Группа исследователей из Лёвенского католического университета (Бельгия), выявила архитектурную уязвимость (CVE-2023-52424) в стандарте Wi-Fi IEEE 802.11, позволяющую организовать подключение к беспроводной сети, подконтрольной атакующим, вместо заслуживающей доверия сети, к которой намеревался подключиться пользователь. Проблема проявляется в беспроводных стеках любых операционных систем и затрагивает методы аутентификации WPA3, WEP, EAP, AMPE и FILS (WPA1, WPA2 и FT уязвимости не подвержены).
Предложенная техника атаки, которой присвоено имя SSID Confusion, позволяет обойти присутствующие в протоколе методы аутентификации точки доступа, защищающие от подмены идентификатора сети SSID и не позволяющие создавать подставные сети с именем сети, к которой подключается клиент. Причиной проблемы является определение в стандарте ситуаций, когда SSID может быть неаутентифицирован. В частности, для обозначения своего присутствия точка доступа отправляет в широковещательном режиме beacon-кадры, включающие сведения о SSID-сети. Для упрощения процесса поиска сети клиенты не аутентифицируют SSID в данных кадрах, так как предполагается, что проверка потребуется после того, как клиент решит подключиться к сети.
Для успешного совершения атаки требуется, чтобы пользователь инициировал подключение к определённой беспроводной сети, а поблизости была другая беспроводная сеть с теми же параметрами подключения, что и в первой сети (подобное практикуется, когда для диапазонов 2.4GHz и 5GHz создаются разные сети, или в некоторых университетских сетях, поддерживающих сервис Eduroam). Атакующий должен находиться в зоне досягаемости сигнала для того, чтобы вклиниться между пользователем и целевой сетью (MitM). Для проведения атаки злоумышленнику не требуется знать учётные данные жертвы.
Атака сводится к созданию атакующим точки доступа (WrongAP на диаграмме), обеспечивающей на другом канале работу подставной сети (WrongNet), к которой должен подключиться клиент, вместо желаемой сети (TrustedNet). Точка доступа может создана на обычном ноутбуке и применяется для создания многоканальной MitM-атаки на жертву (MC MitM). Атака осуществляется в три этапа:
- Определение сети (Network Discovery). MitM-система перехватывает пакеты, отправляемые в эфир реальной точкой доступа (TrustedNet) и жертвой, заменяя в них SSID – в пакетах от точки доступа SSID заменяется на подставной, а в ответах жертвы опять на реальный (для корректной обработки точкой доступа). В итоге устройство жертвы получает ответы и считает, что искомая сеть находится поблизости, несмотря на то, что эти ответы транслируются точкой доступа атакующего.
- Захват аутентификации (Authentication hijacking). Атакующий симулирует успешную аутентификацию и вынуждает клиента подключиться к подставной сети, вместо реальной. Как и на прошлой стадии атакующий перехватывает кадры, отправляемые при аутентификации клиентом, заменяет в них SSID и переотправляет точке доступа реальной сети.
- MitM. После согласования канала связи атакующий продолжает транслировать через себя трафик между клиентом и реальной точкой доступа, так же подменяя SSID c WrongNet на TrustedNet, создавая впечатление, что пользователь работает через заслуживающую доверия сеть.
Воспользовавшись этой лазейкой атакующий может вынудить клиента подключиться не к той защищённой сети, и при этом в интерфейсе будет отображаться SSID сети, к которой изначально намеревался подключиться пользователь, а не той, к которой он подключён фактически. Добившись подключения пользователя к своей сети атакующий может анализировать и вклиниваться в незашифрованные потоки трафика, а также воспользоваться атакой TunnelVision для направления на свой сервер трафика, который должен был бы направляться через VPN (при использовании WARP, hide.me и Windscribe, VPN также не будет задействован при подключении к сетям, помеченным в настройках как заслуживающих доверия).
Атака применима к протоколам беспроводной аутентификации, использующим EAP (Extensible Authentication Protocol), SAE (Simultaneous Authentication of Equals) и 802.1X, а также в опциональном режиме работы протокола WPA3, в которых SSID не используется при формировании ключа PMK (Pairwise Master Key), что делается для исключения изначально известных данных при формировании ключа с целью защиты от различных криптоатак. Протокол FILS (Fast Initial Link Setup) уязвим при использовании PMK, созданного при согласовании соединения на базе EAP. Протоколы WPA1, WPA2 и FT (Fast BSS Transition) не подвержены проблеме, так как требуют корректного SSID при согласовании соединения.
Для защиты от атаки SSID Confusion на стороне точки доступа упоминается добавление в стандарт 802.11 требования аутентификации SSID при подключении через добавление SSID в функцию формирования ключа или включение SSID в число дополнительных данных, проверяемых во время согласования соединения. На стороне клиента защита может быть организована через обеспечение защиты beacon-кадров (будет применяться в WiFi 7). Создатели сетей могут предотвратить совершение атаки, отказавшись от использования общих учётных данных в сетях с разными SSID. Пользователи могут защитить себя используя надёжные VPN при подключении через любые беспроводные сети.