este artigo faz parte de como o Hacking funciona, Guia da placa-mãe para desmistificar a segurança da informação.na mídia popular, os hackers são frequentemente retratados como uma cabala de elite de aficionados de máscaras de esqui e especialistas em computadores que podem usar o teclado em qualquer dispositivo digital. Mas e se eu te dissesse que também podes usar quase qualquer dispositivo ligado à internet à tua volta, mesmo que não consigas distinguir um SSL de um SSID?sim, meu amigo, o dispositivo que procuras é um ananás Wi-Fi, que pode transformar qualquer um de hack em hacker pelo baixo preço de 99 dólares. Uma vez que é tão barato e fácil de usar, é importante entender como o abacaxi funciona, a fim de se proteger contra seus ataques.

O Abacaxi é um nifty pouco dispositivo lançado pela primeira vez em 2008 por Hak5, uma empresa que desenvolve ferramentas para testadores de penetração, ou “pentesters.”Os Pentesters são geralmente contratados por organizações para atacar suas próprias redes, a fim de expor vulnerabilidades antes que eles sejam descobertos por alguns atores ruins. O ananás permite aos pentésteres executar facilmente ataques sofisticados em redes públicas Wi-Fi para ver como os ataques funcionam e como proteger a rede desses ataques.os Ananases não são muito diferentes dos pontos de acesso Wi-Fi normais que você usa para obter internet em casa ou no escritório, apenas mais poderosos. Eles usam vários rádios ao invés de apenas um único rádio encontrado na maioria dos roteadores. Isto significa que um ananás é capaz de interagir com centenas de dispositivos de cada vez, em vez de apenas algumas dezenas. Além disso, a interface web do ananás é otimizada para executar ataques de rede complicados.

Leia Mais: A placa-Mãe e-Glossário de Cyber Termos e Hacking Linguagem

“Quando eu inventei o acesso Wi-Fi gratuito Abacaxi, eu vi que o acesso Wi-Fi gratuito tivesse muitas falhas que a tornou vulnerável a ataques de spoofing,” Darren Cozinha, o fundador da Hak5, me disse em um e-mail. Um ataque de spoofing é quando um hacker se faz passar por um serviço ou dispositivo, a fim de obter acesso aos dados de uma vítima.

“muitos tipos nefastos já tinham se aproveitado dessas fraquezas, mas a maioria das pessoas não estavam cientes do problema”, acrescentou Kitchen. “Eu pensei que se as pessoas de segurança da informação tivessem acesso a um dispositivo que poderia facilmente explorar essas falhas, isso aumentaria a conscientização e resolveria as coisas.”

Embora o Abacaxi tem sempre teve um cult dentro hacker círculos, que recentemente ganhou destaque depois que ele foi apresentado como um importante ponto do gráfico nos mostra o Vale do Silício e o Mr. Robot.

nestes programas, o dispositivo foi usado para falsificar um site e executar um ataque de homem no meio para hackear o FBI, respectivamente. De acordo com Kitchen, que serviu como conselheiro técnico no episódio de Silicon Valley, a representação ficcional do abacaxi nestes shows não está tão longe da verdade.

O abacaxi é uma ferramenta inestimável para pentésteres, mas sua popularidade também é devido ao fato de que ele pode ser usado para fins mais nefastos. Os Hackers podem facilmente usar o dispositivo para coletar informações pessoais sensíveis de usuários insuspeitos em redes públicas Wi-Fi.

é importante ter em mente que só porque você pode plantar todas as coisas com um ananás, não significa que é legal ou que você deve. Possuir um ananás é legal, mas tirar dinheiro da conta bancária de alguém roubando a sua senha não encriptada não é. O ananás torna mais fácil obter senhas não cifradas enviadas através de Wi-Fi. Não sou advogado, mas, em geral, se não tiver permissão explícita para usar o ananás numa rede que possui, bem como de qualquer pessoa que possa razoavelmente ligar-se a essa rede, está a pisar em território perigoso.mais uma vez: Executar as façanhas de um ananás em uma rede que você não possui se você não é um pentester trabalhando em um ambiente profissional pode rapidamente colocá-lo em território ilegal. Mesmo se você não for pego, você ainda é um idiota por fazer isso, então só…não sei.

Leia Mais: A placa-Mãe Guia para Não Ficar Cortado

Este guia destina-se a ser um informativo vislumbre da rede mundial de pentesting, bem como um lembrete sobre a importância da segurança de informação pessoal. Depois de mostrar-lhe apenas algumas das maneiras que um ananás pode ser usado para si, eu também vou levá-lo através de alguns passos simples que você pode tomar para garantir que você nunca está no lado errado de um ataque de ananás malicioso.

Hak5 faz algumas versões diferentes do Abacaxi, mas ao escrever este artigo, usei o seu modelo mais barato, que eu comprei na DEF CON hacking conferência para os fins do presente artigo: o Abacaxi Nano. Configurei – o num computador do Windows, embora também seja compatível com os sistemas iOS e Linux.

o ananás Nano. Imagem: Hak5

a configuração inicial é fácil. Tudo que você precisa fazer é conectá-lo na porta USB em seu computador, navegar para o endereço IP do ananás e ele vai cuidar do resto. Depois de ter atualizado a sua informação de login para o ananás, você está pronto para experimentar algumas façanhas.

explore #1: WALL OF SHEEP

odos os anos na DEF CON, uma das maiores conferências de hacking do mundo, a aldeia de Hacking de pacotes hospeda a parede de ovelhas. Esta é essencialmente uma lista de dispositivos conectados a uma rede insegura na DEF CON. A lista geralmente é exibido em uma grande tela de projeção em que o Pacote de Hackers aldeia, onde qualquer um pode ver não só o dispositivo de IDENTIFICAÇÃO, mas também a sites, ele estava tentando acessar e quaisquer credenciais relevantes.

é uma forma leve de envergonhar as pessoas para uma melhor segurança da informação, e você pode facilmente criar sua própria parede de ovelhas usando um ananás.

Leia mais: 72 horas de Pwnage: Um n00b Paranoico vai para DEF CON

Todas as façanhas para o ananás estão disponíveis gratuitamente como módulos descarregáveis no painel de instrumentos do ananás e normalmente só leva um único clique para baixar e instalar no dispositivo. Uma vez instalado o módulo de parede de ovelhas (chamado “DWall”) em um ananás, qualquer dispositivo que se conecte a ele basicamente estará transmitindo seu tráfego de navegação para o proprietário do ananás.

a exceção a isso, é claro, é se a vítima está usando uma rede privada Virtual (VPN) para encriptar seu tráfego web ou apenas visitar páginas protegidas pelo Protocolo de transferência de hipertexto seguro (HTTPS). Este protocolo criptografa os dados que estão sendo encaminhados entre o servidor do site e seu dispositivo e efetivamente impede que os bisbilhoteiros de ver que sites você está visitando. HTTPS também ajuda a proteger seus hábitos web de seu provedor de serviços de internet, que só pode ver os hábitos de domínio de topo de seus usuários (por exemplo, que você visitou placa-mãe, mas não que você clicou neste artigo).

Embora mais de metade da web mudou para HTTPS a partir de sua inseguro antecessor, HTTP, um 2017 Google auditoria constatou que cerca de 80 por cento dos top 100 sites não implantar o HTTPS por padrão. Isto significa que qualquer pessoa que inadvertidamente se conecta a um ananás e, em seguida, navega para uma versão HTTP do site está basicamente expondo toda a sua atividade nesse site, de páginas visitadas a termos de busca, para a pessoa que empunha um ananás.

muitos sites têm uma versão HTTP e uma versão HTTPS, que como veremos no exploit, é uma vulnerabilidade de segurança que pode ser explorada por um ananás.

o abacaxi original lançado em 2008. Imagem: Darren Kitchen/Hak5

explore #2: Man-IN-the-MIDDLE + EVIL PORTAL

Pineapple man-in-the-middle (MITM) attacks are really the main reason pentesters get this device.ataques MITM são uma forma de escutar um usuário inserindo um ananás entre o dispositivo do Usuário e pontos de acesso Wi-Fi legítimos (em termos de como os dados são encaminhados através da rede, não necessariamente literalmente entre eles no meatspace). O ananás, em seguida, finge ser o ponto de acesso Wi-Fi legítimo para que ele possa bisbilhotar em todas as informações como ele retransmite dados do dispositivo para o ponto de acesso.

Outra maneira de pensar sobre a ataques MITM é que eles são tipo como se alguém deixou cair uma carta em sua caixa de correio e, em seguida, um estranho abriu sua caixa de correio, leia a carta e, em seguida, colocá-lo de volta na caixa de correio a ser enviada.

Leia Mais: Desativar a ligação Wi-Fi e Bluetooth no iOS 11 na Verdade, não Desligar o Wi-Fi ou Bluetooth

Então, como um Abacaxi enganar o seu dispositivo em pensar que é um legítimo ponto de acesso? Há uma característica nativa no ananás que procura identificadores de conjuntos de serviço (SSID)—os nomes de redes Wi-Fi—que estão a ser transmitidos a partir de dispositivos nas suas proximidades.

sempre que se ligar a uma rede Wi-Fi no seu telemóvel ou computador, o seu dispositivo grava o SSID dessa rede Wi-Fi no caso de alguma vez precisar de se ligar a essa rede Wi-Fi no futuro. Mas esta conveniência vem com um custo maior.

ropaganda

digamos que você conectou-se ao Wi-Fi no seu local favorito de café, e sua rede é chamada “Human_Bean_wifi”. Depois que você deixou o café, seu telefone ou laptop vai começar a transmitir um sinal que está basicamente perguntando se os pontos de acesso Wi-Fi em torno do dispositivo são “Human_Bean_wifi.”Faz isto por qualquer rede a que se tenha ligado no passado.

“a quick reality check is usually all it takes to see if you’ve been duped by a Wi-Fi Pineapple.”

Ananases are able to take advantage of this feature by scanning for all the SSIDs being broadcast by devices in its neighborhood. Ele então refaz estes SSIDs de modo que ele pode enganar dispositivos para pensar que é um ponto de acesso que foi conectado no passado. Então, para usar o exemplo acima, o ananás verá que seu telefone está perguntando: “esta rede é ‘Human_Bean_wifi’?”e então começar a transmitir seu próprio sinal que diz” sim, eu sou ‘Human_Bean_wifi’, conecte-se a mim.dito de outra forma, isto seria basicamente como andar por aí com um conjunto de chaves para a sua casa e pedir a cada estranho que encontrar se eles são o seu companheiro de quarto. Na maioria dos casos, esses estranhos dirão “Não”, mas você também corre o risco de encontrar um estranho mal-intencionado que vai mentir para você e dizer “Sim, claro que eu sou seu companheiro de quarto. Por favor, deixe-me entrar,” e depois continue a roubar todas as suas coisas.

Leia mais: A Motherboard Guide to VPNs

mas obter dispositivos para se conectar a um ananás é apenas metade da execução de uma exploração MITM. Um atacante também deve ser capaz de ler os dados que estão sendo encaminhados do dispositivo através do ananás. Há algumas maneiras de fazer isto.

um ananás pode ser usado para criar um “Portal do mal”, que basicamente cria versões falsas de sites para capturar nomes de usuário e senhas, informações de cartão de crédito ou outros dados sensíveis.

Propaganda

Estes trabalhos, a criação de um local de servidor no computador do invasor, para hospedar uma página da web que parece regular a página de login para um bem-traficadas serviço, como o Gmail ou o Facebook. Estas páginas podem ser facilmente duplicadas usando serviços online gratuitos.

em seguida, o atacante configura seu abacaxi de modo que, quando quaisquer dispositivos que estão conectados a ele tentar navegar para um site como Twitter ou Facebook, eles realmente serão redirecionados para a página falsa que está sendo servida pelo computador do atacante. Se a vítima introduzir as suas informações nesta página, o seu nome de utilizador e senha serão revelados ao atacante sem que o utilizador saiba que foram apagados.

outra forma de reunir informações sobre os hábitos de navegação de alguém com um ataque MITM é usar módulos construídos para o ananás que bloqueiam a encriptação forçada dos HTTPS e ler os dados que de outra forma teriam sido seguros.

por exemplo, considere um site como placa-mãe, que é seguro com HTTPS. Se você simplesmente digitar “motherboard.vice.com” em sua barra de pesquisa de URL e pressione enter, você estará submetendo um pedido HTTP para os servidores da Vice. Os servidores da Vice irão então colocar este pedido e responder ao seu dispositivo, direcionando-o para uma versão segura HTTPS do site. (Este é o mesmo para muitos sites importantes, como o Twitter).

forçar os usuários a uma versão HTTPS é uma ótima maneira de reforçar a segurança de um site, mas é o pedido HTTP do usuário no início que pode ser explorado com um ananás. Um módulo chamado SSLSplit é capaz de monitorar solicitações HTTP a partir de um dispositivo do usuário quando ele está conectado ao Ananás. Ele então vai encaminhar este pedido ao longo do servidor apropriado, mas quando o servidor responde com o link https seguro, o ananás vai “remover” a camada segura e servir uma versão HTTP do site de volta para o usuário.

Propaganda

neste ponto, o usuário será efectivamente a navegação de uma versão insegura do site, que aparecem quase que exatamente o mesmo. A única diferença será que um pequeno ícone de bloqueio terá desaparecido do canto superior esquerdo da tela.

verifique sempre este ícone de bloqueio no canto superior esquerdo do seu navegador da internet.

este ataque demonstra claramente a importância de protocolos de comunicação criptografados, tais como HTTPS. Sem eles, todos os dados que estão sendo encaminhados entre o dispositivo e o ponto de acesso podem ser facilmente lidos por qualquer um com um ananás.

Como se proteger dos usuários maliciosos de ananás

os hacks discutidos acima são apenas a ponta do iceberg. Felizmente, há uma série de passos simples que você pode tomar para se proteger de ser atingido por um idiota com um ananás.

tenha cuidado com as redes WI-FI públicas

A coisa mais fácil que pode fazer é ligar-se apenas às redes Wi-Fi que conhece e confia. A sua rede doméstica, por exemplo, está quase de certeza a salvo de um ataque de ananás. Isso é porque um ananás também deve ter acesso à rede que ele está tentando monitorar o tráfego, então, a menos que o atacante tenha acesso às suas credenciais Wi-Fi de casa, eles não serão capazes de picá-lo com um ananás.o mesmo se aplica ao seu escritório Wi-Fi-a menos que, claro, o seu escritório tenha contratado um pentester para auditar a sua rede. O perigo real de um ataque de ananás é nas redes públicas—lugares como o seu café local ou o aeroporto são todos os lugares principais para um ataque. A maioria das pessoas não pára para verificar se o ponto de acesso “free_airport_wifi” é legítimo e se conecta sem pensar.

Propaganda

Quando se trata de redes de segurança da informação, a vigilância é fundamental. A opção mais segura é nunca usar redes Wi-Fi públicas. Isso é uma grande dor de cabeça, no entanto, e quase certamente vai conduzir acima suas contas de telefone celular para o uso de dados. (Se vale de alguma coisa, seu celular também não está seguro de catchers IMSI, mas eu divido).

redes privadas virtuais

Se você precisa entrar em Wi-Fi público, sua melhor aposta é obter um VPN. VPNs são uma forma segura de navegar na rede, conectando-se primeiro a um servidor VPN antes de se aventurar na World Wide Web. O servidor VPN criptografa seus dados antes de encaminhá-los para o seu destino, essencialmente criando uma shell de proteção para seus dados que torna ininteligível a Curiosidades. Então, mesmo que um atacante possa ser capaz de ver que seu dispositivo tem conectado ao seu Ananás, se você estiver usando um VPN eles não serão capazes de ver os dados que eles estão roteando.

“usar um VPN ainda é o melhor conselho”, disse Kitchen. “Quando você usa um VPN, qualquer um que olhe para o seu tráfego só vai ver uma bagunça criptografada. Isso vale para qualquer bisbilhoteiro-seja um ananás Wi-Fi, o teu ISP, um empregador ou até mesmo o nosso maravilhoso governo.”

escolher o VPN certo pode ser um desafio muito difícil. Aqui está um guia simples com algumas sugestões.

HTTPS apenas

outra boa regra é visitar sites seguros com HTTPS (como a placa-mãe!) Atualmente, a maioria dos sites que você provavelmente visitará no dia-a-dia que têm informações sensíveis sobre eles mudaram para este padrão de segurança a partir de HTTP, graças a um esforço concertado da indústria para empurrar HTTPS, incluindo algoritmos do Google privilegiando sites com segurança sobre aqueles que não são criptografados. Ainda assim, os módulos de ananás são capazes de forçar um dispositivo conectado em uma versão insegura (HTTP) de um site se o VISITANTE não digitar explicitamente https:// antes do nome de domínio.

Propaganda

Leia Mais: Wikipédia Mudar para HTTPS Combatido com Sucesso Censura do Governo

“Infelizmente, muitos sites não usar HTTPS, e muitos que não são ainda susceptíveis de downgrade ataques, Cozinha, disse-me. “Se está a aventurar-se fora do caminho, aconselho-o a não usar isto como a sua única linha de defesa. Ainda é importante ficar vigilante e verificar se há HTTPS, mas empacotar um VPN também.”

em resumo, certifique – se sempre de verificar os URLs dos sites que você visita para se certificar de que eles estão usando HTTPS. Navegadores como Chrome, Firefox e Opera tornam a verificação de segurança do site fácil com um pequeno ícone de cadeado que diz “seguro” no lado esquerdo da barra de endereços e adverte os usuários antes de visitar um site inseguro.

sempre esqueça

Finalmente, é importante que sempre que você terminar de se conectar a uma rede Wi-Fi pública que você configure seu telefone ou computador para ‘esquecer’ essa rede. Desta forma, seu dispositivo não estará constantemente transmitindo os SSIDs de redes a que ele se conectou no passado, que pode ser falsificado por um atacante com um ananás. Infelizmente não há uma maneira fácil de fazer isso em um Android ou um iPhone, e cada rede deve ser esquecida manualmente na página “Gerenciar redes” das configurações do telefone.

outra solução simples é desligar a sua funcionalidade Wi—Fi quando não a está a usar—embora isso já não seja tão fácil de fazer em alguns dispositivos-e não permitir que o seu dispositivo se ligue automaticamente para abrir redes Wi-Fi.

Leia Mais: sinais de Wi-Fi podem identificar indivíduos pela Forma Do Corpo

embora seja fácil ficar paranóico e perguntar-se se há um ananás à espera para si sempre que tiver uma ligação Wi-Fi, a maioria das façanhas de ananás pode ser facilmente evitada, simplesmente mantendo-se vigilante sobre as suas configurações de rede e experiência na internet. Apesar de toda a sua habilidade em manipular a electrónica, os hackers ainda estão muito dependentes do erro humano para o seu ofício.

“O abacaxi Wi-Fi é muito bom em imitar redes Wi-Fi que você conectou no passado”, disse Kitchen. “Se estás num parque e o teu dispositivo diz que está ligado ao Wi-Fi de um avião, algo está errado. Uma rápida verificação da realidade é normalmente tudo o que é preciso para ver se foste enganado por um ananás Wi-Fi.”