Уязвимость​ ​ технологии​ ​ системы​ ​ идентификации пользователей​ ​ в ​ ​ публичных​ ​ wi-fi​ ​ сетях

Развитие информационных технологий непременно сопровождается противоправным использованием этих технологий. В статье рассматривается исследование безопасности беспроводных сетей на примере сети Московского метрополитена. Результатом исследования является получение доступа к сети Интернет без прохождения обязательной процедуры идентификации, закрепленной нормативными актами Российской Федерации.

Данное исследование является исключительно научно-техническим экспериментом.

Введение

Информационные технологии сегодня плотно вошли в нашу жизнь и с каждым днем занимают в ней все больше места. По данным немецкой аналитической компании Statista, в наши более чем у 3,7 миллиардов человек в мире имеется подключение к глобальной сети Интернет, при этом более 2,8 миллиардов используют смартфоны и другие портативные устройства для выхода в Интернет и выполнения своих повседневных задач[1].

Однако такое быстрое и масштабное развитие технологий открывает не только дополнительные возможности для развития мирового сообщества, но и сопровождается появлением ряда новых глобальных угроз. В конце XX века зародилось совершенно новое явление в сфере информационных технологий: компьютерный или кибертерроризм, использующий для достижения своих преступных целей компьютеры, электронные сети и самые современные информационные технологии[2]. Под кибертерроризмом следует в первую очередь понимать совокупность противоправных действий, связанных с угрозами безопасности личности, обществу и государству, деструктивными действиями в отношении материальных объектов, искажением объективной информации или другими действиями с целью получения преимущества при решении политических, экономических или социальных задач.

Немного истории

Кибертерроризм в зародился в время холодной войны, на между национальном уровне, первая кибер атака была проведена ЦРУ США в 1982 году путем внедрение Трояная в систему управления сибирским нефтепроводом, что привело к мощному взрыву[At the Abyss: An Insider's History of the Cold War Paperback – March 1, 2005 ].

В наши дни кибертерроризм считается одной из самых опасных угроз человечеству и классифицируется как преступление в подавляющем большинстве стран мира. Например, одними из положений проекта стратегии кибербезопасости Российской Федерации являются «усиление ответственности за киберпреступления» и «обеспечение безопасности критической инфраструктуры»[3]. Кроме того, доктрина информационной безопасности Российской Федерации 2016 года подчеркивает, что «возможности трансграничного обмена информации все чаще используются для достижения геополитических, противоречащих международному праву военно-политических, а также террористических, экстремистских, криминальных и иных противоправных целей в ущерб международной безопасности и стратегической стабильности». Также в доктрине делается акцент на том, что «различные террористические и экстремистские организации широко используют механизмы информационного воздействия на индивидуальное, групповое и общественное сознание в целях нагнетания межнациональной и социальной напряженности, разжигания этнической и религиозной ненависти либо вражды, пропаганды экстремистской идеологии, а также привлечения к террористической деятельности новых сторонников»[4].

Таким образом, становится очевидно, что развитие информационных технологий непременно сопровождается противоправным использованием этих технологий, а значит – ответственность за их противоправное использование необходимо закрепить на законодательном уровне.
В частности, стоит обратить внимание на все более и более набирающее обороты развитие беспроводных сетей Wi-Fi в мире, и в России в частности. Так, в 2014 году в Московском метрополитене была запущена беспроводная сеть, позволяющая получить доступ в Интернет находясь «под землей».

Естественно, повсеместный свободный доступ в Интернет, в целях обеспечения безопасности и кибербезопасности в частности, необходимо было регулировать, поэтому 5 мая 2014 года был принят Федеральный закон № 97-ФЗ «О внесении изменений в Федеральный закон «Об информации, информационных технологиях и о защите информации» и отдельные законодательные акты Российской Федерации по вопросам упорядочения обмена информацией с использованием информационно-телекоммуникационных сетей», а 31 июля 2014 года – Постановление Правительства Российской Федерации № 758 «О внесении изменений в некоторые акты Правительства Российской Федерации в связи с принятием Федерального закона «О внесении изменений в Федеральный закон «Об информации, информационных технологиях и о защите информации» и отдельные законодательные акты Российской Федерации по вопросам упорядочения обмена информацией с использованием информационно-телекоммуникационных сетей». Данными законами было, во-первых, определено понятие «организатора распространения информации в сети Интернет», а во-вторых, прописаны его обязанности по хранению информации о «фактах приема, передачи, доставки и (или) обработки голосовой информации, письменного текста, изображений, звуков или иных электронных сообщений пользователей сети Интернет».

В 2015 году сеть стала «разрастаться» – точки доступа стали появляться и на остановках наземного транспорта[5], в 2017г. компания Алмател выиграла тендер на обеспечение, до конца 2018 г. доступом в сети wi-fi всех парков Москвы.

Кроме того, законами была однозначно зафиксирована необходимость идентификации пользователей, использующих пункты коллективного доступа к сети Интернет. Первоочередная цель принятия данных законов заключалась, прежде всего, в повышении безопасности, поскольку, в противном случае, анонимное подключение к сети Интернет в общественных местах позволило бы осуществлять противозаконные действия безнаказанно[6,7].
Однако обеспечение однозначной идентификации более 1,5 миллионов пользователей, пользующихся, к примеру, бесплатным беспроводным доступом к сети Интернет в Московском метрополитене – непростая задача. А еще более сложно связать конкретное устройство, используемое для доступа к сети Интернет, с конкретным пользователем.

Постановка задачи

В настоящее время для идентификации пользователей беспроводной сети Московского метро используется популярная технология «captive portal». Ее суть заключается в том, что от пользователя требуется выполнение определенного ряда действий для получения доступа к сети Интернет. Упрощенная схема сетевого взаимодействия с использованием этой технологии приведена на рис. 1.

Так, в Московском метро идентификация пользователей осуществляется через подтверждение личности через номер мобильного телефона, либо через единый портал государственных услуг Российской Федерации. При этом, именно первый способ является наиболее популярным среди пользователей – прежде всего из-за своей простоты.


Рис. 1. Использование технологии captive portal для идентификации пользователей в сети Интернет.

При исследовании было применено следующие оборудование: Ноутбук Lenovo Thinkpad t440s с установленной операционной системой linux debian 9.0.2, tcpdump 4.9.2, Wireshark 2.2.6, пакет Aircrack-ng 1.2., смартфон Redmi 4 под управлением ОС Android 6.0. Эксперимент проводился в московском метрополитене.

Суть исследования состояла в выявлении контролируемых системой идентификации параметров. Было сделано предположение, что если выявить параметры контролируемые системой, получится навязать системе идентификации ложные сведения о подключившимся, т.е осуществить подключение к сети интернет без идентификации.

Цель исследования заключается в поиске уязвимости в системе идентификации пользователей беспроводной сети Московского метрополитена.

Задачи исследования:

1. Выявление оцениваемых системой критических параметров подключения.
2. Оценка влияния изменения полученных критических параметров на поведение системы.
3. Выявление алгоритма работы системы идентификации Московского метрополитена.
4. Разработка конечного алгоритма получения неавторизованного доступа к беспроводной сети Московского метрополитена.

При анализе системы была выбрана стратегия тестирование чёрного ящика или поведенческое тестирование.

Объектом исследования является система беспроводного доступа к сети интернет, предметом же становится система идентификации.

Носимые мобильные устройства содержат несколько уникальных параметров, на основании которых можно построить систему идентификации. Первым параметром является международный идентификатор мобильного оборудования (IMEI), число (обычно 15-разрядное в десятичном представлении), уникальное для каждого использующего его аппарата. Применяется в сотовых телефонах сетей согласно стандартам GSM, WCDMA и IDEN. Данный параметр не совсем подходит для идентификации в публичных Wi-Fi сетях, в связи с тем что он присутствует не у всех устройств.

Вторым уникальным параметром, регламентированным стандартом IEEE 802.11, является MAC (Media Access Control)—уникальный идентификатор, присваиваемый каждой единице активного оборудования или некоторым их интерфейсам в компьютерных сетях Ethernet. Этот параметр больше подходит для однозначной идентификации пользователей, т.к. он присутствует во всех мобильных устройствах имеющих подключение к беспроводным сетям Wi-Fi.

В качестве входных параметров для системы были определены: устройство, с которого необходимо получить доступ к сети Интернет и его MAC адрес.

На выходе из системы пользователю либо предоставляется доступ к сети Интернет, либо запрашивается подтверждение личности.

Таким образом, задача исследования была сведена к изменению входных параметров (mac адреса и модели устройства) с целью получения доступа к сети Интернет без прохождения идентификации (см. рис. 2).


Рис. 2. Стратегия черного ящика в исследовании системы идентификации пользователей в публичных wifi сетях.

Методика проведения эксперимента

Следующим этапом исследования, в соответствии с применяемым методом черного ящика, являлось изменение одного из входных параметров системы. Было решено изменить физический адрес устройства, на котором требуется получить доступ к сети, на адрес такого устройства, доступ к сети на котором уже имеется. Поскольку технология беспроводных сетей Wi-Fi использует радиоканал для передачи данных, для этого был использован пакет программного обеспечения для оценки защищенности беспроводных сетей aircrack-ng.

С помощью утилиты airmon-ng беспроводная сетевая карта устройства была переведена в режим мониторинга (то есть захвата всех сетевых пакетов данных в радиусе, доступном для сетевой карты). Затем, при помощи утилиты tcpdump был осуществлен захват некоторого количества сетевых пакетов, которыми обменивались точка доступа, расположенная в вагоне метро и все подключенные к ней в данный момент устройства.

Из собранных пакетов сетевых данных были извлечены физические адреса подключенных пользовательских устройств, после чего MAC-адрес устройства, на котором требуется получить доступ к сети, был изменен на один из ранее полученных и совершена попытка подключения к беспроводной сети Московского метро. В результате, система идентификации определила устройство, как уже прошедшее идентификацию, и не потребовала ввода номера телефона.

Результаты эксперимента

№ эксперимента	X1	X2	Примечание
1	Ноутбук Lenovo Thinkpad t440s	da:a1:19:20:bb:6	Была пройдена идентификация в сети беспроводного доступа авторизованным способом (подтверждение личности через отправку sms)
2	Xiomi Redmi 4	da:a1:19:20:bb:6f	На устройство, не прошедшее идентификацию в сети, был установлен maс адрес устройства, прошедшего идентификацию.
3	Ноутбук Lenovo Thinkpad t440s	aa:aa:aa:aa:aa:aa	На устройство, прошедшее идентификацию, был установлен случайным образом сгенерированный maс адрес.
4	Xiomi Redmi 4	aa:aa:aa:aa:aa:aa	На устройство, не прошедшее идентификацию в сети, был установлен случайным образом сгенерированный maс адрес.
5	Xiomi Redmi 4	b2:3d:8a:60:4f:7d	На устройство, не прошедшее идентификацию в сети был установлен maс адрес, полученный из циркулирующих в сети пакетов посредством tcpdump и сетевой карты в режиме монитора.
6	Xiomi Redmi 4	80:ea:96:c3:52:91	На устройство, не прошедшее идентификацию в сети был установлен maс адрес, полученный из циркулирующих в сети пакетов посредством tcpdump и сетевой карты в режиме монитора.

№ эксперимента	Y1	Примечание
1	Доступ​ ​ есть	Идентификация​ ​пройдена авторизованным​ ​способом.
2	Доступ​ ​ есть	Доступ к сети получен неавторизованным способом (без идентификации устройства)
3	Доступа нет	Доступ к сети не получен (требуется прохождение идентификации)
4	Доступа нет	Доступ к сети не получен (требуется прохождение идентификации)
5	Доступ есть	Доступ к сети получен неавторизованным способом (без идентификации устройства)
6	Доступ есть	Доступ к сети получен неавторизованным способом (без идентификации устройства)

Анализ полученных результатов

Таким образом, в результате исследования было обнаружено, что непосредственная идентификация пользователя с запросом у него персональных данных производится лишь при первом подключении, а при последующих – для идентификации используется физический адрес (MAC-адрес) устройства, который записывается в базу данных и сопоставляется с указанными пользователем персональными данными при первом подключении к сети.

Упрощенный алгоритм работы системы идентификации пользователей беспроводной сети Московского метрополитена приведен на рис. 3


Рис. 3. Упрощенный алгоритм работы системы идентификации пользователей беспроводной сети Московского метрополитена

Таким образом, был сделан вывод, что в качестве единственного параметра, влияющего на состояние системы выступает физический адрес (MAC-адрес) устройства.

Кроме того, следует отметить, что среди двух сотен MAC-адресов полученных из циркулирующих в сети пакетов данных, нашлось два таких, использование которых при подключении к сети не потребовало подтверждения активности пользователя, которое требуется системой каждый 20 минут. Эти адреса были выявлены запуском следующего скрипта с правами суперпользователя:

while IFS= read -r line
do
		sudo service NetworkManager stop
		ip link set wlp3s0 down
		ip link set wlp3s0 address "$line"
		ip link set wlp3s0 up
		service NetworkManager start
		sleep 12
		list=`sudo ping -i 0.1 -s 1 -w 1 -c 5 ya.ru | grep ttl`
		if [ "$list" != "" ]; then
			echo "$line"
		else
			echo Not found
		fi

done <"$file"

На основании проведенного эксперимента был разработан конечный алгоритм атаки на систему идентификацию пользователей сети беспроводного доступа Московского метрополитена. Алгоритм представлен на рисунке 4.


Рисунок 4 — конечный алгоритм алгоритм атаки на систему идентификации

Вывод

Подводя итог, можно говорить о выполнении цели исследования, а именно получении анонимного (с точки зрения злоумышленника) доступа к сети Интернет, поскольку устройство, получившее доступ в сеть, имеет физический адрес, привязанный к устройству и персональным данным (в данном случае, номеру мобильного телефона) другого пользователя.

Очевидно, что данный метод может быть легко использован в противоправных целях практически кем угодно. Простота использования метода в совокупности с получаемым в результате анонимным доступом к сети Интернет может создать угрозу как безопасности отдельной личности, безопасности общества и государства, поэтому, при самом худшем стечении обстоятельств речь может пойти об акте кибертерроризма со всеми вытекающими из этого последствиями.

Именно поэтому для обеспечения безопасной и надежной идентификации пользователей беспроводных сетей и выполнения требований упомянутых ранее федеральных законов требуется разработка нового, более надежного и защищенного метода идентификации пользователей.

git

Статья является совместным трудом с Сергем Дмитриевичем Волковым – аспирантом кафедры информационной безопасности ФГБОУ ВО МГЛУ