den här artikeln är en del av hur Hacking fungerar, moderkortets guide för att avmystifiera informationssäkerhet.i populära medier framställs hackare ofta som en elitkabal av skidmaskaficionados och datorexperter som kan keyboard mash sig in i vilken digital enhet som helst. Men vad händer om jag sa till dig att du också kan pwn nästan alla Internetanslutna enheter runt dig, även om du inte kan berätta en SSL från en SSID?

Ja, min vän, enheten du letar efter är en Wi-Fi-ananas, som kan vända någon från hack till hacker till det låga, låga priset på $99. Eftersom det är så billigt och enkelt att använda är det viktigt att förstå hur ananas fungerar för att skydda dig mot attackerna.

ananas är en snygg liten enhet som först släpptes 2008 av Hak5, ett företag som utvecklar verktyg för penetrationstestare eller ”pentesters.”Pentestrar anlitas vanligtvis av organisationer för att attackera sina egna nätverk för att avslöja sårbarheter innan de upptäcks av några dåliga aktörer. Ananas tillåter pentestrar att enkelt utföra sofistikerade attacker på offentliga Wi-Fi-nätverk för att se hur attackerna fungerar och hur man skyddar nätverket från dessa attacker.

ananas är inte mycket annorlunda än de vanliga Wi-Fi-åtkomstpunkterna du använder för att få internet hemma eller på kontoret, bara kraftfullare. De använder flera radioapparater snarare än bara en enda radio som finns i de flesta routrar. Detta innebär att en ananas kan samverka med hundratals enheter åt gången, snarare än bara några dussin. Dessutom är ananas webbgränssnitt optimerat för att utföra komplicerade nätverksattacker.

Läs Mer: moderkortets e-ordlista över Cybertermer och Hacking Lingo

”När jag uppfann Wi-Fi-ananas såg jag att Wi-Fi hade inneboende brister som gjorde det sårbart för spoofingattacker, berättade Darren Kitchen, grundaren av Hak5, i ett mail. En spoofing attack är när en hacker personifierar en tjänst eller enhet för att få tillgång till ett offers data.

”många skändliga typer hade redan utnyttjat dessa svagheter, men majoriteten av människor var inte medvetna om problemet”, tillade Kitchen. ”Jag tänkte att om informationssäkerhetsfolk hade tillgång till en enhet som lätt kunde utnyttja dessa brister, skulle det öka medvetenheten och få saker fixade.”

Även om ananas alltid har haft en kultföljning inom hackercirklar, steg den nyligen till framträdande efter att den presenterades som en viktig plotpunkt i showen Silicon Valley och Mr.Robot.

i dessa program användes enheten för att förfalska en webbplats och att utföra en man-i-mitten-attack för att hacka FBI respektive. Enligt Kitchen, som fungerade som teknisk rådgivare på Silicon Valley-avsnittet, är den fiktiva skildringen av ananas i dessa shower inte så långt ifrån sanningen.

ananas är ett ovärderligt verktyg för pentestrar, men dess popularitet beror också på att den kan användas för mer skändliga ändamål. Hackare kan enkelt använda enheten för att samla in känslig personlig information från intet ont anande användare på offentliga Wi-Fi-nätverk.

det är viktigt att komma ihåg att bara för att du kan pwn alla saker med en ananas, betyder det inte att det är lagligt eller att du borde. Att äga en ananas är lagligt, men det är inte att ta pengar från någons bankkonto genom att stjäla sitt okrypterade lösenord. Ananas gör det bara lättare att ta tag i okrypterade lösenord som skickas via Wi-Fi. Jag är inte advokat, men i allmänhet, om du inte har uttryckligt tillstånd att använda ananas på ett nätverk som du äger såväl som från alla som rimligen kan ansluta till det nätverket, trampar du på farligt territorium.

igen: Att utföra en Ananasutnyttjande på ett nätverk som du inte äger om du inte är en pentester som arbetar i en professionell miljö kan snabbt sätta dig in i olagligt territorium. Även om du inte fastnar, är du fortfarande ett rumphål för att göra det, så bara…gör det inte.

Läs Mer: moderkortets Guide för att inte bli hackad

den här guiden är tänkt att vara en informativ inblick i världen av nätverkspentesting, samt en påminnelse om vikten av personlig informationssäkerhet. Efter att ha visat dig bara några av de sätt som en ananas kan användas för att pwn dig, kommer jag också att gå igenom några enkla steg du kan vidta för att se till att du aldrig är i fel ände av en skadlig Ananasattack.

Hak5 gör några olika versioner av ananas, men samtidigt sätta ihop den här artikeln använde jag dess Billigaste modell, som jag köpte på DEF CON hacking conference i denna artikel: ananas Nano. Jag konfigurerade den på en Windows-dator, även om den också är kompatibel med iOS-och Linux-system.

den ursprungliga inställningen är en bit tårta. Allt du behöver göra är att ansluta den till USB-porten på din dator, navigera till ananasens IP-adress och det tar hand om resten. När du har uppdaterat din inloggningsinformation för ananas, du är redo att prova några bedrifter.

utnyttja # 1: WALL of SHEEP

varje år på Def CON, en av de största hackingkonferenserna i världen, är Packet Hacking Village värd för Wall Of Sheep. Detta är i huvudsak en löpande lista över enheter som har anslutit till ett osäkert nätverk på DEF CON. listan visas vanligtvis på en stor projektorskärm i Packet Hacking village, där vem som helst kan se inte bara enhetens ID utan också de webbplatser som den försökte komma åt och alla relevanta referenser.

det är ett lättsamt sätt att skämma människor till bättre informationssäkerhet, och du kan enkelt skapa din egen mur av får med en ananas.

Läs Mer: 72 timmars Pwnage: En Paranoid N00b går till DEF CON

alla bedrifter för ananas är fritt tillgängliga som nedladdningsbara moduler på ananas instrumentpanel och brukar bara ta ett enda klick för att ladda ner och installera på enheten. När Wall Of Sheep-modulen (kallad ’DWall’) är installerad på en ananas, kommer alla enheter som ansluter till den i princip att sända sin surfningstrafik till Ananasägaren.undantaget från detta är naturligtvis om offret använder ett virtuellt privat nätverk (VPN) för att kryptera sin webbtrafik eller bara besöka sidor säkrade med Secure Hypertext Transfer Protocol (HTTPS). Detta protokoll krypterar data som dirigeras mellan Webbplatsens server och din enhet och förhindrar effektivt avlyssnare från att se vilka webbplatser du besöker. HTTPS hjälper också till att skydda dina webbvanor från din Internetleverantör, som bara kan se användarnas domänvanor på toppnivå (till exempel att du besökte moderkort, men inte att du klickade på den här artikeln).

Även om över hälften av webben har bytt till HTTPS från sin osäkra föregångare, HTTP, fann en Google-granskning 2017 att nästan 80 procent av de 100 Bästa webbplatserna inte distribuerar HTTPS som standard. Detta innebär att alla som oavsiktligt ansluter till en ananas och sedan bläddrar till en HTTP-version av webbplatsen i princip exponerar all sin aktivitet på den webbplatsen, från besökta sidor till söktermer, till den person som använder en ananas.

många webbplatser har både en HTTP-version och en HTTPS-version, som vi ser i exploit, är en säkerhetsproblem som kan utnyttjas av en ananas.

utnyttja # 2: Man-in-the-MIDDLE + EVIL PORTAL

ananas man-in-the-middle (MITM) attacker är verkligen den främsta anledningen till att pentesters får den här enheten.MITM-attacker är ett sätt att avlyssna på en användare genom att sätta in en ananas mellan användarens enhet och legitima Wi-Fi-åtkomstpunkter (när det gäller hur data dirigeras via nätverket, inte nödvändigtvis bokstavligen mellan dem i meatspace). Ananas låtsas sedan vara den legitima Wi-Fi-åtkomstpunkten så att den kan snoka på all information eftersom den vidarebefordrar data från enheten till åtkomstpunkten.

ett annat sätt att tänka på MITM-attacker är att de är ungefär som om någon tappade ett brev i sin brevlåda och sedan öppnade en främling sin brevlåda, läste brevet och lade sedan tillbaka det i brevlådan som ska skickas.

Läs mer: att stänga av Wi-Fi och Bluetooth i iOS 11 stänger inte av Wi-Fi eller Bluetooth

Så hur lurar en ananas din enhet att tro att det är en legitim åtkomstpunkt? Det finns en inbyggd funktion på ananas som söker efter service set identifiers (SSID)—namnen på Wi-Fi—nätverk-som sänds från enheter i närheten.

varje gång du ansluter till ett Wi-Fi-nätverk på din telefon eller dator sparar enheten Det Wi-Fi-nätverkets SSID om du någonsin behöver ansluta till det Wi-Fi-nätverket i framtiden. Men denna bekvämlighet kommer med en stor kostnad.

låt oss säga att du är ansluten till Wi-Fi på din favorit lokala kaffe plats, och dess nätverk kallas ”Human_Bean_wifi”. När du har lämnat kaffebutiken börjar din telefon eller bärbara dator sända en signal som i princip frågar om Wi-Fi-åtkomstpunkter runt enheten är ”Human_Bean_wifi.”Det gör detta för alla nätverk du har anslutit till tidigare.

” en snabb verklighetskontroll är vanligtvis allt som krävs för att se om du har blivit lurad av en Wi-Fi-ananas.”

ananas kan dra nytta av denna funktion genom att skanna efter alla SSID som sänds av enheter i dess närhet. Det sänder sedan om dessa SSID så att det kan lura enheter att tro att det är en åtkomstpunkt som har anslutits till tidigare. Så för att använda ovanstående exempel kommer ananas att se att din telefon frågar, ”Är det här nätverket ’Human_Bean_wifi’?”och börja sedan sända sin egen signal som säger ”Ja, jag är ”Human_Bean_wifi”, Anslut till mig.”

sätt på ett annat sätt, det här skulle i princip vara som att gå runt med en uppsättning nycklar till ditt hus och fråga varje främling du möter om de är din rumskompis. I de flesta fall, dessa främlingar kommer att säga ”nej,” men du riskerar också att stöta på en illvillig främling som kommer att ljuga för dig och säga ”ja, naturligtvis är jag din rumskompis. Snälla släpp in mig, ” och fortsätt sedan att stjäla alla dina saker.

Läs Mer: Moderkortets Guide till VPN

men att få enheter att ansluta till en ananas är bara hälften av att utföra en MITM-exploatering. En angripare måste också kunna läsa data som dirigeras från enheten via ananas. Det finns ett par sätt att göra detta.

en ananas kan användas för att skapa en ”ond Portal”, som i grunden skapar falska versioner av webbplatser för att fånga användarnamn och lösenord, kreditkortsinformation eller annan känslig information.

dessa fungerar genom att skapa en lokal server på angriparens dator för att vara värd för en webbsida som ser ut som en vanlig inloggningssida för en väl trafikerad tjänst som Gmail eller Facebook. Dessa sidor kan enkelt dupliceras med gratis onlinetjänster.då konfigurerar angriparen sin ananas så att när alla enheter som är anslutna till den försöker bläddra till en webbplats som Twitter eller Facebook, kommer de faktiskt att omdirigeras till den falska webbsidan som betjänas av angriparens dator. Om offret anger sin information på den här sidan kommer deras användarnamn och lösenord att avslöjas för angriparen utan att användaren någonsin vet att de har blivit pwned.

ett annat sätt att samla in information om någons surfvanor med en MITM-attack är att använda moduler byggda för ananas som blockerar Tvingad HTTPS-kryptering och läser data som annars skulle ha varit säkra.

tänk till exempel på en webbplats som moderkort, som är säkrad med HTTPS. Om du bara skriver in ”motherboard.vice.com” i din URL – sökfält och tryck på enter skickar du en HTTP-begäran till Vice servrar. Vice servrar kommer då att sätta in denna begäran och svara på din enhet genom att rikta den till en säker HTTPS-version av webbplatsen. (Detta är detsamma för många stora webbplatser, till exempel Twitter).

tvinga användare till en HTTPS-version är ett bra sätt att nötkött upp en webbplats säkerhet, men det är användarens HTTP-begäran i början som kan utnyttjas med en ananas. En modul som heter SSLSplit kan övervaka HTTP-förfrågningar från en användares enhet när den är ansluten till ananas. Det kommer då att dirigera denna begäran till lämplig server, men när servern svarar med den säkra HTTPS-länken kommer ananas att ”ta bort” det säkra lagret och servera en HTTP-version av webbplatsen tillbaka till användaren.

vid denna tidpunkt kommer användaren effektivt att surfa på en osäker version av webbplatsen, som kommer att visas nästan exakt samma. Den enda skillnaden är att en liten låsikon har försvunnit från skärmens övre vänstra hörn.

denna attack visar tydligt vikten av krypterade kommunikationsprotokoll som HTTPS. Utan dem kan alla data som dirigeras mellan enheten och åtkomstpunkten enkelt läsas av alla med en ananas.

hur du skyddar dig mot skadliga ANANASANVÄNDARE

hackarna som diskuteras ovan är bara toppen av isberget. Lyckligtvis finns det ett antal enkla steg du kan vidta för att skydda dig från att bli pwned av någon rumpa med en ananas.

var försiktig med offentliga WI-FI-nätverk

det enklaste du kan göra är att bara ansluta till Wi-Fi-nätverk du känner och litar på. Ditt hemnätverk är till exempel nästan säkert säkert från en Ananasattack. Detta beror på att en ananas måste också ha tillgång till nätverket försöker övervaka trafiken på, så om angriparen har tillgång till ditt hem Wi-Fi referenser, de kommer inte att kunna pwn dig med en ananas.

samma sak gäller för ditt kontor Wi-Fi-om inte ditt kontor naturligtvis har anställt en pentester för att granska sitt nätverk. Den verkliga risken för en Ananasattack är på offentliga nätverk—platser som din lokala kaffebutik eller flygplatsen är alla främsta platser för en attack. De flesta människor slutar inte att kontrollera om ”free_airport_wifi” åtkomstpunkt är legit och ansluta utan att tänka.

När det gäller nätverk infosec är vaksamhet nyckeln. Det säkraste alternativet är att aldrig använda offentliga Wi-Fi-nätverk alls. Det är dock en stor smärta i röven och kommer nästan säkert att driva upp dina mobiltelefonräkningar för dataanvändning. (För vad det är värt, är din mobiltelefon inte säker från IMSI-fångare heller, men jag avviker).

virtuella privata nätverk

Om du måste komma på offentligt Wi-Fi är din bästa satsning att få en VPN. VPN är ett säkert sätt att surfa på nätet genom att först ansluta till en VPN-server innan du vågar på World Wide Web. VPN-servern krypterar dina data innan du dirigerar den till sin destination, vilket i huvudsak skapar ett skyddande skal för dina data som gör det oförståeligt för nyfikna ögon. Så även om en angripare kanske kan se att din enhet har anslutit till sin ananas, om du använder en VPN kommer de inte att kunna se de data de dirigerar.

”att använda en VPN är fortfarande det bästa rådet”, sa Kitchen. ”När du använder en VPN kommer alla som tittar in i din trafik bara att se en krypterad röra. Det gäller för alla avlyssnare – vare sig det är en Wi-Fi-ananas, din ISP, en arbetsgivare eller till och med vår underbara regering.”att välja rätt VPN kan vara en riktigt tuff utmaning. Här är en enkel guide med några förslag.

endast HTTPS

en annan bra tumregel är att bara besöka webbplatser säkrade med HTTPS (som Moderkort!) Dessa dagar har de flesta webbplatser du sannolikt kommer att besöka dagligen som har känslig information om dem bytt till denna säkerhetsstandard från HTTP, tack vare en samordnad branschinsats för att driva HTTPS, inklusive Googles algoritmer som privilegierar webbplatser med säkerhet över de som inte är krypterade. Ändå kan Ananasmoduler tvinga en ansluten enhet till en osäker (HTTP) version av en webbplats om besökaren inte uttryckligen skrev https:// före domännamnet.

Läs Mer: Wikipedias övergång till HTTPS framgångsrikt kämpade regeringens censur

”tyvärr för många webbplatser inte använder HTTPS, och många som gör är fortfarande mottagliga för nedgradera attacker,” Kitchen berättade jag. ”Om du vågar någonstans utanför misshandlad väg, skulle jag råda dig att använda detta som din enda försvarslinje. Det är fortfarande viktigt att vara vaksam och leta efter HTTPS, men packa en VPN också.”

kort sagt, Se alltid till att kontrollera webbadresserna på de webbplatser du besöker för att se till att de använder HTTPS. Webbläsare som Chrome, Firefox och Opera gör det enkelt att kontrollera webbplatsens säkerhet med en liten hänglåsikon som säger ”säker” på vänster sida av adressfältet och varnar användare innan de besöker en osäker webbplats.

glöm alltid

slutligen är det viktigt att när du är klar med att ansluta till ett offentligt Wi-Fi-nätverk konfigurerar du din telefon eller dator för att ’glömma’ det nätverket. På så sätt kommer din enhet inte att ständigt sända SSID: erna för nätverk som den har anslutit till tidigare, vilket kan förfalskas av en angripare med en ananas. Tyvärr finns det inget enkelt sätt att göra detta på en Android eller en iPhone, och varje nätverk måste glömmas manuellt på fliken ”Hantera nätverk” i telefonens inställningar.

en annan enkel lösning är att stänga av din Wi-Fi—funktionalitet när du inte använder den—men det är inte lika lätt att göra på vissa enheter längre-och låt inte din enhet ansluta för att automatiskt ansluta till öppna Wi-Fi-nätverk.

Läs Mer: WiFi-signaler kan identifiera individer efter kroppsform

även om det är lätt att bli paranoid och undrar om det finns en ananas som väntar på att pwn dig när du får en Wi-Fi-anslutning, kan de flesta Ananasutnyttjande enkelt undvikas genom att helt enkelt vara vaksamma om dina nätverksinställningar och internetupplevelse. För all sin förmåga att manipulera elektronik är hackare fortfarande mycket beroende av mänskliga fel för sitt hantverk.

”Wi-Fi-ananas är riktigt bra på att efterlikna Wi-Fi-nätverk som du har anslutit till tidigare”, sa Kitchen. ”Om du är i en park och din enhet säger att den är ansluten till ett flygplan Wi-Fi, är något fel. En snabb verklighetskontroll är vanligtvis allt som krävs för att se om du har blivit lurad av en Wi-Fi-ananas.”