Acquisisci il traffico WLAN

L'acquisizione di pacchetti Wi-Fi ti consente di visualizzare dettagli e interazioni che altrimenti verrebbero mascherati prima di raggiungere il software in esecuzione su un dispositivo, rendendo queste acquisizioni uno strumento importante per alcuni tipi di bug.

I passaggi principali sono:

1. Trova il canale giusto per lo sniffing.
2. Acquisisci il traffico.
3. Condividi l'acquisizione e un hash della password della WLAN.

1. Determina il canale e la larghezza corretti

Le reti WLAN operano su:

• un canale, in genere indicato con un numero. 1-13 per i canali a 2,4 GHz, 36-200 per i canali a 5 GHz
• con una larghezza specifica (20 MHz, 40 MHz, 80 MHz, 160 MHz)

Ogni access point (ad esempio router, nodo mesh) della tua rete in genere ha un canale univoco a 2,4 GHz e un canale a 5 GHz e devi trovare quello a cui è connesso il dispositivo. Esistono varie opzioni:

Utilizza il pannello di controllo del router

Se utilizzi Nest WiFi, salta questa opzione: le informazioni non vengono esposte.

La maggior parte dei router ha un elenco di dispositivi connessi e del canale e della larghezza che utilizzano.

1. Trova l'indirizzo IP del router utilizzando questa guida.
2. Vai all'indirizzo del router nel browser web, ad esempio http://192.168.1.1.
3. Accedi. Non conosci la tua password? Cerca un'etichetta sul router o utilizza Router Passwords.

4. Cerca una pagina con un nome simile a "client" o "dispositivi collegati". Ad esempio, la pagina di un router Netgear potrebbe essere simile alla seguente o a quella dei dispositivi Eero.

   

5. Potresti dover cercare altrove nelle impostazioni per mappare le informazioni del passaggio 4 a un canale e a una larghezza di banda specifici. Ad esempio, un router Netgear:

   

Utilizza il tuo Mac, se è già connesso allo stesso canale

Tieni premuto Opzione sulla tastiera, quindi fai clic sull'icona WLAN nell'angolo in alto a destra della barra di stato del Mac. Dovresti visualizzare il menu WLAN standard con alcune opzioni e informazioni aggiuntive. Dai un'occhiata alle voci di menu non disponibili e cerca quella che menziona Canale:

`Channel 60 (DFS, 5GHz, 40MHz)`

Impossibile trovare il canale e la larghezza

Se gli altri metodi non funzionano, puoi provare a:

1. Elenca tutti i canali utilizzati dagli AP (in genere 2 per ogni AP o punto mesh).

   a. Consigliato Con uno smartphone Android, puoi utilizzare un'app come Wifiman o Aruba Utilities.

   a. Su un Mac, puoi utilizzare /System/Library/PrivateFrameworks/Apple80211.framework/Resources/airport-s per elencare le opzioni.

2. Esegui un'acquisizione breve (anche 15 secondi sono sufficienti) su ciascuno di questi canali, seguendo le istruzioni riportate di seguito

3. Installa Wireshark (per assistenza, consulta Installa Wireshark).

4. Apri ciascuna delle acquisizioni utilizzando Wireshark, applica un filtro di visualizzazione di wlan.addr == YOUR_DEVICE'S_MAC e controlla se vengono visualizzati pacchetti.

2. Avvia l'acquisizione

Importante: acquisizione dell'handshake a 4 vie

Se la sicurezza è attiva per il Wi-Fi, devi conoscere le chiavi di crittografia per decriptare i pacchetti acquisiti. Le chiavi di crittografia derivano da un handshake a 4 vie che si verifica quando il dispositivo si connette alla rete e sono univoche per ogni connessione tra un dispositivo e l'AP.

Per questo motivo, DEVI acquisire l'handshake a 4 vie per decriptare i payload Wi-Fi. Se il dispositivo è già connesso alla rete quando avvii l'acquisizione, scollega e ricollega il dispositivo (o riavvialo) una volta avviato lo sniffing.

Acquisizione su Mac

Tenendo premuto il tasto Opzione sulla tastiera, fai clic sull'icona WLAN, quindi seleziona "Apri Diagnosi Wireless…":

Nella barra dei menu di Diagnostica Wireless, seleziona Finestra > Sniffer:

Imposta il canale e la larghezza sui valori recuperati in precedenza (l'esempio nello screenshot è per il canale 60 e la larghezza 40 MHz):

Premi Start e inserisci la password. Ora prova a riprodurre il problema. Assicurati di acquisire l'handshake a 4 vie da una connessione, come indicato in Acquisizione dell'handshake a 4 vie.

Al termine, premi Stop. Un nuovo file *.pcap è disponibile in /var/tmp e contiene tutto il traffico. Un esempio di nome file è: (null)_ch100_2018-11-06_10.52.01.pcap.

Acquisizione su Linux

1. Disattiva il Wi-Fi. A questo scopo, puoi:

   • Utilizzo della GUI (opzione consigliata)
   • Utilizzo dell'interfaccia a riga di comando di Network Manager per indicare di interrompere la gestione dell'interfaccia WLAN: sudo nmcli dev set <wlan-ifname> managed on
   • Se utilizzi un gestore di rete alternativo, apporta le modifiche necessarie.

2. Salva questo script. Sostituisci <wlan-ifname> con il nome della tua interfaccia Wi-Fi. Questo documento presuppone che il nome dello script sia setup-wifi-capture.

   #!/usr/bin/env bash
   sudo ifconfig <wlan-ifname>  down
   sudo rfkill unblock wifi
   sudo iwconfig <wlan-ifname>  mode monitor
   sudo ifconfig <wlan-ifname>  up
   sudo iw dev <wlan-ifname> set channel $@

3. Esegui lo script precedente e passa il canale e la larghezza di banda più elevata per lo sniffing, ad esempio il canale 153 con larghezza di banda di 80 MHz:

   ./setup-wifi-capture chan 153 80 MHz

4. Apri Wireshark. Ora dovresti essere in grado di acquisire i pacchetti sull'interfaccia wlan.

3. Condividi lo screenshot o il video clip

1. Utilizza il generatore di chiavi non elaborate WPA PSK per generare un hash della password. In questo modo puoi decriptare l'acquisizione senza conoscere la password in testo normale.

2. Devi anche condividere la PSK generata in modo che altri possano decriptare l'acquisizione.

Appendice

Installa Wireshark

Puoi installare Wireshark utilizzando apt install wireshark su Linux o scaricarlo online dal sito web di Wireshark.

Configura Wireshark per decriptare il traffico

Questo non è necessario per condividere i file di acquisizione, ma solo se vuoi esaminare il traffico decriptato in Wireshark.

Con la sicurezza WPA2 sul Wi-Fi, la chiave WPA2-PSK non viene utilizzata direttamente per la crittografia e la decrittografia del traffico. Viene utilizzata in un handshake a 4 vie, che devi acquisire per decriptare i pacchetti. Tuttavia, se stai cercando di acquisire solo i problemi di connessione al Wi-Fi o le interruzioni della connettività, che possono essere dedotti dai frame di gestione Wi-Fi, non è necessario acquisire l'handshake a 4 vie. In entrambi i casi, non è un problema acquisirlo comunque.

Apri Wireshark e la pagina Preferenze (menu Wireshark > Preferenze o **Cmd + , **).

1. Trova la sezione "IEEE 802.11" nella categoria "Protocols" e assicurati che l'opzione "Enable decryption" sia selezionata:

   

2. Fai clic sul pulsante Modifica accanto all'etichetta Chiavi di decriptazione.

3. Fai clic sul pulsante "+" nell'angolo in basso a sinistra e seleziona l'opzione "wpa-pwd".

   

4. Fai clic sulla colonna della chiave della riga appena creata (accanto alla stringa wpa-pwd), digita la chiave WPA2 PSK e l'SSID nel formato <password>:<ssid>. Ad esempio, se il nome della tua rete era MyHomeNetwork e la tua chiave WPA2 PSK era myp4ssword, digita myp4ssword:MyHomeNetwork.

   

5. Fai clic su OK per confermare

Per ulteriori informazioni, consulta la guida ufficiale di Wireshark (con screenshot) all'indirizzo How to Decrypt 802.11.

Se utilizzi tshark, passa i seguenti argomenti:

tshark -o wlan.enable_decryption:TRUE -o 'uat:80211_keys:"wpa-pwd","<psk>:<ssid>"'

Colorizza i dati Wireshark 802.11

Su metageek.com è disponibile un pratico profilo colore 802.11: Wireshark Configuration Profile.