AirSnitch: วิธีระบุและยกเลิกการแยกไคลเอนต์ในเครือข่าย Wi‑Fi [pdf]

[GN⁺]

ความคิดเห็นจาก Hacker News

• จากที่ฉันมอง ดูเหมือนว่าการโจมตีแบบนี้จะทำได้ก็ต่อเมื่อผู้โจมตีเชื่อมต่ออยู่กับเครือข่ายของเหยื่ออยู่แล้ว
  ส่วนใหญ่ดูคล้ายกับการโจมตีที่รู้จักกันมานานในสภาพแวดล้อม Wi‑Fi สาธารณะร่วมกัน อย่างสนามบินหรือคาเฟ่
  ความใหม่คือมันอาศัย ช่องโหว่ในการติดตั้งใช้งาน ที่เราเตอร์บางตัวแยกทราฟฟิกระหว่างเครือข่าย guest กับเครือข่ายปกติได้ไม่ถูกต้อง

  • ผู้โจมตีไม่จำเป็นต้องเชื่อมต่อกับเครือข่ายของเหยื่อ แค่เชื่อมต่ออยู่กับ ฮาร์ดแวร์ เดียวกันก็พอ
    เช่นกรณีของ Eduroam ผู้โจมตีสามารถดักแพ็กเก็ตของผู้ใช้ Eduroam ผ่าน guest network บน AP เดียวกันได้ แม้จะไม่มีข้อมูลรับรองของ Eduroam ก็ตาม
    ถ้ามีแค่เครือข่ายที่ยืนยันตัวตนเพียงเครือข่ายเดียว การสูญเสียการแยกนี้ก็ไม่มีความหมาย ซึ่งก็เหมือนกับการหลุดออกจาก browser sandbox ที่ไม่มีความหมายถ้าคุณเข้าแค่เว็บไซต์ที่เชื่อถือได้เพียงแห่งเดียว
  • ในฐานะผู้ร่วมเขียนงานวิจัย ฉันคิดว่าคำว่า “ทำลายการเข้ารหัส Wi‑Fi” ทำให้เข้าใจผิด
    ที่จริงแล้วมันคือการ ข้ามการแยกไคลเอนต์ได้
    มีกรณีบน Wi‑Fi แบบเปิดของมหาวิทยาลัยที่สามารถดักทราฟฟิกของเครือข่ายอื่นได้ด้วย (รวมถึง Enterprise SSID)
    มันไม่ใช่การ ‘ทำลาย’ การเข้ารหัส แต่เป็นการ ‘ข้าม’ มัน
    ถ้าเป็นเราเตอร์ส่วนตัวที่ใช้ SSID เดียวก็ยังปลอดภัย
  • สงสัยว่ากรณีอย่าง XFinity ที่เอา Wi‑Fi ซึ่งสร้างจากค่าบริการที่ผู้ใช้จ่ายมา ไปแชร์ทั้งเมืองจะเป็นอย่างไร
  • ฉันก็มองคล้ายกัน มันเป็นปัญหากับสภาพแวดล้อมที่พึ่งพาการแยกไคลเอนต์ แต่มีผลกับผู้ใช้ทั่วไปไม่มาก
    คุกกี้ยืนยันตัวตนส่วนใหญ่ได้รับการปกป้องด้วย TLS ดังนั้นความเสี่ยงจริงจึงค่อนข้างจำกัด
  • AP จะมีหลาย BSSID เมื่อกระจายสัญญาณ 2.4GHz และ 5GHz พร้อมกัน และถ้าการตรวจ MAC ซ้ำหรือการแชร์ GTK ของ WPA2-PSK อ่อนแอ การโจมตีก็จะง่ายขึ้น
    ฮาร์ดแวร์เก่า โดยเฉพาะอุปกรณ์ก่อนยุค 802.11w ดูจะเปราะบางตลอดไป

• AirSnitch ใช้ประโยชน์จาก ฟังก์ชันแกนหลัก Layer 1~2 ของ Wi‑Fi เพื่ออาศัยความล้มเหลวในการซิงก์ระหว่างไคลเอนต์
  ผู้โจมตีสามารถทำ MitM สองทาง ได้ไม่ใช่แค่ใน SSID เดียวกัน แต่ยังข้าม SSID หรือ network segment อื่นได้ด้วย
  ฉันเจอเรื่องแบบนี้มาตั้งแต่ยุค WEP ช่วงต้นทศวรรษ 2000 แล้ว ทุกวันนี้เลยไม่ใช้ Wi‑Fi เลย
  เอาเทปปิดกล้อง ถอดเสาอากาศ และเลิกใช้อีเมลด้วย
  สุดท้ายฉันคิดว่ามีแค่ สายทองแดงหรือสายไฟเบอร์ออปติก เท่านั้นที่เป็นวิธีความปลอดภัยที่แท้จริง

  • มีคนบอกว่าคุณน่าจะชอบหนังปี 1974 เรื่อง The Conversation
  • ฉันก็ใช้แนวทางคล้ายกัน แยก Wi‑Fi ไปอยู่อีก subnet หนึ่ง ใช้ GrapheneOS และถอดไมโครโฟนฮาร์ดแวร์ออกให้ได้มากที่สุด

• การแยกไคลเอนต์จริง ๆ แล้วเป็นฟีเจอร์ที่ ใช้งานไม่สะดวก พอสมควร
  ผู้ผลิตมักสมมติว่าอุปกรณ์ทุกตัวจะสื่อสารกันได้ในเครือข่ายใหญ่เครือข่ายเดียว แต่พอถูกแยกแล้ว อุปกรณ์อย่างไฟ Elgato หรือ Chromecast ก็ใช้งานไม่ได้

  • ถึงอย่างนั้น ฉันก็คิดว่ามันยังดีกว่าให้คนอื่นในโรงแรมมาควบคุม Chromecast ของฉัน
    เพราะงั้นฉันเลยพก เราเตอร์พกพาแบบ OpenWRT ติดตัวเสมอ เพื่อให้อุปกรณ์ของฉันทำงานเหมือนอยู่บ้านไม่ว่าจะต่อกับเครือข่ายไหน
  • ต่อให้ไม่ใช้การแยกไคลเอนต์ บางครั้งก็พบว่าการกระจายแพ็กเก็ตระหว่างแบบมีสายกับไร้สายไม่ถูก bridge เข้าหากัน เลยค้นหาอุปกรณ์ไม่เจอ
  • จุดประสงค์ดั้งเดิมของการแยกไคลเอนต์ก็คือการป้องกัน การใช้งาน IoT ในทางที่ผิด แบบนี้นี่เอง
    ในหอพักหรือเครือข่ายสาธารณะมันอาจไม่สะดวก แต่ก็ช่วยกันไม่ให้คนอื่นควบคุมอุปกรณ์ของฉันหรือแพร่มัลแวร์ได้
  • ถ้ามีข้อยกเว้นสำหรับบางโปรโตคอลหรือช่วง IP ก็คงสะดวกขึ้น แต่ก็เพิ่ม ความเสี่ยงการรั่วไหลของข้อมูล ไปด้วย

• หัวข้อข่าวให้ความรู้สึกว่า เว่อร์ไปหน่อย
  มันไม่ได้ทำลายการเข้ารหัส Wi‑Fi แต่เป็นแค่การ ทำให้การแยกอุปกรณ์ในเครือข่ายเดียวกันใช้ไม่ได้

  • แต่หลายองค์กร บริษัท มหาวิทยาลัย และหน่วยงานรัฐพึ่งพาการแยกไคลเอนต์เพื่อแบ่งเครือข่าย ดังนั้นสำหรับพวกเขามันเป็นปัญหาร้ายแรง
  • ผู้ร่วมเขียนงานวิจัยย้ำว่าคำว่า “bypass” ถูกต้องกว่า “break”

• พออ่านงานวิจัยแล้ว ดูเหมือนว่า Wi‑Fi ตามบ้านส่วนใหญ่ใช้ SSID ร่วมกันระหว่าง 2.4GHz กับ 5GHz จึงอาจ มีช่องโหว่
  การยืนยันตัวตนแบบ Radius ก็อาจได้รับผลกระทบบางส่วน
  วิธีบรรเทาคือใช้ AP ที่มี MAC เดียวเท่านั้น
  ถ้าใช้ EAP-TLS ก็ปลอดภัย แต่ก็ยังต้องมี การแยก VLAN อยู่ดี

  • มีความเห็นว่าถ้าที่บ้านไม่มี guest network ก็ปลอดภัย
  • อย่างน้อยผู้โจมตีก็ต้องยืนยันตัวตนกับสักหนึ่งเครือข่ายก่อน ดังนั้นคนนอกแบบสมบูรณ์จะทำไม่ได้
  • EAP-TLS แข็งแกร่งก็จริง แต่ไม่สามารถป้องกัน การโจมตีด้านข้าง จากอุปกรณ์ที่ยืนยันตัวตนแล้วอื่น ๆ ภายใน AP เดียวกันได้
    ที่ Supernetworks.org ซึ่งฉันทำงานอยู่ เราเสนอ VLAN และรหัสผ่านแยกตามอุปกรณ์

• นี่เป็นปัญหาใหญ่จริง ๆ
  เมื่อมีเครือข่าย Wi‑Fi ต่างกันหลายเครือข่ายอยู่บน AP เดียวกัน ไคลเอนต์จากเครือข่ายหนึ่งสามารถ MITM ทราฟฟิกของอีกเครือข่ายได้
  Wi‑Fi ขององค์กรส่วนใหญ่พึ่งพาการแยกแบบนี้อยู่

  • หมายความว่าถ้าฉันเชื่อมต่อกับ guest network ฉันก็สามารถอ่านทราฟฟิกของเครือข่ายองค์กรได้
  • ปัญหาคือ AP จำนวนมากมีแค่หลาย SSID เท่านั้น แต่ไม่มีสเปกที่ระบุชัดว่ารับประกัน การแยก L2/L3

• งานวิจัยที่บทความกล่าวถึงคือ AirSnitch: Demystifying and Breaking Client Isolation in Wi-Fi Networks

  • หนึ่งในผู้เขียนงานวิจัยกำลังร่วมถกเถียงด้วยตัวเองใน เธรด Hacker News

• พออ่านงานวิจัยจนจบ แก่นสำคัญคือ “เครือข่ายเดียวที่ป้องกันด้วยรหัสผ่านที่แข็งแรง จะไม่ได้ถูก AirSnitch คุกคามมากนัก”

  • แต่ถ้าเครือข่ายปลอดภัยกับ guest network ใช้ AP ร่วมกัน ฝั่ง guest ก็อาจเข้าถึงไคลเอนต์ของเครือข่ายปลอดภัยได้
    บางกรณีอย่าง guest network อัตโนมัติของ Xfinity ก็ปิดใช้งานได้ยาก

• การโจมตีนี้โดยพื้นฐานแล้วทำงานได้กับ SSID เดียวเท่านั้น
  สามารถบรรเทาได้ด้วย Private-PSK/Dynamic-PSK หรือใช้แอตทริบิวต์ VLAN ของ EAP/Radius
  ใน WPA3/SAE จะซับซ้อนกว่า และอุปกรณ์ส่วนใหญ่ก็ยังไม่รองรับ

  • ตอนนี้ Hostapd รองรับ หลายรหัสผ่านใน WPA3 แล้ว
    ในโปรเจกต์ spr-networks/super มีการนำ PSK+VLAN แยกตามอุปกรณ์ ไปใช้งานจริง
    แต่การใช้งานจริงยังยากเพราะ การซิงก์ Keychain และการสุ่ม MAC ของอุปกรณ์ Apple รวมถึงโครงสร้างของ SAE ที่ทำให้ลองหลายรหัสพร้อมกันได้ยาก

• กำลังมองหา ไฟร์วอลล์แนะนำสำหรับ macOS
  ไฟร์วอลล์ที่มีมาให้แทบใช้งานไม่ได้ และถ้าการแยกไคลเอนต์ถูกข้ามได้ ไฟร์วอลล์ภายในเครื่องก็ยิ่งสำคัญ
  ฉัน bind เซิร์ฟเวอร์สำหรับพัฒนาไว้ที่ 0.0.0.0 และอยากมั่นใจว่าพอร์ตถูกปิดจริงเวลาเชื่อมต่อ Wi‑Fi สาธารณะ

  • Little Snitch น่าจะดังที่สุด สร้างโดยนักพัฒนาที่เข้าใจโครงสร้างไฟร์วอลล์ของ macOS อย่างลึกซึ้ง
    เว็บไซต์ทางการ
  • ทางเลือกฟรีคือ LuLu
  • ฉันก็ใช้ Little Snitch อยู่