Penetrační testování Wi-Fi sítě

Test začíná u toho, čím se přístupový bod chrání. Díváme se, jestli síť běží na WPA2, nebo na novějším WPA3, a jak ověřuje připojení: sdíleným heslem (PSK), které zná každý zaměstnanec, nebo podnikovým 802.1X, tedy ověřením proti účtu na RADIUS serveru, kde má každý vlastní přihlášení. U PSK stačí jedno uniklé heslo, u 802.1X se testuje, jestli klient ověřuje certifikát serveru, nebo se připojí i k tomu, kdo se za síť jen vydává.

Druhá vrstva je odolnost proti podvržení. Evil twin je falešný přístupový bod se jménem vaší sítě, na který se zařízení připojí samo, protože jméno zná. Zkoušíme, jestli si klient vynutí ověření pravého bodu, jestli jde připojení shodit deautentizací a přehnat oběť na náš bod a co udělá captive portal, tedy přihlašovací stránka hostovské sítě, když jí podstrčíme vlastní.

Třetí je odchyt materiálu na offline lámání. Při připojení klienta jde zachytit handshake, u WPA2 i takzvaný PMKID přímo z přístupového bodu, a heslo pak lámat mimo síť, kde nás nikdo nevidí a nezdržuje žádný limit pokusů. Proto je délka a náhodnost hesla u PSK sítí to, na čem odolnost stojí.

Bezdrát nekončí u zdí. Signál firemní Wi-Fi je slyšet na chodbě, na parkovišti i z ulice před budovou, takže útočník nepotřebuje projít recepcí ani zapojit kabel. Stačí mu být v dosahu, což je proti drátové síti úplně jiná expozice: k drátu se musí fyzicky dostat, bezdrát se zpřístupňuje sám.

Proto Wi-Fi testujeme z pozice někoho venku. Zkoušíme, jak daleko signál nese, jestli se dá připojit na hostovskou síť bez jakékoli kontroly a jestli z ní vede cesta dál. Když hostovská a firemní síť sdílejí jeden přístupový bod bez pořádného oddělení, je připojení z parkoviště první krok dovnitř, a co útočník dokáže dál ve vnitřní síti navazuje na test drátové sítě a Active Directory.

Část scénářů se odehrává přímo u budovy. Odložené zařízení, které se tváří jako přístupový bod, nebo připojení v čekárně a v zasedačce jsou na pomezí s fyzickým průnikem, takže přístup z okolí budovy a scénáře na místě řešíme podle domluvy společně, nebo zvlášť.

Rozsah drží tři věci: počet SSID, tedy názvů sítí v rozsahu, počet lokalit, kde se testuje, a typ zabezpečení. Síť s jedním heslem na jedné pobočce je jiná práce než 802.1X na pěti budovách: víc lokalit znamená víc míst, kam se tester s anténou musí dostavit.

Kalendářně jde o dva až tři člověkodny a do týdne od zahájení po předání reportu. Přesné číslo dostanete po vymezení rozsahu, ne jako hodinovou sazbu s otevřeným koncem. Cena a délka Wi-Fi testu vychází z toho, kolik SSID a lokalit je v rozsahu a jaký typ zabezpečení se testuje.

Nejdřív přístup k signálu. Buď je tester na místě, nebo v dosahu Wi-Fi, protože bezdrát se z kanceláře na dálku testovat nedá. K tomu potřebujeme seznam SSID, které jsou v rozsahu, ať netestujeme cizí síť v sousední budově, okno, kdy smíme rušit provoz deautentizací, a kontakt na někoho, kdo síť zná.

Pravidla zapojení se domlouvají předem stejně jako u ostatních testů: co se smí, co je mimo rozsah a komu se ozveme, když na něco narazíme. Deautentizace krátce odpojí připojené klienty, takže její okno ladíme tak, aby nespadlo do špičky provozu.

Každý nález má popis, dopad, důkaz a konkrétní nápravu: jestli přejít z PSK na 802.1X, vynutit ověření certifikátu serveru, oddělit hostovskou síť do vlastní VLAN, nebo prodloužit a znáhodnit heslo. Severitu řadíme podle dopadu na vaši síť, ne podle obecného skóre.

U nálezů, kde vede cesta z bezdrátu dovnitř, popíšeme celý řetěz kroků, aby bylo jasné, proč je připojení z parkoviště riziko, a ne teoretická vada. Jeden retest opravených nálezů je součástí ceny.

Smysl dává tam, kde je bezdrát v provozu a vede do firemní sítě, tedy kde se přes Wi-Fi dostanete k souborům, tiskárnám, interním aplikacím nebo doméně. Čím víc se přes bezdrát pracuje, tím větší je dopad jediné chyby v oddělení sítí.

Nemá smysl u čistě hostovské sítě, která je izolovaná a nikam dál nevede, protože test jen potvrdí očekávané. A pokud vás zajímá hlavně drátová síť a doménové prostředí, je Wi-Fi jen jedna vrstva a hlavní práce leží jinde. V takovém případě začněte testem vnitřní sítě a Wi-Fi k němu přidejte. Ještě před testem se řada chyb dá zavřít svépomocí a co na firemní Wi-Fi nejčastěji selhává rozebírá praktický článek.