雷鋒網(wǎng)編者按：本周，關(guān)于“最強 Wi-Fi 漏洞影響所有設(shè)備”的新聞賺足了安全圈的眼球，各路安全研究員第一時間對 WPA2 協(xié)議漏洞產(chǎn)生原因以及如何應(yīng)對進行了研究，本文的研究團隊針對企業(yè)安全，提出了利用WIPS產(chǎn)品，來幫助抵御 KRACK 攻擊等無線安全攻擊威脅。本文為360天馬安全團隊 & 360天巡實驗室的投稿，雷鋒網(wǎng)在不改變作者原意的基礎(chǔ)上進行了編輯整理。

作者：360天馬安全團隊 & 360天巡實驗室

近日，有安全研究員披露 WPA2 協(xié)議層中存在邏輯缺陷，幾乎所有支持 Wi-Fi 的設(shè)備都面臨威脅，其傳輸?shù)臄?shù)據(jù)存在被嗅探、篡改的風險。攻擊者可獲取 Wi-Fi 網(wǎng)絡(luò)中的數(shù)據(jù)信息，如信用卡、郵件、賬號、照片等，危害巨大。對于用戶而言，應(yīng)該關(guān)注設(shè)備廠商安全公告，及時更新修補漏洞。而對于企業(yè)而言，除了督促員工盡快更新設(shè)備外，還可以利用 WIPS 產(chǎn)品來幫助抵御 KRACK 攻擊等無線安全攻擊威脅，保護企業(yè)內(nèi)部的 WiFI 設(shè)備安全。

本文將以KRACK攻擊為例，介紹 WIPS 產(chǎn)品為何能快速支持 KRACK 攻擊檢測并進行防御，雷鋒網(wǎng)進行了編輯整理。

一.什么是WIPS

WIPS（無線入侵防御系統(tǒng)）是針對企業(yè)無線應(yīng)用環(huán)境的安全威脅發(fā)現(xiàn)與防護系統(tǒng)，通過將無線通信技術(shù)、無線攻防、數(shù)據(jù)分析與挖掘等技術(shù)相結(jié)合，確保企業(yè)的無線網(wǎng)絡(luò)邊界安全、可控。

較為出名的 WAIDPS，便是一款由 Python 編寫的無線入侵檢測工具，基于Linux平臺，完全開源。它可以探測包括 WEP/WPA/WPS 在內(nèi)的無線入侵&攻擊方式，并可以收集周邊WiFi相關(guān)的所有信息。 

1.WIPS（無線入侵防御系統(tǒng)）基本架構(gòu)

WIPS 通常采用采用 B/S 或者 C/S 架構(gòu)，收發(fā)引擎分布式部署在企業(yè)辦公環(huán)境中，將收集到的熱點信息傳給中控服務(wù)器。管理員通過通過管理平臺查看企業(yè)內(nèi)部熱點信息，對捕獲到的攻擊行為進行告警，并對惡意、違規(guī)的熱點進行阻斷。 

2.基本功能

利用 WIPS 產(chǎn)品可以查看并管理企業(yè)內(nèi)可信熱點、未知熱點；識別并告警可疑攻擊行為；快速響應(yīng) WiFi攻擊及威脅事件。能夠有效防止惡意熱點、未知及外部熱點、偽造熱點、未授權(quán)移動終端等可能帶來的安全隱患，從而保護企業(yè)的無線網(wǎng)絡(luò)安全。

 

分布式部署在企業(yè)辦公環(huán)境中的收發(fā)引擎將會回收整個區(qū)域內(nèi)所有 802.11 原始數(shù)據(jù)并進行分析識別，如：

● 熱點、客戶端識別

■ 回收熱點、客戶端BSSID、ESSID、PWR、OUI & Loc等信息。

■ 判斷并標記惡意熱點、未授權(quán)熱點、錯誤配置熱點（弱密碼、有漏洞的加密協(xié)議）。

■ 發(fā)現(xiàn)客戶端未授權(quán)連接。

■ ..

● 攻擊行為識別

■ 檢測MDK3去認證攻擊

■ 檢測偽造合法熱點攻擊

■ 檢測偽造MAC地址攻擊

■ 檢測Aircrack-NG無線破解攻擊

■ ..

3.無線攻擊識別規(guī)則

由于后文對 KRACK 攻擊的檢測方法涉及檢測偽造熱點，此處便以此為例進行說明。

偽造熱點攻擊（Evil-Twin）是眾多無線攻擊方法中，成本較低、效果較好的一種，因此及時地發(fā)現(xiàn)并阻斷釣魚熱點是非常必要的。常見的偽造熱點攻擊檢測方法有：熱點常規(guī)信息檢測、登錄憑證驗證檢測、時鐘偏差檢測等方式。

● 常規(guī)信息檢測

利用目標 AP 的 Beacon、Interval、SSID、Channel 及其他無線信息進行比較得出判斷。

● 憑證驗證檢測

利用 AP 登記保存的憑證信息向目標設(shè)備發(fā)起連接，若成功再用錯誤密碼嘗試連接，若提示錯誤則證明是合法熱點。

● 時鐘偏差檢測等方式

通過計算兩個相鄰信標幀之間的 timestamp 間隔差異，即時鐘偏差，與預(yù)先設(shè)定的閾值進行比較來檢測偽 AP。如果 AP 的時鐘偏差值與特征庫中儲存的偏差值不一樣，則可認定這個 AP 為一個無線釣魚 AP。 

▲如上圖就是一個 Python 利用 Scapy 模塊以實現(xiàn)通過時鐘偏差檢測識別釣魚熱點的示例

二.KRACK攻擊原理分析

本次的 WPA2“密鑰重裝攻擊”，基本原理為：利用 WPA 協(xié)議層中的邏輯缺陷，多次重傳握手過程中的消息3從而導(dǎo)致重放隨機數(shù)和重播計數(shù)器，為攻擊者提供了利用條件。

在協(xié)議標準中還存在一條危險的注釋“一旦安裝后，就可從內(nèi)存中清除加密密鑰”，若按此注釋進行實現(xiàn)，在密鑰重裝攻擊時會從內(nèi)存中取回已經(jīng)被0覆蓋的 key 值，從而導(dǎo)致客戶端安裝了值全為零的秘鑰。而使用了含漏洞 wpa_supplicant 版本的 Linux 及 Android 設(shè)備便因此遭受嚴重威脅。

1.KRACK攻擊利用方式（攻擊視頻分析）

①首先測試設(shè)備連接真實的 testnetwork 網(wǎng)絡(luò)↓↓↓

②開啟 WireShark 監(jiān)聽并在稍后被設(shè)為釣魚熱點的網(wǎng)卡↓↓↓

③攻擊演示：

真實熱點 Real AP： 

SSID：testnetwork

Mac：bc:ae:c5:88:8c:20

Channel：6

被攻擊客戶端 Target：

SSID: 90:18:7c:6e:6b:20

偽造同名同 MAC 熱點（Rouge AP）：

SSID： testnetwork

Mac：bc:ae:c5:88:8c:20

Channel：1（信道不同）

▲注入CSA beacon pairs 將客戶端信道變?yōu)?，也就是迫使客戶端Target與Rouge AP通信。偽AP向目標Target發(fā)送Disassociate數(shù)據(jù)包，使其解除關(guān)聯(lián)。

④利用網(wǎng)卡建立目標 AP 的偽造熱點，迫使客戶端連接到偽造熱點上。此時設(shè)備經(jīng)歷重連，WiFI 狀態(tài)為正在認證。

當目標 targe 與真實 AP 完成認證過程，準備發(fā)起連接時，注入CSA beacon pairs，使信道切換到 Channel 1 實施中間人攻擊，同時客戶端狀態(tài)保持在 State 2，接下來開始發(fā)送四次握手中的 Message 3，實施密鑰重新安裝（Key Reinstallation Attack）攻擊。 

⑤此時密鑰重裝攻擊已經(jīng)執(zhí)行成功，客戶端已連接上偽造熱點： 

⑥在此偽造熱點中，被攻擊端所有流量皆可被嗅探、篡改；演示視頻中使用經(jīng)典的 MITM 工具 sslstrip 對 HTTPS 進行降級，便可獲取用戶傳輸?shù)拿魑馁~號信息。

⑦用戶提交的賬號信息便可被獲?。?/span>

2.檢測KRACK的幾種途徑

之前有講到 KRACK 的攻擊原理，根據(jù)現(xiàn)有 KRACK 的 Demo 來看，攻擊者的主要利用方式為：在被攻擊客戶端與正常AP建立連接時，攻擊代碼（POC）“克隆”了被攻擊客戶端所連接的AP，建立了一個相同 BSSID、ESSID，但 Channel 不同的熱點；通過發(fā)送 Disassociate Frame 迫使被攻擊客戶端解除關(guān)聯(lián)，此時設(shè)備經(jīng)歷重連；準備重新與正常AP發(fā)起連接時，注入CSA beacon pairs(Channel Switch Announcement)，使信道切換到惡意AP所在信道，實施中間人攻擊；同時客戶端狀態(tài)保持在State 2（通過對訪問點進行身份驗證的身份驗證狀態(tài)），接下來開始發(fā)送四次握手中的Message 3，實施密鑰重新安裝（Key Reinstallation Attack）攻擊，即可與偽AP建立正常連接通信。

 

根據(jù)以上攻擊流程，我們分析便得出 KRACK 現(xiàn)有的攻擊方式特征，并能據(jù)此添加對 KRACK 攻擊進行檢測：

 

1. 建立同 ESSID、BSSID 但不同Channel 的 Rouge AP；

2. 向客戶端發(fā)送異常 Deauth／Disassociate Frame；

3. 重新發(fā)送四次握手中的 message3 強制重置 nonce，相同IV；

4. Sequence Number 和 Timestamp 亂序；

5. Client 在建立握手的時候切換 Channel；

三.紅藍對抗演示

作為使用 WPA2 協(xié)議設(shè)備的用戶來說，官方的解決方案是等待協(xié)議漏洞的修復(fù)與廠家設(shè)備的升級。在企業(yè)環(huán)境中，能否將無線防護的主動權(quán)掌握在自己手中呢。安全專家的建議是企業(yè)應(yīng)合理部署WIPS，但是WIPS能否抵御這種突如其來的無線安全威脅呢？

在詳細分析了黑客的攻擊過程后，天巡實驗室準備進行一場紅黑對抗，一組扮演黑客模擬相同的攻擊手段進行無線攻擊；另一組實驗人員扮演企業(yè)管理員進行無線防護，同時在實驗環(huán)境內(nèi)部署 WIPS，測試 WIPS的防御效果。

1. 首先建立 testnetwork 熱點，企業(yè)用戶連接該熱點并通過認證后可訪問企業(yè)內(nèi)網(wǎng)資源；通過WIPS管理員可直觀了解該熱點的設(shè)備屬性和安全屬性，包括熱點 ESSID、BSSID、熱點廠商、頻道和加密方式等等。 

2. 然后黑客偽造與 testnetwork 相同名稱及配置的熱點，嘗試欺騙用戶連接；此時企業(yè)無線網(wǎng)絡(luò)環(huán)境中同時出現(xiàn)了兩個熱點，非專業(yè)人員根本無法識別哪個是企業(yè)自建熱點，哪個是非法的釣魚熱點。可以看到此時非法熱點已經(jīng)被 WIPS 識別出來并阻斷，當前連接終端數(shù)為“無”。 

3. 與此同時 WIPS 也第一時間向管理員通報偽造合法熱點攻擊事件的發(fā)生及處理情況。WIPS 的及時響應(yīng)為管理員在突發(fā)情況發(fā)生時爭取了更多的處置時間。 

4. 黑客為了使其他終端連接非法熱點簡直無所不用其極，泛洪終端拒絕服務(wù)攻擊是成本最低也是最見效的方式。該種攻擊方式可斷開所有終端與合法熱點的連接，在其他場景也可以干擾公共網(wǎng)絡(luò)終端與熱點的連接，造成網(wǎng)絡(luò)癱瘓。此時 WIPS 系統(tǒng)能夠發(fā)現(xiàn)此類攻擊，在提供處理建議的同時，還能定位攻擊發(fā)生的具體位置，管理員可實地排查是否有可疑人員。

5. 可以說黑客的攻擊行蹤已經(jīng)完全暴露在 WIPS 之下，原本看不見摸不著的無線威脅，透過 WIPS 的映射逐漸變得清晰。還不知道發(fā)生了什么的黑客繼續(xù)他的攻擊，黑客通過收集和重放重新發(fā)送四次握手中的Message3 強制重置 nonce，從而成功攻擊加密協(xié)議，解密客戶端發(fā)送通信數(shù)據(jù)包，截獲敏感信息。但是此時WIPS系統(tǒng)已經(jīng)監(jiān)測到該攻擊，并對實施釣魚的熱點進行了阻斷，使不知情的“用戶”免于威脅。 

雷峰網(wǎng)原創(chuàng)文章，未經(jīng)授權(quán)禁止轉(zhuǎn)載。詳情見轉(zhuǎn)載須知。