Prevenirea atacurilor DeAuth

[yakuhito]

Salut! Lucrez la o aplicatie care face mai multe telefoane sa comunice intre ele si sa voteze real-time niste chestii ( muzica pe care s-o puna intr-un spatiu public ). Incerc sa previn un atack aireplay -ng --deauth sa opreasca conexiunea de Wi-Fi direct dintre 2 telefoane. Am root si nu imi permit ca telefoanele sa piarda conexiunea intre ele. Nu pot schimba protocolul cu zigbee sau cu altele.

[theandruala]

Probabil n-o sa faca mare diferenta, dar hide ssid?

[pr00f]

Teoretic, nu prea ai ce face impotriva unui atac de genul, 802.11 permite lucrul asta. Asta este mai mult o problema dpdv al threat modeling, si nu a tehnologiei.

Ai putea totusi sa faci viata atacatorului putin mai grea; ce-mi vine acum in minte: majoritatea adaptoarelor/cipurilor folosite pentru acest lucru lucreaza doar pe 2.4 GHz, iar majoritatea tool-urilor care trimit pachete de deautentificare o fac 'directional' catre clientii AP-urilor vizate (nu stii AP, nu cunosti in mod cert clientii - atentie, clientii fac leak la numele AP-urilor pe care le cauta si te dai de gol). Avand aceste doua lucruri in minte, poti folosi un router dual-band strict pe 5 GHz, sau daca sunt necesare retele pe ambele plaji de frecvente (2.4 si 5), te asiguri ca numele celor doua retele nu au legatura intre ele, si ca MAC-urile lor sunt foarte diferite - majoritatea vendorilor schimba ultimii 1-2 octeti la retelele wifi de pe acelasi device.

De ce totusi nu iti permiti ca clientii sa piarda conexiunea? Se poate implementa o verificare simpla, care permite sistemului sa mearga in continuare fara clienti, avand in vedere ca re-autentificarea se face foarte rapid.

Ar mai fi o treaba sa comunici prin BT, dar ai spus ca schimbarea tehnologiei nu se ia in considerare, si totodata exista riscuri mari si acolo.

Edited February 15, 2019 by pr00f
typo

[Fi8sVrs]

Wpa3?!

Edited February 15, 2019 by OKQL

[xzsdyx]

Cauta mai multe despre management frame protection. Ascunderea ssid-ului nu ar ajuta prea mult.

https://gtacknowledge.extremenetworks.com/articles/Q_A/What-is-management-frame-protection-and-how-does-it-help-secure-my-wireless-infrastructure

 

Cred ca ar mai fi o varianta dar nu stiu cat de fezabil ar fi deoarece ar creste complexitatea si munca depusa si nu ar fi 100% sigura. Ai putea incerca sa faci un fel de script sau adaptare pentru programul tau in felul urmator. Ai reteaua creata, daca un client primeste un deauth sau este brusc deconectat, schimba/creaza reteaua si reconecteaza-te automat. Reteaua nou creata ar trebui sa aiba un SSID complet diferit iar MAC-urile(client si AP) sa fie schimbate(sa nu arate ca si cum fac parte din reteaua precedenta). Metoda asta ar implica multe probleme legate de implementare si fiabilitate + un delay cert (creare retea noua+descoperirea ei+procesele pt conectare la reteaua respectiva).

 

O alta varianta(care poate nu are niciun randament) ar fi sa lasi reteaua open si sa faci o criptare in cadrul aplicatiei pentru a asigura doar ca anumite persoane pot vota. Ideea ar fi sa simplifici procesul prin care se conecteaza clientii la retea astfel incat sa poate trimite mai repede informatii catre server. In aplicatie, sa inmultesti numarul de cadre care sa trimita aceeasi informatie. De exemplu daca un client voteaza ceva sa nu fie trimis doar un cadru cu informatia respectiva ci vreo 100 de cadre cu informatia respectiva. Serverul daca vrea sa arate optiunile de vot sa nu trimita doar odata ci de 100 de ori. Cu toate astea, in aplicatie sa se vada doar odata optiunile si votul. Ideea e urmatoarea, daca clientii se afla fizic mai aproape si nu exista un procedeu complicat pentru conectare la retea, sa existe cu o oarecare probabilitate receptionarea unui vot corect chiar si in ipoteza unui atac deauth continuu.

 

Astea ar fi doua idei care au clar anumite avantaje si anumite dezavantaje si posibil chiar sa nu mearga.

 

PS:Chiar si cu management frame protection, atacurile de tipul DoS(intr-o oarecare masura) si flood te pot afecta.

PS2:Daca vrei sa faci hotspot cu un telefon pentru alte telefoane e posibil ca varianta cu management frame protection sa nu mearga.

PS3:Se pot face amprentari simple pentru detectarea unui atac de tipul deauth pe baza tool-urilor des folosite deoarece sunt setate sa foloseasca acelasi Reason

Edited February 15, 2019 by xzsdyx

[Fi8sVrs]

^ dude, ce spui tu acolo are implementat wpa3

"They augment privacy protections already in place for data frames with mechanisms to improve the resiliency of mission-critical networks."