Nieuwe Pineapple voor wifi-hacking aangekondigd
Een tool die onderzoekers regelmatig op televisie en bij workshops gebruiken om de risico's van wifi-netwerken te demonstreren is de WiFi Pineapple en binnenkort zal er een nieuwe versie van het veelzijdige apparaatje verschijnen. Dat hebben de ontwikkelaars via Twitter aangekondigd.
De WiFi Pineapple is een klein apparaat met meerdere ethernetaansluitingen, een wifi- en een usb-aansluiting en draait op de Jasager firmware. Deze firmware is gebaseerd op OpenWRT, een populair alternatief voor veel router-besturingssystemen. Wat de Pineapple uitermate geschikt maakt voor het testen van applicaties, wifi-netwerken en wifi-gebruikers is de manier waarop het zich als access point voordoet.
Veel smartphones, laptops en tablets beschikken over netwerksoftware die automatisch met access points verbinding maakt waarop eerder is ingelogd. De Pineapple zegt deze tegen apparaten dat het één van deze access points is, waarna de apparatuur van het slachtoffer automatisch verbinding maakt. Vervolgens loopt al het wifi-verkeer via de Pineapple en kan het worden opgeslagen, geanalyseerd en gemanipuleerd.
Naast demonstraties wordt de tool ook door penetratietesters, opsporingsdiensten, het leger en overheidsdiensten gebruikt, zo laat Hak5 weten, het bedrijf dat de Pineapple ontwikkelt. De WiFi Pineapple Mark V is het laatste model, maar wordt niet meer door Hak5 aangeboden. De reden is namelijk een nieuw model. Details ontbreken nog, behalve dat de nieuwe Pineapple "binnenkort" verschijnt.
Daarmee bedoel ik niet de identificatie middels SSID, want dat faken is precies de kracht van deze PineApple en andere evil twin setups.
Daarmee bedoel ik niet de identificatie middels SSID, want dat faken is precies de kracht van deze PineApple en andere evil twin setups.
Ja, dat is er wel. In nieuwe versies van Android wordt ook het MAC adres opgeslagen bij de SSID naam. Dus als de SSID naam in de lucht is, maar een andere MAC, dan zal android daar geen verbinding mee maken tenzij je dat met de hand doet.
iPhone doet deze check volgens mij niet en is dus kwetsbaar.
En ja, MAC adres is ook te spoofen, maar zolang de telefoon deze niet mee geeft in de zoekopdracht van een SSID, kan niemand het juiste MAC adres spoofen. Check vind plaats op de telefoon
TheYOSH
iPhone doet deze check volgens mij niet en is dus kwetsbaar.
En ja, MAC adres is ook te spoofen, maar zolang de telefoon deze niet mee geeft in de zoekopdracht van een SSID, kan niemand het juiste MAC adres spoofen.
Zie bijv. het bovenste plaatje in https://github.com/sophron/wifiphisher en mijn eerdere bijdrage in https://www.security.nl/posting/438682/NS%3A+wifi+in+de+trein+ongeschikt+voor+internetbankieren#posting438717.
Verder lijkt mij dit mechanisme erg lastig bij roaming (ik vermoed, maar weet dat niet zeker, dat daarbij elk access point hetzelfde SSID uitzendt en je met dezelfde credentials aanlogt, maar dat wel elk access point zijn eigen MAC adres gebruikt).
Het probleem is dat authenticatie van het access point geen onderdeel is van de Wi-Fi standaard; RADIUS servers zullen nooit door thuisgebruikers en waarschijnlijk nooit door MacDonalds en NS gebruikt worden. En, zolang er op jouw portable device nog één of meer access point records opgeslagen zijn, bestaande uit een SSID met daarbij geen wachtwoord of een bekend wachtwoord + de instelling "verbind automatisch zodra binnen bereik", ben je kwetsbaar voor MitM aanvallen.
Het wachten is op een Wi-Fi/WLAN/draadloze standaard waarbij een erkend certificaat het access point authenticeert. Voor thuisgebruik en MKB volstaat een self-signed certificaat (of losse public key) met key-pinning (TOFU = Trust On First Use). Als je vervolgens jouw portable device zo kunt instellen dat deze uitsluitend automatisch verbindt met zichzelf authenticerende access points (en andere handmatig, maar je weet dan dat je op dat moment kwetsbaar bent), zou de (draadloze) wereld een stuk veiliger zijn.
Doordat een SSID (eventueel ook een MAC-adres) simpel gespoofed kan worden zijn evil-twin tools, zoals de Pineapple, zo succesvol.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Information Security Officer (2fte)
Een uitdagende rol waarbij jij, op basis van security, de vertaalslag maakt tussen business en IT en direct bijdraagt aan de veiligheid van informatie binnen de gemeente Almere. Dat is in een notendop waar jij als Information Security Officer mee bezig bent. Interesse gewekt? Door groei van de organisatie zijn we op zoek naar twee nieuwe collega’s.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
