Февраль

pc_zoneАндрей «Skvoznoy» Комаров/ andrej@itdefence.ru /Программы для обнаружения атак на беспроводную сетьНа чем палятсявардрайверы?Проникнуть в чужую беспроводную сеть — чем не забава! Пошалишь и смотаешься.Взломщик не подключается к сети по проводам и может находиться где угодно, лишьбы был уверенный прием. В автомобиле на улице, например. Попробуй поймай! Тольковот, что я тебе скажу: все это популярное заблуждение. Технологии защитыразвиваются, и даже банальное сканирование эфира самими обычными программамивыдаст тебя с потрохами. А ты не знал?Как выявить сканирование?Чтобы найти поблизости беспроводныеустройства, а следовательно, и беспроводныесети, используют специальные сканерыэфира. Поставил такую штуку на ноутбук илиКПК и гуляешь по городу, в то время какпрограмма ведет логи всех найденных точекдоступа с указанием SSID (идентификаторасети), производителя оборудования, механизмашифрования, скорости работы и дажекоординат, если к ноуту подключен GPS-модуль.Знакомые софтины — Netstambler, Macstambler,Kismet (или его версия под винду — Kiswin)— в два счета просканируют эфир и выдадут всюинформацию на экран./ 044Но тут есть один важный момент, о котороммногие даже не подозревают! Эти сканерыне просто пассивно просматриваютэфир, но также используют активные методыисследования, посылая в сеть специальныепакеты. Если ты просканировал эфирNetstambler’ом, то считай, ты уже выдал своеприсутствие. Хорошо, если беспроводнаясеть — это одинокая точка доступа, которойвряд ли даже поменяли пароль для администрированиячерез веб-панель. Но еслиэто серьезная компания, то к любой подобнойактивности (внутри закрытой сети) отнесутсяс подозрением. И дело тут вот в чем.Когда осуществляется пассивное сканирование(в соответствии со стандартом802.11, то есть Wi-Fi), ничего страшногоне происходит, но и эффективность такого сканированиянулевая! Как только дело касаетсяинтимной информации о сети (которая можетбыть очень полезна взломщику), стемблервыдает свое присутствие из-за специальногоLLC/SNAP-фрейма.Еще 3 года назад (23 марта 2002 года) хакер-исследовательMike Craik предложил уникальныйидентификатор, по которому можно задетектитьтрафик программы NetStumbler: LLCфреймы,генерируемые сканером и содержащиеуникальный идентификатор (OID) 0x00601dи идентификатор протокола (PID) 0x0001. Кромеxàêåð 02 /98/ 07