Tento článek je součástí toho, Jak Hacking Funguje, základní Deska je průvodce, aby demystifikovat informační bezpečnosti.

V populárních médiích, hackeři jsou často zobrazováni jako elitní spolek ski mask nadšence a počítačových odborníků, které mohou klávesnice kaši svou cestu do jakékoliv digitální zařízení. Ale co kdybych vám řekl, že můžete také pwn téměř jakékoli zařízení připojené k internetu kolem vás, i když nemůžete říct SSL z SSID?

Ano, Můj příteli, zařízení, které hledáte, je ananas Wi-Fi, který může změnit kohokoli z hacku na hackera za nízkou, nízkou cenu 99$. Vzhledem k tomu, že je tak levný a snadno použitelný, je důležité pochopit, jak ananas funguje, abyste se ochránili před jeho útoky.

Ananas je šikovný malý přístroj poprvé vydána v roce 2008 Hak5, společnost, která vyvíjí nástroje pro penetrační testery, nebo „pentesters.“Pentesters jsou obvykle najat organizací k útoku své vlastní sítě s cílem odhalit slabá místa dříve, než jsou objeveny některé špatné herce. Ananas umožňuje pentesters snadno provádět sofistikované útoky na veřejných Wi-Fi sítích, aby zjistili, jak tyto útoky fungují a jak chránit síť před těmito útoky.

ananas se příliš neliší od běžných přístupových bodů Wi-Fi, které používáte k získání internetu doma nebo v kanceláři, jen výkonnější. Používají více rádií spíše než jen jedno rádio nalezené ve většině směrovačů. To znamená, že ananas je schopen rozhraní se stovkami zařízení najednou, spíše než jen několik desítek. Webové rozhraní ananasu je navíc Optimalizováno pro provádění složitých síťových útoků.

Přečtěte si Více: základní Deska e-Glosář, Počítačové Pojmy a Hacking Žargon

„Když jsem vynalezl Wi-Fi Ananas, viděl jsem, že Wi-Fi měl vlastní chyby, které dělal to náchylné k spoofing útokům,“ Darren Kuchyň, zakladatel Hak5, řekl mi v e-mailu. Útok spoofingu je, když se hacker vydává za službu nebo zařízení, aby získal přístup k datům oběti.

„mnoho hanebných typů již využilo těchto slabin, ale většina lidí si toho problému nebyla vědoma,“ dodal Kitchen. „Myslel jsem, že když bezpečnost informací lidé měli přístup k zařízení, které by mohlo snadno zneužít tyto chyby, to by zvýšit povědomí a dostat věci do pořádku.“

i když Ananas měl vždy kultu v hackerských kruzích, je to v poslední době zvedl k výtečnosti po ní byl uveden jako hlavní zápletka, v show Silicon Valley a Mr.Robot.

V těchto ukazuje, že přístroj byl použit k podvržení webových stránkách a k provedení man-in-the-middle útok hack FBI, respektive. Podle Kitchen, který sloužil jako technický poradce v epizodě Silicon Valley, fiktivní zobrazení ananasu v těchto pořadech není tak daleko od pravdy.

ananas je neocenitelným nástrojem pro pentestery, ale jeho popularita je také způsobena skutečností, že může být použita pro více hanebné účely. Hackeři mohou zařízení snadno ovládat a shromažďovat citlivé osobní informace od nic netušících uživatelů ve veřejných sítích Wi-Fi.

je důležité mít na paměti, že jen proto, že můžete háďátko všechny věci s ananasem, neznamená, že je to legální, nebo že byste měli. Vlastnit ananas je legální, ale brát peníze z něčího bankovního účtu krádeží jeho nešifrovaného hesla není. Ananas jen usnadňuje chytání nešifrovaných hesel odeslaných přes Wi-Fi. Nejsem právník, ale obecně, pokud nemáte výslovné svolení k použití Ananasu v síti, které vlastní, stejně jako z každého, kdo by mohl rozumně připojit k této síti, jsou šlapou na nebezpečné území.

znovu: Provedení Ananas je využije na sítě nemáte vlastní, pokud nejste pentester pracovat v profesionálním prostředí, můžete rychle dát vás na nelegální území. I když tě nechytí, pořád jsi debil za to, tak prostě…ne.

Přečtěte si Více: základní Deska Návod k Ne Dostat Hacknutý

Tato příručka je určena pro informační pohled do světa síťového pentesting, stejně jako připomínka, o významu osobní informační bezpečnosti. Poté, co ukazuje jen některé ze způsobů, Ananas může být použit k háďátka vás, budu také vás provede některé jednoduché kroky, které můžete podniknout, aby se ujistil, že jste nikdy na špatném konci škodlivý, Ananas útoku.

Hak5 dělá několik různých verzí Ananas, ale při sestavování tohoto článku jsem použil jeho nejlevnější model, který jsem si koupil na DEF CON hacking konference pro účely tohoto článku: Ananas Nano. Nakonfiguroval jsem jej v počítači se systémem Windows, i když je také kompatibilní se systémy iOS a Linux.

počáteční nastavení je hračka. Vše, co musíte udělat, je připojit jej do USB portu v počítači, přejděte na IP adresu ananasu a postará se o zbytek. Poté, co jste aktualizovali své přihlašovací údaje pro ananas, jste připraveni vyzkoušet některé exploity.

EXPLOIT #1: WALL of SHEEP

každý rok na DEF CON, jedné z největších hackerských konferencí na světě, hostí Packet Hacking Village zeď ovcí. To je v podstatě seznam zařízení, která připojena k nezabezpečenou síť na DEF CON. Seznam je obvykle zobrazen na velké obrazovce projektoru v Paketu Hacking vesnice, kde každý může vidět nejen zařízení ID, ale také webové stránky, které se snaží přístup a příslušné pověření.

je to lehký způsob, jak zahanbit lidi do lepší informační bezpečnosti, a můžete snadno vytvořit vlastní zeď ovcí pomocí ananasu.

Přečtěte si více: 72 hodin háďátka: Paranoidní N00b Jede na DEF CON

Všechny využije pro Pineapple jsou volně k dispozici ke stažení modulů na Ananas palubní desce a obvykle jen jeden-klepněte na tlačítko stáhnout a nainstalovat na zařízení. Jakmile Stěna Ovcí modul (tzv. ‚DWall‘) je nainstalován na Ananas, jakékoliv zařízení, které se připojuje k to bude v podstatě být vysílání jejich prohlížení provoz na majitele Ananas.

výjimkou, samozřejmě, je-li by-být obětí je použití Virtuální Privátní Sítě (VPN) k zašifrování jejich webového provozu nebo jen návštěvě stránky zajištěné prostřednictvím Secure Hypertext Transfer Protocol (HTTPS). Tento protokol šifruje data směrovány mezi web serverem a vaším zařízením a účinně brání bosé posluchače z vidět, které webové stránky jste navštívili. HTTPS také pomáhá chránit vaše internetové návyky od svého poskytovatele služeb internetu, který může vidět pouze domény nejvyšší úrovně návyky svých uživatelů (například, že jste navštívili základní Desky, ale ne, že jste klikli na tento článek).

i když více než polovina webových přešel na HTTPS z jeho nejistá předchůdce, HTTP, 2017 Google audit zjistil, že téměř 80 procent z top 100 webových stránek, ne nasadit HTTPS ve výchozím nastavení. To znamená, že každý, kdo nechtěně připojí k Ananasu a pak přejde do HTTP verze stránek je v podstatě odhalil všechny jejich aktivity na tomto webu, z navštívené stránky na vyhledávací termíny, pro osobu ovládat Ananas.

mnoho webových stránek má jak verzi HTTP, tak verzi HTTPS, což, jak uvidíme v exploitu, je bezpečnostní chyba, kterou může ananas zneužít.

EXPLOIT #2: MAN-IN-the-MIDDLE + EVIL PORTAL

Pineapple man-in-the-middle (MITM) útoky jsou opravdu hlavním důvodem, proč pentesters získat toto zařízení.

MITM útoky jsou způsob, jak špehovat uživatele vložením Ananas mezi zařízení uživatele a legitimní Wi-Fi přístupové body (z hlediska toho, jak jsou data směrována přes síť, ne nutně doslova mezi nimi v hmotné universum). Ananas pak předstírá, že je legitimním přístupovým bodem Wi-Fi, takže může špehovat všechny informace, když přenáší data ze zařízení do přístupového bodu.

Další způsob, jak přemýšlet o MITM útoky je, že jsou trochu jako kdyby někdo upustil dopis ve své poštovní schránce a potom cizinec otevřel poštovní schránku, číst dopis, a pak dát je zpět ve schránce k odeslání.

Přečtěte si Více: Vypnutí Wi-Fi a Bluetooth v iOS 11 není ve Skutečnosti Vypnout Wi-Fi nebo Bluetooth

Tak jak to Ananas trik váš přístroj do myslím, že to je legitimní přístupový bod? Na ananasu je nativní funkce, která vyhledává identifikátory sady služeb (SSID)-názvy sítí Wi—Fi-které jsou vysílány ze zařízení v jeho blízkosti.

kdykoli se připojíte k síti Wi-Fi v telefonu nebo počítači, vaše zařízení uloží SSID této sítě Wi-Fi pro případ, že byste se někdy v budoucnu potřebovali připojit k této síti Wi-Fi. Ale toto pohodlí přichází s velkými náklady.

řekněme, že jste připojeni k Wi-Fi na své oblíbené místní kávu místě, a její síť se nazývá „Human_Bean_wifi“. Poté, co opustíte kavárnu, váš telefon nebo notebook začne vysílat signál, který se v podstatě ptá, zda jsou přístupové body Wi-Fi kolem zařízení “ Human_Bean_wifi.“Dělá to pro jakoukoli síť, ke které jste se v minulosti připojili.

“ Rychlá kontrola reality je obvykle vše, co potřebujete, abyste zjistili, zda jste byli podvedeni ananasem Wi-Fi.“

ananasy jsou schopny využít této funkce skenováním všech SSID vysílaných zařízeními v jeho blízkosti. To pak rebroadcasts tyto SSID tak, že může přimět zařízení, aby si myslel, že je přístupový bod, který byl připojen k v minulosti. Chcete-li použít výše uvedený příklad, ananas uvidí, že se váš telefon ptá: „Je tato síť „Human_Bean_wifi“?“a pak začněte vysílat svůj vlastní signál, který říká:“ ano, jsem ‚Human_Bean_wifi‘, připojte se ke mně.“

jinak by to bylo v podstatě jako chodit se sadou klíčů od vašeho domu a ptát se každého cizince, kterého potkáte, pokud je vaším spolubydlícím. Většinou, ti cizinci řeknou “ Ne, „ale také riskujete, že narazíte na špatně zamýšleného cizince, který vám bude lhát a řekne:“ ano, samozřejmě jsem tvůj spolubydlící. Prosím, Pusťte mě dovnitř, “ a pak pokračujte v krádeži všech vašich věcí.

Více: Základní deska průvodce VPN

ale získání zařízení pro připojení k ananasu je pouze polovina provádění MITM exploit. Útočník musí být také schopen číst data směrovaná ze zařízení přes ananas. Existuje několik způsobů, jak to udělat.

ananas lze použít k vytvoření „zlého portálu“, který v podstatě vytváří falešné verze webových stránek pro zachycení uživatelských jmen a hesel, informací o kreditní kartě nebo jiných citlivých dat.

Tyto práce tím, že vytvoří místní server na útočníka počítači hostitele webovou stránku, která vypadá jako regulérní přihlašovací stránka pro dobře nakonfigurované služby, jako je Gmail nebo Facebook. Tyto stránky lze snadno duplikovat pomocí bezplatných online služeb.

Pak útočník nakonfiguruje jejich Ananas tak, že když nějaké zařízení, která jsou k němu připojena, se snaží procházet webové stránky, jako je Twitter nebo Facebook, ve skutečnosti budou přesměrováni na falešné webové stránky se podává na útočníka počítači. Pokud oběť zadá své informace na této stránce, jejich uživatelské jméno a heslo bude odhaleno útočníkovi, aniž by uživatel věděl, že byl pwned.

Další způsob, jak shromažďování informací o procházení návyky s MITM útoku je použití modulů postaven na Ananas, že blok nuceni HTTPS šifrování a čtení dat, které by jinak bylo bezpečné.

zvažte například web, jako je základní deska, který je zabezpečen protokolem HTTPS. Pokud jednoduše zadáte „motherboard.vice.com“ ve vyhledávacím panelu URL a stisknutím klávesy enter odešlete požadavek HTTP na servery Vice. Servery Vice poté tento požadavek vyplní a odpoví na vaše zařízení tak, že jej nasměrují na zabezpečenou verzi webu HTTPS. (To je stejné pro mnoho hlavních webových stránek, jako je Twitter).

nutit uživatele k verzi HTTPS je skvělý způsob, jak zvýšit bezpečnost webových stránek, ale je to požadavek HTTP uživatele na začátku, který lze využít s ananasem. Modul s názvem SSLSplit je schopen sledovat požadavky HTTP ze zařízení uživatele, když je připojen k ananasu. To pak bude směrovat žádost spolu na příslušný server, ale když server odpoví na zabezpečené HTTPS spojení, Ananas bude „strip“ pryč zabezpečené vrstvy a slouží HTTP verze stránek zpět k uživateli.

V tomto bodě, uživatel bude účinně procházení nezabezpečené verze stránek, které se objeví téměř přesně stejné. Jediným rozdílem bude, že z levého horního rohu obrazovky zmizí malá ikona zámku.

tento útok jasně ukazuje důležitost šifrovaných komunikačních protokolů, jako je HTTPS. Bez nich mohou všechna data směrovaná mezi zařízením a přístupovým bodem snadno číst kdokoli s ananasem.

jak se chránit před škodlivými uživateli ananasu

hacky diskutované výše jsou jen špičkou ledovce. Naštěstí existuje řada jednoduchých kroků, které můžete podniknout, abyste se ochránili před tím, že vás nějaký kretén s ananasem zbaví.

buďte opatrní před veřejnými sítěmi WI-FI

nejjednodušší věc, kterou můžete udělat, je připojit se pouze k sítím Wi-Fi, které znáte a kterým důvěřujete. Například vaše domácí síť je téměř jistě v bezpečí před útokem ananasu. Je to proto, Ananas, musí mít také přístup k síti se snaží sledovat provoz, takže pokud má útočník přístup k vaší domácí Wi-Fi pověření, nebudou moci háďátka s Ananasem.

totéž platí pro vaši kancelář Wi-Fi-pokud, samozřejmě, vaše kancelář najala pentester k auditu své sítě. Skutečné nebezpečí ananasového útoku je na veřejných sítích-místa, jako je místní kavárna nebo letiště, jsou všechna nejlepší místa pro útok. Většina lidí nepřestává kontrolovat, zda je přístupový bod „free_airport_wifi“ legitimní a připojuje se bez přemýšlení.

Když přijde na vytváření sítí infosec, ostražitost je klíčem. Nejbezpečnější možností je nikdy nepoužívat veřejné sítě Wi-Fi. To je velká bolest v zadku, nicméně, a téměř jistě zvýší vaše účty za mobilní telefon za použití dat. (Za to, co stojí za to, váš mobilní telefon není v bezpečí před lapači IMSI, ale odbočím).

virtuální privátní sítě

Pokud se musíte dostat na veřejné Wi-Fi, nejlepší je získat VPN. VPN jsou bezpečný způsob surfování po síti tím, že se nejprve připojíte k serveru VPN, než se pustíte do World Wide Web. Server VPN šifruje vaše data před směrování na místo určení, v podstatě vytváří ochranný shell pro vaše data, který je nesrozumitelný pro zvědavýma očima. Takže i když útočník může být schopen vidět, že vaše zařízení připojeno k jejich Ananasu, pokud používáte VPN nebudou moci zobrazit data jsou směrování.

„používání VPN je stále nejlepší rada,“ řekl Kitchen. „Když používáte VPN, každý, kdo se dívá do vašeho provozu, uvidí pouze šifrovaný nepořádek. To platí pro každého odposlouchávače-ať už je to ananas Wi-Fi, váš ISP, zaměstnavatel nebo dokonce Naše úžasná vláda.“

výběr správné VPN může být opravdu těžký úkol. Zde je jednoduchý průvodce s několika návrhy.

HTTPS pouze

dalším dobrým pravidlem je navštívit pouze webové stránky zabezpečené HTTPS (jako základní deska!) V těchto dnech, většina webových stránek, budete pravděpodobně navštívit na den-to-denní bázi, které mají citlivé informace o nich přešli na tento bezpečnostní standard, z HTTP, a to díky společné úsilí průmyslu, aby se zasadila HTTPS, včetně Google algoritmy upřednostnění stránek s bezpečnostní více než ty, které nejsou šifrovány. Přesto jsou ananasové moduly schopny vynutit připojené zařízení na nezabezpečenou (HTTP) verzi webu, pokud návštěvník výslovně nezadal https:/ / před názvem domény.

Přečtěte si Více: Wikipedia Přepnout na HTTPS Úspěšně Bojoval Vládní Cenzuru

„Bohužel příliš mnoho webových stránek, nepoužívejte HTTPS, a že mnozí jsou stále náchylné k downgrade útoků,“ Kuchyně mi řekl. „Pokud se odvážíte kamkoli z vyšlapané cesty, nedoporučoval bych to používat jako svou jedinou obrannou linii. Stále je důležité zůstat ostražití a zkontrolovat HTTPS, ale také zabalit VPN.“

Stručně řečeno, vždy zkontrolujte adresy URL navštívených webů, abyste se ujistili, že používají protokol HTTPS. Prohlížeče, jako je Chrome, Firefox a Opera kontrola bezpečnosti webových stránek snadno se malý visací zámek ikonu, která říká, že „Bezpečné“ na levé straně adresního řádku a varování uživatelů před jejich návštěvě nezabezpečené stránky.

vždy zapomeňte

A konečně je důležité, abyste při každém připojení k veřejné síti Wi-Fi nakonfigurovali telefon nebo počítač tak, aby tuto síť „zapomněl“. Tímto způsobem vaše zařízení nebude neustále vysílání Ssid sítě, ke kterým se připojuje v minulosti, což může být podvržena útočníkem s Ananasem. Bohužel neexistuje snadný způsob, jak to udělat v systému Android nebo iPhone, a každá síť musí být zapomenuta ručně na kartě „Správa sítí“ v nastavení telefonu.

Další jednoduché řešení je vypnout Wi-Fi funkce, když jej nepoužíváte—i když to není tak snadné dělat na některých zařízeních už—a nedovolte, aby váš přístroj připojit automaticky připojit na otevřené Wi-Fi sítě.

Přečtěte si Více: WiFi Signály identifikace Osob podle Tvaru Těla

Zatímco je snadné se dostat paranoidní a zajímalo by mě, jestli je tam Ananas čeká na háďátka vás, kdykoliv budete mít Wi-Fi připojení, většina Ananas zneužití může být snadno vyhnout tím, že prostě zůstat bdělí o nastavení sítě a internetu zkušenosti. Přes veškerou svou zdatnost v manipulaci s elektronikou jsou hackeři pro své řemeslo stále velmi závislí na lidské chybě.

„Wi-Fi ananas je opravdu dobrý v napodobování Wi-Fi sítí, ke kterým jste se připojili v minulosti,“ řekl Kitchen. „Pokud jste v parku a vaše zařízení říká, že je připojeno k Wi-Fi letadla, něco není v pořádku. Rychlá kontrola reality je obvykle vše, co potřebujete, abyste zjistili, zda jste byli podvedeni ananasem Wi-Fi.”