjistit, jaké znalosti mají uživatelé WiFi sítí. Jmenuji se Ondřej Kühnel, jsem studentem Vysoké školy ekonomické v Praze v oboru Informatika. Tento dotazník slouží ke sběru dat pro moji závěrečnou bakalářskou práci. Veškeré informace použiji pouze jako podklad do mé závěrečné práce.

1. Kde všude se připojujete k internetu pomocí WiFi? o domov o práce o škola o veřejná místa (kavárna, knihovna, autobus, …)

2. Když se připojujete mimo domov, přihlašujete se k e‐mailu nebo k jiným internetovým účtům? Vyplňte, jen pokud se připojujete k WiFi i mimo domov. o ano o ne

41

3. Jaké zabezpečení doma používáte? Vyplňte, jen když máte doma WiFi. o WEP o WPA o WPA2 o kontrola přístupu MAC adres o skrytí názvu sítě (SSID) o žádné o nevím

4. Jak dlouhé heslo používáte pro připojení k domácímu bezdrátovému bodu? Vyplňte, jen když máte doma WiFi. o počet znaků: ……… o nepamatuji si heslo k WiFi o heslo není nastaveno

5. Co není zabezpečení WiFi sítě? o WEP o WWW o WPA o nevím

6. Provedli jste některé změny v nastavení vašeho přístupového bodu, když jste si ho pořídili? Vyplňte, jen když máte doma WiFi. o změna administrátorského hesla o změna názvu sítě (SSID) o nastavení zabezpečení WiFi o nevím (dělal to někdo jiný) o další: ………………………

42

7. Co se podle Vás může stát, když budete připojeni k síti, která není zabezpečena? o vypište:……………………………………….

8. Jaké přístroje, které máte doma, se připojují k WiFi? Vyplňte, jen když máte doma WiFi. o počítač o televize o mobilní telefon o jiné: ……………………….

9. Vyberte zabezpečení, které by se už nemělo používat. o WEP o WPA o WPA2 o ani jedno z nabízených o nevím

10. Provádíte doma při připojení přes WiFi: Vyplňte, jen když máte doma WiFi. o nákupy na e-shopu (platba kartou) o přihlašování do elektronického bankovnictví o finanční služby při připojení přes WiFi nepoužívám o jiné finanční operace: …………………………….

43

Příloha B: Data získaná monitorováním WiFi Č.

SSID

1

00024D224BFC1 2412

50161545 14733251 [WEP]

*****

2

2

2472

50158738 14742376 [WEP]

*****

3

0711c67

2412

50159821 14745951 [WEP]

*****

4

123

2427

50163023 14760898 [WPA-PSK-TKIP]

*****

98

Doma

2447

50163077 14746601 [WEP]

*****

99

Dvoraci

2452

50160574 14741234

100

ESTER

2462

50157050 14745553

frekvence latitude

longitude

zabezpečení

MAC

…

[WPA-PSKTKIP+CCMP][WPS] [WPA2-PSKCCMP]

*****

*****

[WPA-PSK101

ESTER HOSTÉ

2462

50157050 14745553 TKIP][WPA2-PSK-

*****

TKIP+CCMP] … 845

zyxel

2422

50160945 14754139 [WEP]

*****

846

zyxel

2412

50160473 14766026 [WEP]

*****

2452

50164478 14746802

2412

50162973 14747686

847

848

ŠARKAPC_Network 襬᫯ vice

44

[WPA-PSKTKIP][WPS] [WPA2-PSKCCMP][WPS]

*****

*****

Studie reálného zabezpečení WiFi sítí ve vybrané oblasti

Recommend Documents