2007. 05. 30 By Envy (virusenvy@empal.com), Spirito (skyhschoi@gmail.com) http://research.hackerschool.org 1
[ 목차 ] 1. 개요 3 2. 장점 4 3. 802.11 5 4. 기본동작절차 6 5. 무선랜보안위협 7 6. WIRELESS SECURITY 7 7. WIRELESS SNIFFING 9 8.WIRELESS AUTHENTICATION BYPASS 10 9. ROGUE AP 15 2
1. 개요 무선랜이란영어단어의의미그대로 Wireless Local Area Network 으로서수미터에서수십미터의네트워크구축시에스위치 / 허브에서이용자까지트위스트페어케이블 / 동축케이블등으로구성되었던유선환경에서벗어나, 전파나적외선을이용하여무선환경에서기존의인터넷서비스를제공할수있는무선엑세스망종류의하나이다. 무선랜은크게 2가지접속형태가있다. 하나는 Infrastrucure mode로 AP나무선랜공유기와같은네트워크기기를통해통신하는방법이다. 다른하나는 Ad-hoc mode 또는피어투피터 (Peer-to-Peer) 모드라고하며, PCMCIA 무선랜카드나 USB 타입의무선랜어댑터끼리연결하는것이다. 2.4GHz 대역에서 IEEE 802.11b표준과 OFDM 방식의 11g 표준을비롯하여, 5GHz 대역을이용하는 OFDM 방식의 11a 표준에이르기까지다양한표준개발이되어상용화중이며, 이용 률은 ( 매일 ) 2003 년도에는 7.3% 였으나 2006 년에는 52.2% 로 7.1 배정도상승하였고 이용장 소는 (2006 년도 ) 가정 : 21.7%, 학교와직장 :52.2%, 대중교통 :10.8%, 커피숍 :15.3% 주로사용하 는서비스는자료검색, 이메일송수신, 커뮤니티등으로사용되며접속수단은 노트북컴퓨터 가제일많았으며 PDA, PMP, 기타로구성된다 3
2. 장점 무선랜의가장큰장점중의하나는유선랜에비해일정거리 (IEEE 802.11b의경우,100미터) 내에서이동성에대한자유로움이보장된다는것이다. 즉, 가정이나사무실뿐만아니라대학캠퍼스, 병원, 물류센터, 호텔, 공항에서무선랜을이용한인터넷서비스를사용할수있게됨에따라, 효율적인학업및업무환경마련에무선랜을이용할수있다. 4
3. 802.11 표준안 특성 -5GHz 대역에서 6~54Mbps 의전송속도 802.11a -OFDM 방식, HDTV 및복합 MPGE-2(DVD Quality) - 멀티미디어지원을위한높은처리량 -2.4GHz 보다덜혼잡하며주파수간섭이상대적으로적음 -2.4GHz 에서 11Mbps 의전송속도 802.11b -DSS 방식, 표준 802.11 MAC 구조에기반 -802.11a보다넓은 50범위에서작업환경구축 802.11g -22Mbps 이상의전송속도, OFDM, 802.11 MAC 구조 -802.11b 네트워크의광범위한 Installed Base와상호사용가능 -최대 108Mbps의전송속도 802.11n -802.11b/g 와호환 -MIMO (Multiple input, Multiple Output) 802.11i (security) - 사용자인증 - 키교환 -4-way handshake 5
4. 기본동작절차 AP는자신에게접속할려고하는단말기를위해 beacon 또는 probe 메시지를주기적으로브로드케스트한다.( 쉽게등대역할과같다. 나여기있으니까찾아와라! ) 적절한 AP를선택한단말기는해당 AP에대해서자신이유효한단말이라고인증한다. 인증이성공하게되면무선단말이 AP 접속하는결합과정을거친다. 그다음에데이터를전송한다. 6
5. 무선랜보안위협 (a) 패킷스니핑 - 정상적인사용자들간에통신을도청한다 (b) 서비스거부공격 - 대량의패킷을 AP로보내서비스를방해한다. (c) 비인가접근 - 인가되지않은사용자 (d) 불법 AP - 정상적인 AP가아닌악의적인 AP를만들어사용자들이접속하게한다 (e) Man-in-the-middle - 정상적인사용자는악의적인사용자가하나의서버로보고악의적인사용자를통해통신한다. 6. Wireless Security (1) SSID(Service Set Identifier) - 유선랜장치들의네트워크식별자 - SSID를통해다른장치들과구별 - Packet은같은 SSID끼리 Broadcast됨 - SSID만일치시켜주면쉽게 Sniffing가능 7
(2) WEP(Wired Equivalent Privacy) - 유선랜과동등한프라이버시보안제공 - 암호화기능 ( 대칭키암호화 ) - 정적인 WEP 키를사용하므로, 추후 WEP Crack 재전송공격가능 (3) MAC Authentication - SSID, WEP와같이최소한의보안수단 - AP에 MAC 주소등록후인가된주소만사용가능 - NIC 바뀔시재설정필요 (4) EAP(Extensible Authentication Protocol) - 클라이언트와인증서버간의통신을통한인증 (5) 802.1x 인증종류 (Kind) - EAP-MD5, TLS, TTLS, LEAP, PEAP (6) TKIP(Temporal Key Integrity Protocol) - IEEE 802.11i 암호표준에정의된방식 - WEP 키암호화를보안한것 (Packet당키할당, 키값재설정 ) - 모든데이터에메시지무결성체크위한 MIC 기능 - MIC기능은기존의 IEEE 802.11b의 CRC32방법개선한것 - AES 암호알고리즘채택 (7) WPA(Wi-Fi Protected Access) - IEEE 표준기반새로운보안솔루션 - 802.x인증및 TKIP암호화기법포함 8
(8) Beyond WPA - Tgi(IEEE Task Force I) 는 WLAN 보안을다룸 - 차세대 AP제품에 AES 암호화와 802.1x인증방법선보임 (9) 생체인식 - 사용자이름, 패스워드대신사용 - 인증 / 기밀성위해 VPN과함께사용가능 7. Wireless Sniffing 스니핑이란, 자기자신이받으면안되는패킷을무작정받는것을말하는것으로네트워크카드에는 Promiscuous 모드와 non-promiscuous 모드로구분되며대부분의카드는 NO N-Promiscuous 모드로작동된다. 이것은자신의패킷만받아서보다효율적으로처리하기위한것이다. 그럼 Promiscuous모드는무엇일까? 자신의패킷외에도다른패킷들을받는방식으로서패킷을수집하여분석할때사용하지만악용하면상대방의사생활이드러날수도있다. 간단하게개념을잡았으니무선스니핑방법에대해서설명하고자한다. 먼저무선랜카드를 Promiscuous모드로활성화를해야하는데 airmon-ng를사용하거나 Kismet 유틸을사용하면된다. 9
여기서는정확하게안나왔지만스니핑을함으로서해당네트워크의패킷들을볼수가있다. 패킷이라는것은그냥화물이라고보면되는데이화물들은각각포장되어있다. 어떻게포장이되어있을까? IP포장, ID/PW포장, 메일내용포장 등으로많이되어있다. 우리는스니핑을통해서포장된것을가져올수있다. 따라서 AP의스니핑을막으려면 ESSID 즉, AP의설정에가서 ESSID Broadcasting을 Disable로설정하면임시로막을수는있다. 8. Wireless Authentication Bypass (1) WEP CRACK WEP은 AP에서사용하는암호입니다. 현재 Airdump를사용하여 AP의상황을보고있습니다. ESSID는 AP의접속이름이고, BSSID는 AP의어드레스, CH는 AP의사용하고있는채널번호 CIPHER 는암호방식을나타내고있습니다. 아래의장면은해당 AP의 Ivs Packet을모으고있는데 128bit로암호화된 AP에서의권장패킷량은 300,000 이상이므로 12만은아직부적합하므로좀더모아보겠습니다. 오, 300,000 이상패킷이모아졌네요. 이제는작업을종료하고암호를크랙해보겠습니다. 해당길이를체크하고아스키값이추출되었습니다. superboard333 10
(2) Mac Spoofing Mac Spoofing이라는것은무엇일까요? 이것은 MAC ADDRESS를가져오는것으로간단하게이해하시면됩니다. 그럼 MAC ADDRESS는무엇일까요? 주민등록번호라고생각하시면될것같습니다. 우리는우리를알리는고유의번호가있듯이네트워크카드에도자신만의고유번호가있습니다. AP에서 MAC ADDRESS가하는일은알수없는사람이함부로 AP를사용하지못하게하는것입니다. 만약 AP에서인증할수있는 MAC ADDRESS가 05이면 05의번호를가진네트워크카드만접속을할수있습니다. 그럼그외의번호를가진사람은인증을할수없으니인터넷이안됩니다. 따라서 AP에서 MAC ADDRESS가하는일은침입저지를하기위한것입니다. 이해되셨는지모르겠지만일단아래그림을보면한 AP에서 MAC ADDRESS 인증체계로나가고있음을간단하게나마알수있습니다. AP 에서 00:0E:2E:C4:F9:53 이라는 MAC ADDRESS 를사용하고있구나 ~ 라고생각하시면됩니 다. 그럼우리가자주사용하는윈도우에서테스트해보겠습니다. 11
hyuks 라는 SSID 값이보이네요. 우리는여기로접속해보겠습니다. 먼저특정 MAC IP 접속이허용되게끔설정된 AP 로접속을시도하면계속접속시도중이 라고만창이뜨고접속이되지않습니다. 즉, AP 에서 Attacker MAC ADDRESS 값이허용된값이아니기에인증을거부함으로서접속 이안됩니다. 12
ATTACKER 의 MAC 주소로 AP 에접속이되는 MAC ADDRESS 로변경한후접속을시도해보 겠습니다. ( 기존접속방법 ) AP [00:0E:2E:C4:F9:53] <<<<<<<<<<<<<<<< Attacker [00:12:0E:5E:C8:7F] ( 인증 x) ( 위장접속방법 ) AP [00:0E:2E:C4:F9:53] <<<<<<<<<<<<<<<< Attacker [00:0E:2E:C4:F9:53] ( 인증 O) 바로연결이되었습니다. 인터넷이잘되는지확인해보겠습니다. 13
14
너무잘됩니다. 이렇게 MAC ADDRESS 인증방법도안전한방법은아니지만공격을지연하게됩니다. < 추가 > - MAC ADDRESS 변경보통 MAC ADDRESS를변경할때툴로이용하여하지만저는레지스터리를이용해서해보았습니다. 아래보시면 00:12:0E:52:C8:7F 의주소가있는데이것을 00:0E:2E:C4:F9:53 변경하면자신의카드주소가임시로변경되면서 AP를속일수있게됩니다. 이상으로 MAC SPOOFING 을마치겠습니다. 9. Rogue AP 15
무선랜의단점인단방향인증방식 (AP 는사용자를인증하지만사용자는 AP 를무인증 ) 의취약 점을이용하여악의적인사용자가악성 AP 를만들어강한신호의 AP 를발생시킨다. 일반사용자가접근하게끔유도하여정보추출을할수있다. 16