Audyt bezpieczeństwa Wi-Fi

Audyt radiowy nie jest narzędziem, które celuje się w sieć i które zwraca raport: to cztery pomiary po kolei, każdy z innym produktem i innym czasem wykonania. Trzy pierwsze są tylko do odczytu i w większości lokalizacji da się je wykonać w godzinach pracy. Czwarty zmienia zachowanie urządzeń i wymaga uzgodnionego okna oraz osoby dostępnej pod telefonem.

Pierwszy przebieg to inwentaryzacja. Przechodzimy obiekt i zapisujemy każdy BSSID w zasięgu: wasze sieci, sieć sąsiada, drukarkę w magazynie, radio w sali konferencyjnej, do której nikt nie wchodził od ostatniej przeprowadzki. Następnie porównujemy listę obserwacji z listą punktów dostępowych, które, jak sądzicie, posiadacie. To porównanie jest wynikiem, a nie sam skan: biuro ze 120 osobami i 28 zatwierdzonymi punktami dostępowymi regularnie kończy na 34 radiach nadających pod tą nazwą, a za każdym nadmiarowym radiem stoi właściciel, kabel albo decyzja zakupowa.

Drugi przebieg to uwierzytelnianie na poziomie SSID. Zapisujemy metodę faktycznie wynegocjowaną przez każdą klasę urządzeń, a nie tę ustawioną na kontrolerze, bo oba rejestry zgadzają się rzadziej, niż się zakłada: sieć firmowa ustawiona na WPA3 w trybie przejściowym nadal negocjuje WPA2 ze skanerem magazynowym, a sieć 802.1X, której klienci nie sprawdzają certyfikatu serwera, zbiera dane logowania dla każdego, kto nada tę samą nazwę. Trzeci przebieg to osiągalność: z każdego SSID sprawdzamy, dokąd faktycznie dociera podłączone urządzenie, hosty wewnętrzne, porty, VLAN drukarek, podsieć zarządzania i sieć gości w drugą stronę, i raportujemy to jako macierz przetestowanych celów i portów, a nie jako przymiotnik.

Czwarty przebieg to zachowanie klienta: które zarządzane urządzenia dołączają do zapamiętanego SSID nadawanego przez inny BSSID i które z nich ostrzegają użytkownika, zanim to zrobią. Ten przebieg jest jedynym, który wymaga transmisji z naszej strony, dlatego jest planowany na uzgodnione okno i nigdy nie obejmuje sieci spoza zakresu, nawet jeśli jej sygnał jest silniejszy od waszego.

Zgoda jest pierwszym produktem pracy, a nie dokumentem, który przychodzi po fakturze. Zanim uruchomimy kartę radiową, mamy pisemny zakres: podmiot prawny będący właścicielem sieci, lokalizacje i piętra w zakresie, SSID i BSSID dopuszczone z nazwy, a nie tylko przez budynek, okno testowe, osobę, która może zatrzymać test, oraz zasady postępowania z przechwyconymi danymi. Podpisujący musi mieć prawo do autoryzacji sieci: dostawca usług zarządzanych może zlecić audyt sieci klienta wyłącznie za pisemną zgodą klienta, dlatego prosimy o ten dokument, a nie o zamówienie zakupu jako dowód upoważnienia.

Praca pasywna idzie pierwsza: nasłuch nie wymaga poświadczeń ani połączenia i nie przerywa usługi, więc inwentarz i pomiar można wykonać w godzinach pracy, nie zwracając niczyjej uwagi. Praca aktywna, od dołączenia jako klient, przez sprawdzenie wspólnego klucza na przechwyconym materiale, po testy osiągalności i wszelkie wstrzykiwanie ramek, odbywa się w uzgodnionym oknie, najlepiej poza godzinami pracy, bo techniki deautoryzacji odłączają realne urządzenia od hali produkcyjnej, a skaner magazynowy, który traci połączenie w połowie kompletacji, to przestój, a nie test.

Warunki zatrzymania też ustalamy na piśmie: system krytyczny dla bezpieczeństwa musi pozostać połączony, pewnej klasy urządzeń medycznych nie dotykamy, wynajęte piętro jest poza zakresem. Inżynier prowadzący test ma tę listę przy sobie, a raport odnotowuje każdą czynność z godziną, aby nieoczekiwane rozłączenie po stronie klienta można było przypisać testowi albo wykluczyć dowodem.

Każde ustalenie w raporcie wskazuje pomiar, który je wytworzył, miejsce pomiaru i artefakt, który je potwierdza. Ustalenie dotyczące wspólnego klucza to nie zdanie o słabym haśle, ale metoda przechwycenia, koszt wyprowadzenia klucza, przestrzeń kluczy danej klasy hasła i arytmetyka pokazująca czas pełnego przeszukania przy podanej szybkości zgadywania. Różnica ma znaczenie handlowe: klucz, który wytrzymuje 232 lata pracy procesora graficznego, nie jest ustaleniem, a ustaleniem jest to, że jeden wspólny sekret nosi każdy, kto podłączył się do sieci od 2019 roku, i nie da się go wymienić bez dotknięcia każdego urządzenia.

Ustalenie dotyczące segmentacji to wiersz macierzy, a nie twierdzenie: z sieci gości odpowiedziały trzy z trzech przetestowanych drukarek w sieci firmowej, czyli izolacja gości jest polityką, a nie wdrożoną kontrolą. Ustalenie dotyczące nieautoryzowanego punktu dostępowego wskazuje port przełącznika, pobór PoE i OUI, które wiążą radio z kablem, bo nadajnik, który słyszymy, ale którego nie potrafimy umiejscowić, jest zdjęciem, a nie ustaleniem.

Każde ustalenie ma też właściciela i poprawkę weryfikowalną spoza sieci. Usunięcie nieautoryzowanego punktu dostępowego weryfikuje się drugim pomiarem. Wdrożenie profilu certyfikatu weryfikuje się przez odczyt konfiguracji suplikanta na urządzeniu, a nie przez zaufanie, że profil dotarł. Wymianę wspólnego klucza weryfikuje się, potwierdzając, że stary klucz nie łączy się już z siecią. Jeśli poprawki nie da się tak sprawdzić, mówimy to i proponujemy sprawdzenie przed odbiorem pracy.

Ocena radiowa nie może donieść o tym, czego nie usłyszała. Nieautoryzowany punkt dostępowy włączony na dwie godziny w niedzielę i usunięty we wtorek nie pojawi się w pomiarze z wtorku; tę lukę zamyka log wykrywania na kontrolerze i stały monitoring, czyli inny zakup. Ocena jest próbką przestrzeni radiowej w jednej chwili i raport to mówi, zamiast sugerować ciągłą gwarancję.

Nie widzi też za nowoczesnym szyfrowaniem. Jeśli sieć działa w WPA3 z chronionymi ramkami zarządzania i certyfikatami na urządzenie, nie istnieje atak offline na przechwycony materiał, a każde twierdzenie o odszyfrowaniu ruchu klientów w tak skonfigurowanej sieci jest albo błędnym opisem, albo dowodem, że konfiguracja nie była taka, jak deklaruje kontroler. To, co da się w takiej sieci udowodnić, to osiągalność, zachowanie klientów, higiena poświadczeń i inwentarz, i tam zwykle leżą prawdziwe ustalenia.

Trzy wyłączenia należą do raportu, a nie do rozmowy handlowej: strona przewodowa poza powiązaniem punktu dostępowego, bezpieczeństwo fizyczne i dostęp do okablowania, oraz łańcuch dostaw samych punktów dostępowych, czyli pochodzenie firmware, konto kontrolera w chmurze i fabryczne poświadczenia. Konto kontrolera chmurowego zasługuje na osobne zdanie, bo jest dziś administracyjnym loginem wystawionym do internetu, który potrafi wypchnąć konfigurację na każde radio w obiekcie, a przejęcie tego konta jest szybszą drogą do obcego SSID niż jakakolwiek technika radiowa z tej strony.

Praca radiowa leży bliżej granicy prawnej niż większość pracy w bezpieczeństwie, bo zasięg radiowy sięga w przestrzeń, której nie posiadacie. Każde zlecenie ogranicza się do sieci, które klient posiada lub do których testowania jest pisemnie upoważniony, a upoważnienie nazywa SSID i BSSID, nie budynek. Ocena sieci sąsiada, sieci zarządzania współdzielonego budynku czy wifi sali konferencyjnej poza zakresem nie jest prowadzona, niezależnie od tego, jak ciekawy jest sygnał, a pomiar, który te sieci widzi, zapisuje obserwację i nic więcej. Ta sama zasada rozstrzyga zlecenie domowe: sieć domową oceniamy wtedy, gdy zamawiający jest właścicielem łącza i routera, na przykład rodzic przeglądający bezpieczeństwo własnej sieci rodzinnej, i nie prowadzimy jej na sieci partnera, najemcy czy dorosłego członka rodziny bez jego zgody.

Nakład pracy podajemy w dniach inżynierskich, a nie w cenie wydrukowanej na stronie: jedna lokalizacja z jednym do pięciu punktów dostępowych i jedną lub dwiema sieciami to jeden do dwóch dni pracy testera, biuro na kilku piętrach z uwierzytelnianiem firmowym i izolacją gości to trzy do pięciu dni, a kampus z kilkoma budynkami i IoT w zakresie planuje się wokół okien zmian, zamiast obiecywać stałą liczbę dni. Praca poza godzinami i dojazd dodają dni, a ponowny test po naprawie wyceniamy osobno, żeby test odbioru miał znany koszt przed pierwszym pomiarem.