1 “Las reglas militares son cinco: medición, valoración, cálculo, comparación y victoria. El terreno da lugar a las mediciones, éstas dan lugar a las valoraciones, las valoraciones a los cálculos, éstos a las comparaciones, y las comparaciones dan lugar a las victorias”. Sun Tzu el Arte de la Guerra

2 UNIVERSIDAD DE LAS FUERZAS ARMADAS ESPE ANA MARIVEL YACCHIREMA ESPÍNDEPARTAMENTO DE ELÉCTRICA Y ELECTRÓNICA CARRERA DE INGENIERÍA ELECTRÓNICA, REDES Y COMUNICACIÓN DE DATOS “ANÁLISIS DE LOS SITEMAS DE LOS SISTEMAS DE ATAQUE Y PROTECCIÓN EN REDES INALÁMBRICAS WIFI, BAJO EL SISTEMA OPERATIVO LINUX”. ANA MARIVEL YACCHIREMA ESPÍN 2014

3 ANTECEDENTES Existe un gran crecimiento del uso de redes WiFi por su movilidad, comodidad y libertad de cables. Sus comienzos(años 90) fueron débiles, pero gracias al desarrollo de los estándares se alentó su desarrollo. Como primer protocolo de seguridad aparece WEP, luego WPA .y por último WPA2; todos ellos han sido y son objeto de descubrimiento de vulnerabilidades; dejando “deprecated” a WEP. (Fluhrer, Mantin, Shamir) Desde 1980 aparecen las primeras investigaciones sobre detección de intrusos que fue el impulso, hacia los sistemas que existen hoy en día; ahora cabe la necesidad de evaluar su desarrollo en torno a Wi Fi.

4 JUSTIFICACIÓN E IMPORTANCIA- Existe un mundo de hackers en constante evolución y creatividad, los protocolos y estándares tiene la desventaja del medio. -Existe la importancia de implementar sistemas de defensa, que a más de analizar ataques conocidos, sea una herramienta de aprendizaje de nuevos. - El Benchmarking a través de Backtrack permitirá desafiar la efectividad de Snort y Kismet, que son IDS de software libre muy conocidos. - Linux como SO le permite al proyecto trabajar sin la necesidad de licencias y de manera muy segura.

5 OBETIVO GENERAL Analizar los sistemas de protección contra intrusos en redes inalámbricas Wi-Fi, bajo simulación de ataques.

6 OBJETIVOS ESPECÍFICOSInvestigar sobre la seguridad en redes y las técnicas de ataque que se usan en las mismas. Usar a Backtrack como técnica de benchmarking para los IDSs, a través de ataques sobre una red Wi Fi en producción. Monitorear los resultados que emitan los IDSs Snort y Kismet(alertas). Analizar los resultados, características y funcionamiento de los IDSs frente a los ataques. Determinar recomendaciones mínimas de seguridad en una red Wi Fi; gracias a los resultados obtenidos.

7 Wi Fi Arquitectura

8 WiFi 802.11 Estándares 802.11a (1999) 5GHz, OFDMVelocidad máx. teórica 54Mbps 802.11b (1999) 2,4GHz,DSSS Velocidad máx. teórica 11Mbps 802.11g (2003) 2,4GHz,OFDM y DSSS(por compatibilidad) 802.11n (2009) 2,4GHz y 5GHz,Multiplexación Espacial MIMO, unión de canales Velocidad máx. teórica 600Mbps

9 Subcapa MAC Funciones Seguridad Ordenamiento de TramasCalidad de servicio Seguridad Ordenamiento de Tramas Servicio de datos Arquitectura DCF: Prevención de colisión, RTS/CTS PCF HCF: EDCA,HCCA

10 Protocolos de Seguridad 802.11Autenticación previo RSNA Sistema abierto Clave compartida ( WEP) RSNA(Asociación de red de seguridad robusta) TKIP CCMP BIP SAE 802.1x WPA WPA2

11 WEP Encapsulación WEP Desencapsulación WEP

12 CCMP Encapsulación CCMP Desencapsulación CCMP

13 Ataques en las redes informáticasaprovechar la vulnerabilidad de un sistema informático y ejecutar una o varias amenazas existentes Intruso es aquella persona que sin autorización ingresa a un sistema informático

14 Ataques y su clasificación

15 Intrusos y su clasificaciónPrincipalmente se clasifican por su nivel de conocimiento y fines que persiguen:

16 Ataques en Redes CableadasSPOOFING SPAM

17 Según la manera que infectanTROYANOS Y BACKDOORS VIRUS Y GUSANOS SNIFFERS Tipos de Virus Según lo que infectan Según la manera que infectan

18 DENEGACIÓN DE SERVICIO (DoS)ESCANEO DE PUERTOS Tipos de Dos Simple Dos DoS Distribuida

19 DEBILIDADES EN WIFI DEBILIDADES WEPClave compartida intercambiada por algún método fuera de El Vector de inicialización IV viaja en texto plano, sensible a sniffing. No se autentica el AP sólo el cliente. Clave WEP muy corta apenas 40bits ó 104, sumado los 32 bits para el primero y 24 para el segundo; del también corto IV. La PSK(clave compartida) se puede obtener adivinando IVs gracias a que la primera trama es la cabecera LLC, con sus campos SSAP y DSAP =0xAA. El chequeo de errores que utiliza es lineal, si modifica algún bit se puede determinar que bit causó la modificación.

20 DEBILIDADES WPA DEBILIDADES WPA2El proceso de autenticación es susceptible sobre todo en modo personal; es decir sensible a un sniffing. Susceptible a ataques de diccionario y fuerza bruta (en modo personal). El algoritmo AES requiere alto procesamiento por ello en algunos equipos se usa con TKIP, con las debilidades que él implica. WPA2 personal usa PSK por lo tanto la seguridad y discreción con la clave está a expensas del usuario.

21 PRINCIPALES ATAQUES EN WIFICRACKEO DE LOS MECANISMOS DE ENCRIPTACIÓN Y AUTENTICACIÓN: sobre todo en WEP, Ej. ATAQUE FMS 1. Algunos vectores de inicialización preparan el sistema de cifrado RC4 de tal forma que puede revelar información sobre la clave en sus bytes de salida. 2. La debilidad de invariancia permite utilizar los bytes de salida para determinar los bytes más probables de la clave. 3. Los primeros bytes de salida son predecibles siempre, ya que contienen la cabecera SNAP definida por la especificación IEEE.

22 ATAQUES DE VIGILANCIA EAVESDROPPING ó SNIFFING WARDRIVING Y WALKCHALKING

23 DENEGACIÓN DE SERVICIOATAQUE DoS DE DESAUTENTICACIÓN ATAQUE QUEENSLAND BOMBARDEO CON TRAMAS EAPOL-start FALSIFICACIÓN DE TRAMAS EAP DE FALLO

24 ATAQUE AP MASQUERADING ó EVILTWIN

25 MAC SPOOFING ARP POISONING /MAN IN THE MIDDLE

26 ATAQUES DE FUERZA BRUTA Y DICCIONARIO

27 SISTEMA DE DETECCIÓN DE INTRUSOSSistema que ofrece vigilancia y alerta al administrador de la seguridad de la red, quien toma las acciones frente a un ataque en curso.

28 TIPOS DE RESPUESTA

29 ARQUITECTURA DEL IDS CIDF (COMMON INTRUSION DETECTION FRAMEWORKS)

30 IDWG (INTRUSION DETECTION WORKING GROUP)

31 TIPOS DE IDS

32 UBICACIÓN DEL IDS

33 SNORT Su equipo desarrollador Source Team lo define comoCaracterísticas: un sistema de detección y prevención de intrusos de red (IDS/IPS) desarrollado por Sourcefire. Combinando los beneficios de la inspección basada en firmas, protocolo y anomalías Es de código abierto y distribuye licencia GPL. Compatible con: OSX, Windows, Centos -Puede trabajar en 3 modos: Sniffer, Registro de paquetes, NIDS.

34 Módulo de adquisición de datosELEMENTOS DEL SISTEMA SNORT Módulo de adquisición de datos Decodificador Preprocesadores Motor de Detección Módulos de salida

35 KISMET CaracterísticasEs un detector de redes inalámbricas , sniffer e IDS que puede detectar ataques en la capa de enlace de datos y red -Puede trabajar con varias redes al mismo tiempo. -Compatible con Linux, OSX, Windows. -Permite descubrir redes ocultas o camufladas. -Utiliza controladores de red virtuales TUN/TAP para exportar datos(puede conectarse con Snort).

36 Servidor: logging, filtrado, decodificación, alertasELEMENTOS DEL SISTEMA Fuentes de captura Servidor: logging, filtrado, decodificación, alertas Cliente

37

38 BENCHMARKS Las metodologías son las que permiten llevar el proceso, para comprender y analizar las defensas; en los 2 importantes procesos de evaluación de la seguridad: ANÁLISIS DE VULNERABILIDADES PRUEBAS DE PENETRACIÓN Un benchmark, viene a ser la técnica con que se evalúa la función y rendimiento de un sistema.

39 Pruebas de PenetraciónBlack-Box: pruebas externas a la organización. White-Box: pruebas internas en la organización. Gray-Box: combinación de las anteriores.

40 Metodologías de pruebas de seguridad ISSAF(Framework de Valoración de Seguridad de Sistemas de Información) OSSTMM(Manual de Metodología de Pruebas de Seguridad de Código Abierto) Construcción de modelos de datos: DARPA

41 BACKTRACK Es una distribución de Linux que está especializada en pruebas de penetración y análisis forense; posee un arsenal de herramientas enfocadas en la evaluación de seguridad, por ello es una herramienta de benchmarking de seguridad muy completo. Recopilación de Información Mapeo de Puertos Identificación de Vulnerabilidades Análisis de Aplicaciones Web Análisis de Redes de Radio Penetración Escalado de Privilegios Mantenimiento de Accesos Forense Ingeniería Inversa Voz sobre IP

42 HERRAMIENTAS DE ANÁLISIS DE REDES 802.11

43

44 PRUEBAS Y RESULTADOS ESCENARIO

45 EJECUCIÓN DE ATAQUES(CON FERN WIFI CRACKER):previo se realiza una comprobación del funcionamiento de la tarjeta trabajar con un iwlist. 1. Selección de la tarjeta 2. Luego del escaneo de redes WiFi

46 4. Despliegue de datos del SSID Pruebas5. Colocación del diccionario 6.Comienzo del proceso de ataque 3. Selección del SSID Pruebas para atacar

47 7. Se agrega la clave de Pruebas en el diccionario8. Obtención de la clave

48 EJECUCIÓN DE ATAQUES (ETTERCAP)Selección de Envenenamiento ARP a los objetivos en la red Pruebas Ventana de inicio de Ettercap

49 COMPROBACIÓN DEL ENVENENAMIENTOTablas ARP Cliente A y B antes del ataque Tablas ARP Cliente A y B después del ataque

50 RESULTADOS Y ALARMAS OBTENIDOS EN SNORTLastimosamente no se generó ni una sola alerta:

51 RESULTADOS Y ALRMAS OBTENIDOS EN KISMETBAJO ATAQUES CON FERN WIFI CRACKER Porcentajes del tráfico total recolectado en el archivo pcapdump correspondientes a cada SSID en el medio

52 Porcentajes de tráfico generados dentro de la WLAN “Pruebas” según participación de los clientes

53 ALERTAS DETECTADAS POR KISMET DURANTE LOS ATAQUES CON FERN WIFI CRACKERDe un total de 11 alarmas 5 correspondían al SSID de interés que a continuación se despliega: FRENTE A LOS ATAQUES CON ETTERCAP No generó ningún tipo de Alerta por motivo de la suplantación.

54 ANÁLISIS DE RESULTADOSAnálisis de Datos Obtenidos a través de KISMET La primera alerta “PROBENOJOIN” emitida indica una NIC inalámbrica que hace un escaneo a través de solicitudes probe (detectó el iwlist de prueba). Su segunda detección fue una alerta “DEAUTHFLOOD”, supuestas tramas deauth enviadas desde el cliente(para capturar su handshake). A través del tráfico también se observa que se envía tramas deauth como si el AP lo enviara. Además ya que no con alerta pero con tráfico se aprecia los intentos de autenticación generados por fern wifi cracker. La alerta “ADHOCCONFLICT” viene a ser un falso positivo provocado por el uso de un WC que en verdad es el AP, los fortiAP vienen a ser simples interfaces.

55 Desde el AP=>Cliente BDesde el cliente B=> el AP

56 Supuesta Trama DEAUTH del AP=>Cliente BSupuesta Trama DEAUTH del Cliente B=>al AP

57 Intentos de Desautenticación

58 FALSO POSITIVO “ADHOCCONFLICT”

59 CARACTERÍSTICAS DE RESPUESTA DE LOS IDSs.Snort Es más especializado en las capas superiores Descuido en el área de las redes inalámbricas kismet Obtuvo un aceptable porcentaje de verdaderos positivos 60%(de un total de 5 alertas , 3 correspondían a verdaderas alarmas). No respondió frente a los ataques con Ettercap, cayendo en falsos positivos En el archivo alert se aprecia una rápida reacción en el tiempo. Las alertas poseen un formato claro y con una descripción de lo que puede estar sucediendo.

60 MEDIDAS MÍNIMAS DE SEGURIDAD EN WIFI según los datos obtenidosPara los clientes Tener firewall y antivirus activos. Usuario y contraseña en su equipo cliente. Si se aprecia anomalías en la conexión(intermitencias,desconexiones), desconectarse y avisar a la gente de soporte No tener anotadas las claves. Para el AP Ubicación en lugares no accesibles a terceros. Evitar zonas en equipos que provoquen interferencias. En el controlador inalámbrico WC Configuración y revisión de la misma de acuerdo a las políticas de seguridad de la organización. Mínimo usar como protocolo de seguridad WPA; en estas pruebas un WPA +TKIP necesita un mínimo de 15 caracteres alfanuméricos en la clave. Configurar un máximo número de intentos de autenticación. Implementar filtrado MAC, reservas DHCP, para organizaciones grandes cabe la necesidad de un servidor de autenticación

61 CONCLUSIONES Los protocolos de Seguridad Wi Fi, intentan solventar las falencias que aprovechan los atacantes; enfocando sus esfuerzos principalmente: en una autenticación segura, comprobar integridad, un cifrado fuerte; para que sea menos sensible a la interceptación de tráfico . Las técnicas de ataque enfocadas hacia las redes inalámbricas, apuntan sus esfuerzos principalmente a las capas física y enlace de datos, para qué irse más lejos si se puede aprovechar vulnerabilidades desde el principio de la arquitectura.

62 Gran parte de la efectividad del ataque radica en cuánto ha logrado interceptar, interpretar y descifrar. Los Benchmarks han venido a ser parte importante de la seguridad informática, porque sin sus metodologías no se sabría llevar el proceso ni análisis de resultados de las pruebas de seguridad. Backtrack con sus herramientas fern wifi cracker y ettercap permitieron conseguir sus objetivos de ataque, aunque el primero es desventajosamente muy dependiente de un buen diccionario para conseguir vulnerar WPA, por su kismet como sistema evaluado se dio a notar por los resultados que presentó, principalmente alertó en el acto de algunos ataques de fern, aunque en otros no presentó reacción alguna(ettercap).

63 Kismet generó algunos tipos de archivos durante su ejecución, sus alertas de verdaderos positivos llegaron a un 60%, aunque por otro lado sus desaciertos sumaron un 40%. Snort no presentó reacción alguna, aunque gran parte de ello se deba a su obligada y desventajosa posición en la topología de pruebas, debido a su falta de procesador de interpretación de datos en una NIC modo monitor. Kismet presentó una reacción rápida claramente visible en sus alertas y los resultados obtenidos.

64 RECOMENDACIONES Se debe definir en cualquier tipo de organización políticas de seguridad inalámbrica. Es recomendable trabajar con interfaces inalámbricas que permitan la inhabilitación del salto de canal(enfocar al IDS en el SSID a proteger). Medidas como filtrado MAC, en organizaciones grandes no es óptimo; cabe la necesidad de mejorar la seguridad con un servidor de autenticación RADIUS. Se recomienda el uso y complementación de las herramientas Snort y kismet gracias a las interfaces TUN/TAP que posee kismet.

65 GRACIAS