Risques de sécurité liés à la désactivation de la diffusion SSID
Je me souviens avoir lu plusieurs articles en ligne, et même avoir transmis les conseils, déclarant que la désactivation de la diffusion SSID est non seulement inutile en tant que mesure de sécurité mais également nuisible à la sécurité des appareils clients. La logique est la suivante:
Diffusion SSID activée
- Les appareils clients écoutent passivement les réseaux connus.
- Les clients établissent une connexion lorsqu'un réseau connu est entendu.
- Les attaquants ne savent pas quels réseaux les appareils clients non associés recherchent.
Diffusion SSID désactivée
- Les appareils clients doivent rechercher activement les réseaux connus.
- Les appareils clients annoncent des SSID de confiance.
- Les attaquants peuvent capturer des informations SSID fiables et les utiliser pour inciter les clients à se connecter à un point d'accès non autorisé lorsqu'ils ne sont pas à proximité du réseau de confiance réel.
Cela semble une supposition généralement sensée. Cependant, je ne pense pas avoir vu de réclamations qui prennent en compte ce qui se passe lorsqu'un attaquant tente d'usurper l'identité d'un réseau sans connaître d'autres attributs de la configuration de sécurité du réseau - en particulier, le protocole ou les clés de chiffrement. La connexion devrait, en théorie, échouer avec une incompatibilité de protocole ou une mauvaise négociation de clé.
Compte tenu de ce qui précède, il me semble que la désactivation de la diffusion SSID (tout en n'étant pas du tout un mécanisme de sécurité fiable) a toujours un impact net positif sur la sécurité - ou net neutre, au pire. Y a-t-il quelque chose qui me manque?
Jetez un oeil à WiFi Pineapple , qui est un dispositif d'imitation sans fil MITM disponible pour 100 $ plus frais de livraison. L'attaquant n'a quasiment plus qu'à l'allumer et le configurer, et il commencera à proposer des attaques MITM instantanées. Si un appareil mobile recherche un SSID ouvert déjà connu, il se fera un plaisir de lui fournir une connexion Internet fonctionnelle. Il ne nécessite presque aucune compétence pour fonctionner.
La clé est qu'un client qui fait confiance à une seule connexion à n'importe quel point d'accès WiFi ouvert n'importe où s'est placé dans une position vulnérable, et cela est vrai que vous diffusiez ou non votre SSID. L'approche sécurisée consiste à exiger des informations d'identification sur vos points d'accès et à éviter de faire partie du problème pour vos clients. Que vous diffusiez ou non votre SSID devient alors une question de commodité pour vos utilisateurs, et n'est pas une question de sécurité.
Diffusion SSID activée
- Les appareils clients écoutent passivement les réseaux connus.
- Les clients établissent une connexion lorsqu'un réseau connu est entendu.
- Les attaquants ne savent pas quels réseaux les appareils clients non associés recherchent.
Turing la diffusion n'empêchera pas tous les clients de rechercher activement les réseaux connus. Ceci est spécifique à l'implémentation - par exemple, Windows XP est par défaut uniquement analysé activement. Par conséquent, votre supposition que les attaquants ne savent pas nécessairement quels réseaux sont recherchés est incorrecte. Cela ne s'applique que si vous vous connectez avec des appareils modernes qui analysent passivement les réseaux à la recherche des SSID visibles lors de leur configuration.
Diffusion SSID désactivée
- Les appareils clients doivent rechercher activement les réseaux connus.
- Les appareils clients annoncent des SSID de confiance.
- Les attaquants peuvent capturer des informations SSID fiables et les utiliser pour inciter les clients à se connecter à un point d'accès non autorisé lorsqu'ils ne sont pas à proximité du réseau de confiance réel.
Cela est vrai tant que le réseau est ouvert. Un client ne pourra pas se connecter à un réseau sécurisé avec un mot de passe différent ou aucun.
Cela semble une supposition généralement sensée. Cependant, je ne pense pas avoir vu de réclamations qui prennent en compte ce qui se passe lorsqu'un attaquant tente d'usurper l'identité d'un réseau sans connaître d'autres attributs de la configuration de sécurité du réseau - en particulier, le protocole ou les clés de chiffrement. La connexion devrait, en théorie, échouer avec une incompatibilité de protocole ou une mauvaise négociation de clé.
trame de balise , même lorsqu'il ne diffuse pas le SSID (c'est-à-dire que le SSID est envoyé dans cette trame comme NULL) détaille toujours la configuration de sécurité du réseau, y compris les détails de cryptage.
Compte tenu de ce qui précède, il me semble que la désactivation de la diffusion SSID (tout en n'étant pas du tout un mécanisme de sécurité fiable) a toujours un impact net positif sur la sécurité - ou net neutre, au pire. Y a-t-il quelque chose qui me manque?
Même s'il ne diffuse pas, l'envoi d'une demande de sonde avec NULL comme SSID peut amener l'AP à répondre avec une balise contenant le SSID. Toute route, dès qu'un appareil valide doit se connecter, le SSID finira par être diffusé par l'AP. Je dirais que la seule sécurité supplémentaire offerte est la sécurité par l'obscurité - cela peut vous faire vous sentir mieux, mais cela ne rend pas vraiment votre réseau plus sûr. Le seul avantage négligeable est que votre SSID ne sera pas diffusé aussi souvent . D'un autre côté, n attaquant peut supposer qu'il s'agit d'un réseau particulièrement sensible et passer plus de temps à le cibler.
Les appareils clients sonderont activement les réseaux connus, que la diffusion SSID pour ce réseau particulier soit activée ou non. Si un scan passif est théoriquement possible, il est très rarement mis en œuvre. En effet, le client doit parcourir tous les canaux et passer du temps sur chaque canal pour écouter les balises. Cela augmenterait le temps nécessaire pour se connecter à l'AP.
J'ai utilisé airmon-ng pour surveiller les demandes de sonde et jusqu'à présent, toutes mes cartes sans fil sondent activement les réseaux connus. Par conséquent, la désactivation de la diffusion SSID ne devrait pas augmenter le risque.
Plus de détails: https://superuser.com/questions/128166/is-looking-for-wi-fi-access-points-purely-passive